Política dedatos personales

Objetivo

Asegurar la protección y el tratamiento adecuado de los datos personales que que reposan en las bases de datos que administra ATH y que son recopilados ya sea de manera directa por parte de ATH o por las entidades de Grupo Aval. Lo anterior dentro del marco que señala la Ley 1581 de 2012 reglamentada parcialmente por el Decreto 1377 de 2013 y por el Decreto 886 de 2014 en lo referente al registro nacional de bases de datos.

Así mismo, esta política establece los mecanismos que le permiten a los titulares de estos datos, ejercer su derecho constitucional de conocer, actualizar y rectificar los datos que se hayan recogido sobre ellos mismos en virtud de las actividades propias de ATH.

Alcance

Esta política aplica para los datos personales que son administradas por ATH y a todas las personas (colaboradores y proveedores) que intervienen en el tratamiento de estas bases de datos.

Cubre desde la autorización que dan los titulares de esta información, la recopilación de los respectivos datos, su conservación, consulta, transmisión, actualización, corrección y eliminación.

Glosario

• Dato Personal:

El literal C del artículo 3 de la Ley 1581 de 2012, considera dato personal a cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. Incluye conceptos como el nombre, estado civil, estudios realizados, número de documento de identidad, afiliación a organizaciones de diversa índole, entre otros conceptos que pueden ser incluidos como información de una persona natural.

• Dato Privado:

Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular de la información y para su tratamiento requiere de su autorización expresa. (Ej. Nivel de escolaridad).

• Dato Semiprivado:

Es el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas. Para su tratamiento se requiere la autorización expresa del titular de la información. (Ej. Dato financiero y crediticio).

• Dato sensible:

Menciona el artículo 5º de la Ley 1581 de 2012 lo siguiente: “Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos.” siendo esta una enumeración enunciativa ya que existen otros datos personales, en el caso particular, del trabajador o proveedor, que pueden ocasionar su discriminación.

• Dato Público:

Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. (Ej. Dirección, teléfono, datos contenidos en sentencias judiciales ejecutoriadas, datos sobre el estado civil de las personas, entre otros).

• Tratamiento de Datos:

Se entiende como el uso que se haga de los datos en el curso de las actividades legítimas y con las debidas garantías de su privacidad, la actualización, corrección y conservación, así como la transferencia que se haga de la misma para efectos de validación de referencias, consulta a centrales de riesgos, consulta de antecedentes y demás necesarias para la vinculación ya sea de Colaboradores como de proveedores.

• Titular de datos personales:

Persona natural cuyos datos personales sean objeto de Tratamiento.

• Autorización:

Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.

• Base de Datos:

Conjunto organizado de datos personales que sea objeto de Tratamiento.

• Responsable del Tratamiento:

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.

• Encargado del Tratamiento:

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del Responsable del Tratamiento.

• Transmisión:

Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

• Aviso de privacidad:

Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de la política de tratamiento de información que le serán aplicables, la forma de acceder a la misma y las finalidades del tratamiento que se pretende dar a los datos personales.

• Causahabiente:

Es aquella persona natural o jurídica que ha sucedido o sustituido a otra. Entiéndase también al representante legal del titular.

• Circuito Cerrado de Vídeo Vigilancia:

Es un sistema de tecnología de vigilancia visual que implica la instalación de cámaras de grabación, fijas o móviles, en lugares estratégicos para que capten imágenes y las envíen a uno o varios monitores en otro punto de la instalación. Las imágenes recibidas pueden ser almacenadas en un equipo videograbador para su análisis posterior.

• SIC:

Abreviatura que hace referencia a la Superintendencia de Industria y Comercio de Colombia.

Directrices Generales

- ATH sólo recopilará y dará tratamiento a los datos personales previa autorización por parte de sus respectivos titulares. Es de señalar que ATH únicamente recopila datos personales que son requeridos para el cumplimiento de su objeto social, tales como: nombres, apellidos domicilio, teléfono, correo electrónico, firma, fecha de nacimiento, edad, nacionalidad, estado civil, datos biométricos, información laboral, referencias personales y bancarias, entre otros.

- Todo Colaborador de ATH se compromete a guardar confidencialidad en referencia a los datos personales que llegue a conocer por naturaleza de las labores que desempeña y que en cualquier momento tenga a su disposición.

- El uso de los datos personales de los participantes en el proceso de selección de personal como de los que se vinculen laboralmente a ATH, serán los necesarios para:

• Validar las referencias.

• Validar experiencia y estudios.

• Consultar centrales de riesgo.

• Consultar antecedentes judiciales.

• Dar información a los Entes de Seguridad Social.

• Dar información a los Entes Administradores de Aportes Parafiscales.

• Controlar el acceso a las instalaciones mediante datos biométricos.

• Demás consultas y o vinculaciones de Ley.

- El uso de los datos personales de los proveedores personas naturales será el necesario para:

• Validar las referencias.
• Validar experiencia.
• Consultar centrales de riesgo.
• Consultar listas inhibitorias.

- Los datos personales de visitantes se recopilarán para:

• Registro de ingreso y salida de las instalaciones, por seguridad y en caso de presentarse alguna novedad o emergencia.
• Para el registro de equipos.

- Los datos personales registrados a través del portal de fidelización “Tuplus.com.co”, mediante a opción “Contáctanos”, son almacenados y usados para dar respuesta a las consultas y reclamos registrados por clientes y usuarios del programa de fidelización Tuplús.

- Los datos personales de los usuarios que se registran en el portal de pagos AvalPay Center (http://avalpaycenter.com), son recopilados para:

• Enviar información de los productos y servicios ofrecidos por los Bancos Aval a través de los medios electrónicos establecidos tales como: correos electrónicos, mensajes de texto cortos (SMS), mensajes multimedia (MMS) y demás formatos que en el futuro existan para envío de mensajes.
   

• Suministrar a contratistas o terceras personas nacionales o extranjeras, quienes desarrollen procesos operativos propios del objeto o de administración de riesgos bajo la responsabilidad de los Bancos Aval.
   

• Acceder, comparar y analizar datos personales almacenados en bases de datos de centrales de riesgo crediticio, financiero, de antecedentes judiciales o de seguridad legítimamente constituidas.

- Cuando haya necesidad de transferir datos personales a países diferentes de Colombia, el encargado del tratamiento de los datos al interior de ATH deberá comunicar al Oficial de Protección de Datos y al Jefe Jurídico, para que en conjunto se consulte y verifique si el país de destino cuenta con un nivel adecuado de protección de datos personales. En caso de que el país de destino no cuente con dicho requisito, se deberá tramitar ante la SIC una declaración de conformidad para realizar la respectiva transmisión de los datos personales.

Ver Capítulo Tercero del Título V de la Circular Única de la SIC.

- ATH dispone de un sistema biométrico para el control de acceso a sus instalaciones, por tanto, durante el proceso de contratación cada colaborador es informado al respecto y se le realiza la captura de sus datos biométricos, los cuales son utilizados exclusivamente para el fin anteriormente citado.

- En ATH se tiene instalado un circuito cerrado de vídeo vigilancia, a través del cual se monitorean las instalaciones físicas con el propósito de preservar los bienes y el bienestar de las personas que allí se encuentran. También como mecanismo para revisar y reconstruir hechos que alteren la seguridad dentro de las instalaciones, tales como hurtos, altercados y/o emergencias.

- La autorización por parte del titular, para la grabación y tratamiento de sus imágenes, se obtiene a través de “conductas inequívocas” toda vez que al ingreso de las instalaciones de ATH se ubican avisos claramente visibles informando al titular de datos personales, que a partir de su ingreso estará siendo monitoreado a través de un sistema de vídeo vigilancia.

- El acceso y tratamiento de las imágenes está restringido y a cargo del Jefe de Compras y Procesos Administrativos. En su defecto lo suple el Director Administrativo y Financiero.

- El acceso a las imágenes por parte de terceros sólo se da a su titular o representante legal o, por solicitud de una autoridad en ejercicio de sus funciones.

- Reconociendo el derecho a la intimidad, en ningún caso se instalarán sistemas de vídeo vigilancia en los baños.

- Cuando menores de edad van a ingresar a las instalaciones de ATH, deben hacerlo en compañía de sus padres o representantes legales quienes, mediante conducta inequívoca, al ingresar en las instalaciones sabiendo que se les va a grabar, están dando su autorización.

Principios para el Tratamiento de Datos Personales

- Según el artículo 4° de la Ley 1581 de 2012 se deben aplicar de manera armónica e integral los siguientes principios al tratamiento de los datos personales:

• Principio de legalidad: El tratamiento de datos debe sujetarse a lo establecido en la Ley y demás disposiciones que se desarrollen.


• Principio de finalidad: El Tratamiento de datos debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley y por tanto debe ser informado al Titular de los datos.


• Principio de libertad: El Tratamiento de datos sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.


• Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.


• Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable o el Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de los datos.


• Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones legales y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la Ley.


• Principio de seguridad: La información sujeta a Tratamiento se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.


• Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento.

Oficial de Protección de Datos Personales en ATH

- El artículo 23 del Decreto 1377 de 2013 hace claridad sobre la necesidad de designar un rol que asuma la administración de todo lo concerniente con la protección de datos personales. Adicionalmente en su artículo 27 señala que debe existir una estructura administrativa para la adopción e implementación de las políticas y procesos de protección de datos.

- Dado lo anterior la SIC emitió la cartilla “Guía para la implementación del Principio de Responsabilidad Demostrada”, en esta se estipula el rol de Oficial de Protección de Datos. En ATH este rol es asumido por la Dirección de Calidad y Métodos. Sus responsabilidades son:

• Promover la elaboración e implementación de un sistema que permita administrar los riesgos del tratamiento de datos personales.


• Promover la definición e implementación de los controles del Programa Integral de Gestión de Datos Personales.


• Servir de enlace y coordinador con las demás áreas de la organización para asegurar una implementación transversal de la Gestión de Datos Personales.


• Impulsar una cultura de protección de datos dentro de la organización.


• Mantener un inventario de las bases de datos personales en poder de la organización y clasificarlas según su tipo.


• Velar por el registro y actualización de las bases de datos de la organización en el Registro Nacional de Bases de Datos atendiendo las instrucciones que sobre el particular emita la SIC.


• Gestionar para que se realice análisis de las responsabilidades de cada cargo de la organización, para diseñar un programa de entrenamiento en protección de datos personales específico para cada uno de ellos.


• Velar porque los colaboradores de la compañía sean entrenados en protección de datos personales, incluyendo a aquellos que por la naturaleza de su cargo tengan acceso a datos personales gestionados por la organización.


• Acompañar y asistir a la organización en la atención de las visitas y los requerimientos que realice la SIC.


• Velar porque haya seguimiento al Programa Integral de Gestión de Datos Personales.

Aviso de Privacidad, Autorización y Recopilación

- ATH sólo recopilará y dará tratamiento a los datos personales que estrictamente requiera para los fines necesarios en el giro de su negocio y de apoyo al mismo tales como los de las personas que participen en el proceso de selección de personal y aquellas que se vinculen laboralmente, así como de las personas naturales o jurídicas que se inscriban para ser proveedores de bienes y/o servicios y de las personas que ingresen a las instalaciones en calidad de visitante.

- Los procesos de selección de personal y de compras, incluyen la actividad de informar a las personas que van a participar, sobre la recopilación de datos personales que de ellos se va a requerir, se les explicará el tratamiento que ATH dará a dichos datos, el derecho que como titulares tienen para conocer, actualizar y rectificar tales datos.

- La autorización para el tratamiento de datos personales es obtenida por ATH mediante los procesos de vinculación respectivos, así:

• Personas en proceso de Selección: Toda persona que participe en un proceso de selección de ATH debe aceptar la autorización de tratamiento de datos personales mediante el portal externo de reclutamiento, el cual está soportado en la herramienta SAP Success Factors. Ningún candidato podrá avanzar con su proceso de selección, sin antes haber realizado el registró en dicho portal, y, por tanto, haber otorgado la autorización de tratamiento de datos a ATH.
   

• Colaboradores activos: Los colaboradores de ATH autorizan el tratamiento de sus datos personales por medio de la firma de su contrato de trabajo, el cual cuenta con un párrafo expreso para dicha autorización.
   

• Proveedores: Durante los procesos tanto de inscripción como de actualización de los proveedores contratados por ATH, estos autorizan a ATH el tratamiento de sus datos mediante el diligenciamiento del formato “Solicitud datos generales, vinculación y actualización de proveedores (COM.FO.04)” el cual es obligatorio para su vinculación.
   

• Portal de pagos “avalpaycenter.com”: mediante la aceptación de los términos y condiciones que expone el portal Aval Pay Center a los usuarios que desean inscribirse o realizar un pago a través de este canal.
   

• Programa de Fidelización Aval: Mediante la aceptación de los términos y condiciones del programa de lealtad TuPlús que los clientes de las entidades Aval aceptan al momento de registrarse en el portal TuPlús.
   

• Adicionalmente, cuando el cliente o usuario accede a la opción “Contáctenos” del portal de fidelización Tuplús, autoriza a ATH para dar tratamiento a sus datos personales con la finalidad de dar respuesta a su petición, queja o reclamo.

   

Custodia y Tratamiento

• Los Datos Personales serán recopilados en formatos físicos o electrónicos y registrados en bases de datos electrónicas específicas tanto para colaboradores, proveedores y usuarios de los portales AvaPay Center y Tuplús.
   

• Las bases de datos electrónicas hacen parte de los sistemas de información respectivos y su acceso está restringido mediante Usuario y Clave, que son de uso personal e intransferible.
   

• Los formatos físicos son archivados y conservados en áreas específicas y por personal exclusivamente designado.

- Los Datos Personales, deben ser conocidos y tratados exclusivamente por el personal que ejecuta labores propias como son:

• Administración del Talento Humano: Colaboradores quienes llevan a cabo el proceso de selección de candidatos, el jefe inmediato del cargo vacante, los Analistas y los Auxiliares de Nómina y demás colaboradores relacionados con los procesos de Gestión Humana.




• Gestión de Proveedores: El Jefe de Compras y Servicios Administrativos, los Analistas y Auxiliares de área de Compras, los integrantes del Comité de Compras y demás Colaboradores que participen en el proceso de evaluación de propuestas y selección de proveedores. Adicionalmente, el personal de la Dirección de Gestión Humana y la Dirección de Ciberseguridad y Riesgos, quienes realizan actividades de validación de conflicto de intereses y de Riesgo-Proveedor, respectivamente.



• Para la administración de las imágenes almacenadas en el circuito cerrado de vídeo vigilancia: El Jefe de Compras y Procesos Administrativos y los vigilantes pertenecientes al proveedor de seguridad contratado por ATH.
   

• El almacenamiento de los datos personales de usuarios registrados en los portales TuPlús y AvalPay Center se realiza de manera automática.
   

• La custodia y uso de los datos personales registrados mediante la opción “Contáctenos” del portal Tuplús está a cargo del Centro de Servicios de ATH.

Registro de Bases de Datos ante la Superintendencia de Industria y Comercio

En cumplimiento a lo indicado en el artículo 25 de la ley 1581, relacionado con el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio (SIC), ATH mantienen un inventario de las bases de datos que contienen datos personales y que están bajo su administración y, las registra en la plataforma de la SIC teniendo en cuenta las siguientes directrices:

- Dentro de los primeros diez (10) días hábiles de cada mes, se reportan cambios sustanciales en la información registrada en el RNBD.

Nota: Para este efecto y según lo definido por la SIC, se entienden como cambios sustanciales los siguientes:

• El encargado del tratamiento.

• Los canales de atención al titular.

• La clasificación o tipos de datos personales almacenados en cada base de datos.

• Las medidas de seguridad de la información implementadas.

• La política de tratamiento de la Información.

• La transferencia y transmisión internacional de datos personales.

- Anualmente, entre el 2 de enero y el 31 de marzo, para reportar cambios no sustanciales en la información registrada en el RNBD.

Nota: Según lo definido por la SIC todos aquellos cambios relativos a información consignada en el RNBD diferente a la descrita en el punto anterior, corresponderá a cambios no sustanciales.

- Cuando se genere una nueva base de datos por parte del responsable del tratamiento, la misma deberá registrarse dentro de los dos meses siguientes a su creación.

- A más tardar dentro de los primeros 15 días hábiles de febrero y agosto de cada año se debe efectuar el reporte de reclamos presentados por titulares de datos personales en el semestre anterior.

Renovación de la Autorización de Tratamiento de Datos por Cambios Significativos

- De acuerdo con lo establecido en el Artículo 5 del Decreto 1377 de 2013 la compañía informará a los titulares de los datos personales cuando se presente alguna de las siguientes situaciones:

• Cambios sustanciales en las políticas de la compañía referentes a protección de datos.



• Cambios en la finalidad del tratamiento de los datos personales recopilados.

En cualquiera de los anteriores casos el responsable de la respectiva base de datos debe informar al Oficial de Protección de Datos Personales y en forma conjunta validar la necesidad de realizar las siguientes gestiones:

• Actualizar Políticas, Procedimientos y/o Guías referentes a la protección y tratamiento de datos personales.


• Actualizar formatos tales como la Autorización de tratamiento de datos con la nueva información según el cambio realizado.


• Comunicar a los titulares de los datos personales por medios físicos o electrónicos sobre el cambio, con anterioridad a su implementación.

Administración del Circuito Cerrado de Vídeo Vigilancia

- ATH dispone de cámaras de vídeo vigilancia en las instalaciones que ocupa en la ciudad de Bogotá. Las cámaras graban de manera continua los siete días de la semana. El ciclo de grabación es de aproximadamente 90 días, tiempo después del cual el sistema de grabación regraba.

- La administración de los equipos de grabación está bajo la responsabilidad del Jefe de Compras y Procesos Administrativos, quien de acuerdo con los siguientes criterios coordina la ubicación de las cámaras:

• El Impacto del área en el negocio.
• La confidencialidad de la información que se maneja en el área.
• Existencia de cajas fuertes.
• Aseguramiento de equipos, muebles y enseres.
• Cualquier otra directriz que emane de la alta dirección de la Compañía, sobre el sistema de vídeo vigilancia.

- La instalación de las cámaras y su mantenimiento técnico está a cargo del proveedor contratado, atendiendo las recomendaciones del fabricante.

- El Jefe de Compras y Procesos Administrativos es la única persona autorizada en ATH para la observación y custodia de las grabaciones, quien deberá mantener la debida reserva y confidencialidad sobre las imágenes respectivas. Cuando se identifican imágenes que violan la seguridad y/o el bienestar de las personas, está facultado para mostrarlas a las Directivas de la Organización y a las autoridades competentes.

- El guarda de seguridad de la respectiva oficina tiene acceso a las filmaciones en vivo, como apoyo a las actividades de vigilancia y protección de las personas, bienes e instalaciones. Por tal motivo, el Jefe de Compras y Procesos Administrativos informará al personal de vigilancia con acceso a las imágenes y datos personales, sobre sus obligaciones de confidencialidad, dejando como constancia su firma en el “Acuerdo de Confidencialidad”.

Disposición final de las grabaciones

- Cumplido el tiempo de almacenamiento de las imágenes, estas serán borradas.

- Se conservarán aquellas grabaciones en donde se detecten actividades que atenten contra la seguridad de los bienes y/o el bienestar de las personas.

Derechos de los Titulares

El titular de los datos personales o a quien este delegue, puede ejercer sus derechos sobre la recolección y tratamiento de sus datos personales. Sus derechos son:

• Dar su consentimiento o aprobación para la recolección y tratamiento de sus datos personales.
• Acceder de forma gratuita a sus datos personales conservados por ATH.
• Solicitar la actualización, corrección o eliminación de sus datos personales conservados por ATH.
• Revocar la autorización de conservación y/o de tratamiento de sus datos personales.
• Presentar quejas por infracciones al Régimen General de Protección de Datos Personales.
• Derecho a la intimidad y a la vida privada en las instalaciones de ATH.

Atención a Titulares

Consultas, actualizaciones y correcciones en Bases de Datos:

- Los titulares de datos o sus causahabientes presentarán sus solicitudes por escrito anexando copia del documento de identidad. Cuando sea a través de causahabiente debe anexar documento de identidad del titular, del causahabiente y el documento que lo acredita como tal

- Para los datos personales que se recopilan y tratan en el proceso de Gestión del Talento Humano, actuará como responsable por el debido tratamiento quien desempeñe el cargo de Director Gestión Humana, quien atenderá a los titulares en cuanto a la actualización y corrección de sus datos, a través de los siguientes canales:

• Correo electrónico: adminpersonal@ath.com.co
• Oficina sede carrera 11 # 87 A – 51 Piso 8vo. Bogotá D.C.
• Los colaboradores de la compañía tienen acceso al aplicativo “SAP Success Factors” mediante el cual pueden realizar la consulta de sus datos personales.

- Para los datos personales que se recopilen y traten de las personales naturales o jurídicas que actúen como proveedores de ATH, así como de la administración de las imágenes que se graban a través del sistema de videovigilancia, es responsable por el debido tratamiento quien se desempeñe como Jefe de Compras y Procesos Administrativos, quien atenderá a los titulares en cuanto a conocer el estado de sus datos, su actualización y corrección a través de los siguientes canales:

• Correo electrónico: comprasyadquisiciones@ath.com.co
• Oficina sede carrera 11 # 87 A – 51 Piso 8vo. Bogotá D.C.

-Para los datos personales registrados mediante la opción “Contáctanos” del portal de fidelización Tuplús, se ha habilitado el correo electrónico habeasdata@nexabpo.com para consultas, actualizaciones y/o correcciones.

-Para los usuarios que realizan pagos mediante el portal AvalPay Center, el canal dispuesto para solicitud de consultas, actualizaciones y/o correcciones es el correo electrónico: AvalPayCenter@en-contacto.co

- Una vez recibida la solicitud, se cuenta con 10 días hábiles para emitir respuesta al titular.

- Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Consultas, actualizaciones y correcciones para el Sistema de Vídeo Vigilancia:

Cuando el titular de las imágenes requiera ver o eliminar sus imágenes, debe realizar la solicitud de la siguiente manera según corresponda:

- Colaborador de ATH

Informa a su Director o Gerente la situación que demanda acudir a las grabaciones del sistema de video vigilancia.

El Director o Gerente valida si es o no procedente la solicitud. Cuando así lo considera, mediante correo electrónico dirigido al Jefe de Compras y Procesos Administrativos, solicita el acceso a las grabaciones, indicando la ubicación de la cámara, la fecha y hora requerida y adjunta copia de la cédula de ciudadanía del Colaborador solicitante.

El tiempo para la atención de solicitudes de los Colaboradores para la validación de las imágenes es de dos días hábiles.

- Visitante o Persona Externa

Presenta la solicitud al Jefe de Compras y Procesos Administrativos, a través del correo electrónico comprasyadquisiciones@ath.com.co, pidiendo acceso o eliminación de las imágenes donde él aparece; indicando la ubicación de la cámara, la fecha y hora respectiva y adjunta copia de la cédula de ciudadanía del solicitante.

El Jefe de Compras y Procesos Administrativos recibe la solicitud y valida la identidad del solicitante.

Ubica las imágenes dentro del periodo de tiempo referido en la solicitud, valida las imágenes solicitadas y verifica si en ellas se encuentran registros de menores de edad y/o de terceros, en cuyo caso, deberá solicitar a un proveedor experto la distorsión de las imágenes con el fin de proteger la identidad de estos menores/terceros.

Cuando la solicitud haga referencia al acceso visual de las imágenes, se programará cita con el solicitante y se llevará a cabo en la privacidad de la oficina del Jefe de Compras y Procesos Administrativos.

Cuando la solicitud requiera la emisión y entrega de la grabación, el Jefe de Compras y Procesos Administrativos descargará los registros y los enviará según el tamaño de la grabación así:

• Cuando el vídeo tiene un tamaño reducido, se envía por correo electrónico cifrado al solicitante.
• b) Cuando el vídeo es de un tamaño mayor al permitido en el correo electrónico, se entregará personalmente al titular, en un CD/DVD o una USB suministrada por el solicitante, junto con la carta de entrega y copia para confirmación de recibido por parte del solicitante.

Reclamos:

Cuando un Titular o sus causahabientes consideren que sobre la información contenida en una base de datos personales, se ha incumplido alguna de las obligaciones señaladas en la Ley 1581 de 2012, podrá presentar el reclamo por escrito ante el Responsable del Tratamiento utilizando los canales señalados en el numeral 5.8.1 de la presente política, incluyendo copia del documento de identidad, la descripción de los hechos que dan lugar al reclamo, la dirección y acompaña con los documentos que se quiera hacer valer.

Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Reporte de Incidentes de Seguridad

Cuando se presente un incidente de seguridad (Pérdida, hurto, transgresión de información), en las bases de datos personales al interior de ATH, el Jefe Jurídico es responsable de realizar el reporte en la página de la Superintendencia de Industria y Comercio, en un tiempo no mayor a quince días, a partir del informe que le notifique el responsable de la base de datos.