Manual de Políticas de Privacidad y Tratamiento de Datos Personales

Capítulo 1. Generalidades

1.1. Objeto

El presente Manual establece las políticas, lineamientos y procedimientos que Trébol Servicios Digitales S.A.S. (en adelante, «la Compañía» o «Trébol»), NIT 902.030.467-6, domiciliada en Carrera 4 N.° 70BN-15, Villa del Norte, Popayán, Cauca, Colombia, observa para el tratamiento de datos personales de sus clientes, empleados, contratistas, proveedores y cualquier otro titular con el que se relacione, en estricto cumplimiento del régimen constitucional y legal de protección de datos personales en Colombia.

1.2. Responsable del tratamiento

1.3. Ámbito de aplicación

Este Manual se aplica a toda base de datos o archivo, físico o automatizado, que contenga datos personales y sea objeto de tratamiento por parte de Trébol, en calidad de Responsable o Encargado del tratamiento, en el territorio colombiano o cuando al Responsable o al Encargado les resulte aplicable la legislación colombiana en virtud de normas y tratados internacionales.

1.4. Marco normativo

• Constitución Política de Colombia, artículo 15 (derecho a la intimidad y habeas data).
• Ley 1266 de 2008, por la cual se dictan disposiciones generales del habeas data en materia financiera, crediticia, comercial, de servicios y la proveniente de terceros países.
• Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013, por el cual se reglamenta parcialmente la Ley 1581 de 2012 (compilado en el Decreto Único Reglamentario 1074 de 2015).
• Decreto 1074 de 2015 — Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, Título 2 de la Parte 2 del Libro 2, en lo correspondiente a protección de datos personales.
• Decreto 090 de 2018, que modifica disposiciones del Decreto 1074 de 2015 en cuanto al Registro Nacional de Bases de Datos (RNBD).
• Circulares y conceptos de la Superintendencia de Industria y Comercio (SIC), en particular las circulares externas que desarrollan el RNBD y los deberes del Responsable.

Capítulo 2. Definiciones

2.1. Dato personal

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

2.2. Dato sensible

Aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales, datos de salud, de vida sexual y datos biométricos, entre otros.

2.3. Tratamiento

Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación, transmisión, transferencia o supresión.

2.4. Titular

Persona natural cuyos datos personales son objeto de tratamiento.

2.5. Responsable del tratamiento

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos. En lo relativo a sus clientes, empleados, proveedores y aliados, Trébol actúa como responsable del tratamiento.

2.6. Encargado del tratamiento

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable.

2.7. Transferencia y transmisión

La transferencia es el envío de datos a un responsable ubicado dentro o fuera del territorio nacional. La transmisión es el envío a un Encargado para que, por cuenta del responsable, realice el tratamiento en los términos del contrato de transmisión.

2.8. Aviso de privacidad

Comunicación verbal o escrita generada por el responsable, dirigida al Titular, en la que se le informa sobre la existencia de las políticas de tratamiento que le serán aplicables, la forma de acceder a ellas y las características del tratamiento.

Capítulo 3. Principios Rectores

El tratamiento de datos personales por parte de Trébol se rige por los principios establecidos en el artículo 4 de la Ley 1581 de 2012, a saber:

• Legalidad. El tratamiento se sujeta a las disposiciones legales vigentes.
• Finalidad. El tratamiento obedece a finalidades legítimas, específicas y explícitas, informadas al Titular.
• Libertad. El tratamiento solo se realiza con el consentimiento previo, expreso e informado del Titular, salvo las excepciones legales.
• Veracidad o calidad. La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia. El Titular tiene derecho a obtener del responsable o del Encargado, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
• Acceso y circulación restringida. El tratamiento se sujeta a los límites derivados de la naturaleza de los datos; los datos no pueden estar disponibles en internet o en otros medios de divulgación masiva salvo que el acceso sea técnicamente controlable.
• Seguridad. La información sujeta a tratamiento se maneja con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Confidencialidad. Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con la Compañía.

Capítulo 4. Finalidades del Tratamiento

Trébol trata datos personales para las finalidades que se listan a continuación. Las finalidades se informan al Titular en el momento de la recolección y requieren su autorización previa, expresa e informada, salvo las excepciones legales:

4.1. Clientes y usuarios

• Identificar, contactar y vincular al cliente como usuario de los servicios de intermediación en la comercialización de activos virtuales y de los demás servicios ofrecidos por Trébol.
• Cumplir las obligaciones de conocimiento del cliente (KYC), debida diligencia, segmentación de riesgo y monitoreo transaccional exigidas por el SAGRILAFT y por la Resolución 314 de 2021 de la UIAF.
• Realizar consultas y cruces con listas vinculantes (ONU, OFAC) y con bases de datos públicas (Procuraduría, Contraloría, Policía, Rama Judicial, Registro Nacional de Medidas Correctivas), así como con centrales de información crediticia en los términos de la Ley 1266 de 2008.
• Verificar la titularidad de cuentas bancarias y la coincidencia titular-plataforma-cuenta, conforme a la política de prohibición de pagos de terceros.
• Cumplir las obligaciones en materia tributaria, contable y de información ante la DIAN y demás autoridades.
• Responder solicitudes, peticiones, quejas y reclamos (PQR).
• Enviar información sobre productos, servicios, promociones, novedades y actualizaciones, cuando el Titular así lo haya autorizado.
• Gestionar la facturación, el cobro, la compensación y la liquidación de las operaciones.

4.2. Empleados y aspirantes

• Adelantar procesos de selección, contratación y administración del vínculo laboral.
• Cumplir obligaciones laborales, de seguridad social, parafiscales y tributarias.
• Realizar debida diligencia en el marco del SAGRILAFT (conocimiento del empleado).

4.3. Proveedores y aliados comerciales

• Gestionar la relación contractual.
• Realizar debida diligencia en el marco del SAGRILAFT (conocimiento del proveedor).
• Cumplir obligaciones de facturación, pago y reporte tributario.

Capítulo 5. Tratamiento de Datos Sensibles y de Menores

5.1. Datos sensibles

Trébol solicita datos sensibles únicamente cuando resultan estrictamente necesarios para cumplir con el objeto del tratamiento o con obligaciones legales específicas. En particular, se tratan datos biométricos (fotografía del documento de identidad, selfie con documento, reconocimiento facial cuando aplique) con la única finalidad de validar la identidad del Titular en el marco del KYC y de prevenir la suplantación.

5.2. Datos de menores de edad

Trébol no vincula ni presta servicios a menores de edad. En consecuencia, no recolecta ni trata datos personales de menores. En caso de detectarse la vinculación fraudulenta de un menor, se procederá a la terminación inmediata de la relación, a la devolución de los fondos al ordenante y a la supresión de los datos, salvo los estrictamente necesarios para cumplir obligaciones legales residuales.

Capítulo 6. Derechos del Titular

Conforme al artículo 8 de la Ley 1581 de 2012, el Titular tiene los siguientes derechos:

• Conocer, actualizar y rectificar sus datos personales frente a Trébol como responsable, o frente a los Encargados del tratamiento.
• Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el tratamiento.
• Ser informado, previa solicitud, respecto del uso que se le ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la normativa de protección de datos.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, salvo que exista un deber legal o contractual de permanecer en la base de datos.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Capítulo 7. Procedimiento de Atención de Consultas, Reclamos y Revocatorias

7.1. Canal oficial

El Titular puede ejercer sus derechos a través del correo electrónico trebolserviciosdigitales@gmail.com o por escrito radicado en el domicilio de la Compañía. El área responsable de la atención es la Oficialía de Cumplimiento y Protección de Datos.

7.2. Consultas

Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de su recepción. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

7.3. Reclamos

Los reclamos serán atendidos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

7.4. Requisitos mínimos del reclamo

• Identificación del Titular.
• Descripción clara de los hechos que dan lugar al reclamo.
• Dirección y medio de contacto.
• Documentos de soporte que pretenda hacer valer.

7.5. Requisito de procedibilidad

Conforme al artículo 16 de la Ley 1581 de 2012, el Titular o causahabiente solo podrá elevar queja ante la SIC una vez haya agotado el trámite de consulta o reclamo ante el responsable o el Encargado.

Capítulo 8. Autorización y Aviso de Privacidad

8.1. Autorización

La autorización para el tratamiento se obtiene antes o en el momento de la recolección de los datos, mediante cualquier medio que pueda ser objeto de consulta posterior (formato digital con trazabilidad, formato físico firmado, marcado en casilla con registro técnico, o conducta inequívoca del Titular en los términos de la normativa). La autorización debe ser previa, expresa, informada y voluntaria.

8.2. Contenido de la autorización

La autorización otorgada por el Titular incluye, como mínimo: (i) identificación del responsable; (ii) finalidades del tratamiento; (iii) derechos del Titular; (iv) carácter facultativo de responder a preguntas sobre datos sensibles o de menores; (v) mecanismo y canal para ejercer los derechos.

8.3. Aviso de privacidad

El Aviso de Privacidad se pone a disposición de los Titulares en el sitio web de la Compañía y en los formatos de vinculación. Contiene los elementos exigidos por el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015.

Capítulo 9. Medidas de Seguridad

9.1. Enfoque integral

La Compañía adopta medidas técnicas, humanas y administrativas razonables para garantizar la seguridad de los datos personales y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

9.2. Medidas técnicas

• Cifrado en reposo y en tránsito de bases de datos con información personal.
• Controles de acceso basados en roles, con autenticación de doble factor para accesos privilegiados.
• Segmentación de ambientes (desarrollo, pruebas, producción).
• Copias de respaldo con pruebas periódicas de restauración.
• Registro de auditoría (logs) de los accesos y operaciones sobre datos personales.
• Monitoreo de eventos de seguridad y gestión de incidentes.

9.3. Medidas humanas y administrativas

• Acuerdos de confidencialidad suscritos por todos los empleados y contratistas con acceso a datos personales.
• Capacitación periódica en protección de datos.
• Principio de necesidad de conocer (need-to-know) para la asignación de permisos.
• Política de escritorio y pantalla limpios.
• Procedimiento formal de gestión de incidentes con obligación de notificar a la SIC y a los Titulares afectados en los términos del artículo 17 literal n) de la Ley 1581 de 2012.

Capítulo 10. Transferencias, Transmisiones y Encargados

Cuando Trébol transfiera datos personales a un tercer responsable o los transmita a un Encargado, suscribirá los instrumentos jurídicos necesarios para garantizar el cumplimiento de la Ley 1581 de 2012. En el caso de transmisiones internacionales, se verificará que el país destinatario ofrezca niveles adecuados de protección conforme a la Circular Externa 005 de 2017 de la SIC y sus actualizaciones, o se adoptarán las cláusulas contractuales tipo u otros mecanismos equivalentes.

Dado que la operación de la Compañía involucra plataformas internacionales de mercado secundario para la intermediación en la comercialización de activos virtuales, los Titulares son informados en el aviso de privacidad y en la autorización de que su información podrá ser transmitida a dichas plataformas en la medida estrictamente necesaria para ejecutar la operación.

Capítulo 11. Registro Nacional de Bases de Datos (RNBD)

La Compañía inscribe sus bases de datos que contengan datos personales en el Registro Nacional de Bases de Datos administrado por la Superintendencia de Industria y Comercio, en los términos del Decreto 090 de 2018 y las circulares que lo desarrollen, cuando le resulte aplicable por los umbrales normativos vigentes. La inscripción y su actualización son responsabilidad del Oficial de Cumplimiento y Protección de Datos.

Capítulo 12. Vigencia y Conservación

Este Manual entra en vigor desde la fecha de su adopción por el Representante Legal y permanece vigente mientras Trébol desarrolle actividades que impliquen tratamiento de datos personales. La información personal se conserva por los tiempos estrictamente necesarios para cumplir las finalidades descritas y las obligaciones legales, incluida la conservación decenal exigida por el SAGRILAFT. Una vez cumplidos estos términos, los datos se suprimen o anonimizan.