POL-SI-02
Política de tratamiento de datos personales
1. Objetivo
Decir de quién trata datos personales INMEDIA, para qué, con qué herramientas, por cuánto tiempo y cómo puede cada persona ejercer sus derechos, conforme a la Ley 1581 de 2012 y al Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015).
Esta política es el documento que se le muestra a la persona dueña de los datos. Las reglas internas de seguridad —cuentas, accesos, clasificación de la información, respaldos e incidentes— están en la política interna de seguridad de la información y tratamiento de datos personales (POL-SI-01), que esta política complementa y no repite.
2. Alcance
Aplica a INMEDIA, a todos sus proyectos y a toda persona que trate datos personales por cuenta de ella: socios, colaboradores, contratistas y proveedores.
3. Quién responde por los datos
INMEDIA es responsable del tratamiento de los datos de las personas vinculadas a ella y de los que recoge en sus proyectos.
- Responsable
- Inmedia Marketing S.A.S.
- NIT
- 900.634.692
- Domicilio
- Calle 24A N #5N-50, Oficina 308, Cali, Colombia
- Teléfono
- +57 312 814 0040
- Canal para datos personales
- datos-personales@inmedia.com.co
- Área que atiende
- Jurídica, con apoyo de la Dirección de Operaciones y PMO
Cuando INMEDIA ejecuta un proyecto y recibe datos que son de su cliente o contratante, actúa como encargada: los trata solo para ese proyecto y según lo que diga el contrato.
4. Principios
INMEDIA trata datos personales con una finalidad conocida y legítima, solo con autorización de la persona cuando la ley la exige, pidiendo lo mínimo necesario, manteniéndolos veraces y seguros, y dejando que cada quien los consulte. Cada persona del equipo accede solo a lo que necesita para su rol y su proyecto.
5. De quién se tratan datos y para qué
| De quién | Qué datos | Para qué |
|---|---|---|
| El equipo: socios, colaboradores y contratistas | Nombre, documento, contacto, cargo, contrato, datos de pago y de seguridad social; correo y usuario de las herramientas; lo que cada quien registra, aprueba o sube en ellas | Formalizar y cumplir el vínculo, pagar, cumplir obligaciones tributarias y de seguridad social, dar acceso a las herramientas, coordinar el trabajo y dejar trazabilidad de las decisiones |
| Candidatos a un cargo o a un contrato | Hoja de vida y soportes | Evaluar la vinculación. Si no se concreta, se conservan hasta por un año para otras convocatorias, salvo que la persona pida borrarlos |
| Proveedores y sus contactos | Identificación, contacto, datos tributarios y bancarios | Cotizar, contratar, pagar y evaluar al proveedor |
| Clientes, aliados, financiadores y sus contactos | Nombre, cargo, entidad y contacto | Gestionar oportunidades, propuestas, contratos y la relación comercial |
| Beneficiarios y participantes de los proyectos | Los que exija cada proyecto: identificación, contacto, caracterización y asistencia | Ejecutar el proyecto, demostrar su cumplimiento ante el contratante y medir resultados. Se reportan agregados siempre que el contrato lo permita |
Los datos se usan solo para la finalidad con que se recogieron. Usarlos para otra exige una autorización nueva.
6. Datos sensibles y datos de menores
- Son sensibles los datos de salud, origen étnico, condición de víctima, discapacidad, orientación sexual, convicciones y los biométricos.
- Solo se recogen cuando un proyecto lo exige, con autorización expresa, y nadie está obligado a darlos.
- Los datos de niños, niñas y adolescentes se tratan solo con autorización de su representante legal y respetando su interés superior.
- Los datos sensibles, la nómina persona por persona, los datos de beneficiarios de proyectos sociales y la información financiera de la empresa no se cargan en herramientas de terceros ni en asistentes de inteligencia artificial sin evaluación y contrato previos.
7. Cómo se da la autorización
- La autorización es previa, expresa e informada. Se otorga por medio electrónico: la persona lee esta política y el aviso de su caso, y acepta en un formulario o en la aplicación administrativa.
- De cada aceptación se guarda la prueba: nombre, documento, correo, fecha y hora, y la versión de la política que aceptó.
- Para el equipo hay una sola aceptación: cubre las herramientas de trabajo listadas abajo.
- En los proyectos, la autorización va en el formato con que se recoge el dato (registro de asistencia, caracterización, formulario), con la finalidad del proyecto y el contratante al que se reporta.
- No se necesita autorización cuando la ley la exceptúa: datos públicos, orden de autoridad, urgencia médica o fines históricos, estadísticos o científicos.
- La persona puede revocar la autorización en cualquier momento por el canal, salvo que haya un deber legal o contractual de conservar el dato.
8. Herramientas y países donde quedan los datos
| Herramienta | Para qué | Dónde quedan los datos |
|---|---|---|
| Aplicación administrativa de INMEDIA | Proyectos, oportunidades, presupuestos, aprobaciones y documentos | Estados Unidos |
| Google Workspace: correo, Drive, Calendario, Chat y Meet | Comunicación y archivo del trabajo | Estados Unidos y otros países donde Google tiene centros de datos |
| Asistentes de inteligencia artificial del equipo | Redactar, resumir, buscar y llevar pendientes del trabajo | Colombia y Estados Unidos |
| Slack, en los proyectos que lo usan | Canal con el cliente y los aliados del proyecto | Estados Unidos |
| El sistema contable | Contabilidad de la empresa | Colombia, en equipos de INMEDIA |
Estos proveedores actúan como encargados: tratan los datos solo para prestar el servicio. Cuando los datos salen de Colombia, INMEDIA lo informa en la autorización y exige al proveedor condiciones de seguridad y confidencialidad equivalentes a las de esta política.
9. Lo que INMEDIA no hace con los datos
- No registra presencia, jornada ni horas de trabajo de nadie, en ninguna herramienta.
- Las aprobaciones son sobre cosas —un entregable, una compra, un presupuesto—, nunca sobre personas.
- No obliga a nadie a instalar aplicaciones en su celular o su equipo personal: todo se puede usar desde el navegador.
- Una reunión se graba o se transcribe solo si se avisa al empezar.
- No toma decisiones sobre una persona solo con lo que diga un asistente de inteligencia artificial.
- No vende datos ni los entrega a terceros distintos de sus encargados, salvo orden de autoridad competente o exigencia del contrato del proyecto, que se informa en la autorización.
10. Por cuánto tiempo se conservan
| Datos | Tiempo |
|---|---|
| Del equipo, que no sean soporte contable o contractual | Mientras dure el vínculo y un año más |
| Soportes contables, tributarios y contractuales | Diez años, el término legal de conservación |
| Registro de accesos y de actividad de las herramientas | Doce meses |
| De beneficiarios y participantes de proyectos | Lo que exija el contrato; a falta de plazo, cinco años tras la liquidación del proyecto |
| De candidatos no vinculados | Hasta un año |
Vencido el plazo, los datos se eliminan o se anonimizan.
11. Derechos de las personas
Toda persona puede, sin costo:
- Conocer, actualizar y rectificar sus datos.
- Pedir prueba de la autorización que dio.
- Saber qué uso se les ha dado a sus datos.
- Revocar la autorización y pedir que se supriman, cuando no haya un deber legal o contractual de conservarlos.
- Presentar queja ante la Superintendencia de Industria y Comercio, después de haber acudido a INMEDIA.
12. Cómo se ejercen
- La persona, su representante o sus herederos escriben al canal de datos personales (datos-personales@inmedia.com.co) diciendo quién es, qué pide y a qué dirección quiere la respuesta.
- Consulta (saber qué datos hay y cómo se usan): se responde en máximo 10 días hábiles. Si no alcanza, se le avisa el motivo y se responde en máximo 5 días hábiles más.
- Reclamo (corregir, actualizar, suprimir o revocar): se responde en máximo 15 días hábiles. Si no alcanza, se le avisa el motivo y se responde en máximo 8 días hábiles más.
- Si al reclamo le falta información, se le pide dentro de los 5 días hábiles siguientes. Si pasan dos meses sin que la complete, se entiende que desistió.
- El área que atiende lleva el registro de cada solicitud: fecha, qué se pidió, qué se respondió y cuándo.
13. Seguridad e incidentes
Las medidas de seguridad son las de la política interna POL-SI-01. Quien detecte una pérdida, un acceso no autorizado o un envío de datos a quien no correspondía lo reporta en las primeras 24 horas. Si el incidente compromete datos personales, INMEDIA evalúa el aviso a las personas afectadas y a la Superintendencia de Industria y Comercio.
14. Vigencia y cambios
- Rige desde su aprobación. Las bases de datos se mantienen mientras dure la finalidad para la que se crearon y los plazos de esta política.
- Se revisa una vez al año, y cada vez que entre una herramienta nueva que trate datos personales o cambie la norma.
- Un cambio de fondo —una finalidad nueva, un país nuevo, un encargado nuevo— se le comunica a las personas antes de aplicarlo y, si hace falta, se les pide autorización de nuevo.
- Se publica en este sitio web y en la aplicación administrativa de INMEDIA, y cada persona nueva la recibe antes de entrar a cualquier herramienta.
15. Documentos relacionados
- POL-SI-01 Política de seguridad de la información y tratamiento de datos personales.
- Autorización para el tratamiento de datos personales del equipo.
- PR-05 Procedimiento de vinculación.
- Formatos de registro de asistencia y de caracterización de los proyectos.