DOCUMENTO!INTERNO!DE! POLÍTICAS! Y!PROCEDIMIENTOS! (POLÍTICAS!DE!TRATAMIENTO!

Transcripción

1 DOCUMENTOINTERNODE POLÍTICAS YPROCEDIMIENTOS (POLÍTICASDETRATAMIENTO Fecha:2016,10,01

2 Contenido 1.Baselegalyámbitodeaplicación 2.Definiciones 3.Autorizacióndelapolíticadetratamiento 4.Responsabledeltratamiento 5.Tratamientoyfinalidadesdelasbasesdedatos 6.DerechosdelosTitulares 7.AtenciónalosTitularesdedatos 8.ProcedimientosparaejercerlosderechosdelTitular 8.1.Derechodeaccesooconsulta 8.2.Derechosdequejasyreclamos 9.MedidasdeSeguridad

3 1.Baselegalyámbitodeaplicación Lapolíticadetratamientodelainformaciónsedesarrollaencumplimientodelosartículos 15y20delaConstituciónPolíticaSdelosartículos17literalk)y18literalf)delaLey Estatutaria 1581de2.012,porlacualsedictandisposicionesgeneralesparalaProteccióndeDatos Personales(LEPD)Sydelartículo13delDecreto1377de2.013,porelcualsereglamenta parcialmentelaleyanterior. Estapolíticaseráaplicableatodoslosdatospersonalesregistradosenbasesdedatosque seanobjetodetratamientoporelresponsabledeltratamiento. 1. Definiciones Establecidas en el artículo 3 de la Ley 1581 de 2012 y en el artículo 3 del Decreto 1377de2013. Autorización: Consentimiento previo, expreso e informado del Titular para llevaracaboeltratamientodedatospersonal. Aviso de privacidad: Comunicación verbal o escrita generada por el responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamientodeinformaciónqueleseránaplicables,laformadeaccederalas mismas y las finalidades del tratamiento que se pretende dar a los datos personales. BasedeDatos:Conjuntoorganizadodedatospersonalesqueseaobjetode tratamiento. Datopersonal:Cualquierinformaciónvinculadaoquepuedaasociarseauna ovariaspersonasnaturalesdeterminadasodeterminables. Dato público: Es el dato que no sea semiprivado, privado o sensible. Son consideradosdatospúblicos,entreotros,losdatosrelativosalestadocivilde las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar

4 contenidos,entreotros,enregistrospúblicos,documentospúblicos,gacetasy boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no esténsometidasareserva. Datos sensibles: Se entiende por datos sensible aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizacionessociales,dederechoshumanosoquepromuevainteresesde cualquierpartidopolíticooquegaranticenlosderechosygarantíasdepartidos políticosdeoposición,asícomolosdatosrelativosalasalud,alavidasexual, ylosdatosbiométricos. Encargadodeltratamiento:Personanaturalojurídica,públicaoprivada,que porsímismaoenasocioconotros,realiceeltratamientodedatospersonales porcuentadelresponsabledeltratamiento. Responsabledeltratamiento:Personanaturalojurídica,públicaoprivada, queporsímismaoenasocioconotros,decidasobrelabasededatosy/oel tratamientodelosdatos. Titular:Personanaturalcuyosdatospersonalesseanobjetodetratamiento. Transferencia: La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es responsabledeltratamientoyseencuentradentroofueradelpaís. Transmisión: Tratamiento de datos personales que implica la comunicación delosmismosdentroofueradelterritoriodelarepúblicadecolombiacuando tenga por objeto la realización de un tratamiento por elencargadoporcuenta delresponsable. Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

5 2. Autorizacióndelapolíticadetratamiento De acuerdo al artículo 9 de la LEPD, para el tratamiento de datos personales se requierelaautorizaciónpreviaeinformadadeltitular.mediantelaaceptacióndela presentepolítica,todotitularquefaciliteinformaciónrelativaasusdatospersonales estáconsintiendoeltratamientodesusdatosporpartedec.j.automoviless.a.s enlostérminosycondicionesrecogidosenlamisma. Noseránecesarialaautorizacióndeltitularcuandosetratede: Informaciónrequeridaporunaentidadpúblicaoadministrativaenejerciciode susfuncioneslegalesoporordenjudicial. Datosdenaturalezapública. Casosdeurgenciamédicaosanitaria. Tratamientodeinformaciónautorizadoporlaleyparafineshistóricos, estadísticosocientíficos.datosrelacionadosconelregistrocivilde laspersonas. 3. Responsabledeltratamiento ElresponsabledeltratamientodelasbasesdedatosobjetodeestapolíticaesC.J. AUTOMOVILESS.A.SyELITEMOTORSSAS,cuyosdatosdecontactosonlos siguientes: Dirección:CARRERA43A#11B,115MEDELLÍN,ANTIOQUIA Correoelectrónico:PROTECCIONDATOS@POBLAUTOS.COM Teléfono:(4) Tratamientoyfinalidadesdelasbasesdedatos C.J.AUTOMOVILESS.A.SyELITEMOTORSSAS,eneldesarrollodesuactividad empresarial, lleva a cabo el tratamiento de datos personales relativos a personas naturales que están contenidos y son tratados en bases de datos destinadas a finalidadeslegítimas,cumpliendoconlaconstituciónylaley.

6 Enel Anexo1.InformacióndeBasesdedatos sepresentalasdistintasbasesde datosquemanejanlaempresa,lainformaciónycaracterísticasdecadaunadeellas. 5. DerechosdelosTitulares Deacuerdoconelartículo8delaLEPDyalosartículos21y22delDecreto1377de 2.013,losTitularesdelosdatospuedenejercerunaseriedederechosenrelaciónal tratamiento de sus datos personales. Estos derechos podrán ejercerse por las siguientespersonas. 1. PorelTitular,quiéndeberáacreditarsuidentidadenformasuficienteporlos distintosmediosquelepongaadisposiciónelresponsable. 2. Porsuscausahabientes,quienesdeberánacreditartalcalidad. 3. Porelrepresentantey/oapoderadodelTitular,previaacreditacióndela representaciónoapoderamiento. 4. Porestipulaciónafavordeotroyparaotro. Losderechosdelosniños,niñasoadolescentesseejerceránporlaspersonasque esténfacultadaspararepresentarlos. LosderechosdelTitularsonlossiguientes: Derechodeaccesooconsulta:SetratadelderechodelTitularaser informadoporelresponsabledeltratamiento,previasolicitud,respectoal origen,usoyfinalidadqueleshandadoasusdatospersonales. Derechosdequejasyreclamos:LaLeydistinguecuatrotiposdereclamos: Reclamo de corrección: Es el derecho del Titular a que se actualicen, rectifiquen o modifiquen aquellos datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamenteprohibidoonohayasidoautorizado. Reclamodesupresión:EselderechodelTitularaquesesuprimanlos datosqueresulteninadecuados,excesivosoquenorespetenlosprincipios, derechosygarantíasconstitucionalesylegales. Reclamoderevocación:EselderechodelTitularadejarsinefectola

7 autorizaciónpreviamenteprestadaparaeltratamientodesusdatos personales. Reclamodeinfracción:EselderechodelTitularasolicitarquesesubsane elincumplimientodelanormativaenmateriadeproteccióndedatos. Derechoasolicitarpruebadelaautorizaciónotorgadaalresponsabledel tratamiento:salvocuandoexpresamenteseexceptúecomorequisitoparael tratamientodeconformidadconloprevistoenelartículo10delalepd. DerechoapresentarantelaSuperintendenciadeIndustriayComercioquejas porinfracciones:eltitularocausahabientesolopodráelevarestaquejaunavez hayaagotadoeltrámitedeconsultaoreclamoanteelresponsabledeltratamientoo encargadodeltratamiento. 7.AtenciónalosTitularesdedatos El o la DIRECTOR DE CONTABILIDAD de C.J. AUTOMOVILES S.A.S y ELITE MOTORSSAS,seráelOficialdeproteccióndedatosparalaatencióndepeticiones, consultasyreclamosanteelcualeltitulardelosdatospuedeejercersusderechos, deacuerdoconel Anexo3.RolesyResponsabilidades". Teléfono:(4) CorreoElectrónico:PROTECCIONDATOS@POBLAUTOS.COM 8.ProcedimientosparaejercerlosderechosdelTitular 8.1.$ Derecho$de$acceso$o$consulta$ Segúnelartículo21delDecreto1377de2.013,elTitularpodráconsultardeforma gratuitasusdatospersonalesendoscasos: 1. Almenosunavezcadamescalendario. 2. Cadavezqueexistanmodificacionessustancialesdelaspolíticasde tratamientodelainformaciónquemotivennuevasconsultas.paraconsultas cuyaperiodicidadseamayoraunaporcadamescalendario,c.j.

8 AUTOMOVILESS.A.SyELITEMOTORSSASsolamentepodrácobraral Titulargastosdeenvío,reproduccióny,ensucaso,certificaciónde documentos.loscostosdereproducciónnopodránsermayoresaloscostos derecuperacióndelmaterialcorrespondiente.paratalefecto,elresponsable deberádemostraralasuperintendenciadeindustriaycomercio,cuandoésta asílorequiera,elsoportededichosgastos. ElTitulardelosdatospuedeejercitarelderechodeaccesooconsultadesus datosmedianteunescritodirigidoac.j.automoviless.a.syelite MOTORSSASenviado,mediantecorreoelectrónicoa: Ejerciciodelderechodeaccesooconsulta,oatravésdecorreopostalremitidoa CARRERA43A#11B,115MEDELLÍN,ANTIOQUIA.Lasolicituddeberácontener lossiguientesdatos: NombreyapellidosdelTitular. FotocopiadelaCéduladeCiudadaníadelTitulary,ensucaso,delapersona quelorepresenta,asícomodeldocumentoacreditativodetalrepresentación. Peticiónenqueseconcretalasolicitud deaccesooconsulta.direcciónpara notificaciones,fechayfirmadel solicitante. Documentosacreditativosdelapeticiónformulada,cuandocorresponda. ElTitularpodráelegirunadelassiguientesformasdeconsultadelabasededatos pararecibirlainformaciónsolicitada: Visualizaciónenpantalla. Porescrito,concopiaofotocopiaremitidapor correocertificadoono.fax. Correoelectrónicouotromedioelectrónico. Otrosistemaadecuadoalaconfiguracióndelabasededatosoalanaturaleza deltratamiento,ofrecidoporc.j.automoviless.a.syelitemotors

9 SAS Una vez recibida la solicitud, C.J. AUTOMOVILES S.A.S y ELITE MOTORS SAS resolverá la petición de consulta en un plazo máximo de diez (10) días hábiles contadosapartirdelafechaderecibodelamisma.cuandonofuereposibleatender la consulta dentro de dicho término, se informará al interesado, expresando los motivosdelademorayseñalandolafechaenqueseatenderásuconsulta,lacualen ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primertérmino.estosplazosestánfijadosenelartículo14delalepd. Unavezagotadoeltrámitedeconsulta,elTitularocausahabientepodráelevarqueja antelasuperintendenciadeindustriaycomercio. 8.2.$ Derechos$de$quejas$y$reclamos$ El Titular de los datos puede ejercitar los derechos de reclamo sobre sus datos mediante un escrito dirigido a C.J. AUTOMOVILES S.A.S y ELITE MOTORS SAS enviado, mediante correo electrónico a PROTECCIONDATOS@POBLAUTOS.COM, indicando en el Asunto Ejercicio del derecho de acceso o consulta, o a través de correo postal remitido a CARRERA 43A # 11B, 115 MEDELLÍN, ANTIOQUIA. La solicituddeberácontenerlossiguientesdatos: NombreyapellidosdelTitular. FotocopiadelaCéduladeCiudadaníadelTitulary,ensucaso,delapersona quelorepresenta,asícomodeldocumentoacreditativodetalrepresentación. Descripcióndeloshechosypeticiónenqueseconcretalasolicitudde corrección,supresión,revocaciónoinfracción. Direcciónparanotificaciones,fechayfirmadelsolicitante. Documentosacreditativosdelapeticiónformuladaquesequieranhacervaler, cuandocorresponda. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) díassiguientesalarecepcióndelreclamoparaquesubsanelasfallas.transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la informaciónrequerida,seentenderáquehadesistidodelreclamo.

10 Unavezrecibidoelreclamocompleto,seincluiráenlabasededatosunaleyenda quediga reclamoentrámite yelmotivodelmismo,enuntérminonomayorados(2) díashábiles.dichaleyendadeberámantenersehastaqueelreclamoseadecidido. C.J.AUTOMOVILESS.A.SyELITEMOTORSSASresolveranlapeticióndeconsulta en un plazo máximo de quince (15) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender al reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderásureclamo,lacualenningúncasopodrásuperarlosocho(8)díashábiles siguientesalvencimientodelprimertérmino. Unavezagotadoeltrámitedereclamo,elTitularocausahabientepodráelevarqueja antelasuperintendenciadeindustriaycomercio. 9.Medidasdeseguridad C.J. AUTOMOVILES S.A.S y ELITE MOTORS SAS, con el fin de cumplir con el principio de seguridad consagrado en el artículo 4 literal g) de la LEPD, han implementado medidas técnicas, humanas y administrativas necesarias para garantizarlaseguridadalosregistrosevitandosuadulteración,pérdida,consulta,uso oaccesonoautorizadoofraudulento. Por otra parte, C.J. AUTOMOVILES S.A.S y ELITE MOTROS SAS, mediante la suscripción de los correspondientes contratos de transmisión, han requerido a los encargadosdeltratamientoconlosquetrabajelaimplementacióndelasmedidasde seguridad necesarias para garantizar la seguridad y confidencialidad de la informacióneneltratamientodelosdatospersonales. A continuación se exponen las medidas de seguridad implantadas por C.J. AUTOMOVILESS.A.SyELITEMOTORSSASqueestánrecogidasydesarrolladas ensumanualinternodeseguridad(tablasi,ii,iiiyiv).

11 TABLAI:Medidasdeseguridadcomunesparatodotipodedatos (Públicos,semiprivados,privados,sensibles)ybasesdedatos(automatizadas,no automatizadas) Gestiónde documentosy soportes Controldeacceso Incidencias Personal ManualInternode Seguridad 1.Medidasqueevitenelacceso indebidoolarecuperacióndelosdatosquehansidodescartados, borradosodestruido. 2.Accesorestringidoallugardondesealmacenanlosdatos. 3.Autorizacióndelresponsableparalasalidadedocumentososoportes pormediofísicooelectrónico. 4.Sistemadeetiquetadooidentificacióndeltipodeinformación. 5.Inventariodesoportes. 1.Accesodeusuarioslimitadoalosdatosnecesariosparaeldesarrollode susfunciones. 2.Listaactualizadadeusuariosyaccesosautorizados. 3.Mecanismosparaevitarelaccesoadatosconderechosdistintosdelos autorizados. 4.Concesión,alteraciónoanulacióndepermisosporelpersonal autorizado 1.Registrodeincidencias:tipodeincidencia,momentoenqueseha producido,emisordelanotificación,receptordelanotificación,efectosy medidascorrectoras. 2.Procedimientodenotificaciónygestióndeincidencias 1.Definicióndelasfuncionesyobligacionesdelosusuariosconaccesoa losdatos. 2.Definicióndelasfuncionesdecontrolyautorizacionesdelegadasporel responsabledeltratamiento. 3.Divulgaciónentreelpersonaldelasnormasydelasconsecuenciasdel incumplimientodelasmismas 1.ElaboracióneimplementacióndelManualdeobligadocumplimiento paraelpersonal. 2.Contenidomínimo:ámbitodeaplicación,medidasyprocedimientosde seguridad,funcionesyobligacionesdelpersonal,descripcióndelasbases dedatos,procedimientoanteincidencias,procedimientodecopiasy recuperacióndedatos,medidasdeseguridadparaeltransporte, destrucciónyreutilizacióndedocumentos,identificacióndelos encargadosdeltratamiento.

12 TABLAII:Medidasdeseguridadcomunesparatodotipodedatos (públicos,semiprivados,privados,sensibles)segúneltipodebasesdedatos BASESDEDATOSNOAUTOMATIZADAS Archivo Almacenamientode Documentos Costodiade Documentos BASESDEDATOSAUTOMATIZADAS Identificacióny autenticación Telecomunicaciones Archivodedocumentaciónsiguiendoprocedimientosquegaranticen unacorrectaconservación,localizaciónyconsultaypermitanel ejerciciodelosderechosdelostitulares. Dispositivosdealmacenamientoconmecanismosqueimpidanel accesoapersonasnoautorizadas. Deberdediligenciaycustodiadelapersonaacargodedocumentos durantelarevisiónotramitacióndelosmismos. 1.Identificaciónpersonalizadadeusuariosparaaccederalos sistemasdeinformaciónyverificacióndesuautorización. 2.MecanismosdeidentificaciónyautenticaciónSContraseñas: asignación,caducidadyalmacenamientocifrado. Accesoadatosmedianteredesseguras. TABLAIII:Medidasdeseguridadparadatosprivadossegúneltipodebasesdedatos BASESDEDATOSAUTOMATIZADASYNOAUTOMATIZADAS Auditoria Responsablede Serguridad ManualInternode Seguridad 1.Auditoríaordinaria(internaoexterna)cadadosmeses. 2.Auditoríaextraordinariapormodificacionessustancialesenlossistemas deinformación. 3.Informededeteccióndedeficienciasypropuestadecorrecciones. 4.Análisisyconclusionesdelresponsabledeseguridadydelresponsable deltratamiento. 5.ConservacióndelInformeadisposicióndelaautoridad. 1.Designacióndeunoovariosresponsablesdeseguridad. 2.Designacióndeunoovariosencargadosdelcontrolylacoordinación delasmedidasdelmanualinternodeseguridad. 3.Prohibicióndedelegacióndelaresponsabilidaddelresponsabledel tratamientoenelresponsabledeseguridad. Controlesperiódicosdecumplimiento

13 BASESDEDATOSAUTOMATIZADASYNOAUTOMATIZADAS Gestiónde Documentosy Soportes ControldeAcceso Identificacióny Autenticación Incidencias Registrodeentradaysalidadedocumentosysoportes:fecha,emisory receptor,número,tipodeinformación,formadeenvío,responsabledela recepciónoentrega. Controldeaccesoallugarolugaresdondeseubicanlossistemasde información Mecanismoquelimiteelnúmerodeintentosreiteradosdeaccesono autorizados. 1.Registrodelosprocedimientosderecuperacióndelosdatos,persona quelosejecuta,datosrestauradosydatosgrabadosmanualmente. 2. Autorización del responsable del tratamiento para la ejecución de los procedimientosderecuperación. TABLAIV:Medidasdeseguridadparadatossensiblessegúneltipodebasesdedatos BASESDEDATOSNOAUTOMATIZADAS ControldeAcceso Almacenamientode Documentos CopiayReproducción Trasladode Documentación BASESDEDATOSNOAUTOMATIZADAS Gestiónde Documentosy Soportes ControldeAcceso Telecomunicaciones 1.Accesosoloparapersonalautorizado. 2.Mecanismodeidentificacióndeacceso. Archivadores,armariosuotrosubicadosenáreasdeaccesoprotegidas conllavesuotrasmedidas. 1.Soloporusuariosautorizados. 2.Destrucciónqueimpidaelaccesoorecuperación Medidasqueimpidanelaccesoomanipulacióndedocumentos. 1.Sistemadeetiquetadoconfidencial. 2.Cifradodedatos. 3.Cifradodedispositivosportátilescuandoseencuentrenfuera. 1.Registrodeaccesos:usuario,hora,basededatosalaqueaccede,tipo deacceso,registroalqueaccede. 2.Controldelregistrodeaccesosporelresponsabledeseguridad. Informemensual. 3.Conservacióndelosdatos:2años. Transmisióndedatosmedianteredeselectrónicascifradas.

14 1.Transferenciadedatosatercerospaíses De acuerdo con el Título VIII de la LEPD, se prohíbe la transferencia de datos personalesapaísesquenoproporcionennivelesadecuadosdeproteccióndedatos. Seentiendequeunpaísofreceunniveladecuadodeproteccióndedatoscuando cumplaconlosestándaresfijadosporlasuperintendenciadeindustriaycomercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los que la presenteleyexigeasusdestinatarios.estaprohibiciónnoregirácuandosetratede: Información respecto de la cual el Titular haya otorgado su autorización expresaeinequívocaparalatransferencia. Intercambio de datos de carácter médico, cuando así lo exija el tratamiento deltitularporrazonesdesaludohigienepública. Transferenciasbancariasobursátiles,conformealalegislaciónquelesresulte aplicable. Transferencias acordadas en el marco de tratados internacionales en los cualeslarepúblicadecolombiaseaparte,confundamentoenelprincipiode reciprocidad. TransferenciasnecesariasparalaejecucióndeuncontratoentreelTitulary el responsable del tratamiento, o para la ejecución de medidas precontractualessiempreycuandosecuenteconlaautorizacióndeltitular. Transferenciaslegalmenteexigidasparalasalvaguardiadelinteréspúblico,o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. En los casos no contemplados como excepción, corresponderá a la Superintendencia de Industria y Comercio proferir la declaración de conformidad relativaalatransferenciainternacionaldedatospersonales.elsuperintendenteestá facultadopararequeririnformaciónyadelantarlasdiligenciastendentesaestablecer elcumplimientodelospresupuestosquerequierelaviabilidaddelaoperación. Las transmisiones internacionales de datos personales que se efectúen entre un

15 responsableyunencargadoparapermitirqueelencargadorealiceeltratamientopor cuenta del responsable, no requerirán ser informadas al Titular ni contar con su consentimiento,siemprequeexistauncontratodetransmisióndedatospersonales." 2.Vigencia Las bases de datos responsabilidad de C.J. AUTOMOVILES S.A.S y ELITE MOTORSSAS,seránobjetodetratamientoduranteeltiempoquesearazonabley necesarioparalafinalidadparalacualsonrecabadoslosdatos.unavezcumplidala finalidad o finalidades del tratamiento, y sin perjuicio de normas legales que dispongan lo contrario. C.J. AUTOMOVILES S.A.S y ELITE MOTORS SAS procederánalasupresióndelosdatospersonalesensuposesiónsalvoqueexista unaobligaciónlegalocontractualquerequierasuconservación.portodoello,dicha basededatoshasidocreadasinunperiododevigenciadefinido. Lapresentepolíticadetratamientopermanecevigentedesde2016,10,01.

16 MANUALDEPOLITICASWEB (POLITICASDETRATAMIENTOWEB) Fecha:2016,10,01

17 Contenido 1.Baselegalyámbitodeaplicación 2.Definiciones 3.Autorizacióndelapolíticadetratamiento 4.Responsabledeltratamiento 5.Tratamientoyfinalidadesdelasbasesdedatos 6.Datosdenavegación 7.CookiesoWebbugs 8.DerechosdelosTitulares 9.AtenciónalosTitularesdedatos 10.ProcedimientosparaejercerlosderechosdelTitular 10.1.Derechodeaccesooconsulta 10.2.Derechosdequejasyreclamos 11.Medidasdeseguridad 12.Transferenciadedatosatercerospaíses 13.Vigencia

18 1.Baselegalyámbitodeaplicación LapolíticadetratamientodelaInformaciónsedesarrollaencumplimientodelosartículos 15 y 20 de la Constitución PolíticaS de los artículos 17 literal k) y 18 literal f) de la Ley Estatutaria 1581 de 2.012, por la cual se dictan disposiciones generales para la ProteccióndeDatosPersonales(LEPD)Sydelartículo13delDecreto1377de2.013,por elcualsereglamentaparcialmentelaleyanterior. Estapolíticaseráaplicableatodoslosdatospersonalesregistradosenbasesdedatos queseanobjetodetratamientoporelresponsabledeltratamiento. 2.Definiciones Establecidasenelartículo3delaLeyEstatutaria1581de2012yelartículo3delDecreto 1377de2013. Autorización:Consentimientoprevio,expresoeinformadodelTitularparallevara caboeltratamientodedatospersonales. Avisodeprivacidad:Comunicaciónverbaloescritageneradaporelresponsable, dirigidaaltitularparaeltratamientodesusdatospersonales,mediantelacualse le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamientoquesepretendedaralosdatospersonales. Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento. Datopersonal: Cualquierinformaciónvinculadaoquepuedaasociarseaunao variaspersonasnaturalesdeterminadasodeterminables. Dato público: Es el dato que no sea semiprivado, privado o sensible. Son consideradosdatospúblicos,entreotros,losdatosrelativosalestadocivildelas personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros,enregistrospúblicos,documentospúblicos,gacetasyboletinesoficialesy sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. Datossensibles:Seentiendepordatossensibleaquellosqueafectanlaintimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido

19 político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos. Encargadodeltratamiento:Personanaturalojurídica,públicaoprivada,quepor sí misma o en asocio con otros, realice el tratamiento de datos personales por cuentadelresponsabledeltratamiento. Responsabledeltratamiento:Personanaturalojurídica,públicaoprivada,que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamientodelosdatos. Titular:Personanaturalcuyosdatospersonalesseanobjetodetratamiento. Transferencia: La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, ubicado en Colombia, envía la informaciónolosdatospersonalesaunreceptor,queasuvezesresponsabledel tratamientoyseencuentradentroofueradelpaís. Transmisión: Tratamiento de datos personales que implica la comunicación de losmismosdentroofueradelterritoriodelarepúblicadecolombiacuandotenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable. Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. 3.Autorizacióndelapolíticadetratamiento Deacuerdoalartículo9delaLEPD,paraeltratamientodedatospersonalesserequiere la autorización previa e informada del Titular. Mediante la aceptación de la presente política, todo Titular que facilite información relativa a sus datos personales está consintiendo el tratamiento de sus datos por parte de ELITE MOTORS S.A.S y CJ AUTOMOVILESSASenlostérminosycondicionesrecogidosenlamisma. NoseránecesarialaautorizacióndelTitularcuandosetratede: Informaciónrequeridaporunaentidadpúblicaoadministrativaenejerciciodesus funcioneslegalesoporordenjudicial. Datosdenaturalezapública. Casosdeurgenciamédicaosanitaria. Tratamientodeinformaciónautorizadoporlaleyparafineshistóricos,estadísticos ocientíficos. DatosrelacionadosconelRegistroCivildelaspersonas.

20 4.Responsabledeltratamiento El responsable del tratamiento de las bases de datos objeto de esta política es ELITE MOTORSS.A.SyCJAUTOMOVILESSAS,cuyosdatosdecontactosonlossiguientes: Dirección:CARRERA43A#11B,115MEDELLÍN,ANTIOQUIA. Teléfono:(4) Tratamientoyfinalidadesdelasbasesdedatos ELITE MOTORS S.A.S y CJ AUTOMOVILES SAS en el desarrollo de su actividad empresarial, lleva a cabo el tratamiento de datos personales relativos a personas naturalesqueestáncontenidosysontratadosenbasesdedatosdestinadasafinalidades legítimas,cumpliendoconlaconstituciónylaley.enel Anexo1.InformacióndeBases de datos se presenta las distintas bases de datos que manejan la empresa, la informaciónycaracterísticasdecadaunadeellas. 6.Datosdenavegación Elsistemadenavegaciónyelsoftwarenecesarioparaelfuncionamientodeestapágina webrecogenalgunosdatospersonales,cuyatransmisiónsehayaimplícitaenelusolos protocolosdecomunicacióndeinternet. Por su propia naturaleza, la información recogida podría permitir la identificación de usuariosatravésdesuasociacióncondatosdetercerosaunquenoseobtengaparaese fin.enestacategoríadedatosseencuentran,ladirecciónipoelnombrededominiodel equipoutilizadoporelusuarioparaaccederalapáginaweb,ladirecciónurl,lafechay horayotrosparámetrosrelativosalsistemaoperativodelusuario.estosdatosdeutilizan conlafinalidadexclusivadeobtenerinformaciónestadísticaanónimasobreelusodela páginawebocontrolarsucorrectofuncionamientotécnico,ysecancelaninmediatamente despuésdeserverificados. 7.CookiesoWebBugs Estesitiowebnoutilizacookiesowebbugspararecabardatospersonalesdelusuario, sinoquesuutilizaciónselimitaafacilitaralusuarioelaccesoalapáginaweb.elusode cookiesdesesión,nomemorizadasdeformapermanenteenelequipodelusuarioyque

21 desaparecen cuando cierra el navegador, únicamente se limitan a recoger información técnicaparaidentificarlasesiónconlafinalidaddefacilitarelaccesoseguroyeficientede lapáginaweb.sinodeseapermitirelusodecookiespuederechazarlasoeliminarlasya existentesconfigurandosunavegador,einhabilitandoelcódigojavascriptdelnavegador enlaconfiguracióndeseguridad. 8.DerechosdelosTitulares Deacuerdoconelartículo8delaLEPDyalosartículos21y22delDecreto1377de 2.013, los Titulares de los datos pueden ejercer una serie de derechos en relación al tratamientodesusdatospersonales.estosderechospodránejercerseporlassiguientes personas. 1.PorelTitular,quiéndeberáacreditarsuidentidadenformasuficienteporlosdistintos mediosquelepongaadisposiciónelresponsable. 2.Porsuscausahabientes,quienesdeberánacreditartalcalidad. 3.Porelrepresentantey/oapoderadodelTitular,previaacreditacióndelarepresentación oapoderamiento. 4.Porestipulaciónafavordeotroyparaotro. Losderechosdelosniños,niñasoadolescentesseejerceránporlaspersonasqueestén facultadaspararepresentarlos. LosderechosdelTitularsonlossiguientes: Derechodeaccesooconsulta:SetratadelderechodelTitularaserinformado por el responsable del tratamiento, previa solicitud, respecto al origen, uso y finalidadquelehandadoasusdatospersonales. Derechosdequejasyreclamos:LaLeydistinguecuatrotiposdereclamos: 1. Reclamodecorrección:EselderechodelTitularaqueseactualicen,rectifiqueno modifiquen aquellos datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no hayasidoautorizado. 2. Reclamodesupresión:EselderechodelTitularaquesesuprimanlosdatosque resulten inadecuados, excesivos o que no respeten los principios, derechos y garantíasconstitucionalesylegales. 3. Reclamoderevocación:EselderechodelTitularadejarsinefectolaautorización previamenteprestadaparaeltratamientodesusdatospersonales. 4. Reclamo de infracción: Es el derecho del Titular a solicitar que se subsane el

22 incumplimientodelanormativaenmateriadeproteccióndedatos. Derecho a solicitar prueba de la autorización otorgada al responsable del tratamiento : Salvo cuando expresamente se exceptúe como requisito para el tratamientodeconformidadconloprevistoenelartículo10delalepd. Derecho a presentar ante la Superintendencia de Industria y Comercio quejasporinfracciones:eltitularocausahabientesolopodráelevarestaqueja una vez haya agotado el trámite de consulta o reclamo ante el responsable de tratamientooencargadodeltratamiento. 9.AtenciónalosTitularesdedatos ElolaDIRECTORDECONTABILIDADdeELITEMOTORSS.A.SyCJAUTOMOVILES SASseránlosencargadosdelaatencióndepeticiones,consultasyreclamosanteelcual eltitulardelosdatospuedeejercersusderechos,deacuerdoconel Anexo3.Rolesy Responsabilidades". Teléfono:(4) CorreoElectrónico:PROTECCIONDATOS@POBLAUTOS.COM 10.ProcedimientosparaejercerlosderechosdelTitular 10.1.Derechodeaccesooconsulta Según el artículo 21 del Decreto 1377 de 2.013, el Titular podrá consultar de forma gratuitasusdatospersonalesendoscasos: 1.Almenosunavezcadamescalendario. 2.Cadavezqueexistanmodificacionessustancialesdelaspolíticasdetratamientodela informaciónquemotivennuevasconsultas. Para consultas cuya periodicidad sea mayor a una por cada mes calendario, ELITE MOTORSS.A.SyCJAUTOMOVILESSASsolamentepodrácobraralTitularlosgastos de envío, reproducción y, en su caso, certificación de documentos. Los costos de reproducción no podrán ser mayores a los costos de recuperación del material correspondiente.paratalefecto,elresponsabledeberádemostraralasuperintendencia deindustriaycomercio,cuandoéstaasílorequiera,elsoportededichosgastos. El Titular de los datos puede ejercitar el derecho de acceso o consulta de sus datos medianteunescritodirigidoaelitemotorss.a.sycjautomovilessasenviado,

23 el Asunto Ejercicio del derecho de acceso o consulta, o a través de correo postal remitido a CARRERA 43A # 11B e 115 MEDELLÍN, ANTIOQUIA. La solicitud deberá contenerlossiguientesdatos: NombreyapellidosdelTitular FotocopiadelaCéduladeCiudadaníadelTitulary,ensucaso,delapersonaque lorepresenta,asícomodeldocumentoacreditativodetalrepresentación. Peticiónenqueseconcretalasolicituddeaccesooconsulta. Direcciónparanotificaciones,fechayfirmadelsolicitante. Documentosacreditativosdelapeticiónformulada,cuandocorresponda. ElTitularpodráelegirunadelassiguientesformasdeconsultadelabasededatospara recibirlainformaciónsolicitada: Visualizaciónenpantalla. Porescrito,concopiaofotocopiaremitidaporcorreocertificadoono. Telecopia. Correoelectrónicouotromedioelectrónico. Otrosistemaadecuadoalaconfiguracióndelabasededatosoalanaturalezadel tratamiento,ofrecidoporelitemotorss.a.s.ycjautomovilessas Una vez recibida la solicitud, ELITE MOTORS S.A.S y CJ AUTOMOVILES SAS resolveránlapeticióndeconsultaenunplazomáximodediez(10)díashábilescontados apartirdelafechaderecibodelamisma.cuandonofuereposibleatenderlaconsulta dentrodedichotérmino,seinformaráalinteresado,expresandolosmotivosdelademora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Estos plazosestánfijadosenelartículo14delalepd. Unavezagotadoeltrámitedeconsulta,elTitularocausahabientepodráelevarquejaante lasuperintendenciadeindustriaycomercio Derechosdequejasyreclamos ElTitulardelosdatospuedeejercitarlosderechosdereclamosobresusdatosmediante un escrito dirigido a ELITE MOTORS S.A.S. y CJ AUTOMOVILES SAS Enviado, mediantecorreoelectrónicoprotecciondatos@poblautos.comindicandoenel Asunto Ejerciciodelderechodeaccesooconsulta,oatravésdecorreopostalremitidoa CARRERA43A#11Be115MEDELLÍN,ANTIOQUIA.Lasolicituddeberácontenerlos

24 siguientesdatos: NombreyapellidosdelTitular. FotocopiadelaCéduladeCiudadaníadelTitulary,ensucaso,delapersonaque lorepresenta,asícomodeldocumentoacreditativodetalrepresentación. Descripcióndeloshechosypeticiónenqueseconcretalasolicituddecorrección, supresión,revocaciónoinflación. Direcciónparanotificaciones,fechayfirmadelsolicitante. Documentos acreditativos de la petición formulada que se quieran hacer valer, cuandocorresponda. Sielreclamoresultaincompleto,serequeriráalinteresadodentrodeloscinco(5)días siguientesalarecepcióndelreclamoparaquesubsanelasfallas.transcurridosdos(2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida,seentenderáquehadesistidodelreclamo. Unavezrecibidoelreclamocompleto,seincluiráenlabasededatosunaleyendaque diga reclamoentrámite yelmotivodelmismo,enuntérminonomayorados(2)días hábiles.dichaleyendadeberámantenersehastaqueelreclamoseadecidido. ELITEMOTORSS.A.SyCJAUTOMOVILESSASresolveránlapeticióndeconsultaen unplazomáximodequince(15)díashábilescontadosapartiddelafechaderecibodela misma.cuandonofuereposibleatenderalreclamodentrodedichotérmino,seinformará alinteresadolosmotivosdelademoraylafechaenqueseatenderásureclamo,lacual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primertérmino. Unavezagotadoeltrámitedereclamo,elTitularocausahabientepodráelevarquejaante lasuperintendenciadeindustriaycomercio. 11.Medidasdeseguridad ELITEMOTORSS.A.SyCJAUTOMOVILESSASconelfindecumplirconelprincipio deseguridadconsagradoenelartículo4literalgdelalepd,haimplementadomedidas técnicas, humanas y administrativas necesarias para garantizar la seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Porotraparte,ELITEMOTORSS.A.SyCJAUTOMOVILESSASmediantelasuscripción

25 de los correspondientes contratos de transmisión, ha requerido a los encargados del tratamiento con los que trabaje la implementación de las medidas de seguridad necesarias para garantizar la seguridad y confidencialidad de la información en el tratamientodelosdatospersonales. Acontinuaciónseexponenlasmedidasde seguridadimplantadasporelitemotors S.A.S y CJ AUTOMOVILES SAS, que están recogidas y desarrolladas en su Manual InternodeSeguridad(I,II,III,IV). TABLAI:Medidasdeseguridadcomunesparatodotipodedatos (públicos,semiprivados,privados,sensibles)ybasesdedatos(automatizadas,no automatizadas) Gestiónde documentos ysoportes Controlde acceso Incidencias Personal Manual Internode Seguridad 1.Medidasqueevitenelaccesoindebidoolarecuperacióndelosdatosquehan sidodescartados,borradosodestruido. 2.Accesorestringidoallugardondesealmacenanlosdatos. 3.Autorizacióndelresponsableparalasalidadedocumentososoportespormedio físicooelectrónico. 4.Sistemadeetiquetadooidentificacióndeltipodeinformación. 5.Inventariodesoportes. 1.Accesodeusuarioslimitadoalosdatosnecesariosparaeldesarrollodesus funciones. 2.Listaactualizadadeusuariosyaccesosautorizados. 3.Mecanismosparaevitarelaccesoadatosconderechos distintosdelosautorizados. 4.Concesión,alteraciónoanulacióndepermisosporelpersonalautorizado. 1.Registrodeincidencias:tipodeincidencia,momentoenquesehaproducido, emisordelanotificación,receptordelanotificación,efectosymedidascorrectoras. 2.Procedimientodenotificaciónygestióndeincidencias. 1.Definicióndelasfuncionesyobligacionesdelosusuariosconaccesoalosdatos. 2.Definicióndelasfuncionesdecontrolyautorizacionesdelegadasporel responsabledeltratamiento. 3.Divulgaciónentreelpersonaldelasnormasydelasconsecuenciasdel incumplimientodelasmismas. 1.ElaboracióneimplementacióndelManualdeobligadocumplimientoparael personal. 2.Contenidomínimo:ámbitodeaplicación,medidasyprocedimientosdeseguridad, funcionesyobligacionesdelpersonal,descripcióndelasbasesdedatos, procedimientoanteincidencias,procedimientodecopiasyrecuperacióndedatos, medidasdeseguridadparaeltransporte,destrucciónyreutilizaciónde documentos,identificacióndelosencargadosdeltratamiento.

26 TABLAII:Medidasdeseguridadcomunesparatodotipodedatos (públicos,semiprivados,privados,sensibles)segúneltipodebasesdedatos Basesdedatosnoautomatizadas Archivo 1.Archivodedocumentaciónsiguiendoprocedimientosquegaranticen unacorrectaconservación,localizaciónyconsultaypermitanelejercicio delosderechosdelostitulares. Almacenamiento dedocumentos 1.Dispositivosdealmacenamientoconmecanismosqueimpidanel accesoapersonasnoautorizadas. Custodiade documentos 1.Deberdediligenciaycustodiadelapersonaacargodedocumentos durantelarevisiónotramitacióndelosmismos. Basesdedatosautomatizadas Identificacióny autenticación 1.Identificaciónpersonalizadadeusuariosparaaccederalossistemas deinformaciónyverificacióndesuautorización. 2.MecanismosdeidentificaciónyautenticaciónSContraseñas: asignación,caducidadyalmacenamientocifrado. Telecomunicaciones 1.Accesoadatosmedianteredesseguras. TABLAIII:Medidasdeseguridadparadatosprivadossegúneltipodebasesde datos. Basesdedatosautomatizadasynoautomatizadas Auditoría 1.Auditoríaordinaria(internaoexterna)cadadosmeses. 2.Auditoríaextraordinariapormodificacionessustancialesenlossistemas deinformación. 3.Informededeteccióndedeficienciasypropuestadecorrecciones. 4.Análisisyconclusionesdelresponsabledeseguridadydelresponsable deltratamiento. 5.ConservacióndelInformeadisposicióndelaautoridad. Responsablede seguridad 1.Designacióndeunoovariosresponsablesdeseguridad. 2.Designacióndeunoovariosencargadosdelcontrolylacoordinación delasmedidasdelmanualinternodeseguridad. 3.Prohibicióndedelegacióndelaresponsabilidaddelresponsabledel tratamientoenelresponsabledeseguridad Manualinternode seguridad 1.Controlesperiódicosdecumplimiento Basesdedatosautomatizadas Gestiónde documentosy soportes 1.Registrodeentradaysalidadedocumentosysoportes:fecha,emisory receptor,número,tipodeinformación,formadeenvío,responsabledela recepciónoentrega. Controldeacceso 1.Controldeaccesoallugarolugaresdondeseubicanlossistemasde información. Identificacióny 1.Mecanismoquelimiteelnúmerodeintentosreiteradosdeaccesono

27 autenticación Incidencias autorizados. 1.Registrodelosprocedimientosderecuperacióndelosdatos,personaque losejecuta,datosrestauradosydatosgrabadosmanualmente. 2.Autorizacióndelresponsabledeltratamientoparalaejecucióndelos procedimientosderecuperación TABLAIV:Medidasdeseguridadparadatossensiblessegúneltipodebasesde datos. Basesdedatosnoautomatizadas 1.Accesosoloparapersonalautorizado. ControldeAcceso 2.Mecanismodeidentificacióndeacceso. Almacenamientode documentos 3.Registrodeaccesosdeusuariosnoautorizados. 1.Archivadores,armariosuotrosubicadosenáreasdeacceso protegidasconllavesuotrasmedidas. 1.Archivadores,armariosuotrosubicadosenáreasdeacceso Copiaoreproducción protegidasconllavesuotrasmedidas. Trasladodedocumentos 1.Medidasqueimpidanelaccesoomanipulacióndedocumentos. Basesdedatosautomatizadas Gestiónde 1.Sistemadeetiquetadoconfidencial. documentosy 2.Cifradodedatos. soportes 3.Cifradodedispositivosportátilescuandoseencuentrenfuera. 1.Registrodeaccesos:usuario,hora,basededatosalaqueaccede,tipo deacceso,registroalqueaccede. Controldeacceso 2.Controldelregistrodeaccesosporelresponsabledeseguridad.informe mensual. 3.Conservacióndelosdatos:2añosdeinformación. Telecomunicaciones 1.Transmisióndedatosmedianteredeselectrónicascifradas. 12.Transferenciadedatosatercerospaíses DeacuerdoconelTítuloVIIIdelaLEPD,seprohíbelatransferenciadedatospersonales apaísesquenoproporcionennivelesadecuadosdeproteccióndedatos.seentiendeque un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándaresfijadosporlasuperintendenciadeindustriaycomerciosobrelamateria,los cuales en ningún caso podrán ser inferiores a los que la presente ley exige a sus destinatarios.estaprohibiciónnoregirácuandosetratede: InformaciónrespectodelacualelTitularhayaotorgadosuautorizaciónexpresae inequívocaparalatransferencia. Intercambio de datos de carácter médico, cuando así lo exija el tratamiento del Titularporrazonesdesaludohigienepública. Transferencias bancarias o bursátiles, conforme a la legislación que les resulte

28 aplicable. Transferenciasacordadasenelmarcodetratadosinternacionalesenloscualesla RepúblicadeColombiaseaparte,confundamentoenelprincipiodereciprocidad. Transferencias necesarias para la ejecución de un contrato entre el Titular y el responsable del tratamiento, o para la ejecución de medidas precontractuales siempreycuandosecuenteconlaautorizacióndeltitular. Transferenciaslegalmenteexigidasparalasalvaguardiadelinteréspúblico,opara elreconocimiento,ejercicioodefensadeunderechoenunprocesojudicial. Enloscasosnocontempladoscomoexcepción,corresponderáalaSuperintendenciade Industria y Comercio proferir la declaración de conformidad relativa a la transferencia internacional de datos personales. El Superintendente está facultado para requerir información y adelantar las diligencias tendentes a establecer el cumplimiento de los presupuestosquerequierelaviabilidaddelaoperación.lastransmisionesinternacionales dedatospersonalesqueseefectúenentreunresponsableyunencargadoparapermitir que el encargado realice el tratamiento por cuenta del responsable, no requerirán ser informadasaltitularnicontarconsuconsentimiento,siemprequeexistauncontratode transmisióndedatospersonales. 13.Vigencia Las bases de datos responsabilidad de ELITE MOTORS S.A.S y CJ AUTOMOVILES SAS,seránobjetodetratamientoduranteeltiempoquesearazonableynecesarioparala finalidadparalacualsonrecabadoslosdatos.unavezcumplidalafinalidadofinalidades del tratamiento, y sin perjuicio de normas legales que dispongan lo contrario. ELITE MOTORS S.A.S y CJ AUTOMOVILES SAS, procederán a la supresión de los datos personales en su posesión salvo que exista una obligación legal o contractual que requiera su conservación. Por todo ello, dicha base de datos ha sido creada sin un periododevigenciadefinido. Lapresentepolíticadetratamientopermanecevigentedesde2016,10,01