Política de Tratamiento de Datos Personales

1. Objetivo general

Establecer los lineamientos para el tratamiento de los datos personales que Netaccess S.A.S. recolecta, almacena, usa, circula o suprime, en su calidad de Responsable o de Encargado del tratamiento, con el fin de garantizar los derechos de los titulares y preservar la confidencialidad, integridad y disponibilidad de dicha información, conforme a la legislación colombiana de protección de datos personales y al Sistema de Gestión de Seguridad de la Información (SGSI).

2. Propósito

Asegurar que el tratamiento de los datos personales se realice de forma lícita, informada y segura, mediante controles técnicos y organizacionales proporcionales al riesgo, integrados a la gestión de riesgos del SGSI, que permitan cumplir el régimen colombiano de protección de datos personales y el control A.5.34 de ISO/IEC 27001:2022, y demostrar dicho cumplimiento ante los titulares, los clientes y la autoridad de control.

3. Alcance

Esta política aplica a los procesos y actividades comprendidos en el alcance del SGSI de Netaccess S.A.S. y a las bases de datos y archivos, físicos o digitales, que contengan datos personales tratados por la organización como Responsable (colaboradores, aspirantes, clientes, proveedores, contratistas y visitantes) o como Encargado, por cuenta de sus clientes, en la prestación de soluciones de ciberseguridad, arquitectura e implementación de redes seguras y servicios administrados de TI. Aplica a colaboradores, contratistas, proveedores y demás terceros que traten datos personales en nombre de Netaccess S.A.S., incluso en modalidad de trabajo remoto.

4. Declaración de la política

Netaccess S.A.S. se compromete a tratar los datos personales con respeto de los derechos de sus titulares y conforme a los siguientes lineamientos:

4.1 Identificación del Responsable. Netaccess S.A.S., NIT 901.159.165-9, con domicilio en la Calle 104 # 14A-45, Bogotá D.C., Colombia. Correo electrónico de atención a titulares: [email protected]. Teléfono: +57 315 456 6115.

4.2 Principios. El tratamiento se regirá por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad establecidos en el artículo 4 de la Ley 1581 de 2012.

4.3 Calidad en que actúa Netaccess S.A.S. La organización actúa como Responsable del tratamiento respecto de los datos de sus colaboradores, aspirantes, clientes, proveedores, contratistas y visitantes, y como Encargado del tratamiento respecto de los datos personales contenidos en los sistemas, plataformas e infraestructura de sus clientes a los que accede para la prestación de sus servicios (A.5.34).

4.4 Finalidades del tratamiento. Los datos personales se tratarán exclusivamente para las finalidades informadas al titular, que se resumen en la siguiente tabla. Toda nueva finalidad requerirá autorización previa del titular.

4.5 Autorización. El tratamiento requerirá la autorización previa, expresa e informada del titular, obtenida por cualquier medio que permita su consulta posterior, salvo en los casos exceptuados por el artículo 10 de la Ley 1581 de 2012. Al solicitarla se informará al titular el tratamiento y su finalidad, sus derechos, el carácter facultativo de las respuestas sobre datos sensibles o de menores de edad y los canales de atención. La evidencia de la autorización se conservará mientras se realice el tratamiento.

4.6 Datos sensibles y de niños, niñas y adolescentes. Los datos sensibles, como los relativos a la salud o los datos biométricos, solo se tratarán cuando sean necesarios para la finalidad informada y con autorización explícita del titular, quien no estará obligado a otorgarla. Los datos de niños, niñas y adolescentes, como los de beneficiarios de colaboradores, se tratarán únicamente con autorización de su representante legal y respetando su interés superior y sus derechos fundamentales.

4.7 Derechos de los titulares. Los titulares podrán conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informados sobre el uso dado a sus datos; revocar la autorización o solicitar la supresión cuando no exista un deber legal o contractual de permanecer en la base de datos; acceder gratuitamente a sus datos, y presentar quejas ante la Superintendencia de Industria y Comercio (SIC) una vez agotado el trámite de consulta o reclamo ante Netaccess S.A.S. (artículo 8 de la Ley 1581 de 2012).

4.8 Atención de consultas y reclamos. Las consultas y reclamos se recibirán a través del correo electrónico [email protected] o por escrito en el domicilio de Netaccess S.A.S., y serán atendidos por el Oficial de protección de datos personales, previa verificación de la identidad del solicitante. Las consultas se responderán en un plazo máximo de diez (10) días hábiles, prorrogable hasta por cinco (5) días hábiles, y los reclamos en un plazo máximo de quince (15) días hábiles, prorrogable hasta por ocho (8) días hábiles, informando al titular los motivos de la prórroga (artículos 14 y 15 de la Ley 1581 de 2012). El reclamo deberá contener la identificación del titular, la descripción de los hechos, la dirección de notificación y los documentos que se quieran hacer valer.

4.9 Medidas de seguridad. Los datos personales se clasificarán como mínimo como información Confidencial, conforme al Esquema de clasificación de la información (SIG-MT-01), y las bases de datos se registrarán en la Matriz de gestión de activos de información (SGSI-MT-04). Su protección incluirá control de acceso según la necesidad de saber, cifrado en reposo y en tránsito, enmascaramiento cuando no se requiera el dato completo, prevención de fuga de datos y copias de seguridad, de acuerdo con las políticas y procedimientos relacionados (A.5.12, A.5.15, A.8.11, A.8.12, A.8.13, A.8.24). Los datos sensibles contarán con controles reforzados de acceso y cifrado.

4.10 Datos personales de clientes. Cuando Netaccess S.A.S. actúe como Encargado, los contratos con el cliente definirán las instrucciones de tratamiento, las medidas de seguridad y la notificación de incidentes. La organización tratará los datos únicamente conforme a dichas instrucciones, no los usará para fines propios ni los extraerá de los sistemas del cliente sin autorización, limitará el acceso al personal asignado al servicio con acuerdo de confidencialidad vigente y, al terminar el servicio, devolverá o eliminará de forma segura la información, según lo acordado (A.5.34, A.6.6, A.8.10).

4.11 Transmisión y transferencia de datos. La transmisión de datos a proveedores que actúen como Encargados, incluidos los servicios en la nube, requerirá contrato o cláusulas que establezcan sus obligaciones de seguridad y confidencialidad, conforme al Formato SGSI-F-01. La transferencia internacional de datos solo se realizará hacia países que proporcionen niveles adecuados de protección o en los demás casos permitidos por el artículo 26 de la Ley 1581 de 2012 (A.5.14, A.5.19, A.5.20, A.5.23).

4.12 Conservación y supresión. Los datos personales se conservarán solo durante el tiempo necesario para cumplir las finalidades informadas y las obligaciones legales o contractuales aplicables, conforme al Procedimiento de protección, respaldo y retención de registros y a la Política de gestión del ciclo de vida de la información. Cumplido dicho plazo, se suprimirán de forma segura conforme al Procedimiento de eliminación segura de información (A.5.33, A.8.10).

4.13 Incidentes que afecten datos personales. Todo evento o incidente que comprometa datos personales se reportará y gestionará conforme al Procedimiento de gestión de eventos e incidentes de seguridad y al Plan de respuesta a incidentes. Cuando se presenten violaciones a los códigos de seguridad o riesgos en la administración de la información de los titulares, el Oficial de protección de datos personales informará a la SIC dentro de los quince (15) días hábiles siguientes a su detección, conforme a las instrucciones de dicha autoridad. Cuando Netaccess S.A.S. actúe como Encargado, notificará al cliente sin demora y en los términos pactados (A.5.24, A.5.26).

4.14 Registro Nacional de Bases de Datos. Netaccess S.A.S. inscribirá y mantendrá actualizadas sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) administrado por la SIC, cuando esté obligada a ello conforme a la normativa vigente.

4.15 Vigencia. Esta política rige a partir del 18 de febrero de 2026. Las bases de datos permanecerán vigentes durante el tiempo necesario para cumplir las finalidades del tratamiento, conforme al numeral 4.12.

4.16 Incumplimiento. El incumplimiento de esta política será tratado conforme al Procedimiento disciplinario GA/TH-PR-02 (A.6.4).

5. Roles y responsabilidades

6. Términos y definiciones aplicables

7. Revisión y actualización

El documento será revisado por el CISO como mínimo una vez al año, o antes cuando ocurran cambios normativos o instrucciones de la Superintendencia de Industria y Comercio, cambios organizacionales o en los resultados de la evaluación de riesgos, incidentes que afecten datos personales, o hallazgos de auditoría interna o externa, o de revisión por la dirección.

8. Documentos relacionados

9. Referencias normativas

• Constitución Política de Colombia, artículo 15.
• Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012, compilado en el Decreto Único Reglamentario 1074 de 2015.
• Ley 1273 de 2009, por medio de la cual se crea el bien jurídico de la protección de la información y de los datos.
• ISO/IEC 27001:2022, Anexo A, control A.5.34.
• ISO/IEC 27002:2022, orientación para la implementación del control de privacidad y protección de la PII.

10. Control de cambios y versiones

Clasificación: Pública. Documento controlado; toda copia impresa o descargada se considera copia no controlada.

Anexo. Datos que recoge este sitio web

Este anexo no forma parte del documento controlado SGSI-PL-05. Explica cómo se aplica la política en www.netaccess.com.co.

Formularios

El sitio no tiene una base de datos propia de visitantes: lo que envías por un formulario llega como correo electrónico al buzón del área que lo atiende.

Autorización y su evidencia

En cada formulario la autorización se da marcando una casilla que nunca está marcada por defecto; sin ella el formulario no se envía. La autorización para recibir información comercial es una casilla separada y opcional. Como evidencia de la autorización (numeral 4.5), el correo que recibimos incluye la fecha y hora, el formulario usado, la versión de esta política y la dirección IP de origen.

Datos técnicos y cookies

Por seguridad, el sitio y su proveedor de seguridad web registran datos técnicos de cada visita, como la dirección IP, el navegador y la fecha y hora. Se usan para proteger el sitio contra ataques y abusos, por ejemplo para limitar los envíos repetidos de formularios, y no para identificarte ni elaborar perfiles. Las cookies se explican en la Política de cookies.

Portal de colaboradores

El área privada del sitio solo la usa el personal de NETACCESS, que inicia sesión con su cuenta corporativa. Para mantener la sesión se tratan su nombre, correo e identificador de cuenta.

Canal en línea

Además del correo y del domicilio indicados en el numeral 4.8, puedes presentar tus consultas y reclamos desde Mis datos personales.