1. OBJETIVO

Establecer las reglas, principios, finalidades y procedimientos que Inversiones y Servicios AMCA S.A.S. (en adelante, “AMCA” o el “Responsable”) aplica al Tratamiento de Datos Personales de personas naturales, con el fin de garantizar el derecho constitucional de hábeas data, la intimidad y demás derechos relacionados con la protección de la información personal, de conformidad con la legislación colombiana vigente.

Esta Política define, entre otros aspectos, las categorías de datos tratados, las finalidades, los derechos de los Titulares, los canales para ejercerlos, los procedimientos de consultas y reclamos, las reglas sobre seguridad, conservación, transmisión y transferencia, y las obligaciones de quienes intervienen en el Tratamiento.

2. ALCANCE

La presente Política aplica a todos los Datos Personales que AMCA recolecte, almacene, use, circule, transmita, transfiera, actualice, rectifique, suprima o, en general, trate en desarrollo de sus actividades, independientemente del medio utilizado, físico o digital.

Aplica, entre otros, a información de clientes, potenciales clientes, proveedores, contratistas, trabajadores y exempleados, candidatos, socios o accionistas cuando corresponda, visitantes, contactos comerciales, representantes y demás personas naturales cuyos datos sean tratados por AMCA.

La Política también será aplicable a los Encargados del Tratamiento que actúen por cuenta de AMCA, en los términos de la ley y de los respectivos contratos o acuerdos de tratamiento.

3. MARCO NORMATIVO

La Política se interpreta y aplica conforme a la normativa colombiana vigente en materia de protección de Datos Personales, incluyendo:

• Artículo 15 de la Constitución Política de Colombia, relativo a la intimidad, buen nombre y hábeas data.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de Datos Personales.
• Decreto 1377 de 2013, incorporado al Decreto Único Reglamentario 1074 de 2015 en lo pertinente.
• Decreto 886 de 2014, incorporado al Decreto 1074 de 2015, en materia del Registro Nacional de Bases de Datos (RNBD).
• Decreto 1074 de 2015, especialmente los capítulos relativos a la protección de Datos Personales y al RNBD, junto con sus modificaciones y disposiciones concordantes.
• Decreto 090 de 2018, en lo relativo al ámbito de aplicación y obligación de inscripción en el RNBD.
• Ley 1266 de 2008 y sus modificaciones, cuando el Tratamiento corresponda a información financiera, crediticia, comercial o de servicios sometida a dicho régimen especial.
• Circulares y demás instrucciones vigentes de la Superintendencia de Industria y Comercio (SIC) en materia de protección de Datos Personales, así como las normas que las modifiquen, adicionen o sustituyan.

En caso de modificación normativa, AMCA ajustará esta Política y sus procedimientos internos en lo que resulte aplicable.

4. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

Inversiones y Servicios AMCA S.A.S., sociedad por acciones simplificada identificada con NIT 900.612.102-4, actúa como Responsable del Tratamiento de los Datos Personales contenidos en sus bases de datos y archivos, físicos o digitales.

• Domicilio: Cota, Cundinamarca, Colombia.
• Dirección: Autopista Medellín km 1,5 Vía Parcelas Parque Industrial CIEM OIKOS Occidente.
• Teléfono: (601) 7425034
• Celular: +57 321 466 0380.
• Correo electrónico para asuntos de protección de datos: servicioalcliente@amcasas.com.

Las áreas, trabajadores, contratistas y demás personas autorizadas por AMCA que tengan acceso a Datos Personales deberán cumplir esta Política, las instrucciones internas y las obligaciones de confidencialidad y seguridad aplicables.

5. DEFINICIONES

Autorización: Consentimiento previo, expreso e informado del Titular para realizar el Tratamiento de sus Datos Personales, salvo los casos en que exista una excepción legal a dicha autorización.

Base de Datos: Conjunto organizado de Datos Personales que sea objeto de Tratamiento.

Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato Público: Dato que no es semiprivado, privado o sensible y que puede estar contenido, entre otros, en registros y documentos públicos, de conformidad con la ley.

Dato Sensible: Dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluyendo, entre otros, datos relativos a salud, vida sexual, orientación política, convicciones religiosas o filosóficas, pertenencia sindical, origen racial o étnico y datos biométricos.

Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el Tratamiento por cuenta del Responsable.

Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que decide sobre la Base de Datos y/o el Tratamiento.

Titular: Persona natural cuyos Datos Personales sean objeto de Tratamiento.

Tratamiento: Cualquier operación o conjunto de operaciones sobre Datos Personales, como recolección, almacenamiento, uso, circulación, actualización, transmisión, transferencia o supresión.

Transferencia: Envío de Datos Personales a un receptor que actúa como Responsable del Tratamiento y se encuentra dentro o fuera de Colombia.

Transmisión: Tratamiento de Datos Personales que implica comunicación dentro o fuera de Colombia a un tercero que actúa como Encargado por cuenta del Responsable.

6. PRINCIPIOS DEL TRATAMIENTO

• Legalidad: el Tratamiento estará sujeto a la Constitución, la ley y demás disposiciones aplicables.
• Finalidad: los Datos Personales serán tratados para finalidades legítimas, específicas, claras y previamente informadas al Titular.
• Libertad: el Tratamiento requiere autorización previa, expresa e informada cuando esta sea exigible, o deberá estar amparado por una excepción legal.
• Veracidad o calidad: la información será veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: el Titular podrá obtener información sobre la existencia de Datos Personales que le conciernan y sobre su Tratamiento, en los términos legales.
• Acceso y circulación restringida: el Tratamiento se realizará dentro de los límites legales y únicamente por personas autorizadas o habilitadas por la ley.
• Seguridad: AMCA adoptará medidas técnicas, humanas y administrativas razonables y apropiadas para proteger los Datos Personales.
• Confidencialidad: quienes intervengan en el Tratamiento deberán mantener la reserva de la información que no tenga naturaleza pública, incluso después de terminada su relación con AMCA.

7. CATEGORÍAS DE DATOS QUE PUEDEN SER TRATADOS

Según la relación y finalidad, AMCA podrá tratar datos de identificación y contacto, información comercial y contractual, información laboral y académica, información necesaria para pagos y facturación, información de contacto de representantes o personas autorizadas, registros de comunicaciones y atención al cliente, y otros datos estrictamente necesarios para las finalidades informadas.

En bases de empleados, contratistas o candidatos podrán tratarse datos laborales y, cuando resulte necesario y legalmente procedente, determinados datos sensibles. El acceso a estos datos estará restringido al personal que lo requiera para el cumplimiento de sus funciones.

AMCA no recolectará Datos Sensibles salvo cuando exista una finalidad legítima y sea estrictamente necesario, y aplicará las garantías reforzadas previstas por la ley. Cuando se solicite autorización para el Tratamiento de Datos Sensibles, se informará al Titular su carácter facultativo.

Respecto de niños, niñas y adolescentes, AMCA aplicará el estándar reforzado previsto en la Ley 1581 de 2012 y la jurisprudencia y doctrina de la SIC: el Tratamiento sólo procederá excepcionalmente cuando resulte compatible con el interés superior, respete sus derechos fundamentales y se garantice su derecho a ser escuchados, con intervención del representante legal cuando corresponda.

8. FINALIDADES DEL TRATAMIENTO

AMCA podrá tratar Datos Personales para las siguientes finalidades, según corresponda a cada Titular y siempre dentro del principio de finalidad:

• Desarrollar y ejecutar el objeto social y las actividades comerciales, administrativas, operativas y contractuales de AMCA.
• Gestionar relaciones con clientes, proveedores, contratistas, aliados comerciales, distribuidores y demás terceros.
• Cotizar, vender, facturar, despachar, entregar productos, gestionar pagos, cartera, garantías, servicio al cliente y posventa.
• Gestionar procesos de selección, vinculación, administración de personal, nómina, seguridad social, bienestar, capacitación, seguridad y salud en el trabajo, y obligaciones laborales y legales.
• Cumplir obligaciones contables, fiscales, tributarias, laborales, societarias, regulatorias, contractuales y de comercio exterior cuando sean aplicables.
• Atender peticiones, consultas, quejas, reclamos, solicitudes y requerimientos de autoridades.
• Realizar verificaciones de identidad, prevención del fraude y gestión de riesgos, cuando sean necesarias y legalmente procedentes.
• Enviar comunicaciones relacionadas con la relación contractual o comercial existente.
• Enviar comunicaciones comerciales, publicitarias y de mercadeo por medios físicos o electrónicos, únicamente cuando exista base jurídica para ello y respetando el derecho del Titular a solicitar el cese de dichas comunicaciones.
• Gestionar eventos, actividades corporativas y relaciones públicas, incluyendo fotografías o videos cuando exista una finalidad legítima y se hayan adoptado los mecanismos de información y autorización que correspondan.
• Gestionar sistemas de videovigilancia para seguridad de personas, instalaciones, bienes y prevención o investigación de incidentes, cuando AMCA utilice dichos sistemas.
• Gestionar plataformas tecnológicas, correo electrónico, sistemas de información, control de accesos y demás herramientas necesarias para la operación.
• Atender procesos judiciales, administrativos, arbitrales o de solución de controversias y ejercer derechos de AMCA.
• Realizar las demás actividades compatibles con las finalidades informadas al Titular y permitidas por la legislación.

AMCA no utilizará los Datos Personales para finalidades incompatibles con aquellas informadas o autorizadas, salvo que exista una base legal que permita el Tratamiento.

9. AUTORIZACIÓN Y OBTENCIÓN DE LOS DATOS

Cuando la ley exija autorización, AMCA la obtendrá de manera previa, expresa e informada mediante mecanismos que permitan su posterior consulta y verificación, tales como formularios físicos o electrónicos, casillas de aceptación, contratos, registros digitales u otros mecanismos legalmente admisibles.

Al solicitar la autorización, AMCA informará al Titular, como mínimo, el Tratamiento que realizará, las finalidades, los derechos que le asisten, el carácter facultativo de la respuesta cuando se trate de Datos Sensibles o de niños, niñas y adolescentes, y la identificación y datos de contacto del Responsable.

AMCA conservará prueba de la autorización cuando esta sea exigible.

No será necesario obtener autorización en los casos expresamente exceptuados por la Ley 1581 de 2012, entre ellos información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, datos de naturaleza pública y los demás eventos previstos legalmente.

10. DERECHOS DE LOS TITULARES

El Titular podrá ejercer, entre otros, los siguientes derechos:

• Conocer, actualizar y rectificar sus Datos Personales.
• Solicitar prueba de la autorización, cuando esta sea exigible.
• Ser informado sobre el uso que AMCA ha dado a sus Datos Personales.
• Presentar ante la SIC quejas por infracciones a la normativa aplicable, una vez agotado el trámite de consulta o reclamo ante AMCA cuando corresponda.
• Solicitar la supresión de los datos o revocar la autorización cuando proceda legalmente.
• Acceder gratuitamente a sus Datos Personales en los términos de la ley.
• Los demás derechos reconocidos por la Constitución y la legislación vigente.

La revocatoria o supresión no procederá cuando exista un deber legal o contractual de conservar la información, cuando exista una obligación de conservación probatoria o cuando se presente alguna otra excepción legal.

11. DEBERES DE AMCA COMO RESPONSABLE

AMCA cumplirá los deberes previstos en la Ley 1581 de 2012 y demás normas aplicables, incluyendo:

• Garantizar al Titular el pleno y efectivo ejercicio del hábeas data.
• Solicitar y conservar prueba de la autorización cuando corresponda.
• Informar al Titular la finalidad y los derechos que le asisten.
• Conservar la información bajo condiciones de seguridad adecuadas.
• Garantizar que la información tratada sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Actualizar y rectificar la información cuando corresponda.
• Tramitar consultas y reclamos en los términos legales.
• Adoptar procedimientos internos para el adecuado cumplimiento de la normativa.
• Informar a los Encargados las novedades, reclamos y restricciones de tratamiento que correspondan.
• Cumplir las instrucciones y requerimientos de la SIC.

12. DEBERES DE LOS ENCARGADOS

Los Encargados que traten Datos Personales por cuenta de AMCA deberán cumplir las obligaciones establecidas en la Ley 1581 de 2012, el Decreto 1074 de 2015, el contrato o acuerdo de tratamiento y las instrucciones de AMCA. En particular, deberán garantizar seguridad, confidencialidad, acceso restringido, actualización o supresión cuando corresponda y atención oportuna de las solicitudes que les sean trasladadas.

13. TRANSMISIÓN Y TRANSFERENCIA DE DATOS

AMCA podrá transmitir o transferir Datos Personales a proveedores tecnológicos, operadores logísticos, asesores, entidades financieras, compañías vinculadas, aliados comerciales, contratistas, autoridades y otros terceros cuando sea necesario para las finalidades informadas, exista una base legal o autorización cuando corresponda, y se respeten las garantías de seguridad y confidencialidad.

Cuando un tercero actúe como Encargado, AMCA procurará formalizar contractualmente las condiciones del Tratamiento, incluyendo finalidad, alcance, confidencialidad, seguridad, atención de derechos, gestión de incidentes y devolución o supresión de la información cuando corresponda.

Las transferencias internacionales se realizarán observando las reglas aplicables de la Ley 1581 de 2012, sus normas reglamentarias y las instrucciones de la SIC, incluyendo las condiciones relativas a países con nivel adecuado de protección y las excepciones o mecanismos autorizados por la ley.

14. SEGURIDAD DE LA INFORMACIÓN Y GESTIÓN DE INCIDENTES

AMCA implementará medidas técnicas, humanas y administrativas razonables y apropiadas, proporcionales a los riesgos y naturaleza de los datos, para evitar pérdida, adulteración, acceso, uso o consulta no autorizada.

Los trabajadores y contratistas deberán reportar inmediatamente cualquier pérdida, acceso no autorizado, divulgación accidental, incidente de seguridad o sospecha de vulneración de Datos Personales a la persona o área interna designada por AMCA.

AMCA documentará y gestionará los incidentes y, cuando corresponda, realizará los reportes a la SIC y demás autoridades competentes conforme a las obligaciones y términos aplicables.

15. VIDEOVIGILANCIA, FOTOGRAFÍAS Y VIDEOS

Cuando AMCA utilice cámaras de videovigilancia, las imágenes serán tratadas como Datos Personales y su uso estará sujeto a los principios de necesidad, finalidad, proporcionalidad, seguridad y acceso restringido.

Los lugares sujetos a videovigilancia deberán contar, cuando corresponda, con avisos visibles que informen la existencia del sistema, la identidad del Responsable, las finalidades y los derechos de los Titulares, o remitan a esta Política/aviso de privacidad.

Las fotografías y videos utilizados para actividades corporativas, institucionales, publicitarias o de mercadeo se tratarán únicamente para las finalidades informadas y con las autorizaciones o bases jurídicas que correspondan.

16. CONSERVACIÓN, RETENCIÓN Y SUPRESIÓN

AMCA conservará los Datos Personales durante el tiempo necesario para cumplir las finalidades para las cuales fueron recolectados y, posteriormente, durante los períodos exigidos por obligaciones legales, contractuales, contables, fiscales, laborales, probatorias o para el ejercicio o defensa de derechos.

Cumplidos los períodos aplicables y cuando no exista obligación o causa legítima para conservar los datos, AMCA procederá a su supresión, anonimización o disposición segura, de acuerdo con sus procedimientos internos y la naturaleza de la información.

La conservación de una Base de Datos no implica que todos los datos deban mantenerse indefinidamente: la retención deberá ser pertinente y proporcional a las finalidades y obligaciones aplicables.

17. ATENCIÓN DE CONSULTAS

El Titular, sus causahabientes, representantes o apoderados debidamente acreditados podrán presentar consultas para conocer los Datos Personales que AMCA trate.

Las consultas serán atendidas dentro de los diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no sea posible atenderlas dentro de dicho término, AMCA informará las razones de la demora y la fecha en que serán atendidas, que no podrá superar cinco (5) días hábiles adicionales.

18. ATENCIÓN DE RECLAMOS

Los reclamos relacionados con corrección, actualización, supresión, revocatoria o presuntas infracciones deberán presentarse por escrito o por correo electrónico y deberán contener, como mínimo, la identificación del Titular, la descripción de los hechos, la dirección o medio de contacto y los documentos que se quieran hacer valer.

Si el reclamo está incompleto, AMCA requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Si transcurren dos (2) meses desde el requerimiento sin que se aporte la información requerida, se entenderá que el reclamante ha desistido.

Si AMCA no es competente para resolver el reclamo, dará traslado a quien corresponda dentro de los dos (2) días hábiles siguientes e informará al interesado.

Una vez recibido el reclamo completo, AMCA incluirá en la Base de Datos la leyenda “reclamo en trámite” y el motivo del mismo dentro de los dos (2) días hábiles siguientes. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.

El reclamo será atendido dentro de los quince (15) días hábiles contados a partir del día siguiente a su recibo. Cuando no sea posible responder dentro de ese término, AMCA informará las razones de la demora y la fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

19. CANALES PARA EJERCER LOS DERECHOS

Las consultas y reclamos podrán presentarse a través de:

• Correo electrónico: servicioalcliente@amcasas.com

AMCA podrá solicitar información razonable para verificar la identidad del solicitante y la legitimidad de la petición, sin imponer requisitos desproporcionados que obstaculicen el ejercicio de los derechos.

20. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

El Tratamiento de datos de niños, niñas y adolescentes se realizará de manera excepcional y únicamente cuando resulte procedente conforme a la ley, respetando el interés superior, sus derechos fundamentales y su derecho a ser escuchados de acuerdo con su madurez y autonomía. Cuando corresponda, la autorización será otorgada por su representante legal.

AMCA evitará recolectar información de menores que no sea necesaria para una finalidad legítima y específica.

21. DATOS SENSIBLES

El suministro de Datos Sensibles será facultativo. AMCA no condicionará, salvo habilitación legal, la celebración o ejecución de una relación al suministro de Datos Sensibles que no sean necesarios para la finalidad correspondiente.

Cuando el Tratamiento sea permitido y necesario, AMCA aplicará medidas reforzadas de confidencialidad, seguridad y acceso restringido.

22. MERCADEO Y COMUNICACIONES COMERCIALES

Cuando AMCA utilice Datos Personales para actividades de mercadeo, publicidad o comunicaciones comerciales, deberá existir una base jurídica válida para el Tratamiento y deberán respetarse las finalidades informadas, los canales autorizados y los derechos del Titular.

El Titular podrá solicitar en cualquier momento el cese de comunicaciones comerciales. La solicitud de no recibir publicidad no implica necesariamente la supresión de datos que AMCA deba conservar para cumplir obligaciones legales o contractuales.

23. COOKIES Y TECNOLOGÍAS SIMILARES

Si AMCA utiliza cookies u otras tecnologías de seguimiento en sus sitios web o plataformas y estas permiten identificar o asociar información con una persona natural, su uso deberá gestionarse de acuerdo con la normativa de protección de Datos Personales, informando las finalidades correspondientes y aplicando los mecanismos de consentimiento o configuración que resulten exigibles.

Los detalles específicos podrán desarrollarse en un aviso o política de cookies independiente, cuando AMCA utilice este tipo de tecnologías.

24. REGISTRO NACIONAL DE BASES DE DATOS – RNBD

AMCA cumplirá las obligaciones de inscripción, actualización y demás deberes frente al Registro Nacional de Bases de Datos (RNBD) cuando, de acuerdo con la ley y los criterios vigentes de la SIC, se encuentre obligada a ello. La obligación depende del ámbito subjetivo y de los supuestos establecidos en la normativa vigente, por lo que deberá verificarse periódicamente.

La presente Política deberá mantenerse disponible para los Titulares por medios físicos o electrónicos y deberá ser puesta en su conocimiento en los términos legales.

25. ACTUALIZACIÓN Y CAMBIOS DE LA POLÍTICA

AMCA podrá modificar esta Política cuando resulte necesario por cambios normativos, jurisprudenciales, instrucciones de la SIC, cambios en las finalidades o en sus procesos de Tratamiento, o por razones de seguridad y gestión de la información.

Las modificaciones sustanciales serán comunicadas mediante mecanismos razonables y adecuados, y cuando corresponda se solicitará una nueva autorización. La versión vigente estará disponible a través de los canales que AMCA disponga para tal efecto.

26. VIGENCIA

La presente Política corresponde a la versión 02 y entra en vigencia el 31 de agosto de 2026. Sustituye la versión anterior de la Política de Tratamiento de Datos Personales.

La vigencia de las Bases de Datos se mantendrá mientras subsistan las finalidades que justifican su Tratamiento y/o las obligaciones legales, contractuales o probatorias que exijan su conservación.

27. NOTA DE IMPLEMENTACIÓN

Esta Política constituye el documento general de tratamiento. Su correcta implementación debe complementarse con procedimientos internos para: gestión de autorizaciones y evidencias; atención de consultas y reclamos; gestión de incidentes de seguridad; inventario y ciclo de vida de Bases de Datos; gestión de Encargados; retención y eliminación; videovigilancia; y, cuando aplique, inscripción y actualización del RNBD.

La empresa deberá revisar anualmente la aplicación práctica de esta Política y actualizarla cuando cambien sus procesos, tecnologías, Bases de Datos, Encargados, canales de contacto o finalidades.