Política de Tratamiento de Datos Personales

1. OBJETIVO

La presente política tiene por objeto establecer los criterios, procedimientos y lineamientos que SUMINISTROS ARDILA S.A.S. (en adelante “LA EMPRESA”) aplica para el tratamiento de los datos personales de los titulares con quienes mantiene algún tipo de relación, en cumplimiento de la Constitución Política de Colombia (artículo 15), la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013 (compilado en el Decreto 1074 de 2015), y demás normas concordantes.

Esta política será publicada de manera permanente en la página web de LA EMPRESA y estará disponible para consulta de cualquier titular que la solicite.

2. ALCANCE

La presente política aplica a todos los datos personales recolectados, almacenados, usados, circulados o suprimidos por LA EMPRESA en el desarrollo de su objeto social y actividades conexas, e involucra a los siguientes grupos de titulares:

a) Empleados, exempleados y candidatos a empleo.

b) Clientes personas naturales (ferreteros, contratistas, particulares y demás).

c) Proveedores y contratistas personas naturales o representantes legales de personas jurídicas.

d) Personas que participan en activaciones de marca, eventos comerciales y contenido audiovisual de LA EMPRESA.

e) Visitantes de las instalaciones físicas de LA EMPRESA (sujetos a videovigilancia).

f) Usuarios de la página web y redes sociales de LA EMPRESA.

3. MARCO NORMATIVO

La presente política se fundamenta en las siguientes disposiciones:

• Constitución Política de Colombia, artículos 15 y 20.

• Ley Estatutaria 1581 de 2012 — Régimen General de Protección de Datos Personales.

• Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015 — Reglamentario de la Ley 1581 de 2012.

• Ley 23 de 1982 — Sobre Derechos de Autor y protección de la imagen personal.

• Sentencia T-634 de 2013 de la Corte Constitucional — Alcance del derecho a la imagen en redes sociales y medios digitales.

• Sentencia T-470 de 2019 de la Corte Constitucional — Deber de conservación de archivos laborales.

• Decreto 1072 de 2015, artículo 2.2.4.6.13 — Conservación de documentos del SG-SST.

• Ley 962 de 2005, artículo 28 — Conservación de libros y papeles de comercio.

• Circular Externa 003 de 2018 de la SIC — Registro Nacional de Bases de Datos.

4. DEFINICIONES

Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.

Base de datos: Conjunto organizado de datos personales que sea objeto de tratamiento.

Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público: Dato calificado como tal por la ley o la Constitución, cuyo tratamiento no requiere autorización del titular (ejemplo: datos contenidos en registros públicos).

Dato semiprivado: Dato que no tiene naturaleza íntima ni pública, cuyo conocimiento puede interesar no solo a su titular sino a un grupo de personas o a la sociedad en general.

Dato privado: Dato que por su naturaleza íntima o reservada solo interesa a su titular.

Dato sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación. Incluye: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, datos relativos a la salud, a la vida sexual, datos biométricos (como la huella dactilar o la imagen personal).

Encargado del tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.

Responsable del tratamiento: Persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos. Para efectos de esta política, es SUMINISTROS ARDILA S.A.S.

SIC: Superintendencia de Industria y Comercio, autoridad nacional de protección de datos personales.

Titular: Persona natural cuyos datos personales son objeto de tratamiento.

Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

5. PRINCIPIOS RECTORES DEL TRATAMIENTO

LA EMPRESA aplicará los siguientes principios en todo tratamiento de datos personales, conforme al artículo 4 de la Ley 1581 de 2012:

Legalidad: El tratamiento se realizará conforme a las disposiciones legales vigentes.

Finalidad: El tratamiento obedecerá a una finalidad legítima que será informada al titular.

Libertad: El tratamiento solo podrá ejercerse con el consentimiento previo, expreso e informado del titular, salvo las excepciones legales.

Veracidad o calidad: La información sujeta a tratamiento deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Transparencia: El titular podrá obtener información acerca de la existencia de datos que le conciernan en cualquier momento y sin restricciones.

Acceso y circulación restringida: El tratamiento se sujeta a los límites derivados de la naturaleza de los datos, las disposiciones legales y la autorización del titular.

Seguridad: La información sujeta a tratamiento se manejará con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros.

Confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales están obligadas a garantizar la reserva de la información.

6. DATOS PERSONALES OBJETO DE TRATAMIENTO

6.1. Empleados, exempleados y candidatos

LA EMPRESA recolecta y trata los siguientes datos personales de sus empleados, exempleados y candidatos:

• Datos de identificación: nombre completo, número de cédula de ciudadanía, lugar y fecha de nacimiento, estado civil, dirección de residencia, teléfono, correo electrónico.

• Datos laborales: hojas de vida, contratos de trabajo, certificaciones laborales, evaluaciones de desempeño, registros de nómina, afiliaciones a seguridad social (EPS, ARL, fondo de pensiones, caja de compensación), información de dotación.

• Datos sensibles de salud: exámenes médicos ocupacionales de ingreso, periódicos y de egreso; certificados de incapacidad; resultados de aptitud médica; documentos del Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST).

• Datos biométricos: huella dactilar para control de acceso a las instalaciones.

• Imagen personal: fotografías y videos captados durante el ejercicio de las funciones laborales, activaciones de marca, eventos corporativos y contenido para las redes sociales de LA EMPRESA.

• Imagen en videovigilancia: registros del circuito cerrado de televisión (CCTV) instalado en las instalaciones de LA EMPRESA.

6.2. Clientes personas naturales

LA EMPRESA recolecta y trata los siguientes datos personales de sus clientes:

• Datos de identificación: nombre completo o razón social, número de cédula o NIT, dirección, teléfono, correo electrónico.

• Datos comerciales y de facturación: historial de compras, condiciones comerciales, información tributaria.

• Imagen personal: fotografías y videos captados durante activaciones de marca, visitas comerciales y eventos publicitarios, para su publicación en redes sociales y medios digitales de LA EMPRESA.

6.3. Proveedores y contratistas

LA EMPRESA recolecta y trata los siguientes datos personales de sus proveedores:

• Datos de identificación y contacto: nombre completo o razón social, NIT o cédula, dirección, teléfono, correo electrónico.

• Datos financieros y tributarios: información bancaria para pagos, RUT, certificaciones tributarias.

• Imagen personal: fotografías y videos captados durante dinámicas, activaciones de marca y contenido publicitario.

6.4. Personas en activaciones de marca y eventos

LA EMPRESA recolecta los siguientes datos de personas que participan o aparecen en activaciones comerciales, eventos y grabaciones de contenido audiovisual:

• Nombre completo.

• Imagen personal: fotografías y grabaciones de video.

Nota importante: Estos datos incluyen la imagen como dato sensible (dato biométrico) conforme a la Ley 1581 de 2012. Su tratamiento requiere autorización expresa, específica e informada del titular, y este no está obligado a otorgarla.

6.5. Menores de edad

En ocasiones, durante las activaciones de marca o eventos comerciales, pueden aparecer menores de edad en fotografías o grabaciones de video. LA EMPRESA dará cumplimiento al artículo 7 de la Ley 1581 de 2012, que establece que el tratamiento de datos personales de niños, niñas y adolescentes está prohibido, excepto cuando se trate de datos de naturaleza pública y cuando dicho tratamiento responda al interés superior de los menores. En todo caso, se requerirá la autorización del representante legal del menor, previa consulta con el menor sobre su consentimiento, atendiendo a su capacidad y grado de madurez.

6.6. Visitantes de las instalaciones

LA EMPRESA recolecta datos personales de los visitantes de sus instalaciones a través de:

• Registro de visitantes: nombre, cédula, empresa o entidad, motivo de visita, hora de ingreso y salida.

• Videovigilancia (CCTV): las instalaciones de LA EMPRESA cuentan con un sistema de circuito cerrado de televisión con fines de seguridad. En las zonas monitoreadas se instalarán avisos visibles que informen al público sobre la existencia de las cámaras.

6.7. Usuarios de la página web y redes sociales

LA EMPRESA recolecta datos personales de los usuarios de su página web (https://suministrosardila.com/) mediante:

• Formularios de contacto: nombre, correo electrónico, teléfono, mensaje.

• Cookies: información de navegación, preferencias del usuario, datos del dispositivo.

Las redes sociales oficiales de LA EMPRESA son: Instagram, Facebook, TikTok, YouTube y WhatsApp.

7. FINALIDADES DEL TRATAMIENTO

LA EMPRESA tratará los datos personales para las siguientes finalidades, según el grupo de titulares:

7.1. Para empleados, exempleados y candidatos:

a) Ejecutar y administrar la relación laboral, incluyendo el pago de salarios, prestaciones sociales y aportes a seguridad social.

b) Cumplir con las obligaciones derivadas del contrato de trabajo y de la legislación laboral colombiana.

c) Gestionar el Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST).

d) Controlar el acceso a las instalaciones mediante sistemas biométricos y de videovigilancia.

e) Evaluar candidatos para procesos de selección.

f) Expedir certificaciones laborales y referencias.

g) Producir y publicar contenido audiovisual (fotografías y videos) en las redes sociales y página web de LA EMPRESA con fines institucionales, comerciales y publicitarios, previa autorización del titular.

7.2. Para clientes:

a) Gestionar la relación comercial: cotizaciones, pedidos, facturación, despachos y servicio postventa.

b) Realizar actividades de mercadeo, publicidad y promoción de los productos y servicios de LA EMPRESA.

c) Producir y publicar contenido audiovisual (fotografías y videos) en redes sociales y medios digitales con fines comerciales y publicitarios, previa autorización del titular.

d) Enviar comunicaciones comerciales por correo electrónico, WhatsApp u otros canales.

e) Cumplir obligaciones tributarias y contables.

7.3. Para proveedores y contratistas:

a) Gestionar la relación contractual: órdenes de compra, pagos, evaluación de proveedores.

b) Cumplir obligaciones tributarias (retenciones, certificados).

c) Producir y publicar contenido audiovisual con fines institucionales y publicitarios, previa autorización del titular.

7.4. Para personas en activaciones de marca:

a) Capturar, almacenar, editar y publicar fotografías y videos en las redes sociales y página web de LA EMPRESA (Instagram, Facebook, TikTok, YouTube, WhatsApp y www.suministrosardila.com) con fines comerciales y publicitarios.

b) Utilizar el contenido audiovisual en material impreso, presentaciones y piezas de marketing de LA EMPRESA.

7.5. Para visitantes de las instalaciones:

a) Garantizar la seguridad de las personas y los activos de LA EMPRESA mediante videovigilancia y registro de acceso.

7.6. Para usuarios de la página web:

a) Atender las solicitudes y consultas realizadas a través de los formularios de contacto.

b) Mejorar la experiencia de navegación y analizar el uso del sitio web mediante cookies.

8. AUTORIZACIÓN DEL TITULAR

Conforme al artículo 9 de la Ley 1581 de 2012 y al artículo 5 del Decreto 1377 de 2013, LA EMPRESA obtendrá la autorización previa, expresa e informada del titular antes de recolectar y tratar sus datos personales. Dicha autorización podrá obtenerse por cualquier medio que permita su consulta posterior, incluyendo:

• Documento físico firmado por el titular.

• Mensaje de datos (correo electrónico, formulario web) con la aceptación expresa.

• Mecanismo técnico que permita verificar la identidad del titular y su consentimiento (aceptación digital, grabación de aceptación verbal).

Tratamiento de datos sensibles: De conformidad con el artículo 6 de la Ley 1581 de 2012, LA EMPRESA informará al titular que no está obligado a autorizar el tratamiento de sus datos sensibles y que el suministro de esta información es facultativo. Los datos sensibles que trata LA EMPRESA incluyen: datos de salud ocupacional, datos biométricos (huella dactilar) e imagen personal (fotografías y videos).

Autorización para menores de edad: Para el tratamiento de datos personales de menores de edad, se requerirá la autorización del representante legal (padre, madre o tutor), previa consulta con el menor atendiendo su edad y grado de madurez, conforme al artículo 7 de la Ley 1581 de 2012.

Autorización de uso de imagen: Para la captura y publicación de fotografías y videos en redes sociales y medios de LA EMPRESA, se obtendrá una autorización específica que indique con claridad: (i) la identidad de LA EMPRESA como responsable; (ii) los medios y canales donde se publicará el contenido; (iii) la finalidad comercial y publicitaria del uso; (iv) la vigencia de la autorización; y (v) el derecho del titular a revocarla en cualquier momento. Esto en cumplimiento de la Sentencia T-634 de 2013 de la Corte Constitucional.

9. DERECHOS DE LOS TITULARES

Los titulares de datos personales tendrán los siguientes derechos, conforme a los artículos 8 y 14 a 16 de la Ley 1581 de 2012:

a) Conocer, actualizar y rectificar sus datos personales.

b) Solicitar prueba de la autorización otorgada para el tratamiento de sus datos.

c) Ser informado sobre el uso que se ha dado a sus datos personales.

d) Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a lo dispuesto en la ley.

e) Revocar la autorización y/o solicitar la supresión de sus datos personales cuando considere que no se han respetado los principios, derechos y garantías constitucionales y legales.

f) Acceder de forma gratuita a los datos personales que hayan sido objeto de tratamiento.

g) En el caso de la imagen personal: solicitar el retiro de fotografías y videos publicados en redes sociales y medios de LA EMPRESA en cualquier momento, sin necesidad de expresar justa causa, mediante comunicación dirigida al canal de atención indicado en esta política.

10. PROCEDIMIENTO PARA EJERCER LOS DERECHOS

10.1. Canal de atención

El titular podrá ejercer sus derechos mediante comunicación escrita dirigida a:

Responsable del tratamientoSUMINISTROS ARDILA S.A.S.
Área responsableGerencia de Operaciones
Correo electrónicoinfo@suministrosardila.com
Teléfono300 639 9775
Dirección físicaCalle 84 #79-31, Barranquilla, Atlántico
Página webhttps://suministrosardila.com/

10.2. Consultas (Art. 14, Ley 1581 de 2012)

El titular o sus causahabientes podrán consultar la información personal que repose en las bases de datos de LA EMPRESA. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recepción de la solicitud. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado los motivos de la demora, señalando la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

10.3. Reclamos (Art. 15, Ley 1581 de 2012)

El titular que considere que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando considere que se ha incumplido cualquiera de los deberes previstos en la ley, podrá presentar un reclamo. El reclamo deberá contener como mínimo:

• Identificación del titular (nombre y cédula).

• Descripción de los hechos que dan lugar al reclamo.

• Dirección y datos de contacto para notificación.

• Documentos que soporten la reclamación, si los hubiere.

Si el reclamo estuviere incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá desistido el reclamo.

LA EMPRESA atenderá el reclamo en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de recepción. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora, señalando la fecha de respuesta, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

10.4. Revocatoria de la autorización y supresión de datos

El titular podrá revocar la autorización otorgada para el tratamiento de sus datos personales y/o solicitar la supresión de los mismos cuando considere que LA EMPRESA no ha respetado los principios, derechos y garantías legales. La solicitud de revocatoria o supresión se tramitará conforme al procedimiento de reclamos descrito en el numeral 10.3.

LA EMPRESA podrá negar la supresión cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, o cuando la supresión de los datos obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, laborales o contractuales.

11. TRANSFERENCIA Y TRANSMISIÓN DE DATOS A TERCEROS

LA EMPRESA podrá transferir o transmitir datos personales a los siguientes terceros, para las finalidades descritas en esta política:

• Administradoras de Riesgos Laborales (ARL).

• Entidades Promotoras de Salud (EPS).

• Cajas de Compensación Familiar.

• Fondos de Pensiones.

• Entidades bancarias y financieras.

• Contador externo y asesores tributarios.

• Autoridades judiciales o administrativas que lo requieran conforme a la ley.

11.1. Transferencia internacional de datos

Algunos de los encargados del tratamiento que utiliza LA EMPRESA almacenan datos en servidores ubicados fuera de Colombia. Las siguientes plataformas pueden implicar transferencia internacional de datos personales:

• Microsoft OneDrive (Estados Unidos).

• Google Drive y Google Workspace (Estados Unidos).

• Odoo (en la nube, según la instancia contratada).

• ClickUp (Estados Unidos).

• OpenAI / herramientas de inteligencia artificial (Estados Unidos).

LA EMPRESA velará por que estos encargados del tratamiento cumplan con estándares adecuados de protección de datos personales conforme a la legislación colombiana y las directrices de la SIC.

12. MEDIDAS DE SEGURIDAD

LA EMPRESA adoptará las medidas técnicas, humanas y administrativas razonables para proteger los datos personales frente al acceso no autorizado, la pérdida, la alteración, la destrucción o el uso indebido. Entre las medidas implementadas se incluyen:

• Contraseñas en equipos de cómputo y acceso restringido a archivos digitales por perfil de usuario.

• Software antivirus y de protección contra amenazas informáticas.

• Respaldos periódicos de la información en discos duros físicos y servicios en la nube.

• Sistema de videovigilancia (CCTV) en las instalaciones.

• Control de acceso biométrico (huella dactilar) a las instalaciones.

• Archivadores físicos con cerradura para documentos que contienen datos personales sensibles.

• Cláusulas de confidencialidad en los contratos laborales y de prestación de servicios.

LA EMPRESA revisará y actualizará periódicamente estas medidas conforme a la evolución de los riesgos y la tecnología disponible.

13. TRATAMIENTO DE LA IMAGEN PERSONAL EN REDES SOCIALES

Dado que una parte significativa de la actividad comercial y de mercadeo de LA EMPRESA involucra la captura y publicación de fotografías y videos en sus redes sociales oficiales (Instagram, Facebook, TikTok, YouTube, WhatsApp) y en su página web (www.suministrosardila.com), LA EMPRESA establece las siguientes reglas especiales:

a) Toda persona cuya imagen sea captada con la intención de publicarla en medios de LA EMPRESA deberá firmar una autorización específica de uso de imagen y tratamiento de datos personales.

b) La autorización especificará de manera clara y detallada los canales de publicación, la finalidad comercial y publicitaria, y la vigencia del uso.

c) El titular podrá revocar su autorización en cualquier momento, dirigiendo su solicitud al correo info@suministrosardila.com. LA EMPRESA procederá a retirar el contenido de sus canales digitales en un plazo máximo de diez (10) días hábiles.

d) Cuando en una activación de marca o evento aparezcan menores de edad, se requerirá la autorización del representante legal del menor antes de la publicación del contenido.

e) Las imágenes captadas por el sistema de CCTV no serán publicadas en redes sociales ni medios de comunicación, salvo requerimiento de autoridad competente.

14. VIDEOVIGILANCIA (CCTV)

Las instalaciones de LA EMPRESA (sede administrativa y CEDI) cuentan con un sistema de circuito cerrado de televisión (CCTV) con el objetivo de garantizar la seguridad de las personas, los bienes y la operación. El tratamiento de las imágenes captadas por este sistema se rige por las siguientes reglas:

a) Se instalarán avisos visibles en las zonas monitoreadas que informen a empleados, visitantes y terceros sobre la existencia de las cámaras.

b) Las grabaciones serán conservadas por un período máximo de treinta (30) días, salvo que sean requeridas como evidencia en procesos judiciales, administrativos o disciplinarios, caso en el cual se conservarán hasta la finalización del proceso respectivo.

c) El acceso a las grabaciones estará restringido a las personas expresamente autorizadas por la Gerencia.

d) Las grabaciones no serán difundidas ni publicadas, salvo requerimiento de autoridad competente.

15. COOKIES Y TECNOLOGÍAS DE SEGUIMIENTO

La página web de LA EMPRESA (https://suministrosardila.com/) utiliza cookies y tecnologías similares para mejorar la experiencia de navegación del usuario. Las cookies recolectan información como la dirección IP, el tipo de navegador, las páginas visitadas y las preferencias del usuario.

El usuario podrá configurar su navegador para rechazar el uso de cookies, aunque esto podría afectar la funcionalidad de ciertas secciones del sitio web.

16. VIGENCIA Y PERÍODOS DE CONSERVACIÓN DE LOS DATOS

LA EMPRESA conservará los datos personales durante el tiempo que sea necesario para cumplir las finalidades descritas en esta política y conforme a los siguientes criterios legales:

Tipo de datoPeríodo de conservaciónFundamento legal
Documentos laborales (contratos, nóminas, certificaciones)Mínimo 10 años; recomendación de conservación indefinidaLey 962/2005, Art. 28; Sentencia T-470/2019
Documentos del SG-SST (exámenes médicos, incapacidades)20 años desde el cese de la relación laboralDecreto 1072/2015, Art. 2.2.4.6.13
Historias clínicas ocupacionales80 añosResolución 1995/1999; normativa archivística
Documentos comerciales y tributarios10 añosLey 962/2005; Código de Comercio, Art. 60
Imágenes y videos (activaciones, redes sociales)5 años desde la captura, o hasta revocatoria de la autorizaciónDefinido por LA EMPRESA; sujeto a Ley 1581/2012
Grabaciones CCTV30 días; excepcionalmente hasta fin de proceso judicialRecomendación SIC; buena práctica
Datos de clientes y proveedoresVigencia de la relación comercial + 10 añosLey 962/2005; Código de Comercio, Art. 60
Datos de candidatos no seleccionados1 año desde la finalización del proceso de selecciónDefinido por LA EMPRESA; sujeto a Ley 1581/2012
Cookies y datos de navegación webConforme a la duración de la cookie (sesión o persistente)Autorregulación; buena práctica

Una vez cumplido el período de conservación y agotada la finalidad del tratamiento, LA EMPRESA procederá a la supresión segura de los datos personales, salvo que exista un deber legal o contractual que obligue a su conservación por un período adicional.

17. RESPONSABLE DEL TRATAMIENTO

ResponsableSUMINISTROS ARDILA S.A.S.
NIT900.932.231-9
Representante legalEduwin Alfonso Ardila González, Gerente General
Área a cargo del tratamientoGerencia de Operaciones
Persona de contactoGerente de Operaciones
Correo electrónicoinfo@suministrosardila.com
Teléfono300 639 9775
DirecciónCalle 84 #79-31, Barranquilla, Atlántico
Página webhttps://suministrosardila.com/

18. VIGENCIA DE LA POLÍTICA

La presente Política de Tratamiento de Datos Personales entra en vigencia a partir de la fecha de su aprobación y publicación en la página web de LA EMPRESA, y permanecerá vigente mientras SUMINISTROS ARDILA S.A.S. mantenga el tratamiento de datos personales.

LA EMPRESA se reserva el derecho de modificar esta política en cualquier momento. Las modificaciones serán publicadas en la página web y se informará a los titulares por los medios disponibles.