Manual de Políticas y Procedimientos de Protección de Datos Personales

1. Objeto y filosofía institucional

Las Empresas del Grupo y la Compañía RASOT ESTRATÉGICA COMERCIAL SAS han diseñado y autorizado el presente documento, que hoy publicamos para todos nuestros colaboradores, socios, clientes y proveedores.

El presente Manual de Políticas y Procedimientos para el Tratamiento de Datos Personales tiene como objeto primordial establecer y formalizar los lineamientos corporativos, técnicos y administrativos que garantizan la protección efectiva del derecho constitucional al Habeas Data en el marco de todas las actividades desarrolladas por RASOT ESTRATÉGICA COMERCIAL SAS. En estricta sujeción a las disposiciones vigentes en Colombia, la Ley 1581 de 2012 y el Decreto 1377 de 2013, este documento define la hoja de ruta institucional para la recolección, almacenamiento, uso, circulación y supresión de la información personal de clientes, proveedores, colaboradores y terceros, asegurando que cualquier operación sobre dichos datos se realice bajo los principios rectores de legalidad, finalidad, libertad, veracidad, transparencia y seguridad, más allá del mero cumplimiento normativo ante la Superintendencia de Industria y Comercio.

El objeto de este manual es blindar la integridad y privacidad de los titulares, estableciendo procedimientos claros, expeditos y accesibles para que estos puedan ejercer sus derechos a conocer, actualizar, rectificar y revocar su autorización en cualquier momento.

De este modo, la organización ratifica su compromiso con la ética en el manejo de la información y la implementación de un modelo de responsabilidad demostrada que previene el tratamiento indebido, garantiza la confidencialidad y fortalece la confianza con todos sus grupos de interés en el entorno digital y físico.

2. Alcance de la Política para el manejo y tratamiento de datos personales

Un compromiso para RASOT ESTRATÉGICA COMERCIAL SAS es que la política de tratamiento de datos aplica para todas las personas vinculadas directa o indirectamente a nuestra Compañía.

Es aplicable a todo nuestro grupo de personas vinculadas a la operación: socios, empleados, contratistas, internos, externos, asesores, consultores, aprendices, practicantes, aspirantes o visitantes.

Por supuesto, aplica a la protección y el derecho de todos nuestros clientes, cotizantes, leads, prospectos, referidos y visitantes, así como a todos nuestros proveedores, contratistas, asesores, consultores, externos e internos, personas naturales y jurídicas.

Nuestra política de datos aplica para todas nuestras instalaciones, oficinas, puntos de atención a clientes, sitios físicos o virtuales, registros físicos o virtuales, en formatos físicos, el sitio web https://www.rasotsas.com.co, el correo servicioalcliente@rasotsas.com.co y todos nuestros correos corporativos @rasotsas.com.co.

3. Identificación del Responsable y encargados del tratamiento y protección de datos, custodia y archivo

Son responsables y encargados de la custodia de las autorizaciones y de la atención de solicitudes de Habeas Data:

• El Representante Legal y su suplente.
• El Gerente General.
• El Gerente o Líder Funcional de las áreas Administrativa, Financiera y de Recursos Humanos.

Todos los documentos físicos, virtuales, entregados personalmente, fotocopias y adjuntos serán almacenados en el sistema documental de la plataforma Odoo de la Compañía, con acceso restringido por perfil.

Somos responsables del cumplimiento y uso de las Políticas de Tratamiento de Datos:

4. Glosario y Marco Legal (Ley 1581 de 2012, Decreto 1377 de 2013)

Responsable del Tratamiento

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. Para efectos del presente manual, RASOT ESTRATÉGICA COMERCIAL SAS actúa como Responsable respecto de los datos de sus colaboradores, aspirantes, clientes directos y proveedores.

Encargado del Tratamiento

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento. RASOT ESTRATÉGICA COMERCIAL SAS actúa en calidad de Encargado cuando procesa bases de datos (nóminas, contabilidad, facturación o impuestos) por orden e instrucción de sus clientes corporativos de outsourcing.

Derecho de Habeas Data

La Corte Constitucional lo definió como el derecho que otorga la facultad al titular de datos personales de exigir de las administradoras de esos datos el acceso, inclusión, exclusión, corrección, adición, actualización y certificación de los datos, así como la limitación en las posibilidades de su divulgación, publicación o cesión, de conformidad con los principios que regulan el proceso de administración de datos personales. Asimismo, ha señalado que este derecho tiene una naturaleza autónoma que lo diferencia de otras garantías con las que está en permanente relación, como los derechos a la intimidad y a la información.

Titular

Persona natural cuyos datos personales sean objeto de Tratamiento por parte de RASOT ESTRATÉGICA COMERCIAL SAS o sus clientes.

Fuente de información

La fuente de información es la persona, entidad u organización que recibe o conoce datos personales de los titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del titular, suministra esos datos a un operador de información, el que a su vez los entregará al usuario final. Si la fuente entrega la información directamente a los usuarios, y no a través de un operador, tendrá la doble condición de fuente y operador y asumirá los deberes y responsabilidades de ambos.

Vínculo de cualquier otra índole

El vínculo de cualquier otra índole debe entenderse como aquel que genere una o más obligaciones entre la fuente y el titular que legitime al primero a reportar información tanto negativa como positiva del último, por lo que es claro que contar solamente con la autorización de reporte no genera obligación alguna entre la supuesta fuente y el reclamante; será requisito indispensable la existencia de una obligación entre estos para que sea posible realizar un reporte.

Operador de la información

Se denomina operador de información a la persona, entidad u organización que recibe de la fuente datos personales sobre varios titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la ley.

Usuario de la información

El usuario es la persona natural o jurídica que puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información.

Datos personales

El dato personal se refiere a cualquier pieza de información vinculada a una o varias personas determinadas o determinables o que puedan asociarse con una persona natural o jurídica. Los datos personales pueden ser públicos, semiprivados o privados. Los datos serán públicos cuando la ley o la Constitución así lo establezcan, y cuando no sean de aquellos clasificados como semiprivados o privados. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas y los relativos al estado civil de las personas. El dato semiprivado es aquel que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector de personas o a la sociedad en general, como el dato financiero y crediticio. El dato privado es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular.

Principio de finalidad

El principio de finalidad obliga a que las actividades de recolección de datos personales obedezcan a una finalidad legítima de acuerdo con la Constitución y la ley. Con fundamento en este principio la finalidad debe ser comunicada al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o, en general, siempre que el titular solicite información al respecto.

Circulación restringida

El principio de circulación restringida consiste en que, a menos que la información sea pública, los datos personales no podrán ser accesibles por Internet o por otros medios de divulgación o comunicación masiva, salvo que dicho acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los titulares o a los usuarios autorizados para ello.

Principio de interpretación integral de derechos constitucionales

La interpretación integral de derechos constitucionales consiste en que las normas que rigen los datos personales se interpretarán en el sentido de que se amparen otros derechos constitucionales, como son el hábeas data, el derecho al buen nombre, el derecho a la honra, el derecho a la intimidad y el derecho a la información. Asimismo, se refiere a que los derechos de los titulares se interpretarán en armonía con el derecho a la información y demás derechos constitucionales aplicables.

Principio de seguridad

El principio de seguridad impone que en la información contenida en los bancos de datos, así como en aquella que resulte de las consultas que realicen los usuarios, se incorporen las medidas técnicas necesarias para garantizar la seguridad de los registros, con el fin de evitar su adulteración, pérdida, consulta o uso no autorizado.

Principio de confidencialidad

El principio de confidencialidad en la información consiste en que todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan carácter público están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende la administración de datos, pudiendo sólo realizar el suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas.

Autorización previa y expresa de registro de datos personales

Sin perjuicio de las excepciones previstas en la ley, en el tratamiento se requiere la autorización previa, expresa e informada del titular, la cual deberá ser obtenida por cualquier medio, físico, escrito o virtual, que pueda ser objeto de consulta y verificación posterior.

La autorización dada por el titular de la información, la cual debe ser previa, libre y expresa, es requisito indispensable para que se incluya la información de los titulares en las bases de datos, pues de lo contrario estaríamos en presencia de una violación del principio de libertad consagrado a favor de los titulares. Será obligación de la fuente conservar copia o evidencia de la respectiva autorización. Será deber del operador solicitar semestralmente a la fuente la certificación de la existencia de la autorización otorgada por el titular.

Datos sensibles

Para los propósitos de la Ley 1581 de 2012 se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.

Fuente de referencia: Superintendencia de Industria y Comercio – Manejo de información personal (www.sic.gov.co).

5. Políticas, deberes y derechos del tratamiento de datos

Derechos de los Titulares

El Titular de los datos personales tendrá los siguientes derechos:

1. Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.
2. Solicitar prueba de la autorización otorgada al Responsable del Tratamiento, salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012.
3. Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que les ha dado a sus datos personales.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen.
5. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
6. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a la ley y a la Constitución.
7. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Deberes de los Responsables y Encargados del Tratamiento

Los Responsables del Tratamiento deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la ley y en otras que rijan su actividad:

1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular.
3. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
5. Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
6. Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a éste se mantenga actualizada.
7. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
8. Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la ley.
9. Exigir al Encargado del Tratamiento en todo momento el respeto a las condiciones de seguridad y privacidad de la información del Titular.
10. Tramitar las consultas y reclamos formulados en los términos señalados en la ley.
11. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y, en especial, para la atención de consultas y reclamos.
12. Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
13. Informar a solicitud del Titular sobre el uso dado a sus datos.
14. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

Casos en que no es necesaria la autorización

La autorización del Titular no será necesaria cuando se trate de:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las personas.

6. Principios rectores del tratamiento

RASOT ESTRATÉGICA COMERCIAL SAS hará conocer a los Titulares su propósito de registro y almacenamiento de los datos personales, cuyo fin es desarrollar su objeto social y todas las funciones propias de la operación comercial: mercadeo, comercialización, publicidad, estrategia, marketing, información de mercado, información propia y estadísticas, gestión de cobranza y registro financiero propios o de terceros vinculados, RR.HH., relaciones laborales y contractuales, concursos o vinculación laboral, aspirantes y practicantes, y venta y compra de productos y servicios.

Por lo tanto, RASOT ESTRATÉGICA COMERCIAL SAS podrá recolectar, registrar, almacenar, tratar, usar, circular, custodiar, analizar, verificar, intercambiar, reportar, suministrar, compartir, transmitir y transferir la información suministrada por el Titular, conforme a la autorización otorgada y a la ley.

Principio de veracidad o calidad

La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

Principio de transparencia

En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

Derechos de los niños, niñas y adolescentes

En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública, o los del manejo de RR.HH. entregados por el Titular y validados por el padre, la madre o el adulto responsable del menor.

Principio de libertad

El Tratamiento de datos sólo puede ejercerse con el consentimiento previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Principio de acceso y circulación restringida

El Tratamiento de datos se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la ley. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la ley.

Principio de confidencialidad

Todas las personas que en RASOT ESTRATÉGICA COMERCIAL SAS intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley y en los términos de esta.

7. Modelo de autorización y consentimiento

Se presenta al Titular el documento AUTORIZACIÓN DEL TITULAR PARA SU REGISTRO EN BASE DE DATOS DE RASOT ESTRATÉGICA COMERCIAL SAS.

Dicho documento se gestionará de manera virtual a través de nuestra plataforma tecnológica y será enviado de manera automática desde nuestro correo servicioalcliente@rasotsas.com.co, o gestionado físicamente por el Titular en nuestras oficinas, en su presencia y la de nuestro personal administrativo o comercial.

El Titular recibirá un mensaje en el cual debe diligenciar, validar y aprobar los datos registrados y almacenados en nuestra plataforma tecnológica, y debe firmar digitalmente dicho registro, validarlo y aprobarlo.

El Titular tendrá siempre a su disposición la presente política en https://www.rasotsas.com.co/privacy.

8. Tratamiento de datos especiales

Definición y tratamiento general de datos sensibles

De conformidad con el artículo 5 de la Ley 1581 de 2012, se entienden por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación. Entre estos se encuentran los datos relativos a la salud, origen racial o étnico, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales, datos biométricos (como huellas dactilares, imágenes en cámaras de seguridad y firmas digitales) y datos sobre la vida u orientación sexual.

RASOT ESTRATÉGICA COMERCIAL SAS prohíbe con carácter general el tratamiento de datos sensibles, salvo cuando concurra alguna de las excepciones contempladas en el artículo 6 de la Ley 1581 de 2012 y se garantice el cumplimiento estricto de los siguientes requisitos:

1. Autorización explícita e informada: se informará de manera previa y explícita al Titular que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.
2. Sin condicionamiento: ninguna actividad, servicio o relación contractual con la Compañía estará condicionada a que el Titular suministre datos personales sensibles, a menos que exista un deber normativo, de salud ocupacional o contractual explícito que así lo exija.
3. Casos de excepción legal: el tratamiento se realizará únicamente cuando sea necesario para salvaguardar el interés vital del Titular estando física o jurídicamente incapacitado, para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, o en el marco de la gestión de riesgos laborales y la normatividad sobre el Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST).

Tratamiento de datos personales con enfoque de género y protección de la mujer

En el desarrollo de los procesos laborales, comerciales y de consultoría, RASOT ESTRATÉGICA COMERCIAL SAS garantiza la aplicación de los principios de no discriminación, equidad de género, protección a la maternidad y dignidad humana.

• Protección a la maternidad y estado de salud: la recolección de datos relacionados con el estado de embarazo, licencias de maternidad o fuero de maternidad/paternidad se limita estrictamente al cumplimiento de las obligaciones legales en materia de liquidación de nómina, afiliaciones y aportes al Sistema de Seguridad Social Integral (EPS, ARL, fondos de pensión y cajas de compensación familiar).
• Procesos de selección y gestión humana: queda expresamente prohibido solicitar información relativa a planes de planificación familiar, estado civil, orientación sexual o datos de salud reproductiva como requisito para acceder o mantener la vinculación laboral o de prestación de servicios.
• Mecanismos de protección interna: la información sobre la salud física o psicológica recopilada en el marco de comités de convivencia laboral o programas de prevención del acoso laboral será tratada con confidencialidad absoluta bajo el principio de reserva legal.

Tratamiento de datos personales de niños, niñas y adolescentes (NNA)

De acuerdo con el artículo 7 de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013, el tratamiento de datos personales de niños, niñas y adolescentes está prohibido de manera general, salvo cuando se trate de datos de naturaleza pública o cuando se cumplan de manera concurrente los siguientes criterios fundamentales:

1. Prevalencia del interés superior: que el tratamiento responda y respete el interés superior del menor y garantice sus derechos fundamentales.
2. Autorización del representante legal: la autorización debe ser otorgada obligatoriamente por el padre, madre o tutor legal del menor, previa verificación de su calidad de representante legal.
3. Derecho a ser escuchado: se garantizará el derecho del menor a ser escuchado y a valorar su opinión frente al tratamiento de sus datos, atendiendo a su madurez, autonomía progresiva y desarrollo.

Finalidades exclusivas para la recolección de datos de menores en RASOT: la recolección de datos personales de menores de edad por parte de RASOT ESTRATÉGICA COMERCIAL SAS (o en su calidad de Encargado de gestión de nómina para sus clientes de outsourcing) se restringe única y exclusivamente a:

• Afiliación de beneficiarios del trabajador al Sistema de Seguridad Social Integral y cajas de compensación familiar.
• Liquidación de beneficios convencionales, auxilios educativos o actividades de bienestar social de la Compañía autorizadas por el trabajador.
• Registro de datos de contacto de emergencia dentro de la estructura familiar del colaborador.

Medidas especiales de seguridad y custodia para datos sensibles y de menores

• Almacenamiento segregado: los datos sensibles o de menores de edad recopilados en expedientes físicos o mediante la plataforma Odoo contarán con niveles restringidos de acceso por perfil, únicamente visibles para el personal autorizado de Recursos Humanos y Contabilidad.
• Prohibición de divulgación y uso comercial: queda estrictamente prohibida la transferencia, comercialización, cesión o publicación de datos sensibles o de NNA en medios de comunicación, redes sociales o campañas publicitarias de la organización sin autorización previa y calificada.

9. Tratamiento de datos de empleados y vinculados laboral o contractualmente

Marco general y doble calidad del tratamiento

RASOT ESTRATÉGICA COMERCIAL SAS (en adelante "La Compañía") realiza el tratamiento de datos personales de las personas naturales que se relacionan con la organización en el marco de procesos de selección, vinculación laboral, ejecución de contratos de trabajo, contratos de prestación de servicios, o mediante esquemas de aprendizaje (SENA / practicantes).

Para tales efectos, La Compañía actúa en calidad de:

1. Responsable del Tratamiento: frente a sus propios empleados, aspirantes, practicantes y contratistas directos.
2. Encargado del Tratamiento: en el marco de los servicios BPO de procesos administrativos, consultoría en RR.HH. y liquidación de nómina prestados a sus clientes corporativos, procesando la información laboral bajo las instrucciones de estos y garantizando estricta reserva y confidencialidad profesional.

El tratamiento de esta información es obligatorio en la medida en que se fundamenta en el cumplimiento de mandatos constitucionales, legales, reglamentarios y en la ejecución del contrato laboral o de prestación de servicios debidamente suscrito entre las partes.

Fases del tratamiento en la relación laboral o contractual

A. Fase precontractual (aspirantes, candidatos y procesos de selección)

1. Finalidad: gestionar convocatorias, evaluar perfiles profesionales, realizar pruebas psicotécnicas, entrevistas, validación de antecedentes académicos y laborales, así como estudios de seguridad o de riesgo (SAGRILAFT / listas restrictivas) con el fin de determinar la idoneidad del candidato.
2. Autorización: todo aspirante deberá suscribir la autorización previa para el tratamiento de sus datos desde el momento en que remite su hoja de vida o inicia el proceso de selección.
3. Conservación de hojas de vida: las hojas de vida de los candidatos no seleccionados serán conservadas por un término máximo de doce (12) meses en el archivo de la Compañía para futuras vacantes, vencido el cual se procederá a su supresión o anonimización segura, salvo solicitud expresa de supresión anticipada por parte del Titular.

B. Fase contractual (empleados activos y contratistas)

1. Finalidad y alcance: recolectar, almacenar, procesar, consultar, actualizar y transmitir/transferir datos personales para el desarrollo integral del contrato de trabajo o de prestación de servicios, que incluye:
   • Gestión administrativa de nómina, pagos, deducciones, compensaciones y embargos judiciales.
   • Afiliación, reporte de novedades y pago de aportes al Sistema de Seguridad Social Integral (salud, pensión, ARL) y parafiscales (cajas de compensación familiar, ICBF, SENA).
   • Apertura de cuentas bancarias de nómina y expedición de certificaciones laborales o de retención en la fuente.
   • Gestión y ejecución del Sistema de Gestión de la Seguridad y Salud en el Trabajo (SG-SST), incluyendo registros de medicina del trabajo, exámenes médicos de ingreso, periódicos y de retiro, entrega de dotación e incidentes laborales.
   • Control de acceso físico a las instalaciones, monitoreo por cámaras de videovigilancia y asignación de herramientas tecnológicas corporativas (correos @rasotsas.com.co, usuarios en la plataforma Odoo, accesos a red).
2. Datos de la estructura familiar y beneficiarios: la recolección de datos del núcleo familiar, dependientes, beneficiarios para cajas de compensación o contactos en caso de emergencia se realiza bajo el estricto consentimiento del trabajador en calidad de representante del grupo familiar o tutor legal de sus hijos menores de edad.

C. Fase postcontractual (exempleados y liquidación)

1. Conservación legal retenida: finalizada la vinculación laboral o contractual, La Compañía conservará los datos personales del trabajador en sus archivos físicos y digitales (incluyendo hojas de vida, contratos, liquidaciones, comprobantes de pago de nómina, aportes a seguridad social y certificados del SG-SST) para dar cumplimiento a las obligaciones legales impuestas por:
   • El Decreto 1072 de 2015 (conservación de registros del SG-SST por un término mínimo de 20 años contados a partir del retiro).
   • Requerimientos de la Unidad de Gestión Pensional y Parafiscales (UGPP) para auditorías de aportes.
   • El Código de Comercio y el Estatuto Tributario para la conservación de libros y soportes contables.
2. Improcedencia de la supresión anticipada: el exempleado no podrá solicitar la supresión total de sus datos cuando sobre La Compañía recaiga el deber legal o contractual de mantener la información en custodia para atender posibles requerimientos judiciales, laborales, pensionales o de fiscalización tributaria.

Autorización para datos sensibles y biométricos en el ámbito laboral

1. Voluntariedad: salvo disposición legal en contrario (como en la ejecución de exámenes médicos ocupacionales o controles de bioseguridad del SG-SST), la entrega de datos sensibles por parte del trabajador (datos sobre salud, origen étnico, datos biométricos como huellas dactilares para registro de asistencia o fotografías para carnetización) es de carácter opcional.
2. Garantía de no discriminación: la negativa del trabajador a suministrar datos sensibles no obligatorios no constituirá causal de sanción, desvinculación o trato discriminatorio por parte de La Compañía.

Uso e intercambio de datos con entidades de control y terceros

En cumplimiento de sus deberes legales como empleador, RASOT ESTRATÉGICA COMERCIAL SAS queda facultada para suministrar, trasladar e intercambiar los datos personales de los trabajadores sin necesidad de autorización adicional únicamente ante las siguientes autoridades o entidades:

• Ministerio del Trabajo y Administradora de Riesgos Laborales (ARL).
• Dirección de Impuestos y Aduanas Nacionales (DIAN) y Secretarías de Hacienda municipales (información exógena y nómina electrónica).
• Entidades del Sistema de Seguridad Social Integral (EPS, fondos de pensiones y cesantías) y cajas de compensación familiar.
• Entidades judiciales, administrativas o de control fiscal en ejercicio de sus funciones (UGPP, jueces laborales, Fiscalía General de la Nación).

10. Tratamiento de datos personales de proveedores, contratistas y aliados comerciales

Alcance y objeto del tratamiento

La Compañía realiza el tratamiento de datos personales de personas naturales o de los representantes legales, administradores, socios, beneficiarios finales y delegados de personas jurídicas que se vinculen en calidad de proveedores de bienes, prestadores de servicios, contratistas, consultores o aliados comerciales.

El tratamiento de esta información es obligatorio y se fundamenta en el cumplimiento de relaciones precontractuales, contractuales y en el acatamiento de obligaciones tributarias, comerciales y de prevención de riesgos legales impuestas por las autoridades de control en Colombia.

Finalidades específicas del tratamiento

Los datos personales recolectados en el marco de la gestión de abastecimiento y contratación con proveedores y contratistas serán tratados exclusivamente para:

1. Gestión operativa y contractual: evaluación de propuestas comerciales, selección, homologación, elaboración y ejecución de contratos o emisión de órdenes de compra/servicio.
2. Administración de pagos y facturación: verificación de certificaciones bancarias, procesamiento de pagos, transferencias electrónicas, liquidación de honorarios, retenciones en la fuente y expedición de certificados tributarios.
3. Gestión de riesgos y cumplimiento (SAGRILAFT / PTEE): adelantar procesos de debida diligencia, conocimiento de la contraparte, verificación de beneficiarios finales y consulta en listas restrictivas, sancionatorias y de control de riesgos.
4. Verificación de obligaciones laborales y SG-SST: para contratistas con trabajo presencial o en instalaciones, verificar la planilla de aportes al Sistema de Seguridad Social Integral (salud, pensión, ARL) y el cumplimiento de los estándares de Seguridad y Salud en el Trabajo.
5. Auditoría y reporte: cumplir con requerimientos de información formulados por la DIAN, Secretarías de Hacienda municipales (exógena), la Superintendencia de Sociedades y entes de fiscalización contable.

Consulta en listas restrictivas, vinculación y SAGRILAFT

En concordancia con los principios de autocontrol, prevención de riesgos y transparencia corporativa (SAGRILAFT y Programa de Transparencia y Ética Empresarial – PTEE de la Superintendencia de Sociedades), RASOT ESTRATÉGICA COMERCIAL SAS realizará directamente o a través de herramientas especializadas la verificación periódica de proveedores, contratistas, sus representantes legales y beneficiarios finales en:

• Listas vinculantes internacionales (ONU, OFAC/Clinton, UE, INTERPOL) y nacionales (Procuraduría, Contraloría, Policía Nacional, Fiscalía General, Boletín de Deudores Morosos del Estado).
• Sistemas de gestión de riesgo sobre lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva (LA/FT/FP) y actos de corrupción / soborno transnacional.

Cláusula de inexistencia de autorización previa para listas de control público

De conformidad con el artículo 10 de la Ley 1581 de 2012, no se requerirá autorización previa del Titular para consultar datos de naturaleza pública contenidos en bases de datos o boletines oficiales de autoridades judiciales, administrativas o de fiscalización del Estado.

Protocolo ante coincidencias o hallazgos en listas de control

1. Análisis de homonimia y falsos positivos: se procederá con la verificación técnica de coincidencia mediante el número de documento de identificación (NIT / cédula).
2. Facultad de rechazo y terminación: si se confirma que el proveedor, contratista, sus socios o beneficiarios finales registran reportes activos por delitos de LA/FT/FP, corrupción o delitos contra la administración pública, La Compañía se reserva el derecho de abstenerse de iniciar la relación comercial o de dar por terminado el contrato de manera unilateral con justa causa, sin que ello genere penalidad o indemnización alguna a favor del tercero contratado.

Tratamiento de datos sensibles y certificaciones bancarias

1. Información financiera: el envío de certificados bancarios, referencias comerciales, estados financieros y datos para pago será tratado bajo el principio de confidencialidad y circulación restringida, siendo accesible únicamente por el personal del área contable y administrativa encargado de la tesorería.
2. Prohibición de datos sensibles no requeridos: La Compañía se abstendrá de solicitar o procesar datos sensibles del proveedor o contratista, salvo aquellos indispensables para la prevención de riesgos de salud ocupacional en instalaciones.

Acuerdos de confidencialidad y transmisión de datos para contratistas

Cuando un proveedor o contratista (p. ej., asesores de software, soporte técnico Odoo, consultores externos) requiera acceder a datos personales administrados por La Compañía o sus clientes corporativos de outsourcing:

1. Se suscribirá obligatoriamente un Acuerdo de Transmisión de Datos Personales y Confidencialidad, donde el contratista asumirá la calidad de Encargado del Tratamiento.
2. El contratista se compromete a:
   • Tratar los datos personales únicamente bajo las instrucciones escritas de RASOT ESTRATÉGICA COMERCIAL SAS.
   • Guardar estricta reserva y secreto profesional, incluso después de finalizada la relación contractual.
   • Implementar medidas de seguridad físicas, técnicas y administrativas para evitar la pérdida, filtración o acceso no autorizado a la información.
   • Destruir o devolver las bases de datos al término de la prestación del servicio.

Conservación retenida y supresión de datos de proveedores

La información recopilada de proveedores y contratistas se mantendrá almacenada en las bases de datos de La Compañía durante el tiempo que dure la relación contractual o comercial.

Una vez finalizada la vinculación, los datos personales, soportes contables, facturas electrónicas, órdenes de pago y registros de debida diligencia SAGRILAFT se conservarán por el término de diez (10) años (o el término legal exigido en el Estatuto Tributario y el Código de Comercio) para efectos de auditorías fiscales, contables y de entes de control, lo que imposibilita la supresión inmediata en caso de solicitud del Titular cuando exista dicho deber de conservación legal.

11. Procedimientos para consultas, reclamos y derechos ARCO

Suministro de la información

La información solicitada podrá ser suministrada por cualquier medio, incluyendo los electrónicos, según lo requiera el Titular, escrito o virtual. La información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos.

Registro e ingreso a nuestras instalaciones

Al momento del ingreso a nuestras instalaciones, oficinas o cualquier otra instalación de RASOT ESTRATÉGICA COMERCIAL SAS, incluso de manera virtual a nuestro sitio web, se realizará el registro correspondiente en cumplimiento del Anexo 78 SST-FO-71 Formato de Registro de Visitantes y de las políticas de Seguridad y Salud en el Trabajo impuestas por la ley y la ARL correspondiente.

Procesos comerciales, atención al usuario y sitio web

Todo registro comercial, como leads, prospectos, cotizantes o clientes, mediante cualquier documento comercial (cotización, propuesta, pedido del cliente, facturación de ventas), iniciará con el registro del Titular como contacto en nuestra plataforma tecnológica Odoo.

Registro de proveedores, contratistas, consultores y asesores

Con el fin de registrar, clasificar, evaluar y verificar, todos nuestros proveedores de artículos y servicios, personas naturales o jurídicas, harán registro en nuestra base de datos, incluyendo datos bancarios para gestión de pagos y abonos, certificaciones fiscales y obligaciones derivadas de la relación comercial.

Registro de empleados, socios, accionistas y vinculados

Para efectos de RR.HH., registro mercantil ante la Cámara de Comercio, administración de la información, actas, informes y obligaciones, se registrarán todas las personas vinculadas, aspirantes o candidatos de RASOT ESTRATÉGICA COMERCIAL SAS.

RASOT ESTRATÉGICA COMERCIAL SAS podrá verificar la información solicitada y almacenada contra bases legales y de registro público, como notarías, registradurías y procuradurías, y podrá verificar antecedentes comerciales y riesgos financieros conforme a las políticas descritas en su sistema SAGRILAFT.

Procedimiento para el ejercicio de derechos ARCO (Acceso, Rectificación, Cancelación y Oposición)

• Leyenda "Reclamo en trámite": se incluirá la marca en la base de datos dentro de los dos (2) días hábiles siguientes al recibo del reclamo.

Canales habilitados para la atención de solicitudes

Los Titulares de datos personales o sus causahabientes podrán ejercer sus derechos a conocer, actualizar, rectificar, suprimir su información y revocar la autorización otorgada a través de los siguientes canales oficiales:

• Correo electrónico oficial: servicioalcliente@rasotsas.com.co
• Atención virtual / PQRS: formulario web en https://www.rasotsas.com.co/contactus
• Dirección física: Carrera 72K No. 40-50 Sur, Casa 20, Bogotá D.C., Colombia
• Teléfono de atención: +57 316 524 3303

Regulación de transmisión internacional de datos (entorno Odoo y servidores en la nube)

"El Titular autoriza expresamente que sus datos personales puedan ser transmitidos a servidores alojados en el exterior o administrados por proveedores de infraestructura en la nube (incluyendo proveedores del ecosistema Odoo y almacenamiento en la nube), garantizando niveles adecuados de protección de datos conforme a los estándares exigidos por la Superintendencia de Industria y Comercio."

12. Vigencia

Los términos aquí descritos, obligaciones y derechos, en cumplimiento de la Política de Datos Personales de todos los titulares y de RASOT ESTRATÉGICA COMERCIAL SAS, tienen vigencia a partir del 1 de octubre de 2026, de manera indefinida mientras exista el objeto social de la Compañía.

Las bases de datos en las que se registran los datos personales y que son administradas por RASOT ESTRATÉGICA COMERCIAL SAS y/o terceros tendrán vigencia igual al periodo en que se mantenga la finalidad del registro o hasta que el titular exprese su intención de anulación, sin perjuicio de los deberes legales de conservación.

Octubre de 2026

13. Solicitud de copia del Manual

En cumplimiento del deber de información y de puesta en conocimiento de las políticas de tratamiento (artículos 17 literal k) y 18 literal f) de la Ley 1581 de 2012 y artículo 13 del Decreto 1377 de 2013, compilado en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015), el presente Manual se publica de forma íntegra, gratuita y permanente para consulta en línea en esta página, sin barreras técnicas para su lectura. Por tratarse de un documento controlado y protegido por derechos de autor, no se dispone su descarga directa.

No obstante lo anterior, los Titulares de datos personales, sus causahabientes, representantes legales o apoderados, así como las autoridades competentes en ejercicio de sus funciones, podrán solicitar una copia del Manual, la cual será entregada sin costo alguno, en los siguientes términos:

1. Canal: mediante solicitud escrita dirigida a servicioalcliente@rasotsas.com.co, a través del formulario de Contacto o radicada en la dirección física de la Compañía, indicando en el asunto "Solicitud de copia – Manual RASOTEC-PDT-001".
2. Contenido de la solicitud: nombre completo del solicitante; tipo y número de documento de identificación; calidad en la que actúa (Titular, causahabiente, representante legal o apoderado) y el documento que la acredite cuando no sea el Titular; dirección física o correo electrónico para la entrega; y el medio de entrega preferido.
3. Término de respuesta: la solicitud será atendida como consulta, dentro de un término máximo de diez (10) días hábiles contados a partir de su recibo, prorrogable por una única vez hasta por cinco (5) días hábiles adicionales, previa comunicación de los motivos de la demora (artículo 14 de la Ley 1581 de 2012).
4. Medio de entrega: copia electrónica en formato no editable con marca de agua de copia controlada, remitida al correo registrado, o copia física para retiro en la sede de la Compañía.
5. Gratuidad: la entrega de la copia y la consulta de los datos personales del Titular son gratuitas al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de las Políticas de Tratamiento (artículo 21 del Decreto 1377 de 2013, compilado en el artículo 2.2.2.25.4.2 del Decreto 1074 de 2015).
6. Uso de la copia: la copia entregada es para uso exclusivo del solicitante en el ejercicio de sus derechos de hábeas data o de las funciones de la autoridad requirente. Su entrega no constituye licencia de reproducción, distribución ni modificación, y se sujeta a lo dispuesto en la sección de Derechos de Autor de este Manual.

Cualquier modificación sustancial de este Manual será comunicada a los Titulares de forma oportuna, a más tardar al momento de implementar las nuevas políticas, mediante su publicación en esta página y por los canales de contacto registrados.

Solicitar copia por correoSolicitar por formulario de contacto

14. Derechos de autor

Este documento ha sido elaborado por RASOT ESTRATÉGICA COMERCIAL SAS como instructivo general del manejo y uso de la Política de Tratamiento de Datos, para el uso exclusivo de RASOT ESTRATÉGICA COMERCIAL SAS.

Se prohíbe su reproducción, enajenación, copia, alteración parcial o total, traducción, inclusión, transmisión o transformación, a través de medios analógicos, digitales o de cualquier otro sistema o tecnología, sin autorización previa de RASOT ESTRATÉGICA COMERCIAL SAS y sus representantes legales y/o autorizados, sin perjuicio del derecho de los Titulares a consultarlo y a obtener copia en los términos de la sección 13 y de la ley.