Política de Protección de Datos Personales

Introducción

MAPURA GRUPO CONSULTOR S.A.S., en adelante "MAPURA", reconoce la protección de los datos personales como una manifestación del derecho fundamental al hábeas data, a la intimidad, al buen nombre y a la autodeterminación informativa.

En desarrollo de sus actividades profesionales, jurídicas, empresariales y de consultoría, MAPURA puede recolectar, almacenar, organizar, consultar, utilizar, circular, transmitir, transferir, actualizar, conservar, archivar y, cuando corresponda, suprimir información relacionada con personas naturales.

Por la naturaleza de sus servicios, MAPURA puede acceder adicionalmente a información sometida a especiales deberes de reserva, confidencialidad o secreto profesional, incluyendo información incorporada en expedientes judiciales, administrativos, arbitrales, conciliatorios y de insolvencia; documentos contractuales y societarios; información financiera, patrimonial, laboral y comercial; información relativa a litigios, controversias y negociaciones; documentos de identificación; datos de terceros relacionados con los asuntos confiados por los clientes; y, excepcionalmente, datos sensibles y datos de niños, niñas y adolescentes.

En consecuencia, MAPURA adopta el presente Manual Integral de Políticas y Procedimientos para el Tratamiento y Protección de Datos Personales, como instrumento de obligatorio cumplimiento para sus administradores, abogados, trabajadores, contratistas, consultores, practicantes y demás personas que intervengan en el Tratamiento de Datos Personales bajo su responsabilidad o por su cuenta.

Este Manual incorpora criterios de privacidad desde el diseño y por defecto, responsabilidad demostrada, gestión de riesgos, minimización de datos y seguridad de la información, procurando que la protección de los Datos Personales sea transversal a las actividades desarrolladas por MAPURA.

CAPÍTULO I — Disposiciones Generales

ARTÍCULO 1. IDENTIFICACIÓN DEL RESPONSABLE: Para efectos del Régimen General de Protección de Datos Personales, cuando MAPURA determine las finalidades y los medios esenciales del Tratamiento tendrá la calidad de Responsable del Tratamiento.

Razón social: MAPURA GRUPO CONSULTOR S.A.S.
NIT: 901.683.280-4
Domicilio: Palmira, Valle del Cauca, Colombia
Dirección: Calle 62 No. 25ª-28
Celular: (+57) – 310 653 7502
Plataforma electrónica: https://www.grupomapura.co
Correo electrónico para asuntos de protección de datos: [email protected]

Sin perjuicio de lo anterior, MAPURA podrá actuar como Encargado del Tratamiento cuando realice operaciones sobre Datos Personales por cuenta de un tercero que determine las finalidades esenciales del Tratamiento.

ARTÍCULO 2. OBJETO: El presente Manual tiene por objeto establecer las políticas, principios, responsabilidades, procedimientos y controles que deberán observarse en MAPURA para garantizar el adecuado Tratamiento y protección de los Datos Personales. Particularmente, busca:

1. Garantizar el ejercicio efectivo del derecho fundamental al hábeas data.
2. Establecer reglas para la recolección, almacenamiento, uso, circulación, actualización, transmisión, transferencia, conservación y supresión de Datos Personales.
3. Definir los procedimientos para atender consultas, reclamos y solicitudes de los Titulares.
4. Establecer responsabilidades internas relacionadas con la protección de Datos Personales.
5. Incorporar mecanismos de responsabilidad demostrada.
6. Gestionar los riesgos asociados al Tratamiento de Datos Personales.
7. Establecer medidas especiales frente a información confidencial, sensible o sometida a reserva.
8. Regular el Tratamiento realizado mediante proveedores, plataformas tecnológicas, servicios en la nube y herramientas de inteligencia artificial.
9. Establecer mecanismos para prevenir, identificar, gestionar, documentar y reportar incidentes de seguridad.
10. Garantizar que la información confiada a MAPURA con ocasión de sus servicios profesionales sea tratada respetando simultáneamente el régimen de protección de Datos Personales y los deberes de secreto profesional, confidencialidad y reserva que resulten aplicables.

ARTÍCULO 3. ÁMBITO DE APLICACIÓN: Este Manual será aplicable a las Bases de Datos, archivos, repositorios, sistemas de información, expedientes físicos o electrónicos y demás conjuntos organizados de Datos Personales cuyo Tratamiento sea realizado por MAPURA en calidad de Responsable o, en lo pertinente, de Encargado.

Será obligatorio para:

• Administradores y representantes legales.
• Trabajadores.
• Abogados.
• Consultores.
• Contratistas.
• Practicantes.
• Proveedores que tengan acceso a Datos Personales.
• Personal temporal.
• Terceros que actúen por cuenta de MAPURA.

Sus disposiciones serán aplicables independientemente del soporte físico, digital, audiovisual, electrónico, magnético o tecnológico en el cual se encuentre la información.

ARTÍCULO 4. MARCO NORMATIVO: El presente Manual se interpretará de conformidad, entre otras, con las siguientes disposiciones y aquellas que las modifiquen, adicionen, sustituyan o reglamenten:

1. Artículos 15 y 20 de la Constitución Política de Colombia.
2. Ley Estatutaria 1581 de 2012.
3. Decreto 1074 de 2015, especialmente las disposiciones reglamentarias del Régimen General de Protección de Datos Personales.
4. Ley 1266 de 2008, cuando resulte aplicable al Tratamiento de información financiera, crediticia, comercial y de servicios.
5. Ley 2157 de 2021, en lo pertinente.
6. Decreto 255 de 2022, en cuanto resulte aplicable.
7. Instrucciones, circulares, guías y demás disposiciones impartidas por la Superintendencia de Industria y Comercio en ejercicio de sus competencias.
8. Las demás normas especiales que regulen información sometida a reserva, secreto profesional, conservación documental o confidencialidad y que sean aplicables a las actividades desarrolladas por MAPURA.

CAPÍTULO II — Definiciones

ARTÍCULO 5. DEFINICIONES: Para efectos del presente Manual se adoptarán, entre otras, las siguientes definiciones:

Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus Datos Personales, salvo las excepciones legales.
Aviso de Privacidad: comunicación mediante la cual se informa al Titular acerca de la existencia de las políticas de Tratamiento, la forma de acceder a ellas y las finalidades correspondientes.
Base de Datos: conjunto organizado de Datos Personales objeto de Tratamiento.
Dato Personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato Público: aquel que por su naturaleza o por disposición legal tiene dicha condición.
Dato Semiprivado: aquel que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento o divulgación puede interesar no solo a su Titular sino a determinado sector o grupo de personas.
Dato Privado: aquel que por su naturaleza íntima o reservada solo es relevante para su Titular.
Dato Sensible: información que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, incluyendo, entre otros, datos relativos a salud, vida sexual, origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia sindical y datos biométricos.
Dato Biométrico: dato derivado de características físicas, fisiológicas o conductuales que permita o contribuya a identificar de manera única a una persona.
Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento de Datos Personales por cuenta del Responsable.
Responsable del Tratamiento: persona natural o jurídica que decide sobre la Base de Datos y/o el Tratamiento.
Titular: persona natural cuyos Datos Personales sean objeto de Tratamiento.
Tratamiento: cualquier operación o conjunto de operaciones sobre Datos Personales, incluyendo recolección, almacenamiento, organización, consulta, utilización, circulación, actualización, transmisión, transferencia, conservación o supresión.
Transferencia: envío de Datos Personales a un receptor que adquiere la condición de Responsable respecto de dicha información, ubicado en Colombia o en otro país.
Transmisión: comunicación de Datos Personales a un Encargado para que realice Tratamiento por cuenta del Responsable, dentro o fuera de Colombia.
Incidente de Seguridad: evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de Datos Personales, incluyendo pérdida, destrucción, alteración, divulgación, consulta, utilización o acceso no autorizado.
Responsabilidad Demostrada: capacidad de MAPURA para adoptar medidas apropiadas, efectivas y verificables que permitan evidenciar el cumplimiento de sus obligaciones en materia de protección de Datos Personales.

CAPÍTULO III — Principios Rectores

ARTÍCULO 6. PRINCIPIOS: MAPURA aplicará los siguientes principios en todas las actividades de Tratamiento:

Legalidad: el Tratamiento se realizará con sujeción a la Constitución, la ley y demás disposiciones aplicables.
Finalidad: todo Tratamiento deberá obedecer a una finalidad legítima, específica e informada al Titular cuando corresponda.
Libertad: salvo excepción legal, el Tratamiento requerirá autorización previa, expresa e informada del Titular.
Veracidad o calidad: los Datos Personales deberán ser veraces, completos, exactos, actualizados, comprobables y comprensibles.
Transparencia: MAPURA garantizará al Titular la posibilidad de conocer la existencia y características esenciales del Tratamiento de sus Datos Personales.
Acceso y circulación restringida: los Datos Personales solo podrán ser accedidos por personas autorizadas y para las finalidades correspondientes.
Seguridad: MAPURA implementará medidas técnicas, humanas, contractuales y administrativas razonables para proteger la información.
Confidencialidad: quienes intervengan en el Tratamiento deberán preservar la reserva de la información incluso después de finalizada su relación con MAPURA.
Necesidad: solo deberán recolectarse y tratarse los Datos Personales razonablemente adecuados, pertinentes y necesarios para las finalidades correspondientes.
Temporalidad: la información será conservada durante el tiempo razonablemente necesario para cumplir las finalidades del Tratamiento y las obligaciones legales, contractuales, profesionales, probatorias y documentales aplicables.
Responsabilidad demostrada: MAPURA implementará medidas efectivas y verificables para acreditar el cumplimiento del régimen de protección de Datos Personales.
Privacidad desde el diseño y por defecto: los nuevos proyectos, procesos, servicios, herramientas y tecnologías que impliquen Tratamiento deberán considerar la protección de Datos Personales desde su diseño y durante su operación.

CAPÍTULO IV — Titulares, Información y Bases de Datos

ARTÍCULO 7. CATEGORÍAS DE TITULARES: MAPURA podrá tratar información correspondiente, entre otros, a:

1. Clientes actuales y anteriores.
2. Clientes potenciales y prospectos.
3. Representantes legales, administradores, accionistas, beneficiarios finales, trabajadores y demás personas vinculadas con clientes personas jurídicas.
4. Contrapartes y sus representantes.
5. Apoderados, abogados y asesores externos.
6. Partes e intervinientes en procedimientos judiciales, arbitrales, administrativos, conciliatorios o de insolvencia.
7. Acreedores y deudores.
8. Testigos.
9. Peritos y auxiliares de la justicia.
10. Funcionarios públicos y servidores judiciales.
11. Proveedores.
12. Contratistas y consultores.
13. Trabajadores y extrabajadores.
14. Aspirantes a cargos.
15. Practicantes.
16. Accionistas, administradores y miembros de órganos societarios.
17. Visitantes.
18. Usuarios de la página web.
19. Participantes en eventos, capacitaciones o actividades académicas.
20. Contactos profesionales y comerciales.
21. Personas cuyos datos se encuentren legítimamente contenidos en documentos o información entregada a MAPURA para la prestación de sus servicios.

ARTÍCULO 8. CATEGORÍAS DE INFORMACIÓN: según la naturaleza de cada relación, MAPURA podrá tratar:

• Datos de identificación.
• Datos de contacto.
• Datos profesionales.
• Información académica.
• Información laboral.
• Información contractual.
• Información societaria.
• Información comercial.
• Información financiera y patrimonial.
• Información tributaria.
• Información judicial y administrativa.
• Información relacionada con controversias.
• Información contenida en expedientes.
• Datos de navegación y utilización de canales digitales.
• Imagen, voz y grabaciones cuando resulte procedente.
• Datos sensibles cuando sean necesarios y jurídicamente procedentes.
• Información de niños, niñas y adolescentes cuando sea indispensable y jurídicamente procedente.
• Cualquier otra información necesaria para la adecuada prestación de los servicios o cumplimiento de obligaciones legales.

CAPÍTULO V — Finalidades del Tratamiento

ARTÍCULO 9. FINALIDADES GENERALES: MAPURA podrá tratar Datos Personales para:

1. Desarrollar su objeto social.
2. Prestar servicios jurídicos, empresariales, estratégicos, administrativos y de consultoría.
3. Gestionar relaciones precontractuales, contractuales y poscontractuales.
4. Elaborar propuestas y cotizaciones.
5. Realizar procedimientos de conocimiento y vinculación de clientes.
6. Verificar identidad, representación, capacidad y legitimación.
7. Administrar relaciones con clientes.
8. Facturar, recaudar y gestionar cartera.
9. Cumplir obligaciones legales, tributarias, contables y contractuales.
10. Gestionar proveedores y contratistas.
11. Administrar relaciones laborales.
12. Gestionar seguridad física y digital.
13. Atender solicitudes de autoridades.
14. Gestionar riesgos legales, operativos, reputacionales y de seguridad.
15. Atender consultas y reclamos de protección de datos.
16. Elaborar análisis, indicadores y estadísticas internas, preferiblemente mediante información agregada o anonimizada cuando resulte viable.
17. Realizar auditorías y controles internos.
18. Defender los derechos e intereses legítimos de MAPURA, sus clientes o terceros cuando jurídicamente corresponda.
19. Cumplir obligaciones de prevención de fraude, corrupción, lavado de activos, financiación del terrorismo u otros controles aplicables.
20. Mantener registros históricos, contractuales, probatorios y documentales.

ARTÍCULO 10. FINALIDADES PROPIAS DE LA PRESTACIÓN DE SERVICIOS JURÍDICOS: Considerando la naturaleza de MAPURA como firma prestadora de servicios jurídicos y de consultoría, los Datos Personales podrán tratarse para:

1. Analizar consultas y antecedentes jurídicos.
2. Determinar estrategias jurídicas y procesales.
3. Elaborar conceptos, contratos, memoriales, demandas, contestaciones, recursos, solicitudes, derechos de petición y demás documentos.
4. Representar judicial, administrativa, arbitral y extrajudicialmente a los clientes.
5. Gestionar procesos judiciales, administrativos, arbitrales, conciliatorios y de insolvencia.
6. Consultar expedientes, bases públicas, registros oficiales y fuentes legítimamente accesibles.
7. Presentar información ante jueces, tribunales, centros de arbitraje y conciliación, autoridades administrativas, notarías, cámaras de comercio y demás entidades competentes.
8. Comunicarse con partes, contrapartes, abogados, testigos, peritos, autoridades y demás intervinientes.
9. Recolectar, organizar, analizar, custodiar y presentar material probatorio.
10. Realizar investigaciones jurídicas y análisis de antecedentes.
11. Gestionar negociaciones, transacciones y mecanismos alternativos de solución de conflictos.
12. Cumplir deberes profesionales y éticos.
13. Administrar expedientes físicos y electrónicos.
14. Realizar controles de conflictos de interés.
15. Preservar evidencia necesaria para la defensa de derechos.
16. Cumplir obligaciones derivadas de encargos profesionales.

ARTÍCULO 11. DATOS DE TERCEROS CONTENIDOS EN EXPEDIENTES: MAPURA podrá recibir de sus clientes documentación que contenga Datos Personales de terceros. El acceso a dicha información no implica autorización para utilizarla con finalidades incompatibles con el asunto jurídico que justificó su recepción.

Los abogados y colaboradores deberán:

1. Limitar su utilización al asunto correspondiente.
2. Abstenerse de divulgarla injustificadamente.
3. Respetar las reservas legales aplicables.
4. Implementar controles razonables de acceso.
5. Abstenerse de utilizarla para fines personales o comerciales no autorizados.
6. Aplicar criterios de minimización al compartir documentos con terceros.

CAPÍTULO VI — Autorización y Legitimación del Tratamiento

ARTÍCULO 12. AUTORIZACIÓN: Cuando legalmente corresponda, MAPURA obtendrá autorización previa, expresa e informada del Titular mediante mecanismos que permitan su posterior consulta.

Podrá obtenerse mediante:

• Documento físico.
• Documento electrónico.
• Formularios digitales.
• Correo electrónico.
• Grabación.
• Mecanismos electrónicos de aceptación.
• Conductas inequívocas que permitan concluir razonablemente que se otorgó autorización, siempre que no se atribuya tal efecto al silencio.
• Cualquier mecanismo jurídicamente admisible que permita conservar prueba.

ARTÍCULO 13. CONTENIDO DE LA AUTORIZACIÓN: Al solicitar autorización se informará, como mínimo:

1. Identidad del Responsable.
2. Datos objeto de Tratamiento o categorías correspondientes.
3. Finalidades del Tratamiento.
4. Derechos del Titular.
5. Canales para ejercerlos.
6. Cuando se soliciten datos sensibles, el carácter facultativo de suministrarlos, salvo disposición legal que establezca otra cosa.
7. Cuando corresponda, el carácter facultativo de responder preguntas relativas a datos de niños, niñas y adolescentes.

PARÁGRAFO: MAPURA podrá obtener la autorización mediante mecanismos físicos, electrónicos o digitales que permitan acreditar de manera razonable su otorgamiento, incluyendo formularios web, casillas de aceptación, correo electrónico, mensajes de datos, comunicaciones a través de aplicaciones de mensajería instantánea y demás mecanismos jurídicamente admisibles. Cuando la autorización sea obtenida mediante medios electrónicos, MAPURA procurará conservar evidencia de la identidad o datos de contacto del Titular, la fecha y mecanismo de aceptación y, cuando resulte técnicamente posible, la versión de la Política de Tratamiento de Datos Personales que se encontraba vigente al momento de su otorgamiento. En ningún caso el silencio del Titular será entendido como autorización.

ARTÍCULO 14. EVENTOS EN QUE NO SE REQUIERE AUTORIZACIÓN: No será necesaria autorización cuando concurra alguna de las excepciones previstas legalmente, incluyendo:

1. Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
2. Datos de naturaleza pública.
3. Casos de urgencia médica o sanitaria.
4. Tratamiento autorizado por ley para fines históricos, estadísticos o científicos.
5. Datos relacionados con el Registro Civil de las Personas.
6. Los demás eventos expresamente establecidos por el ordenamiento jurídico.

La inexistencia de obligación de obtener autorización no exime a MAPURA del cumplimiento de los restantes principios y deberes aplicables al Tratamiento.

ARTÍCULO 15. PRUEBA DE LA AUTORIZACIÓN: MAPURA conservará evidencia razonable del otorgamiento de las autorizaciones que resulten exigibles y de la información suministrada al Titular.

CAPÍTULO VII — Datos Sensibles y Datos de Niños, Niñas y Adolescentes

ARTÍCULO 16. DATOS SENSIBLES: El Tratamiento de Datos Sensibles se encuentra sujeto a la prohibición general establecida en el artículo 6 de la Ley 1581 de 2012 y solo podrá realizarse cuando concurra alguna de las excepciones legalmente previstas.

Cuando el Tratamiento se fundamente en la autorización del Titular, MAPURA deberá informarle de manera previa y explícita: a. cuáles de los datos objeto de Tratamiento tienen naturaleza sensible; b. la finalidad específica para la cual serán tratados; y c. que, por tratarse de Datos Sensibles, no se encuentra obligado a autorizar su Tratamiento.

La autorización para el Tratamiento de Datos Sensibles deberá ser explícita cuando sea legalmente exigible.

En atención a la naturaleza de los servicios jurídicos y de consultoría prestados por MAPURA, podrá resultar necesario acceder a información sensible contenida en expedientes, documentos, material probatorio o información suministrada por clientes, autoridades o terceros. En estos eventos, MAPURA limitará el Tratamiento a las finalidades jurídicamente procedentes y aplicará medidas reforzadas de confidencialidad, acceso restringido y seguridad de la información.

La ausencia de autorización no impedirá el Tratamiento cuando concurra alguna de las excepciones previstas expresamente por el ordenamiento jurídico.

ARTÍCULO 17. NIÑOS, NIÑAS Y ADOLESCENTES: El Tratamiento de Datos Personales de niños, niñas y adolescentes tendrá carácter excepcional y se realizará observando su interés superior y asegurando el respeto de sus derechos fundamentales y prevalentes.

Cuando resulte legalmente exigible autorización, esta será otorgada por quien se encuentre facultado para representar al niño, niña o adolescente, previa garantía de su derecho a ser escuchado, valorando su opinión de acuerdo con su madurez, autonomía y capacidad para comprender el Tratamiento correspondiente.

MAPURA únicamente tratará esta información cuando resulte necesaria, pertinente y jurídicamente procedente para la finalidad correspondiente, particularmente cuando se encuentre relacionada con la prestación de servicios jurídicos, el cumplimiento de obligaciones legales o la defensa de sus derechos e intereses.

El acceso a esta información estará restringido a las personas que deban conocerla en razón de sus funciones o del asunto profesional correspondiente y estará sometido a medidas reforzadas de confidencialidad y seguridad.

CAPÍTULO VIII — Derechos de los Titulares

ARTÍCULO 18. DERECHOS: El Titular tendrá derecho a:

1. Conocer, actualizar y rectificar sus Datos Personales.
2. Solicitar prueba de la autorización cuando esta sea exigible.
3. Ser informado sobre el uso dado a sus Datos Personales.
4. Presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado, cuando corresponda, el requisito de procedibilidad.
5. Revocar la autorización y/o solicitar la supresión cuando resulte jurídicamente procedente.
6. Acceder gratuitamente a sus Datos Personales objeto de Tratamiento.
7. Ejercer los demás derechos reconocidos por la Constitución y la ley.

CAPÍTULO IX — Deberes de MAPURA

ARTÍCULO 19. DEBERES COMO RESPONSABLE: MAPURA deberá, entre otros:

1. Garantizar el ejercicio del hábeas data.
2. Obtener y conservar las autorizaciones exigibles.
3. Informar las finalidades.
4. Proteger la información mediante medidas adecuadas de seguridad.
5. Procurar la calidad de la información.
6. Actualizar y rectificar la información cuando corresponda.
7. Exigir a los Encargados condiciones apropiadas de seguridad y privacidad.
8. Tramitar consultas y reclamos.
9. Adoptar y mantener actualizado este Manual.
10. Informar al Encargado cuando una información se encuentre en discusión.
11. Informar al Titular sobre el uso de sus datos cuando corresponda.
12. Gestionar y reportar incidentes de seguridad en los eventos legalmente exigibles.
13. Cumplir las instrucciones de la Superintendencia de Industria y Comercio.
14. Mantener evidencias del cumplimiento.
15. Capacitar a quienes intervengan en el Tratamiento.

CAPÍTULO X — Gobierno Corporativo y Responsabilidad Demostrada

ARTÍCULO 20. RESPONSABILIDAD INSTITUCIONAL: La protección de Datos Personales constituye una responsabilidad transversal.

Gerencia General: deberá promover la disponibilidad razonable de recursos y respaldar la implementación del programa.

Dirección de Asuntos Legales: salvo determinación corporativa diferente, será el área responsable de coordinar el Programa de Protección de Datos Personales. Tendrá, entre otras, las funciones de:

1. Coordinar la actualización del Manual.
2. Orientar a las áreas sobre protección de datos.
3. Coordinar consultas y reclamos.
4. Apoyar la gestión de incidentes.
5. Promover inventarios de Bases de Datos.
6. Coordinar programas de capacitación.
7. Verificar las obligaciones relativas al RNBD.
8. Promover evaluaciones periódicas de cumplimiento.
9. Coordinar la revisión de contratos con Encargados.
10. Documentar evidencias del Programa.

Líderes de área: deberán identificar los Tratamientos realizados en sus procesos y comunicar cambios relevantes a la Dirección de Asuntos Legales.

Usuarios autorizados: serán responsables del uso adecuado de las credenciales, dispositivos y sistemas puestos a su disposición y deberán reportar incidentes inmediatamente.

ARTÍCULO 21. PROGRAMA INTEGRAL DE GESTIÓN DE DATOS PERSONALES: MAPURA mantendrá, de acuerdo con su tamaño, estructura, actividades y nivel de riesgo, un programa que podrá comprender:

1. Inventario de Bases de Datos y actividades de Tratamiento.
2. Identificación de Responsables y Encargados.
3. Matriz de riesgos.
4. Inventario de proveedores con acceso a información.
5. Procedimientos de autorización.
6. Procedimientos de consultas y reclamos.
7. Gestión de incidentes.
8. Capacitación.
9. Auditorías o revisiones periódicas.
10. Gestión documental.
11. Controles de acceso.
12. Evaluación de nuevos proyectos.
13. Conservación de evidencias de cumplimiento.

CAPÍTULO XI — Consultas, Reclamos y Peticiones

ARTÍCULO 22. ÁREA RESPONSABLE: la Dirección de Asuntos Legales de MAPURA será el área encargada de recibir, canalizar y coordinar la atención de las solicitudes de los Titulares.
Dirección física: Calle 62 No. 25ª-28 – Palmira, Valle del Cauca, Colombia.
Correo electrónico: [email protected]
MAPURA podrá habilitar canales adicionales.

ARTÍCULO 23. VERIFICACIÓN DE IDENTIDAD: Antes de entregar información, MAPURA podrá adoptar medidas razonables para verificar la identidad y legitimación del solicitante. No deberán exigirse datos o documentos innecesarios. Cuando actúe un representante deberá acreditar su calidad mediante mecanismo jurídicamente suficiente.

ARTÍCULO 24. CONSULTAS: Las consultas serán atendidas dentro de un término máximo de diez (10) días hábiles, contados desde su recepción. Cuando no sea posible atenderlas dentro de dicho término, se informará al interesado la razón y la fecha de respuesta, que no podrá superar cinco (5) días hábiles adicionales.

ARTÍCULO 25. RECLAMOS: Los reclamos deberán contener:

• Identificación del Titular.
• Descripción de los hechos.
• Datos de contacto.
• Documentos que pretenda hacer valer, cuando corresponda.

Si está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para subsanarlo. Transcurridos dos (2) meses desde el requerimiento sin subsanación, se entenderá desistido.

Si quien recibe el reclamo no es competente, deberá trasladarlo a quien corresponda dentro de los dos (2) días hábiles siguientes e informar al interesado.

Recibido el reclamo completo se incorporará, cuando corresponda, la leyenda "reclamo en trámite" dentro de los dos (2) días hábiles siguientes.

El reclamo se resolverá dentro de los quince (15) días hábiles siguientes al día de su recepción completa. Cuando no sea posible, se informarán las razones y la fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

ARTÍCULO 26. RECTIFICACIÓN Y ACTUALIZACIÓN: el Titular podrá solicitar la rectificación o actualización de información inexacta, incompleta o desactualizada, indicando la modificación solicitada y aportando los soportes correspondientes cuando resulten necesarios.

ARTÍCULO 27. SUPRESIÓN Y REVOCATORIA: el Titular podrá solicitar la supresión de sus Datos Personales y/o revocar su autorización cuando resulte jurídicamente procedente.

La solicitud podrá negarse, entre otros eventos, cuando:

1. exista obligación legal o contractual de conservar la información;
2. sea necesaria para el reconocimiento, ejercicio o defensa de derechos;
3. se requiera para atender obligaciones profesionales, judiciales, administrativas, fiscales, contables o documentales;
4. exista otra causa jurídica que legitime su conservación.

La revocatoria no tendrá efectos retroactivos respecto del Tratamiento legítimamente realizado.

CAPÍTULO XII — Transmisión, Transferencia y Terceros

ARTÍCULO 28. ENCARGADOS DEL TRATAMIENTO: cuando MAPURA contrate terceros para realizar Tratamiento por su cuenta procurará establecer contractualmente obligaciones relacionadas con:

1. Tratamiento conforme a instrucciones.
2. Confidencialidad.
3. Seguridad.
4. Acceso restringido.
5. Gestión de incidentes.
6. Atención de derechos de Titulares.
7. Subcontratación cuando corresponda.
8. Devolución, conservación o eliminación de información al terminar el servicio.
9. Cooperación para demostrar cumplimiento.

ARTÍCULO 29. PROVEEDORES TECNOLÓGICOS: podrán actuar como Encargados, según corresponda: proveedores de correo electrónico; almacenamiento en la nube; gestores documentales; software jurídico; herramientas contables; plataformas de videoconferencia; sistemas de CRM; herramientas de firma electrónica; servicios de hosting; plataformas de gestión empresarial; proveedores de ciberseguridad; herramientas de inteligencia artificial autorizadas.

Su contratación deberá considerar razonablemente el nivel de riesgo asociado a la información tratada.

ARTÍCULO 30. TRANSFERENCIAS INTERNACIONALES: las Transferencias internacionales se realizarán observando las condiciones previstas por la legislación colombiana, incluyendo las reglas sobre países con nivel adecuado de protección, autorizaciones, declaraciones de conformidad o excepciones legalmente aplicables.

ARTÍCULO 31. TRANSMISIONES INTERNACIONALES: cuando un proveedor ubicado fuera de Colombia realice Tratamiento por cuenta de MAPURA, la relación deberá estructurarse de manera que las obligaciones de protección, confidencialidad y seguridad resulten exigibles conforme al régimen aplicable.

CAPÍTULO XIII — Seguridad de la Información

ARTÍCULO 32. MEDIDAS DE SEGURIDAD: MAPURA adoptará medidas razonables y proporcionales al riesgo para proteger la confidencialidad, integridad y disponibilidad de los Datos Personales. Estas podrán incluir:

Medidas organizacionales: políticas internas; acuerdos de confidencialidad; capacitación; gestión de permisos; segregación de funciones; procedimientos de ingreso y retiro de personal; gestión de proveedores; clasificación de información.

Medidas técnicas: contraseñas seguras; autenticación multifactor cuando resulte disponible y apropiada; actualizaciones de seguridad; antivirus y herramientas de protección; copias de respaldo; restricciones de acceso; cifrado cuando resulte apropiado; gestión segura de dispositivos; registro de eventos cuando resulte técnicamente viable.

Medidas físicas: control de acceso a instalaciones; custodia de expedientes; restricción de archivos físicos; destrucción segura de documentos; protección de equipos.

ARTÍCULO 33. CONTROL DE ACCESO: el acceso deberá otorgarse conforme a las funciones y al principio de necesidad de conocimiento. Está prohibido:

1. Compartir credenciales.
2. Acceder a expedientes sin necesidad profesional.
3. Copiar información para fines personales.
4. Remitir documentación a cuentas personales sin autorización.
5. Utilizar dispositivos o servicios no autorizados cuando ello genere riesgos injustificados.
6. Divulgar información confidencial fuera del marco del asunto correspondiente.

ARTÍCULO 34. TRABAJO REMOTO: Cuando se acceda remotamente a información de MAPURA deberán mantenerse condiciones adecuadas de confidencialidad y seguridad. Los colaboradores deberán evitar, especialmente: dejar equipos desbloqueados; conectarse mediante redes manifiestamente inseguras para acceder a información crítica; exponer documentos ante terceros; almacenar expedientes indefinidamente en dispositivos personales; imprimir información confidencial sin necesidad.

CAPÍTULO XIV — Incidentes de Seguridad

ARTÍCULO 35. DEBER DE REPORTE INTERNO: Toda persona vinculada a MAPURA deberá informar inmediatamente cualquier incidente o sospecha de incidente. Constituyen ejemplos: envío de información al destinatario equivocado; pérdida de computador o teléfono; acceso no autorizado; phishing; malware; pérdida de expedientes; divulgación accidental; hurto de credenciales; eliminación no autorizada; exposición pública de archivos; uso indebido de información; carga no autorizada de documentos confidenciales en plataformas tecnológicas.

ARTÍCULO 36. PROCEDIMIENTO DE RESPUESTA: MAPURA procurará ejecutar las siguientes etapas:

1. Detección y reporte.
2. Registro del incidente.
3. Contención.
4. Identificación de información afectada.
5. Determinación de Titulares potencialmente afectados.
6. Evaluación del impacto y riesgo.
7. Preservación de evidencias.
8. Recuperación y corrección.
9. Determinación de obligaciones de reporte.
10. Implementación de acciones preventivas.
11. Cierre documentado del incidente.

ARTÍCULO 37. REPORTE A LA AUTORIDAD: Cuando exista obligación legal, MAPURA reportará los incidentes de seguridad a la Superintendencia de Industria y Comercio mediante los mecanismos y dentro de los términos establecidos por la autoridad. La Dirección de Asuntos Legales coordinará el análisis jurídico del incidente y la determinación del mecanismo de reporte correspondiente.

CAPÍTULO XV — Inteligencia Artificial, Automatización y Nuevas Tecnologías

ARTÍCULO 38. PRINCIPIOS PARA EL USO DE INTELIGENCIA ARTIFICIAL: El uso de sistemas de inteligencia artificial deberá observar los principios de protección de Datos Personales, especialmente legalidad, finalidad, libertad, seguridad, confidencialidad, necesidad, proporcionalidad, transparencia y responsabilidad demostrada. MAPURA promoverá la privacidad desde el diseño en la incorporación de herramientas de IA.

ARTÍCULO 39. INFORMACIÓN QUE NO DEBE INCORPORARSE INDISCRIMINADAMENTE A HERRAMIENTAS DE IA: Los abogados, trabajadores, contratistas y demás colaboradores no podrán cargar indiscriminadamente en herramientas públicas o no autorizadas: expedientes completos; bases de datos de clientes; documentos sometidos a secreto profesional; historias clínicas; información financiera privada; documentos de identidad; información de menores; datos sensibles; secretos empresariales; estrategias procesales; contratos confidenciales; claves o credenciales; información cuya divulgación pueda perjudicar al cliente o a MAPURA.

ARTÍCULO 40. USO AUTORIZADO DE IA: Cuando se utilicen herramientas autorizadas deberán aplicarse, según el riesgo:

1. Minimización.
2. Anonimización o pseudonimización cuando resulte viable.
3. Eliminación de datos innecesarios.
4. Control de acceso.
5. Revisión de las condiciones del proveedor.
6. Verificación humana del resultado.
7. Prohibición de asumir automáticamente como correcta una respuesta generada por IA.
8. Protección del secreto profesional.
9. Evaluación de riesgos cuando la herramienta implique Tratamiento significativo de Datos Personales.

La utilización de inteligencia artificial no traslada al proveedor la responsabilidad profesional del abogado ni elimina los deberes de confidencialidad y diligencia de MAPURA.

ARTÍCULO 41. DECISIONES AUTOMATIZADAS: MAPURA procurará que las decisiones con efectos jurídicos o significativamente adversos para una persona no sean adoptadas exclusivamente sobre resultados automatizados sin los controles jurídicos y humanos que correspondan.

CAPÍTULO XVI — Conservación y Eliminación de Información

ARTÍCULO 42. PRINCIPIO DE CONSERVACIÓN LIMITADA: Los Datos Personales no deberán conservarse indefinidamente por mera conveniencia. El término dependerá de: finalidad del Tratamiento; duración de la relación contractual; obligaciones legales; prescripción de acciones; deberes contables y tributarios; obligaciones profesionales; necesidad probatoria; procesos judiciales o administrativos en curso; políticas documentales; ejercicio o defensa de derechos.

ARTÍCULO 43. EXPEDIENTES JURÍDICOS: Finalizado un asunto, MAPURA podrá conservar el expediente durante el término necesario para cumplir obligaciones legales, contractuales y profesionales, atender eventuales reclamaciones, acreditar la gestión realizada y ejercer o defender derechos. La terminación del contrato con un cliente no genera automáticamente la obligación de destruir toda la información relacionada con el asunto.

ARTÍCULO 44. ELIMINACIÓN SEGURA: Cuando proceda la eliminación se utilizarán mecanismos razonables para impedir la recuperación o reconstrucción no autorizada. En documentos físicos podrá utilizarse destrucción segura; en soportes digitales, eliminación o mecanismos técnicos equivalentes según las características del sistema.

CAPÍTULO XVII — Página Web, Cookies y Canales Digitales

ARTÍCULO 45. PÁGINA WEB: MAPURA podrá recolectar Datos Personales mediante: formularios de contacto; formularios de vinculación; solicitudes de información; suscripciones; registros a eventos; herramientas analíticas; cookies u otras tecnologías similares. Cuando corresponda, se informará al usuario acerca del Tratamiento y se habilitarán mecanismos para consultar esta Política.

ARTÍCULO 46. COOKIES: La página web podrá utilizar cookies técnicas necesarias para su funcionamiento y, cuando se implementen, cookies analíticas, funcionales o de otras categorías. Cuando resulte jurídicamente procedente, MAPURA implementará mecanismos para informar al usuario y gestionar sus preferencias.

ARTÍCULO 47. COMUNICACIONES ELECTRÓNICAS: Los datos de contacto podrán utilizarse para comunicaciones relacionadas con: servicios contratados; asuntos jurídicos; novedades contractuales; eventos; contenidos jurídicos; actividades académicas; servicios ofrecidos por MAPURA, siempre dentro de los límites de las autorizaciones y demás bases jurídicas aplicables. Los Titulares podrán solicitar el cese de comunicaciones comerciales cuando resulte procedente.

CAPÍTULO XVIII — Gestión de Talento Humano

ARTÍCULO 48. DATOS DE ASPIRANTES: Los datos suministrados durante procesos de selección podrán utilizarse para: evaluar perfiles; verificar referencias; realizar entrevistas; efectuar verificaciones permitidas; y gestionar procesos de contratación. Si MAPURA desea conservar hojas de vida para futuros procesos, deberá informar dicha finalidad.

ARTÍCULO 49. TRABAJADORES Y CONTRATISTAS: La información podrá tratarse para: vinculación; administración contractual; nómina y pagos; seguridad social; seguridad y salud en el trabajo; formación; evaluación; control de acceso; gestión de activos; cumplimiento legal; investigaciones internas cuando procedan; y terminación y liquidación de la relación.

CAPÍTULO XIX — Proveedores y Clientes Personas Jurídicas

ARTÍCULO 50. PERSONAS DE CONTACTO: Los datos de representantes, trabajadores y personas de contacto de clientes y proveedores se tratarán exclusivamente para finalidades relacionadas con la correspondiente relación profesional, contractual o comercial y las demás finalidades legítimamente informadas.

CAPÍTULO XX — Registro Nacional de Bases de Datos

ARTÍCULO 51. VERIFICACIÓN DE OBLIGACIÓN: La Dirección de Asuntos Legales verificará periódicamente si MAPURA se encuentra dentro de los sujetos obligados a registrar sus Bases de Datos en el Registro Nacional de Bases de Datos – RNBD. La ausencia de obligación de inscripción en el RNBD no exonera a MAPURA del cumplimiento de las demás obligaciones establecidas en el régimen de protección de Datos Personales.

ARTÍCULO 52. ACTUALIZACIONES: Si MAPURA se encuentra obligada al RNBD, deberá implementar un calendario de cumplimiento para: inscripción de nuevas Bases de Datos; actualización de información; reporte de reclamos; reporte de incidentes; y actualización de Encargados, canales, finalidades y demás información exigible.

CAPÍTULO XXI — Formación, Auditoría y Mejora Continua

ARTÍCULO 53. CAPACITACIÓN: MAPURA realizará actividades periódicas de formación en protección de Datos Personales. Deberán abordarse especialmente: secreto profesional; seguridad digital; phishing; manejo de expedientes; correos electrónicos; datos sensibles; trabajo remoto; incidentes; y utilización de inteligencia artificial.

ARTÍCULO 54. INDUCCIÓN: Las personas que por sus funciones tengan acceso habitual a Datos Personales deberán recibir información sobre sus obligaciones de confidencialidad y seguridad desde el inicio de su vinculación.

ARTÍCULO 55. AUDITORÍA: MAPURA podrá efectuar revisiones periódicas para verificar: vigencia de autorizaciones y avisos; inventario de Bases de Datos; accesos, proveedores; incidentes y reclamos; cumplimiento de políticas; riesgos; herramientas tecnológicas utilizadas; necesidad de actualizar el Manual.

CAPÍTULO XXII — Evaluación de Impacto y Nuevos Proyectos

ARTÍCULO 56. ANÁLISIS PREVIO: Antes de implementar proyectos que impliquen Tratamiento intensivo, masivo, sistemático o particularmente riesgoso de Datos Personales, MAPURA podrá efectuar una evaluación previa que considere: finalidad; categorías de datos; Titulares; necesidad; proporcionalidad; terceros involucrados; ubicación de los datos; tecnología utilizada; riesgos; controles.

Deberá prestarse especial atención a proyectos que involucren: datos sensibles; menores; biometría; inteligencia artificial; monitoreo sistemático; grandes volúmenes de información; transferencias internacionales; elaboración de perfiles.

CAPÍTULO XXIII — Confidencialidad y Secreto Profesional

ARTÍCULO 57. INDEPENDENCIA DE OBLIGACIONES: La existencia de una autorización para el Tratamiento de Datos Personales no elimina ni disminuye los deberes de secreto profesional, confidencialidad, reserva contractual o reserva legal.

ARTÍCULO 58. INFORMACIÓN DE CLIENTES: La información conocida por los abogados con ocasión de la relación profesional será utilizada exclusivamente dentro de los límites jurídicamente permitidos y de acuerdo con las obligaciones profesionales aplicables.

ARTÍCULO 59. TERMINACIÓN DE LA VINCULACIÓN: La obligación de confidencialidad subsistirá después de terminada la relación laboral, contractual, profesional o comercial. Las personas que se desvinculen deberán: devolver información y activos; abstenerse de conservar copias no autorizadas; eliminar información de dispositivos personales cuando corresponda; mantener la reserva de la información conocida.

CAPÍTULO XXIV — Incumplimientos

ARTÍCULO 60. INCUMPLIMIENTO INTERNO: El incumplimiento del presente Manual podrá generar las consecuencias laborales, contractuales, disciplinarias o legales correspondientes, respetando el debido proceso y la naturaleza de cada relación. La vulneración deliberada de controles de seguridad, la consulta injustificada de expedientes, la divulgación no autorizada de información o la utilización de Datos Personales para fines personales podrán constituir incumplimientos graves.

CAPÍTULO XXV — Vigencia y Actualización

ARTÍCULO 61. VIGENCIA: El presente Manual entrará en vigencia a partir del 01 de agosto de 2026.

ARTÍCULO 62. ACTUALIZACIÓN: MAPURA podrá modificar el Manual cuando: cambie la legislación; se impartan nuevas instrucciones regulatorias; cambien las actividades de Tratamiento; se incorporen nuevas tecnologías; cambien las finalidades; se identifiquen nuevos riesgos; resulte necesario fortalecer los controles. Las modificaciones sustanciales a la Política de Tratamiento que deban ser conocidas por los Titulares serán comunicadas mediante mecanismos razonables.