Política de tratamiento de la información y protección de datos personales

Control de versiones

Tabla de contenido

1. 1. Identificación del responsable del tratamiento
2. 2. Objeto, alcance y ámbito de aplicación
3. 3. Definiciones
4. 4. Principios rectores
5. 5. Categorías de titulares y de datos tratados
6. 6. Finalidades del tratamiento
7. 7. Tratamiento de datos sensibles y de menores de edad
8. 8. Autorización del titular
9. 9. Derechos de los titulares
10. 10. Área responsable y canales de atención
11. 11. Procedimiento para el ejercicio de los derechos
12. 12. Deberes de la Compañía
13. 13. Transmisión y transferencia de datos personales
14. 14. Medidas de seguridad de la información
15. 15. Registro Nacional de Bases de Datos
16. 16. Inventario de bases de datos y conservación
17. 17. Aviso de privacidad y canales de divulgación
18. 18. Cumplimiento, control y régimen sancionatorio
19. 19. Vigencia y modificaciones
20. Anexo 1. Aviso de privacidad
21. Anexo 2. Formato de autorización para el tratamiento de datos personales
22. Anexo 3. Formato de solicitud de consulta o reclamo

1. Identificación del responsable del tratamiento

DALMARU INVERSIONES S.A.S. (en adelante, «VOZ360», «la Compañía» o «el Responsable»), que opera bajo la marca VOZ360, es una sociedad constituida bajo las leyes de la República de Colombia dedicada a la prestación de servicios de contact center y BPO: atención al cliente, ventas, cobranza y gestión de la experiencia por canales telefónicos y digitales para empresas de distintos sectores. En esa actividad actúa como Responsable de los datos propios y como Encargada de los datos que sus clientes le confían para la operación de sus campañas.

2. Objeto, alcance y ámbito de aplicación

2.1. Objeto

La presente Política tiene por objeto establecer los criterios, principios, finalidades, procedimientos y medidas de seguridad que la Compañía aplica a la recolección, almacenamiento, uso, circulación, transmisión, transferencia y supresión de los datos personales que reposan en sus bases de datos y archivos, así como informar a los Titulares los derechos que les asisten y los mecanismos dispuestos para ejercerlos.

2.2. Alcance

Esta Política es de obligatorio cumplimiento para todos los directivos, colaboradores, asesores, supervisores, personal administrativo, practicantes, contratistas, proveedores y Encargados que, en desarrollo de su relación con la Compañía, accedan o traten datos personales bajo su responsabilidad, en su sede de Manizales, en las modalidades de trabajo remoto que autorice y en los canales digitales que administre. También aplica a los datos que la Compañía trata como Encargada por cuenta de sus clientes, sin perjuicio de las instrucciones y los contratos de cada cliente.

2.3. Ámbito de aplicación

La Política aplica al tratamiento de datos personales efectuado en el territorio colombiano, así como al que se realice fuera de él cuando, en virtud de tratados internacionales o de la ley colombiana, resulte aplicable el régimen nacional de protección de datos personales.

2.4. Marco normativo

La presente Política se expide con fundamento en las siguientes normas y sus disposiciones concordantes, modificatorias o sustitutivas:

• Constitución Política de Colombia, artículos 15 y 20.
• Ley Estatutaria 1581 de 2012, «Por la cual se dictan disposiciones generales para la protección de datos personales».
• Ley Estatutaria 1266 de 2008, en lo relativo al dato financiero, crediticio, comercial y de servicios, modificada por la Ley 2157 de 2021.
• Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25 (que compiló el Decreto 1377 de 2013) y Capítulo 26 (que compiló el Decreto 886 de 2014, sobre el Registro Nacional de Bases de Datos).
• Decreto 090 de 2018, sobre los sujetos obligados a inscribir sus bases de datos en el Registro Nacional de Bases de Datos.
• Ley 2300 de 2023, sobre los canales, horarios y frecuencia de contacto con los consumidores en las gestiones de cobranza y de ofrecimiento de productos y servicios.
• Ley 1755 de 2015, sobre el derecho fundamental de petición.
• Circulares externas e instrucciones impartidas por la Superintendencia de Industria y Comercio, en especial la Circular Única y sus modificaciones en materia de transferencias internacionales y reporte de incidentes de seguridad.
• Jurisprudencia de la Corte Constitucional, en particular las sentencias C-748 de 2011 y C-1011 de 2008.

Nota. A la fecha de expedición de esta Política cursa en el Congreso de la República un proyecto de ley estatutaria que modifica parcialmente la Ley 1581 de 2012. La Compañía revisará y ajustará este documento dentro de los seis (6) meses siguientes a la entrada en vigencia de cualquier reforma legal o reglamentaria que incida en su contenido.

3. Definiciones

Para efectos de la aplicación e interpretación de esta Política, los siguientes términos tendrán el significado que a continuación se indica, en concordancia con el artículo 3 de la Ley 1581 de 2012 y el artículo 2.2.2.25.1.3 del Decreto 1074 de 2015:

4. Principios rectores

Todo Tratamiento de datos personales que realice la Compañía se sujetará a los siguientes principios, previstos en el artículo 4 de la Ley 1581 de 2012, los cuales constituyen exigencias operativas verificables y no meros enunciados programáticos:

5. Categorías de titulares y de datos tratados

5.1. Categorías de titulares

La Compañía trata datos personales de las siguientes categorías de Titulares:

• Clientes corporativos y prospectos: representantes legales, contactos comerciales y personas de enlace de las empresas que contratan o solicitan los servicios de la Compañía.
• Usuarios atendidos en las campañas: consumidores, clientes y deudores de las empresas clientes que la Compañía contacta o atiende en nombre de estas, cuyos datos trata en calidad de Encargada.
• Peticionarios de PQRS: personas que presentan peticiones, quejas, reclamos, sugerencias o felicitaciones, incluso de forma anónima.
• Colaboradores, contratistas y aspirantes: asesores, supervisores y demás personal vinculado laboralmente o por prestación de servicios, practicantes y candidatos en procesos de selección.
• Proveedores y aliados comerciales: personas naturales que prestan servicios a la Compañía o actúan como representantes de personas jurídicas proveedoras.
• Usuarios de canales digitales: visitantes del sitio web y personas que interactúan con la Compañía por redes sociales, formularios, correo electrónico o mensajería, así como las personas que aparecen en fotografías o videos institucionales.

5.2. Categorías de datos

Según la categoría de Titular, la Compañía puede tratar los siguientes tipos de datos:

• Datos de identificación: nombres y apellidos, tipo y número de documento, fecha y lugar de nacimiento, edad, sexo, estado civil, nacionalidad, firma y, cuando la ley lo exija, imagen del documento de identidad.
• Datos de contacto: dirección de residencia o de notificaciones, teléfono fijo y celular, correo electrónico, ciudad y departamento.
• Datos laborales y financieros: hoja de vida, experiencia, formación, salario, afiliaciones al Sistema de Seguridad Social Integral, cuenta bancaria para el pago de nómina y la información tributaria y bancaria requerida para facturar o pagar a proveedores.
• Datos de las interacciones: grabaciones de llamadas, conversaciones por chat, WhatsApp, correo electrónico o redes sociales, registros en la herramienta de gestión (CRM), resultados de gestión y la información que cada cliente entregue para la operación de su campaña.
• Datos sensibles: imagen y voz (fotografías, videos y grabaciones), datos biométricos que se usen para el control de acceso y datos de salud de los colaboradores (incapacidades y exámenes ocupacionales), solo cuando sean necesarios para las finalidades informadas o lo exija la ley.
• Datos de menores de edad: la Compañía no los solicita por sus canales propios. Solo los trata cuando forman parte de la información de los beneficiarios de sus colaboradores o cuando un cliente los incluye en una campaña, y siempre bajo las reglas del numeral 7.2.

6. Finalidades del tratamiento

La Compañía trata los datos personales exclusivamente para las finalidades legítimas, determinadas y explícitas que se enuncian a continuación, las cuales se informan al Titular al momento de la recolección:

6.1. Clientes corporativos y prospectos

1. Atender solicitudes de información, elaborar diagnósticos y presentar propuestas comerciales.
2. Celebrar, ejecutar, administrar y terminar los contratos de prestación de servicios de contact center y BPO.
3. Coordinar la operación de las campañas con las personas de enlace del cliente y entregar informes de gestión e indicadores de servicio.
4. Gestionar la facturación, el recaudo y el cumplimiento de obligaciones tributarias y contables.
5. Atender requerimientos de autoridades administrativas, judiciales o de control, y cumplir obligaciones legales de reporte, conservación y auditoría.
6. Realizar encuestas de satisfacción y estudios internos de calidad del servicio.
7. Remitir información institucional y comunicaciones sobre los servicios de la Compañía, previa autorización del Titular y con la posibilidad permanente de solicitar su exclusión.

6.2. Usuarios atendidos en las campañas (como Encargada)

1. Contactar y atender a los usuarios en nombre del cliente, para las finalidades de servicio al cliente, ventas, cobranza, encuestas o soporte que el cliente defina y haya informado al Titular.
2. Grabar y monitorear las llamadas e interacciones, con aviso previo al usuario, con fines de calidad, seguridad, capacitación y soporte de la gestión.
3. Registrar los resultados de la gestión en las herramientas del cliente o de la Compañía y reportarlos al cliente.
4. Respetar los canales, horarios y frecuencia de contacto previstos en la ley, en particular la Ley 2300 de 2023 en las gestiones de cobranza y de ofrecimiento de productos.

6.3. Colaboradores, contratistas y aspirantes

1. Adelantar procesos de selección, verificación de referencias y evaluación de idoneidad profesional.
2. Ejecutar y administrar la relación laboral o contractual, incluida la nómina, la afiliación al Sistema de Seguridad Social Integral y la gestión de novedades.
3. Cumplir obligaciones en materia de seguridad y salud en el trabajo y de reporte a autoridades.
4. Expedir certificaciones laborales y atender requerimientos de terceros autorizados por el Titular.
5. Gestionar el control de acceso a las instalaciones y a los sistemas de información de la Compañía.
6. Usar la imagen y la voz de los colaboradores en comunicaciones internas e institucionales, con su autorización previa.

6.4. Proveedores y aliados

1. Adelantar procesos de vinculación, homologación y debida diligencia de contrapartes.
2. Celebrar y ejecutar contratos, gestionar pagos y cumplir obligaciones tributarias y contables.

6.5. Canales digitales y PQRS

1. Atender solicitudes de contacto, propuestas comerciales y postulaciones a vacantes recibidas por el sitio web, formularios, correo electrónico, mensajería instantánea o redes sociales.
2. Administrar el sitio web y mantener su seguridad. El sitio no utiliza cookies, píxeles de seguimiento ni herramientas de analítica de terceros.
3. Radicar, atender, responder y hacer seguimiento a las PQRS, y usar su contenido, de forma agregada, para mejorar los servicios.
4. Publicar fotografías y videos institucionales en el sitio web y las redes sociales de la Compañía, con autorización previa de las personas que aparecen en ellos.

La Compañía no utilizará los datos personales para finalidades distintas de las aquí previstas. Cualquier finalidad adicional será informada previamente al Titular y requerirá una nueva autorización, salvo que exista un deber legal o contractual que faculte el Tratamiento.

7. Tratamiento de datos sensibles y de menores de edad

7.1. Datos sensibles

El Tratamiento de datos sensibles está prohibido, salvo en los eventos previstos en el artículo 6 de la Ley 1581 de 2012. La Compañía trata datos sensibles —principalmente la imagen y la voz contenidas en grabaciones, fotografías y videos, y los datos de salud de sus colaboradores— cuando ello resulta necesario para la prestación del servicio, para el cumplimiento de obligaciones laborales y de seguridad y salud en el trabajo, o para el reconocimiento, ejercicio o defensa de un derecho.

Cuando el Tratamiento de datos sensibles se fundamente en la autorización del Titular, la Compañía observará las siguientes reglas:

• Informará al Titular, de manera expresa, que se trata de datos sensibles y cuáles de los datos solicitados tienen esa naturaleza.
• Informará al Titular la finalidad específica del Tratamiento y obtendrá su consentimiento explícito.
• Advertirá al Titular que no está obligado a autorizar el Tratamiento de datos sensibles, sin perjuicio de que la ausencia de dicha información pueda impedir o limitar la prestación del servicio o la gestión de la relación laboral.
• No condicionará ninguna actividad a que el Titular suministre datos sensibles, salvo cuando dicha información sea legalmente exigible para la actuación.

Los datos sensibles se almacenan con controles de acceso reforzados y su consulta se restringe al personal estrictamente necesario para la finalidad que justifica su Tratamiento.

7.2. Datos de niños, niñas y adolescentes

El Tratamiento de datos personales de niños, niñas y adolescentes está proscrito, salvo cuando se trate de datos de naturaleza pública o cuando el Tratamiento responda y respete el interés superior del menor y asegure el respeto de sus derechos fundamentales. La Compañía no solicita datos de menores por sus canales propios y solo los trata cuando resulta necesario para afiliar a los beneficiarios de sus colaboradores al Sistema de Seguridad Social Integral, o cuando un cliente los incluye en una campaña bajo su responsabilidad, previa autorización otorgada por su representante legal, y oyendo la opinión del menor cuando su madurez lo permita.

7.3. Deber de confidencialidad

Con independencia del régimen de protección de datos personales, la información de las campañas y de los usuarios de los clientes es confidencial. Los colaboradores y contratistas de la Compañía firman acuerdos de confidencialidad que siguen vigentes después de terminada su relación, y la Compañía solo usa esa información para prestar el servicio contratado, conforme a las instrucciones de cada cliente y a la Política de Seguridad de la Información de DALMARU INVERSIONES S.A.S. En caso de conflicto entre esta Política y las obligaciones contractuales de confidencialidad, prevalecerá la protección más favorable al Titular.

8. Autorización del titular

8.1. Obtención de la autorización

La Compañía solicita la autorización previa, expresa e informada del Titular a más tardar en el momento de la recolección de sus datos personales. La autorización puede constar por escrito, de forma oral o mediante conductas inequívocas del Titular que permitan concluir de manera razonable que otorgó su consentimiento, tales como la firma de un contrato o de un formato de autorización, la aceptación de la casilla de autorización en los formularios del sitio web, la aceptación verbal registrada en una llamada grabada o la remisión voluntaria de información a los canales de la Compañía. Cuando la Compañía actúa como Encargada, la obtención de la autorización de los usuarios de cada campaña corresponde al cliente Responsable.

En ningún caso el silencio del Titular se entenderá como una conducta inequívoca de autorización.

8.2. Prueba de la autorización

La Compañía conserva prueba de la autorización otorgada por el Titular mediante mecanismos físicos o electrónicos que garantizan su consulta posterior, tales como formatos suscritos, registros de aceptación en línea con marca de tiempo, grabaciones de llamadas previamente informadas o constancias de recepción de comunicaciones.

8.3. Casos en que no se requiere autorización

De conformidad con el artículo 10 de la Ley 1581 de 2012, no será necesaria la autorización del Titular cuando se trate de:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las Personas.

Los datos de los usuarios de las campañas se tratan con base en la autorización que haya obtenido el cliente Responsable o en la habilitación legal que este invoque. La Compañía se limita a las finalidades que el cliente le instruya.

8.4. Autorizaciones obtenidas antes de la expedición de esta Política

Respecto de los datos recolectados con anterioridad a la expedición de esta Política, la Compañía adelantará las gestiones necesarias para poner la Política a disposición de los Titulares y obtener su autorización, utilizando mecanismos eficientes de comunicación como el correo electrónico, la publicación en el sitio web y la comunicación directa en su sede. Si vencidos treinta (30) días hábiles contados desde la comunicación el Titular no ha manifestado su oposición, la Compañía continuará con el Tratamiento en los términos del artículo 2.2.2.25.2.5 del Decreto 1074 de 2015, sin perjuicio del derecho del Titular a solicitar en cualquier momento la supresión de sus datos o la revocatoria de la autorización.

9. Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, el Titular de los datos personales tiene los siguientes derechos:

• Conocer, actualizar y rectificar sus datos personales frente a la Compañía. Este derecho podrá ejercerse, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley disponga que la autorización no es necesaria.
• Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones al régimen de protección de datos personales, una vez agotado el trámite de consulta o reclamo ante la Compañía.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando la autoridad competente así lo haya determinado.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

9.1. Legitimación para el ejercicio de los derechos

Los derechos de los Titulares podrán ser ejercidos por el propio Titular acreditando su identidad; por sus causahabientes, quienes deberán acreditar tal calidad; por el representante o apoderado del Titular; y por estipulación a favor de otro o para otro. Los derechos de los niños, niñas y adolescentes se ejercerán por conducto de quienes acrediten su representación legal.

10. Área responsable y canales de atención

La Compañía ha designado un área encargada de la atención de consultas, reclamos, peticiones de rectificación, actualización y supresión de datos personales, y de velar por la implementación de esta Política.

11. Procedimiento para el ejercicio de los derechos

11.1. Consultas

El Titular o sus causahabientes podrán consultar la información personal que repose en las bases de datos de la Compañía. La solicitud deberá indicar el nombre completo del Titular, el número de documento de identidad, un canal de respuesta y la descripción de la información consultada, y deberá acompañarse de la prueba de la identidad o de la calidad en que se actúa.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado antes del vencimiento, expresando los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

11.2. Reclamos

El Titular o sus causahabientes que consideren que la información contenida en las bases de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la ley, podrán presentar un reclamo ante la Compañía, el cual se tramitará bajo las siguientes reglas:

1. El reclamo se formulará mediante solicitud dirigida a la Compañía por cualquiera de los canales señalados en el numeral 10, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección de notificación y los documentos que se quieran hacer valer.
2. Si el reclamo resulta incompleto, la Compañía requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
3. Si la Compañía no es competente para resolver el reclamo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
4. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga «reclamo en trámite» y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.
5. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

11.3. Requisito de procedibilidad

De conformidad con el parágrafo del artículo 16 de la Ley 1581 de 2012, el Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante la Compañía.

11.4. Revocatoria de la autorización y supresión del dato

El Titular podrá en cualquier momento solicitar la supresión de sus datos personales o revocar la autorización otorgada, total o parcialmente, respecto de finalidades específicas. La Compañía atenderá la solicitud dentro de los términos previstos para los reclamos.

No obstante, la supresión o la revocatoria no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos, o cuando la conservación resulte necesaria para el cumplimiento de una obligación legal de la Compañía, para la atención de requerimientos de autoridades, para el ejercicio o la defensa de reclamaciones, o para cumplir las instrucciones de conservación de un cliente conforme al numeral 16.3. En estos eventos la Compañía informará al Titular las razones jurídicas de la negativa, limitará el Tratamiento a las finalidades estrictamente necesarias y restringirá el acceso a la información.

12. Deberes de la Compañía

12.1. Como responsable del tratamiento

• Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
• Solicitar y conservar copia de la respectiva autorización otorgada por el Titular.
• Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten.
• Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Garantizar que la información suministrada al Encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Actualizar la información y comunicar oportunamente al Encargado las novedades, rectificaciones y supresiones.
• Tramitar las consultas y reclamos en los términos señalados en la ley y en esta Política.
• Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
• Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
• Informar a solicitud del Titular sobre el uso dado a sus datos.

12.2. Como encargado del tratamiento

Cuando la Compañía actúa como Encargada del Tratamiento por cuenta de sus clientes —como ocurre con los datos de los usuarios atendidos en las campañas—, cumple los deberes previstos en el artículo 18 de la Ley 1581 de 2012, trata los datos solo según las instrucciones del cliente Responsable y el contrato de transmisión correspondiente, y se abstiene de utilizarlos para finalidades propias.

13. Transmisión y transferencia de datos personales

13.1. Destinatarios

En desarrollo de su objeto, la Compañía puede comunicar datos personales a los siguientes destinatarios, siempre dentro de las finalidades autorizadas:

• Autoridades judiciales y administrativas, en atención a requerimientos legales o a órdenes de autoridad competente.
• Los clientes corporativos, que reciben los resultados, las grabaciones y los informes de gestión de sus propias campañas.
• Entidades del Sistema de Seguridad Social Integral, cajas de compensación familiar y administradoras de riesgos laborales, para la gestión de los colaboradores.
• Proveedores de servicios tecnológicos (telefonía e infraestructura de contact center, CRM, mensajería, alojamiento web, almacenamiento en la nube, correo electrónico y formularios), en calidad de Encargados.
• Asesores contables, tributarios y revisores fiscales, y entidades financieras, para la gestión de pagos y el cumplimiento de obligaciones legales.

13.2. Encargados

La Compañía suscribe con sus Encargados contratos de transmisión de datos personales o cláusulas contractuales que establecen, como mínimo, el alcance y las finalidades del Tratamiento, las obligaciones del Encargado de dar aplicación a esta Política, la prohibición de usar los datos para fines propios, las medidas de seguridad exigibles, el deber de confidencialidad y la obligación de devolver o suprimir los datos al terminar la relación.

13.3. Transferencias internacionales

Cuando la Compañía utilice servicios prestados desde el exterior que impliquen el envío de datos personales fuera del territorio nacional, verificará que el país receptor otorgue niveles adecuados de protección conforme a los estándares fijados por la Superintendencia de Industria y Comercio o, en su defecto, se amparará en alguna de las excepciones del artículo 26 de la Ley 1581 de 2012, en la autorización expresa e inequívoca del Titular o en la suscripción de cláusulas contractuales que garanticen dicho nivel de protección.

14. Medidas de seguridad de la información

La Compañía adopta medidas técnicas, humanas y administrativas razonables y proporcionadas al riesgo, orientadas a preservar la confidencialidad, integridad y disponibilidad de los datos personales, en el marco de su Política de Seguridad de la Información, alineada con la norma ISO/IEC 27001:

14.1. Medidas técnicas

• Control de acceso lógico con credenciales individuales, contraseñas robustas y, cuando sea posible, doble factor de autenticación.
• Asignación de permisos bajo el principio de mínimo privilegio y segregación de funciones.
• Cifrado de la información sensible en tránsito y en reposo, y uso de canales seguros para la transmisión de documentos.
• Copias de respaldo periódicas, con pruebas de restauración y almacenamiento en ubicación distinta a la de producción.
• Software antimalware actualizado, gestión de parches y registro de auditoría de accesos.

14.2. Medidas administrativas y humanas

• Suscripción de acuerdos de confidencialidad por parte de directivos, colaboradores, practicantes y contratistas.
• Capacitación periódica en protección de datos personales y seguridad de la información.
• Procedimientos documentados de gestión documental, custodia de documentos físicos y destrucción segura de documentos.
• Control de acceso físico a archivos y áreas donde se custodia información.
• Revisión periódica de perfiles de acceso y revocación inmediata al terminar la vinculación de una persona con la Compañía.
• Política de escritorio y pantalla limpios en la operación, y prohibición de tomar o publicar fotografías de pantallas, documentos o datos de usuarios.

14.3. Gestión de incidentes de seguridad

La Compañía dispone de un procedimiento interno para la detección, contención, análisis y remediación de incidentes de seguridad que afecten datos personales. Todo incidente deberá ser reportado de inmediato al área responsable o al correo seguridad@voz360.co, la cual evaluará su impacto, adoptará las medidas correctivas correspondientes y, cuando se trate de violaciones a los códigos de seguridad o de riesgos en la administración de la información, presentará el reporte a la Superintendencia de Industria y Comercio por los canales que dicha autoridad tenga dispuestos, dentro de los términos y condiciones fijados por ella. El deber de reporte previsto en el literal n) del artículo 17 de la Ley 1581 de 2012 se cumple con independencia de que la Compañía se encuentre o no inscrita en el Registro Nacional de Bases de Datos. Cuando el incidente pueda afectar de manera significativa los derechos de los Titulares, la Compañía les informará oportunamente. Cuando el incidente afecte datos que la Compañía trata como Encargada, informará además al cliente Responsable sin demora.

15. Registro Nacional de Bases de Datos

El Registro Nacional de Bases de Datos (RNBD) es el directorio público administrado por la Superintendencia de Industria y Comercio en el que los Responsables inscriben las bases de datos sujetas a Tratamiento. Conforme al artículo 2.2.2.26.3.1 del Decreto 1074 de 2015, modificado por el Decreto 090 de 2018, únicamente están obligadas a efectuar dicha inscripción las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a cien mil (100.000) Unidades de Valor Tributario, así como las personas jurídicas de naturaleza pública.

A la fecha de expedición de esta Política, la Compañía no se encuentra obligada a inscribir sus bases de datos en el RNBD, por no superar el umbral de activos totales previsto en la norma citada. Esta circunstancia no exime a la Compañía del cumplimiento integral de las demás obligaciones derivadas de la Ley 1581 de 2012 y de sus normas reglamentarias, las cuales resultan exigibles con independencia de la inscripción en el registro.

La Compañía verificará anualmente, con corte al 31 de diciembre de cada año, si sus activos totales superan el umbral señalado. En caso afirmativo, adelantará la inscripción de sus bases de datos dentro de los plazos fijados por la Superintendencia de Industria y Comercio, mantendrá actualizada la información registrada y reportará por ese medio las novedades, los reclamos presentados por los Titulares y los incidentes de seguridad, conforme a las instrucciones de dicha autoridad.

16. Inventario de bases de datos y conservación

La Compañía mantiene un inventario actualizado de sus bases de datos, con indicación del nombre, la finalidad, las categorías de Titulares y de datos, los Encargados, las medidas de seguridad aplicables y el periodo de conservación.

16.1. Plazos de conservación

La Compañía conserva los datos personales sometidos a Tratamiento durante el tiempo necesario para cumplir la finalidad que justificó su recolección y los plazos definidos en el numeral 16.4, contados a partir de la terminación de la relación contractual o laboral, de la atención de la solicitud o del último contacto con el Titular, según corresponda a cada base de datos.

Cumplido ese plazo, la información solo permanecerá en las bases de datos de la Compañía mientras subsista alguna de las finalidades declaradas en esta Política, un deber legal de conservación, o la necesidad de contar con medios de prueba para el ejercicio o la defensa de reclamaciones. La supresión de la información procederá cuando el Titular la solicite y no concurra ninguna de las causales de conservación previstas en el numeral 11.4, o cuando la Compañía establezca, previa evaluación documentada, que las finalidades que justificaban el Tratamiento se encuentran agotadas.

Los plazos se fijaron atendiendo la finalidad del Tratamiento, los términos legales de conservación de los documentos laborales, contables y comerciales, y las obligaciones contractuales con los clientes.

16.2. Circunstancias que exigen una conservación mayor

La Compañía conservará la información más allá de los plazos del numeral 16.4, y en todo caso se abstendrá de suprimirla, en los siguientes eventos, limitando el Tratamiento a los datos estrictamente necesarios para la finalidad que justifica la conservación:

• Cuando una disposición legal imponga un término superior, en particular el deber de conservación de los libros y papeles de comercio y de los soportes contables y tributarios, y los términos de firmeza de las declaraciones tributarias.
• Mientras se encuentre en curso o pendiente de decisión un proceso judicial, administrativo, disciplinario o arbitral en el que la información resulte relevante como medio de prueba, y hasta la firmeza de la decisión correspondiente.
• Cuando la conservación sea necesaria para el ejercicio o la defensa de reclamaciones frente al Titular o frente a terceros, o para atender requerimientos de autoridades competentes.
• Cuando el Titular haya otorgado autorización expresa para un término mayor y esta se mantenga vigente.

En estos eventos la Compañía limitará el Tratamiento a la finalidad que motiva la conservación y restringirá el acceso a la información al personal indispensable.

16.3. Grabaciones e información de las campañas de los clientes

La información que la Compañía trata como Encargada se conserva durante el plazo que fije cada cliente Responsable en el contrato o en sus instrucciones. Comprende, entre otros:

• Las bases de datos de usuarios que el cliente entrega para la operación de la campaña.
• Las grabaciones de llamadas y los registros de conversaciones por canales digitales.
• Los registros de gestión y sus resultados en el CRM o en las herramientas del cliente.
• Los informes de gestión y los soportes de calidad y monitoreo.

Los datos sensibles contenidos en las grabaciones (la voz de los usuarios y de los asesores) se tratan con controles de acceso reforzados y solo los consulta el personal autorizado, con fines de calidad, seguridad, capacitación o atención de reclamaciones.

Al terminar el contrato con un cliente, o cuando este lo instruya, la Compañía:

• Devuelve al cliente la información de la campaña o la suprime de forma segura de sus sistemas, según lo pactado, y deja constancia de ello.
• Mientras la conserva, restringe su consulta al personal autorizado y registra los accesos cuando la herramienta lo permite.
• No la utiliza para ninguna finalidad propia. Queda expresamente prohibido usarla para la gestión comercial de la Compañía, el envío de comunicaciones, la elaboración de perfiles o cualquier otra actividad no instruida por el cliente.

Las solicitudes de los usuarios sobre esta información se trasladan al cliente Responsable y se atienden en coordinación con él, en los términos del numeral 11 de esta Política.

16.4. Inventario indicativo

Nota. Los plazos de conservación son revisables. Toda modificación se surtirá mediante actualización de esta Política y quedará registrada en el control de versiones.

17. Aviso de privacidad y canales de divulgación

La Compañía pone esta Política a disposición de los Titulares de forma permanente y gratuita a través de su sitio web, en copia física disponible en la recepción de su sede y mediante entrega o remisión directa cuando el Titular lo solicite. Cuando no sea posible poner la Política a disposición del Titular al momento de la recolección, se entregará el Aviso de Privacidad contenido en el Anexo 1 de este documento.

El sitio web de la Compañía no utiliza cookies, píxeles de seguimiento ni herramientas de analítica de terceros. Si esto cambia, se informará en el sitio web y se solicitará el consentimiento del Titular cuando corresponda.

18. Cumplimiento, control y régimen sancionatorio

El incumplimiento de esta Política por parte de directivos, colaboradores, practicantes o contratistas dará lugar a las acciones disciplinarias, laborales o contractuales que correspondan, sin perjuicio de la responsabilidad civil o penal a que haya lugar.

El incumplimiento del régimen de protección de datos personales puede acarrear para la Compañía la imposición, por parte de la Superintendencia de Industria y Comercio, de multas de carácter personal e institucional, la suspensión de las actividades relacionadas con el Tratamiento, el cierre temporal o definitivo de las operaciones que involucren Tratamiento de datos sensibles, en los términos del artículo 23 de la Ley 1581 de 2012.

El área responsable realizará al menos una revisión anual del cumplimiento de esta Política y presentará un informe a la Gerencia General con las recomendaciones de mejora que resulten pertinentes.

19. Vigencia y modificaciones

La presente Política rige a partir del [DD de mes de AAAA] y permanecerá vigente mientras la Compañía desarrolle su objeto social. Las bases de datos administradas por la Compañía tendrán una vigencia igual al tiempo necesario para cumplir las finalidades descritas y los términos legales de conservación aplicables.

La Compañía se reserva el derecho de modificar esta Política en cualquier momento. Toda modificación sustancial será comunicada a los Titulares mediante su publicación en el sitio web y, cuando corresponda, a través de los canales de contacto registrados, con al menos diez (10) días hábiles de antelación a su entrada en vigencia.

[Nombre del representante legal]

Representante Legal

DALMARU INVERSIONES S.A.S. – VOZ360

Anexo 1. Aviso de privacidad

DALMARU INVERSIONES S.A.S. (marca VOZ360), identificada con NIT 900434099-6, con domicilio principal en la Carrera 23 #19-43, Manizales, Caldas, actúa como Responsable del Tratamiento de sus datos personales.

Sus datos serán tratados con las siguientes finalidades: (i) atender sus solicitudes de contacto, propuestas comerciales y PQRS; (ii) celebrar y ejecutar los contratos de prestación de servicios; (iii) adelantar los procesos de selección y administrar la relación laboral o contractual; (iv) gestionar la facturación y los pagos; (v) cumplir obligaciones legales y atender requerimientos de autoridades; y (vi) remitirle información institucional y comunicaciones sobre los servicios de la Compañía, si usted lo autoriza. Cuando lo atendemos en nombre de una empresa cliente, actuamos como Encargados: la finalidad la define esa empresa, y las llamadas pueden ser grabadas y monitoreadas con fines de calidad y seguridad, con aviso previo.

Algunos tratamientos pueden incluir datos sensibles, como su imagen o su voz en grabaciones, fotografías y videos. Usted no está obligado a autorizar el Tratamiento de datos sensibles.

Sus datos se conservarán durante el tiempo necesario para la finalidad informada y los plazos que exija la ley; los de aspirantes no seleccionados, máximo 12 meses. Cuando actuamos como Encargados, la información de las campañas se conserva durante el plazo pactado con el cliente y después se devuelve o se suprime de forma segura.

Como Titular usted tiene derecho a conocer, actualizar, rectificar y suprimir sus datos personales, a solicitar prueba de la autorización otorgada, a ser informado sobre el uso dado a sus datos, a revocar la autorización y a presentar quejas ante la Superintendencia de Industria y Comercio.

Puede ejercer sus derechos escribiendo a datospersonales@voz360.co, llamando al 314 618 3746, radicando una PQRS en el sitio web o presentando su solicitud en nuestra sede de Manizales. La Política de Tratamiento de la Información y Protección de Datos Personales completa está disponible en https://voz360.co/politica-datos.html y en copia física en nuestras oficinas.

Anexo 2. Formato de autorización para el tratamiento de datos personales

Yo, __________________________________________, identificado(a) con ______________ No. ____________________, obrando en nombre propio [o en representación de ____________________________, en calidad de ____________________], de manera libre, previa, expresa e informada, autorizo a DALMARU INVERSIONES S.A.S. (VOZ360), NIT 900434099-6, para recolectar, almacenar, usar, circular, transmitir, transferir y suprimir mis datos personales, conforme a las finalidades previstas en su Política de Tratamiento de la Información y Protección de Datos Personales, la cual declaro conocer y aceptar.

Declaro que se me informó que:

• El Tratamiento puede comprender datos sensibles, en particular mi imagen y mi voz en grabaciones, fotografías y videos, y los datos de salud que requiera la relación laboral.
• No estoy obligado(a) a autorizar el Tratamiento de datos sensibles ni a suministrar datos de menores de edad.
• Tengo derecho a conocer, actualizar, rectificar y suprimir mis datos, a solicitar prueba de esta autorización, a ser informado sobre el uso dado a mis datos y a revocar la autorización.
• Mis datos se conservarán durante el tiempo necesario para las finalidades informadas y los plazos legales, conforme al numeral 16 de la Política, y puedo solicitar su supresión en los términos de la Política.
• Puedo ejercer mis derechos en los canales indicados en la Política y presentar quejas ante la Superintendencia de Industria y Comercio, previo agotamiento del trámite ante la Compañía.

Firma: ______________________________________

Nombre: ____________________________________

Documento de identidad: _____________________

Correo electrónico: __________________________

Teléfono: ___________________________________

Ciudad y fecha: _____________________________

Anexo 3. Formato de solicitud de consulta o reclamo

Uso interno: radicado No. ____________ · Fecha de recibo ____________ · Responsable de la gestión ____________ · Fecha de respuesta ____________