Las políticas y procedimientos consagrados en este manual se aplicaran a Expreso Brasilia S.A. incluyendo oficina principal, agencias y comisionistas. Los presentes términos y condiciones aplican para el tratamiento de datos personales de clientes, empleados, proveedores, afiliados y terceros, realizado en forma presencial, no presencial y/o virtual para la vinculación a cualquier servicio o beneficio de Expreso Brasilia S.A.

1.2 Objetivo

Dar cumplimiento a la legislación legal aplicable (ley Constitución política articulo 15 y 20, 1581 de 2012 y el Decreto 1377) con la finalidad de dar uso adecuado a las base de datos utilizadas en Expreso Brasilia S.A.

1.3 Definiciones

Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.
Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento.
Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento.
Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.
Titular: Persona natural cuyos datos personales sean objeto de Tratamiento.
Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.
Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
Datos sensibles: Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos.
Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

1.4 Principios

Los principios que se establecen a continuación, constituyen los parámetros generales que serán respetados por EXPRESO BRASILIA S.A. en los procesos, uso y tratamiento de datos personales.

Principio de finalidad: El Tratamiento de las bases de datos utilizadas por Expreso Brasilia S.A. debe obedecer a una finalidad legítima de la cual debe ser informada al Titular.
Principio de libertad: Sólo se puede dar Tratamiento a los datos personales con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
Principio de veracidad o calidad: La información utilizada por Expreso Brasilia S.A. sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
Principio de transparencia: En el Tratamiento de datos personales debe garantizarse el derecho del Titular a obtener de Expreso Brasilia S.A. en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
Principio de acceso y circulación restringida: Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados.
Principio de seguridad: La información sujeta a Tratamiento por parte de Expreso Brasilia S.A., se deberá proteger mediante el uso de las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento.

CAPITULO II. AUTORIZACIÓN

Para la recolección, almacenamiento, uso, circulación o supresión de datos personales Expreso Brasilia S.A. requiere la autorización previa, tácita e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior. Con la autorización, el cliente o usuario, manifiesta libre, expresa y previamente haber sido informado sobre los derechos que las leyes aplicables le conceden como titular de sus datos personales.

Según el artículo 10 de la Ley 1581 de 2012, la autorización del Titular no será necesaria cuando se trate de:

Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
Datos de naturaleza pública;
Casos de urgencia médica o sanitaria;
Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
Datos relacionados con el Registro Civil de las Personas.

2.1. Suministro de la información

La autorización escrita del tratamiento de los datos personales puede constar en formato legible con el fin de que se garantice su posterior consulta, es decir puede estar por medio escrito, oral. La información deberá ser de fácil lectura, sin barreras técnicas que impidan su acceso y deberá corresponder en un todo a aquella que repose en la base de datos. Expreso Brasilia S.A. al momento de solicitar al Titular la autorización informará de manera clara y expresa lo siguiente:

Responsable del tratamiento
Tipo de información solicitada
Tratamiento que se le dará a los datos personales y la finalidad de estos.
Derechos que le asisten bajo la facultad de Titular.

La información suministrada podrá entregarse a las siguientes personas:

A los Titulares, sus causahabientes o sus representantes legales;
A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial;
A los terceros autorizados por el Titular o por la ley.

2.2. Derechos de los niños, niñas y adolescentes

Expreso Brasilia S.A. en el Tratamiento asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública.

El Tratamiento de datos personales de niños niñas y adolescentes está proscrito excepto cuando se trate de datos de naturaleza pública, de conformidad con lo establecido en el artículo 7 de la ley 1581 de 2012, y cuando dicho tratamiento cumpla con los siguientes parámetros y requisitos:

Que responda y respete el interés superior de los niños, niñas y adolescentes.
Que se asegure el respeto de sus derechos fundamentales.

Cumplidos los anteriores requisitos, el representante legal o tutor del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto.

Todo responsable y encargado involucrado en el tratamiento de los datos personales de niños, niñas y adolescentes, deberá velar por el uso adecuado de los mismos. Para este fin deberán aplicarse los principios y obligaciones establecidos en la Ley 1581 de 2012 y el presente decreto.

CAPITULO III. TRATAMIENTO DE DATOS PERSONALES

Datos públicos: Expreso Brasilia S.A. declara que, ciertos datos personales hacen parte de los denominados “datos públicos”, dentro de los cuales se encuentran, entre otros, aquellos incluidos en el Registro Civil, por lo cual se tratan sin previa autorización del Titular los datos personales de esta naturaleza. Esta situación no implica que no se adopten las medidas necesarias que garanticen el cumplimiento de los otros principios y obligaciones contempladas en la Ley 1581 de 2012.

Datos sensibles:

Expreso Brasilia S.A. limitará el tratamiento de datos sensibles y solicitará autorización al Titular (representante legal, apoderado, causahabiente), así mismo indicará la finalidad de esta.

Expreso Brasilia S.A. trata datos catalogados como sensibles, cuando:

El tratamiento haya sido autorizado por el Titular de los datos sensibles,
salvo en los casos que por Ley, no se requiera el otorgamiento de dicha autorización.
El Tratamiento sea necesario para salvaguardar el interés vital del titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar la autorización.
El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
El Tratamiento tenga una finalidad histórica, estadística o científica o, dentro del marco de procesos de mejoramiento; este último, siempre y cuando se adopten las medidas conducentes a la supresión de identidad de los Titulares o el dato esté disgregado, es decir, el dato sensible sea separado de la identidad del titular y no sea identificable o no se logre identificar a la persona Titular del dato o datos sensibles.

En Expreso Brasilia S.A. se tratan los siguientes datos sensibles:

Datos biométricos: El registro dactilar es necesario para los procedimientos de Venta y Pago de Giros, el sistema biométrico controla el acceso al aplicativo de ventas, por lo cual cada usuario debe registrar su huella dactilar y al momento del acceso se valida la concordancia entre la huella registrada y la grabada en la base de datos.

Adicionalmente Expreso Brasilia S.A. controla el ingreso y la salida de empleados pertenecientes a la Central de Operaciones por medio de registro de huella, de esta manera los empleados afirman su huella grabada cada vez que entren y salgan de su área de trabajo.

De igual manera en los principales Centros de Operaciones de la ciudad se controla el ingreso y salida de empleados por medio de biometría.

Datos de salud: La historia clínica es administrada por los cargos autorizados para dicho ejercicio, los cuales serán el Médico y Administrativo Seguridad y Salud en el Trabajo, estos por medio de usuario y clave de acceso podrán cargar información de los procedimientos de salud ejecutados a los empleados al sistema de administración de personal. Las historias clínicas en físico reposarán en un espacio el cual se encuentra custodiado y cuya llave de acceso la tendrá el Administrativo de Seguridad y Salud en el Trabajo. Los resultados de exámenes médicos son manejados entre laboratorio clínico y administrativo Seguridad y Salud en el Trabajo, en donde el laboratorio envía por medio de correo electrónico los resultados de los exámenes. Adicionalmente para el caso de Conductores, se realizarán una evaluación psicoensomètrica y esta es entregada del laboratorio al Conductor.

En caso de personal que se encuentre por fuera de agencia el Director y/o Auxiliar administrativa son los cargos autorizados de enviar los resultados de exámenes de laboratorio. La solicitud de los datos de la salud, podrán ser solicitados únicamente por el propio empleado.

Filmaciones: Expreso Brasilia S.A. realizará filmación dentro del bus en agencia origen y en las transito, en el cual el Vigilante o Auxiliar de ventas de acuerdo a la estructura de la agencia llevará a cabo la filmación, cumpliendo el siguiente protocolo de presentación: “Buenos Días/Tardes/Noches Mi nombre es…, pertenezco al departamento de seguridad de Expreso Brasilia S.A. y por su seguridad procederé a filmarlos con el fin de tener evidencia en caso de que ocurra algún incidente. Se dará inicio a la filmación por el área derecha del vehículo, llegando al área posterior del vehículo devolviéndose por la zona izquierda, al finalizar se realiza paneo de la totalidad de pasajeros.

Por último se realizara el descenso del bus filmando la tripulación, número del bus y placa del mismo. Las filmaciones reposarán en el computador de la agencia durante los próximos tres (3) meses y posteriormente se eliminarán.

Las filmaciones serán vistas por el área Jurídica, Seguridad y entidades gubernamentales, en caso de que esté involucrado en un proceso judicial y se guardará el tiempo que dure el proceso judicial.

CAPITULO IV. CLASIFICACIÓN BASE DE DATOS

4.1. Base de datos de Afiliados

Responsable: Coordinador CAAFI

Son las bases de datos manuales o automatizados, que se encuentran estructuradas, y que contienen datos de naturaleza pública y privada de personas jurídicas o natural propietaria de uno o más vehículos, vinculados a la empresa mediante contrato para su explotación económica en función del objeto social de ésta.

Para la recolección de la información de Afiliados, esta se registrará por medio del formato hoja de vida de Afiliados, en el cual se establecerá información personal, así como información laboral de bienes y otras que Expreso Brasilia S.A. ha declarado necesaria para la vinculación. A esta información tendrán acceso Gerente General, Gerente de Operaciones, Gerente administrativo y Financiero y Jefe Jurídica, con la finalidad de dar visto bueno al Afiliado aspirante.

Las áreas que tendrán acceso a la información de las bases de datos Afiliados serán CAAFI y área Jurídica.

En caso de presentarse una desvinculación de Afiliados, CAAFI almacenará sus información por 1 año y luego pasará al área de Archivo para su conservación total

Expreso Brasilia S.A. validará los datos de entrada de Afiliados por medio de consultas en listas restrictivas, la cual permanecerá como soporte en las bases de datos, adicionalmente se validarán los antecedentes judiciales y referencias establecidas.

CAAFI emitirá certificados a los Afiliados, por lo que validará los datos del solicitante en el aplicativo para declarar la información prevista. Los empleados vinculados a CAAFI son las personas autorizadas para ingresar al sistema y realizar tratamiento a esta información.

4.2. Base de datos de Buses

Responsable: Coordinador CAAFI

Son las bases de datos manuales o automatizados en la cual se dispone información de la documentación legal requerida, así como los trámites legales que recaen a los buses.

Para la recolección de la información de los Buses que serán afiliados por primera vez, esta se registrará por medio del formato hoja de vida de Afiliados, en el cual se establecerá información de los principales componentes del vehículo a vincular.

Las áreas que tendrán acceso a la información de las bases de datos Afiliados serán CAAFI y área Jurídica.

Las bases de datos de buses serán almacenadas por conservación total, de acuerdo a lo relacionado en el procedimiento de Elaboración y Control de documentos y lo establecido en la Lista maestra.

Expreso Brasilia S.A. validará los datos de entrada de los buses por medio del total cumplimiento de los requisitos establecidos para vinculación de buses. Adicionalmente se validarán señales de alerta establecidas en el procedimiento de vinculación de buses.

4.3. Bases de datos de Empleados

Responsable: Área Gestión Humana

Son las bases de datos manuales o automatizados que contienen datos de las personas naturales vinculadas laboralmente con Expreso Brasilia S.A., cuyo tratamiento tiene como finalidad llevar registro de las obligaciones a cargo del empleador con sus empleados así como controlar las responsabilidades, actitudes, roles o cualquier actividad relacionada con el buen desempeño de su actividad laboral. En esta base de datos, se incorporan tanto información privada, pública, datos sensibles y de menores. En ningún caso, Expreso Brasilia S.A. dará tratamiento a los datos sensibles o de menores sin autorización previa.

Para el caso de la información recolectada para dar inicio al proceso de selección, esta es recibida por medio digital y físico; para efectos de evaluación y entrevistas esta es impresa. Los resultados de las pruebas psicotécnicas serán guardados en un sobre sellado con fecha en la que se guardan los resultados, como constancia de visto bueno.

Respecto a los aspirantes que no cumplan con el perfil y resulten descartados del proceso. Las hojas de vidas impresas serán almacenadas por un año para su posterior destrucción física de acuerdo a lo relacionado en el procedimiento de Elaboración y Control de documentos y lo establecido en la Lista maestra.

El acceso o circulación de la base de datos manuales tendrá acceso el área Jurídica (en caso de que lo requiera) y el área de Gestión Humana.

Expreso Brasilia S.A. almacenará por un periodo sin caducidad las bases de datos manuales de Empleados en el área de Archivo de la empresa, mientras que las carpetas de personas desvinculadas o inactivas laboralmente, serán archivadas en operador logístico Al Popular, de acuerdo a los relacionado en el procedimiento de Elaboración y Control de documentos y lo establecido en la Lista maestra.

Para efectos de la validación de datos de entrada y procesamiento de la información personal, dentro del proceso de selección de personal se confirmarán las referencias laborales con la finalidad de garantizar que los datos recolectados y procesados sean correctos y apropiados, éstos deben ser dados por el jefe inmediato o la persona autorizada por la entidad. Expreso Brasilia S.A. implementa como instrumento de investigación y análisis la visita domiciliaria al seleccionado, la cual resulta importante para validar la información de los datos aportados en el proceso de selección. Por otra parte el seleccionado también es consultado en listas restrictivas vinculantes para Colombia, para identificar señales de alerta en caso de que existieran.

Expreso Brasilia S.A. emitirá certificaciones laborales a los empleados activos y retirados de la empresa, para poder una tercera persona recibir la certificación, debe estar autorizado por el empleado.

4.4. Bases de datos de Contratistas y Proveedores

Responsable: Área Servicios Administrativos

Son las bases de datos manuales o automatizadas, de las personas naturales o jurídicas que mantienen un vínculo contractual y comercial en el cual se consignan datos públicos y privados, cuya finalidad del tratamiento es cumplir con las disposiciones contractuales estipuladas por Expreso Brasilia S.A., para la obtención de bienes y servicios demandados por ella para su normal funcionamiento o el cumplimiento de algunas de sus funciones.

Expreso Brasilia S.A. recolectará información de los proveedores o contratistas seleccionados por medio de entrevista con el Coordinador de Servicios Administrativos y el diligenciamiento del formato registro interno de proveedores y/o contratistas, en el cual serán diligenciados datos que arrojen información de contacto, bancaria, comercial, entre otras. Dicha información es validada por el área de Servicios Administrativos y Gestión del Riesgo, en caso de resultar reportado en listas restrictivas y/o entes de control del Estado, el proveedor y/o contratista será rechazado. Una vez evaluada la totalidad de la información, de acuerdo al resultado se decidirá si se requiere de visita al proveedor y/o contratista y quedará registrado la aprobación del Responsable por el área de Servicios Administrativos.

La información recolectada en el formato con sus respectivos documentos soportes, se consolidará de modo físico en una carpeta a la cual tendrá acceso de circulación el área Jurídica, y Auditores para efectos de auditorías internas y externas.

La información de los proveedores y/o contratistas podrá ser consultada por medio del ERP, con la finalidad de liberar la solicitud de pedido.

Expreso Brasilia S.A. emitirá certificados de referencias comerciales y comportamiento de la relación contractual, valiéndose de los resultados de evaluación anual de proveedor, de acuerdo a los criterios establecidos por la organización.

Como disposición final de las carpetas de proveedores o contratistas con los que no tenga actividad comercial o contractual por cinco (5) años, se eliminará la carpeta con la información del proveedor, así mismo se dará de baja en la lista interna de proveedores, pero se mantendrá el registro en la base de datos de Contratistas y Proveedores; de acuerdo a los relacionado en el procedimiento de Elaboración y Control de documentos y lo establecido en la Lista maestra.

4.5. Base de datos de Clientes

Responsable: Coordinador SAC

Son las bases de datos automatizadas en donde se registra información personal del usuario y/o cliente, el cual presenta relación comercial con la organización, los datos son obtenidos en el proceso de venta tanto en puntos de ventas físico como venta web. En estos se solicita información relacionada con la identificación del cliente, datos de contacto (teléfono, dirección correo electrónico) y nacionalidad. La base de datos de clientes de Expreso Brasilia S.A. tiene como finalidad llevar trazabilidad de las transacciones realizadas por los clientes en relación con los productos ofrecidos por la compañía. La circulación de la información del cliente no se podrá expresar verbalmente, para esto se debe realizar una solicitud escrita por correo.

El área jurídica tendrá acceso a la información del cliente o titular, con fines de resolución de casos relacionados con clientes o demandas involucradas.

La fuerza de ventas de Expreso Brasilia S.A. firmará un contrato de confidencialidad, como control de seguridad para los datos de salida, dado a que por medio del sistema de agencias pueden ver la trazabilidad de las operaciones realizadas por un cliente.

CAPITULO V. ACCESO, CONSULTA Y RECLAMACIÓN

5.1. Consulta

De acuerdo con lo dispuesto en el artículo 14 de la Ley 1581 de 2012, el titular o su causahabiente podrá consultar la información personal del titular que repose en las base de datos; así mismo el responsable del tratamiento de la información deberá suministrarle toda la información en donde este aparezca registrado individualmente o en donde esté vinculado con la identificación del Titular. Expreso Brasilia S.A dará respuesta en un plazo máximo de 10 días hábiles contados a partir de recibida la solicitud, en caso de no poder responder en este término de días, se informará al interesado los motivos que dan lugar a no atender la consulta dentro del plazo estipulado; adicional a esto indicará la fecha en que responderá a la solicitud, el cual no puede exceder 5 días hábiles siguientes al vencimiento del primer término.

5.2. Reclamos

El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrán presentar un reclamo ante el Responsable del Tratamiento, el cual será tramitado bajo las siguientes reglas:

El reclamo se formulará mediante solicitud dirigida a Expreso Brasilia S.A. con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

CAPITULO VI. DERECHOS DEL TITULAR

6.1. Rectificación y actualización de datos

El Titular de la información podrá conocer, actualizar y rectificar sus datos personales frente a Expreso Brasilia S.A. datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado, así mismo Expreso Brasilia S.A. debe actualizar los datos a solicitud del Titular.

6.2. Supresión de datos

El titular tiene el derecho, en todo momento, a solicitar a Expreso Brasilia S.A. la supresión (eliminación) de sus datos personales cuando:

Considere que los datos no están siendo tratados conforme a los principios, deberes y obligaciones previstas en la Ley 1581 de 2012.
Hayan dejado de ser necesarios o pertinentes para la finalidad para la cual fueron recabados.
Se haya superado el periodo necesario para el cumplimiento de los fines para los que fueron recabados.

Esta supresión implica la eliminación total o parcial de la información personal de acuerdo con lo solicitado por el titular en los registros, archivos, bases de datos o tratamientos realizados por Expreso Brasilia S.A. Es importante tener en cuenta que el derecho de cancelación no es absoluto y el responsable puede negar el ejercicio del mismo cuando:

La solicitud de supresión de la información no procederán cuando el titular tenga un deber legal o contractual de permanecer en la base de datos.
La eliminación de datos obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas.
Los datos sean necesarios para proteger los intereses jurídicamente tutelados del titular; para realizar una acción en función del interés público, o para cumplir con una obligación legalmente adquirida por el titular.

En caso de resultar procedente la cancelación de los datos personales, Expreso Brasilia S.A. debe realizar operativamente la supresión de tal manera que la eliminación no permita la recuperación de la información.

6.3. Revocación a la autorización

Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a esta ley y a la Constitución.

6.4. Protección de datos en los contratos

Expreso Brasilia S.A. por medio del contrato de trabajo, establecerá una clausula en la cual el empleado otorga autorización para tratamiento de los datos proporcionados a la empresa.

6.5. Transferencia de datos a terceros países

En los casos en que Expreso Brasilia S.A. en el desarrollo de su operación, como es el caso de rutas internacionales se realizará transferencia de datos a terceros, por medio del formato Manifiesto ruta internacional, en el cual se diligencia los datos personales de los pasajeros. Perú como país tercero la protección de datos personales está regido por la Ley Nº 29733 en la cual el Congreso de la República ha dictado las disposiciones generales para el tratamiento de datos.

Para la transferencia de datos a terceros países Expreso Brasilia S.A. establecerá por medio de cláusulas las disposiciones necesarias para el cumplimiento de la normatividad vigente.

CAPITULO VII. DISPOSICIONES FINALES

Expreso Brasilia S.A. designa al Analista Gestor del Riesgo para recepcionar las solicitudes de los titulares, para el ejercicio de los derechos de acceso, consulta, rectificación, actualización, supresión y revocatoria a que se refiere la Ley 1581 de 2012. A nivel interno se han establecido procedimientos para la oportuna y eficaz atención de las consultas y reclamos teniendo en cuenta los responsables de las diferentes bases de datos y la estructura dela organización. Para la recepción de consultas, reclamos, quejas sobre el tratamiento de sus datos personales o para el ejercicio de los derechos como usuario o cliente, podrá comunicarse con Expreso Brasilia S.A. al correo electrónico contactenos@expresobrasilia.com.co, o radicar su consulta o reclamo de forma escrita en nuestra oficina central ubicada en la Carrera 35 No. 44- 63 Barranquilla, Atlántico, dirigida al Analista Gestor del Riesgo, quien ha sido designado por la empresa como responsable de la atención de este tipo de consultas y peticiones, en el horario de lunes a viernes de 8:00 a.m., a 12:00 m y de 2:00 p.m., a 5:45 p.m.

Vigencia. La presente ley rige a partir de 01/12/2016

CAPITULO VIII. POLÍTICAS TRATAMIENTO DE LA INFORMACIÓN

POLÍTICAS TECNOLOGÍA DE LA INFORMACIÓN Y TELECOMUNICACIONES

8.1. Controles generales

Todos los empleados que utilicen los equipos y servicios informáticos y de comunicaciones que proporciona Expreso Brasilia S.A. y deben dar cumplimiento a las disposiciones incluidas en ésta política así como a respetar los demás lineamientos que regulen los servicios informáticos y que se lleguen a establecer y divulgar.

Es responsabilidad de los usuarios Informar por escrito al Departamento de Tecnología de la Información y Telecomunicaciones de cualquier situación y/o acción que llegue a conocer que constituya una violación o riesgo grave a las normas aquí descritas realizada por personal interno o terceros.

Las violaciones de seguridad y uso indebido de la información o sistemas administrativos de la organización se consideran faltas de especial gravedad.

Los usuarios deben reportar cualquier falla en los computadores, en la red el software o en los datos al proveedor contratado para la administración de la mesa de servicios o al departamento de Tecnología de la Información y Telecomunicaciones si este servicio se ofreciera por personal interno.

La pérdida o robo de cualquier componente de hardware o programa de software debe ser reportada inmediatamente al Jefe de Tecnología de la Información y Telecomunicaciones.

8.2. Seguridad de los datos

Los usuarios deben guardar la debida confidencialidad de la información y claves de acceso que le asignen así como de las que llegue a conocer, tomar medidas necesarias para prevenir que personal no autorizado tenga acceso a la misma.

El usuario que tenga sospecha que la integridad de su password ha sido comprometida, debe inmediatamente informar al Departamento de Tecnología de la Información y Telecomunicaciones escrito sobre la situación y solicitar la asignación de una nueva contraseña.

Las claves de usuarios deben combinar letras y números, tener un tamaño de seis caracteres y no debe tener ninguna relación directa con los usuarios para evitar que éstas puedan ser fácilmente descubiertas por otros.

El Departamento de Tecnología de la Información y Telecomunicaciones, con base en su calendario de actividades, realizará copias de respaldo de los sistemas e información de uso institucional general del personal de Expreso Brasilia S.A., ubicada en los servidores centrales.

El respaldo de la información contenida en los equipos personales de cómputo asignados a los usuarios es responsabilidad de los mismos. A solicitud de los mismos, el Departamento de Tecnología de la Información y Telecomunicaciones les apoyará para que tengan acceso a los medios para que puedan realizarlo.

Los mensajes de correo, archivos electrónicos y demás información contenida en los equipos de cómputo o transmitida a través de los medios de comunicación proporcionados por la organización se entenderá que es generada por los usuarios como parte de su actividad laboral y por lo tanto en propiedad de la empresa, entendiéndose que en el caso de que los utilicen para asuntos personales, están autorizando tácitamente el acceso y uso de la misma.

Las cuentas y passwords asignados a los usuarios son personal e intransferibles, siendo responsabilidad del usuario preservar la confidencialidad de las mismas, las acciones que se realicen utilizando esta cuenta se entenderán realizadas personalmente por el usuario. Cualquier empleado que permita a otro el uso de su cuenta de acceso será responsable de las acciones que éste lleve a cabo como si las hubiera realizado el mismo.

El acceso a los servicios informáticos y de comunicaciones se otorgará a los trabajadores con base en los requerimientos necesarios para desarrollar su trabajo y a solicitud del responsable o jefe de área al que pertenece el empleado.

El Jefe de Gestión Humana o quién éste delegue debe notificar oportunamente al Departamento de Tecnología de la Información y Telecomunicaciones y a su mesa de servicios, cuando algún usuario ingrese a la compañía, cambie de funciones, departamento o deje de laborar para la empresa y sea necesario modificar o desactivar su cuenta o los niveles de acceso y seguridad a los servicios informáticos y de comunicaciones.

8.3. Seguridad en comunicaciones

Expreso Brasilia S.A. tiene implementadas medidas de seguridad para proteger la privacidad de las comunicaciones que circulen a través de sus sistemas, sin embargo los sistemas de comunicación electrónica, por su propia naturaleza, pueden ser sujetos a interceptación por terceras partes por lo que los usuarios deben abstenerse de enviar información confidencial a través de éstos medios.

Es política de Expreso Brasilia S.A. el NO monitorear regularmente el contenido de los mensajes y archivos electrónicos, sin embargo el Departamento de Tecnología de la Información y Telecomunicaciones tiene implementados mecanismos de análisis del tráfico y uso de los servicios con propósitos de mantenimiento, estadísticas e investigación de posibles abusos, que implican la necesidad ocasional de revisar los mensajes y archivos electrónicos por lo que el usuario acepta esta situación por el simple hecho de utilizar estos recursos.

No se permite la conexión a la red interna a todo equipo propiedad de personas externas. Con la salvedad de contratistas bajo supervisión del Departamento de Tecnología de la Información y Telecomunicaciones.

Se permite acceder al servicio de correo electrónico desde dispositivos móviles personales para funciones de su cargo de manera controlada bajo supervisión del Departamento de Tecnología de la Información y Telecomunicaciones.

8.4. Controles de hardware

La Gerencia Administrativa y Financiera y el Jefe de Tecnología de la Información y Telecomunicaciones con base en las diferentes necesidades de las áreas o agencias, así como la disponibilidad de recursos informáticos determinará la distribución y asignación de equipos. La misma podrá en cualquier momento modificar, disminuir, retirar o condicionar el uso de los recursos que previamente se hayan asignado a las áreas o agencias, cuando por limitantes de recursos o por necesidades de la empresa así lo considere conveniente.

Es responsabilidad de los usuarios Utilizar de forma apropiada y razonable el equipo, software y servicios que se les proporcione para el desempeño de sus actividades, evitando el maltrato y abuso de los mismos, así como las medidas razonables para su cuidado, protección y uso adecuado y permitido así como de la información contenida en éstos.

Los usuarios deberán reportar fallas y daños que presente el equipo y solicitar los servicios de mantenimiento o reparación que se requieran de manera oportuna.

Los usuarios no deben permitir o facilitar el uso de los sistemas de información de la organización a personas no autorizadas.

Es responsabilidad de los usuarios, velar por el aseo y protección de los equipos de trabajo; esto incluye la limpieza de las zonas donde se encuentran instalados los equipos, utilizar medios de protección contra el polvo, agua, incendio, etc.

Como medida de higiene y de seguridad del equipo físico (Hardware), se prohíbe sin excepción alguna el fumar, ingerir bebidas o alimentos mientras se estén utilizando las estaciones de trabajo, impresoras y cualquier otro equipo que tenga que ver con la infraestructura informática, ya que éste tipo de práctica pone en riesgo el buen funcionamiento de los dispositivos.

Los usuarios no pueden mover los equipos o reubicarlos sin permiso. Para llevar un equipo fuera de las instalaciones de la organización se requiere autorización por escrito del Jefe de Tecnología de la Información y Telecomunicaciones, Jefe Inmediato, Coordinador de Servicios Administrativos y copia al departamento de Seguridad.

Es responsabilidad de los usuarios:

Tomar las acciones adecuadas y necesarias para proteger y recuperar la información relevante que maneje en el equipo que le ha sido asignado utilizando los canales autorizados por sistemas.
Tomar las medidas razonables para verificar que los archivos, programas y medios magnéticos que emplean para el almacenamiento de información estén libres de virus, informando al Departamento de Tecnología de la Información y Telecomunicaciones de los casos que se presenten.
No mover, abrir o modificar la configuración de cualquier modo del equipo de cómputo asignado y software de sus equipos, así como no instalar ningún software sin la autorización expresa del Departamento de Tecnología de la Información y Telecomunicaciones.
Apoyar la implementación y operación de los sistemas de información. Procesar en forma correcta y oportuna la información que sea de su responsabilidad para el adecuado funcionamiento de los aplicativos.

8.5. Controles de sistemas

Los servicios de tecnología y desarrollos de sistemas de información deben apegarse a estándares de gestión de servicios informáticos y estándares técnicos de equipos , software, redes y comunicaciones, además de cumplir con los demás requerimientos que establezca la Gerencia General y demás gerencias de área en términos de documentación, seguridad, administración, disponibilidad, contingencias, etc.

El Departamento de Tecnología de la Información y Telecomunicaciones deben facilitar el uso de un ambiente seguro. Se considera que un ambiente es seguro cuando se han implantado las medidas de control apropiadas para proteger el software, el hardware y los datos. Esas medidas deben estar acorde a la importancia de los datos y la naturaleza de riesgos previsibles.

Debe instalarse y activarse una herramienta antivirus, la cual debe mantenerse actualizada de acuerdo a la especificación del proveedor. La permanente actualización debe ser parte de las políticas de mantenimiento y protección de la información por parte del Departamento de Tecnología de la Información y Telecomunicaciones.

El Departamento de Tecnología de la Información y Telecomunicaciones, debe garantizar el buen uso de las cuentas de administrador de la base de datos. No permitir su conocimiento por personas que no cumplen los roles de administradores, puesto que estas cuentas tienen máximo privilegio, y su difusión pone en peligro la integridad del sistema y la confiabilidad de los datos.

Es responsabilidad del Administrador de la Base de Datos mantener actualizados los perfiles y estado de las cuentas de los usuarios, de acuerdo a lo que defina el Jefe del área funcional del usuario.

Es responsabilidad de los Analistas realizar las pruebas de software en ambiente de pruebas.

Las contraseñas predefinidas que traen los equipos y software nuevos tales como routers, switch, etc., deben cambiarse inmediatamente al ponerse en servicio el equipo.

Los archivos de bitácora (logs) y los registros de auditoria (audit trails) que estén activos según necesidades para grabar los eventos relevantes sobre la seguridad de los sistemas informáticos y las comunicaciones, deben revisarse periódicamente y guardarse durante un tiempo prudencial de por lo menos tres meses. Dichos archivos son importantes para la detección de intrusos, brechas en la seguridad, investigaciones, y otras actividades de auditoria. Por tal razón deben protegerse para que nadie los pueda alterar y que sólo los puedan leer las personas autorizadas.

Los servidores de red y los equipos de comunicación deben estar ubicados en espacios apropiados, protegidos contra daños y robo. Debe restringirse severamente el acceso a estos locales y a los cuartos de comunicación a personas no autorizadas mediante el uso de cerraduras y otros sistemas de acceso.

8.6 Política uso y tratamiento de información personal, privacidad y confidencialidad de la información existente en las bases de datos de Expreso Brasilia S.A.

Fecha de entrada en vigencia de la política: julio 2013

En el ejercicio de la prestación del servicio de venta de tiquetes, mensajería expresa, carga y giros EXPRESO BRASILIA S.A podrá realizar recolección, uso y tratamiento de datos personales de los diferentes actores que interactúan en la prestación del servicio, entendiendo por estos a conductores, usuarios, clientes, afiliados, proveedores, directivos, empleados, sociedades con que suscriban convenios de colaboración empresarial, proveedores, visitantes conferencistas vinculados para capacitación, comisionistas, exempleados y en general todo tercero con que se intercambie información (EN ADELANTE USUARIOS).

El uso, recolección, tratamiento y finalidad de los datos personales contenidos en las bases de datos de EXPRESO BRASILIA S.A., se sujetarán a las siguientes políticas:

Las bases de datos, o los distintos tipos de repositorios electrónicos, son creaciones intelectuales sujetas a la protección del Derecho de Autor. EXPRESO BRASILIA S.A.es el titular de las bases de datos que utiliza, para lo cual se sujeta plenamente a las normas sobre protección de datos personales y Habeas Data. En consecuencia, EXPRESO BRASILIA S.A., como encargada y responsable del tratamiento, es la única que tiene la facultad para autorizar el uso o disposición de la misma a terceros.
La finalidad para la recolección, uso y tratamiento de datos personales a que se refiere esta política es la adecuada gestión y administración de los datos de los usuarios de EXPRESO BRASILIA S.A. Igualmente podrá referirse al ofrecimiento de nuevos productos o por terceros relacionados con su objeto, ya sea colaboradores estratégicos o en ejecución de convenios de colaboración empresarial.
EXPRESO BRASILIA S.A. podrá suministrar información personal contenida en sus bases de datos, relacionada con su objeto.
Al autorizar la recolección de datos de carácter personal a EXPRESO BRASILIA S.A., mediante la implementación de formularios de recolección de datos o su envío a través de cualquier otro medio, los USUARIOS declaran aceptar plenamente y sin reservas la incorporación de los datos facilitados y su tratamiento, en los términos estipulados en esta política.
Las bases de datos en las que se incluye información de los titulares tendrán una vigencia indefinida, determinada por la permanente operación de EXPRESO BRASILIA S.A, de acuerdo con las autorizaciones del Ministerio de Transportes, Ministerio de la Tecnología de la Información y Comunicación y el registro de duración de la sociedad.
Los USUARIOS son los únicos responsables de que la información suministrada a EXPRESO BRASILIA S.A. sea totalmente actual, exacta y veraz y reconocen su obligación de mantenerla actualizada. En todo caso, los USUARIOS son los únicos responsables de la información falsa o inexacta que suministren y de los perjuicios que cause o pueda causar a EXPRESO BRASILIA S.A. o a terceros por el uso de tal información.
El USUARIO reconoce que el ingreso de información personal lo realiza de manera voluntaria y acepta que a través de cualquier trámite, por los canales habilitados para ello por EXPRESO BRASILIA S.A., puedan recogerse datos personales, los cuales no se cederán a terceros sin su consentimiento, salvo que se trate, conforme a la ley, de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; en casos de urgencia médica; para fines históricos, estadísticos. Adicionalmente, cuando se requieran para permitir el cabal cumplimiento del objeto social de EXPRESO BRASILIA S.A. haciendo uso de servicios ofrecidos a través de convenios de colaboración.
Al facilitar datos de carácter personal, el USUARIO acepta plenamente la remisión de información promocional o comercial, relacionados con EXPRESO BRASILIA S.A.
EXPRESO BRASILIA S.A.se sujeta plenamente a las directrices de la Ley, así como a sus reglamentos y políticas internas, por lo cual tratará con extrema diligencia la información personal y dará el mejor uso posible a la información recaudada por medios físicos o electrónicos que integrarán sus bases de datos o cualquier clase de repositorio digital. Sin detrimento de los derechos constitucionales y las disposiciones legales y reglamentarias, EXPRESO BRASILIA S.A. se reserva el derecho de modificar en cualquier momento su política de uso y tratamiento de información personal, privacidad y confidencialidad de la información existente en las bases de datos de EXPRESO BRASILIA S.A, e informando, cuando se trate de cambios sustanciales, a todos los interesados a través de cualquier mecanismo de difusión dirigida o masiva no dirigida.
Los USUARIOS podrán ejercitar, en cualquier momento, los derechos de acceso, actualización, rectificación y supresión de sus datos personales, así como la revocación de la autorización otorgada a EXPRESO BRASILIA S.A. y ejercer cualquier otro derecho derivado o relacionado con la protección de datos personales (habeas data). Para ello se tendrán en cuenta las siguientes reglas:

El Analista Gestor del Riesgo será el encargado de la recepción de peticiones, consultas y reclamos por medio del cual el titular de la información puede ejercer sus derechos, lo anterior a través del formato de adhesión supresión o corrección de datos.
El área encargada de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos es el Coordinador de Servicio al Cliente.
En caso que el Usuario tenga habilitado un correo asignado por EXPRESO BRASILIA S.A la respuesta a la solicitud se enviará a dicho correo electrónico.
El ejercicio de estos derechos podrá efectuarse mediante el diligenciamiento del formulario en la página web de EXPRESO BRASILIA S.A. en la consulta PQR información personal o de manera personal en cualquiera de las agencias o puntos de ventas en el país. La respuesta a toda solicitud relacionada con acceso, actualización, rectificación y supresión de sus datos personales, así como la revocación de la autorización otorgada a EXPRESO BRASILIA S.A. o el ejercicio de cualquier otro derecho derivado o relacionado con la protección de datos personales (habeas data) se dará en el término de diez (10) días hábiles.

Para cumplir con esta misión, la institución cuenta con un sistema de prevención de intrusos, una solución para gestión de vulnerabilidades técnicas, una solución para protección de código malicioso, planes de contingencia para los productos críticos y procedimientos para gestión de incidentes de seguridad. Además, se tienen implementados mecanismos de seguridad para el acceso a las bases de datos, el cual es restringido y está definido de acuerdo con políticas institucionales, y es monitoreado y revisado periódicamente. En ese sentido, EXPRESO BRASILIA S.A. ha implementado mecanismos que proporcionan seguridad a la información recaudada y dispone sus mejores esfuerzos para procurar de manera diligente y prudente el mantenimiento de tal seguridad; no obstante, el USUARIO reconoce que la administración de las bases de datos puede implicar un nivel de riesgo, el cual asume y acepta y, por consiguiente, EXPRESO BRASILIA S.A. no otorga ninguna garantía ni asume ninguna obligación o responsabilidad por pérdida o sustracción de información de su sistema informático.

Todas y cada una de las personas que administran, manejen, actualicen o tengan acceso a informaciones de cualquier tipo que se encuentre en Bases de Datos de EXPRESO BRASILIA S.A., o cualquier clase de repositorios electrónicos, se comprometen a conservarla y mantenerla de manera estrictamente confidencial y no revelarla a terceros.

Esta obligación cobija todas las informaciones personales, contables, técnicas, comerciales o de cualquier otro tipo, suministradas en la ejecución y ejercicio de sus funciones, incluyendo de manera enunciativa y no taxativa las fórmulas, procedimientos, técnicas, know – how y demás informaciones en general a que puedan tener acceso.

CAPITULO IX PROCEDIMIENTO DE CONSULTAS Y RECLAMOS DE DATOS PERSONALES

Objetivo: Establecer las actividades necesarias para atender las consultas o reclamos del tratamiento de datos personales de los Titulares que registren la base de datos de Expreso Brasilia S.A.

Alcance: Inicia desde el envío de la solicitud del Titular y finaliza con la respuesta por parte del Encargado del tratamiento incluyendo la toma de acciones correctivas o preventivas.

PASO	ACTIVIDAD	RESPONSABLE	ACTIVIDADES COMPLEMENTARIAS Y SOPORTES
CONSULTAS
1.	Enviar solicitud de consulta por medio de correo electrónico, agencias u oficina principal. La solicitud debe contener información de contacto tal como teléfono, dirección, correo electrónico, además de fecha de solicitud. En caso de causahabiente debe presentar documento autenticado en donde notifique la autorización.	Titular	Ver formato: Reclamación y Consulta El correo electrónico para realizar la solicitud es: contactenos@expresobrasilia.com.co. el horario de recibo de solicitud es de lunes a viernes, 8:00 a.m.-5:45 p.m.
2.	Recepcionar consulta.	Director/Auxiliares/ Analista Gestor del Riesgo/	En caso de recepcionar la solicitud en agencias, esta deberá remitirla a la Oficina Principal para darle respuesta.
3.	Tramitar solicitud con los Responsables de la base de datos implicada.	Analista Gestor del Riesgo/ Lideres de área	El encargado del tratamiento en conjunto con el Responsable del tratamiento tramitara la consulta de acuerdo a lo solicitado.
4.	Dar respuesta al Titular o Causahabiente de la información solicitada.	Analista Gestor del Riesgo	Las solicitudes de consulta deben ser atendidas en un plazo de 10 días hábiles contados a la fecha de recibo, en caso de no ser posible responder dentro del plazo, se debe notificar al Titular la razón que imposibilita y deberá responder en un plazo máximo de (5) cinco días hábiles siguientes a la fecha de vencimiento.
5.	Tomar acciones correctivas o preventivas de acuerdo a los hechos encontrados.	Analista Gestor del Riesgo/ Lideres de área	Ver procedimiento: Acciones correctivas, preventivas y de mejora
RECLAMOS
6.	Realizar solicitud de reclamo. La solicitud debe contener información de contacto tal como teléfono, dirección, correo electrónico, además de fecha de solicitud. En caso de causahabiente debe presentar documento autenticado en donde notifique la autorización.	Titular	Ver formato: Reclamación y Consulta Esta solicitud se realizará por objeto de corrección, actualización o supresión de datos personales.
7.	Recepcionar solicitud de reclamo.	Director/ Auxiliares/ Analista Gestor del Riesgo	En caso de no cumplir con los requisitos del reclamo, se responderá dentro de los 5 días siguientes recibido el reclamo para que subsanen las fallas. El término máximo para atender el reclamo será de 15 días hábiles siguientes a la fecha de recibo.
8.	Realizar corrección, actualización o supresión de datos personales, de acuerdo a la solicitud.	Analista Gestor del Riesgo/ Lideres de área	Se validará con el Responsable de cada área la acción de acuerdo a la solicitud.
9.	Dar respuesta al Titular o Causahabiente de la acción solicitada.	Analista Gestor del Riesgo	No Aplica
10.	Tomar acciones correctivas o preventivas de acuerdo a los hechos encontrados.	Analista Gestor del Riesgo/ Lideres de área	Ver procedimiento: Acciones correctivas, preventivas y de mejora