1. Objeto y alcance

La presente Política establece los lineamientos para el tratamiento y protección de los datos personales recolectados, almacenados, utilizados, consultados, verificados, transmitidos, compartidos o suprimidos por CCO Consultores en desarrollo de sus actividades y servicios.

La Política aplica a las personas que suministren información a CCO Consultores a través de su plataforma tecnológica, formularios web, correo electrónico, llamadas, mensajería, atención presencial, visitas, procesos de prestación de servicios, relaciones comerciales, ingreso a sus instalaciones u otros canales autorizados. Incluye, según corresponda, candidatos, examinados, clientes, proveedores, visitantes, participantes de programas de formación y demás personas naturales cuyos datos sean tratados por la Compañía.

El tratamiento se realizará de conformidad con la Constitución Política de Colombia, la Ley 1581 de 2012, la Ley 1266 de 2008 cuando resulte aplicable, la Ley 2157 de 2021, el Decreto Único 1074 de 2015 y las demás normas que modifiquen, adicionen, reglamenten o sustituyan este marco.

2. Marco Normativo

La presente Política de Tratamiento y Protección de Datos Personales de CCO Consultores SAS se fundamenta en el ordenamiento jurídico colombiano aplicable al derecho fundamental de hábeas data y a la protección de datos personales. Su interpretación y aplicación se sujetarán a las siguientes disposiciones, según la naturaleza de la información, la finalidad del tratamiento y la calidad en que intervenga la Compañía:

Constitución Política de Colombia: artículos 15, 20 y 23.

Ley Estatutaria 1581 de 2012: régimen general de protección de datos personales; en particular, artículos 2 a 26, en lo que resulte aplicable al tratamiento realizado por CCO Consultores.

Ley Estatutaria 1266 de 2008 y Ley Estatutaria 2157 de 2021: régimen especial de hábeas data aplicable a la información financiera, crediticia, comercial, de servicios y proveniente de terceros países, cuando corresponda.

Decreto 1377 de 2013: reglamentario parcial de la Ley 1581 de 2012, cuyas disposiciones fueron compiladas en el Libro 2, Parte 2, Título 2, Capítulo 25 del Decreto Único Reglamentario 1074 de 2015.

Decreto Único Reglamentario 1074 de 2015 —Sector Comercio, Industria y Turismo—: Libro 2, Parte 2, Título 2, Capítulo 25, especialmente las disposiciones sobre autorización, tratamiento de datos sensibles, políticas de tratamiento y ejercicio de los derechos de los titulares, con sus modificaciones y adiciones vigentes.

Circular Única de la Superintendencia de Industria y Comercio: Título V, sobre protección de datos personales, junto con sus modificaciones, adiciones e instrucciones vigentes aplicables a CCO Consultores.

Este marco se complementará con las disposiciones que modifiquen, adicionen, reglamenten o sustituyan las normas citadas, así como con la jurisprudencia constitucional y las instrucciones de las autoridades competentes que resulten aplicables. La referencia a estas disposiciones no sustituye la verificación de la habilitación jurídica exigible para cada tratamiento ni autoriza el uso de información para finalidades distintas de las legalmente permitidas.

3. Definiciones

Autorización: consentimiento previo, expreso e informado del titular para que CCO Consultores trate sus datos personales en los procesos y para las finalidades informadas.

Aviso de privacidad: comunicación verbal o escrita mediante la cual el responsable informa al titular sobre la existencia de esta Política, la forma de consultarla y las finalidades del tratamiento.

Base de datos: conjunto organizado de datos personales objeto de tratamiento por CCO Consultores.

Consulta: solicitud del titular o sus causahabientes para conocer la información personal que repose en las bases de datos de CCO Consultores y esté vinculada con su identificación.

Dato personal: información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público: dato que no sea semiprivado, privado o sensible, como el estado civil, la profesión u oficio y la calidad de comerciante o servidor público. Puede constar en registros y documentos públicos o en decisiones judiciales ejecutoriadas no sometidas a reserva.

Encargado del tratamiento: persona natural o jurídica, pública o privada, que trata datos personales por cuenta del responsable. CCO Consultores actuará en esta calidad cuando realice el tratamiento por cuenta de otro responsable.

Reclamo: solicitud del titular o sus causahabientes para corregir, actualizar o suprimir sus datos personales, o reclamar por un presunto incumplimiento de los deberes legales de protección de datos por parte de CCO Consultores.

Responsable del tratamiento: persona natural o jurídica, pública o privada, que decide sobre la base de datos o el tratamiento de los datos personales. CCO Consultores actuará en esta calidad respecto de los tratamientos sobre los cuales tenga poder de decisión.

Titular: persona natural cuyos datos personales sean objeto de tratamiento.

Transmisión: tratamiento de datos personales que implica su comunicación dentro o fuera del territorio de la República de Colombia, cuando tenga por objeto la realización de un tratamiento por el encargado, por cuenta del responsable y conforme a sus instrucciones.

Transferencia: operación mediante la cual un responsable o encargado ubicado en Colombia envía información o datos personales a un receptor que, a su vez, actúa como responsable del tratamiento dentro o fuera del país.

Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, como su recolección, almacenamiento, uso, circulación o supresión.

4. Principios aplicables

CCO Consultores aplicará de manera armónica e integral los ocho principios previstos en el artículo 4 de la Ley 1581 de 2012 en todas las operaciones de tratamiento de datos personales, tanto cuando actúe como responsable como cuando lo haga en calidad de encargado. Para efectos de esta Política, estos principios se desarrollan así:

Legalidad: el tratamiento de datos personales es una actividad reglada y deberá ajustarse a la Ley 1581 de 2012 y a las disposiciones que la desarrollen. CCO Consultores verificará la habilitación jurídica de las operaciones que realice y observará los requisitos aplicables a cada categoría de información.

Finalidad: el tratamiento deberá responder a una finalidad legítima, conforme con la Constitución y la ley, previamente informada al titular. CCO Consultores utilizará los datos para las finalidades específicas de cada servicio o proceso y no los destinará a usos distintos sin la autorización o habilitación jurídica correspondiente.

Libertad: el tratamiento requerirá el consentimiento previo, expreso e informado del titular, salvo las excepciones legalmente previstas o los mandatos legales o judiciales que releven de obtenerlo. CCO Consultores solicitará la autorización cuando sea exigible y conservará evidencia que permita su posterior consulta; el silencio no se entenderá como consentimiento.

Veracidad o calidad: la información tratada deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible. CCO Consultores adoptará medidas para mantener su calidad y tramitar las correcciones y actualizaciones procedentes, evitando el tratamiento de datos parciales, incompletos o fraccionados que induzcan a error.

Transparencia: se garantizará al titular el derecho a conocer, en cualquier momento y sin restricciones indebidas, la existencia de datos personales que le conciernan. CCO Consultores facilitará el acceso a esta Política y atenderá las solicitudes de información sobre el tratamiento mediante los canales establecidos, con la verificación de identidad y dentro de los términos legales aplicables.

Acceso y circulación restringida: el acceso, uso y comunicación de los datos estarán limitados por su naturaleza, la Constitución y la ley, y corresponderán únicamente a personas autorizadas por el titular o legalmente habilitadas. CCO Consultores restringirá el acceso a quienes lo requieran para cumplir las finalidades permitidas. Los datos que no sean públicos no estarán disponibles en internet ni en medios de divulgación masiva, salvo mediante mecanismos que permitan controlar técnicamente el acceso de los titulares o terceros autorizados.

Seguridad: el tratamiento deberá incorporar las medidas técnicas, humanas y administrativas necesarias para proteger los registros frente a adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. CCO Consultores adoptará medidas acordes con la naturaleza de los datos y los riesgos del tratamiento, incluyendo controles de acceso y protección durante su almacenamiento y comunicación.

Confidencialidad: quienes intervengan en el tratamiento de datos personales que no sean públicos deberán guardar reserva, incluso después de finalizar su relación con CCO Consultores o las actividades de tratamiento. La información únicamente podrá suministrarse o comunicarse cuando ello corresponda a las actividades autorizadas y se ajuste a la legislación aplicable.

Como criterios complementarios de aplicación, CCO Consultores observará la necesidad y la temporalidad del tratamiento, conforme a las reglas de recolección y conservación del Decreto 1074 de 2015. Estos criterios desarrollan las obligaciones reglamentarias y no se presentan como principios adicionales expresamente enumerados en el artículo 4 de la Ley 1581 de 2012.

Necesidad: la recolección se limitará a los datos pertinentes y adecuados para la finalidad informada. CCO Consultores evitará solicitar o conservar información excesiva o que no resulte necesaria para el servicio o proceso correspondiente.

Temporalidad: los datos se conservarán durante el tiempo razonable y necesario para cumplir las finalidades informadas, atendiendo a las obligaciones legales y a los aspectos administrativos, contables, fiscales, jurídicos e históricos aplicables. Cumplida la finalidad y cuando no subsista un deber legal o contractual de conservación, CCO Consultores procederá a su supresión conforme al numeral 11 de esta Política.

5. Responsable del tratamiento y canales de atención

Razón social: CCO Consultores en Credibilidad y Confianza Organizacional SAS

Nit: 900822092-0

Persona designada para la atención de asuntos de protección de datos personales: José Luis Dávila Ospina. Esta designación corresponde a la gestión interna y no sustituye la calidad de responsable del tratamiento de CCO Consultores en Credibilidad y Confianza Organizacional SAS, cuando la Compañía decida sobre la base de datos o el tratamiento, conforme al numeral 3.

Correo para peticiones, consultas y reclamos: operaciones@ccoconsultores.com.co

Dirección: Carrera 29B No. 73-10 Oficina 401, Bogotá D.C., Colombia.

Números de contacto: +57(1)3043557624 y +57(1)3123573115.

6. Finalidades del tratamiento

CCO Consultores podrá tratar datos personales, según el servicio, relación o proceso aplicable, para:

Identificar y contactar a la persona titular de la información.

Atender solicitudes comerciales, prestar, administrar y promocionar los productos y servicios de la Compañía y evaluar su calidad.

Dar cumplimiento a obligaciones contractuales y desarrollar servicios orientados a verificar o establecer confiabilidad, cuando resulte legalmente procedente.

Realizar estudios de confiabilidad, visitas domiciliarias presenciales o virtuales y validaciones documentales o de información.

Realizar procesos de debida diligencia y conocimiento de clientes, proveedores, aliados, socios u otros terceros, incluyendo validaciones comerciales, financieras o de cumplimiento únicamente cuando exista una finalidad legítima y habilitación legal para ello.

Aplicar pruebas de polígrafo y entrevistas de confiabilidad, dentro del alcance autorizado y respetando los derechos fundamentales de los titulares.

Verificar, cuando sea necesario para una prueba de polígrafo, condiciones de salud o principios fisiológicos relacionados exclusivamente con la idoneidad para la aplicación de la prueba.

Entregar resultados a la empresa solicitante o cliente, conforme con la autorización, el contrato y la finalidad informada.

Desarrollar programas de formación, gestionar inscripciones, comunicaciones, certificaciones y actividades asociadas a dichos programas.

Gestionar peticiones, consultas, reclamos, solicitudes y el ejercicio de los derechos de los titulares.

Cumplir obligaciones legales, contractuales, administrativas y requerimientos de autoridades competentes.

7. Información obtenida de terceros y fuentes autorizadas

En desarrollo de los servicios contratados, CCO Consultores podrá verificar información suministrada por el titular mediante fuentes legalmente autorizadas, entidades públicas o privadas, referencias y terceros, siempre que la consulta sea pertinente para la finalidad informada y se encuentre permitida por la legislación aplicable.

La consulta de información financiera o crediticia se realizará únicamente cuando exista habilitación legal y una finalidad compatible con el régimen especial aplicable. No se consultará ni utilizará información financiera, crediticia, comercial, de servicios o proveniente de terceros países para fines de toma de decisiones laborales, de conformidad con el régimen especial aplicable.

8. Tratamiento de datos sensibles

En desarrollo de algunos servicios, CCO Consultores podrá requerir el tratamiento de datos sensibles, incluyendo información relacionada con la salud, condiciones fisiológicas u otros datos cuya naturaleza exija protección reforzada.

Cuando se soliciten datos sensibles, se informará al titular sobre su carácter sensible, la finalidad específica y el carácter facultativo de responder preguntas o suministrar información sensible, salvo las excepciones legales. La autorización será explícita cuando así lo exija la normativa vigente.

De conformidad con el artículo 9 de la Ley 1581 de 2012 y en concordancia con la definición de autorización del numeral 3 y el principio de libertad del numeral 4, CCO Consultores obtendrá el consentimiento previo, expreso e informado del titular antes de iniciar el tratamiento, salvo las excepciones previstas en la ley. La autorización se obtendrá mediante un medio que permita su consulta posterior y la verificación del consentimiento respecto del tratamiento informado. Este requisito general no sustituye las condiciones especiales exigibles para los datos sensibles, que deberán observarse conjuntamente.

Las fotografías, imágenes y grabaciones de audio o video constituyen datos personales cuando permiten identificar o hacer identificable a una persona y estarán sujetas a las reglas generales de tratamiento previstas en esta Política. Cuando contengan datos biométricos u otra información de naturaleza sensible, se aplicarán además las condiciones especiales de autorización y las medidas de protección reforzada previstas en este numeral.

9. Autorización y captura de información

La autorización y los deberes de información se regirán por el numeral 13, incluidas las modalidades que permitan su consulta posterior. Antes o al momento de recolectar información personal, CCO Consultores pondrá a disposición del titular esta Política. Los subnumerales siguientes desarrollan la aplicación de estas reglas según el canal o servicio utilizado.

9.1. Contacto telefónico y entrevistas

Cuando la información se recolecte mediante llamada o entrevista, se informará previamente la actividad, la finalidad del tratamiento y, cuando corresponda, la necesidad de autorización. La evidencia será conservada conforme con los procedimientos internos.

9.2. Visitas domiciliarias presenciales o virtuales

Se informará al titular el objetivo de la actividad y el tratamiento de la información. En modalidades virtuales podrán tratarse imágenes, audio, video y demás información suministrada durante la ejecución del servicio únicamente cuando resulte necesaria para la finalidad informada. Se procurará evitar la recolección innecesaria de datos de terceros presentes en el entorno.

9.3. Pruebas de polígrafo

Antes de iniciar una prueba de polígrafo, el examinador informará al titular sobre el procedimiento, las finalidades del tratamiento y los datos que serán registrados, y solicitará la autorización o consentimiento aplicable. Cuando se involucren datos sensibles se aplicarán las reglas especiales previstas en esta Política.

9.4. Canales digitales y plataforma tecnológica

Cuando el titular suministre información mediante formularios web, la plataforma tecnológica de CCO Consultores u otros canales digitales, se le informará la finalidad del tratamiento y se solicitará la aceptación o autorización correspondiente mediante un mecanismo que permita conservar evidencia.

9.5. Ingreso a instalaciones

Cuando se recolecten datos de visitantes para control de acceso, seguridad o atención, se limitarán a los datos necesarios para dicha finalidad y se conservarán durante el período de un (1) mes, de acuerdo con la presente política.

CCO Consultores cuenta con un sistema de circuito cerrado de televisión (CCTV) que capta y graba imágenes y audio de manera continua, las veinticuatro (24) horas del día, en las zonas de sus instalaciones sometidas a videovigilancia. Este tratamiento se realiza con fines de seguridad, control de acceso, protección de las personas y de los bienes, y prevención y atención de incidentes. La existencia del sistema y las finalidades del tratamiento serán informadas mediante avisos visibles ubicados antes del ingreso a las áreas vigiladas, los cuales indicarán los canales para consultar esta Política y ejercer los derechos del titular. Las grabaciones se conservarán, como regla general, por un período máximo de treinta (30) días, al cabo del cual se eliminarán mediante sobrescritura automática o por otro procedimiento seguro. Excepcionalmente, los registros relacionados con un incidente, una reclamación, el ejercicio o la defensa de derechos, o un requerimiento de autoridad competente podrán extraerse y conservarse por el tiempo estrictamente necesario para la finalidad que justifique su preservación, con acceso restringido y medidas de seguridad y confidencialidad. El acceso, consulta, entrega o reproducción de las grabaciones solo procederá respecto de personas autorizadas o legalmente habilitadas y conforme a los numerales 10, 11, 13.7 y 18 de esta Política.

10. Comunicación, transmisión y entrega de información

CCO Consultores podrá comunicar, transmitir, transferir o entregar datos personales a empresas contratantes, clientes, proveedores o terceros que participen en la prestación del servicio únicamente cuando resulte necesario para cumplir las finalidades informadas, exista autorización u otra habilitación jurídica aplicable y se observen los requisitos correspondientes según la calidad en que actúe el destinatario de la información.

Cuando el destinatario actúe como encargado del tratamiento por cuenta de CCO Consultores, la operación se sujetará a las reglas aplicables a la transmisión de datos personales y el encargado deberá tratar la información únicamente para las finalidades autorizadas, conforme a las instrucciones legítimas impartidas por el responsable y bajo las condiciones de seguridad, privacidad y confidencialidad correspondientes.

Cuando el destinatario actúe como responsable del tratamiento, la entrega se sujetará a las reglas aplicables a la transferencia de datos personales y a la habilitación jurídica correspondiente. Cuando la transmisión o transferencia tenga carácter internacional, se observarán además las disposiciones legales y reglamentarias aplicables.

11. Conservación, retención y eliminación

De conformidad con los principios previstos en el artículo 4 de la Ley 1581 de 2012 y las limitaciones temporales al tratamiento establecidas en el artículo 2.2.2.25.2.8 del Decreto 1074 de 2015, CCO Consultores conservará los archivos que contengan datos personales, incluidos los sensibles, durante el tiempo razonable y necesario para cumplir las finalidades informadas. Para los archivos asociados a los procesos cuyos resultados se entreguen al solicitante, CCO Consultores establece como regla interna de conservación un plazo máximo general de seis (6) meses, contado a partir de dicha entrega, siempre que su conservación sea necesaria para atender consultas, reclamos y solicitudes de ejercicio de derechos del titular relacionados con el respectivo proceso, sin perjuicio de los criterios específicos y las excepciones debidamente justificadas previstos en este numeral.

Los demás archivos administrativos que contengan datos personales se conservarán durante el tiempo razonable y necesario para cumplir la finalidad que justificó su tratamiento y de acuerdo con los plazos aplicables a la respectiva categoría documental, atendiendo a las obligaciones administrativas, contables, fiscales, contractuales o jurídicas que correspondan. Cuando no exista un término legal o contractual específico, CCO Consultores definirá y documentará el período de conservación con criterios de necesidad, proporcionalidad y temporalidad; vencido dicho período y siempre que no subsista una justificación jurídica para mantener la información, procederá a su supresión o anonimización irreversible, según corresponda.

La finalidad y el plazo de conservación aplicables deberán informarse previamente al titular y quedar comprendidos en la autorización correspondiente, salvo las excepciones legales. Tratándose de datos sensibles, se observarán las condiciones especiales del artículo 6 de la Ley 1581 de 2012, incluida la autorización explícita cuando resulte exigible. Cuando CCO Consultores actúe como Encargado del Tratamiento, cumplirá además las instrucciones legítimas del Responsable, dentro del marco de la normativa aplicable. Durante todo el período de conservación, la información permanecerá protegida mediante medidas de seguridad, confidencialidad y acceso restringido y no se utilizará para finalidades distintas de las autorizadas o legalmente permitidas.

El plazo de conservación no impedirá tramitar y atender las solicitudes de supresión de datos o revocatoria de la autorización que resulten procedentes antes de su vencimiento, conforme a la Ley 1581 de 2012 y al artículo 2.2.2.25.2.6 del Decreto 1074 de 2015. La conservación no podrá invocarse como una restricción general al ejercicio de los derechos del titular; cuando exista un deber legal o contractual que exija mantener determinados datos, se conservará exclusivamente la información necesaria durante el término exigible.

Excepcionalmente, la conservación podrá extenderse por el tiempo estrictamente necesario para cumplir obligaciones legales, contractuales o administrativas aplicables, atender reclamaciones o requerimientos de autoridades competentes, o preservar información con fines probatorios para el ejercicio o la defensa de derechos, siempre que exista una justificación concreta y una habilitación jurídica para el tratamiento.

Los períodos de conservación podrán diferenciarse según la naturaleza del servicio, el tipo de información y la relación con el titular, dentro de los límites de necesidad y temporalidad. Los documentos aportados por candidatos en Estudios de Seguridad y Visitas Domiciliarias estarán sujetos a los plazos específicos aprobados por la Gerencia de CCO. Los procesos de Poligrafía, debida diligencia y otros servicios con finalidades diferentes podrán sujetarse a criterios específicos, debidamente documentados e informados al titular. La aprobación interna de estos plazos no constituirá, por sí sola, una habilitación para conservar información por encima del plazo máximo general de seis (6) meses establecido internamente por CCO Consultores para dichos procesos. Cualquier período superior deberá contar con una justificación y una habilitación jurídica conforme a las excepciones señaladas en este numeral.

Vencido el plazo aplicable o cumplida la finalidad, y cuando no subsista una justificación jurídica para conservar los datos, CCO Consultores procederá a su supresión o a su anonimización irreversible, según corresponda. La restricción de acceso y las demás medidas de disposición definidas por CCO podrán aplicarse durante la conservación excepcional o mientras se ejecuta la eliminación, pero no sustituirán la supresión cuando esta resulte exigible. La eliminación de documentos digitales se realizará mediante procedimientos controlados y verificables.

La información que permanezca temporalmente en copias de seguridad estará sujeta a controles de acceso y a ciclos definidos de retención y renovación, cuya duración deberá ser razonable y necesaria para la finalidad de respaldo y seguridad, sin permitir su conservación indefinida ni su utilización para finalidades no autorizadas. Si se restaura una copia que contenga información cuyo período de conservación haya finalizado y respecto de la cual no subsista una excepción jurídicamente justificada, deberán reaplicarse los procedimientos de depuración correspondientes, de modo que la restauración no habilite nuevamente su uso ni reinicie el plazo de conservación.

12. Derechos de los titulares

Conocer, actualizar y rectificar sus datos personales en el marco de la ley 1581 de 2012.

Solicitar prueba de la autorización otorgada a CCO Consultores, salvo los casos exceptuados por la ley.

Ser informado, previa solicitud, respecto del uso dado a sus datos personales.

Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012 y demás normas que la modifiquen, adicionen o complementen, una vez agotado el trámite de consulta o reclamo ante el responsable o encargado del tratamiento, conforme al numeral 14.3 y al artículo 16 de la Ley 1581 de 2012.

Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión también procederá cuando la Superintendencia de Industria y Comercio, en ejercicio de sus competencias, determine que el responsable o encargado ha incurrido en conductas contrarias a la Ley 1581 de 2012 y a la Constitución. Lo anterior se entiende sin perjuicio de las obligaciones legales o contractuales que impidan la supresión o exijan la conservación de determinada información y del procedimiento previsto en los numerales 13.6 y 14.2 de esta Política.

Acceder gratuitamente a sus datos personales objeto de tratamiento en los términos legales.

13. Lineamientos para el tratamiento de los datos y autorización

Los siguientes lineamientos establecen las reglas generales para el tratamiento de datos personales y la autorización, cuya aplicación por canal o servicio se desarrolla en el numeral 9. Estos lineamientos se aplicarán en concordancia con los principios del numeral 4, las finalidades del numeral 6, las garantías especiales del numeral 8 y los derechos del numeral 12. CCO Consultores observará estos lineamientos según actúe como responsable o encargado del tratamiento, sin que la contratación de un servicio constituya, por sí sola, autorización para tratar los datos personales de sus titulares.

13.1. Recolección de datos personales

La recolección por CCO Consultores se regirá por los principios de finalidad y libertad y el criterio de necesidad del numeral 4: solo comprenderá datos pertinentes y adecuados para las finalidades específicas informadas o exigidas por la normativa aplicable. En complemento del numeral 7, la disponibilidad de información en internet, portales o fuentes de acceso público no la convierte automáticamente en dato público; su tratamiento sin autorización solo procederá cuando, por su naturaleza, corresponda a esa categoría o concurra otra excepción legal. El acceso público a la fuente no exime de respetar los principios y las demás obligaciones de protección de datos.

13.2. Autorización del titular

Salvo las excepciones legales, CCO Consultores solicitará y obtendrá el consentimiento previo, expreso e informado del titular a más tardar al momento de la recolección y antes de iniciar el tratamiento. Informará los datos que serán recolectados y las finalidades específicas para las cuales solicita autorización. Esta podrá otorgarse por escrito, oralmente o mediante mecanismos electrónicos o automatizados que permitan acreditar una manifestación inequívoca del consentimiento y su consulta posterior. El silencio no constituirá autorización. CCO conservará prueba de la autorización conforme a los plazos aplicables y, cuando actúe como encargado, verificará con el responsable la autorización o habilitación jurídica correspondiente.

Los cambios sustanciales de esta Política relativos a la identificación del responsable o a las finalidades del tratamiento que puedan afectar el contenido de la autorización serán comunicados al titular antes o, a más tardar, al implementar las nuevas disposiciones. Cuando el cambio se refiera a la finalidad, se obtendrá una nueva autorización cuando sea legalmente exigible, antes de tratar los datos para esa nueva finalidad. La actualización de la Política no renovará automáticamente la autorización ni reiniciará los plazos de seis (6) meses de conservación descritos en el numeral 11.

13.3. Casos en que no se requiere autorización

Conforme al artículo 10 de la Ley 1581 de 2012, no será necesaria la autorización cuando se trate de: a) información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) datos de naturaleza pública; c) casos de urgencia médica o sanitaria; d) tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; o e) datos relacionados con el Registro Civil de las Personas. CCO Consultores verificará la procedencia de la excepción en cada caso. La ausencia del requisito de autorización no elimina el cumplimiento de las demás obligaciones legales ni las garantías especiales que resulten aplicables.

13.4. Suministro de información al titular

Para hacer efectivos los derechos del numeral 12 y conforme al procedimiento del numeral 14, CCO Consultores verificará la identidad o legitimación del solicitante y suministrará la información por el mismo medio en que se formule la consulta o por otro acordado con el titular. La respuesta será de fácil lectura, no presentará barreras técnicas que impidan su acceso y corresponderá íntegramente a la información personal del titular que repose en la base de datos, sin divulgar datos de terceros no autorizados.

13.5. Deber de informar al titular

Al solicitar la autorización, CCO Consultores informará de manera clara y expresa: a) el tratamiento al que serán sometidos los datos y sus finalidades; b) el carácter facultativo de responder preguntas sobre datos sensibles o datos de niños, niñas y adolescentes, sin que ello sustituya las garantías especiales legalmente exigibles; c) los derechos del titular y los mecanismos para ejercerlos; y d) la identificación, dirección física o electrónica y teléfono del responsable del tratamiento. Los datos de contacto de CCO constan en el numeral 5. Se conservará prueba del cumplimiento de este deber y se entregará copia al titular cuando la solicite.

13.6. Revocatoria de la autorización y supresión de datos

El titular podrá solicitar en cualquier momento la revocatoria de la autorización o la supresión de sus datos mediante un reclamo presentado por los canales del numeral 5 y tramitado conforme al numeral 14. No se exigirá una decisión previa de la Superintendencia de Industria y Comercio para recibir y tramitar la solicitud. Su procedencia se evaluará conforme a la ley y al numeral 11: cuando exista un deber legal o contractual del titular de permanecer en la base de datos, se conservará únicamente la información necesaria durante el término exigible y se explicará el fundamento de la conservación. Un acuerdo entre CCO y el contratante del servicio no constituirá, por sí solo, una restricción general a los derechos del titular.

13.7. Personas a quienes puede suministrarse información

La información personal objeto de tratamiento podrá suministrarse: a) a los titulares, sus causahabientes o sus representantes legales; b) a las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial; y c) a terceros autorizados por el titular o por la ley. CCO verificará la identidad, representación o habilitación del destinatario y limitará la entrega a la información procedente para la finalidad correspondiente, conforme al numeral 10. La calidad de cliente o contratante no habilitará automáticamente el acceso a los datos.

14. Consultas y reclamos

El titular, sus causahabientes, representantes o personas debidamente autorizadas podrán ejercer los derechos del numeral 12 mediante consultas o reclamos presentados por los canales de atención del numeral 5. CCO Consultores conservará constancia de su recepción y trámite y verificará suficientemente la identidad del solicitante y, cuando corresponda, su representación o autorización, mediante medios razonables y proporcionales que eviten divulgar información a terceros no habilitados. No se exigirá, como regla general, una validación «irrefutable», copia autenticada del documento de identidad ni poder autenticado, salvo que una disposición legal aplicable lo requiera.

14.1. Consultas

Las consultas permitirán conocer la información personal contenida en el registro individual o vinculada con la identificación del titular. CCO Consultores la suministrará conforme al numeral 13.4, por el mismo medio de la solicitud o por otro acordado con el titular, sin divulgar datos de terceros no autorizados. Durante el tiempo de conservación de los datos, el titular podrá consultarlos gratuitamente al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta Política que motiven nuevas consultas.

Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de su recepción. Si no fuere posible responder dentro de este plazo, CCO informará al interesado, antes de su vencimiento, los motivos de la demora y la fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del término inicial. La verificación de identidad no se utilizará para reiniciar discrecionalmente este plazo.

14.2. Reclamos

Los reclamos procederán para solicitar la corrección, actualización o supresión de datos, la revocatoria de la autorización o la atención de un presunto incumplimiento de los deberes de protección de datos personales. Las solicitudes de revocatoria y supresión se recibirán mediante mecanismos gratuitos y de fácil acceso y se evaluarán conforme a los numerales 11 y 13.6, sin exigir una decisión previa de la Superintendencia de Industria y Comercio para recibirlas y tramitarlas.

La solicitud deberá dirigirse a CCO Consultores e incluir la identificación del titular y del solicitante si es distinto, la descripción de los hechos, la petición concreta y una dirección física o electrónica para recibir la respuesta, junto con los documentos que se quieran hacer valer. Si se actúa por representación o autorización, deberá acreditarse esa calidad conforme a las reglas comunes de este numeral. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde el requerimiento sin que se aporte la información solicitada, se entenderá desistido el reclamo.

Si CCO no es competente para resolver el reclamo, lo trasladará a quien corresponda dentro de un máximo de dos (2) días hábiles e informará al interesado. La entrega de información a un cliente no obligará al titular a presentar nuevamente su solicitud ante este ni relevará a CCO de sus propias obligaciones. Cuando actúe como encargado, coordinará las actuaciones que correspondan con el responsable.

Una vez recibido el reclamo completo, CCO Consultores incluirá en la base de datos la leyenda «reclamo en trámite» y su motivo, dentro de un término máximo de dos (2) días hábiles, y la mantendrá hasta que el reclamo sea decidido, conforme al artículo 15 de la Ley 1581 de 2012.

Los reclamos serán atendidos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a su recepción. Cuando no sea posible atenderlos dentro de dicho término, CCO informará al interesado, antes de su vencimiento, los motivos de la demora y la fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del término inicial.

14.3. Derecho a presentar quejas ante la autoridad de protección de datos

El titular o sus causahabientes podrán presentar una queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante el responsable o encargado del tratamiento, conforme al artículo 16 de la Ley 1581 de 2012. Este requisito se refiere a la actuación ante la autoridad y no condiciona la presentación de consultas o reclamos ante CCO Consultores.

15. Deberes de CCO Consultores como responsable del tratamiento

Cuando CCO Consultores decida sobre las bases de datos o el tratamiento y actúe como responsable, cumplirá los deberes del artículo 17 de la Ley 1581 de 2012 y las demás disposiciones aplicables. Las siguientes obligaciones se desarrollan en concordancia con los principios, las garantías y los procedimientos de esta Política:

Garantizar al titular, en todo momento, el pleno y efectivo ejercicio del derecho de hábeas data y de los derechos previstos en el numeral 12.

Solicitar y conservar prueba de la autorización cuando sea exigible, mediante un medio que permita su consulta posterior, conforme al numeral 13.2. Su conservación se sujetará al numeral 11 y a los deberes legales aplicables; no se establecerá un plazo uniforme de un año ni la eliminación automática de todo registro al cumplirlo.

Informar debidamente al titular sobre las finalidades de la recolección y sus derechos, y acreditar el cumplimiento del deber de información previsto en el numeral 13.5.

Conservar los datos bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, conforme al numeral 18.

Garantizar que la información suministrada al encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible.

Actualizar la información y comunicar oportunamente al encargado las novedades de los datos previamente suministrados, adoptando las medidas necesarias para mantenerlos actualizados.

Rectificar la información incorrecta y comunicar al encargado las correcciones correspondientes.

Suministrar al encargado únicamente datos cuyo tratamiento esté previamente autorizado o comprendido en una excepción legal aplicable, dentro de las finalidades y habilitaciones correspondientes.

Exigir al encargado el cumplimiento permanente de las condiciones legales de seguridad, privacidad y confidencialidad, así como de las instrucciones legítimas impartidas por CCO.

Tramitar las consultas y reclamos dentro de los términos legales y conforme al numeral 14, sin imponer exigencias adicionales que restrinjan indebidamente el ejercicio de derechos.

Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de la normativa de protección de datos, especialmente la atención de consultas y reclamos.

Informar al encargado cuando determinados datos se encuentren en discusión por un reclamo del titular, mientras no haya finalizado su trámite, y coordinar las actuaciones que legalmente correspondan.

Informar al titular, cuando lo solicite, sobre el uso dado a sus datos personales.

Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares, mediante los canales y dentro de los términos aplicables.

Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio.

La contratación de un encargado no releva a CCO de sus obligaciones como responsable. Cuando corresponda celebrar un contrato de transmisión de datos personales, se observará el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Las medidas de cumplimiento se documentarán de acuerdo con el principio de responsabilidad demostrada previsto en el artículo 2.2.2.25.6.1 del mismo decreto.

16. Deberes del encargado del tratamiento de datos personales

Los encargados que traten datos por cuenta de CCO Consultores y la propia Compañía cuando actúe por cuenta de otro responsable cumplirán los deberes del artículo 18 de la Ley 1581 de 2012 y las demás disposiciones aplicables. El tratamiento se realizará dentro de las finalidades autorizadas y conforme a las instrucciones legítimas del responsable, sin que estas permitan desconocer la ley o los derechos del titular:

Garantizar al titular, en todo momento, el pleno y efectivo ejercicio del derecho de hábeas data.

Conservar la información y salvaguardar las bases de datos bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Realizar oportunamente la actualización, rectificación o supresión de los datos dentro de los términos legales, observando las reglas de conservación aplicables y las instrucciones legítimas del responsable.

Actualizar la información reportada por el responsable dentro de los cinco (5) días hábiles siguientes a su recibo.

Tramitar las consultas y reclamos dentro de los términos legales; cuando CCO actúe como encargado, aplicará el numeral 14 y coordinará con el responsable las actuaciones pertinentes, sin trasladar indebidamente esa carga al titular.

Adoptar un manual interno de políticas y procedimientos que garantice el cumplimiento de la normativa, especialmente la atención de consultas y reclamos.

Incorporar la leyenda «información en discusión judicial» cuando sea notificado por la autoridad competente de procesos judiciales relacionados con la calidad del dato personal.

Abstenerse de circular información controvertida por el titular cuando la Superintendencia de Industria y Comercio haya ordenado su bloqueo.

Permitir el acceso únicamente a las personas autorizadas o legalmente habilitadas, en los términos del numeral 13.7.

Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares, conforme a los canales y términos aplicables; adicionalmente, comunicar al responsable los incidentes que afecten los datos tratados por su cuenta, sin sustituir con esa comunicación el deber legal de informar a la autoridad.

Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio.

Guardar confidencialidad sobre los datos que no sean públicos, incluso después de finalizar la relación contractual o las actividades de tratamiento, y no utilizarlos para fines propios o distintos de los legalmente permitidos y autorizados.

Cuando en CCO Consultores concurran las calidades de responsable y encargado del tratamiento, serán exigibles los deberes correspondientes a cada una, conforme al parágrafo del artículo 18 de la Ley 1581 de 2012. La calidad jurídica se determinará según las decisiones y actividades efectivamente realizadas respecto de cada tratamiento, de acuerdo con las definiciones del numeral 3.

17. Deberes de colaboradores y terceros autorizados

Los empleados, contratistas, colaboradores y terceros autorizados que intervengan en el tratamiento de datos personales por cuenta de CCO Consultores deberán conocer y cumplir esta Política, los procedimientos internos aplicables y las instrucciones legítimas correspondientes a sus funciones. En desarrollo de los principios de finalidad, acceso y circulación restringida, seguridad y confidencialidad del artículo 4 de la Ley 1581 de 2012, les corresponderá:

a) Acceder y tratar únicamente los datos necesarios para las funciones asignadas, dentro de las finalidades autorizadas o legalmente permitidas. La autorización interna de acceso no sustituye el consentimiento del titular ni las demás habilitaciones jurídicas exigibles.

b) Guardar reserva sobre los datos que no tengan naturaleza pública, incluso después de finalizar su relación laboral, contractual o su intervención en el tratamiento, y abstenerse de utilizarlos para fines propios o de comunicarlos a personas no autorizadas o no habilitadas por la ley.

c) Cumplir las medidas de seguridad y custodia establecidas por CCO, proteger los documentos y medios de acceso a la información y abstenerse de copiar, descargar, almacenar, divulgar o suprimir datos por fuera de sus funciones y de los procedimientos autorizados.

d) Comunicar sin demora a la persona designada en el numeral 5, conforme a los procedimientos internos, cualquier incidente, acceso indebido, pérdida, divulgación no autorizada o situación que pueda comprometer la seguridad o confidencialidad de los datos, y colaborar en su gestión. Este reporte interno no sustituye los deberes de CCO o del encargado de informar a la autoridad cuando corresponda.

e) Remitir oportunamente las consultas, reclamos y demás solicitudes de los titulares a la persona o área competente para su trámite conforme al numeral 14, sin imponer restricciones adicionales, omitir su traslado o divulgar información sin la verificación correspondiente.

f) Observar los procedimientos de actualización, conservación, devolución y eliminación que correspondan a sus funciones, conforme al numeral 11. Al finalizar su intervención, entregar a CCO los documentos y medios bajo su custodia y abstenerse de conservar copias para fines propios, salvo que exista una obligación legal aplicable, con las garantías de protección correspondientes.

La asignación de estas funciones no transfiere ni extingue los deberes legales de CCO como responsable o encargado del tratamiento. Cuando un contratista o tercero actúe jurídicamente como encargado, también deberá cumplir las obligaciones del numeral 16.

18. Seguridad y confidencialidad

CCO Consultores adoptará y mantendrá las medidas técnicas, humanas, administrativas y organizacionales necesarias y apropiadas para proteger los datos personales frente a su adulteración, pérdida, consulta, uso, tratamiento o acceso no autorizado o fraudulento. Estas medidas se determinarán según la naturaleza y sensibilidad de los datos, el alcance de las operaciones y los riesgos para los derechos de los titulares, y estarán orientadas a preservar su confidencialidad, integridad y disponibilidad.

18.1. Alcance de las medidas de seguridad

Las medidas comprenderán los archivos, bases de datos, documentos, informes y demás soportes físicos o digitales que contengan datos personales, así como los sistemas, canales y procedimientos utilizados durante su recolección, almacenamiento, consulta, uso, comunicación y eliminación. La protección se mantendrá durante todo el ciclo de tratamiento, incluidas las copias de seguridad, sin ampliar los plazos de conservación del numeral 11 ni sustituir la supresión cuando esta resulte exigible.

CCO definirá, documentará y revisará controles acordes con los riesgos identificados, que comprendan la gestión de accesos según funciones y finalidades autorizadas, la custodia de documentos y medios de almacenamiento, la protección de la información durante su comunicación y los procedimientos de respaldo y disposición segura. La aplicación de estos controles no podrá convertirse en una barrera injustificada para el ejercicio de los derechos de los titulares; la verificación de identidad y el suministro de información se regirán por los numerales 13.4 y 14.

18.2. Lineamientos internos de seguridad de la información

CCO establecerá y mantendrá políticas y procedimientos internos de seguridad de la información acordes con la normativa vigente y con las buenas prácticas y los estándares técnicos pertinentes a los riesgos del tratamiento. Estos instrumentos deberán definir responsabilidades, controles y mecanismos de revisión, sin que su mención implique afirmar la existencia de certificaciones o la implementación de un estándar específico no acreditado.

Su cumplimiento será obligatorio para los empleados, contratistas, colaboradores y terceros autorizados que intervengan en el tratamiento, dentro del alcance de sus funciones y de las obligaciones legales y contractuales aplicables. CCO promoverá su conocimiento y capacitación y exigirá a los encargados las garantías de seguridad correspondientes. Las funciones individuales se regirán por el numeral 17 y no sustituirán los deberes de CCO ni del encargado previstos en los numerales 15 y 16.

18.3. Confidencialidad y gestión de incidentes

La reserva de los datos que no sean públicos se mantendrá incluso después de finalizar la relación laboral, contractual o las actividades de tratamiento. Su suministro o comunicación solo procederá a destinatarios autorizados o legalmente habilitados y para las finalidades permitidas, conforme a los numerales 10 y 13.7. CCO establecerá procedimientos para detectar, reportar, evaluar y gestionar incidentes de seguridad, documentar las actuaciones pertinentes y adoptar medidas correctivas. Los reportes internos y las comunicaciones al responsable o a la autoridad se cumplirán conforme a los numerales 15, 16 y 17 y a las instrucciones vigentes de la Superintendencia de Industria y Comercio.

Esta Política es de carácter público y no contiene detalles de configuración, infraestructura, arquitectura, credenciales, rutas de almacenamiento, procedimientos internos de seguridad ni metodologías de investigación. La reserva de esos detalles no podrá invocarse para negar el acceso del titular a sus datos personales o a la información sobre su tratamiento, ni impedirá atender los requerimientos de las autoridades competentes en los términos legales.

19. Vigencia y actualizaciones

La presente Política, una vez aprobada por la Gerencia de CCO Consultores, entrará en vigencia el 23 de octubre de 2026 y será publicada o puesta a disposición de los titulares. A partir de esa fecha, sustituirá la versión anterior elaborada el 20 de febrero de 2015 en los aspectos que hayan sido actualizados o modificados.

Las bases de datos sometidas a esta Política tendrán vigencia mientras subsistan las finalidades que justifican su tratamiento, sin perjuicio de los períodos específicos de conservación, las obligaciones legales o contractuales y los criterios de supresión o anonimización establecidos en el numeral 11.

CCO Consultores podrá actualizar esta Política por cambios normativos, operativos, tecnológicos o en las finalidades del tratamiento. La comunicación de cambios sustanciales y la obtención de una nueva autorización, cuando corresponda, se regirán por el numeral 13.2. Las modificaciones no podrán desconocer los derechos de los titulares ni habilitar tratamientos que carezcan de autorización o fundamento legal.