Política de Tratamiento de la Información

1. Objeto y alcance

Este documento es la Política de Tratamiento de la Información adoptada por GPI en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 y las demás normas que los modifiquen o reglamenten. Explica cómo GPI recoge, usa, almacena, comparte, protege y elimina los datos personales de las personas con las que se relaciona, y cómo esas personas pueden ejercer sus derechos.

Se aplica a todas las bases de datos y archivos, físicos o electrónicos, que GPI administra como responsable del tratamiento: los mensajes que llegan por el formulario del sitio web, la información de clientes, proveedores y contactos comerciales, y la información de sus trabajadores y colaboradores.

2. Definiciones

• Titular: la persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los datos relativos a la salud.
• Tratamiento: cualquier operación sobre datos personales, como recogerlos, guardarlos, usarlos, circularlos o suprimirlos.
• Responsable del tratamiento: quien decide sobre la base de datos y su tratamiento. En esta política, GPI.
• Encargado del tratamiento: quien trata los datos por cuenta del responsable, como los proveedores de tecnología que alojan el sitio y sus bases de datos.
• Autorización: el consentimiento previo, expreso e informado del titular para que sus datos sean tratados.

3. Datos personales que tratamos

Visitantes del sitio web

• Nombre y apellidos.
• Empresa, cuando la persona quiere indicarla.
• Correo electrónico.
• Teléfono de contacto.
• El contenido del mensaje que la persona escribe.
• La fecha y la hora del envío, y la constancia de la autorización otorgada con la versión de esta política que estaba vigente en ese momento.

Clientes, proveedores y contactos comerciales

• Datos de identificación y de contacto de la empresa y de las personas que la representan.
• La información necesaria para cotizar, contratar, facturar y prestar el servicio.

Trabajadores y colaboradores

• Nombre, documento de identidad, cargo, teléfono y correo electrónico.
• Usuario y contraseña de acceso al portal interno.
• Registro de jornadas, horas extra, horarios y órdenes de trabajo.
• Información de nómina: salario, auxilios, aportes, descuentos y volantes de pago.
• Solicitudes de permiso y registro de ausencias.
• Los soportes que el trabajador adjunta a una solicitud de permiso, que pueden contener datos sensibles de salud, como incapacidades, citaciones o certificados médicos.

GPI no recoge datos personales de niñas, niños y adolescentes a través de su sitio web.

4. Finalidades del tratamiento

a) Atender solicitudes del formulario y contacto comercial

• Responder la solicitud, la cotización o la pregunta que la persona envía por el formulario del sitio.
• Comunicarse con ella por correo electrónico, teléfono o WhatsApp para atender esa solicitud.
• Enviarle información sobre los servicios de GPI relacionada con lo que consultó.
• Conservar constancia del mensaje recibido y de la autorización otorgada.

b) Gestión laboral

• Crear y administrar las cuentas del portal interno de cada trabajador.
• Registrar, revisar y aprobar jornadas, horas extra y horarios de trabajo.
• Liquidar la nómina y emitir los volantes de pago.
• Tramitar las solicitudes de permiso y registrar las ausencias, lo que incluye revisar los soportes adjuntos, que pueden contener datos sensibles de salud.
• Programar y hacer seguimiento a las actividades del equipo.

c) Cumplimiento de obligaciones legales

• Cumplir las obligaciones laborales, de seguridad social, contables y tributarias.
• Atender los requerimientos de autoridades administrativas o judiciales.
• Conservar los soportes que la ley exige.

GPI no vende, arrienda ni cede los datos personales a terceros con fines comerciales. Solo los comparte con quienes deban conocerlos para las finalidades anteriores —por ejemplo, las entidades de seguridad social, el contador o las autoridades que lo requieran— y con los proveedores de tecnología que alojan el sitio y sus bases de datos, que actúan como encargados del tratamiento y están obligados a proteger la información.

5. Autorización del titular

En el sitio web, la autorización se otorga marcando la casilla que acompaña al formulario de contacto antes de enviarlo. El sistema guarda la constancia de esa autorización junto con el mensaje: la fecha, la hora y la versión de esta política que estaba vigente en ese momento. Esa constancia es la prueba de la autorización y se conserva mientras se conserve el mensaje.

En la relación laboral, la autorización para el tratamiento de los datos del trabajador —incluidos los datos sensibles de salud contenidos en los soportes de las ausencias— se otorga por escrito en un documento aparte, firmado al momento de la vinculación o cuando GPI lo solicite.

El titular puede revocar su autorización y solicitar la supresión de sus datos en cualquier momento, siempre que no exista un deber legal o contractual que obligue a GPI a conservarlos.

6. Carácter facultativo de las respuestas

El titular no está obligado a autorizar el tratamiento de datos sensibles ni a responder preguntas que versen sobre ellos, y GPI le informa que esa respuesta es facultativa.

En el formulario del sitio, los campos marcados con asterisco son necesarios para poder responder la solicitud: si no se diligencian, GPI no tiene cómo contestar. En la relación laboral, adjuntar un soporte médico es voluntario, pero sin él GPI puede no tener cómo justificar la ausencia ni reconocerla como remunerada.

7. Derechos del titular

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a GPI.
• Solicitar prueba de la autorización que otorgó, salvo en los casos en que la ley no la exige.
• Ser informado, previa solicitud, sobre el uso que se les ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite ante GPI.
• Revocar la autorización y solicitar la supresión del dato cuando no exista un deber legal o contractual que lo impida.
• Acceder de forma gratuita a los datos personales suyos que hayan sido objeto de tratamiento.

Estos derechos los puede ejercer el titular, sus causahabientes, su representante o apoderado, o quien actúe por estipulación a favor de otro.

8. Cómo ejercer los derechos: consultas y reclamos

Las consultas y los reclamos se presentan por escrito al canal de atención indicado al comienzo de este documento, indicando el nombre del titular, la descripción de lo que solicita, una dirección de contacto y los documentos que quiera hacer valer.

Consultas

GPI atiende las consultas en un término máximo de diez (10) días hábiles contados desde el día siguiente a la fecha de recibo. Cuando no sea posible atenderlas dentro de ese término, se le informa al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso supera los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

Reclamos

Si el reclamo llega incompleto, GPI requiere al interesado dentro de los cinco (5) días siguientes a su recibo para que lo complete. Si pasados dos (2) meses no presenta la información solicitada, se entiende que desistió.

El término máximo para atender el reclamo es de quince (15) días hábiles contados desde el día siguiente a la fecha de su recibo. Cuando no sea posible atenderlo dentro de ese término, se le informan al interesado los motivos de la demora y la fecha en que se atenderá, que no supera los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

El titular solo puede acudir ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante GPI.

9. Medidas de seguridad

GPI aplica medidas técnicas, humanas y administrativas razonables para proteger la información y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado:

• El portal interno exige usuario y contraseña personal, y cada cuenta tiene permisos distintos según su rol.
• Las reglas de seguridad de la base de datos limitan lo que cada cuenta puede leer: cada trabajador ve únicamente su propia información.
• Los soportes de los permisos se guardan en un almacén privado, separado de las imágenes públicas del sitio. Los enlaces de descarga se generan en el momento, caducan en un minuto y solo se entregan al dueño del soporte o a quien aprueba el permiso.
• Todo el sitio y el portal funcionan sobre conexión cifrada (HTTPS).
• Se conservan copias de seguridad y registro de los cambios hechos desde el panel de administración.

10. Vigencia de la política y conservación de las bases de datos

Esta política rige desde su fecha de entrada en vigencia y permanece vigente mientras GPI desarrolle su objeto social. Las bases de datos se conservan durante el tiempo razonable y necesario para cumplir las finalidades que justificaron su obtención, atendiendo a las disposiciones aplicables a cada caso:

• Los mensajes del formulario de contacto se conservan mientras exista un interés comercial legítimo y, en todo caso, no más de cinco (5) años contados desde el último contacto.
• Los datos laborales, de nómina y de seguridad social se conservan durante la relación laboral y, terminada esta, por el término que la ley exige para la conservación de los soportes laborales, contables y tributarios.
• Los soportes de salud adjuntos a un permiso se conservan solo mientras son necesarios para justificar la ausencia y liquidar la nómina del período correspondiente, y después se eliminan.

Cualquier cambio sustancial en esta política se comunica publicando la nueva versión en esta misma dirección, con una fecha de entrada en vigencia y un número de versión nuevos. Junto a cada autorización queda registrada la versión que estaba vigente cuando se otorgó.