Política de Protección de Datos Personales

La presente Política de Protección de Datos Personales se adopta en cumplimiento de lo establecido en la Ley 1581 de 2012, su Decreto Reglamentario 1377 de 2013 y las demás normas que los modifiquen o reglamenten, con el objetivo de proteger la información personal y garantizar el ejercicio de los derechos de los titulares de los datos tratados por CPK S.A.S. y sus filiales (en adelante, "las Empresas"). Los datos personales bajo la custodia de las Empresas, en calidad de responsables y/o encargados, serán tratados conforme a los principios y regulaciones establecidos en la legislación colombiana vigente, así como a las buenas prácticas aplicables al régimen de protección de datos personales, según lo dispuesto en la presente Política de Protección de Datos Personales.

Definiciones:

Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
Aviso de privacidad: Comunicación verbal o escrita del responsable dirigida al titular para informarle sobre la existencia de las políticas de tratamiento de información, las finalidades del tratamiento y cómo acceder a ellas.
Base de Datos: Conjunto organizado de datos personales o información que sea objeto de tratamiento.
Compañías: CPK S.A.S. y sus filiales, así como cualquier otra sociedad sobre la que CPK S.A.S. ejerza control, unidad de propósito y dirección.
Dato Personal: Cualquier información relacionada o que pueda asociarse a una persona natural determinada o determinable.
Dato Público: Datos considerados como tales según la ley o la Constitución Política. Incluyen, entre otros, datos sobre el estado civil, profesión u oficio, y calidad de comerciante o servidor público.
Dato Semiprivado: Información que no es íntima ni pública, pero cuyo conocimiento puede interesar a ciertos sectores o al público en general, como datos financieros o crediticios.
Dato Privado: Información de naturaleza íntima o reservada, relevante únicamente para el titular.
Datos Sensibles: Aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como los relativos al origen racial, orientación política, convicciones religiosas, salud, vida sexual o datos biométricos.
Encargado del Tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
Responsable del Tratamiento: Persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos personales.
Titular: Persona natural cuyos datos personales son objeto de tratamiento.
Tratamiento: Cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.
Transferencia: Envío de datos personales a un receptor, dentro o fuera del país, que también es responsable del tratamiento.
Transmisión: Comunicación de datos personales dentro o fuera del territorio colombiano para que el encargado realice el tratamiento por cuenta del responsable.

Principios:

Principio de veracidad o calidad de los registros o datos: La información contenida en los bancos de datos debe ser veraz, completa, precisa, actualizada, comprobable y comprensible. Se prohíbe el registro y divulgación de datos parciales, incompletos, fraccionados o que puedan inducir a error.
Principio de finalidad: La recolección y tratamiento de datos personales debe estar orientada a una finalidad legítima conforme a la Constitución y la ley. Esta finalidad debe ser informada al titular de la información antes o al momento de otorgar la autorización, cuando sea necesario, o en cualquier caso, cuando el titular solicite más detalles al respecto.
Principio de circulación restringida: El manejo de los datos personales está sujeto a los límites derivados de la naturaleza de los datos, las disposiciones de la ley y los principios fundamentales de la administración de datos, como la temporalidad de la información y la finalidad del banco de datos. Los datos personales, excepto la información pública, no podrán ser accesibles a través de Internet u otros medios masivos de divulgación, salvo que el acceso esté técnicamente controlado para limitarlo exclusivamente a los titulares o usuarios autorizados.
Principio de temporalidad de la información: Los datos personales del titular no podrán ser suministrados a usuarios o terceros cuando dejen de ser necesarios para la finalidad del banco de datos.
Principio de interpretación integral de los derechos constitucionales: La ley debe interpretarse de manera que garantice adecuadamente los derechos constitucionales, como el hábeas data, el derecho al buen nombre, el derecho a la honra, la intimidad y el derecho a la información. Estos derechos deben interpretarse de manera armónica y equilibrada con el derecho a la información previsto en el artículo 20 de la Constitución y con otros derechos constitucionales aplicables.
Principio de seguridad: Los registros individuales en los bancos de datos y los resultados de las consultas realizadas por los usuarios deben ser manejados con las medidas técnicas necesarias para garantizar la seguridad de los datos, evitando su alteración, pérdida, consulta o uso no autorizado.
Principio de confidencialidad: Todas las personas naturales o jurídicas que participen en la administración de datos personales no públicos están obligadas a garantizar la reserva de la información en todo momento, incluso después de finalizada su relación con las actividades de administración de datos. Los datos solo podrán ser suministrados o comunicados cuando sea necesario para el cumplimiento de las actividades autorizadas por la ley.

Finalidades:

Los datos personales en poder de las Empresas serán tratados conforme a las siguientes finalidades generales:

Cumplir con las obligaciones y compromisos derivados de las relaciones comerciales con los titulares, tales como, entre otros, la recopilación de datos de ubicación de referencia del titular.
Cumplir con las obligaciones legales que impliquen el tratamiento de datos personales de los titulares.
Proporcionar información sobre nuevos productos y servicios, eventos, novedades, promociones, publicidad y programas de fidelidad a través de medios como correo electrónico, correo postal, teléfono, SMS, MMS, redes sociales o medios similares.
Realizar gestión comercial y de marketing por cualquier medio, incluso después de que finalice la relación comercial, hasta que el titular solicite expresamente la revocación de la autorización.
Realizar prospección comercial para identificar las necesidades y preferencias de los titulares y ofrecer productos o servicios adecuados.
Identificar de manera prospectiva las necesidades de los titulares para innovar y satisfacer esas necesidades.
Enviar facturas, estados de cuenta y otros documentos relevantes al titular.
Consultar, suministrar, almacenar, reportar y modificar la información ante las centrales de riesgo sobre el comportamiento crediticio, así como resolver reclamos ante estas entidades.
Notificar previamente a los titulares sobre el reporte negativo ante las centrales de riesgo, utilizando cualquier mensaje de datos, incluidos correo electrónico, mensajes de texto o mensajería instantánea.
Desarrollar actividades de responsabilidad social empresarial dirigidas a los titulares.
Tratar los datos personales dentro del marco de relaciones societarias, contractuales o legales entre las Empresas y las sociedades vinculadas.
Compartir los datos con terceros para cumplir con el objeto de la relación comercial entre las partes.
Realizar gestiones de cobranza y recuperación de cartera, ya sea directamente o a través de un tercero contratado para este fin, mediante canales como llamadas telefónicas, mensajes de texto, correos electrónicos o redes sociales.
Compartir información sobre el cumplimiento o incumplimiento de las obligaciones legales y comerciales, directa o indirectamente, con entidades públicas encargadas de la vigilancia y control.
Consultar multas y sanciones ante las autoridades administrativas, judiciales o bases de datos públicas que gestionen este tipo de información.
Realizar encuestas de satisfacción sobre los servicios prestados por las Empresas.
Prevenir el lavado de activos, la financiación del terrorismo, y detectar fraudes, corrupción y otras actividades ilegales.
Recopilar imágenes de video y audio para fines de seguridad.
Implementar medidas de seguridad para la gestión de incidentes.
Disuadir conductas irregulares de terceros.
Controlar el acceso de usuarios, proveedores y empleados a las instalaciones de CPK S.A.S.
Garantizar la seguridad de bienes y personas en las instalaciones de las Empresas, proporcionando un entorno seguro y protegiendo a clientes, empleados, contratistas y visitantes. Esto incluye la captura de imágenes para la supervisión de seguridad pública, control de accesos y situaciones relacionadas con la seguridad vial.

Tratamiento de la Imagen como Dato Personal:

El Tratamiento de Datos Personales se define como “cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, uso, circulación o supresión”. En el caso de la actividad de seguridad electrónica, se realiza tratamiento de datos personales que consisten en imágenes y, en algunos casos, datos biométricos de personas determinadas o determinables. Estas operaciones incluyen la captación, grabación, transmisión, almacenamiento, conservación y reproducción en tiempo real o posterior. Todas estas acciones están sujetas al Régimen General de Protección de Datos Personales.

Almacenamiento y Conservación de las Imágenes:

Las imágenes grabadas por los dispositivos de seguridad se conservarán durante un período máximo de 6 meses. Las imágenes podrán ser conservadas por un período mayor únicamente cuando sea necesario para una investigación en curso y se cumpla con las obligaciones legales correspondientes, especialmente en cuanto a la disponibilidad de la información para las autoridades competentes dentro del plazo establecido por la ley. En estos casos, las imágenes serán conservadas durante la investigación y el proceso judicial, solo con la autorización explícita del Representante Legal de CPK S.A.S. y/o de la persona delegada para tal efecto.

Responsable del Tratamiento:

El responsable del tratamiento de los datos personales es CPK S.A.S. y sus empresas subordinadas o filiales, así como cualquier sociedad sobre la cual CPK S.A.S. ejerza control, unidad de propósito y dirección. CPK S.A.S. es una sociedad constituida bajo las leyes de la República de Colombia, identificada con NIT 900888462-2, domiciliada en la ciudad de Bogotá. Para consultas, puede contactarse al correo electrónico: contacto@cpkm.com.co

Derechos de los Titulares:

Los titulares de los datos personales tienen derecho a ejercer las acciones contempladas por la Ley 1581 de 2012 en materia de protección de datos personales y habeas data. Los derechos incluyen, entre otros:

Conocer, actualizar y rectificar sus datos personales frente a las Empresas o los Encargados del Tratamiento. Este derecho se puede ejercer en caso de datos parciales, inexactos, incompletos, fraccionados o erróneos, o cuando el tratamiento esté expresamente prohibido o no haya sido autorizado.
Solicitar prueba de la autorización otorgada para el tratamiento de datos personales, salvo cuando este requisito se exceptúe, según lo previsto en el artículo 10 de la Ley 1581 de 2012.
Ser informado sobre el uso dado a sus datos personales por parte del responsable o encargado del tratamiento.
Presentar peticiones, quejas o reclamos respecto al manejo de sus datos personales a través de los canales dispuestos.
Revocar la autorización y/o solicitar la supresión de los datos cuando el tratamiento no respete los principios y derechos constitucionales y legales. La revocación o supresión procederá tras la determinación de la Superintendencia de Industria y Comercio, si se comprueba que el tratamiento incurrió en conductas contrarias a la ley.
Acceder gratuitamente a sus datos personales que hayan sido objeto de tratamiento.

Tratamiento de Datos Sensibles:

En el ejercicio de sus actividades, las Empresas realizan el tratamiento de datos personales de empleados, inversionistas, accionistas y proveedores de bienes y servicios. La recolección de estos datos se limitará a aquellos necesarios para la finalidad para la cual fueron requeridos. Los datos sensibles solo se recolectarán con la autorización expresa del titular, salvo las excepciones previstas por la ley. Asimismo, en cumplimiento de la ley, las Empresas no recolectarán datos de niños, niñas o adolescentes, salvo en los casos relacionados con la vinculación de aprendices menores de edad conforme a la normativa laboral vigente. El tratamiento de datos incluye actividades como la recolección, almacenamiento, administración, utilización, transferencia, transmisión y destrucción, y se realiza para las siguientes finalidades:

Datos de empleados y exempleados: Para cumplir con obligaciones laborales (pago de nómina, afiliaciones al Sistema General de Seguridad Social en Salud y Pensiones, atención de consultas, entre otros), actividades de capacitación, crédito, recreación, cumplimiento de normas anti lavado de activos, etc.
Datos de proveedores: Para cumplir con obligaciones contractuales y legales, realizar pagos, facturación, actividades de marketing, promoción, publicidad, alianzas comerciales, cumplimiento de la normativa de prevención de lavado de activos y financiación del terrorismo, entre otros.

Revocatoria de la Autorización y/o Supresión de los Datos:

Los titulares de los datos podrán solicitar la supresión de sus datos personales o revocar la autorización otorgada para su tratamiento en cualquier momento, mediante el procedimiento indicado en esta política. Si, después del término legal correspondiente, los datos no se han eliminado, el titular podrá solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización o la supresión de los datos. Si se trata de datos sensibles, se garantiza que la autorización para su tratamiento será obtenida de manera previa y expresa, y se informará al titular sobre el carácter sensible de los datos y su finalidad.

Vigencia:

La presente Política de Tratamiento de Datos Personales entra en vigencia el 11 de marzo de 2025. Las bases de datos que contengan datos personales se conservarán mientras exista una relación negocial con el titular o mientras no se solicite su supresión, siempre que no haya un deber legal que requiera su conservación.

Procedimiento para el Ejercicio del Derecho de Habeas Data:

El titular de los datos podrá ejercer su derecho de Habeas Data enviando su solicitud al correo electrónico contacto@cpkm.com.co, proporcionando los datos necesarios para el trámite. La Empresa responderá en un plazo de 10 días hábiles, con una posible prórroga de 5 días hábiles.

Transferencia o Transmisión Internacional de Datos Personales:

Las Empresas podrán realizar la transferencia y transmisión internacional de datos personales, siempre que se cumplan los requisitos legales y el titular haya dado su autorización expresa. Las Empresas tomarán las medidas necesarias para garantizar que los terceros destinatarios se comprometan a cumplir con esta política.

Modificaciones a la Política de Protección de Datos Personales:

Las Empresas se reservan el derecho de realizar modificaciones o actualizaciones a esta política en cualquier momento, de acuerdo con cambios legislativos, políticas internas o nuevos requerimientos. Las modificaciones estarán disponibles al público a través de la página web www.cpkm.com.co.