Política de Tratamiento de la Información y Protección de Datos Personales

1. Introducción

La protección de los datos personales constituye un derecho fundamental autónomo en el ordenamiento jurídico colombiano, reconocido en el artículo 15 de la Constitución Política y desarrollado por la Ley Estatutaria 1581 de 2012, cuyo texto fue objeto de revisión previa de constitucionalidad por la Corte Constitucional mediante la Sentencia C-748 de 2011. En virtud de dicho derecho, toda persona natural tiene la facultad de conocer, actualizar y rectificar las informaciones que sobre ella se hayan recogido en bases de datos y archivos de entidades públicas y privadas, así como de exigir que su tratamiento se sujete a los principios de finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

CYBERIS S.A.S. es una compañía colombiana especializada en ciberseguridad, inteligencia artificial, automatización y datos, cuya operación comprende la administración delegada de plataformas de seguridad, la operación de Centros de Operaciones de Seguridad, el monitoreo, la detección y la respuesta ante incidentes, los servicios especializados de hacking ético y pruebas de penetración, y la consultoría en gobierno de datos y cumplimiento normativo. La naturaleza misma de esta operación implica que la organización trate información personal de sus trabajadores, candidatos, clientes, proveedores, contratistas, aliados estratégicos y visitantes, y que, en desarrollo de sus contratos, acceda a información personal cuya titularidad y responsabilidad corresponde a sus clientes.

Esa doble condición, que sitúa a la organización unas veces como responsable y otras como encargada del tratamiento, exige un marco de gobierno riguroso, documentado y auditable. La presente Política constituye el instrumento mediante el cual CYBERIS S.A.S. da cumplimiento al deber legal contenido en el literal k) del artículo 17 de la Ley 1581 de 2012, consistente en adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y, en especial, para la atención de consultas y reclamos, y al deber reglamentario de adoptar una política de tratamiento de la información previsto en el Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015.

Adicionalmente, la presente Política se integra como información documentada del Sistema de Gestión de Seguridad de la Información de CYBERIS S.A.S., implementado conforme a la norma ISO/IEC 27001:2022, y desarrolla de manera específica el control 5.34 del Anexo A relativo a la privacidad y protección de la información de identificación personal, en concordancia con los controles 5.31 sobre requisitos legales, estatutarios, reglamentarios y contractuales, 5.33 sobre protección de registros, 5.36 sobre cumplimiento de políticas y normas de seguridad, 8.10 sobre borrado de información, 8.11 sobre enmascaramiento de datos y 8.12 sobre prevención de fuga de datos.

2. Objetivo

2.1 Objetivo general

Establecer los lineamientos, principios, finalidades, deberes y procedimientos que rigen la recolección, el almacenamiento, el uso, la circulación, la transferencia, la transmisión y la supresión de los datos personales tratados por CYBERIS S.A.S., en su condición de responsable o de encargada del tratamiento, garantizando el ejercicio efectivo del derecho fundamental de hábeas data, el cumplimiento de la Ley 1581 de 2012 y sus normas reglamentarias, y la protección de la información personal dentro del Sistema de Gestión de Seguridad de la Información de la organización.

2.2 Objetivos específicos

1. Informar a los titulares, de manera previa, clara, suficiente y verificable, las finalidades para las cuales sus datos personales son objeto de tratamiento por parte de la organización.
2. Definir los mecanismos idóneos para obtener, conservar y acreditar la autorización previa, expresa e informada del titular, así como su revocatoria.
3. Establecer los procedimientos y los términos legales para la atención de consultas, peticiones y reclamos formulados por los titulares, sus causahabientes, apoderados o representantes.
4. Determinar las medidas técnicas, humanas, administrativas y jurídicas orientadas a garantizar la confidencialidad, la integridad, la disponibilidad y la trazabilidad de la información personal bajo custodia de la organización.
5. Delimitar las responsabilidades de las áreas, los roles y los terceros que intervienen en el ciclo de vida del dato personal dentro de la organización.
6. Regular las condiciones bajo las cuales la organización transfiere o transmite datos personales a terceros, dentro o fuera del territorio nacional.
7. Establecer el tratamiento aplicable a los datos sensibles, a los datos de niños, niñas y adolescentes y a los datos a los que la organización accede en desarrollo de la prestación de servicios de ciberseguridad.
8. Articular la gestión de la privacidad con el Sistema de Gestión de Seguridad de la Información, de modo que los incidentes que comprometan datos personales sean detectados, gestionados, documentados y reportados a la autoridad competente dentro de los términos legales.
9. Evidenciar el cumplimiento del principio de responsabilidad demostrada frente a la Superintendencia de Industria y Comercio, a los clientes, a los entes certificadores y a las demás partes interesadas.

3. Alcance

La presente Política aplica a la totalidad de los datos personales contenidos en bases de datos y archivos, físicos o digitales, estructurados o no estructurados, que sean objeto de tratamiento por parte de CYBERIS S.A.S., cualquiera que sea el medio, el formato, el canal o la tecnología a través de los cuales hayan sido obtenidos, almacenados o procesados, y con independencia de que la organización actúe en calidad de responsable o de encargada del tratamiento.

En razón de las personas, la Política vincula a los siguientes grupos de titulares:

1. Trabajadores vinculados mediante contrato de trabajo en cualquiera de sus modalidades, extrabajadores, aprendices, practicantes y candidatos que participen en procesos de selección.
2. Clientes, usuarios y prospectos comerciales, así como los representantes legales, contactos técnicos y contactos comerciales designados por las organizaciones clientes.
3. Proveedores, contratistas independientes, aliados estratégicos, fabricantes y mayoristas de tecnología con quienes la organización mantenga relaciones comerciales, contractuales o de cooperación.
4. Visitantes de las instalaciones físicas y usuarios de los canales digitales, plataformas web y medios de contacto de la organización.
5. Cualquier otra persona natural cuyos datos personales sean recolectados, almacenados, usados, circulados, transferidos, transmitidos o suprimidos por la organización.

En razón de las obligaciones, la Política vincula a todos los trabajadores, contratistas, proveedores, encargados y terceros que, por razón de sus funciones, de su rol o de su relación contractual con CYBERIS S.A.S., accedan, administren, procesen o custodien datos personales. Su cumplimiento es obligatorio y su desconocimiento constituye falta susceptible de las consecuencias disciplinarias, contractuales, administrativas y penales que correspondan.

Se exceptúan del ámbito de aplicación de la presente Política las bases de datos y archivos mantenidos en ámbito exclusivamente personal o doméstico, las bases de datos que tengan por finalidad la seguridad y defensa nacional, la prevención, detección, monitoreo y control del lavado de activos y financiación del terrorismo, las bases de datos de inteligencia y contrainteligencia, las bases de datos de información periodística y las reguladas por la Ley 1266 de 2008, en los términos del artículo 2 de la Ley 1581 de 2012.

4. Marco legal y normativo

La presente Política se fundamenta en las siguientes normas y estándares:

1. Constitución Política de Colombia, artículos 15, 20 y 44. Consagran el derecho a la intimidad personal y familiar, el derecho de toda persona a conocer, actualizar y rectificar las informaciones recogidas sobre ella, el derecho a la libertad de información, y los derechos fundamentales de los niños, niñas y adolescentes, cuya prevalencia sobre los derechos de los demás reconoce expresamente.
2. Ley Estatutaria 1581 de 2012. Dicta disposiciones generales para la protección de datos personales y desarrolla el derecho constitucional de hábeas data.
3. Sentencia C-748 de 2011 de la Corte Constitucional. Revisión previa de constitucionalidad del proyecto de ley estatutaria que dio lugar a la Ley 1581 de 2012, la cual fija el alcance interpretativo de sus disposiciones.
4. Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015. Reglamenta parcialmente la Ley 1581 de 2012 en materia de autorización del titular, aviso de privacidad, políticas de tratamiento, deber de informar, transferencias y supresión de datos.
5. Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo. Compila, en el Capítulo 25 del Título 2 de la Parte 2 de su Libro 2, la reglamentación sobre protección de datos personales, y en el Capítulo 26 la reglamentación del Registro Nacional de Bases de Datos.
6. Decreto 090 de 2018. Modifica las disposiciones del Decreto 1074 de 2015 sobre el Registro Nacional de Bases de Datos y delimita el universo de responsables obligados a la inscripción.
7. Circular Única de la Superintendencia de Industria y Comercio, Título V. Imparte las instrucciones administrativas en materia de protección de datos personales, incluidas las relativas al Registro Nacional de Bases de Datos, al reporte de incidentes de seguridad y a las transferencias internacionales de datos.
8. Ley 1266 de 2008. Régimen especial de hábeas data aplicable a la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, en cuanto resulte aplicable a la organización.
9. Ley 1273 de 2009. Crea el bien jurídico tutelado de la protección de la información y de los datos, y tipifica, entre otras conductas, la violación de datos personales prevista en el artículo 269F del Código Penal.
10. Ley 1712 de 2014, Ley 2213 de 2022 y demás normas concordantes, en cuanto regulen el acceso a la información, el uso de medios electrónicos y la validez de los mensajes de datos como soporte de la autorización.
11. Código Sustantivo del Trabajo y normativa del Sistema de Gestión de la Seguridad y Salud en el Trabajo, en cuanto imponen deberes de recolección, conservación y reserva de información laboral y de salud ocupacional.
12. Ley 1098 de 2006, Código de la Infancia y la Adolescencia. Consagra el interés superior, la prevalencia de los derechos, el derecho a ser escuchado y el derecho a la intimidad de los niños, niñas y adolescentes, y regula la protección laboral de los adolescentes autorizados para trabajar.
13. Ley 679 de 2001, Ley 1336 de 2009 y artículos 218, 219B y 441 del Código Penal. Regulan la prevención de la explotación sexual de menores de edad en las redes globales de información, los deberes de denuncia y las conductas punibles asociadas, incluida la omisión de denuncia.
14. Ley 2489 de 2025 y Decreto 0769 de 2026. Establecen disposiciones para el desarrollo de entornos digitales sanos y seguros para los niños, niñas y adolescentes, incluida la protección de su privacidad y la privacidad desde el diseño y por defecto en los servicios digitales.
15. Norma ISO/IEC 27001:2022. Requisitos para el establecimiento, implementación, mantenimiento y mejora continua de un Sistema de Gestión de Seguridad de la Información, en particular las cláusulas 4.2, 6.1, 7.5, 8.1, 9 y 10, y los controles del Anexo A citados en el numeral 1 de esta Política.
16. Norma ISO/IEC 27701 y el Reglamento General de Protección de Datos de la Unión Europea, como referentes de buenas prácticas y como marco aplicable cuando la organización trate datos personales sometidos a legislación extranjera en virtud de sus relaciones contractuales.

A la fecha de aprobación del presente documento, la Ley 1581 de 2012 y su normativa reglamentaria se encuentran plenamente vigentes. El área jurídica de CYBERIS S.A.S. hará seguimiento permanente a las iniciativas legislativas y a los pronunciamientos de la Superintendencia de Industria y Comercio y de las altas cortes que modifiquen este marco, y promoverá la actualización de la Política cuando ello resulte procedente.

5. Definiciones

Para la correcta interpretación y aplicación de la presente Política se adoptan las definiciones contenidas en el artículo 3 de la Ley 1581 de 2012 y en el Decreto 1074 de 2015, en los siguientes términos:

Autorización. Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.

Aviso de privacidad. Comunicación verbal o escrita generada por el responsable, dirigida al titular, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamiento que se pretende dar a los datos personales.

Base de datos. Conjunto organizado de datos personales que sea objeto de tratamiento.

Causahabiente. Persona que ha sucedido a otra por causa del fallecimiento de esta y que, en tal condición, se encuentra legitimada para ejercer los derechos del titular fallecido.

Dato personal. Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público. Dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público, así como los contenidos en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.

Dato semiprivado. Dato que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como ocurre con los datos financieros y crediticios de la actividad comercial o de servicios.

Dato privado. Dato que por su naturaleza íntima o reservada solo es relevante para el titular.

Dato sensible. Dato que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, tal como aquel que revele el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garantice los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.

Encargado del tratamiento. Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento.

Hábeas data. Derecho fundamental de toda persona a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ella en bases de datos y archivos de entidades públicas y privadas, así como a solicitar la supresión del dato y la revocatoria de la autorización en los casos previstos por la ley.

Incidente de seguridad. Evento o serie de eventos no deseados o inesperados que compromete o puede comprometer la confidencialidad, la integridad o la disponibilidad de los datos personales, incluida la pérdida, el acceso no autorizado, la adulteración, la divulgación indebida o el uso fraudulento de la información.

Responsable del tratamiento. Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos o el tratamiento de los datos.

Titular. Persona natural cuyos datos personales sean objeto de tratamiento.

Transferencia. Operación que tiene lugar cuando el responsable o el encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor que, a su vez, es responsable del tratamiento y se encuentra dentro o fuera del país.

Transmisión. Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia, cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable.

Tratamiento. Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, el almacenamiento, el uso, la circulación o la supresión.

6. Identificación del responsable del tratamiento

CYBERIS S.A.S., sociedad comercial legalmente constituida y domiciliada en Bogotá D.C., es la responsable del tratamiento de los datos personales contenidos en las bases de datos de su propiedad, y garantiza que la recolección, el almacenamiento, el uso, la circulación, la transferencia, la transmisión y la supresión de dicha información se realicen conforme a los principios y deberes establecidos en la Ley 1581 de 2012 y en la presente Política. Sus datos de identificación y contacto son los siguientes:

Razón social	CYBERIS S.A.S.
Número de identificación tributaria	NIT 901.956.360-8
Domicilio principal	Bogotá D.C., República de Colombia
Dirección de notificación	Calle 109 No. 18C 17, oficina 204, Bogotá D.C.
Correo electrónico de contacto	recursos.humanos@cyberis.co
Teléfono de contacto	+57 315 319 1191
Sitio web	www.cyberis.co
Área responsable de la Política	Dirección Jurídica y de Talento Humano

Toda comunicación relacionada con el ejercicio de los derechos de hábeas data, con las consultas y con los reclamos sobre datos personales deberá dirigirse a los canales señalados en el numeral 16 de esta Política.

7. Principios rectores del tratamiento

El tratamiento de datos personales en CYBERIS S.A.S. se sujeta, de manera armónica e integral, a los principios consagrados en el artículo 4 de la Ley 1581 de 2012, los cuales constituyen criterio obligatorio de interpretación y aplicación de la presente Política:

Legalidad. El tratamiento de datos personales es una actividad reglada que debe sujetarse a lo dispuesto en la Ley 1581 de 2012, en sus normas reglamentarias y en las demás disposiciones que la desarrollen o complementen.

Finalidad. El tratamiento obedece a una finalidad legítima de acuerdo con la Constitución y la ley, la cual es informada al titular de manera previa, clara, suficiente y comprensible. Los datos no serán utilizados para finalidades distintas de las autorizadas ni incompatibles con aquellas.

Libertad. El tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve del consentimiento.

Veracidad o calidad. La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

Transparencia. Se garantiza el derecho del titular a obtener de CYBERIS S.A.S., en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

Acceso y circulación restringida. El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos, de las disposiciones legales y de la presente Política. Los datos personales, salvo la información pública, no podrán estar disponibles en medios de divulgación masiva ni en internet u otros medios de comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido únicamente a los titulares o a terceros autorizados.

Seguridad. La información sujeta a tratamiento se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Confidencialidad. Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, obligación que subsiste incluso después de finalizada su relación con alguna de las labores que comprende el tratamiento.

A los principios legales anteriores, CYBERIS S.A.S. incorpora, como criterios de gestión derivados de su Sistema de Gestión de Seguridad de la Información, los principios de minimización, conforme al cual únicamente se recolectan los datos estrictamente necesarios para la finalidad informada; de privacidad desde el diseño y por defecto, conforme al cual las consideraciones de protección de datos se incorporan desde la concepción de los servicios, plataformas y desarrollos; y de responsabilidad demostrada, conforme al cual la organización debe estar en capacidad de acreditar, en cualquier momento y ante cualquier autoridad, la implementación efectiva de las medidas adoptadas.

8. Tratamiento y finalidades de los datos personales

En cumplimiento del principio de finalidad, CYBERIS S.A.S. informa a cada titular las categorías de datos que recolecta y las finalidades específicas para las cuales serán tratados, según el grupo al que pertenezca. Las finalidades aquí descritas son taxativas y ningún dato será utilizado para propósitos distintos ni incompatibles con aquellos que fueron informados y autorizados en el momento de la recolección.

8.1 Trabajadores, extrabajadores y candidatos

Este grupo comprende a las personas naturales vinculadas laboralmente con CYBERIS S.A.S. mediante contrato de trabajo en cualquiera de sus modalidades, a los aprendices y practicantes, a quienes hayan terminado su vínculo laboral con la organización y a los candidatos que participen en procesos de selección.

Datos tratados. Datos de identificación y contacto del trabajador y de sus beneficiarios, estos últimos, cuando sean menores de edad, en los términos y con las restricciones del numeral 10 de esta Política; hoja de vida, información académica, formación, certificaciones técnicas y experiencia profesional; datos de nómina, información bancaria y tributaria; datos de afiliación al sistema de seguridad social integral; datos relativos a la salud ocupacional derivados de exámenes médicos ocupacionales, incapacidades, restricciones y recomendaciones médico laborales, en los términos y con las restricciones señaladas en el numeral 9 de esta Política; información sobre desempeño, evaluaciones, capacitaciones, procesos disciplinarios e historia laboral; datos biométricos y credenciales de acceso cuando sean necesarios para el control de ingreso a instalaciones o a sistemas de información; y registros de uso de los activos de información asignados, en los términos autorizados por las políticas del Sistema de Gestión de Seguridad de la Información.

Finalidades del tratamiento:

1. Adelantar los procesos de reclutamiento, selección, evaluación, vinculación y contratación de personal.
2. Verificar la veracidad de la información suministrada en el proceso de selección, así como consultar antecedentes judiciales, disciplinarios, fiscales, de idoneidad y referencias laborales, previa autorización expresa del candidato y como condición para la vinculación, en atención a la naturaleza crítica de los servicios de ciberseguridad prestados por la organización.
3. Elaborar, ejecutar, modificar y liquidar el contrato de trabajo, así como conformar y mantener actualizada la historia laboral del trabajador.
4. Liquidar y pagar salarios, prestaciones sociales, aportes al sistema de seguridad social integral, aportes parafiscales, retenciones y demás obligaciones derivadas de la relación laboral.
5. Formular, ejecutar, evaluar y auditar el Sistema de Gestión de la Seguridad y Salud en el Trabajo, los programas de vigilancia epidemiológica, los planes de prevención y atención de emergencias y las actividades del Comité Paritario de Seguridad y Salud en el Trabajo y del Comité de Convivencia Laboral.
6. Gestionar los programas de bienestar, incentivos, formación, planes de desarrollo profesional, certificaciones técnicas y evaluaciones de desempeño.
7. Adelantar los procedimientos disciplinarios y las diligencias de descargos conforme al Reglamento Interno de Trabajo y al Código Sustantivo del Trabajo.
8. Administrar el control de acceso físico a las instalaciones y el control de acceso lógico a los sistemas de información, plataformas y activos tecnológicos de la organización y de sus clientes.
9. Acreditar ante los clientes, especialmente en el marco de procesos de contratación estatal, licitaciones y acuerdos marco de precios, la idoneidad, la formación, la experiencia y las certificaciones del personal propuesto para la ejecución de los servicios.
10. Expedir certificaciones laborales y atender los requerimientos formulados por entidades de control, autoridades laborales, administrativas, judiciales o fiscales.
11. Cumplir las obligaciones legales derivadas de la relación laboral vigente y aquellas que subsistan con posterioridad a la terminación del vínculo, en particular las relativas a la conservación de documentos y a la prescripción de las acciones laborales.

Nota. Los datos personales de los trabajadores no serán utilizados con finalidades comerciales, publicitarias o de mercadeo, ni serán incorporados a las bases de datos comerciales de la organización, salvo autorización expresa y separada del titular.

8.2 Clientes, usuarios y prospectos comerciales

Este grupo comprende a las personas naturales que contratan o manifiestan interés en contratar los servicios de ciberseguridad, inteligencia artificial, automatización y datos ofrecidos por CYBERIS S.A.S., así como a los representantes legales y a los contactos comerciales, técnicos y administrativos designados por las organizaciones clientes, incluidas las entidades públicas.

Datos tratados. Nombres y apellidos, número de identificación, cargo y entidad u organización a la que pertenecen; datos de contacto corporativo, correo electrónico, teléfono y dirección; información relativa a los servicios contratados, propuestas presentadas, historial comercial y de facturación; y datos de navegación e interacción con el sitio web, las plataformas y los canales digitales de la organización.

Finalidades del tratamiento:

1. Gestionar la relación comercial y contractual, elaborar propuestas, cotizaciones y renovaciones, y prestar los servicios contratados.
2. Registrar y administrar la información del cliente en el sistema de administración de relaciones con clientes de la organización, garantizando la trazabilidad del relacionamiento comercial y la correcta ejecución de los servicios.
3. Acreditar la experiencia de la organización y aportar la documentación exigida en procesos de contratación pública y privada, incluidos los certificados de cumplimiento y las referencias comerciales, en los términos autorizados por el cliente.
4. Remitir, por correo electrónico, mensajes de texto o canales digitales, respuestas a solicitudes, actualizaciones sobre proyectos en curso, alertas de ciberseguridad, boletines informativos e información sobre nuevos servicios, cuando el titular haya autorizado expresamente esta finalidad.
5. Atender solicitudes de soporte técnico, requerimientos de servicio, peticiones, quejas y reclamos, y realizar el seguimiento de los acuerdos de nivel de servicio pactados.
6. Realizar encuestas de satisfacción y estudios de percepción sobre los servicios y soluciones tecnológicas prestadas.
7. Generar análisis estadísticos, indicadores de desempeño comercial y reportes de gestión para la mejora continua de los servicios, sin identificar individualmente a los titulares en dichos reportes.
8. Efectuar la facturación, el recaudo, la gestión contable y tributaria y, cuando corresponda, la gestión de cartera derivada de la relación comercial.
9. Cumplir las obligaciones legales, contractuales y regulatorias derivadas de la relación comercial, incluida la atención de requerimientos de autoridades judiciales, administrativas o de control.

Nota. Los datos de los clientes y prospectos no serán utilizados para finalidades propias de la gestión interna de talento humano de CYBERIS S.A.S., tales como procesos de selección de personal, gestión de nómina, seguridad y salud en el trabajo u otras actividades ajenas a la relación comercial.

8.3 Proveedores, contratistas y aliados estratégicos

Este grupo comprende a las personas naturales que prestan servicios a CYBERIS S.A.S. mediante contratos de prestación de servicios, a los proveedores de bienes y servicios, a los fabricantes y mayoristas de tecnología y a los aliados estratégicos con quienes la organización mantiene relaciones comerciales, de distribución o de cooperación, incluidos los integrantes de uniones temporales y consorcios.

Datos tratados. Datos de identificación y contacto; información tributaria, registro único tributario y certificaciones bancarias; certificaciones profesionales, técnicas y de idoneidad; documentos societarios y de existencia y representación legal cuando se trate de personas jurídicas cuyos representantes sean titulares; historial de contratos, evaluaciones de desempeño y de cumplimiento; y antecedentes comerciales, disciplinarios y fiscales cuando su verificación resulte legalmente exigible.

Finalidades del tratamiento:

1. Adelantar los procesos de evaluación, selección, homologación y contratación de proveedores, contratistas y aliados.
2. Gestionar la celebración, la ejecución, el seguimiento, la supervisión y la liquidación de los contratos suscritos con la organización.
3. Efectuar los pagos derivados de las obligaciones contractuales adquiridas y adelantar la gestión contable y tributaria correspondiente.
4. Verificar la identidad del contratista y prevenir los riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva, así como los riesgos reputacionales y de contraparte asociados a la cadena de suministro.
5. Evaluar y monitorear los riesgos de seguridad de la información asociados a proveedores y terceros, conforme a los controles 5.19 a 5.23 del Anexo A de la norma ISO/IEC 27001:2022.
6. Administrar el control de acceso físico a las instalaciones y de acceso lógico a los sistemas de información, cuando ello resulte necesario para la ejecución del contrato.
7. Conformar la documentación exigida en procesos de contratación estatal y privada en los que la organización participe individualmente o en asociación con terceros.
8. Atender requerimientos de entidades de control, autoridades fiscales, judiciales o administrativas, y cumplir las obligaciones legales y tributarias derivadas de la relación contractual.

8.4 Visitantes, control de acceso y videovigilancia

CYBERIS S.A.S. recolecta datos de identificación, contacto e imagen de las personas que ingresan a sus instalaciones, con la finalidad exclusiva de garantizar la seguridad física de las personas, de los bienes y de los activos de información, de controlar el acceso a las áreas seguras y de atender requerimientos de las autoridades competentes.

Cuando la organización opere sistemas de videovigilancia, informará dicha circunstancia mediante avisos visibles ubicados en los lugares objeto de monitoreo, en los cuales se indicará la existencia del sistema, su finalidad, la identificación del responsable y los canales para el ejercicio de los derechos del titular. Las imágenes captadas serán tratadas con finalidad exclusiva de seguridad, se conservarán durante el término estrictamente necesario y, en todo caso, no superior al definido en los procedimientos internos de retención documental, y su acceso estará restringido al personal expresamente autorizado. No se instalarán dispositivos de captación de imagen o sonido en áreas destinadas al descanso o al esparcimiento de los trabajadores ni en espacios en los que exista una expectativa razonable de intimidad.

8.5 Datos tratados en desarrollo de la prestación de servicios

En desarrollo de los contratos celebrados con sus clientes, y en particular en la operación de Centros de Operaciones de Seguridad, en los servicios de monitoreo, detección y respuesta, en la administración delegada de plataformas de seguridad, en los servicios de hacking ético y pruebas de penetración y en los proyectos de analítica de datos e inteligencia artificial, CYBERIS S.A.S. puede acceder a información que contiene datos personales cuya responsabilidad corresponde al cliente contratante.

En estos supuestos, la organización actúa exclusivamente en calidad de encargada del tratamiento y, en consecuencia, se sujeta a las siguientes reglas:

1. El tratamiento se limita estrictamente a las instrucciones documentadas impartidas por el cliente en su condición de responsable, y a las finalidades expresamente pactadas en el contrato o en el acuerdo de transmisión de datos personales que lo acompañe.
2. La organización no utilizará los datos personales a los que acceda para finalidades propias, comerciales o de mercadeo, ni los incorporará a sus bases de datos, salvo instrucción escrita del responsable o mandato legal.
3. Todo el personal asignado a la ejecución del servicio suscribirá acuerdos de confidencialidad cuya vigencia subsistirá con posterioridad a la terminación del vínculo laboral o contractual.
4. La organización aplicará las medidas de seguridad previstas en el numeral 22 de esta Política y las adicionales que el contrato exija, y acreditará su implementación cuando el cliente lo requiera en ejercicio de sus facultades de auditoría.
5. Los incidentes de seguridad que comprometan datos personales del cliente serán notificados a este dentro de los términos contractuales pactados y, en ausencia de estipulación, sin dilación injustificada desde su detección, sin perjuicio de los deberes de reporte que correspondan al responsable frente a la autoridad de protección de datos.
6. A la terminación del contrato, la organización devolverá o suprimirá de forma segura la información personal a la que haya accedido, según la instrucción del responsable, y dejará constancia documental de la operación realizada.

9. Tratamiento de datos sensibles

De conformidad con el artículo 6 de la Ley 1581 de 2012, se prohíbe el tratamiento de datos sensibles, salvo que concurra alguna de las excepciones legalmente previstas, entre ellas que el titular haya dado su autorización explícita, que el tratamiento sea necesario para salvaguardar el interés vital del titular y este se encuentre física o jurídicamente incapacitado, que el tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, o que tenga una finalidad histórica, estadística o científica, caso en el cual deberán adoptarse las medidas conducentes a la supresión de identidad de los titulares.

CYBERIS S.A.S. limita el tratamiento de datos sensibles a los siguientes supuestos:

1. Datos biométricos y credenciales de acceso de trabajadores y contratistas, con la finalidad exclusiva de control de acceso físico y lógico, y siempre que medie autorización explícita del titular.
2. Datos relativos a la salud de los trabajadores, únicamente en cuanto resulten necesarios para el cumplimiento de las obligaciones derivadas del Sistema de Gestión de la Seguridad y Salud en el Trabajo, del régimen de seguridad social integral y de la administración de incapacidades, restricciones y recomendaciones médico laborales. La historia clínica ocupacional es un documento privado sometido a reserva, cuya custodia corresponde al médico especialista en seguridad y salud en el trabajo o a la institución prestadora de servicios de salud ocupacional, y a ella no tendrá acceso el empleador salvo en los términos que la ley autorice, limitándose la organización a conocer el concepto de aptitud y las recomendaciones laborales pertinentes.
3. Datos de imagen captados por los sistemas de videovigilancia, en los términos del numeral 8.4 de esta Política.

En todos los casos, la organización informará expresamente al titular que se trata de datos sensibles, que no está obligado a autorizar su tratamiento y cuáles de los datos solicitados tienen tal carácter. La negativa a autorizar el tratamiento de datos sensibles no podrá ser causa de discriminación ni condicionar el acceso a bienes, servicios o beneficios, salvo que el tratamiento resulte legalmente obligatorio o técnicamente indispensable para la finalidad perseguida, circunstancia que será informada al titular. Respecto de clientes y terceros, la organización se abstendrá de solicitar datos sensibles, salvo disposición legal en contrario.

Los datos sensibles serán objeto de medidas de seguridad reforzadas, incluidos el cifrado en reposo y en tránsito, la segregación lógica de los repositorios que los contengan, el control de acceso bajo el principio de mínimo privilegio y la generación de registros de auditoría sobre su consulta y modificación.

10. Tratamiento de datos de niños, niñas y adolescentes

Los niños, niñas y adolescentes son sujetos de especial protección constitucional. El artículo 44 de la Constitución Política consagra sus derechos fundamentales, impone a la familia, a la sociedad y al Estado la obligación de asistirlos y protegerlos para garantizar su desarrollo armónico e integral y el ejercicio pleno de sus derechos, y declara que los derechos de los niños prevalecen sobre los derechos de los demás. En desarrollo de ese mandato, el artículo 7 de la Ley 1581 de 2012 ordena que en el tratamiento se asegure el respeto a los derechos prevalentes de los niños, niñas y adolescentes, y el artículo 2.2.2.25.2.9 del Decreto 1074 de 2015, que compila el artículo 12 del Decreto 1377 de 2013, somete su tratamiento a requisitos especiales que se suman a los generales de la ley.

Para efectos de la presente Política, y de conformidad con el artículo 3 de la Ley 1098 de 2006, Código de la Infancia y la Adolescencia, se entiende por niño o niña la persona entre los cero y los doce años, por adolescente la persona entre los doce y los dieciocho años, y por menor de edad toda persona que no haya cumplido dieciocho años. En caso de duda sobre la mayoría o minoría de edad del titular se presumirá la minoría, en los términos del parágrafo 1 del mismo artículo, y se aplicará el régimen previsto en este numeral.

El objeto social de CYBERIS S.A.S. no contempla el tratamiento sistemático de datos personales de niños, niñas y adolescentes, y ninguno de sus productos, servicios, plataformas o canales digitales está dirigido a ellos. La organización solo trata datos de menores de edad de manera incidental y en los supuestos taxativos señalados en el numeral 10.2.

10.1 Fundamento jurídico y regla de interpretación

El inciso segundo del artículo 7 de la Ley 1581 de 2012 establece que queda proscrito el tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública. Al efectuar la revisión previa del proyecto de ley estatutaria, la Corte Constitucional precisó en la Sentencia C-748 de 2011 el alcance de esa proscripción, al declarar que dicho inciso "es exequible, si se interpreta que los datos de los niños, las niñas y adolescentes pueden ser objeto de tratamiento siempre y cuando no se ponga en riesgo la prevalencia de sus derechos fundamentales e inequívocamente responda a la realización del principio de su interés superior, cuya aplicación específica devendrá del análisis de cada caso en particular". La Superintendencia de Industria y Comercio ha reiterado ese entendimiento en su doctrina, entre otros, en los conceptos 13-33980 de 2013 y 25-513000 de 2025.

La Corte Constitucional ha precisado, además, que la protección del menor no se agota en la voluntad de quien lo representa. En la Sentencia T-260 de 2012 ordenó cancelar la cuenta que un padre había abierto en una red social a nombre de su hija de cuatro años, al encontrar comprometidos sus derechos fundamentales y su interés superior, pese a la intención afectuosa del progenitor.

La prohibición legal no es absoluta, pero el tratamiento de datos de menores es siempre excepcional, de interpretación restrictiva y de carga probatoria a cargo de la organización, que debe estar en capacidad de demostrar en cada caso la concurrencia de los requisitos. En caso de duda sobre la procedencia de un tratamiento, se preferirá la solución más favorable al interés superior del menor y, en ausencia de certeza, la organización se abstendrá de tratar el dato.

10.2 Supuestos en que CYBERIS S.A.S. trata datos de menores de edad

CYBERIS S.A.S. únicamente trata datos personales de niños, niñas y adolescentes en los siguientes supuestos:

1. Hijos y demás beneficiarios menores de edad de los trabajadores. La organización actúa como responsable del tratamiento de los datos que los trabajadores reportan respecto de sus hijos y de los demás menores que dependen de ellos.
2. Adolescentes vinculados como aprendices o practicantes. La organización actúa como responsable del tratamiento de los datos de los adolescentes que se vinculen mediante contrato de aprendizaje o práctica laboral.
3. Menores de edad cuyos datos obran en la información de los clientes. La organización actúa como encargada del tratamiento de los datos de menores a los que accede en la prestación de sus servicios de ciberseguridad, inteligencia artificial, automatización y datos.

Todo tratamiento de datos de menores por fuera de estos supuestos se encuentra prohibido.

10.3 a 10.6 — Condiciones, autorización y régimen laboral de adolescentes

El tratamiento de datos de menores exige, en todos los casos, la verificación de una finalidad legítima y determinada, el respeto del interés superior del menor, la ausencia de compromiso de sus derechos fundamentales, la aplicación estricta de los principios de necesidad y minimización, y la existencia de autorización del representante legal o de un fundamento legal que la releve. La autorización del representante legal se otorga por escrito, en el formato específico previsto para ello, previo ejercicio del derecho del menor a ser escuchado en la medida en que su edad y madurez lo permitan, y puede negarse o revocarse en cualquier momento sin consecuencia desfavorable para el trabajador. CYBERIS S.A.S. no vincula como aprendices ni practicantes a menores de quince años, y solo vincula adolescentes entre los quince y los diecisiete años una vez obtenida la autorización de trabajo correspondiente ante el Inspector de Trabajo o el ente territorial competente, con verificación de antecedentes proporcional y limitada, y sin asignarlos a funciones que los expongan a contenido capaz de afectar su integridad física o psicológica.

10.7 Datos de menores de edad en la información de los clientes

Cuando CYBERIS S.A.S. acceda, en calidad de encargada, a datos de menores de edad contenidos en los sistemas de sus clientes, aplicará reglas reforzadas de clasificación y acceso restringido, enmascaramiento o seudonimización en tableros y reportes cuando sea técnicamente viable, documentación mínima necesaria en hallazgos de hacking ético sin extracción de registros completos, exclusión de menores de las campañas de ingeniería social, prohibición de usar sus datos para entrenar modelos de inteligencia artificial sin instrucción documentada del cliente y anonimización previa, y calificación de severidad alta para todo incidente que los comprometa.

10.8 Hallazgo de material de abuso sexual infantil o de indicios de delitos contra menores

Cuando el personal de CYBERIS S.A.S. encuentre, en los sistemas o dispositivos de un cliente, representaciones de actividad sexual que involucren a menores de dieciocho años o indicios de otros delitos contra menores, aplicará un protocolo de cumplimiento obligatorio e inmediato: suspensión inmediata del análisis del contenido, sin reproducirlo, copiarlo, descargarlo, reenviarlo ni almacenarlo; preservación de la integridad del sistema sin duplicar el contenido, documentando únicamente los metadatos necesarios; reporte interno inmediato por canal reservado al responsable del Sistema de Gestión de Seguridad de la Información y a la Dirección Jurídica; denuncia sin dilación ante la Fiscalía General de la Nación o la Policía Nacional, deber que prevalece sobre cualquier obligación contractual de confidencialidad; comunicación al cliente responsable, salvo instrucción en contrario de la autoridad; colaboración con la autoridad bajo cadena de custodia; acompañamiento psicosocial al personal expuesto; y registro del hallazgo como incidente de seguridad con clasificación reservada.

10.9 Prohibiciones y medidas de seguridad reforzadas

En el tratamiento de datos de menores de edad se prohíbe utilizarlos con finalidades comerciales, publicitarias o de mercadeo, o elaborar con ellos perfiles o decisiones automatizadas; recolectar sus datos biométricos; recolectarlos a través del sitio web, los formularios o los canales digitales de la organización, que no están dirigidos a menores (si se advierte que un menor suministró sus datos por estos medios, la información será suprimida); comunicarlos o transferirlos a terceros no autorizados; publicar en canales externos imágenes o datos que permitan identificar o localizar a un menor; y solicitar, consultar o utilizar información del sistema de responsabilidad penal para adolescentes. Los datos de menores de edad son objeto de las mismas medidas de seguridad reforzadas previstas para los datos sensibles en el numeral 9.

11. Autorización del titular

11.1 Oportunidad y contenido

CYBERIS S.A.S. solicitará al titular su autorización previa, expresa e informada a más tardar en el momento de la recolección de los datos personales. En dicho acto informará de manera clara y comprensible cuáles datos serán recolectados, cuáles de ellos tienen carácter sensible y no está obligado a suministrarlos, las finalidades específicas para las cuales se obtiene el consentimiento, los derechos que le asisten como titular y los canales dispuestos para ejercerlos, así como la identificación y los datos de contacto del responsable.

11.2 Mecanismos de autorización adoptados por CYBERIS S.A.S.

La autorización puede constar en documento físico, documento electrónico, mensaje de datos, formulario dispuesto en internet, o mediante un mecanismo técnico o tecnológico idóneo que permita manifestar u obtener el consentimiento a través de clic o doble clic, del cual pueda concluirse de manera inequívoca que, de no haberse surtido una conducta del titular, los datos nunca habrían sido capturados y almacenados en la base de datos.

CYBERIS S.A.S. ha adoptado, de manera permanente y para la totalidad de sus grupos de titulares, los siguientes tres mecanismos de autorización, los cuales se encuentran implementados y operando, de modo que, salvo el formato especial previsto para los datos de niños, niñas y adolescentes, la organización no requiere la suscripción de formatos adicionales de autorización:

1. Colaboradores vinculados por contrato de trabajo. La autorización para el tratamiento de datos personales se encuentra incorporada como cláusula del contrato individual de trabajo suscrito por el colaborador, de manera que la aceptación se surte con la firma del contrato en el momento de la vinculación.
2. Contratistas y proveedores personas naturales. La autorización se encuentra incorporada como cláusula del contrato de prestación de servicios o del documento contractual que rija la relación.
3. Clientes, prospectos y usuarios de los canales digitales. La autorización se obtiene mediante la aceptación expresa de la presente Política desplegada en el sitio web y en los formularios digitales de la organización, la cual se manifiesta mediante la conducta activa e inequívoca de marcar la casilla y accionar el botón de aceptación, sin la cual la información no es capturada ni almacenada.

En ningún caso el silencio del titular será asimilado a una conducta inequívoca de aceptación.

11.3 Prueba y conservación de la autorización

CYBERIS S.A.S. conserva prueba de la autorización otorgada por cada titular y de las condiciones en que fue obtenida. Tratándose de clientes, prospectos y usuarios de los canales digitales, la prueba está constituida por el registro electrónico de la aceptación, que almacena la fecha, la hora, la dirección de protocolo de internet, la versión de la política aceptada y el identificador de la sesión, bajo custodia del responsable del Sistema de Gestión de Seguridad de la Información. Dichos registros se conservan con mecanismos que garantizan su integridad, disponibilidad y trazabilidad durante todo el tiempo en que se mantenga el tratamiento y, con posterioridad, durante los términos de prescripción de las acciones legales aplicables.

11.4 Casos en que no se requiere autorización

De conformidad con el artículo 10 de la Ley 1581 de 2012, no será necesaria la autorización del titular cuando se trate de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; de datos de naturaleza pública; de casos de urgencia médica o sanitaria; del tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; o de datos relacionados con el Registro Civil de las Personas.

11.5 Autorización para datos de carácter comercial y financiero

Para la vinculación de aliados, proveedores y contratistas, la organización recolectará la información necesaria para el cumplimiento de las obligaciones contractuales y legales, incluidos el registro único tributario, los certificados bancarios y los antecedentes comerciales, sujeta a las finalidades de verificación de identidad, gestión de pagos y prevención de riesgos de lavado de activos y financiación del terrorismo.

12. Aviso de privacidad

Cuando no sea posible poner a disposición del titular la presente Política de manera previa a la recolección, o cuando la autorización se obtenga por medios en los que resulte materialmente imposible entregar el texto completo, CYBERIS S.A.S. comunicará al titular el aviso de privacidad, mediante el cual se le informará la existencia de esta Política, la forma de acceder a ella y las finalidades del tratamiento. El modelo de aviso de privacidad adoptado por la organización se incorpora como Anexo 1 del presente documento.

13. Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos, que podrán ser ejercidos por él mismo, por sus causahabientes, por su representante legal o por su apoderado debidamente constituido:

1. Conocer, actualizar y rectificar sus datos personales frente al responsable del tratamiento o al encargado del tratamiento.
2. Solicitar prueba de la autorización otorgada al responsable del tratamiento.
3. Ser informado por el responsable o el encargado del tratamiento, previa solicitud, respecto del uso que se ha dado a sus datos personales.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante el responsable o el encargado.
5. Revocar la autorización y solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando la finalidad para la cual fue otorgada la autorización haya cesado.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

El ejercicio de estos derechos es gratuito. La organización no exigirá al titular la acreditación de la calidad de tal mediante requisitos desproporcionados ni condicionará su atención al pago de suma alguna.

14. Deberes de CYBERIS S.A.S. como responsable del tratamiento

En su condición de responsable del tratamiento, y de conformidad con el artículo 17 de la Ley 1581 de 2012, CYBERIS S.A.S. garantiza en todo tiempo el ejercicio del derecho de hábeas data; solicita y conserva copia de la autorización otorgada por el titular; informa debidamente sobre la finalidad de la recolección y los derechos que le asisten; conserva la información bajo condiciones de seguridad para impedir su adulteración, pérdida o acceso no autorizado; garantiza que la información suministrada al encargado sea veraz, completa y actualizada; rectifica la información incorrecta; tramita las consultas y reclamos en los términos legales; adopta el presente manual interno; informa al encargado cuando una información se encuentre en discusión; e informa a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad.

15. Deberes de CYBERIS S.A.S. como encargada del tratamiento

Cuando CYBERIS S.A.S. actúe como encargada del tratamiento por cuenta de un tercero responsable, asumirá los deberes del artículo 18 de la Ley 1581 de 2012: garantizar el ejercicio del derecho de hábeas data; conservar la información con las condiciones de seguridad necesarias; realizar oportunamente la actualización, rectificación o supresión de los datos; actualizar la información reportada por los responsables dentro de los cinco (5) días hábiles siguientes a su recibo; tramitar consultas y reclamos; registrar las leyendas "reclamo en trámite" e "información en discusión judicial" cuando corresponda; abstenerse de circular información controvertida cuyo bloqueo haya sido ordenado por la autoridad; y permitir el acceso a la información únicamente a las personas autorizadas.

16. Procedimiento para la atención de consultas

16.1 Canales de atención

CYBERIS S.A.S. dispone de los siguientes canales para la recepción y atención de consultas, peticiones y reclamos relacionados con el tratamiento de datos personales:

1. Canal electrónico. Correo electrónico institucional recursos.humanos@cyberis.co.
2. Canal físico. Comunicación escrita radicada en la sede principal, Calle 109 No. 18C 17, oficina 204, Bogotá D.C.
3. Canal telefónico. Línea de atención +57 315 319 1191.

16.2 Legitimación y verificación de la identidad

El solicitante deberá acreditar su legitimación: el titular mediante su documento de identidad; los causahabientes mediante el registro civil de defunción y el documento que acredite el vínculo; el apoderado mediante poder debidamente otorgado; y el representante legal del menor de edad mediante el registro civil de nacimiento y su documento de identidad.

16.3 Contenido y término de respuesta

De conformidad con el artículo 14 de la Ley 1581 de 2012, la consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

17. Procedimiento para la atención de reclamos

El titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o que adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrán presentar reclamo ante CYBERIS S.A.S., conforme al artículo 15 de la citada ley. Si el reclamo resulta incompleto, la organización requerirá al interesado dentro de los cinco (5) días siguientes para que subsane las fallas; transcurridos dos (2) meses sin respuesta, se entenderá desistido. Recibido el reclamo completo, se incluirá en la base de datos respectiva, en un término no mayor a dos (2) días hábiles, la leyenda "reclamo en trámite". El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo, prorrogable hasta por ocho (8) días hábiles adicionales cuando ello resulte necesario, informando los motivos de la demora. El titular únicamente podrá elevar queja ante la Superintendencia de Industria y Comercio una vez agotado este trámite.

18. Revocatoria de la autorización y supresión del dato

El titular podrá en todo momento solicitar a CYBERIS S.A.S. la supresión de sus datos personales o revocar la autorización otorgada para su tratamiento, mediante un reclamo tramitado conforme al numeral 17. La revocatoria podrá ser total o parcial, como ocurre con el envío de comunicaciones comerciales o publicitarias, caso en el cual se mantendrá vigente la autorización respecto de las finalidades no revocadas. La solicitud de supresión o la revocatoria no procederán cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, o cuando los datos sean necesarios para proteger sus propios intereses jurídicamente tutelados, para una acción de interés público o para cumplir una obligación legalmente adquirida. Decidida la procedencia de la supresión, esta se ejecutará de manera segura sobre todos los repositorios en los que repose el dato, incluidas las copias de respaldo.

19. Transferencia y transmisión internacional de datos

CYBERIS S.A.S. podrá transferir o transmitir datos personales a terceros, dentro o fuera del territorio nacional, únicamente cuando ello resulte necesario para el cumplimiento de las finalidades informadas al titular, cuando exista autorización expresa e inequívoca de este o cuando concurra alguna de las causales legales que releven del consentimiento (información con autorización expresa para transferencia, intercambio de datos médicos por razones de salud pública, transferencias bancarias o bursátiles, tratados internacionales, ejecución de un contrato, o salvaguardia del interés público o de un derecho en proceso judicial). La organización verificará previamente si el país receptor cuenta con un nivel adecuado de protección de datos reconocido por la Superintendencia de Industria y Comercio, y, en su defecto, procederá conforme a alguna de las excepciones legales o solicitará la declaración de conformidad ante dicha autoridad. Tratándose de transmisiones, se suscribirá un contrato de transmisión de datos personales con el contenido mínimo exigido por la ley.

20. Encargados, proveedores y cadena de suministro

Cuando CYBERIS S.A.S. contrate con terceros la realización de operaciones de tratamiento por su cuenta, exigirá contractualmente: tratar los datos exclusivamente conforme a instrucciones documentadas; implementar medidas de seguridad apropiadas y acreditarlas; suscribir acuerdos de confidencialidad con su personal; abstenerse de subcontratar sin autorización previa y escrita; notificar sin dilación cualquier incidente de seguridad; colaborar en la atención de consultas y reclamos; devolver o suprimir de forma segura los datos a la terminación del contrato; y permitir auditorías e inspecciones. La Dirección Jurídica evaluará previamente la idoneidad del tercero desde la perspectiva de protección de datos.

21. Tratamiento en canales digitales y uso de cookies

El sitio web y las plataformas digitales de CYBERIS S.A.S. pueden utilizar cookies y tecnologías de seguimiento equivalentes con la finalidad de garantizar el funcionamiento técnico del sitio, recordar las preferencias del usuario, analizar de manera agregada el comportamiento de navegación y mejorar la experiencia de uso. La organización informará al usuario, mediante un mecanismo visible desplegado en el primer acceso, sobre la existencia de cookies, su finalidad y la posibilidad de aceptarlas, rechazarlas o configurarlas, distinguiendo entre las cookies estrictamente necesarias y aquellas de carácter analítico o publicitario, que solo se activarán previo consentimiento del usuario.

Los formularios de contacto, de suscripción a boletines y de solicitud de información dispuestos en los canales digitales incorporarán el aviso de privacidad y la casilla de autorización correspondiente, de modo que el consentimiento sea otorgado mediante una conducta activa e inequívoca del usuario.

22. Medidas de seguridad y articulación con el Sistema de Gestión

CYBERIS S.A.S. implementa medidas organizativas (clasificación y etiquetado de la información, definición de roles, acuerdos de confidencialidad, verificación de antecedentes), medidas de control de acceso (mínimo privilegio, autenticación robusta, revisión periódica de accesos), medidas criptográficas (cifrado en reposo y en tránsito), medidas de continuidad (copias de respaldo, pruebas de restauración, planes de continuidad y recuperación ante desastres), medidas de monitoreo y trazabilidad (registro de eventos y auditoría), medidas de protección de datos (enmascaramiento, seudonimización, borrado seguro) y medidas de seguridad física, todas ellas definidas, implementadas y auditadas dentro de su Sistema de Gestión de Seguridad de la Información.

23. Gestión y reporte de incidentes de seguridad

Todo evento que comprometa o pueda comprometer la confidencialidad, la integridad o la disponibilidad de datos personales deberá ser reportado de manera inmediata al responsable del Sistema de Gestión de Seguridad de la Información y a la Dirección Jurídica. La organización adelantará la contención, el análisis, la erradicación de la causa raíz, la documentación integral del incidente, la notificación a los titulares afectados cuando exista riesgo para sus derechos, la notificación al cliente responsable cuando corresponda, y la implementación de acciones correctivas. Conforme a la Ley 1581 de 2012 y a la Circular Única de la Superintendencia de Industria y Comercio, los incidentes de seguridad que comprometan datos personales se reportarán a dicha autoridad dentro de los quince (15) días hábiles siguientes a su detección.

24. Registro Nacional de Bases de Datos

El Registro Nacional de Bases de Datos es el directorio público administrado por la Superintendencia de Industria y Comercio, creado por el artículo 25 de la Ley 1581 de 2012. Se encuentran obligadas a inscribir sus bases de datos las sociedades con activos totales superiores a cien mil (100.000) unidades de valor tributario, así como las personas jurídicas de naturaleza pública. La Dirección Jurídica y el área financiera verifican anualmente si CYBERIS S.A.S. supera dicho umbral. Con independencia del deber de inscripción, la organización mantiene un inventario interno actualizado de sus bases de datos.

25. Conservación, retención y supresión de la información

Los datos personales serán conservados únicamente durante el tiempo necesario para el cumplimiento de las finalidades que justificaron su recolección y, en todo caso, durante los términos que impongan las obligaciones legales, contables, tributarias, laborales y contractuales aplicables, así como durante los periodos de prescripción de las acciones que puedan derivarse de la relación con el titular. Vencido el periodo de retención y verificada la inexistencia de un deber legal o contractual de conservación, la información será suprimida mediante mecanismos de borrado seguro o anonimizada de manera irreversible.

26. Roles, responsabilidades y oficial de protección de datos

CYBERIS S.A.S. designa a la Dirección Jurídica y de Talento Humano como área responsable de velar por la implementación, la difusión, la actualización y el cumplimiento de la presente Política, atribuyéndole las funciones propias del oficial de protección de datos personales. La Alta Dirección aprueba la Política y asigna los recursos necesarios; el responsable del Sistema de Gestión de Seguridad de la Información define y verifica las medidas técnicas; los líderes de proceso garantizan la recolección mínima necesaria y la obtención de autorizaciones; y todos los colaboradores, contratistas y terceros cumplen la Política y reportan los incidentes de los que tengan conocimiento.

27. Obligaciones diferenciadas según el vínculo con la organización

Las obligaciones en materia de protección de datos personales varían según la naturaleza del vínculo. Los colaboradores vinculados por contrato de trabajo actúan como usuarios autorizados que tratan los datos exclusivamente para el cumplimiento de sus funciones, guardan reserva indefinida sobre la información conocida con ocasión del cargo, y su incumplimiento se califica como falta laboral. Los contratistas, proveedores y aliados estratégicos conservan autonomía técnica y directiva y, cuando tratan datos por cuenta de la organización, adquieren la calidad de encargados del tratamiento con los deberes correspondientes, cuyo incumplimiento se rige por el régimen de responsabilidad contractual. Los clientes, usuarios y proveedores en su condición de titulares no tienen obligaciones sino derechos, con la única carga de suministrar información veraz y actualizada; cuando entregan a CYBERIS S.A.S. información personal de sus propios trabajadores o terceros, actúan como responsables del tratamiento y la organización como encargada.

28. Formación, sensibilización y cultura

La organización incluye la protección de datos personales dentro de su plan anual de formación y sensibilización en seguridad de la información. La capacitación se imparte a todo el personal en el momento de su vinculación, como parte del proceso de inducción, y se refuerza con periodicidad mínima anual, con contenidos diferenciados para las áreas que administran bases de datos con datos sensibles o de alto volumen.

29. Responsabilidad demostrada

CYBERIS S.A.S. adopta medidas apropiadas, efectivas y verificables para garantizar el cumplimiento del régimen de protección de datos personales, y está en capacidad de demostrarlo ante los titulares, los clientes, los entes certificadores y la Superintendencia de Industria y Comercio, mediante la presente Política y sus anexos, el inventario de bases de datos, las autorizaciones conservadas, los contratos de transmisión de datos, los registros de atención de consultas y reclamos, la matriz de riesgos, los registros de capacitación y la documentación de los incidentes de seguridad gestionados.

30. Régimen sancionatorio y consecuencias del incumplimiento

El incumplimiento de las disposiciones de la Ley 1581 de 2012 faculta a la Superintendencia de Industria y Comercio para imponer, conforme al artículo 23 de dicha ley, multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes, la suspensión de las actividades relacionadas con el tratamiento hasta por seis (6) meses, el cierre temporal de las operaciones y el cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles. El incumplimiento de la presente Política por parte de los trabajadores constituye falta susceptible de sanción disciplinaria y puede configurar justa causa de terminación del contrato de trabajo; tratándose de contratistas y proveedores, habilita a la organización para hacer efectivas las consecuencias contractuales pactadas.

31. Vigencia y actualización

La presente Política rige a partir de la fecha de su aprobación por la Alta Dirección y deja sin efecto cualquier versión o documento anterior que sobre la misma materia haya adoptado la organización. Será revisada con una periodicidad mínima anual y, de manera extraordinaria, cuando se produzcan modificaciones en la legislación aplicable, pronunciamientos de la Superintendencia de Industria y Comercio o de las altas cortes, nuevos procesos o tecnologías que impliquen tratamiento de datos personales, o cuando los resultados de las auditorías así lo aconsejen. Los cambios sustanciales serán comunicados a los titulares de manera eficiente y previa a su implementación, a través de los canales oficiales de la organización.

Anexo 1. Aviso de privacidad

CYBERIS S.A.S., sociedad identificada con NIT 901.956.360-8, con domicilio principal en la ciudad de Bogotá D.C. y dirección de notificación en la Calle 109 No. 18C 17, oficina 204, correo electrónico recursos.humanos@cyberis.co y teléfono +57 315 319 1191, actúa como responsable del tratamiento de sus datos personales y, en cumplimiento de la Ley 1581 de 2012 y del Decreto 1074 de 2015, le informa lo siguiente.

Finalidades del tratamiento. Sus datos personales serán tratados con las siguientes finalidades, según el grupo de titulares al que usted pertenezca: la gestión de los procesos de selección, vinculación, administración de personal, nómina, seguridad y salud en el trabajo y bienestar, tratándose de colaboradores y candidatos; la gestión de la relación comercial y contractual, la prestación de los servicios contratados, la facturación, el soporte técnico y el envío de comunicaciones relacionadas con los servicios, tratándose de clientes y prospectos; y la evaluación, contratación, ejecución contractual, pago y verificación de idoneidad, tratándose de proveedores, contratistas y aliados. Adicionalmente, sus datos podrán ser utilizados para el control de acceso a las instalaciones y a los sistemas de información, para la atención de requerimientos de autoridades y para el cumplimiento de las obligaciones legales, contables y tributarias a cargo de la organización.

Datos sensibles. Cuando el tratamiento comprenda datos sensibles, en particular datos biométricos para control de acceso, datos relativos a la salud en el marco del Sistema de Gestión de la Seguridad y Salud en el Trabajo o imágenes captadas por sistemas de videovigilancia, se le informa que usted no está obligado a autorizar su tratamiento y que su negativa no será causa de discriminación.

Datos de niños, niñas y adolescentes. CYBERIS S.A.S. solo trata datos de menores de edad en los supuestos excepcionales previstos en el numeral 10 de esta Política, con autorización de su representante legal otorgada previo ejercicio del derecho del menor a ser escuchado, y siempre que el tratamiento responda a su interés superior y asegure el respeto de sus derechos fundamentales. Estos datos no se utilizan con finalidades comerciales ni publicitarias.

Derechos del titular. Como titular, usted tiene derecho a conocer, actualizar y rectificar sus datos personales; a solicitar prueba de la autorización otorgada; a ser informado sobre el uso dado a sus datos; a presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado el trámite ante la organización; a revocar la autorización y solicitar la supresión del dato cuando ello resulte procedente; y a acceder de forma gratuita a sus datos personales.

Canales para el ejercicio de sus derechos. Usted podrá ejercer sus derechos mediante comunicación dirigida al correo electrónico recursos.humanos@cyberis.co, mediante comunicación escrita radicada en la dirección señalada, o a través de la línea telefónica +57 315 319 1191. Las consultas serán atendidas dentro de los diez (10) días hábiles siguientes a su recibo y los reclamos dentro de los quince (15) días hábiles siguientes, conforme a los términos y prórrogas previstos en la ley.

Consulta de la Política. El texto completo de esta Política se encuentra disponible en esta misma página y podrá ser solicitado a través de los canales indicados. Los cambios sustanciales que se introduzcan en la Política le serán comunicados de manera previa a su implementación.