- servicioalcliente@trenzacol.com
- +57 310 835 9200
Protocolo De Seguridad De La Información Personal
Con el fin de dar cumplimiento a la Ley Estatutaria 1581 de 2012, al Decreto Único Reglamentario 1074 de 2015, al Título V de la Circular Única de la Superintendencia de Industria y Comercio y a las demás normas que los reglamenten, modifiquen o adicionen, la sociedad TRENZACOL S.A.S. (en adelante TRENZACOL), como Responsable del Tratamiento, adopta las medidas de seguridad de la información personal por ella recolectada que se describen a continuación. Este protocolo es el manual interno de políticas y procedimientos que exige el artículo 17, literal k), de la Ley 1581 de 2012, y desarrolla la Política de Tratamiento de Datos Personales de TRENZACOL. Se basa en las siguientes premisas:
1.1 Recolección de la información: la información personal de nuestras bases de datos se recolecta directamente de sus titulares, previa autorización en los términos de la Política de Tratamiento de Datos Personales, y se almacena tanto física como digitalmente. Solo se recolecta la información pertinente y necesaria para cumplir las finalidades descritas en dicha política.
1.2 Manejo y custodia de la información: con el fin de otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, como lo dispone el artículo 4, literal g), de la Ley 1581 de 2012, TRENZACOL ha implementado medidas técnicas, humanas y administrativas necesarias y proporcionales al tamaño de la empresa, a su estructura organizacional y a las bases de datos administradas. La información personal se conserva en archivos físicos o en medios digitales: computadores, software contable y de nómina, y servicios de correo electrónico y almacenamiento en la nube.
En consecuencia, las bases de datos se manejan de la siguiente forma:
1.2.1 Libro de Registro de Accionistas: la información de los accionistas, por mandato legal, se encuentra asentada en el Libro de Registro de Accionistas de la compañía, debidamente inscrito en la Cámara de Comercio, como lo disponen los artículos 19 numeral 2, 28 numeral 7 y 195 del Código de Comercio.
Salvo las excepciones previstas en la ley, como el derecho de inspección de los accionistas y las funciones del Revisor Fiscal, el Representante Legal es la única persona autorizada para acceder a la información de la base de datos de accionistas, y su custodia y conservación están bajo su responsabilidad.
Es obligación del Representante Legal mantener el Libro de Registro de Accionistas en reserva, no solo por la protección de los datos personales de los accionistas, sino también por disposición del artículo 61 del Código de Comercio, según el cual los libros no podrán ser examinados por personas diferentes de sus propietarios o de las personas autorizadas para ello, salvo en el caso del ejercicio del derecho de inspección de los accionistas y auditores, quienes podrán examinarlos de conformidad con la ley y los estatutos. Por tal motivo, el Libro de Registro de Accionistas de TRENZACOL reposa en el domicilio principal de la sociedad, bajo la custodia del Representante Legal, quien lo conserva en un lugar seguro y bajo llave, al cual solo tiene acceso el Representante Legal.
1.2.2 Base de datos almacenada en computadores: la información está almacenada en computadores que cuentan con una clave de acceso personal que impide la consulta, el uso y el acceso no autorizado a la información que se almacena en ellos. Además, estos computadores cuentan con programas de protección contra amenazas, programas antivirus, protección de cuentas y protección de red y seguridad del dispositivo, que disminuyen el riesgo de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información personal.
1.2.3 Información en la nube y en software de terceros: cuando la información personal se almacene en servicios de correo electrónico o de almacenamiento en la nube, o en software contable y de nómina prestado por terceros, TRENZACOL aplicará los siguientes controles:
1.2.4 Sistema de videovigilancia: TRENZACOL aplicará los siguientes controles:
1.2.5 Sistema biométrico: TRENZACOL aplicará los siguientes controles:
1.3 Acuerdos de confidencialidad: para garantizar la protección, integridad y uso adecuado de los datos personales contenidos en sus bases de datos, TRENZACOL suscribirá los acuerdos de confidencialidad que sean pertinentes con trabajadores, contratistas, proveedores, aliados estratégicos y cualquier tercero que, en virtud de su relación con la empresa, tenga acceso a la información personal de sus bases de datos.
Dichos acuerdos establecerán compromisos específicos respecto a: i) uso exclusivo de la información; ii) prohibición de divulgación no autorizada; iii) implementación de medidas de seguridad; iv) responsabilidad y sanciones, y v) vigencia de la confidencialidad.
Estos acuerdos de confidencialidad forman parte del compromiso de TRENZACOL con la protección de la información personal, garantizando un manejo responsable y seguro de los datos en todas sus operaciones.
1.4 Controles de seguridad en la tercerización de servicios para el tratamiento de la información personal: TRENZACOL implementará controles de seguridad que garanticen que los terceros contratados cumplan los principios, obligaciones y medidas de seguridad establecidos en la Ley 1581 de 2012 y demás normas aplicables. Para ello exigirá la suscripción de acuerdos de confidencialidad y de contratos de transmisión de datos personales en los términos del artículo 25 del Decreto 1377 de 2013, en los cuales se definirán el alcance del Tratamiento, las actividades que el Encargado realizará por cuenta de TRENZACOL, sus obligaciones frente a los titulares y frente a TRENZACOL, y las medidas de protección para prevenir accesos no autorizados, pérdidas, alteraciones o usos indebidos de la información.
TRENZACOL tiene implementadas medidas para prevenir el riesgo de pérdida, adulteración e indebida utilización de la información contenida en las bases de datos que administra. Adicionalmente, promueve la sensibilización y capacitación de su equipo de trabajo: capacita en protección de datos personales al personal que tenga acceso a información personal al momento de su vinculación y al menos una vez al año, y deja registro de estas capacitaciones como evidencia de responsabilidad demostrada.
TRENZACOL garantiza la protección de los datos personales de su recurso humano, asegurando su tratamiento conforme a los principios de legalidad, confidencialidad y seguridad. Para ello, implementa medidas técnicas, administrativas y organizacionales que previenen el acceso no autorizado, la pérdida, alteración o uso indebido de la información de sus trabajadores, desde el proceso de selección hasta la terminación de la relación laboral.
Adicionalmente, se suscriben acuerdos de confidencialidad y se brinda capacitación al personal sobre el manejo adecuado de la información, promoviendo una cultura de seguridad y cumplimiento de las políticas internas de protección de datos personales.
La información del recurso humano es tratada y administrada directamente por la Dirección Administrativa y Financiera, que, como se anotó anteriormente, tiene implementada una clave de acceso a su computador, así como programas de protección contra amenazas, protección de cuentas, protección de red y seguridad del dispositivo, y antivirus, que disminuyen el riesgo de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información personal. Las claves de acceso son confidenciales y se cambian periódicamente.
Igualmente, la Dirección Administrativa y Financiera custodia en un archivo físico bajo llave la información personal de los trabajadores que repose en documentos físicos.
Los datos de salud de los trabajadores son datos sensibles. TRENZACOL no conserva la historia clínica ocupacional, cuya custodia corresponde al prestador de servicios de seguridad y salud en el trabajo; solo recibe el concepto de aptitud con las restricciones y recomendaciones pertinentes. Este concepto, las incapacidades y los demás soportes médicos se archivan por separado de la hoja de vida y con acceso restringido.
Como se anotó anteriormente, la información personal que reposa en documentos físicos se encuentra custodiada bajo llave en el domicilio de la sociedad: por el Representante Legal, en el caso del Libro de Registro de Accionistas, y por la Dirección Administrativa y Financiera, en los demás casos. Para acceder a la información personal almacenada digitalmente se requiere el ingreso de una clave personal al computador o a la cuenta en la cual se encuentra almacenada.
Las bases de datos físicas, como la de accionistas y la de recurso humano, contienen información personal básica fácil de restaurar. Sin embargo, TRENZACOL cuenta con una copia de respaldo del Libro de Registro de Accionistas que permite reconstruir dicha información en caso de pérdida, destrucción o extravío.
En relación con la información digital, los computadores donde se encuentra almacenada cuentan con programas de copia de respaldo que permiten restaurarla en caso de pérdida.
En el caso de que TRENZACOL llegare a tercerizar el tratamiento de la información personal de alguna de sus bases de datos, implementará procedimientos adicionales para la gestión y control de usuarios, que incluyan la creación de perfiles de seguridad, el otorgamiento de permisos de acceso y la asignación de claves.
La política y las medidas implementadas por TRENZACOL para el tratamiento de la información personal son proporcionales a la naturaleza, estructura y tamaño de la compañía, teniendo como base el principio de responsabilidad demostrada. La información personal que administra la sociedad es básicamente de carácter corporativo en el caso de los accionistas, laboral en el caso de los trabajadores y comercial en el caso de los clientes y proveedores.
En consecuencia, el ciclo de vida de los datos recolectados y almacenados será el que exija la normatividad colombiana vigente aplicable a cada una de las bases de datos administradas. Los períodos de conservación de cada base de datos son los señalados en el numeral 14 de la Política de Tratamiento de Datos Personales.
Cumplido el período de conservación, la información se dispondrá de forma segura: los documentos físicos se destruirán mediante trituración u otro método que impida su reconstrucción, y la información digital se eliminará de forma definitiva de los equipos y cuentas en que repose. Se dejará constancia de cada destrucción.
La implementación de controles de seguridad de la información durante el mantenimiento (control de cambios) de los sistemas de información personal se justifica en la medida en que la compañía tenga sistemas de información personal que requieran mantenimiento.
En consecuencia, TRENZACOL implementará controles de seguridad específicos cuando requiera hacer el mantenimiento de un sistema de información personal.
El mayor riesgo existente en relación con la base de datos de accionistas es que se pierda, extravíe o destruya el Libro de Registro de Accionistas inscrito en la Cámara de Comercio. En ese caso, la sociedad seguirá el procedimiento de pérdida y reconstrucción de libros previsto en el artículo 18 del Anexo 6 del Decreto Único Reglamentario 2420 de 2015, incorporado por el Decreto 2270 de 2019, que en síntesis exige:
Teniendo en cuenta lo anterior, TRENZACOL conserva una copia del Libro de Registro de Accionistas, que se actualiza cada vez que se registra una novedad en el libro, con el fin de gestionar dicha contingencia y reconstruir la información asentada en él.
En relación con la base de datos de clientes y proveedores, el mayor riesgo existente sería el acceso no autorizado, la filtración o el uso indebido de la información comercial y contractual. En cuanto a la base de datos de trabajadores, el principal riesgo radica en la exposición o mal manejo de información laboral, lo que podría derivar en la vulneración de la privacidad de los trabajadores, suplantación de identidad, uso indebido de datos de seguridad social y posibles demandas por incumplimiento de obligaciones legales en materia de protección de datos. En cuanto a las grabaciones de videovigilancia y los datos biométricos, el principal riesgo es el acceso no autorizado o la extracción indebida; los datos biométricos, a diferencia de una clave, no pueden cambiarse si se comprometen.
En relación con la información personal digital, los equipos en los cuales se encuentra almacenada cuentan con programas de protección contra amenazas, protección de cuentas, protección de red y seguridad del dispositivo, y programas antivirus, que disminuyen el riesgo de adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento a la información personal. Igualmente, cuentan con copias de respaldo que permiten recuperar la información en caso de pérdida.
Se entiende por incidente de seguridad la violación de los códigos de seguridad o la pérdida, robo y/o acceso no autorizado de información de una base de datos administrada por TRENZACOL o por sus Encargados. Quien tenga conocimiento de un incidente deberá reportarlo al Gerente de inmediato, y a más tardar dentro de las veinticuatro (24) horas siguientes, con el fin de tomar los correctivos correspondientes. El Gerente informará al Representante Legal.
De generarse un incidente, el Gerente se reunirá con las personas que considere idóneas y necesarias para: (i) evaluar el impacto del incidente en la información personal objeto de tratamiento y las consecuencias adversas para los titulares; (ii) determinar el equipo humano a involucrar dependiendo del tipo de incidente; (iii) tomar los correctivos correspondientes para proteger a la sociedad, proteger los derechos de los titulares y cumplir lo establecido en la Ley 1581 de 2012 y en las órdenes o instrucciones que imparta la Superintendencia de Industria y Comercio, y (iv) reportar el incidente a la Superintendencia de Industria y Comercio y a las demás autoridades, según sea el caso.
Los pasos a seguir en caso de presentarse un incidente de seguridad son:
Cuando un incidente sea reportado por un titular de la información personal, se deberá responder, reportar y gestionar de manera inmediata, en un término de cinco (5) días hábiles contados a partir del momento en que se tuvo noticia de él, y se hará seguimiento semanal o diario de acuerdo con la importancia y los avances del caso, con el fin de identificar los posibles puntos conflictivos en su manejo. Una vez gestionado el incidente, el equipo encargado evaluará cómo ocurrió y el éxito de su gestión, y hará los ajustes pertinentes en el protocolo con las lecciones aprendidas.
Los incidentes deberán quedar debidamente documentados en un registro interno con toda la información correspondiente.
La sociedad procurará no solicitar datos sensibles; cuando sea necesario solicitarlos, los almacenará siempre bajo llave si están en medio físico, o con clave de acceso si están en medio digital.
Se realizarán copias de respaldo periódicas de la información personal y se verificará que puedan restaurarse, especialmente antes de cualquier mantenimiento de los sistemas de información. La información almacenada en la nube se mantendrá bajo los controles del numeral 1.2.3.
El Gerente será el encargado de monitorear y recordar los protocolos de seguridad de la información a las personas que por alguna razón deban tener acceso a la información personal.
Con base en las lecciones aprendidas de los incidentes gestionados, TRENZACOL adopta los siguientes controles, de obligatorio cumplimiento para todo su personal:
TRENZACOL verificará cada año, con sus estados financieros de cierre, si sus activos totales superan cien mil (100.000) Unidades de Valor Tributario. Si los superan, inscribirá sus bases de datos en el Registro Nacional de Bases de Datos que administra la Superintendencia de Industria y Comercio, actualizará la información inscrita dentro de los primeros diez (10) días hábiles del mes siguiente a aquel en que ocurra un cambio sustancial y reportará semestralmente los reclamos recibidos de los titulares, conforme al Decreto 090 de 2018 y a la Circular Única de dicha Superintendencia.
Con el fin de garantizar el cumplimiento de las políticas de protección de datos personales y la adecuada gestión de la seguridad de la información, el Gerente podrá ordenar la realización de auditorías internas o externas periódicas sobre los procesos relacionados con el tratamiento de la información personal contenida en todas las bases de datos de la sociedad. Estas auditorías permitirán identificar riesgos, evaluar el cumplimiento normativo y proponer mejoras en los controles de seguridad. Asimismo, el Gerente podrá adoptar medidas correctivas y preventivas derivadas de los hallazgos, incluyendo la actualización de procedimientos, la capacitación del personal y la implementación de nuevas tecnologías que refuercen la protección de los datos personales.
TRENZACOL se reserva el derecho de adicionar o modificar el presente protocolo en la medida en que se requiera, ya sea porque haya cambios en las medidas de seguridad para el tratamiento de datos de las bases que administra o porque se creen nuevas bases de datos cuya seguridad deba ser regulada de manera diferente. Cada modificación se identificará con un nuevo número de versión.
La versión 2 de este protocolo se expide el 15 de noviembre de 2025 y entra en vigencia el 15 de diciembre de 2025, en la misma fecha que la versión 2 de la Política de Tratamiento de Datos Personales. A partir de esa fecha reemplaza la versión 1, y se mantendrá publicada en www.trenzacol.com.
___________________________
TRENZACOL S.A.S.
María Luisa Barrientos Moreno
Representante Legal
