Política de Tratamiento de Datos Personales

La presente Política establece los lineamientos con los que PRONETSYS S.A.S. (en adelante, «Pronetsys» o «la Compañía») recolecta, almacena, usa, circula, actualiza y suprime los datos personales de sus clientes, prospectos, proveedores, trabajadores, candidatos, visitantes del sitio web, usuarios del servicio de soporte y demás personas con las que se relaciona, así como el procedimiento para que los titulares ejerzan su derecho fundamental de hábeas data.

Este documento desarrolla la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013, hoy compilado en el Decreto Único Reglamentario 1074 de 2015, y aplica tanto cuando la Compañía actúa como responsable del tratamiento como, en lo pertinente, cuando actúa como encargado por cuenta de sus clientes.

1. Identificación del responsable

El responsable del tratamiento de los datos personales a los que se refiere esta Política es:

2. Objeto, alcance y marco normativo

Esta Política aplica a todas las bases de datos, físicas o digitales, que contengan datos personales y que sean objeto de tratamiento por parte de Pronetsys, y es de obligatorio cumplimiento para sus directivos, trabajadores, contratistas y para los terceros que traten datos personales por cuenta de la Compañía.

El tratamiento se rige, entre otras, por las siguientes normas:

• Constitución Política de Colombia, artículos 15 y 20 (derechos a la intimidad, al buen nombre, al hábeas data y a la información).
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013, compilado en el Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015.
• Decreto 886 de 2014, compilado en el Capítulo 26 del mismo título del Decreto 1074 de 2015 y modificado por el Decreto 090 de 2018, sobre el Registro Nacional de Bases de Datos.
• Circular Única de la Superintendencia de Industria y Comercio (SIC), Título V, y las demás instrucciones que imparta dicha entidad como autoridad de protección de datos personales.

3. Definiciones

Para la interpretación de esta Política se tendrán en cuenta las definiciones legales, de las cuales se destacan las siguientes:

Autorización

Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.

Aviso de privacidad

Comunicación verbal o escrita dirigida al titular mediante la cual se le informa sobre la existencia de esta Política, la forma de acceder a ella y las finalidades del tratamiento.

Base de datos

Conjunto organizado de datos personales que sea objeto de tratamiento.

Dato personal

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público

Dato que no es semiprivado, privado ni sensible, como los relativos al estado civil, la profesión u oficio o la calidad de comerciante, y los contenidos en registros públicos o sentencias judiciales ejecutoriadas no sometidas a reserva.

Dato sensible

Dato que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, como los que revelan el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales o de derechos humanos, los datos relativos a la salud y a la vida sexual, y los datos biométricos.

Encargado del tratamiento

Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.

Responsable del tratamiento

Persona natural o jurídica que decide sobre la base de datos y el tratamiento de los datos.

Titular

Persona natural cuyos datos personales son objeto de tratamiento.

Tratamiento

Cualquier operación sobre datos personales, como la recolección, almacenamiento, uso, circulación o supresión.

Transferencia

Envío de datos personales por parte del responsable o encargado ubicado en Colombia a un receptor que, a su vez, es responsable del tratamiento y se encuentra dentro o fuera del país.

Transmisión

Comunicación de datos personales dentro o fuera de Colombia cuyo objeto es que un encargado realice el tratamiento por cuenta del responsable.

Oficial de Protección de Datos Personales

Rol designado por la Compañía para velar por el cumplimiento de esta Política y atender las consultas y reclamos de los titulares.

4. Principios del tratamiento

Pronetsys aplica de manera armónica e integral los principios previstos en la Ley 1581 de 2012:

Adicionalmente, la Compañía adopta el principio de responsabilidad demostrada: documenta sus procesos, conserva evidencia de las autorizaciones y de las medidas de seguridad, y puede demostrar ante la SIC el cumplimiento de sus deberes.

5. Tratamientos y finalidades por grupo de titulares

La Compañía solo recolecta los datos personales pertinentes y adecuados para las finalidades que se describen a continuación. Pronetsys no vende, alquila ni comercializa datos personales.

5.1. Clientes

Datos que se tratan: nombre, documento de identidad, cargo, empresa, datos de contacto, información de facturación y pagos, historial de servicios, cotizaciones, contratos y comunicaciones. En el caso de clientes que son personas jurídicas, se tratan los datos de sus representantes y personas de contacto.

• Elaborar cotizaciones, celebrar y ejecutar contratos de servicios y de venta de hardware y software.
• Prestar los servicios contratados, incluidos soporte, hosting, dominios, backup, desarrollo, telefonía IP, redes y demás soluciones.
• Facturar, recaudar, gestionar cartera y cumplir obligaciones contables y tributarias.
• Gestionar garantías, peticiones, quejas y reclamos.
• Medir la satisfacción y mejorar la calidad del servicio.
• Enviar información sobre actualizaciones, mantenimientos, alertas de seguridad y cambios en los servicios contratados.
• Enviar información comercial sobre productos y servicios relacionados, cuando el titular lo haya autorizado; el titular puede oponerse en cualquier momento.

5.2. Prospectos y contactos comerciales

Datos que se tratan: los suministrados en el formulario de contacto del sitio web (nombre, correo electrónico, teléfono, empresa, servicio de interés y mensaje), los compartidos por WhatsApp, correo o teléfono, y los recogidos en eventos o reuniones comerciales.

• Atender la solicitud de información, asesoría o cotización.
• Contactar al titular por los canales que suministró para hacer seguimiento a su solicitud.
• Registrar la solicitud en la base de datos del sitio y notificarla al equipo comercial.
• Enviar información comercial sobre productos y servicios, cuando el titular lo haya autorizado.

5.3. Proveedores y contratistas

Datos que se tratan: nombre o razón social, documento de identidad o NIT, datos de contacto, información tributaria y bancaria, datos de representantes y personas de contacto, y documentos exigidos para la vinculación.

• Evaluar, seleccionar y vincular proveedores.
• Celebrar, ejecutar y supervisar contratos y órdenes de compra.
• Realizar pagos y cumplir obligaciones contables y tributarias.
• Verificar, cuando aplique, información en fuentes públicas y listas restrictivas para prevenir riesgos de fraude, corrupción, lavado de activos y financiación del terrorismo.
• Controlar el acceso de contratistas a los sistemas de la Compañía y a las instalaciones y sistemas de sus clientes.

5.4. Trabajadores y extrabajadores

Datos que se tratan: datos de identificación y contacto, hoja de vida, formación, experiencia, datos de afiliación a seguridad social y cajas de compensación, información salarial y bancaria, datos de beneficiarios y familiares, evaluaciones de desempeño y, cuando sea necesario, datos sensibles de salud relacionados con seguridad y salud en el trabajo.

• Celebrar, ejecutar y terminar el contrato de trabajo.
• Liquidar y pagar salarios, prestaciones y aportes, y afiliar al trabajador y a sus beneficiarios al sistema de seguridad social y a la caja de compensación familiar.
• Cumplir las obligaciones del Sistema de Gestión de Seguridad y Salud en el Trabajo.
• Gestionar capacitación, bienestar, evaluación y desarrollo.
• Administrar cuentas de usuario, accesos y herramientas de trabajo, y aplicar controles de seguridad de la información.
• Expedir certificaciones laborales y atender requerimientos de autoridades.

5.5. Candidatos en procesos de selección

Datos que se tratan: hoja de vida, datos de contacto, formación, experiencia, referencias, resultados de pruebas y entrevistas, y el concepto de aptitud del examen médico de ingreso cuando el candidato es seleccionado.

• Evaluar el perfil del candidato y gestionar el proceso de selección.
• Verificar referencias y la información suministrada.
• Conservar la hoja de vida para futuros procesos, únicamente cuando el candidato lo autorice.

5.6. Visitantes del sitio web

Datos que se tratan: información técnica de navegación (dirección IP, tipo de navegador y dispositivo, páginas visitadas, fecha y hora), registros de seguridad del servidor y, únicamente si el visitante lo acepta, datos de analítica obtenidos mediante cookies de Google Analytics 4 y Microsoft Clarity.

• Garantizar el funcionamiento, la seguridad y la disponibilidad del sitio web, y prevenir usos abusivos.
• Recordar las preferencias de cookies del visitante.
• Con el consentimiento del visitante, elaborar estadísticas de uso, mapas de calor y grabaciones de sesión anonimizadas para mejorar el contenido y la experiencia del sitio.

El detalle de las cookies utilizadas se encuentra en la Política de Cookies. El sitio no ofrece registro de usuarios ni comercio electrónico.

5.7. Usuarios del servicio de soporte técnico

Datos que se tratan: nombre, correo, teléfono, empresa, cargo, descripción de los incidentes y solicitudes, archivos adjuntos, información de los equipos atendidos y registros de las sesiones de soporte remoto o en sitio.

• Registrar, atender, escalar y cerrar solicitudes e incidentes en el portal de soporte https://soporte.pronetsys.com.co.
• Verificar la identidad de quien solicita el soporte y su autorización para hacerlo en nombre del cliente.
• Medir los niveles de servicio, mantener la trazabilidad de las atenciones y mejorar la calidad del soporte.

5.8. Denunciantes y personas relacionadas con la Línea Ética

Datos que se tratan: categoría y descripción de los hechos, fecha aproximada, identificación de las personas involucradas y, solo si el denunciante decide suministrarlos, su nombre, correo, teléfono y relación con la Compañía. La Línea Ética admite reportes anónimos y entrega un código de caso para hacer seguimiento.

• Recibir, analizar, investigar y resolver los reportes sobre presuntas conductas contrarias a la ley o al Código de Ética y Conducta.
• Comunicarse con el denunciante, cuando haya suministrado datos de contacto, y permitir el seguimiento del caso mediante el código asignado.
• Adoptar medidas de protección contra represalias y medidas correctivas.
• Atender requerimientos de autoridades competentes, cuando proceda.

La información de la Línea Ética es confidencial y solo puede ser consultada por las personas designadas para gestionar los casos. La Compañía no intenta identificar a quienes denuncian de forma anónima y no asocia los registros técnicos de navegación con el contenido de los reportes.

5.9. Finalidades comunes

Respecto de todos los grupos anteriores, los datos también podrán tratarse para cumplir obligaciones legales y requerimientos de autoridades; atender auditorías internas y externas; ejercer o defender los derechos de la Compañía en procesos judiciales o administrativos; y mantener la seguridad de la información y de los sistemas.

5.10. Tiempo de conservación

Los datos personales se conservan solo durante el tiempo razonable y necesario para cumplir las finalidades del tratamiento. Cumplidas estas, se suprimen, salvo que exista un deber legal o contractual de conservarlos.

6. Tratamiento de datos sensibles

La Compañía solo trata datos sensibles cuando es estrictamente necesario y en los casos permitidos por la ley, por ejemplo, datos de salud de los trabajadores para cumplir obligaciones de seguridad y salud en el trabajo y de seguridad social, o información sensible que un denunciante incluya en un reporte de la Línea Ética.

Cuando se soliciten datos sensibles, la Compañía:

• Informará al titular que no está obligado a autorizar su tratamiento y que sus respuestas a preguntas sobre datos sensibles son facultativas.
• Indicará de manera explícita cuáles de los datos son sensibles y la finalidad de su tratamiento.
• Obtendrá la autorización explícita del titular, salvo en los casos en que la ley no la exige.
• No condicionará ninguna actividad a que el titular suministre datos sensibles.
• Aplicará medidas reforzadas de seguridad y de restricción de acceso.

Los datos sensibles que la Compañía trata como encargado por cuenta de sus clientes, incluidos los del sector salud, se rigen por lo dispuesto en la sección 8.

7. Datos de niños, niñas y adolescentes

Los servicios y el sitio web de Pronetsys están dirigidos a empresas y personas mayores de edad. La Compañía no recolecta intencionalmente datos de niños, niñas ni adolescentes a través del sitio web; si identifica que los ha recibido sin la autorización correspondiente, procederá a suprimirlos.

Excepcionalmente, la Compañía trata datos de menores de edad cuando son beneficiarios de sus trabajadores, con el fin de afiliarlos a la seguridad social y a la caja de compensación familiar. En estos casos el tratamiento responde y respeta el interés superior de los menores, asegura el respeto de sus derechos fundamentales y cuenta con la autorización de su representante legal.

8. La Compañía como encargado del tratamiento

En la prestación de servicios de hosting, backup en la nube, soporte técnico, chatbots con inteligencia artificial, desarrollo de software, analítica y asesoría en sistemas ERP y CRM, la Compañía puede tener acceso a bases de datos de sus clientes. En estos casos el cliente es el responsable del tratamiento y Pronetsys actúa como encargado, por lo que:

• Trata los datos únicamente para prestar el servicio contratado y conforme a las instrucciones documentadas del cliente; no los usa para finalidades propias.
• Formaliza la relación mediante un contrato o cláusulas de transmisión que definen el alcance del tratamiento, las actividades a cargo de la Compañía y sus obligaciones, en los términos del Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015.
• Limita el acceso a las personas que lo requieren para prestar el servicio, quienes están sujetas a deberes de confidencialidad.
• Aplica las medidas de seguridad acordadas con el cliente y las descritas en esta Política.
• Solo vincula subencargados, como proveedores de infraestructura en la nube, de mensajería o de servicios de inteligencia artificial necesarios para el servicio, cuando el cliente lo conoce y los subencargados ofrecen garantías equivalentes.
• Al terminar el contrato, devuelve o suprime los datos según las instrucciones del cliente, salvo que exista un deber legal de conservarlos.

8.1. Datos del sector salud

Entre los clientes de la Compañía se encuentran instituciones prestadoras de servicios de salud (IPS), cuyas bases de datos pueden contener datos sensibles relativos a la salud de pacientes. Respecto de esta información, Pronetsys:

• No consulta el contenido de historias clínicas ni de otros datos de salud, salvo cuando sea estrictamente indispensable para la prestación del servicio y con la autorización del cliente.
• Respeta la reserva que las normas especiales del sector salud imponen sobre la historia clínica, entre ellas la Ley 2015 de 2020 sobre historia clínica electrónica interoperable.
• En los chatbots que implementa, recomienda al cliente diseñar flujos que no soliciten datos sensibles innecesarios y que informen al usuario sobre el tratamiento.

8.2. Solicitudes e incidentes sobre datos de clientes

Si un titular dirige a la Compañía una consulta o reclamo sobre datos que trata por cuenta de un cliente, Pronetsys la trasladará al cliente responsable en un término máximo de dos (2) días hábiles e informará de ello al titular, y prestará al cliente el apoyo necesario para responderla.

Si se presenta un incidente de seguridad que afecte datos de un cliente, la Compañía lo informará al cliente sin dilación indebida, con la información disponible para que este pueda cumplir su deber de reporte ante la SIC, y efectuará los reportes que le correspondan como encargado.

9. Derechos de los titulares

De acuerdo con la Ley 1581 de 2012, los titulares de los datos personales tienen derecho a:

1. Conocer, actualizar y rectificar sus datos personales, incluso frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
2. Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
3. Ser informados, previa solicitud, sobre el uso que se ha dado a sus datos.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante la Compañía.
5. Revocar la autorización y solicitar la supresión de sus datos cuando no se respeten los principios, derechos y garantías legales. La revocatoria y la supresión no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos.
6. Acceder en forma gratuita a sus datos personales, al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta Política.

Pueden ejercer estos derechos el titular, acreditando su identidad; sus causahabientes, acreditando tal calidad; su representante o apoderado, acreditando la representación; y quien actúe por estipulación a favor de otro. Los derechos de los niños, niñas y adolescentes se ejercen por intermedio de sus representantes legales.

10. Autorización del titular

La Compañía solicita la autorización del titular a más tardar al momento de recolectar sus datos, informándole las finalidades del tratamiento, sus derechos, el carácter facultativo de las respuestas sobre datos sensibles o de menores de edad, y los canales para contactar a la Compañía.

10.1. Formas de otorgar la autorización

La autorización puede otorgarse por cualquier medio que permita su consulta posterior:

• Por escrito, en formatos físicos o electrónicos, contratos u otros documentos.
• De forma oral, en llamadas o reuniones que se registren con el conocimiento del titular.
• Mediante conductas inequívocas que permitan concluir de forma razonable que el titular otorgó la autorización, como marcar la casilla de aceptación en un formulario web. En ningún caso el silencio se entiende como autorización.

10.2. Prueba de la autorización

La Compañía conserva prueba de las autorizaciones obtenidas, por ejemplo, el registro de fecha y hora del envío de formularios con la casilla de aceptación marcada, los documentos firmados o las grabaciones correspondientes.

10.3. Casos en que no se requiere autorización

No se requiere autorización cuando se trate de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; tratamientos autorizados por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el Registro Civil de las Personas.

10.4. Revocatoria

El titular puede revocar la autorización en cualquier momento, total o parcialmente, mediante un reclamo presentado por los canales indicados en la sección 11. Por ejemplo, puede oponerse al envío de información comercial sin que ello afecte la prestación de los servicios contratados.

11. Área responsable y canales de atención

El rol de Oficial de Protección de Datos Personales es el responsable de atender las consultas, reclamos y solicitudes de los titulares, y de velar por la implementación de esta Política. Este rol es designado por la representación legal de la Compañía y cuenta con los recursos necesarios para cumplir sus funciones.

Las solicitudes relacionadas con datos que la Compañía trata como encargado se gestionan según lo previsto en la sección 8.2.

12. Procedimiento para consultas

Los titulares o sus legitimados pueden consultar la información personal que repose en las bases de datos de la Compañía. El procedimiento es el siguiente:

1. Presentación. La consulta se envía por cualquiera de los canales de la sección 11, indicando el nombre completo del titular, su documento de identidad, la información que desea consultar y el medio por el cual desea recibir la respuesta.
2. Verificación de identidad. La Compañía verifica la identidad del solicitante o la calidad en la que actúa y, si es necesario, solicita los soportes correspondientes.
3. Respuesta. La consulta se atiende en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo.
4. Prórroga. Si no es posible atenderla dentro de dicho término, la Compañía informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

13. Procedimiento para reclamos

El titular o sus legitimados que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o que adviertan un presunto incumplimiento de los deberes legales, pueden presentar un reclamo, que se tramita así:

1. Presentación. El reclamo se dirige al Oficial de Protección de Datos Personales por los canales de la sección 11 e incluye la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección o medio de respuesta y los documentos que se quieran hacer valer.
2. Subsanación. Si el reclamo está incompleto, se requiere al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Si transcurren dos (2) meses desde el requerimiento sin que presente la información solicitada, se entiende que ha desistido del reclamo.
3. Traslado. Si la Compañía no es competente para resolverlo, lo trasladará a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
4. Leyenda «reclamo en trámite». Una vez recibido el reclamo completo, se incluye en la base de datos la leyenda «reclamo en trámite» y su motivo, en un término no mayor a dos (2) días hábiles, la cual se mantiene hasta que el reclamo sea decidido.
5. Respuesta. El reclamo se atiende en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
6. Prórroga. Si no es posible atenderlo dentro de dicho término, la Compañía informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

14. Transferencias y transmisiones de datos

Para operar sus servicios y su sitio web, la Compañía se apoya en proveedores tecnológicos que pueden tratar datos personales por su cuenta, dentro o fuera de Colombia. Los principales son:

Las transmisiones a encargados se formalizan mediante contratos o términos que obligan al proveedor a tratar los datos conforme a las instrucciones de la Compañía, a salvaguardar su seguridad y a guardar confidencialidad. Las transferencias internacionales se realizan hacia países que la SIC reconoce con un nivel adecuado de protección, entre ellos los Estados Unidos de América, o en los demás casos previstos en el artículo 26 de la Ley 1581 de 2012, como la autorización expresa e inequívoca del titular.

Cuando un titular contacta a la Compañía por WhatsApp, la plataforma de mensajería trata la información conforme a sus propios términos y políticas de privacidad.

La Compañía también podrá entregar datos personales a autoridades públicas que los requieran en ejercicio de sus funciones legales o por orden judicial.

15. Medidas de seguridad

En desarrollo del principio de seguridad y de la Política de Seguridad de la Información, la Compañía aplica, entre otras, las siguientes medidas:

• Control de acceso basado en el principio de mínimo privilegio, con cuentas individuales y autenticación reforzada cuando la herramienta lo permite.
• Cifrado de las comunicaciones del sitio web y de los formularios mediante HTTPS.
• Copias de seguridad periódicas y procedimientos de recuperación.
• Registro y monitoreo de eventos de seguridad en los sistemas.
• Acceso al portal administrativo del sitio restringido al personal autorizado.
• Acuerdos de confidencialidad con trabajadores y contratistas, y capacitación en protección de datos.
• Evaluación de las garantías de seguridad de los proveedores que tratan datos por cuenta de la Compañía.
• Procedimiento de gestión de incidentes de seguridad, que incluye el reporte a la SIC y la comunicación a los titulares afectados cuando corresponda.

Ninguna medida de seguridad es infalible; por ello, la Compañía revisa periódicamente sus controles y recibe reportes de vulnerabilidades conforme a su Política de Divulgación Responsable de Vulnerabilidades.

16. Registro Nacional de Bases de Datos

La Compañía inscribirá sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) administrado por la SIC cuando se encuentre legalmente obligada a hacerlo, de acuerdo con los criterios vigentes previstos en el Decreto 1074 de 2015, modificado por el Decreto 090 de 2018, y en las instrucciones de la SIC. En ese caso, mantendrá actualizada la información registrada en los plazos que establezca la autoridad.

17. Vigencia y actualizaciones

Esta Política rige a partir de la fecha de publicación indicada en este documento y reemplaza la Política de Privacidad publicada anteriormente en el sitio web. Las bases de datos permanecerán vigentes mientras se cumplan las finalidades descritas y durante los plazos de conservación señalados en la sección 5.10.

La Compañía podrá modificar esta Política para adaptarla a cambios normativos u operativos. Los cambios sustanciales, en particular los referidos a la identificación del responsable o a las finalidades del tratamiento, se comunicarán a los titulares antes de su implementación o, a más tardar, al momento de implementarlos, a través del sitio web o de los canales de contacto disponibles. Si cambia la finalidad del tratamiento, se solicitará una nueva autorización.

18. Aviso de privacidad