• i. Por consentimiento de los Titulares para el tratamiento de sus datos personales, enfocadas a una o varias finalidades especificas;
• ii. Que sea realizado por el Responsable del Tratamiento en cumplimiento de una obligación legal;
• iii. Que sea realizado por el Responsable del Tratamiento en cumplimiento de alguna orden judicial;
• iv. Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al Responsable del Tratamiento, derivados de una competencia atribuida por una norma con rango de ley;
• v. Para la ejecución de medidas precontractuales a petición de los Titulares o para el cumplimiento de obligaciones contractuales perseguidas por el Responsable del Tratamiento de datos personales, Encargado del Tratamiento de datos personales o por un tercero legalmente habilitado;
• vi. Para proteger intereses vitales de los Titulares o de otra persona natural, como su vida, salud o integridad;
• vii.Para tratamiento de datos personales que consten en bases de datos de acceso público; y
• viii. Para satisfacer un interés legítimo del Responsable del Tratamiento o de un tercero, siempre que no prevalezca el interés o derechos fundamentales de los Titulares al amparo de lo dispuesto en la LOPDP.

8. CONSENTIMIENTO COMO BASE LEGITIMADORA

Con el fin de legitimar el tratamiento de los datos personales de los Titulares de MAYA PIONEER GPS S.A.S. por medio del consentimiento, el Responsable del Tratamiento y sus colaboradores deben tener en cuenta que este debe de ser:

• Libre, es decir que se encuentre exento de vicios del consentimiento (error, fuerza y dolo);
• Específico, es decir que se debe concretar de manera concreta los medios y fines del tratamiento;
• Informado, es decir que cumpla con el principio de transparencia y se efectivice el derecho a la información;
• Inequívoco, es decir que la voluntad de los Titulares no presente dudas sobre el alcance de la autorización otorgada por estos.
• El consentimiento podrá revocarse en cualquier momento por parte de los Titulares, sin que sea necesaria justificación alguna.

9. TRATAMIENTO DE DATOS QUE CONSTE EN BASES DE DATOS DE ACCESO ÚBLICO COMO BASE LEGITIMADORA

Si los datos personales de los Titulares que MAYA PIONEER GPS S.A.S. trata o tratará son obtenidos por fuentes accesibles al público, la Compañía verificará que la finalidad pretendida con el nuevo tratamiento sea compatible con la finalidad que justificó la publicación de los datos, y deberá informar a los Titulares de manera expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnica dentro de los primeros 30 días de haber obtenido los datos personales, o en su defecto, en la primera comunicación que se tenga con los Titulares por parte de la Compañía.

El tratamiento de los datos obtenidos por fuentes de acceso público debe de igual forma cumplir con los Principios del Tratamiento de Datos Personales, especialmente el de limitación de la finalidad.

10. TRATAMIENTO DE DATOS PERSONALES, SOBRE DATOS NO OBTENIDOS DE MANERA DIRECTA DEL TITULAR

De igual manera que en el punto anterior, MAYA PIONEER GPS S.A.S. informará a los Titulares de manera expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnica dentro de los primeros 30 días de haber obtenido los datos personales, o en su defecto, en la primera comunicación que se tenga con los Titulares por parte de la Compañía, cuando los datos no han sido obtenidos directamente de los Titulares.

11. INTERÉS LEGÍTIMO COMO BASE LEGITIMADORA

Cuando MAYA PIONEER GPS S.A.S. invoque el interés legítimo como base legitimadora para el tratamiento de datos personales de los Titulares, el Responsable del Tratamiento deberá tener en cuenta lo siguiente: 

• Únicamente podrán ser tratados los datos que sean estrictamente necesarios para la realización de la finalidad.
• MAYA PIONEER GPS S.A.S. deberá garantizar que el tratamiento sea transparente para los Titulares.
• El Responsable del Tratamiento deberá realizar una evaluación de riesgos para la protección de datos, en el cual se verificará si no hay amenazas concretas a las expectativas legítimas de los titulares y a sus derechos fundamentales.
• Aplicará la regla de ponderación, siempre que no prevalezcan los intereses o derechos y libertades del titular, a través de una evaluación meticulosa que atienda a los factores de: (i) evaluación del interés del responsable que deberá ser necesario y proporcionado; (ii) impacto sobre los titulares que mida las consecuencias reales o potenciales derivadas del tratamiento; (iii) equilibrio provisional que contemple las medidas adoptadas por el Responsable del Tratamiento para cumplir sus obligaciones en términos de proporcionalidad y transparencia; y (iv) garantías adicionales aplicadas para impedir cualquier impacto indebido sobre los titulares.

12. INFORMACIÓN A LOS TITULARES

En cumplimiento con los principios de juridicidad, lealtad, transparencia y de responsabilidad proactiva y demostrada, el Responsable del Tratamiento deberá proporcionar a los Titulares, antes de cualquier tratamiento, toda la información referente a este, la cual podrá transmitirse por cualquier modo comprobable, un lenguaje claro, sencillo y de fácil comprensión.

Esta información, como mínimo deberá contener lo siguiente:

• Los fines del tratamiento;
• La base legal para el tratamiento;
• Tipos de tratamiento;
• Tiempo de conservación;
• La existencia de una base de datos en la que constan los datos personales;
• El origen de los datos personales cuando no se hayan obtenido directamente de los Titulares;
• Otras finalidades y tratamientos ulteriores;
• Identidad y datos de contacto del Responsable del Tratamiento, que incluirá: dirección del domicilio legal, número de teléfono y correo electrónico;
• Identidad y datos de contacto del DPD, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico;
• Las transferencias o comunicaciones, nacionales o internacionales de datos personales que la Compañía pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas y las garantías de protección establecidas;
• Las consecuencias para los Titulares de los datos personales de su entrega al Responsable del Tratamiento o negativa a ello;
• El efecto de suministrar datos personales erróneos o inexactos;
• La posibilidad de revocar el consentimiento por parte de los Titulares;
• La existencia y forma en que pueden hacerse efectivos los derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas;
• Los mecanismos para hacer efectivo su derecho a la portabilidad, cuando los Titulares lo soliciten;
• Dónde y cómo realizar sus reclamos ante el Responsable del Tratamiento y la Autoridad; y
• La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles de los Titulares.

13. TRATAMIENTO DE CATEGORÍAS ESPECIALES DE DATOS

De conformidad con la LOPDP las categorías especiales de datos personales son las siguientes:

• i. Datos sensibles: Datos referentes a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales;
• ii. Datos de niñas, niños y adolescentes;
• iii. Datos de salud; y
• iv. Datos de personas con discapacidad y de sus sustitutos relativos a la discapacidad.

El tratamiento de datos sensibles, por regla general está prohibido, a menos que los Titulares hayan dado su consentimiento explícito, especificándose claramente sus fines. El consentimiento expreso para el tratamiento de estos datos no será suficiente.

MAYA PIONEER GPS S.A.S. podrá tratar los datos de salud de sus colaboradores, sin contar con el consentimiento expreso de estos, únicamente para el cumplimiento de obligaciones de MAYA PIONEER GPS S.A.S. en el ámbito del derecho laboral y de la seguridad y protección social, incluyendo medicina preventiva, la prestación de asistencia sanitaria o social, la gestión de sistemas y servicios de asistencia sanitaria o social.

14. TRATAMIENTO DE DATOS CREDITICIOS

Se podrán tratar datos crediticios por parte de la Compañía, siempre y cuando exista autorización expresa por parte de los Titulares.

15. ENCARGADOS DEL TRATAMIENTO DE DATOS PERSONALES 

Antes de la contratación de cualquier proveedor que trate datos personales a nombre del Responsable del Tratamiento, la compañía verificará la idoneidad del Encargado del Tratamiento en cuanto al cumplimiento de la LOPDP.

Una vez que el Responsable del Tratamiento haya comprobado que el Encargado del Tratamiento cumple con los estándares necesarios con relación a la protección de datos personales, la Compañía firmará un contrato de encargo del tratamiento, el cual deberá ser independiente al contrato comercial que con el proveedor se plantee suscribir.

16. DELEGADO DE PROTECCIÓN DE DATOS (DPD)

El DPD deberá ser una persona natural con las certificaciones necesarias para cumplir con este cargo. El DPD deberá ser contratado como prestador de servicios externos.

Las funciones del DPD serán las siguientes:

• i. Verificar que MAYA PIONEER GPS S.A.S. cumpla de manera correcta con la LOPDP;
• ii. Asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales del Responsable del Tratamiento;
• iii. Supervisar la contratación del Encargado del Tratamiento y, velar y supervisar el tratamiento de datos que ha este se ha encargado;
• iv. Realizar y/o coordinar las actualizaciones y modificaciones a cualquier política o guía referente a la protección de datos en la Compañía;
• v. Diseñar y coordinar programas internos de capacitación en protección de datos personales;
• vi. Cooperar con la Autoridad, sirviendo como punto de contacto entre esta y MAYA PIONEER GPS S.A.S. o, en su defecto, entre MAYA PIONEER GPS S.A.S. y los Titulares, en los casos que ameriten;
• vii. Responder a los ejercicios de los derechos que se realicen al Responsable del Tratamiento o Encargado del Tratamiento por parte de los Titulares;
• viii. Comunicar las brechas de seguridad, de conformidad con la LOPDP, a la Autoridad o a los Titulares; y
• ix. Cualquier otra actividad que le sea encomendada por el Responsable del Tratamiento, la LOPDP, su reglamento o la Autoridad por medio de directrices que pudiere expedir, relacionadas con la protección de datos personales de MAYA PIONEER GPS S.A.S.

17. CONTESTACIÓN A EJERCICIO DE DERECHOS DE LOS TITULARES

El Responsable del Tratamiento, por medio de su DPD, contestará a las solicitudes hechas por los Titulares relacionadas con el ejercicio de sus derechos dentro del plazo máximo de 15 días, contados desde la recepción de estas. Derechos de los titulares de datos personales:

Usted tiene derecho a ejercer, en cualquier momento, los siguientes derechos:

• Acceso: Conocer si tratamos sus datos y acceder a ellos.
• Rectificación y actualización: Corregir datos inexactos o incompletos.
• Eliminación: Solicitar la supresión de datos cuando corresponda.
• Oposición: Oponerse al tratamiento en los casos previstos por la ley.
• Suspensión: Solicitar la limitación temporal del tratamiento.
• Portabilidad: Recibir sus datos en un formato estructurado, cuando aplique.
• No ser objeto de decisiones automatizadas: No ser afectado por decisiones basadas únicamente en tratamientos automatizados.

18. ¿CÓMO PUEDE EJERCER SUS DERECHOS?

MAYA PIONEER GPS S.A.S. ha habilitado un procedimiento simple, gratuito y accesible para el ejercicio de derechos.

Canal oficial:

¿Qué debe incluir su solicitud?

• Nombres y apellidos completos.
• Documento de identificación.
• Derecho que desea ejercer.
• Descripción clara de su solicitud.
• Medio para recibir respuesta.

Plazos de respuesta

MAYA PIONEER GPS S.A.S. responderá las solicitudes dentro de los plazos establecidos en la LOPDP y su Reglamento (hasta 15 días, según el derecho ejercido). De ser necesario, se podrá solicitar información adicional para verificar la identidad del titular, conforme a la ley. Si el titular considera que su solicitud no ha sido atendida adecuadamente, podrá acudir ante la Superintendencia de Protección de Datos Personales.

19. REGISTRO NACIONAL DE PROTECCIÓN DE DATOS PERSONALES

El responsable del tratamiento de datos personales a través del DPDP, deberá reportar y mantener actualizada la información ante la Autoridad sobre lo siguiente:

• i. Identificación de cada una de las bases de datos o ficheros;
• ii. El nombre domicilio legal y datos de contacto del responsable y encargado del tratamiento de datos personales;
• iii. Características y finalidad del tratamiento de datos personales;
• iv. Naturaleza de los datos personales tratados;
• v. Identificación, nombre, domicilio legal y datos de contacto de los destinatarios de los datos personales, incluyendo encargados y terceros;
• vi. Modo de interrelacionar la información registrada;
• vii. Medios utilizados para implementar los principios, derechos y obligaciones contenidas en la LOPDP normativa especializada;
• viii. Requisitos y herramientas administrativas técnicas y físicas, organizativas y jurídicas implementadas para garantizar la seguridad y protección de datos personales;
• ix. Tiempo de conservación de los datos.

20. TRAZABILIDAD DE DATOS PERSONALES

El encargado de cada una de las áreas de MAYA PIONEER GPS S.A.S. tendrá actualizada de manera continua la matriz de trazabilidad de datos personales, la cual será levantada bajo la supervisión del DPD.

21. NOTIFICACIÓN DE BRECHAS DE SEGURIDAD A LA AUTORIDAD Y A LOS TITULARES

En el supuesto de que exista alguna brecha o vulneración a la seguridad, el DPD deberá comunicar a la Autoridad tan pronto sea posible, y a más tardar en el término máximo de 5 días después de que se haya tenido conocimiento de esta, a menos que sea improbable que esta brecha o vulneración tenga un riesgo para los derechos fundamentales y libertades individuales de los Titulares. Igualmente, en el supuesto que la brecha o vulneración a la seguridad conlleve un riesgo a los derechos fundamentales y libertades individuales de los Titulares, el DPD deberá comunicar a estos sobre la brecha o vulneración a la seguridad dentro del término de tres días, contados a partir de la fecha en la que se tuvo conocimiento del riesgo.

La notificación de vulneración de seguridad deberá contener lo siguiente:

• La naturaleza y tipo de vulneración;
• Identificar los titulares o interesados afectados;
• El detalle inicial de los sistemas vulnerados;
• La causa presunta de la vulneración;
• El volumen y tipos de datos expuestos o comprometidos;
• Las medidas adoptadas y previstas para responder y remediar la vulneración con la finalidad de mitigar las consecuencias presuntas;
• La evaluación del riesgo que la vulneración implica para los derechos y libertades de los titulares; y
• Otros aspectos que determine por la Autoridad.