Política de privacidad

POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES

FLORA MEDICINAL COLOMBIANA S.A.S. – FLOMECOL

1. PRESENTACIÓN

FLORA MEDICINAL COLOMBIANA S.A.S. es una sociedad colombiana dedicada a la fabricación, comercialización e importación de productos naturales, fitoterapéuticos, suplementos dietarios, cosméticos y productos farmacéuticos para uso humano. En desarrollo de esa actividad recolecta y usa información de sus trabajadores, clientes, consumidores, proveedores, profesionales de la salud, visitantes y usuarios de sus canales digitales.

La compañía reconoce que esa información pertenece a las personas a quienes se refiere y que su manejo indebido puede afectar su intimidad, su buen nombre y otros derechos fundamentales. Por eso adopta esta política, que es de obligatorio cumplimiento para todos los que actúan en su nombre y que se publica para que cualquier persona pueda conocer qué datos se tratan, para qué, durante cuánto tiempo, con quién se comparten y cómo puede ejercer sus derechos.

2. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

– Razón social: FLORA MEDICINAL COLOMBIANA S.A.S., en adelante FLOMECOL o la compañía.

– NIT: 900.598.902-1.

– Domicilio: Bogotá D.C., Colombia.

– Dirección: Calle 90 N.° 77-08, Bogotá D.C.

– Correo electrónico para asuntos de datos personales: habeasdata@flomecol.com.

– Teléfono: 322 438 2098.

– Sitio web: www.flomecol.com.

3. OBJETO

Esta política fija los criterios bajo los cuales FLOMECOL recolecta, almacena, usa, circula, transmite, transfiere y suprime datos personales; describe las finalidades de ese tratamiento; señala los derechos de los titulares y establece el procedimiento para ejercerlos. Constituye además el manual interno de políticas y procedimientos que el literal k) del artículo 17 de la Ley 1581 de 2012 exige a todo responsable del tratamiento.

4. ALCANCE Y DESTINATARIOS

La política aplica a todas las bases de datos y archivos, físicos o digitales, que contengan datos personales y sean tratados por FLOMECOL en territorio colombiano o por encargados ubicados en el exterior que actúen por cuenta suya. Comprende los datos recolectados por cualquier canal: documentos físicos, formularios, correo electrónico, líneas telefónicas, aplicaciones de mensajería, redes sociales, el sitio web y la tienda en línea, las visitas comerciales y médicas, y los sistemas de videovigilancia.

Están obligados a cumplirla: (i) los accionistas, administradores y representantes legales; (ii) todos los trabajadores, aprendices y practicantes, cualquiera sea su cargo o modalidad de vinculación; (iii) los contratistas, asesores y proveedores que tengan acceso a datos personales bajo responsabilidad de la compañía, y (iv) los encargados del tratamiento. Los datos de personas jurídicas no son datos personales; sí lo son los de sus representantes legales, socios y personas de contacto.

5. MARCO NORMATIVO

– Constitución Política, artículos 15 y 20.

– Ley 1581 de 2012, régimen general de protección de datos personales.

– Decreto 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulos 25 (reglamentación parcial de la Ley 1581 de 2012) y 26 (Registro Nacional de Bases de Datos).

– Ley 1266 de 2008, modificada por la Ley 2157 de 2021, sobre información financiera, crediticia, comercial y de servicios.

– Ley 2300 de 2023, sobre canales, horarios y periodicidad del contacto con consumidores para gestiones de cobranza y envío de mensajes publicitarios.

– Ley 527 de 1999, sobre mensajes de datos y comercio electrónico, y Ley 1480 de 2011, Estatuto del Consumidor, en lo pertinente.

– Circular Única de la Superintendencia de Industria y Comercio, Título V, y Circular Externa 002 de 2024 de la misma entidad, sobre tratamiento de datos personales en sistemas de inteligencia artificial.

– Las normas que modifiquen, adicionen o sustituyan las anteriores, que se entienden incorporadas a esta política.

6. DEFINICIONES

– Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.

– Aviso de privacidad: comunicación verbal o escrita dirigida al titular en el momento de recolectar sus datos, que le informa la existencia de esta política, la forma de consultarla y las finalidades del tratamiento.

– Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.

– Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

– Dato público: el que no es semiprivado, privado ni sensible, como el estado civil, la profesión u oficio, la calidad de comerciante o de servidor público y los contenidos en registros y documentos públicos.

– Dato semiprivado: el que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento interesa al titular y a cierto sector o grupo de personas, como el dato financiero y crediticio.

– Dato privado: el que por su naturaleza íntima o reservada solo es relevante para el titular.

– Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, como los que revelan el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales, los relativos a la salud, a la vida sexual y los datos biométricos.

– Encargado del tratamiento: persona natural o jurídica que, por sí misma o con otros, trata datos personales por cuenta del responsable.

– Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos y el tratamiento de los datos. Para efectos de esta política, FLOMECOL.

– Titular: persona natural cuyos datos personales son objeto de tratamiento.

– Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión.

– Transmisión: comunicación de datos personales a un encargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.

– Transferencia: envío de datos personales a un receptor que es a su vez responsable del tratamiento, dentro o fuera de Colombia.

– Fuente de información: quien, en virtud de una relación comercial o de servicio, suministra datos de sus clientes a un operador de información crediticia. FLOMECOL tiene esa calidad frente a los operadores a los que reporta.

– Incidente de seguridad: violación de los códigos de seguridad o pérdida, robo, acceso o divulgación no autorizados de datos personales.

– Cookies: archivos que el sitio web instala en el dispositivo del usuario para recordar sus preferencias, permitir el funcionamiento de la tienda en línea y obtener estadísticas de navegación.

7. PRINCIPIOS

FLOMECOL aplica de manera armónica e integral los principios del artículo 4 de la Ley 1581 de 2012:

– Legalidad: el tratamiento es una actividad reglada que se sujeta a la ley.

– Finalidad: todo tratamiento obedece a una finalidad legítima que se informa al titular.

– Libertad: los datos solo se tratan con el consentimiento previo, expreso e informado del titular, o con fundamento en un mandato legal o judicial que releve el consentimiento.

– Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. No se tratan datos parciales, incompletos o que induzcan a error.

– Transparencia: el titular puede obtener en cualquier momento y sin restricciones información sobre la existencia de datos que le conciernan.

– Acceso y circulación restringida: los datos no se publican en internet ni en medios de divulgación masiva, salvo que sean públicos o que el acceso sea técnicamente controlable para brindar un conocimiento restringido a los titulares o terceros autorizados.

– Seguridad: la información se maneja con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

– Confidencialidad: todas las personas que intervienen en el tratamiento están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con la compañía.

Adicionalmente la compañía se guía por los criterios de necesidad y proporcionalidad, de modo que solo recolecta los datos estrictamente necesarios para la finalidad informada; de temporalidad, conforme al cual los datos se conservan solo por el tiempo requerido, y de responsabilidad demostrada, que la obliga a poder probar ante la autoridad que ha implementado medidas apropiadas y efectivas para cumplir la ley.

8. DATOS QUE TRATA FLOMECOL

Según el titular y la finalidad, FLOMECOL trata las siguientes categorías de datos:

– Identificación: nombres y apellidos, tipo y número de documento, fecha y lugar de nacimiento, nacionalidad, firma, fotografía.

– Contacto: dirección, ciudad, teléfono fijo y móvil, correo electrónico, usuarios de redes sociales y de aplicaciones de mensajería.

– Laborales y académicos: hoja de vida, formación, experiencia, referencias, cargo, salario, evaluaciones de desempeño, registros disciplinarios y de novedades, horarios y registros de ingreso.

– Seguridad social y familiares: afiliaciones, beneficiarios, personas a cargo y contactos de emergencia.

– Financieros, comerciales y tributarios: cuentas bancarias para pagos, información tributaria, historial de pedidos y de pagos, cupo y comportamiento de crédito, títulos valores y garantías.

– De navegación y de compra en línea: dirección IP, identificadores de dispositivo, cookies, datos de la cuenta de usuario, direcciones de envío y facturación, historial de compras.

– Imagen y voz: fotografías, videos y grabaciones del circuito cerrado de televisión, que no capta sonido.

– Sensibles: datos de salud derivados de exámenes médicos ocupacionales, incapacidades, restricciones y reportes de accidentes de trabajo; datos de salud suministrados por consumidores al reportar un evento adverso o una queja de calidad, y los datos biométricos de los trabajadores que se usan en el sistema de control de ingreso.

9. TRATAMIENTO Y FINALIDADES SEGÚN EL TITULAR

FLOMECOL recolecta, almacena, usa, circula, actualiza, transmite, transfiere y suprime datos personales para las finalidades que se enuncian a continuación. Ningún dato se usa para una finalidad distinta sin una nueva autorización del titular, salvo que la ley lo permita o lo ordene.

9.1. Candidatos a un empleo. Evaluar la hoja de vida y la idoneidad del aspirante; verificar referencias laborales, personales y títulos académicos; consultar antecedentes en fuentes de acceso público cuando la naturaleza del cargo lo justifique; practicar pruebas y entrevistas; ordenar el examen médico de ingreso, y contactar al aspirante en el proceso en curso o en procesos futuros. Las hojas de vida de quienes no sean seleccionados se conservan hasta por un (1) año para futuras vacantes y luego se suprimen. Quien entregue una hoja de vida sin que le haya sido solicitada acepta su tratamiento para estas finalidades.

9.2. Trabajadores, aprendices y practicantes. Elaborar, ejecutar, modificar y terminar el contrato; afiliar y pagar aportes al sistema de seguridad social y parafiscales; liquidar y pagar salarios, prestaciones, vacaciones, indemnizaciones y demás acreencias; practicar retenciones y descuentos autorizados; administrar anticipos y préstamos; controlar la jornada, el ingreso y las ausencias; gestionar permisos, licencias e incapacidades; administrar el Sistema de Gestión de Seguridad y Salud en el Trabajo, incluidos los exámenes médicos ocupacionales, la investigación de incidentes y accidentes y los programas de vigilancia epidemiológica; entregar dotación y elementos de protección; asignar y controlar equipos, cuentas y herramientas tecnológicas; llevar el registro de novedades, adelantar procesos disciplinarios y evaluar el desempeño; desarrollar actividades de capacitación, bienestar y comunicación interna; cumplir las buenas prácticas de manufactura y los requisitos sanitarios y de calidad aplicables al personal de planta; usar la imagen y la voz en material institucional y publicitario cuando el trabajador lo haya autorizado; expedir certificaciones laborales; atender auditorías internas y externas, y responder requerimientos de autoridades administrativas y judiciales.

9.3. Familiares, beneficiarios y contactos de emergencia. Afiliarlos al sistema de seguridad social y a la caja de compensación; reconocer licencias, auxilios y beneficios; invitarlos a actividades de bienestar, y contactarlos en caso de emergencia. El trabajador que suministra estos datos declara que cuenta con la autorización de esas personas o que es su representante legal.

9.4. Extrabajadores y pensionados. Conservar la historia laboral; expedir certificaciones laborales y de aportes; atender reclamaciones, procesos judiciales y requerimientos de autoridades, y cumplir obligaciones legales de conservación documental.

9.5. Clientes, distribuidores y sus representantes. Crear y actualizar el cliente; verificar su identidad y la de sus representantes; gestionar cotizaciones, pedidos, despachos, devoluciones y garantías; facturar y recaudar; estudiar y asignar cupos de crédito; consultar y reportar el comportamiento de pago ante operadores de información crediticia; administrar la cartera y adelantar su cobro prejudicial y judicial, directamente o por medio de abogados y casas de cobranza; programar visitas de asesores comerciales; medir la satisfacción; atender peticiones, quejas y reclamos; elaborar análisis estadísticos y de mercado, y enviar información sobre productos, promociones, eventos y novedades de la compañía cuando el titular lo haya autorizado.

9.6. Consumidores y usuarios de la tienda en línea. Crear y administrar la cuenta de usuario; procesar la compra y el pago; despachar los productos y coordinar la entrega con transportadoras; emitir la factura; tramitar cambios, devoluciones, garantías y el derecho de retracto; atender consultas por los canales de servicio; prevenir el fraude; recordar el contenido del carrito y las preferencias del usuario, y enviar comunicaciones comerciales cuando lo haya autorizado.

9.7. Personas que presentan quejas de calidad o reportan eventos adversos. Recibir, registrar, investigar y responder el reporte; hacer seguimiento al caso; identificar el lote y adoptar las medidas de calidad que correspondan, y cumplir las obligaciones de vigilancia poscomercialización y de reporte ante el Instituto Nacional de Vigilancia de Medicamentos y Alimentos (INVIMA) y las demás autoridades sanitarias. La información de salud suministrada en estos reportes es sensible y se usa exclusivamente para estos fines.

9.8. Profesionales de la salud y establecimientos visitados. Programar y registrar la visita médica y comercial; entregar información científica y técnica, material promocional y muestras en los términos permitidos por la regulación sanitaria; invitar a eventos académicos y de actualización, y llevar el registro de las interacciones para fines de control interno y de cumplimiento regulatorio.

9.9. Proveedores, contratistas y su personal. Evaluar, seleccionar y registrar proveedores; verificar su idoneidad, capacidad y cumplimiento legal; celebrar, ejecutar, supervisar y terminar contratos; tramitar órdenes de compra y pagos; practicar retenciones y cumplir obligaciones tributarias y contables; verificar la afiliación a seguridad social y el cumplimiento de requisitos de seguridad y salud en el trabajo del personal que ingrese a las instalaciones; controlar el acceso, y atender auditorías de calidad y requerimientos de autoridades.

9.10. Accionistas y administradores. Llevar el libro de registro de accionistas; convocar y documentar las reuniones de los órganos sociales; pagar dividendos; cumplir las obligaciones societarias, contables, tributarias y de registro mercantil, y atender requerimientos de autoridades.

9.11. Visitantes. Registrar el ingreso y la salida; verificar la identidad; garantizar la seguridad de las personas, los bienes y las instalaciones; cumplir los protocolos sanitarios y de buenas prácticas de manufactura en las áreas de producción, y atender emergencias.

9.12. Usuarios del sitio web, redes sociales y canales de mensajería. Responder solicitudes, preguntas y comentarios; gestionar la participación en concursos, sorteos y actividades promocionales; administrar la comunidad en redes sociales; obtener estadísticas de uso para mejorar los canales, y enviar comunicaciones comerciales cuando el titular lo haya autorizado.

9.13. Finalidades comunes a todos los titulares. Cumplir obligaciones legales, contractuales, contables, tributarias y regulatorias; atender requerimientos de autoridades judiciales y administrativas; ejercer el derecho de defensa de la compañía en actuaciones administrativas y judiciales; realizar auditorías y controles internos; garantizar la seguridad de la información y de las instalaciones, y conservar la información por los términos que la ley exige.

10. DATOS SENSIBLES

El tratamiento de datos sensibles está prohibido, salvo en los casos del artículo 6 de la Ley 1581 de 2012, entre ellos cuando el titular ha dado su autorización explícita o cuando el tratamiento es necesario para salvaguardar su interés vital o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. FLOMECOL observa las siguientes reglas:

– Informa al titular que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento, cuáles de los datos solicitados tienen esa naturaleza y para qué se usarán.

– No condiciona ninguna actividad, servicio, compra o vinculación a que el titular suministre datos sensibles, salvo que exista un deber legal, como ocurre con los exámenes médicos ocupacionales.

– Limita el acceso a estos datos al personal que estrictamente los requiere. Los conceptos médicos ocupacionales los conoce el empleador únicamente en cuanto a la aptitud y las recomendaciones; la historia clínica ocupacional permanece bajo custodia del prestador de servicios de salud.

– Los registros disciplinarios y de desempeño no deben contener datos de salud, de pertenencia a sindicatos ni otros datos sensibles; si resulta indispensable aludir a una condición de salud, se hace por remisión a los soportes que reposan bajo reserva.

– FLOMECOL utiliza un sistema de control biométrico para el ingreso de su personal. Los datos biométricos se emplean exclusivamente para identificar al trabajador en el control de acceso y de jornada, no se comparten con terceros distintos del proveedor del sistema y se suprimen al terminar el vínculo. Al trabajador que no autorice su tratamiento se le ofrece un medio alternativo de registro.

11. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

Los productos y canales de FLOMECOL están dirigidos a personas mayores de edad, y la tienda en línea solo puede ser utilizada por ellas. La compañía solo trata datos de menores cuando son beneficiarios de sus trabajadores o cuando vincula aprendices adolescentes con las autorizaciones que exige la ley. En esos casos el tratamiento responde al interés superior del menor, asegura el respeto de sus derechos fundamentales y cuenta con la autorización de su representante legal, previo ejercicio del derecho del menor a ser escuchado, conforme al artículo 7 de la Ley 1581 de 2012 y al artículo 2.2.2.25.2.9 del Decreto 1074 de 2015. Si la compañía advierte que recibió datos de un menor sin esa autorización, los suprime.

12. AUTORIZACIÓN DEL TITULAR

12.1. Regla general. FLOMECOL solicita la autorización del titular a más tardar en el momento de la recolección de los datos y le informa de manera clara qué datos recolecta, para qué, cuáles son sus derechos y cómo consultar esta política.

12.2. Medios. La autorización puede otorgarse por escrito, de forma oral o mediante conductas inequívocas del titular que permitan concluir de forma razonable que la otorgó, como diligenciar un formulario, marcar una casilla de aceptación en el sitio web o continuar una llamada después de ser informado. El silencio no equivale a autorización. Se utilizan, entre otros, los formatos de autorización de trabajadores, de creación de clientes y de uso de imagen, los documentos de crédito y las casillas de aceptación de la tienda en línea.

12.3. Prueba. La compañía conserva prueba de la autorización, en medio físico o electrónico, y la entrega al titular que la solicite.

12.4. Casos en que no se requiere. No es necesaria la autorización cuando se trata de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; de datos de naturaleza pública; de casos de urgencia médica o sanitaria; de tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y de datos relacionados con el registro civil de las personas (artículo 10 de la Ley 1581 de 2012). En estos casos se cumplen las demás disposiciones de la ley.

12.5. Datos de terceros suministrados por el titular. Quien entrega a FLOMECOL datos de otras personas, como referencias, codeudores, beneficiarios o personas de contacto, declara que cuenta con su autorización para hacerlo.

13. DERECHOS DE LOS TITULARES

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

– Conocer, actualizar y rectificar sus datos personales frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o cuyo tratamiento esté prohibido o no haya sido autorizado.

– Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.

– Ser informado, previa solicitud, del uso que se ha dado a sus datos personales.

– Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante FLOMECOL.

– Revocar la autorización o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.

– Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento, al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta política que motiven nuevas consultas.

– Abstenerse de responder preguntas sobre datos sensibles o sobre datos de niños, niñas y adolescentes.

– Dejar de recibir comunicaciones comerciales y publicitarias en cualquier momento, sin necesidad de justificar su decisión.

Estos derechos pueden ser ejercidos por el titular, por sus causahabientes, por su representante o apoderado y por estipulación a favor de otro o para otro, previa acreditación de la calidad en que se actúa (artículo 2.2.2.25.4.1 del Decreto 1074 de 2015). Los derechos de los menores los ejercen las personas facultadas para representarlos.

14. DEBERES DE LOS TITULARES

El titular debe suministrar información veraz, completa y actualizada, informar oportunamente los cambios en sus datos y abstenerse de entregar datos de terceros sin su autorización. FLOMECOL no responde por las consecuencias de la información falsa o inexacta que el propio titular haya entregado.

15. DEBERES DE FLOMECOL COMO RESPONSABLE DEL TRATAMIENTO

En cumplimiento del artículo 17 de la Ley 1581 de 2012, la compañía se obliga a:

– Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

– Solicitar y conservar copia de la autorización otorgada por el titular.

– Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten.

– Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

– Garantizar que la información que suministre a los encargados sea veraz, completa, exacta, actualizada, comprobable y comprensible, y comunicarles oportunamente las novedades.

– Actualizar y rectificar la información cuando sea incorrecta y comunicarlo a los encargados.

– Suministrar a los encargados únicamente datos cuyo tratamiento esté previamente autorizado y exigirles el respeto de las condiciones de seguridad y privacidad.

– Tramitar las consultas y reclamos en los términos de la ley.

– Informar al encargado cuando determinada información se encuentre en discusión por parte del titular.

– Informar, a solicitud del titular, sobre el uso dado a sus datos.

– Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.

– Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

FLOMECOL fabrica productos para terceros. Cuando en desarrollo de esos contratos de fabricación o maquila reciba o trate datos personales por cuenta del contratante, actuará como encargada del tratamiento: los usará únicamente para ejecutar el contrato y conforme a las instrucciones del respectivo responsable, y cumplirá los deberes del artículo 18 de la Ley 1581 de 2012. Los datos de los representantes y personas de contacto de esos contratantes los trata como responsable, para las finalidades del numeral 9.5.

16. ÁREA RESPONSABLE DE LA PROTECCIÓN DE DATOS PERSONALES

En cumplimiento del artículo 2.2.2.25.4.4 del Decreto 1074 de 2015, FLOMECOL designa al área de Cartera como responsable de la función de protección de datos personales, bajo la supervisión de la Representación Legal. Le corresponde:

– Recibir, tramitar y responder las consultas y reclamos de los titulares dentro de los términos legales, y llevar su registro.

– Velar por la implementación de esta política y proponer sus actualizaciones.

– Mantener el inventario de las bases de datos de la compañía y de los encargados que las tratan.

– Verificar que los formatos y canales de recolección cuenten con autorización y aviso de privacidad.

– Revisar las cláusulas de datos personales de los contratos con proveedores y encargados.

– Coordinar la capacitación del personal y la atención de los incidentes de seguridad.

– Gestionar el Registro Nacional de Bases de Datos cuando sea exigible y servir de enlace con la Superintendencia de Industria y Comercio.

17. PROCEDIMIENTO PARA EL EJERCICIO DE LOS DERECHOS

17.1. Canales. Las consultas y reclamos se presentan por escrito al correo electrónico habeasdata@flomecol.com o mediante comunicación radicada en la Calle 90 N.° 77-08 de Bogotá D.C. El trámite es gratuito.

17.2. Contenido de la solicitud. La solicitud debe indicar: (i) nombres, apellidos y número de identificación del titular; (ii) la calidad en que actúa quien la presenta, con el documento que la acredite si no es el titular; (iii) la descripción clara de los hechos y de lo que se solicita; (iv) la dirección física o electrónica en la que desea recibir la respuesta, y (v) los documentos que quiera hacer valer. Para proteger al titular, la compañía puede verificar la identidad del solicitante antes de entregar información.

17.3. Consultas. El titular o sus causahabientes pueden consultar la información personal que repose en las bases de datos de FLOMECOL. La consulta se atiende en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no sea posible atenderla en ese término, se informan al interesado los motivos de la demora y la fecha en que se dará respuesta, que en ningún caso puede superar los cinco (5) días hábiles siguientes al vencimiento del primer término (artículo 14 de la Ley 1581 de 2012).

17.4. Reclamos. El titular o sus causahabientes que consideren que la información debe ser objeto de corrección, actualización o supresión, o que adviertan el presunto incumplimiento de los deberes legales, pueden presentar un reclamo, que se tramita así (artículo 15 de la Ley 1581 de 2012):

– Si el reclamo está incompleto, se requiere al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que presente la información requerida, se entiende que ha desistido del reclamo.

– Si quien recibe el reclamo no es competente para resolverlo, da traslado a quien corresponda en un término máximo de dos (2) días hábiles e informa de la situación al interesado.

– Recibido el reclamo completo, en un término no mayor a dos (2) días hábiles se incluye en la base de datos una leyenda que diga «reclamo en trámite» y el motivo, la cual se mantiene hasta que el reclamo sea decidido.

– El término máximo para atender el reclamo es de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no sea posible atenderlo en ese término, se informan al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso puede superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

17.5. Supresión de datos y revocatoria de la autorización. Se tramitan por el procedimiento de reclamo. La revocatoria puede ser total, frente a todas las finalidades consentidas, o parcial, frente a algunas de ellas, como el envío de publicidad. La supresión y la revocatoria no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos; tampoco cuando la conservación sea necesaria para cumplir una obligación legal, atender una actuación judicial o administrativa, o proteger intereses jurídicamente tutelados del titular o de terceros. En esos eventos se informa al titular la razón por la cual el dato debe conservarse. La revocatoria de la autorización de uso de imagen, voz y declaraciones surte efectos hacia el futuro, en los términos de la respectiva autorización.

17.6. Requisito de procedibilidad. El titular, su causahabiente o su apoderado solo pueden elevar queja ante la Superintendencia de Industria y Comercio una vez hayan agotado el trámite de consulta o reclamo ante FLOMECOL (artículo 16 de la Ley 1581 de 2012).

17.7. Solicitudes de trabajadores. Las solicitudes de los trabajadores sobre sus propios datos se tramitan por este mismo procedimiento, sin perjuicio de los canales ordinarios de Gestión Humana para certificaciones y novedades.

18. ENCARGADOS DEL TRATAMIENTO Y TRANSMISIÓN DE DATOS

Para el desarrollo de su operación FLOMECOL se apoya en terceros que tratan datos personales por su cuenta. Entre otros: asesores contables, tributarios y de nómina; la revisoría fiscal; el asesor del Sistema de Gestión de Seguridad y Salud en el Trabajo; las instituciones prestadoras de servicios de salud ocupacional; los asesores jurídicos y las casas de cobranza; la plataforma tecnológica de la tienda en línea; los proveedores de correo electrónico, almacenamiento y servicios en la nube; las pasarelas de pago; las empresas transportadoras y de mensajería; los proveedores de vigilancia y de sistemas de seguridad, y las agencias de publicidad y mercadeo.

La relación con cada encargado se regula mediante contrato o cláusula de transmisión, en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, en virtud de la cual el encargado se obliga a: (i) tratar los datos únicamente conforme a las instrucciones de FLOMECOL y a esta política; (ii) salvaguardar la seguridad de las bases de datos; (iii) guardar confidencialidad; (iv) no subcontratar el tratamiento sin autorización; (v) informar de inmediato cualquier incidente de seguridad, y (vi) devolver o suprimir los datos al terminar el contrato. La transmisión a un encargado no requiere una autorización adicional del titular cuando existe ese contrato.

El intercambio de datos con sociedades vinculadas a FLOMECOL o a sus accionistas se sujeta a las mismas reglas: solo procede con autorización del titular o al amparo de un contrato de transmisión, y cada sociedad responde de manera independiente por el tratamiento que realice.

19. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL

Algunos de los proveedores tecnológicos de FLOMECOL, como la plataforma de la tienda en línea y los servicios de correo y almacenamiento en la nube, alojan o procesan información en servidores ubicados fuera de Colombia. Estas operaciones se realizan como transmisión internacional a encargados, amparadas en contratos que les imponen obligaciones de seguridad y confidencialidad.

La transferencia de datos a responsables ubicados en otros países solo se efectúa hacia países que proporcionen niveles adecuados de protección de datos, conforme a los estándares fijados por la Superintendencia de Industria y Comercio, o en los casos exceptuados por el artículo 26 de la Ley 1581 de 2012, entre ellos cuando el titular ha otorgado su autorización expresa e inequívoca o cuando la transferencia es necesaria para la ejecución de un contrato entre el titular y el responsable.

20. ENTREGA DE INFORMACIÓN A AUTORIDADES Y A TERCEROS

FLOMECOL entrega datos personales a las autoridades judiciales y administrativas que los requieran en ejercicio de sus funciones legales, como las autoridades sanitarias, tributarias, laborales y de seguridad social, y verifica previamente la competencia de la autoridad y la pertinencia de lo solicitado. También los suministra a las entidades del sistema de seguridad social, cajas de compensación, administradoras de riesgos laborales y entidades financieras, en la medida necesaria para cumplir las obligaciones derivadas de cada relación. Fuera de estos casos, la compañía no vende, alquila ni cede datos personales a terceros.

21. INFORMACIÓN CREDITICIA Y GESTIÓN DE CARTERA

FLOMECOL concede crédito a sus clientes y, para ello, consulta y reporta información ante operadores de información financiera y crediticia, respecto de los cuales tiene la calidad de fuente. En esa actividad cumple la Ley 1266 de 2008, modificada por la Ley 2157 de 2021, y en particular:

– Solo consulta y reporta con autorización previa y expresa del titular, otorgada en el documento en que se solicita u otorga el crédito o en el pagaré, y conserva copia de ella. Sin esa autorización específica no hay consulta ni reporte, aunque el cliente haya autorizado el tratamiento de sus datos para otros fines.

– Garantiza que la información reportada sea veraz, completa, exacta, actualizada y comprobable, y la actualiza de manera periódica y oportuna.

– Antes de efectuar un reporte negativo envía al titular una comunicación previa, a la última dirección física o electrónica registrada, y solo procede al reporte transcurridos veinte (20) días calendario desde su envío, de modo que el titular pueda pagar o controvertir la obligación. Tratándose de obligaciones de cuantía igual o inferior al quince por ciento (15 %) de un salario mínimo legal mensual vigente, envía dos comunicaciones en días diferentes antes del reporte.

– Rectifica la información incorrecta, informa al operador cuando un dato se encuentra en discusión por el titular y atiende las peticiones y reclamos en los términos de ley.

Las gestiones de cobranza se adelantan con respeto por el deudor y con sujeción a la Ley 2300 de 2023: por los canales que el consumidor haya autorizado; de lunes a viernes entre las 7:00 a.m. y las 7:00 p.m. y los sábados entre las 8:00 a.m. y las 3:00 p.m.; sin contactos en domingos ni festivos; sin más de un contacto en el mismo día ni por varios canales en la misma semana, y sin acudir a las referencias personales o a terceros ajenos a la obligación.

22. COMUNICACIONES COMERCIALES Y PUBLICITARIAS

FLOMECOL solo envía mensajes publicitarios, promocionales o de mercadeo, por correo electrónico, mensajes de texto, aplicaciones de mensajería o llamadas, a quienes lo han autorizado. En toda comunicación se identifica como remitente y ofrece un mecanismo sencillo y gratuito para dejar de recibirlas, que se atiende sin exigir justificación. El envío de estos mensajes a consumidores respeta los horarios y la periodicidad de la Ley 2300 de 2023 descritos en el numeral anterior.

La publicidad de los productos se ajusta a la regulación sanitaria aplicable a cada categoría. Los testimonios, fotografías y videos de consumidores, trabajadores o profesionales de la salud solo se utilizan con autorización previa y expresa de la persona.

23. SITIO WEB, TIENDA EN LÍNEA Y REDES SOCIALES

23.1. Tienda en línea. Para comprar en www.flomecol.com el usuario suministra sus datos de identificación, contacto, envío y facturación y, si lo desea, crea una cuenta. Antes de finalizar la compra debe aceptar esta política. Los datos de las tarjetas y demás medios de pago son capturados y procesados directamente por las pasarelas de pago, bajo sus propios estándares de seguridad; FLOMECOL no almacena los datos completos de esos medios de pago.

23.2. Cookies y tecnologías similares. El sitio utiliza cookies propias y de terceros de tres tipos: (i) necesarias, que permiten la navegación, el inicio de sesión y el funcionamiento del carrito de compras; (ii) de análisis, que miden de forma agregada el uso del sitio, y (iii) de publicidad, que permiten mostrar contenidos acordes con los intereses del usuario. El usuario puede eliminarlas o bloquearlas en cualquier momento desde la configuración de su navegador, caso en el cual algunas funciones del sitio pueden no estar disponibles.

23.3. Redes sociales y mensajería. FLOMECOL tiene presencia en redes sociales y atiende a sus clientes por aplicaciones de mensajería. Los datos que el usuario publique o envíe por esos medios se usan para responderle y gestionar su solicitud. Cada plataforma es responsable del tratamiento que realiza conforme a sus propias políticas, que el usuario debe consultar. Se recomienda no publicar datos sensibles en comentarios o espacios abiertos.

23.4. Enlaces a otros sitios. El sitio puede contener enlaces a páginas de terceros. FLOMECOL no responde por las prácticas de privacidad de esos sitios.

24. VIDEOVIGILANCIA

FLOMECOL cuenta con un circuito cerrado de televisión en las áreas de trabajo, de producción, de almacenamiento y comunes de sus instalaciones. Las imágenes son datos personales y se tratan con las siguientes reglas:

– Finalidad: la seguridad de las personas, los bienes y las instalaciones; el control de acceso; la trazabilidad de los procesos; el aseguramiento de las condiciones sanitarias y de calidad propias de la actividad, y la verificación del cumplimiento de las obligaciones laborales, caso en el cual las imágenes pueden servir de prueba en los procesos disciplinarios internos, con traslado al trabajador para que ejerza su derecho de defensa.

– Información al titular: las zonas vigiladas se señalizan con avisos visibles que identifican a FLOMECOL como responsable e indican cómo consultar esta política.

– Proporcionalidad: no se instalan cámaras en baños, vestieres ni en otros espacios destinados a la intimidad de las personas, y el sistema no capta sonido.

– Acceso: solo acceden a las grabaciones la Representación Legal y las personas que esta autorice. Se entregan a terceros únicamente por orden de autoridad competente o cuando sean necesarias como prueba en una actuación interna, administrativa o judicial.

– Conservación: las grabaciones se conservan por treinta (30) días y luego se suprimen de forma automática, salvo las que deban preservarse como soporte de una investigación interna, de un requerimiento de autoridad o de un proceso en curso.

25. HERRAMIENTAS TECNOLÓGICAS CORPORATIVAS E INTELIGENCIA ARTIFICIAL

Los equipos, cuentas de correo, líneas telefónicas, aplicativos y demás herramientas que FLOMECOL entrega a sus trabajadores son de su propiedad y se destinan al desempeño de las funciones. La compañía puede registrar y monitorear su uso con fines de seguridad de la información, continuidad de la operación y verificación del cumplimiento de las obligaciones laborales, dentro de los límites de necesidad y proporcionalidad y sin acceder a cuentas o dispositivos personales del trabajador.

FLOMECOL no graba las llamadas que sostiene con clientes, proveedores o consumidores. Si en el futuro decide hacerlo, lo informará al interlocutor al inicio de cada comunicación y actualizará esta política.

El uso de sistemas de inteligencia artificial en la compañía se sujeta a los lineamientos de la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio y a las siguientes reglas: (i) solo se emplean las herramientas autorizadas por la compañía; (ii) está prohibido ingresar datos personales de trabajadores, clientes, consumidores o terceros en herramientas públicas o no autorizadas; (iii) ninguna decisión que produzca efectos jurídicos o que afecte de manera significativa a una persona, como su contratación, su evaluación, su sanción o el otorgamiento de un crédito, se adopta exclusivamente con base en un tratamiento automatizado, y siempre interviene una persona, y (iv) antes de incorporar una nueva herramienta que trate datos personales se evalúan sus riesgos para los titulares.

26. SEGURIDAD DE LA INFORMACIÓN

FLOMECOL adopta medidas técnicas, humanas y administrativas razonables y proporcionales a su tamaño, a la naturaleza de los datos y a los riesgos del tratamiento. Entre ellas:

– Acceso a las bases de datos limitado al personal que lo necesita para cumplir sus funciones, con usuarios y contraseñas individuales e intransferibles.

– Custodia de los archivos físicos, en especial las hojas de vida, los soportes de nómina y los documentos de seguridad y salud en el trabajo, en lugares con acceso restringido.

– Copias de respaldo periódicas, protección contra software malicioso y actualización de los sistemas.

– Acuerdos de confidencialidad con trabajadores, contratistas y terceros que acceden a información de la compañía.

– Retiro de accesos, devolución de equipos y entrega de información y credenciales al terminar la relación laboral o contractual.

– Prohibición de extraer, copiar o remitir bases de datos a cuentas o dispositivos personales.

– Destrucción segura de documentos y borrado seguro de los medios que contengan datos personales.

– Capacitación periódica del personal en protección de datos personales.

FLOMECOL no garantiza la seguridad absoluta de la información que circula por internet, pero se compromete a actuar con diligencia para prevenir, detectar y corregir cualquier vulneración.

27. GESTIÓN DE INCIDENTES DE SEGURIDAD

Todo trabajador, contratista o encargado que conozca o sospeche de la pérdida, el robo, el acceso no autorizado, la alteración o la divulgación indebida de datos personales debe informarlo de inmediato al área responsable de la protección de datos. Esta área: (i) contiene el incidente y preserva la evidencia; (ii) determina los datos y titulares afectados y evalúa el riesgo; (iii) adopta las medidas correctivas; (iv) informa sin dilación a la Superintendencia de Industria y Comercio, por el canal que esa entidad tenga dispuesto, cuando la violación de los códigos de seguridad genere riesgos en la administración de la información de los titulares; (v) informa a los titulares afectados cuando el incidente pueda perjudicarlos de manera significativa, para que adopten medidas de protección, y (vi) documenta lo ocurrido y las lecciones aprendidas.

28. CONSERVACIÓN Y SUPRESIÓN DE LOS DATOS

Los datos personales se conservan únicamente durante el tiempo razonable y necesario para cumplir las finalidades que justificaron su recolección (artículo 2.2.2.25.2.8 del Decreto 1074 de 2015). Cumplida la finalidad, se suprimen, salvo que deban conservarse para cumplir una obligación legal o contractual. Como criterios generales:

– Los datos de trabajadores se conservan durante la relación laboral y, terminada esta, por el tiempo necesario para expedir certificaciones, atender obligaciones en materia pensional y de seguridad social y ejercer la defensa de la compañía.

– Los documentos del Sistema de Gestión de Seguridad y Salud en el Trabajo se conservan por los términos que fija su reglamentación.

– Los libros, soportes contables y la correspondencia comercial, incluidos los datos de clientes y proveedores que en ellos constan, se conservan por el término legal de diez (10) años.

– Las hojas de vida de candidatos no seleccionados se conservan hasta por un (1) año.

– Las grabaciones de videovigilancia se conservan por el término señalado en el numeral 24.

– Los datos tratados para el envío de publicidad se conservan hasta que el titular revoque su autorización.

– La información crediticia reportada a operadores se rige por los términos de permanencia de la Ley 1266 de 2008.

29. REGISTRO NACIONAL DE BASES DE DATOS

FLOMECOL inscribirá sus bases de datos en el Registro Nacional de Bases de Datos que administra la Superintendencia de Industria y Comercio y mantendrá actualizada esa información cuando la obligación le sea exigible conforme al Capítulo 26 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015. La circunstancia de no estar obligada al registro no la releva de cumplir los demás deberes de esta política y de la ley.

30. RESPONSABILIDAD DEMOSTRADA

De conformidad con los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto 1074 de 2015, FLOMECOL implementa un programa de protección de datos proporcional a su tamaño, que comprende: la designación del área responsable; el inventario de bases de datos; los formatos de autorización y los avisos de privacidad; las cláusulas contractuales con trabajadores y encargados; la capacitación del personal; la atención de consultas y reclamos; la gestión de incidentes, y la revisión de esta política al menos una vez al año o cuando cambien las normas, los procesos o los riesgos de la compañía.

Privacidad desde el diseño. Antes de crear un nuevo formato, abrir un canal de recolección, contratar una herramienta tecnológica o iniciar una actividad que implique tratar datos personales, el área que la promueve debe consultar al área responsable de la protección de datos para verificar que se recolecten solo los datos necesarios, que exista autorización y que se hayan previsto las medidas de seguridad.

31. OBLIGACIONES DEL PERSONAL Y CONSECUENCIAS DEL INCUMPLIMIENTO

Los trabajadores, aprendices y contratistas de FLOMECOL deben: tratar los datos personales únicamente para el cumplimiento de sus funciones; guardar reserva sobre ellos, aun después de terminado el vínculo; no extraerlos, copiarlos ni compartirlos sin autorización; no recolectar datos por canales distintos de los establecidos; remitir de inmediato al área responsable toda consulta o reclamo que reciban de un titular, y reportar cualquier incidente de seguridad. El incumplimiento de esta política constituye violación de las obligaciones contractuales y reglamentarias y da lugar a las medidas previstas en el Reglamento Interno de Trabajo o en el contrato respectivo, previo el debido proceso, sin perjuicio de las responsabilidades civiles, administrativas y penales a que haya lugar.

32. RELACIÓN CON OTROS DOCUMENTOS DE LA COMPAÑÍA

Esta política es el documento al que remiten la Autorización para el Tratamiento de Datos Personales de los trabajadores, la Autorización de Uso de Derechos de Imagen, Voz y Declaraciones, el Acuerdo de Uso de Medios Tecnológicos, el Acuerdo de Confidencialidad y Secreto Empresarial, el formato de creación o actualización de clientes y la solicitud de crédito. Esos documentos contienen la autorización específica del titular para cada tratamiento y se interpretan de conformidad con esta política y con la ley.

33. VIGENCIA, PUBLICACIÓN Y MODIFICACIONES

Esta política rige a partir de la fecha de su aprobación por la Representación Legal y de su publicación en el sitio web www.flomecol.com, y reemplaza cualquier política o aviso de privacidad anterior de la compañía. Permanece además a disposición de los titulares en las instalaciones de la Calle 90 N.° 77-08 de Bogotá D.C.

Las bases de datos de FLOMECOL se mantienen vigentes mientras subsistan las finalidades para las cuales fueron recolectados los datos y los términos de conservación del numeral 28.

FLOMECOL puede modificar esta política. Los cambios sustanciales, en especial los que se refieran a la identificación del responsable o a las finalidades del tratamiento, se comunican a los titulares antes de implementarlos, o a más tardar en ese momento, mediante la publicación de la nueva versión en el sitio web y por los canales habituales de contacto. Cuando el cambio se refiera a la finalidad del tratamiento, se solicita una nueva autorización.

Aprobada en Bogotá D.C., a los 07 días del mes de octubre del año 2026.

EDNA LICETH PERDOMO URREGO

Representante Legal

FLORA MEDICINAL COLOMBIANA S.A.S.