Política de Protección de Datos Personales

El objetivo principal de esta Política de Protección de Datos Personales (en adelante, la “Política”) es establecer las reglas y criterios aplicables al tratamiento de los datos de carácter personal recopilados por IMADATECH S.A.S. (en adelante, la “Compañía”), de conformidad con los lineamientos establecidos en el marco normativo aplicable.

Mediante esta Política se ponen en conocimiento de los Titulares los derechos que les asisten, los procedimientos y mecanismos dispuestos para hacerlos efectivos y las finalidades del Tratamiento a las cuales serán sometidos sus Datos Personales cuando otorguen autorización expresa, previa e informada o cuando aplique una excepción legal.

Esta Política es aplicable a todos los datos personales contenidos en cualquier base de datos que los haga susceptibles de Tratamiento por parte de la Compañía.

No es aplicable a:

• Bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Si se suministran a terceros, deberá informarse previamente al Titular y solicitarse su autorización.
• Bases de datos y archivos cuya finalidad sea la seguridad y defensa nacional, o la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo.
• Bases de datos que contengan información de inteligencia y contrainteligencia.
• Bases de datos y archivos de información periodística y otros contenidos editoriales.
• Bases de datos y archivos regulados por la Ley 1266 de 2008.
• Bases de datos y archivos regulados por la Ley 79 de 1993.

Dirección comercial y de notificación judicial: Carrera 17 C No. 78-42, Ibagué, Colombia.
Correo comercial y de notificación judicial: marcela.salazar@imadatech.com
Teléfono: (+57) 312 364 2008.

4.1. Marco normativo

Esta Política se fundamenta en los artículos 15 y 20 de la Constitución Política de Colombia; la Ley 1266 de 2008; la Ley Estatutaria 1581 de 2012; el Decreto 1377 de 2013; el Decreto 886 de 2014; el Decreto 1074 de 2015; la Circular 02 del 3 de noviembre de 2015 expedida por la Superintendencia de Industria y Comercio; y las demás normas que modifiquen, deroguen, desarrollen, sustituyan o complementen las disposiciones mencionadas.

4.2. Definiciones

4.3. Principios rectores

• Legalidad: el Tratamiento es una actividad reglada y sujeta al marco normativo aplicable.
• Finalidad: debe obedecer a una finalidad legítima, informada al Titular.
• Libertad: solo puede ejercerse con consentimiento previo, expreso e informado, salvo excepción legal.
• Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: el Titular puede obtener información sobre la existencia y el uso de sus datos.
• Acceso y circulación restringida: el Tratamiento se limita a personas autorizadas y a los límites derivados de la naturaleza de los datos.
• Seguridad: se aplican medidas técnicas, humanas y administrativas para prevenir adulteración, pérdida o acceso no autorizado.
• Confidencialidad: quienes intervengan en el Tratamiento deben garantizar la reserva incluso después de finalizar su relación con la Compañía.
• Tratamiento posterior: los datos no públicos continúan siendo confidenciales después de terminar la relación con el Titular.
• Temporalidad: la información no se utilizará más allá del plazo razonable exigido por la finalidad informada.
• Necesidad: los datos solo se tratan durante el tiempo y en la medida en que el propósito lo justifique.

La Compañía trata datos personales de forma manual o automatizada, en calidad de Responsable, en desarrollo de su objeto social y del giro ordinario de sus negocios, para las siguientes finalidades:

• Administrar la información de accionistas para el reconocimiento, protección y ejercicio de sus derechos.
• Desarrollar relaciones comerciales con terceros.
• Cumplir procesos internos de administración de proveedores y contratistas.
• Cumplir los contratos de servicios celebrados con clientes.
• Desarrollar actividades de mercadeo y promocionales.
• Cumplir obligaciones con el Titular y finalidades derivadas del contrato o relación existente.
• Controlar y prevenir actividades relacionadas con lavado de activos y financiación del terrorismo, incluida la consulta en listas restrictivas.
• Administrar la información de empleados para obligaciones laborales, seguridad social, capacitación y bienestar.
• Cumplir obligaciones tributarias, comerciales, corporativas y contables.
• Realizar actividades de mercadeo, estadísticas, investigación y otros propósitos comerciales lícitos.
• Soportar procesos de auditoría interna o externa.
• Desarrollar actividades encomendadas por clientes cuando IMADATECH actúe como Encargado, conforme a las instrucciones del Responsable.
• Cumplir otras finalidades relacionadas con el objeto social, obligaciones legales y regulatorias, y políticas internas, informadas al Titular al recolectar los datos.

De conformidad con el marco normativo, los Titulares tienen derecho a:

• Conocer, actualizar y rectificar sus datos personales, especialmente cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o su Tratamiento esté prohibido o no autorizado.
• Solicitar prueba de la autorización, salvo cuando legalmente se exceptúe como requisito.
• Ser informados, previa solicitud, sobre el uso dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012 y demás normas aplicables.
• Revocar la autorización o solicitar la supresión cuando no se respeten los principios, derechos y garantías, salvo que exista un deber legal o contractual de permanencia.
• Acceder gratuitamente a sus datos personales tratados por la Compañía.

La Compañía deberá:

• Garantizar el pleno y efectivo ejercicio del derecho de habeas data.
• Solicitar y conservar copia de la autorización otorgada por el Titular.
• Informar la finalidad de la recolección y los derechos derivados de la autorización.
• Conservar la información con medidas de seguridad que eviten adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Garantizar que la información suministrada al Encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Actualizar, rectificar o suprimir oportunamente los datos.
• Registrar las leyendas “reclamo en trámite” e “información en discusión judicial” cuando corresponda.
• Abstenerse de circular información controvertida cuyo bloqueo haya ordenado la Superintendencia de Industria y Comercio.
• Permitir acceso únicamente a las personas autorizadas.
• Respetar las condiciones de seguridad y privacidad.
• Tramitar consultas y reclamos dentro de los términos aplicables e informar al Titular sobre el uso dado a sus datos.
• Informar a la Superintendencia de Industria y Comercio sobre violaciones a los códigos de seguridad cuando exista riesgo para la información.
• Cumplir las instrucciones y requerimientos de la Superintendencia de Industria y Comercio.

El área de Seguridad de la Información es responsable de la implementación, aplicación y observancia de esta Política, así como de atender peticiones, consultas y reclamos para conocer, actualizar, rectificar o suprimir datos; revocar autorizaciones; solicitar prueba de autorización; y conocer el uso dado a la información.

Todos los funcionarios que tratan Datos Personales deben reportar las bases de datos al área responsable y trasladar de inmediato las solicitudes que reciban de los Titulares.

9.1. Consultas

Los Titulares o sus causahabientes podrán consultar la información personal que repose en las bases de datos de la Compañía. Pueden presentar la consulta físicamente, por correo electrónico o por teléfono mediante los canales de la sección 8.

La consulta se atenderá en un término máximo de diez (10) días hábiles desde su recepción. Si no fuera posible, se informarán los motivos y la nueva fecha. En todo caso, la respuesta se dará dentro de un máximo de quince (15) días hábiles desde la recepción inicial. La Compañía conservará prueba de la consulta y de su respuesta.

9.2. Reclamos

El Titular o sus causahabientes que consideren que la información debe corregirse, actualizarse o suprimirse, o que adviertan un presunto incumplimiento, podrán presentar un reclamo por los canales establecidos.

• El reclamo debe identificar al Titular, describir los hechos, indicar una dirección de contacto y adjuntar los documentos que se quieran hacer valer.
• Si está incompleto, la Compañía solicitará la corrección dentro de los cinco (5) días siguientes. Transcurridos dos (2) meses sin respuesta, se entenderá desistido.
• Recibido el reclamo completo, se registrará la leyenda “reclamo en trámite” y su motivo en un término no mayor de dos (2) días hábiles.
• El reclamo se atenderá dentro de quince (15) días hábiles contados desde el día siguiente a su recepción. Si se requiere más tiempo, se informarán los motivos y la nueva fecha, que no podrá superar ocho (8) días hábiles adicionales.

El Tratamiento requiere autorización previa, libre, expresa e informada, salvo excepción legal. La autorización se solicitará a más tardar al momento de recolectar los datos y podrá manifestarse por escrito, oralmente o mediante conductas inequívocas. El silencio nunca se considerará autorización.

La Compañía conservará prueba de la autorización. Ninguna actividad podrá condicionarse al suministro de Datos Personales sensibles.

10.1. Excepciones a la autorización

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las Personas.

10.2. Contenido mínimo de la autorización

• Tratamiento, datos recopilados y finalidades.
• Derechos del Titular y canales para ejercerlos o presentar quejas ante la Superintendencia de Industria y Comercio.
• Indicación del carácter facultativo de responder cuando se soliciten Datos Sensibles.
• Identificación, dirección física o electrónica y teléfono del Responsable.

10.3. Revocatoria

El Titular puede solicitar la supresión de sus datos o revocar la autorización en cualquier momento, salvo cuando exista un deber legal o contractual de permanecer en la base de datos.

10.4. Recolección

Los datos recolectados deberán ser adecuados, pertinentes y no excesivos ni desproporcionados frente a la finalidad. Los datos de fuentes de acceso público pueden tratarse siempre que, por su naturaleza, sean Datos Públicos.

Para cumplir el principio de seguridad, la Compañía implementa medidas técnicas, humanas y administrativas destinadas a evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Mediante los contratos de transmisión, exige a sus Encargados medidas de seguridad y confidencialidad. La Compañía ha implementado controles, procedimientos y buenas prácticas bajo los lineamientos de la norma ISO 27001:2013 para fortalecer la ciberseguridad en sus procesos.

Cuando la Compañía transmita datos a uno o varios Encargados dentro o fuera de Colombia, suscribirá cláusulas o un contrato de transmisión que contemple:

• Alcance del Tratamiento y actividades realizadas por el Encargado.
• Obligaciones del Encargado frente al Titular y al Responsable.
• Cumplimiento de las obligaciones del Responsable y de esta Política.
• Tratamiento limitado a la finalidad autorizada y a los principios de la ley colombiana.
• Protección de las bases de datos y confidencialidad de la información transmitida.

Está prohibida la transferencia de datos a países que no proporcionen niveles adecuados de protección según los estándares de la Superintendencia de Industria y Comercio. Sin perjuicio de las reglas vigentes, podrá realizarse:

• A países declarados adecuados por la Superintendencia de Industria y Comercio.
• Cuando existan contratos de transferencia o transmisión ajustados a la legislación.
• Cuando el Titular otorgue autorización expresa e inequívoca.
• Para intercambios médicos exigidos por salud o higiene pública.
• Para transferencias bancarias o bursátiles sujetas a su legislación.
• En el marco de tratados internacionales suscritos por Colombia y con fundamento en reciprocidad.
• Cuando sea necesaria para ejecutar un contrato con el Titular o medidas precontractuales y exista autorización.
• Cuando sea legalmente exigida para proteger el interés público o ejercer o defender un derecho en un proceso judicial.
• Cuando se obtenga una declaración de conformidad de la Superintendencia de Industria y Comercio en casos no previstos.

En desarrollo de su objeto social, la Compañía podrá actuar como Encargado del Tratamiento por cuenta de terceros Responsables. En tal calidad cumplirá la normativa colombiana, las instrucciones de la Superintendencia de Industria y Comercio y la política implementada por cada Responsable.

14.1. Finalidades y conservación

La Compañía tratará los datos conforme a las instrucciones y finalidades autorizadas, durante el tiempo razonable y necesario, considerando las obligaciones administrativas, contables, fiscales, jurídicas e históricas. Cumplidas las finalidades, suprimirá los datos, salvo obligación legal o contractual.

14.2. Menores de edad y derechos

Si debe tratar datos de niños, niñas o adolescentes por cuenta de un Responsable, velará por su uso adecuado y por la autorización que este deba obtener. Los Titulares podrán conocer, actualizar y rectificar sus datos, solicitar información, presentar consultas y reclamos y acudir ante la Superintendencia después de agotar el procedimiento interno.

Si una solicitud no puede ser resuelta por IMADATECH como Encargada, se trasladará al Responsable dentro de los términos legales. La Compañía adoptará medidas razonables para mantener datos precisos, suficientes, actualizados, rectificados o suprimidos.

14.3. Deberes como encargado

• Garantizar el ejercicio efectivo del habeas data y conservar la información de forma segura.
• Actualizar, rectificar o suprimir oportunamente los datos y actualizar la información reportada por los Responsables dentro de cinco (5) días hábiles desde su recepción.
• Tramitar consultas y reclamos y mantener un manual interno de políticas y procedimientos.
• Registrar las leyendas “reclamo en trámite” e “información en discusión judicial” cuando corresponda.
• Restringir el acceso y abstenerse de circular información controvertida cuyo bloqueo haya sido ordenado.
• Informar incidentes relevantes a la Superintendencia y cumplir sus instrucciones.

14.4. Incidentes y mejora continua

La Compañía implementa y evalúa continuamente medidas técnicas, humanas y administrativas, y documenta los procedimientos de Tratamiento, conservación y supresión. Si ocurre una violación de seguridad que genere riesgos, informará al Responsable y a la Superintendencia de Industria y Comercio conforme a la normativa, los procedimientos de incidentes y el contrato de transmisión.

Además de las bases de datos descritas, el sitio web puede recolectar datos de contacto enviados voluntariamente en formularios —como nombre o razón social, correo, teléfono y mensaje— y datos técnicos de navegación, como dirección IP, navegador, dispositivo, páginas visitadas, fecha, hora e identificadores de cookies.

El sitio utiliza o puede utilizar WordPress y Ninja Forms para contenidos y formularios; Google Analytics y Google Tag Manager para medición; Google Fonts para tipografías; y WhatsApp de Meta como canal de contacto. Estos terceros pueden tratar identificadores técnicos de acuerdo con sus propias políticas.

Las bases de datos serán tratadas durante el tiempo razonable y necesario para las finalidades para las cuales fueron recolectadas. Cumplidas dichas finalidades, los datos serán suprimidos, salvo obligación legal o contractual de conservación. Por ello, las bases de datos se han creado sin un periodo de vigencia definido.

Esta Política rige a partir del 9 de septiembre de 2026.

Cuando la Compañía modifique esta Política, incluirá la fecha de su última actualización. Si el cambio afecta la autorización —por ejemplo, la identificación del Responsable o una finalidad del Tratamiento— será comunicado oportunamente a los Titulares mediante la página web u otro medio idóneo antes de implementarse.

Cuando cambien las finalidades del Tratamiento, la Compañía obtendrá una nueva autorización cuando sea exigible.