POLÍTICA DE TRATAMIENTO DE DATOS

OBJETIVO Realizar el tratamiento adecuado de los datos personales para salvaguardar el derecho a la intimidad personal, familiar y al buen nombre de acuerdo con la normatividad vigente en esta materia y compatible con las mejores prácticas a nivel internacional.  ALCANCE Este procedimiento aplica para todas las actividades que desarrolla FUCKUP NIGHTS y donde se realice tratamiento de datos personales. Referencias normativas La protección de datos personales se desarrollará cumpliendo con la normatividad local y teniendo en cuenta las buenas prácticas a nivel internacional: En Colombia: • Ley 1581 de 2012. Disposiciones generales para la protección de datos personales. • Ley 1712 de 2014. Ley de transparencia y del derecho de acceso a la información pública nacional. • Decreto 1074 de 2015. Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, Capítulo 25 sobre protección de Datos Personales. • Circular Externa 001 de 2016. Instrucciones hacia los responsables para realizar la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos – RNBD en la Superintendencia de Industria y Comercio. • Circular Externa 005 de 2017. Transferencia de datos personales a terceros países. • Decreto 090 de 2018. Modifica el ámbito de aplicación del registro de las bases de datos y los plazos para realizar dicho registro. Cuando se produzcan cambios legislativos o normativos en materia de Datos Personales, las referencias realizadas en este documento se entenderán modificadas por las nuevas disposiciones en los apartes pertinentes. Sin perjuicio que se realicen las actualizaciones que correspondan. A nivel internacional: • Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos - GDPR). • Alemania: Reglamento general de protección de datos (GDPR) y Ley Federal de Protección de Datos (BDSG). • Argentina: Ley 25326 de Protección de Datos Personales y su Decreto del Poder Ejecutivo Nacional Reglamentario 1558/2001. • Brasil: Ley 13709 del 14 de agosto de 2018, Ley General de Protección de Datos. • Canadá: Ley de Privacidad Canadiense, Ley de Información del Consumidor de Ontario, Ley de Protección de información de Salud Personal de Ontario ("PHIPA"), Ley Canadiense de Protección de Datos Personales y Documentos Electrónicos ("PIPEDA"), Código de Derechos Humanos de Ontario y Ley de Normas de Empleo de Ontario ("ESA"). • Chile: Ley 19628 sobre Protección de la Vida Privada. • China: Leyes y reglamentos de la República Popular China ("P.R.C") con respecto a la protección de datos personales. • Costa Rica: Ley 8968 Normativa de Protección de la Persona frente al tratamiento de sus datos personales, y su reglamento relativa al tratamiento de datos personales de las personas físicas. • Ecuador: Ley Orgánica del Sistema Nacional de Registro de Datos Públicos y su reglamento, en concordancia con el Art. 178 del Código Orgánico Integral Penal, normativa relativa al tratamiento de datos personales de las personas.  • España: Reglamento general de protección de datos (GDPR), y Ley Orgánica 3/2018, del 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. • EEUU: The Federal Trade Commission Act (FTCA) (15 U.S. Code §41, et. seq.), Fair Credit Reporting Act (FCRA), as amended by the Fair and Accurate Credit Transactions Act (FACTA) (15 U.S. Code §1681), Genetic Information Non-Discrimination Act (GINA), Health Insurance Portability and Accountability Act (HIPAA), Electronic Communications Privacy Act of 1986 (ECPA) (18 U.S.C. §2511, et. seq.). • Francia: Reglamento general de protección de datos (GDPR), y Ley de informática y libertades No 78/17 del 6 de enero de 1978 y la ley núm. 2018-493 de 20 de junio de 2018 relativo al reglamento general de protección de datos. • Guatemala: Decreto 57-2008, Ley de Acceso a la Información Pública. • Japón: Ley de Enmienda de la Ley de Protección de la Información Personal. • México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su reglamento relativa al tratamiento de datos personales de las personas físicas. • Perú: Ley 29733, Ley de Protección de Datos Personales y el Decreto Supremo No. 003-2013-JUS, Reglamento de la Ley 29733, relativa al tratamiento de datos personales de las personas naturales. • Reino Unido: Reglamento general de protección de datos (GDPR) y Ley de protección de datos del Reino Unido. DEFINICIONES • AUTORIZACIÓN : Consentimiento del interesado previo, expreso, informado e inequívoco del titular para llevar a cabo el tratamiento de datos personales, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. • BASE DE DATOS : Conjunto organizado de datos personales que sea objeto de tratamiento, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica. • AVISO DE PRIVACIDAD : Comunicación verbal o escrita generada por el responsable, dirigida al titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamiento que se pretende dar a los datos personales. • DATO PERSONAL : Cualquier información vinculada o que pueda asociarse a una o varias personas naturales o persona física identificada o identificable. En la categoría de datos personales se incluyen los datos genéticos, datos relativos a la salud y datos biométricos (imágenes faciales o datos dactiloscópicos). • DATO PÚBLICO : Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. Ejemplos: Número de cédula, Estado civil, Conformación de la familia, Su calidad de comerciante o de servidor público, Registro civil, Datos contenidos en documentos públicos, Datos contenidos en sentencias judiciales debidamente ejecutoriadas. • DATOS SEMIPRIVADOS : Son aquellos que no tienen naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación pueden interesar no solo a su titular sino a cierto sector o grupo de personas de la sociedad en general, Ejemple: el dato financiero y crediticio de la actividad comercial o de servicios. • DATOS SENSIBLES : Se entiende por datos sensibles aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos. Ejemplos: Origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, organizaciones sociales y/o de derechos humanos, datos relativos a la salud, datos relativos a la vida sexual, datos biométricos, hábitos de la persona. • DATOS PRIVADOS : Son los datos que por su naturaleza íntima o reservada solo son relevantes para el titular, pueden ser sensibles o no sensibles. Ejemplo: fotografía personal o correo electrónico. • ENCARGADO DEL TRATAMIENTO : Es aquel que por delegación del responsable del tratamiento decida sobre la gestión de uso de datos personales que maneje la organización. • RESPONSABLE DEL TRATAMIENTO : Es aquel que tiene la decisión sobre el manejo de la base de datos y/o el tratamiento de los datos personales que se manejan en la organización. • TITULAR (INTERESADO) : Persona natural cuyos datos personales sean objeto de tratamiento. También se define como una persona física identificable cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, etc. • TRANSFERENCIA : La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, envía la información o los datos personales a un receptor, que a su vez es responsable del tratamiento y se encuentra dentro o fuera del país. • TRANSMISIÓN : Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable. • TRATAMIENTO : Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso o supresión, incluye organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. • HABEAS DATA : Es el derecho que tiene toda persona para conocer, actualizar y rectificar toda aquella información que se relacione con ella y que se recopile o almacene en centrales de información. PRINCIPIOS: En los formularios implementados o que se vayan a crear en las plataformas o portales de la marca para el registro de datos personales de terceros, se deben tener en cuenta las siguientes orientaciones: • La aceptación de uso y tratamiento de datos personales debe estar independiente de la aceptación de términos y condiciones de uso del activo digital. • El texto debe ser: “Autorizo el uso y tratamiento de mis datos personales acorde con la siguiente política”. • El texto debe estar vinculado a la política de tratamiento de datos personales, • Las opciones que el usuario tiene frente al texto “Autorizo el uso y tratamiento de mis datos personales acorde con la siguiente política” en caso de Sí, procede al envío del registro, en caso de ¨No¨ el registro no podrá ser realizado. • El campo en la base de datos donde se almacene la opción seleccionada por el usuario debe tener un nombre descriptivo, se sugiere: “autorizacion_tratamiento_datos_personales”. En la descripción del campo colocar el siguiente texto “Este campo almacena el dato de aceptación del uso y tratamiento de datos personales”. • Se debe almacenar en la base de datos la fecha de la aceptación o no del tratamiento de datos personales. Se sugiere como nombre del campo “fecha_ autorizacion_tratamiento_DP”. En la descripción del campo colocar el siguiente texto “Este campo almacena la fecha en la cual el usuario aceptó o no el uso y tratamiento de datos personales” . • Si los datos que se solicitan en el formulario son requeridos u obligatorios para acceder al servicio al cual se está registrando, se le debe informar al usuario que sin esa información no podrá continuar con el proceso. • En aquellos casos donde el usuario tenga la posibilidad de editar o actualizar su información, el sistema debe solicitarle refrendar la aceptación de la política de tratamiento de datos personales. • Se deben implementar mecanismos de seguridad estrictos para asegurar la confidencialidad de los datos considerados como sensibles: aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos. Envío de boletines por correo electrónico El envío de correos con información para promocionar servicios o productos dirigidos a personas o a empresas deberá seguir las siguientes orientaciones: El usuario que se registra acepta al envío de correos es decir, da el consentimiento previo y voluntario aceptando recibir estas comunicaciones vía correo electrónico, tiene como fin enviar contenido de valor de la marca y de sus aliados así como información de nuevos eventos, actividades y otros. • RESPONSABILIDADES En relación con la gestión de datos personales, es responsabilidad de la empresa: 1. Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. 2. Solicitar y conservar, un registro de la respectiva autorización otorgada por el titular. 3. Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. 4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 5. Adoptar las demás medidas necesarias para que la información se mantenga actualizada. 6. Corregir la información cuando sea incorrecta y comunicar lo pertinente a cualquier tercero autorizado. 7. Tramitar las consultas y reclamos formulados en los términos señalados en la normativa vigente. 8. Implementar las políticas y procedimientos descritos en el presente documento para garantizar el adecuado cumplimiento de la normativa vigente y en especial, para la atención de consultas y reclamos. 9. Informar a solicitud del titular sobre el uso dado a sus datos. 10. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. 11. Cumplir las instrucciones y requerimientos que imparta el organismo de control correspondiente en materia de Datos Personales. 12. Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por el organismo de control correspondiente en materia de Datos Personales. 13. Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella. CONTROLES DE LA GESTIÓN DE DATOS PERSONALES: Quejas, reclamos, felicitaciones y sugerencias La atención de quejas, reclamos, felicitaciones y sugerencias de los titulares de la información, relacionadas con el uso, acceso, actualización, corrección o eliminación de datos personales se realizará enviando un mensaje desde la sección de contacto de la página web.