1. Proposito y alcance del Manual Interno de Políticas y Procedimientos para la Proteccion de Datos Personales.

El artículo 15 de la Constitucion Política de Colombia consagra el derecho fundamental a la proteccion de los datos personales o habeas data, así:

“Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”.

En desarrollo de lo anterior, la Ley 1581 de 2012 y sus normas reglamentarias instituyen ciertas obligaciones y derechos para salvaguardar y garantizar este derecho a las personas que proporcionan sus datos a personas jurídicas privadas como a la entidad As Transportes.

Producto de lo anterior, As Transportes es responsable de proteger y garantizar los derechos de los titulares de los datos personales que recopila y usa con ocasion al desarrollo de su objeto social.

Con el proposito de dar a conocer y lograr el estricto cumplimiento a las referidas normas por parte de As Transportes y de sus clientes, contratistas, trabajadores, colaboradores y terceros que se mencionan en sus políticas de proteccion de datos personales y de la política de seguridad de la informacion, se ha elaborado el presente Manual Interno de Políticas y Procedimientos para la Proteccion de los Datos Personales, en el cual, explican los principios y políticas que regiran el tratamiento de los datos personales que recopila la Entidad, así como los procedimientos que se deben seguir para alcanzar el cumplimiento de las normas vigentes.

El estricto cumplimiento de este Manual es de vital importancia para As Transportes, no solo para evitar sanciones y altas multas, sino para demostrar el interes y compromiso de la companía con las buenas practicas de la entidad y el estricto cumplimiento de la ley.

El presente Manual Interno, junto con la Política de Privacidad de la companía y la Política de seguridad de la informacion, representan compromisos de obligatorio cumplimiento para todos los trabajadores, contratistas, colaboradores o terceros de la firma y aquellos que se mencionan en sus políticas de proteccion de datos personales y la Política de seguridad de la informacion.

2. Aspectos  Generales  de  las  normas  sobre  Proteccion  de  Datos

Personales.

2.1.    Legislacion Vigente: La legislacion nacional vigente en materia de

Proteccion de Datos Personales es la Ley 1581 de 2012, la Ley 1266 de

2008, el Decreto 1377 de 2013 y las normas que las reglamenten, modifiquen o deroguen.

2.2.   Definiciones: Para un mejor entendimiento y cumplimiento del presente Manual se deben tener en cuenta las siguientes definiciones de caracter legal:1

• Autorizacion:  Consentimiento   previo,  expreso  e  informado  del

Titular para llevar a cabo el tratamiento de datos personales.

• Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento.

• Dato   personal:   Cualquier   informacion   vinculada   o   que   pueda asociarse a una o varias personas naturales determinadas o determinables

• Dato publico: Es el dato calificado como tal segun los mandatos de la ley o de la Constitucion Política y aquel que no sea semiprivado, privado o sensible. Son publicos, entre otros, los datos relativos al estado civil de las personas, a su profesion u oficio, a su calidad de comerciante o de servidor publico y aquellos que puedan obtenerse sin reserva alguna. Por su naturaleza, los datos publicos pueden estar contenidos, entre otros, en registros  publicos,  documentos  publicos,  gacetas  y  boletines  oficiales,

sentencias judiciales debidamente ejecutoriadas que no esten sometidas a reserva.

• Datos sensibles: Son los que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminacion, tales como aquellos que revelen el origen racial o etnico, la orientacion política, las convicciones religiosas o filosoficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposicion, así como los datos relativos a la salud, a la vida sexual y los datos biometricos, como la huella dactilar.

• Titular:  Persona  natural  cuyos  datos  personales  sean  objeto  de

Tratamiento

• Encargado del Tratamiento: Persona natural o jurídica, publica o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del responsable del tratamiento.

• Responsable del Tratamiento: Persona natural o jurídica, publica o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos

• Tratamiento: Cualquier operacion o conjunto de operaciones sobre datos personales, tales como la recoleccion, almacenamiento, uso, circulacion o supresion.

2.3.    Principios que rigen el tratamiento de datos personales: Todas las actividades relacionadas con el tratamiento de datos personales que se encuentran en la base de datos de AS TRANSPORTES, deben cumplir con los principios reconocidos por la ley y la jurisprudencia de la Corte Constitucional colombiana, los cuales se resumen a continuacion:

• Principio de legalidad: En el uso, captura, recoleccion y tratamiento de  datos  personales,  se  dara  aplicacion  a  las  disposiciones  vigentes  y

aplicables que rigen el tratamiento de datos personales y demas derechos fundamentales conexos.

• Principio de libertad: El uso, captura, recoleccion y tratamiento de datos personales solo puede llevarse a cabo con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podran ser obtenidos o divulgados sin previa autorizacion, o en ausencia de mandato legal, estatutario, o judicial que releve el consentimiento.

1 Estas definiciones corresponden a las establecidas por la Ley 1581 de

2012.

• Principio de  finalidad:  El  Tratamiento  hecho  a  los  datos  debe obedecer a una finalidad legítima de acuerdo con la Constitucion y la Ley, la cual debe ser informada al Titular.

• Principio de necesidad y proporcionalidad: Los datos personales registrados en la base de datos deben ser los estrictamente necesarios para cumplir las finalidades del Tratamiento. En tal sentido, deben ser adecuados, pertinentes y acordes con las finalidades para los cuales fueron recolectados.

• Principio de temporalidad: El período de conservacion de los datos personales en nuestra base de datos debe ser el necesario para alcanzar la finalidad para la cual los hemos recolectado.

• Principio de libertad: El Tratamiento solo puede ejercerse con el consentimiento, previo, expreso e informado del Titular de los datos. Por ello, los datos personales no podran ser obtenidos o divulgados sin previa autorizacion, o en ausencia de mandato legal o judicial.

• Principio de veracidad o calidad: La informacion sujeta a Tratamiento debe ser cierta, completa, exacta, actualizada, comprobable y comprensible. No esta permitido el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

• Principio de transparencia: En el Tratamiento se debe garantizar el derecho del Titular a obtener de AS TRANSPORTES, en cualquier momento

y sin restricciones, informacion acerca de la existencia de datos que le conciernan.

• Principio de acceso y circulacion restringida: Los datos personales, salvo la informacion publica, solo pueden estar en Internet cuando el acceso sea tecnicamente controlable para otorgar un conocimiento restringido unicamente a los Titulares de los datos personales o a terceros autorizados.

• Principio de seguridad: El responsable y encargado del tratamiento de los datos personales deberan cumplir con todas las medidas tecnicas, humanas y administrativas necesarias para otorgar seguridad a los registros evitando su adulteracion, perdida, consulta, uso o acceso no autorizado o fraudulento.

• Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales, que no tengan la naturaleza de publicos, estan obligadas a garantizar la reserva de la informacion, inclusive despues de finalizada su relacion con alguna de las labores que comprende el Tratamiento.

2.4.  Sanciones por el incumplimiento de la Legislacion Vigente: El incumplimiento de este Manual y de las obligaciones que con el se dan a conocer puede llegar a generar sanciones para la Entidad As Transportes con multas que determinara la autoridad competente conforme la normatividad colombiana vigente, suspension o cierre inmediato y definitivo de la Entidad.

3. Autorizacion del Titular de los Datos.

3.1.   Necesidad de autorizacion: La Ley 1581 de 2012, establece la necesidad de obtener autorizacion previa, expresa e informada del titular de los datos personales para poder efectuar cualquier actividad relacionada con la recopilacion y tratamiento de datos personales. En consecuencia, la firma debe contar con la referida autorizacion para realizar cualquier operacion relacionada con datos personales.

3.2.    Características que debe tener la autorizacion: De conformidad con las normas vigentes, el consentimiento del Titular de los datos debe cumplir con las siguientes características:

• Ser previo: Debe concederse antes de la incorporacion de sus datos a la base.

• Ser   expreso:   Aquel   consentimiento   que   se   otorga   de   forma inequívoca, explícita y concreta para la finalidad que requiere la Entidad.

• Ser informado: El Titular del dato debe conocer la finalidad de la base de datos y el tratamiento que se le va a dar a su informacion, siendo consiente de los efectos de su autorizacion. En concreto, es obligatorio informar al titular de los datos: (i) El tratamiento que se hara sobre sus datos y la finalidad de este; (ii) el caracter facultativo de las respuestas a las preguntas que versen sobre datos sensibles; (iii) los derechos que tiene; (iv)  la identificacion,  direccion  física o  electronica del  responsable  del tratamiento.

3.3.    Mecanismo  para  obtener  la  autorizacion:  La  autorizacion  debe constar por escrito, a traves de documento físico o electronico que facilite posteriormente su consulta. Para cumplir con esto As Transportes, puede adoptar los mecanismos tecnologicos y físicos que le permiten guardar el registro de la aceptacion de los Titulares.

3.4.    Autorizacion para datos sensibles: La entidad solo puede realizar operaciones o tratamientos de los datos sensibles con autorizacion expresa del titular de dichos datos personales, siempre y cuando se haya informado al Titular: i) Por tratarse de datos sensibles no esta obligado a autorizar su Tratamiento, ii) Cuales de los datos que seran objeto de Tratamiento son sensibles y, iii) La finalidad del Tratamiento. De cualquier forma, ninguna actividad podra condicionarse a que el Titular suministre datos personales sensibles.

3.5.    Prueba de la autorizacion: Con el fin de que posteriormente se pueda consultar la autorizacion, se debera llevar un registro físico o electronico en el que se consigne como y cuando se obtuvo cada autorizacion, así como copia de esta.

4. Tratamiento de los datos personales.

4.1.   Recoleccion: La recoleccion de la informacion debe limitarse a aquellos datos que contribuyan y que sean pertinentes para alcanzar las finalidades requeridas por As Transportes, segun la naturaleza de la base de datos. Para el procedimiento de recoleccion queda prohibida el manejo de medios enganosos o fraudulentos.

4.2.    Modificaciones en las políticas o finalidad de Tratamiento: Cuando la firma adopte un cambio sustancial en las políticas o finalidades del tratamiento, este debera comunicarse oportunamente a los Titulares de los datos a traves de los medios de comunicacion que se utilizan ordinariamente en las relaciones con el Titular. Si el cambio sustancial es de categoría tal que haga inocua la autorizacion dada, se debera proceder en aras de obtener una nueva autorizacion.

4.3.    Datos personales de menores de edad: La Entidad As Transportes no empleara, almacenara ni realizara Tratamiento de Datos personales de menores de edad bajo ningun motivo o circunstancia, salvo aquellos datos que sean de naturaleza publica.

4.4.    Transferencia de datos a terceros países: Salvo autorizacion expresa del Titular de los datos personales y las demas excepciones previstas en la Ley 1581 de 2012, esta prohibida la transferencia de datos a terceros países que no proporcionen niveles adecuados de proteccion de datos. Para estos efectos, se considera que un país no proporciona los niveles adecuados de proteccion cuando sus leyes no prevean principios que orienten los derechos y obligaciones de los involucrados en el tratamiento de datos, ni un procedimiento que involucre mecanismos y entidades independientes que garanticen la proteccion de los datos personales.

4.5.    Transmision de datos a un encargado para que haga el tratamiento de los datos personales: La Entidad As Transportes podra transmitir o entregar los datos personales de sus bases de datos a un tercero en Colombia o en el exterior para que este tercero, en calidad de encargado, realice  el  tratamiento  de  los  datos  personales.  Para  tales efectos  y  de conformidad con la ley, se debera suscribir un contrato con dicho tercero en el que:

• Se senalara los alcances del tratamiento, las actividades que el encargado realizara por cuenta de la firma, para el tratamiento de los datos personales y las obligaciones del encargado para con el Titular y el responsable.

• El encargado se comprometera a dar aplicacion a las obligaciones de As Transportes, bajo la política de Tratamiento de la informacion y a realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables.

• Ademas de las obligaciones que impongan las normas aplicables dentro del citado contrato, deberan incluirse las siguientes obligaciones en cabeza del respectivo encargado:

1. Dar Tratamiento, a nombre del responsable, a los datos personales conforme a los principios que los tutelan.

2. Salvaguardar la seguridad de las bases de datos en los que se contengan datos personales.

3. Guardar confidencialidad respecto del tratamiento de los datos personales.

4.6.    Política para la eliminacion y/o supresion de datos personales: La Entidad en virtud de los principios de finalidad, necesidad, proporcionalidad y temporalidad, realizara el tratamiento de datos personales de los titulares. Una vez, cumplido con la finalidad de dicho

tratamiento y viendolo necesario, procedera a la supresion o eliminacion de los datos de los titulares, conforme a los siguientes parametros:

• As Transportes, evaluara cada diez (10) anos la informacion de los Titulares, y de acuerdo con sus características y su estado, procedera a elegir aquellos datos que considere a su discrecion que deben ser suprimidos o  eliminados.  Para  los  efectos, tendra  en cuenta  si existen derechos en cabeza de los titulares que impidan la supresion de los datos o si existen deberes legales, contractuales o constitucionales que impidan la eliminacion.

• La Entidad informara previamente a los titulares la decision y el fundamento de la supresion de sus datos personales quienes, mediante los canales habilitados,  podran  ejercer  su  derecho  a interponer  consultas, peticiones o reclamos respecto de dicha decision dentro de los quince (15) días habiles siguientes. Las consultas, peticiones o reclamos seguiran los procedimientos establecidos en esta política. En el evento que no haya reclamo o peticion alguna en relacion con la decision se procedera a la supresion.

• AS TRANSPORTES, elevara las actas y registros que correspondan respecto de los procesos de supresion y eliminacion de los datos personales de los titulares, para los efectos de trazabilidad del procedimiento.

4.7.    Confidencialidad, derechos fundamentales y amonificacion de los datos Personales: La Entidad es respetuosa de los derechos fundamentales de la intimidad, buen nombre y honra de los titulares de sus bases de datos, razon por la cual, para efectos de garantizar tales derechos, tomara las medidas que considere pertinentes en materia de confidencialidad, tales como las siguientes:

• Se abstendra de divulgar parcial o totalmente la INFORMACION CONFIDENCIAL recibida a cualquier persona natural o jurídica, entidades gubernamentales o privadas, cuya divulgacion no haya sido autorizada previamente.

• Se inhibira de utilizar, explotar, emplear, publicar o divulgar la INFORMACION CONFIDENCIAL en una forma diferente a la autorizada en la presente política.

• Instruira a todas aquellas personas que eventualmente tengan acceso a la INFORMACION CONFIDENCIAL sobre la forma de manipulacion, utilizacion,  manejo de  medidas  de seguridad y demas,  para  que  dicha informacion permanezca protegida.

• El uso de la INFORMACION CONFIDENCIAL se realizara observando los principios de etica y buenas practicas en materia de proteccion de datos personales. Para ello, As Transportes, manifiesta expresamente que emplea todos los medios a su alcance para impedir esa utilizacion irregular o no autorizada de la INFORMACION CONFIDENCIAL.

• La firma realizara la amonificacion de los datos personales de los titulares, cuando considere que pueden afectar su derecho a la intimidad, buen nombre y honra. En todo caso, As Transportes, a peticion los titulares y presentandose las razones para ello, realizara la correspondiente amonificacion de cualquier dato personal.

4.8.    Actualizacion de las bases de datos de los responsables. Cuando As Transportes, actue en calidad de encargado, actualizara la informacion reportada por el responsable del tratamiento de datos personales dentro de los quince (15) días habiles contados a partir de su recibo. En tal sentido, informara de la actualizacion al responsable una vez haya sido efectuada y, de ser el caso, tambien lo informara al Titular.

5. Derechos de los Titulares de los Datos Personales.

Por disposicion del artículo 8 de la Ley 1581 de 2012 los titulares de los datos personales tienen los siguientes derechos:

1. Conocer,  actualizar  y  rectificar  sus  datos  personales  frente  a  la

Entidad. Este derecho se podra ejercer frente a datos parciales, inexactos,

incompletos,   fraccionados,   que   induzcan   a   error   o   aquellos   cuyo

Tratamiento este expresamente prohibido o no haya sido autorizado. b.        Solicitar prueba de la autorizacion otorgada a As Transportes

1. c. Ser informado por la Entidad, previa solicitud, respecto del uso que se le ha dado a sus datos person

1. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012, siempre que previamente se haya agotado el tramite de consulta o reclamo ante la firma.

1. Revocar la autorizacion y/o solicitar la supresion del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando así lo desee libremente, siempre que no exista deber legal o contractual de permanecer en la base de datos.

1. f. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamient

1. Los demas derechos necesarios para la garantía del derecho fundamental al habeas data.

6. Deberes y obligaciones de AS TRANSPORTES

Conforme a las normas vigentes, AS TRANSPORTES, en su condicion de responsable del tratamiento de sus bases de datos, tiene las siguientes obligaciones:

1. Deberes respecto a la autorizacion concedida por el titular:

• Solicitar y conservar copia de la respectiva autorizacion otorgada por el Titular. Ademas, deberan mantener registros de cuando y como obtuvieron autorizacion por parte de los Titulares de datos personales para el Tratamiento de estos.

• Poner a disposicion del Titular de los datos personales, mecanismos gratuitos y de facil acceso para presentar la revocatoria de la autorizacion otorgada y la supresion de los datos personales.

• Cuando los Titulares informen sobre su intencion de revocar la autorizacion concedida, el responsable y/o el encargado debera informar que ha recibido la solicitud de revocatoria de autorizacion, incluyendo su fecha de recepcion.

• Adoptar las medidas necesarias para que la revocatoria de la autorizacion concedida tenga efectos dentro de los terminos senalados en la Ley.

1. Deberes respecto a la consulta y reclamos sobre datos personales:

• Suministrar a los Titulares de los datos y a sus causahabientes la informacion que reposa en la base de datos respecto de aquellos.

• Designar el personal encargado de procesar dichas consultas.

• Cuando reciba una consulta del Titular o de sus causahabientes debe suministrar toda la informacion contenida en el registro o que este vinculada con la identificacion del Titular.

• Tramitar   las   consultas   y   reclamos   formulados   en   los   plazos establecidos por la Ley.

• Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y en especial, para la atencion de consultas y reclamos.

1. c. Deberes  respecto  a  la  Política  de  Tratamiento  y  el  Aviso  de

Privacidad:

• Desarrollar políticas para el Tratamiento de los datos personales, las cuales deberan constar por escrito, en lenguaje claro y sencillo y ser puestas en conocimiento de los Titulares.

• En caso de haber cambios sustanciales en el contenido de las políticas del Tratamiento o en la finalidad del Tratamiento de los datos personales, que puedan afectar el contenido de la autorizacion, el responsable del Tratamiento debe comunicar estos cambios al Titular antes o a mas tardar

al momento de implementar las nuevas políticas y, ademas, debera obtener del Titular una nueva autorizacion cuando fuere apropiado segun lo sustancial del cambio.

• En caso de que no sea posible poner a disposicion del Titular las Políticas de Privacidad,  se  debera  informar por medio  de  un  aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a mas tardar al momento de la recoleccion de los datos personales.

• Conservar el modelo de Políticas de Privacidad y del Aviso de privacidad, mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este deriven. Para el almacenamiento del modelo, el responsable podra emplear medios informaticos, electronicos o cualquier otra tecnología.

1. Deberes respecto al Tratamiento de los datos personales:

• Conservar prueba que acredite el cumplimiento de informacion al Titular sobre: i) El tratamiento y finalidad que se le daran a los datos; ii) El caracter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las ninas, ninos y adolescentes; iii) Los derechos que le asisten como Titular; y iv) La identificacion, direccion física o electronica y telefono del responsable del Tratamiento.

• Conservar   la   informacion   bajo   las   condiciones   de   seguridad necesarias para impedir su adulteracion, perdida, consulta, uso o acceso no autorizado o fraudulento.

• Actualizar la informacion, comunicando de forma oportuna al encargado o responsable del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demas medidas necesarias para que la informacion suministrada a este se mantenga actualizada.

• Rectificar la informacion cuando sea incorrecta y comunicar lo pertinente al encargado del Tratamiento.

• Suministrar al encargado o responsable del Tratamiento, segun el caso, unicamente datos cuyo Tratamiento este previamente autorizado.

• Exigir al encargado o responsable del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la informacion del Titular.

• Evitar que los datos personales, salvo la informacion publica, esten disponibles en internet u otros medios de divulgacion o comunicacion, salvo que el acceso sea tecnicamente controlable para otorgar un conocimiento restringido solo a los Titulares o terceros autorizados conforme a la ley.

• Los responsables y encargados del Tratamiento deberan documentar los procedimientos para el Tratamiento y conservacion de los datos personales de conformidad con las disposiciones aplicables a la materia, así como las instrucciones que al respecto imparta la Superintendencia de Industria y Comercio, tomando en cuenta los aspectos administrativos, contables, fiscales, jurídicos e historicos de la informacion.

• Abstenerse de transferir datos personales de cualquier tipo a países que no proporcionen niveles adecuados de proteccion de datos, conforme a los estandares fijados por la Superintendencia de Industria y Comercio.

1. Deberes respecto a la solicitud de supresion de datos personales:

• Poner  a  disposicion  del  Titular  mecanismos  gratuitos  y  de  facil acceso para presentar la solicitud de supresion de datos.

• Cuando los Titulares soliciten la supresion de datos personales, el responsable y/o el encargado debera informar que ha recibido la solicitud de supresion, incluyendo su fecha de recepcion.

• Adoptar las medidas necesarias para que la solicitud de supresion de datos personales tenga efectos dentro del termino senalado en la Ley.

• Una vez se hayan cumplido las finalidades del Tratamiento de los datos personales, los responsables deberan proceder a la supresion de los datos personales en su posesion. Sin embargo, los datos deberan ser conservados cuando así se requiera para el cumplimiento de una obligacion legal o contractual.

1. f. Deberes  relacionados  con  el  principio  de  responsabilidad demostr

• Los responsables del Tratamiento de datos personales deben ser capaces de demostrar, a peticion de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012, el Decreto 1377 de 2013 y demas normas que los complementen y modifiquen, así como tambien, a partir de lo siguiente:

1. La naturaleza jurídica del responsable y, cuando sea del caso, su tamano, teniendo en cuenta si se trata de una micro, pequena, mediana o gran Entidad.

2. La naturaleza de los datos personales objeto del tratamiento.

3. El tipo de Tratamiento.

4. Los riesgos potenciales que el referido tratamiento podrían causar sobre los derechos de los titulares.

• En respuesta a un requerimiento de la Superintendencia de Industria y Comercio, los responsables deberan suministrar a esta una descripcion de los procedimientos usados para la recoleccion de los datos personales, como tambien la descripcion de las finalidades para las cuales esta informacion es recolectada y una explicacion sobre la relevancia de los datos personales en cada caso.

• Las medidas  que  se  tomen  para  implementar  las  normas  de proteccion de datos personales deberan garantizar:

1. La existencia de una estructura administrativa proporcional a la estructura y tamano de la entidad del responsable para la adopcion e implementacion de políticas consistentes con la Ley 1581 de 2012 y el Decreto 1377 de 2013.

2. La  adopcion de  mecanismos internos para  poner en practica  las políticas, incluyendo herramientas de implementacion, entrenamiento y programas de educacion.

3. La adopcion de procesos para la atencion y respuesta a consultas, peticiones y reclamos de los Titulares, con respecto a cualquier aspecto del tratamiento.

1. Otros deberes.

• Suscribir contratos con el encargado del tratamiento de datos personales, en el que este se obligue a:

1. Realizar el tratamiento conforme a las normas y principios vigentes

2. Cumplir con las Políticas de tratamiento de datos personales.

3. Salvaguardar la seguridad de las bases de datos en los que se contengan datos personales.

4. Guardar confidencialidad respecto del tratamiento de los datos personales.

7. Seguridad.

7.1.    Medidas de Seguridad: La Entidad As Transportes, debe implementar las medidas de seguridad humanas, administrativas y tecnicas que esten a su  razonable  alcance  para  proteger  los  datos personales  e  impedir su adulteracion, perdida, usos y accesos no autorizados.

7.2.    Obligaciones Contractuales: Con el fin de garantizar la seguridad de las bases de datos, en los contratos laborales, de prestacion de servicios, de suministro y los demas en los que por virtud del objeto contractual se tenga acceso a las bases de datos de la firma, se pactara la obligacion de privacidad y confidencialidad sobre dichos datos. Así, todas las personas

que intervengan en el tratamiento de los datos personales de nuestra base de datos estan obligadas a garantizar la reserva de la informacion y los datos, incluso despues de finalizada su relacion con As Transportes.

8. Procedimientos para el ejercicio de los derechos del Titular.

A continuacion, se describe el procedimiento que, de conformidad con la ley, debe seguir la Entidad, para atender las peticiones, consultas y reclamos de los titulares en relacion con sus datos personales.

8.1.    Personal encargado de peticiones, consultas y reclamos. La persona encargada de atender las peticiones, consultas y reclamos de los titulares para ejercer sus derechos a conocer, actualizar, rectificar y suprimir sus datos y revocar su autorizacion es el Oficial de Proteccion de Datos. Dicho personal se encargara de canalizar cada peticion para que tome las medidas correspondientes.

8.2 Procedimiento para que el titular ejerza sus derechos. En caso de que desee ejercer sus derechos, el Titular debera enviar un correo electronico o físico a las direcciones de contacto establecidas en la Política de tratamiento y proteccion de datos.

8.3.    Peticiones y Consultas Sobre Datos Personales: Cuando el titular de los datos o sus causahabientes deseen consultar la informacion que reposa en la base de datos, As Transportes, respondera la solicitud en plazo de maximo quince (15) días habiles. En cumplimiento a lo dispuesto en la Ley

1581 de 2012,cuando no fuere posible atender la consulta dentro de dicho

termino, se informara al Titular, se le expresaran los motivos de la demora y se le senalara la fecha en que se atendera su consulta, la cual, no podra superar los diez (10) días habiles siguientes al vencimiento del primer termino.

8.4.    Revocacion de autorizacion, retiro o supresion de la Base de Datos y reclamos Sobre Datos Personales. Cuando el Titular de los datos o sus causahabientes consideren que la informacion contenida en las bases de datos debe ser objeto de correccion, actualizacion o supresion, o cuando adviertan  el  presunto  incumplimiento  de  cualquiera  de  los  deberes

contenidos en la Ley 1581 de 2012, podran presentar un reclamo ante la

Entidad As Transportes, el cual sera tramitado bajo las siguientes reglas:

1. El reclamo se formulara mediante solicitud dirigida a la firma con la identificacion de los Titulares, la descripcion de los hechos que dan lugar al reclamo, la direccion, y se anexaran los documentos que se quieran hacer valer. Si el reclamo resulta incompleto, la Entidad podra requerir al interesado dentro de los cinco (5) días siguientes a la recepcion del reclamo para que subsane las fallas. Transcurridos quince (15) días desde la fecha del requerimiento, sin que el solicitante presente la informacion requerida, se entendera que ha desistido del reclamo. En caso de que As Transportes, no sea competente para resolver el reclamo, dara traslado a quien corresponda en un termino maximo de tres (3) días habiles e informara de la situacion al Titular, con lo cual quedara relevada de cualquier reclamacion o responsabilidad por el uso, rectificacion o supresion de los datos.

1. Una vez recibido el reclamo completo, cuando este no pueda ser resuelto de manera expedita y siempre y cuando sea tecnicamente posible, se incluira en la base de datos una leyenda que diga “reclamo en tramite” y el motivo de este, en un termino no mayor a diez (10) días habiles. Dicha leyenda debera mantenerse hasta que el reclamo sea decidido.

1. c. El termino maximo para atender el reclamo sera de quince (15) días habiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho termino, se informara al Titular los motivos de la demora y la fecha en que se atendera su reclamo, la cual en ningun caso podra superar los quince (15) días habiles siguientes al vencimiento del primer ter

1. El  retiro   o   supresion   no   procedera   cuando   exista   un   deber contractual o legal de permanecer en la base de datos de As Transportes, como, por ejemplo, para el cumplimiento de deberes contables, tributarios, comerciales o jurídicos.

8.5.    Quejas ante la Superintendencia de Industria y Comercio: Para que el Titular de los  datos  o  el  causahabiente  pueda presentar queja ante la Superintendencia de Industria y Comercio debera previamente agotar el tramite de consulta o reclamo descrito en los numerales anteriores.

Por tanto, es muy importante que los empleados o contratistas de la firma hagan todos los esfuerzos necesarios para evitar que los Titulares insatisfechos se vean en la necesidad de acudir a la Superintendencia de Industria y Comercio. En consecuencia, la atencion de estos reclamos y la supresion definitiva de las bases de datos de la companía debe ser considerada como una labor PRIORITARIA.

8.6.    Personas a quienes se les puede otorgar la informacion: De acuerdo con la ley, la informacion de nuestros usuarios solo podra ser suministrada a las siguientes personas:

1. Los Titulares de la informacion, sus causahabientes y representantes. b.        A  las  entidades  publicas  o  administrativas  en  ejercicio  de  sus

funciones legales o por orden judicial.

1. c. A los terceros autorizados por el Titular o por la ley.

9. Dudas   o  inquietudes   en   relacion  con   la   proteccion   de   datos personales.

Cualquier duda o inquietud en relacion con el presente Manual, las Políticas de Tratamiento y Proteccion de Datos o la aplicacion de las normas vigentes en  materia  de  proteccion  de  datos  personales  podra  ser  dirigida  a

 c alidad@ ast ransportes.c om

10. Implementacion y difusion del Manual Interno

Con el fin de adoptar el Manual Interno de Políticas y Procedimientos, se sugiere tomar las medidas que se senalan a continuacion:

1. Incluir el Manual Interno de Políticas y Procedimientos dentro de los demas manuales y/o protocolos de la Entidad As Transportes

1. Ubicar la política en sistemas o plataformas comunes e informar de su disponibilidad a cada uno.

1. c. Incluir en los futuros contratos que vayan a suscribirse con trabajadores o colaboradores, las obligaciones de privacidad, confidencialidad y cumplimiento del Manual Interno de Políticas y Procedimientos en los terminos que se exponen en este document En el caso   de los contratos actualmente vigentes, se debería incluir como un otrosí o modificacion a los mismos.

11. Vigencia.

Este Manual rige a partir del 12 de junio de 2024. Los Datos Personales que sean almacenados, utilizados o transmitidos permaneceran en nuestra Base de Datos, con base en el criterio de temporalidad y necesidad, durante el tiempo que sea necesario para las finalidades mencionadas en el presente documento, para las cuales, fueron recolectados.

La política es actualizada el 12 de junio de 2024, socializada al personal en la induccion corporativa y publicada a traves de la pagina web y los diferentes medios de comunicacion y difusion de la informacion en As Transportes.