Política de Tratamiento de Datos Personales

Esta política de tratamiento de datos personales (en adelante la “Política”), tiene como objetivo definir los lineamientos y procedimientos para dar cumplimiento a la regulación en relación con el tratamiento de los datos de carácter personal de los cuales es encargada o responsable enerBit S.A.S. E.S.P.

Para efectos de esta política enerBit S.A.S. E.S.P. se denominará en adelante “LA COMPAÑÍA”.

I. Objeto de la Política

Adoptar y establecer las reglas aplicables al Tratamiento de Datos Personales recolectados, tratados y/o almacenados por LA COMPAÑÍA en desarrollo de su objeto social, bien sea en calidad de Responsable y/o Encargado.

Comunicar al Titular del Dato Personal, las políticas de tratamiento de la información que le serán aplicables a sus Datos Personales, así como las finalidades de dicho tratamiento.

Explicar al Titular la forma de acceder a sus Datos Personales, además de determinar la forma en que se hará el Tratamiento y posterior uso a los mismos.

II. Ámbito de aplicación

La presente Política se aplicará al Tratamiento de Datos Personales efectuado en territorio colombiano, o cuando le sean aplicables las políticas al Responsable y/o Encargado ubicado fuera del territorio colombiano, en virtud de tratados internacionales, relaciones contractuales, entre otros.

Las disposiciones contenidas en esta Política se aplicarán a cualquier Base de Datos Personales que se encuentre en custodia de LA COMPAÑÍA o de terceros autorizados por ésta, bien sea en calidad de Responsable y/o como Encargado del Tratamiento, así como a los procesos organizacionales que involucren el Tratamiento de Datos Personales.

III. Derechos de los titulares de los datos

Los Titulares de Datos Personales contenidos en Bases de Datos que reposen en los sistemas de información administrados por LA COMPAÑÍA, tienen los derechos descritos en este acápite en cumplimiento de las garantías fundamentales consagradas en la Constitución Política y la Ley.

El ejercicio de estos derechos será gratuito e ilimitado por parte del Titular el Dato Personal; sin perjuicio de disposiciones legales que regulen el ejercicio de los mismos.

El ejercicio del Habeas Data, expresado en los siguientes derechos, constituye una potestad personalísima y serán ejercidos por el Titular del dato de manera exclusiva, salvo las excepciones de Ley:

• 3.1. Derecho de acceso

Este derecho comprende la facultad del Titular del Dato Personal de obtener toda a información respecto de sus propios Datos Personales, sean parciales o completos, el Tratamiento aplicado a los mismos, de la finalidad del Tratamiento, la ubicación de las Bases de Datos que contienen sus Datos Personales, y sobre las comunicaciones, transferencias y/o transmisiones realizadas respecto de ellos, sean estas autorizadas o no.

• 3.2 Derecho de actualización

Este derecho comprende la facultad del Titular del dato de actualizar sus Datos Personales cuando éstos hayan tenido alguna variación.

• 3.3. Derecho de rectificación

Este derecho comprende la facultad del Titular del Dato Personal de modificar los Datos Personales que resulten ser inexactos, incompletos o inexistentes.

• 3.4. Derecho a la revocatoria del consentimiento

El Titular de los Datos Personales tiene el derecho de revocar el consentimiento o la autorización que habilitaba a LA COMPAÑÍA para un Tratamiento con determinada finalidad, salvo en aquellos casos contemplados como excepciones por la Ley y/o que sea necesario en un marco contractual específico. En caso de proceder una revocatoria de tipo parcial de la autorización para el Tratamiento de Datos Personales para algunas de las finalidades, LA COMPAÑÍA podrá seguir utilizando los datos para las demás finalidades respecto de las cuales no proceda dicha revocatoria.

• 3.5. Derecho de oposición

Este derecho comprende la facultad del Titular del Dato Personal de oponerse al Tratamiento de sus Datos Personales, salvo los casos en que tal derecho no proceda por disposición legal o por vulnerar intereses generales superiores al interés particular. LA COMPAÑÍA, con base en los legítimos derechos que argumente el Titular del Dato Personal, hará un juicio de proporcionalidad o ponderación con el fin de determinar la preeminencia o no del derecho particular del Titular del Dato personal sobre otros derechos.

• 3.6. Derecho a presentar quejas y reclamos o a ejercer acciones

El Titular del Dato Personal tiene derecho a presentar ante la Superintendencia de Industria y Comercio, o la entidad que fuera competente, quejas y reclamos, así como las acciones que resultaren pertinentes para la protección de sus datos una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del tratamiento. LA COMPAÑÍA dará respuesta a los requerimientos que realicen las autoridades competentes en relación con estos derechos de los Titulares de los Datos personales.

• 3.7. Derecho a otorgar autorización para el Tratamiento de datos

El Titular del dato tiene derecho a otorgar su autorización, para tratar sus Datos Personales en LA COMPAÑÍA. Esta autorización no será requerida en los siguientes casos o en los eventos señalados en la reglamentación vigente aplicable:

• 3.7.1.  Información requerida por una entidad pública o administrativa en ejercicio de sus funciones constitucionales o legales o por orden judicial.

• 3.7.2.  Datos de naturaleza pública.

• 3.7.3. Casos de urgencia médica o sanitaria.

• 3.7.4. Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.

• 3.7.5. Datos relacionados con el Registro Civil de las Personas.

• 3.7.6. Los demás que establezca la ley o el reglamento.

En estos casos, si bien no se requiere de la autorización del Titular, si tendrán aplicación los demás principios y disposiciones legales sobre protección de Datos Personales.

IV. Deberes de los destinatarios de esta Política respecto de las bases de datos personales cuando ostenten la calidad de responsables y encargados

4.1. Deberes para los Responsables o Encargados del Tratamiento

Cuando LA COMPAÑÍA o cualquiera de los destinatarios de esta Política, asuman la calidad de Responsables y/o encargados del Tratamiento de Datos Personales bajo su custodia, cumplirán los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la Ley y en otras que resulten aplicables de acuerdo con su actividad:

a)  Garantizar al Titular de Datos Personales, en todo tiempo, el pleno y efectivo ejercicio del derecho de Hábeas Data.

b) Solicitar y conservar, en las condiciones previstas en la Ley 1581 de 2012 y en el Decreto 1377 de 2013 o las normas que las modifiquen, adicionen o sustituyan, copia de la respectiva autorización y consentimiento otorgada por el Titular de Datos Personales.

c) Informar debidamente al Titular de Datos Personales sobre la finalidad de la recolección y los derechos que le asisten en virtud de la autorización otorgada.

d) Conservar los Datos Personales bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

e) Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.

f) Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a éste se mantenga actualizada.

g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.

h) Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la Ley.

i) Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.

j) Tramitar las consultas y reclamos formulados en los términos señalados en estas políticas y en la Ley.

k) Adoptar una política y los procedimientos que garanticen el adecuado cumplimiento de la Ley 1581 de 2020 y/o las que la modifiquen, adicionen o complementen, y en especial, para la atención de consultas y reclamos.

l) Informar al Encargado del Tratamiento la circunstancia de que determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.

m) Informar a solicitud del Titular de los Datos Personales sobre el uso dado a los mismos.

n) Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares de Datos Personales.

o) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio o la autoridad competente sobre la materia.

V. Procedimiento de habeas data para el ejercicio de los derechos de información, acceso, actualización, rectificación, cancelación y oposición

En desarrollo de la garantía constitucional de Habeas Data respecto de los derechos de acceso, actualización, rectificación, cancelación y oposición por parte del titular de Datos Personales, o interesado habilitado legalmente, esto es, sus causahabientes y representantes legales, LA COMPAÑÍA adopta el siguiente procedimiento:

5.1. El Titular del dato y/o interesado en ejercer uno de estos derechos, acreditará esta condición mediante copia de su documento de su identidad, que podrá suministrar por medio físico o digital. En caso de que el Titular esté representado por un tercero deberá allegarse el respectivo poder, con el cumplimiento de los requisitos que la ley exija a esta clase de documento. El apoderado deberá igualmente acreditar su identidad en los términos indicados.

5.2. La solicitud para ejercer cualquiera de los derechos mencionados deberá hacerse por escrito, sea este físico o digital. La solicitud de ejercicio de los derechos mencionados podrá dirigirse por cualquiera de los Canales de Atención. LA COMPAÑÍA podrá disponer de otros medios idóneos para que el Titular de los Datos Personales ejerza sus derechos.

5.3. La solicitud de ejercicio de cualquiera de los derechos mencionados contendrá la siguiente información:

• 5.3.1. Nombre del Titular del Dato Personal y de sus representantes, de ser el aso.

• 5.3.2. Petición concreta y precisa de información, acceso, actualización, rectificación, cancelación, oposición o revocatoria del consentimiento. En cada caso, la petición deberá estar razonablemente fundamentada para que LA COMPAÑÍA proceda como Responsable de la Base de Datos Personales a dar respuesta.

• 5.3.3. Dirección física y/o electrónica para notificaciones.

• 5.3.4. Documentos que soportan la solicitud.

(i) Si faltare alguno de los requisitos aquí indicados, LA COMPAÑÍA así lo comunicará al interesado dentro de los cinco (5) días hábiles siguientes a la recepción de la solicitud, para que los mismos sean subsanados. Si transcurren dos (2) meses sin que presente la información requerida, se entenderá que se ha desistido de la solicitud. LA COMPAÑÍA podrá disponer de formatos físicos y/o digitales para el ejercicio de este derecho y en ellos indicará si se trata de una consulta o de un reclamo del interesado.

(ii) Dentro de los dos (2) días hábiles siguientes a la recepción completa de la solicitud, LA COMPAÑÍA indicará que se trata de un reclamo en trámite. En la respectiva Base de Datos se deberá consignar una casilla en la que se indique las siguientes leyendas: “Reclamo en trámite” o “Reclamo resuelto”, según corresponda.

(iii) LA COMPAÑÍA, cuando sea Responsable del Tratamiento de la Base de Datos de Datos Personales contenidos en sus sistemas de información, dará respuesta a la solicitud en el término de diez (10) días hábiles si se trata de una consulta; y de quince (15) días hábiles si se trata de un reclamo. En igual término, se pronunciará cuando verifique que en sus sistemas de información no tiene Datos Personales del interesado que ejerce alguno de los derechos indicados.

(iv) En caso de consulta, si no fuere posible dar respuesta dentro del término de diez (10) días hábiles, se informará al interesado los motivos de demora y la fecha en la que se atenderá el reclamo, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento de los primeros diez (10) días hábiles.

(v) En caso de reclamo, si no fuere posible dar respuesta dentro del término de quince (15) días hábiles, se informará al interesado los motivos de demora y la fecha en la que se atenderá el reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento de los primeros quince (15) días hábiles.

(vi) LA COMPAÑÍA, en los casos que detente la condición de Encargado del Tratamiento, informará tal situación al Titular o interesado en el Dato Personal, y comunicará al Responsable del Dato Personal la solicitud, con el fin de que éste dé respuesta a la solicitud de consulta o reclamo presentado. Copia de tal comunicación será dirigida al Titular del Dato Personal o interesado, para que tenga conocimiento sobre la identidad del Responsable del Dato Personal y en consecuencia del obligado principal de garantizar el ejercicio de su derecho.

(vii) LA COMPAÑÍA documentará y almacenará las solicitudes realizadas por los Titulares de los Datos Personales o por los interesados en ejercicio de cualquiera de los derechos, así como las respuestas a tales solicitudes. Esta información será tratada conforme a las normas aplicables a la gestión documental de la organización.

(viii) Para acudir a la Superintendencia de Industria y Comercio en ejercicio de las acciones legales contempladas para los Titulares de datos o interesados, se deberá agotar previamente el trámite de consultas y/o reclamos aquí descrito.

VI. Finalidades del tratamiento de datos personales

El Tratamiento de los Datos Personales de los Titulares, que otorguen autorización expresa y previa a la COMPAÑÍA, se efectuará conforme las siguientes finalidades:

6.1. Datos Personales relacionados con la Gestión del Talento Humano

LA COMPAÑÍA tratará los Datos Personales de sus Colaboradores, así como de aquellos que se postulen para vacantes, en tres momentos, a saber: antes, durante y después de la relación laboral y/o de servicios.

6.1.1. Tratamiento de Datos Personales antes de la relación contractual laboral:

LA COMPAÑÍA informará, de manera anticipada, a las personas interesadas en participar en un proceso de selección adelantado directamente o a través de terceros debidamente contratados por LA COMPAÑÍA para ese propósito, las reglas aplicables al Tratamiento de los Datos Personales que suministre el interesado, así como respecto de aquellos que se obtengan durante el proceso de selección.

La información obtenida por LA COMPAÑÍA respecto de quienes no fueron seleccionados, resultados de las pruebas sicotécnicas y entrevistas, serán eliminados de sus sistemas de información a solicitud del Titular.

LA COMPAÑÍA podrá transmitir y/o transferir la información personal recolectada a su matriz (Grupo Argos S.A), a las demás empresas filiales o subordinadas de la matriz y a las demás personas naturales o jurídicas que contrate para la selección de personal.

LA COMPAÑÍA, cuando contrate procesos de selección de personal con terceros, regulará en los contratos el Tratamiento que se deberá dar a los Datos Personales entregados por los interesados, así como la destinación de la información personal obtenida del respectivo proceso.

Los Datos Personales e información obtenida del proceso de elección respecto del personal seleccionado para laborar en LA COMPAÑÍA, serán almacenados en la carpeta personal, aplicando a esta información los niveles y medidas de seguridad requeridas por la normatividad, en virtud de la potencialidad de que tal información contenga datos de carácter sensible.

La finalidad de la entrega de los datos suministrados por los interesados en las vacantes de LA COMPAÑÍA es la participación en los procesos de selección vigentes en sí misma, así como análisis estadísticos y perfilamientos, para lo cual los datos se almacenarán y tratarán de acuerdo con la finalidad descrita hasta por 5 años.

6.1.2. Tratamiento de datos durante la relación contractual laboral:

LA COMPAÑÍA almacenará los Datos Personales e información personal obtenida del proceso de selección de los Colaboradores en una carpeta identificada con el nombre de cada uno de ellos. Esta carpeta física o digital solo será accedida y tratada por las personas jurídicas o áreas de LA COMPAÑÍA encargada de administrar la relación contractual entre LA COMPAÑÍA y el Colaborador.

LA COMPAÑÍA podrá transmitir y/o transferir la información personal recolectada a su matriz (Grupo Argos S.A), a las demás empresas filiales o subordinadas de la matriz y a las demás personas naturales o jurídicas que contrate para la administración de la relación contractual entre LA COMPAÑÍA y sus Colaboradores.

El Tratamiento que LA COMPAÑÍA dará a los Datos Personales, tendrá la finalidad de cumplir con las obligaciones derivadas de la relación contractual laboral, incluyendo pero sin limitarse a la gestión del personal que involucra entre otros el pago y administración de nómina (incluyendo pero sin limitarse a salarios, prestaciones sociales legales y extralegales, beneficios, bonificaciones, reembolsos, seguros, realizar las deducciones autorizadas por la Ley, por orden de autoridad competente o por instrucción del Colaborador) y programas de bienestar personal del Colaborador y su familia; realizar los aportes al Sistema de Seguridad Social Integral; la asignación de las elementos de trabajo como son los equipos de comunicación y cómputo, puesto de trabajo, correo electrónico y demás que requiera por las particularidades del cargo; la contratación de seguros; el desarrollo de personal; la administración del talento humano a través de pruebas de evaluación de desempeño; garantizar la seguridad y salud de los colaboradores; asegurar el cumplimiento de obligaciones de confidencialidad y otras obligaciones laborales; garantizar el derecho de libertad de asociación; contactar a sus familiares cuando se requiera; la emisión de certificaciones laborales; el uso de la imagen o de datos relevantes para campañas publicitarias o comerciales de la empresa; identificación por seguridad e imagen; para auditorías internas o externas; para el envío de información de interés o corporativa; para la ejecución directa o solicitud de ejecución a un tercero de pruebas que evidencien la presencia de alcohol o de sustancias psicoactivas o psicotrópicas, en los casos autorizados por la ley; Igualmente, cualquier otra finalidad que sea compatible y pueda considerarse análoga a las señaladas.

La recolección de Datos Personales biométricos de los colaboradores, que sean captados por los sistemas de video vigilancia, de registro fotográfico, de captura de la huella digital o cualquier otro sistema de seguridad con los que cuente LA COMPAÑÍA, serán tratados con el fin de llevar un control de acceso a las instalaciones y velar por su seguridad. Los datos así recolectados podrán servir como prueba en los procesos disciplinarios o judiciales que adelante LA COMPAÑÍA e igualmente ser transferidos a los proveedores de bienes o servicios contratadas para alguna de las actividades antes descritas.

La Compañía también podrá transferir y/o transmitir los datos personales de sus Colaboradores a terceros con los cuales suscriba acuerdos de sustitución patronal o celebre cualquier tipo de operación societaria, de enajenación de establecimiento de comercio, entre otras que implique dicha sustitución.

El uso de la información de los Colaboradores para fines diferentes a los descritos, requerirá una autorización específica que incluya las nuevas finalidades. El uso diferente de los datos e información personal de los Colaboradores procederá por orden de autoridad competente, siempre que en ella radique tal facultad. Lo anterior, salvo autorización previa y escrita que documente el consentimiento por parte del Titular del Dato Personal o disposición legal sobre la materia.

6.1.3. Tratamiento de datos después de terminada la relación contractual laboral:

Terminada la relación laboral, cualquiera que fuere la causa, LA COMPAÑÍA procederá a almacenar los Datos Personales obtenidos del proceso de selección y documentación generada en el desarrollo de la relación laboral, en un archivo central, administrado por LA COMPAÑÍA o por terceros sometiendo tal información a medidas y niveles de seguridad requeridas por la normatividad, en virtud de la potencialidad de que la información laboral pueda contener Datos Sensibles.

Los Datos Personales de ex Colaboradores y/o pensionados, tendrán como finalidad la de cumplir con las obligaciones derivadas de la relación laboral que existió, incluyendo pero sin limitarse a la emisión de certificaciones laborales; reconocimiento de pensiones y/o sustituciones pensionales, emisión de certificados para liquidación de bonos pensionales, certificaciones para cobros y pagos de cuotas partes pensionales, cálculos actuariales, reconocimiento de beneficios y para auditorías internas o externas o su presentación como pruebas documentales en eventuales procesos judiciales y administrativos que se refieran al ex Colaborador.

LA COMPAÑÍA no cederá tal información a terceras partes, salvo autorización previa y escrita que documente el consentimiento por parte del Titular del Dato Personal o disposición legal sobre la materia.

Sin perjuicio de lo anterior, LA COMPAÑÍA podrá transferir y/o transmitir los datos personales de los pensionados a su cargo a terceros con los cuales suscriba acuerdos para el pago y liquidación de la respectiva pensión, o celebre cualquier tipo de operación societaria, de enajenación de establecimiento de comercio, entre otras que implique que terceros asumen el pago y liquidación de dicha prestación.

6.2 Tratamiento de Datos Personales de accionistas:

Los Datos Personales de los accionistas de LA COMPAÑÍA se considerará información reservada, por expresa disposición legal. En consecuencia, el acceso a tal información personal se realizará conforme las normas contenidas en el Código de Comercio, la Ley 964 de 2005, el Decreto 2555 de 2012, las normas que las modifiquen, adicionen o sustituyan y las demás normas que apliquen sobre la materia, incluyendo las del mercado público de valores. LA COMPAÑÍA solo usará los Datos Personales de los accionistas para las finalidades derivadas de la relación estatutaria existente.

6.3. Tratamiento de Datos Personales de proveedores:

LA COMPAÑÍA recabará de sus proveedores los Datos Personales que sean necesarios, pertinentes y no excesivos para la finalidad de selección, evaluación y ejecución del contrato a que haya lugar. Cuando se le exija a LA COMPAÑÍA por naturaleza jurídica la divulgación de datos del proveedor persona natural consecuencia de un proceso de contratación, ésta se efectuará con las previsiones que den cumplimiento a lo dispuesto en estas políticas y que prevengan a terceros sobre la finalidad de la información que se divulga.

LA COMPAÑÍA recolectará de sus proveedores los Datos Personales de los Colaboradores de éste, que sean necesarios, pertinentes y no excesivos, que por motivos de seguridad deba analizar y evaluar, atendiendo las características de los servicios que se contraten con el proveedor.

Cuando LA COMPAÑÍA entregue Datos Personales de sus Colaboradores a sus proveedores, estos deberán proteger los Datos Personales suministrados, conforme lo dispuesto en estas políticas. Para tal efecto se incluirá la previsión de auditoría respectiva en el contrato o documento que legitima la entrega de los Datos Personales. LA COMPAÑÍA verificará que los datos solicitados sean necesarios y pertinentes respecto de la finalidad que fundamente la solicitud de acceso a los mismos.

LA COMPAÑÍA podrá transmitir y/o transferir la información recolectada a su matriz (Grupo Argos S.A), a las demás empresas filiales o subordinadas de la matriz y a las demás personas naturales o jurídicas que contrate para la administración de los datos recolectados de sus proveedores o aliados comerciales.

6.4. Tratamiento de Datos Personales en procesos de contratación de proveedores:

La finalidad para el tratamiento de los datos personales corresponde a cualquiera inherente, necesaria y pertinente en el proceso de contratación. Los terceros que, en procesos de contratación, alianzas y acuerdos de cooperación con LA COMPAÑÍA, accedan, usen, traten y/o almacenen Datos Personales de Colaboradores de LA COMPAÑÍA y/o de terceros relacionados con dichos procesos contractuales, adoptarán en lo pertinente lo dispuesto en estas políticas, así como las medidas de seguridad que le indique LA COMPAÑÍA según el tipo de dato de carácter personal tratado.

Para tal efecto, se incluirá la previsión de auditoría respectiva en el contrato o documento que legitima la entrega de los Datos Personales. LA COMPAÑÍA verificará que los datos solicitados sean necesarios, pertinentes y no excesivos respecto de la finalidad del Tratamiento.

6.5. Tratamiento de Datos Personales de clientes o usuarios de los servicios públicos domiciliarios de energía eléctrica y cualquier otro prestado por LA COMPAÑÍA.

Los Datos Personales contendidos en las Bases de Datos de LA COMPAÑÍA cuyo Tratamiento está relacionado con la prestación de los servicios públicos domiciliarios de energía eléctrica o cualquier otro y con cobros que sean permitidos realizar a través de la factura por el Titular, tendrán como finalidad dependiendo del tipo de servicio público domiciliario: (i) la lectura de contadores de los usuarios del servicio; (ii) la facturación y recaudo por la prestación del servicio público domiciliario; (iii) la facturación y recaudo de los conceptos de alumbrado público, aseo y los que expresamente autorice el Titular, la ley o la regulación sectorial aplicable; (iv) realizar la gestión de cobro por el servicio público domiciliario respectivo; (v) la realización de encuestas, estudios e investigaciones de mercado; (vi) en general, todo lo necesario para la debida prestación del servicio público domiciliario correspondiente, de conformidad con las Leyes 142 y 143 de 1994, demás normas de carácter reglamentario y regulatorio emitidas por autoridad competente y el respectivo contrato que regule las relaciones entre el Cliente y LA COMPAÑÍA; y (vii) utilizar los Datos Personales de sus clientes o usuarios del servicio público domiciliario para el envío de ofertas y/o promociones de productos propios o de terceros, por cualquier medio físico, digital o electrónico, incluyendo WhatsApp, Facebook, Instagram y cualquier otra red social, para la venta de cualquier producto y/o servicio que ofrezcan en desarrollo de su objeto social y para cualquiera de las finalidades listadas en el numeral 6.6 siguiente.

LA COMPAÑÍA podrá transmitir y/o transferir la información personal recolectada a su matriz (Grupo Argos S.A), a las demás empresas filiales o subordinadas de la matriz y a las demás personas naturales o jurídicas con las cuales tengan directa o indirectamente alianzas comerciales para la adquisición, promoción y financiación por parte de sus clientes o usuarios de los bienes y servicios que promocione directa o indirectamente.

6.6. Tratamiento de Datos Personales de otros Clientes de bienes y servicios distintos a los servicios públicos domiciliarios.

Los Datos Personales contendidos en las Bases de Datos de LA COMPAÑÍA cuyo Tratamiento está relacionado con la venta o prestación de cualquier otro bien o servicio, diferente de la prestación de los servicios públicos domiciliarios, podrán ser utilizados con fines comerciales y/o publicitarios de opciones y productos propios o de terceros ofrecidos al público a través de cualquier medio físico o electrónico, así como para la ejecución de las relaciones contractuales presentes o futuras, incluyendo pero sin limitarse, a las siguientes actividades:

Completar automáticamente los documentos asociados a las transacciones que realice el cliente.

Dar cumplimiento a todas y cada una de las obligaciones adquiridas en la relación contractual existente con el cliente.

Entrega y estado de sus pedidos.

Encuestas de satisfacción.

Prevención y protección frente al fraude.

Cumplimiento de la regulación sobre lavado de activos y financiación del terrorismo.

Perfilamiento crediticio.

Ofrecer medios de financiación, y para esto verificar y analizar el comportamiento crediticio actual e histórico del titular, estimar los niveles de ingresos del titular, validar la identidad del titular, realizar estudios de crédito, entre otros.

Cumplimiento de obligaciones crediticias, así como los reportes actualizaciones a que haya lugar en los bancos de información financiera mientras exista la relación contractual u obligaciones pendientes de pago.

Analítica de comportamientos y hábitos de consumo.

Enviar ofertas y/o promociones de productos propios o de terceros, por cualquier medio físico, digital o electrónico, incluyendo WhatsApp, Facebook, Instagram y cualquier otra red social, para la venta de cualquier producto y/o servicio que ofrezcan en desarrollo de su objeto social.

LA COMPAÑÍA podrá transmitir y/o transferir la información personal recolectada y las analíticas de datos crediticios, comerciales y de consumo a su matriz (Grupo Argos S.A), a las demás empresas filiales o subordinadas de la matriz Encargadas del tratamiento de los Datos Personales, y a las demás personas naturales o jurídicas con las cuales tenga directa o indirectamente alianzas comerciales para la adquisición, promoción y financiación por parte de sus clientes o usuarios de los bienes y servicios que promocione directa o indirectamente.

6.7 Tratamiento de datos personales de las personas que participen directa o indirectamente en procesos de licenciamiento ambiental, consultas previas, obras por impuestos o cualquier otro tipo de autorización administrativa.

La recolección de Datos Personales de personas naturales que LA COMPAÑÍA trate en desarrollo de acciones relacionadas con la ejecución de sus proyectos, tales como el levantamiento de información socioeconómica, cultural y ambiental en el marco de procesos de participación social o comunitaria, licenciamiento ambiental, permisos ambientales, cumplimiento de medidas socioambientales, consultas previas, obras por impuestos y/o obtención de cualquier otro tipo de autorización de naturaleza administrativa, se sujetará a lo dispuesto en esta política.

Los datos personales recopilados, se utilizarán exclusivamente para todas aquellas actividades relacionadas directamente con el objeto del respectivo trámite o autorización administrativa.

LA COMPAÑÍA informará y obtendrá la autorización de los Titulares de los Datos Personales en los documentos e instrumentos que utilice para el efecto, relacionados con estas actividades.

LA COMPAÑÍA para los fines indicados podrá transmitir y/o transferir la información personal recolectada a su matriz (Grupo Argos S.A), a las demás empresas filiales o subordinadas de la matriz y a las autoridades administrativas que en ejercicio de sus facultades Constitucionales, legales o reglamentarias así lo requieran.

6.8 Tratamiento de Datos Personales de la comunidad en general.

La recolección de Datos Personales de personas naturales que LA COMPAÑÍA trate en desarrollo de acciones relacionadas con la comunidad, tales como implementación de programas de responsabilidad social empresarial, voluntariado corporativo, o de cualquiera otra actividad que implique la recolección y tratamiento de datos de personas naturales con quienes no existe una relación contractual previamente establecida, se sujetará a la finalidad propia e inherente a cada actividad y a lo dispuesto en esta política.

LA COMPAÑÍA informará y obtendrá la autorización de los Titulares de los Datos Personales en los documentos e instrumentos que utilice para el efecto, relacionados con estas actividades en donde se indicarán las finalidades del Tratamiento.

LA COMPAÑÍA para los fines indicados podrá transmitir y/o transferir la información personal recolectada a su matriz (Grupo Argos S.A) y a las demás empresas filiales o subordinadas de la matriz y a las demás personas naturales o jurídicas que contrate para desarrollo de acciones relacionadas con la comunidad.

En cada uno de los casos antes descritos, las áreas de la organización que desarrollen los procesos de negocios en los que se involucren Datos Personales, deberán considerar en sus estrategias de acción la formulación de reglas y procedimientos que permitan cumplir y hacer efectivas las políticas aquí adoptadas, además de prevenir posibles sanciones legales.

6.9 Tratamiento de Datos Personales Biométricos

La recolección de Datos Personales biométricos de cualquier persona natural diferente de los Colaboradores, que sean captados por los sistemas de video vigilancia, de registro fotográfico, de captura de la huella digital o cualquier otro sistema de seguridad con los que cuente LA COMPAÑÍA, serán tratados con el único fin de llevar un control de acceso a las instalaciones y para procurar por la seguridad de Visitantes, Colaboradores, Clientes y la Comunidad en general.

Los datos así recolectados podrán servir como prueba en los procesos judiciales que adelante LA COMPAÑÍA e igualmente ser transferidos a los proveedores de bienes o servicios contratadas para alguna de las actividades antes descritas.

VII. Prohibiciones

En desarrollo de las políticas de seguridad de la información personal de LA COMPAÑÍA, se establecen las siguientes prohibiciones y sanciones como consecuencia de su incumplimiento.

7.1. LA COMPAÑÍA prohíbe el acceso, uso, gestión, cesión, comunicación, almacenamiento y cualquiera otro Tratamiento de Datos Personales de carácter sensible sin autorización del Titular del Dato Personal.

El incumplimiento de esta prohibición por parte de los Colaboradores de LA COMPAÑÍA será considerado como falta grave, que podrá dar lugar a la terminación de la relación laboral. Lo anterior, sin perjuicio de las demás acciones legales a que haya lugar.

El incumplimiento de esta prohibición por parte de los proveedores que contraten con LA COMPAÑÍA será considerado como causa grave para dar terminación al contrato, sin perjuicio de las demás acciones a que haya lugar.

En los contratos con los proveedores, donde el objeto contratado tenga relación con Datos Personales, se pactará una previsión en relación con las disposiciones especiales que deben considerar para el tratamiento de los datos personales y los perjuicios que se pueden llegar a ocasionar a LA COMPAÑÍA como consecuencia de la imposición de multas, sanciones operativas, entre otras, por parte de las autoridades competentes y como consecuencia del obrar imprudente y negligente del proveedor.

7.2. LA COMPAÑÍA prohíbe la cesión, comunicación o circulación de Datos Personales, sin el consentimiento previo, escrito y expreso del Titular del Dato Personal o sin autorización de LA COMPAÑÍA. La cesión o comunicación de Datos Personales deberá ser inscrita en el registro central de Datos Personales de LA COMPAÑÍA y contar con la autorización del Custodio de la Base de Datos.

7.3. LA COMPAÑÍA prohíbe el acceso, uso, cesión, comunicación, tratamiento, almacenamiento y cualquiera otro Tratamiento de Datos Personales de carácter sensible, diferentes a aquellos que por ley sean de obligatorio tratamiento.

7.4. LA COMPAÑÍA prohíbe a los destinatarios de estas políticas cualquier Tratamiento de Datos Personales que pueda dar lugar a alguna de las conductas descritas en la Ley de delitos informáticos 1273 de 2009.

7.5. LA COMPAÑÍA prohíbe el Tratamiento de Datos Personales de niños, niñas y adolescentes menores de edad, salvo autorización expresa de sus representantes legales. Todo Tratamiento de datos personales de niños, niñas y adolescentes de naturaleza pública está permitido de conformidad con lo establecido en el artículo 7° de la Ley 1581 de 2012, siempre que el mismo responda y respete el interés superior de los niños, niñas y adolescentes y se asegure el respeto de sus derechos fundamentales. En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes, para lo cual el representante legal del niño, niña o adolescente otorgará la autorización, previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes velará por el uso adecuado de los mismos aplicando los principios y obligaciones establecidos en el régimen de protección de datos personales.

La finalidad del Tratamiento de Datos Personales de niños, niñas y adolescentes menores de edad será informada expresamente a su representante legal; sin perjuicio de ello, los principales escenarios de tratamientos que tienen previstos LA COMPAÑÍA son:

a. Desarrollo de actividades de bienestar para los familiares de los Colaboradores de LA COMPAÑÍA.

b. Diseño y ejecución de proyectos de responsabilidad social empresarial.

VIII. Roles y responsabilidades en el cumplimiento de la protección de datos personales

La responsabilidad en el adecuado Tratamiento de Datos Personales al interior de LA COMPAÑÍA está en cabeza de todos sus Administradores y Colaboradores.

En consecuencia, al interior de cada área que maneje los procesos de negocios que involucren Tratamiento de Datos Personales, deberán adoptar las reglas y procedimientos para la aplicación y cumplimiento de las presentes políticas, dada su condición de custodios de la información personal contenida en los sistemas de información de LA COMPAÑÍA.

Todos los colaboradores de la organización, en caso de duda respecto del Tratamiento de los Datos Personales, acudirán al Oficial de Protección de Datos Personales, al área Responsable de la seguridad de la información y/o al equipo Jurídico para que indiquen la directriz a seguir, según el caso.

IX. Glosario

Para los fines del presente documento, los términos en mayúsculas que aquí se usan tendrán el significado asignado a dichos términos en la Ley 1581 de 2012 y en el Decreto 1377 de 2013.

Base de datos: Es todo conjunto organizado de datos personales que sea objeto de tratamiento.

Canales de atención: medios a través de los cuales el Titular puede ejercer sus derechos, y son: i) Para clientes o usuarios del servicio público domiciliario de energía eléctrica suministrado por LA COMPAÑÍA el correo de contacto es bitor@enerbit.me; para los demás titulares de datos personales el correo de contacto es protecciondatospersonales@celsia.com; (ii) WhatsApp (+57) 3112706213, iii) enviando una comunicación a la Carrera 43 A No. 1 A SUR 143 Medellín, Antioquia - Atención Oficial Protección de Datos Personales.

Custodio de la base de datos: Es la persona que tiene bajo su custodia la base de Datos Personales al interior de LA COMPAÑÍA.

Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Datos públicos: Es el dato que no sea semiprivado, privado o sensible.

Datos sensibles: Se entiende por Datos Sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación.

Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.

Habeas Data: Derecho fundamental de toda persona para conocer, actualizar, rectificar y/o cancelar la información y Datos Personales que de ella se hayan recolectado y/o se traten, en Bases de Datos públicas o privadas, conforme lo dispuesto en la Ley y demás normatividad aplicable.

Oficial de Protección de Datos Personales: Persona y/o área responsable, entre otras funciones, de supervisar que los diferentes equipos de la COMPAÑÍA den atención a las peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización, para efectos de esta política el Oficial de Protección de Datos Personales de LA COMPAÑÍA será el Oficial de Cumplimiento de Celsia S.A.

Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la Base de Datos y/o el Tratamiento de los datos.

Titular: Es la persona física cuyos datos sean objeto de Tratamiento.

Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.

Transferencia: La Transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de Datos Personales, ubicado en Colombia, envía la información o los Datos Personales a un receptor que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

Transmisión: La transmisión de datos personales por su parte implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia y tiene por objeto la realización de un tratamiento por parte del Encargado por cuenta del Responsable.

X. Vigencia y modificación de esta política

La presente política de tratamiento de datos fue aprobada en cada COMPAÑÍA por el órgano de dirección competente y aplicará a partir del día xx de febrero de 2022. Esta Política podrá ser modificada por LA COMPAÑÍA en cualquier momento. En tal evento, LA COMPAÑÍA informará, por los medios que se estime convenientes, de cualquier cambio sustancial con anterioridad a que dicha modificación entre en vigencia.

En constancia de aprobación del presente documento, suscribe el representante legal de enerBit S.A.S. E.S.P.