Política 1 de 2021

Política de Tratamiento de Datos Personales Versión Fecha Elaborado por Revisado por Aprobado por Asamblea de Accionistas Agencia de Analítica de Datos S.A.S.

2.0 Octubre de 2021 Juan David Rey Conrado - Ágata Camilo Andrés Díaz Trillos - Ágata Sandra Borda - Ágata Diana Milena Barbosa - Ágata Alexander Estacio – Ágata Mauricio Solórzano - Ágata Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Contenido

1. Marco Legal 4

2. Objetivo 5

3. Objetivos Específicos 5

4. Alcance y Vigencia 6 4.1. Alcance 6 4.2. Vigencia de la Política 7 4.3. Vigencia de las Bases de Datos 7

5. Definiciones 8

6. Funciones y Responsabilidades 16 6.1. Asamblea de Accionistas 16 6.2. Junta Directiva 16 6.3. Representante Legal 16 6.4. Comité de Seguridad y Privacidad de la Información 17 6.5. Oficial de Protección de Datos Personales 18

7. Roles y Responsabilidades 19 7.1. Titular de la Información 19 7.2. Responsable del Tratamiento de Datos Personales 21 7.3. Encargado del Tratamiento de los datos 23

8. Políticas 25 8.1. Principios que rigen el tratamiento de datos personales 25 8.2. Política general en materia de protección de datos 27 8.3. Política general en materia de administración de bases de datos 27

9. Tratamiento de los Datos Personales 28 9.1. Recolección 28 9.2. Autorización del Titular 30

Fecha Clasificación Página Octubre de 2021 Público 2 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 9.2.1. Medios y manifestaciones para otorgar la autorización 31 9.2.2. Prueba de la autorización 32 9.2.3. Revocatoria de la autorización y/o supresión del dato 32 9.3. Avisos de Privacidad 33 9.3.1. Contenido mínimo del Aviso de Privacidad 34 9.3.2. Deber de acreditar la puesta a disposición del Aviso de Privacidad y las Políticas de Tratamiento de la información 35 9.3.3. Medios de difusión del Aviso de Privacidad y de las políticas de tratamiento de la información 35 9.4. Almacenamiento 35 9.5. Circulación 36 9.6. Supresión o eliminación 37

10. Uso y finalidades del Tratamiento en Ágata 38 10.1. Ciudadanos 38 10.2. Accionistas 39 10.3. Clientes 40 10.4. Empleados y exempleados 41 10.5. Proveedores 43

11. Canales de atención de consultas y reclamos 43 11.1. Consultas 44 11.2. Reclamos 45 11.3. Información que debe acreditar el Titular 46

12. Base de Datos Personales 46

13. Transferencia Internacional de Datos Personales 47

14. Comunicación y Formación 48

15. Auditoría Interna 48

16. Revisoría Fiscal 49

Control de Cambios 49 Fecha Clasificación Página Octubre de 2021 Público 3 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

1. Marco Legal

La presente Política de Tratamiento de Datos Personales de la Agencia de Analítica de Datos S.A.S. (en adelante “Ágata”, la “agencia” o la “empresa”), sociedad de economía mixta sometida al régimen de derecho privado y legalmente constituida bajo las leyes de la República de Colombia, identificada con NIT 901.441.856-8, con domicilio en Bogotá D.C., se encuentra fundamentada en lo preceptuado en el artículo 15 de la Constitución Política de Colombia de 1991, el cual prevé que: “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución”

Así mismo, se tiene que el marco de desarrollo y regulación del precepto constitucional antes referido, se encuentra previsto en la Ley 1266 de 2008 (reglamentada por el decreto 2952 de 2010), la Ley Estatutaria 1581 del 2012 “Por la cual se dictan disposiciones generales para la protección de datos personales”, reglamentada en el Decreto 1074 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo.”, y a su vez, en el Decreto 1078 de 2015 “Por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones”, en lo que este último resultare aplicable y la normativa que modifique, adicione, reglamente o sustituya el marco normativo antes mencionado..

Fecha Clasificación Página Octubre de 2021 Público 4 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

2. Objetivo

De conformidad con la misión de Ágata, se busca impulsar el uso de datos y analítica con el fin de generar valor al distrito y la ciudadanía, a través de la creación de productos y servicios de analítica, del desarrollo de un ecosistema de datos y analítica distrital y de colaboraciones con la academia, sector público y privado, con un modelo rentable y sostenible.

La presente Política de tratamiento de datos personales establece los lineamientos que deben ser aplicados a los datos personales que son objeto de tratamiento por parte de Ágata, con el propósito de garantizar y salvaguardar los derechos de sus titulares, así como el cumplimiento del régimen de protección de datos personales vigente en Colombia por parte de la Agencia sin afectar el cumplimiento de su misión.

3. Objetivos Específicos

El presente documento tiene como objetivos específicos los siguientes:

1. Identificar, medir, mitigar y controlar los diferentes riesgos que se puedan presentar en el tratamiento de los datos personales por parte de la Ágata

2. Establecer e informar sobre las modalidades de tratamiento de datos personales que realizará Agata.

3. Establecer e informar las finalidades del tratamiento de los datos personales que realiza Ágata.

4. Establecer los puntos de control preventivos, ya sean manuales o automáticos, que permitan mitigar los riesgos de pérdida, fuga o manipulación de los datos personales.

Fecha Clasificación Página Octubre de 2021 Público 5 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

5. Validar por lo menos una vez cada seis (6) meses, los controles implementados en la gestión de manejo de datos personales, con el fin de mitigar riesgo en pérdida, fuga o manipulación de los datos personales.

6. Ejecutar por lo menos una vez cada seis (6) meses, evaluaciones de impacto que permitan identificar vulnerabilidades en la captura, recepción y administración de los datos personales de la Ágata.

7. Establecer e informar el procedimiento para que los titulares de los datos personales puedan presentar consultas, reclamos, rectificaciones y autorizaciones respecto los datos personales que son objeto de tratamiento por Ágata.

8. Establecer e informar sobre el área responsable al interior de Ágata, de la atención de peticiones, consultas y reclamos ante la cual el titular de la información puede ejercer sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.

4. Alcance y Vigencia

4.1. Alcance Esta Política de Tratamiento de Datos Personales aplica al tratamiento de los datos personales que se encuentran en las bases de datos personales que Ágata recibe en ejercicio de sus actividades y cuyo origen corresponde a entidades públicas o privadas, trabajadores, colaboradores, proveedores y accionistas de Ágata, así como a los ciudadanos en general, y es de obligatorio cumplimiento para las áreas y los empleados de Ágata, así como para los contratistas, proveedores y terceros que actúen como encargados del tratamiento de los datos personales.

Fecha Clasificación Página Octubre de 2021 Público 6 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 4.2. Vigencia de la Política La presente Política para el Tratamiento de Datos Personales rige a partir del 28 de octubre de 2021.

4.3. Vigencia de las Bases de Datos Las Bases de Datos de la Agencia Analítica de Datos S.A.S. tendrán como vigencia el periodo que corresponda a la finalidad para la cual se autorizó su tratamiento y a las normas especiales que regulen la materia, así como aquellas normas que establezcan el ejercicio de las funciones legales asignadas a la Agencia.

Una vez finalizada la ejecución de las finalidades para las cuales fue autorizado el tratamiento por parte de los titulares y siempre que no exista un deber legal o contractual de conservar su información, los datos personales serán eliminados de las bases de datos de Ágata.

Tratándose de información financiera, crediticia, comercial o de servicios, la permanencia de la información negativa en las bases de datos de la Agencia está sujeta a las siguientes reglas, según lo dispuesto en el Título V de la Circular Única de la Superintendencia de Industria y Comercio: a) El término de permanencia de la información negativa no podrá exceder el doble de la mora reportada, cuando la misma sea inferior a dos (2) años. b) En el caso en que la mora reportada sea igual o superior a dos (2) años, el dato negativo permanecerá por cuatro (4) años más, contados a partir de la fecha en que se extinga la obligación por cualquier modo. c) En los casos en que la obligación permanezca insoluta, el término de caducidad de los datos negativos de un titular de información será de catorce (14) años Fecha Clasificación Página Octubre de 2021 Público 7 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 contados a partir de la fecha de exigibilidad de la obligación.

En lo relacionado con información personal de índole crediticia o financiera, serán aplicables las medidas contenidas en la Ley 2157 de 2021.

Cuando el titular de información presente un reclamo a Ágata por información en tratamiento en calidad de “Encargado de Tratamiento”, Ágata marcará la información con una leyenda de "reclamo en trámite" y elevará el reclamo al correspondiente “Responsable de Tratamiento” quien deberá pronunciarse dentro del término legal establecido para ello. Si el titular de información no está de acuerdo con la respuesta del Responsable de Tratamiento podrá presentar su reclamo ante la Superintendencia de Industria y Comercio para que ésta se pronuncie.

De conformidad con lo establecido en el artículo 13 de la Ley 1266 de 2008 los datos cuyo contenido haga referencia a una situación de incumplimiento o puedan interpretarse como observación negativa sobre datos personales de ciudadanos, empleados, exempleados, proveedores o contratistas serán eliminados de manera irrecuperable por Ágata en un tiempo de cuatro (4) años a partir de la subsanación de la causa que los originó o de la terminación de la relación contractual o laboral con la Agencia.

5. Definiciones

Archivo central: Es aquel al cual se transfiere y almacena el archivo de gestión de los diferentes procesos de Ágata, cuya consulta no es tan frecuente pero que siguen teniendo vigencia y pueden ser objeto de consulta.

Archivo de gestión: Es aquel en el que se reúne la documentación de la vigencia o en trámite sometida a continua utilización y consulta administrativa por parte de los Fecha Clasificación Página Octubre de 2021 Público 8 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 procesos de la Ágata.

Auditoría de datos personales: Es una de las herramientas de evaluación y revisión de los controles de la Gestión de Datos Personales GDP, que se ejecuta por parte de personal capacitado, que de manera independiente y a través de un muestreo, valida la conformidad de las actividades de Ágata frente al régimen de protección de datos personales, con el fin de identificar oportunidades de mejora.

Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.1 Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales.2 Base de datos: Conjunto organizado de datos personales que sea objeto de Tratamiento. La base de datos puede ser física o digital. 3 Conducta inequívoca: Es la autorización que se obtiene a partir de conductas evidentes, claras e incontrovertibles del titular que no admita duda o equivocación sobre su voluntad de dar su consentimiento para que sus datos sean tratados.

Contrato de transmisión de datos personales: Las transmisiones de datos personales que se efectúen entre un responsable y un encargado para permitir que el encargado realice el tratamiento por cuenta del responsable, no requerirán ser informadas al Titular ni contar con su consentimiento cuando exista un contrato de 1 Artículo 3 de la Ley Estatutaria 1581 de 2012.

2 Artículo 2.2.2.25.1.3. del Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo.

3 Artículo 3 de la Ley Estatutaria 1581 de 2012.

Fecha Clasificación Página Octubre de 2021 Público 9 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 transmisión de datos personales. Este contrato señalará los alcances del tratamiento, las actividades que el encargado realizará por cuenta del responsable para el tratamiento de los datos personales y las obligaciones del Encargado para con el titular y el responsable.

Mediante dicho contrato el Encargado se comprometerá a dar aplicación a las obligaciones del responsable bajo la Política de Tratamiento de la información fijada por este y a realizar el Tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables.

Controles de seguridad de la información: Es el conjunto de medidas preventivas, detectivas y correctivas establecidas por Ágata que permiten controlar y proteger la información, buscando mantener la confidencialidad, la disponibilidad e integridad de esta.

Dato personal: Se trata de cualquier información vinculada o que pueda asociarse a una persona determinada, como su nombre o número de identificación, o que puedan hacerla determinable, como sus rasgos físicos.4 Dato público: Es uno de los tipos de datos personales existentes. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.5 Dato privado: Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular. Los gustos o preferencias de las personas, por ejemplo, corresponden a 4 FORMATOS MODELO PARA EL CUMPLIMIENTO DE OBLIGACIONES. Superintendencia de Industria y Comercio. https://www.sic.gov.co/sites/default/files/files/Nuestra_Entidad/Publicaciones/Cartilla_formatos_datos_ Personales_nov22.pdf 5 Idem Fecha Clasificación Página Octubre de 2021 Público 10 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 un dato privado.6 Dato semiprivado: Son los datos que no tienen naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo al titular sino a cierto sector o a la sociedad en general. Los datos financieros y crediticios de la actividad comercial o de servicios, son algunos ejemplos.

Dato sensible: Son aquellos que afectan la intimidad del titular o pueden dar lugar a que lo discriminen, es decir, aquellos que revelan su origen racial o étnico, su orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos, entre otros.7 Datos Maestros: Datos maestros internos relativamente estáticos que requieren una definición y estructura común en toda la organización. Son los datos críticos para el negocio.

Datos Brutos: Documentos originales capturados en el formato que fueron entregados.

Data Transaccional: Datos que registran transacciones, estados o medidas con el fin de describir y dejar trazabilidad Data Analítica: Datos hechos por medio de otros datos con el fin de obtener insights significativos de los datos.

Metadata: Datos que describen a los datos. La metadata permite comprender ciertos atributos del dato asociado.

6 Idem 7 Idem Fecha Clasificación Página Octubre de 2021 Público 11 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Datos externos/ referenciales: Datos universales referenciales, que permiten un entendimiento general por todos los actores independiente de cualquier punto de vista.

Declaración de conformidad: Es la facultad que la ley le otorgó a la Superintendencia de Industria y Comercio – SIC para pronunciarse en los casos no contemplados como excepción a la regla general dispuesta en la ley 1581 de 2012 en el sentido de que se prohíbe la transferencia internacional de datos personales de cualquier tipo a países que no garanticen un nivel adecuado de protección de estos.8 Documento misional: Es aquel documento que se requiere para el cumplimiento del objetivo de un proceso.

Encargado del tratamiento de datos personales: Es la persona natural o jurídica que realiza el tratamiento de datos personales, a partir de una delegación que le hace el responsable, recibiendo instrucciones acerca de la forma en la que deberán ser administrados los datos.

Evaluaciones de Impacto de Privacidad: La evaluación de impacto de privacidad tiene como objetivo identificar y analizar cómo las acciones o actividades realizadas por la compañía pueden llegar a afectar la privacidad de los datos capturados o administrados por la Ágata.

Finalidad: Es la razón para la cual se utilizarán los Datos Personales y por la que se hace necesario que estén organizados en una base de datos. La finalidad debe ser legítima de acuerdo con la Constitución y la Ley.

Oficial de Protección de Datos Personales - OPD: Su función es velar por la implementación efectiva de las políticas y procedimientos adoptados por la 8 Guía Declaración de Conformidad. Superintendencia de Industria y Comercio.

Fecha Clasificación Página Octubre de 2021 Público 12 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 organización para cumplir las normas, así como la implementación de buenas prácticas de gestión de datos personales dentro de la Ágata.

Políticas de uso aceptable: Es el conjunto de reglas formales que regulan la forma en que puede utilizarse una red, una aplicación o una información. En Ágata, estas reglas se encuentran publicadas para que las partes interesadas conozcan cómo deben hacer uso de los productos y servicios asociados a la web con el fin de protegerlos a ellos, y a la Agencia de Analítica de Datos ante el posible riesgo cibernético y de fraude interno o externo.

Programa Integral de Gestión de Datos Personales - PIGD: En atención a lo previsto en el Decreto reglamentario 1377 de 2013 compilado en el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo 1074 de 2015, los responsables del tratamiento de datos personales deben ser capaces de demostrar que han implementado medidas apropiadas y efectivas para cumplir con sus deberes legales.

Régimen de protección de datos personales: Corresponde a la Ley Estatutaria 1581 de 2012, y tiene por objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma. Esta ley se reglamenta en parte por el Capítulo 25 del Decreto 1074 de 2015, Decreto único Reglamentario del sector Comercio, Industria y Turismo. La ley y el decreto referidos constituyen el marco legal de la presente política.

Registro Nacional de bases de Datos Personales - RNBD: Es el directorio público de las bases de datos sujetas a tratamiento que operan en el país, el cual es administrado por la Superintendencia de Industria y Comercio y es de libre consulta para los ciudadanos.

Fecha Clasificación Página Octubre de 2021 Público 13 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Responsable del tratamiento: Es la persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la finalidad de las bases de datos y/o el Tratamiento de los datos.9 Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo - SAGRILAFT: Es el sistema que tiene como objetivo prevenir, mitigar, monitorear y controlar que Ágata sea utilizada como medio o mecanismo para el Lavado de Activos o mecanismo para la Financiación del Terrorismo o para la Financiación de la Proliferación de armas de destrucción masiva.

Sistema de Gestión de Seguridad de la Información - SGSI: El Sistema de Gestión de Seguridad de la Información en Ágata es un conjunto de prácticas orientadas a garantizar la integridad, disponibilidad y confidencialidad de la información.

Superintendencia de Industria y Comercio – SIC: Es un organismo técnico, de carácter administrativo, adscrito al Ministerio de Comercio Industria y Turismo, cuya actividad está orientada a fortalecer los procesos de desarrollo empresarial y los niveles de satisfacción del consumo colombiano. La SIC es a través de una Delegatura para la Protección de Datos Personales, quien ejerce la vigilancia para garantizar que en el Tratamiento de datos personales se respeten los principios, derechos, garantías y procedimientos previstos en el régimen de protección de datos personales.

Tabla de retención documental: Constituye un instrumento archivístico que permite la clasificación documental de Ágata, acorde a su estructura orgánico - funcional, e indica los criterios de retención y disposición final resultante de la valoración documental por cada una de las agrupaciones documentales.

Titular del tratamiento de datos personales: Persona natural cuyos datos personales son objeto de Tratamiento.10 9 Artículo 3 de la Ley Estatutaria 1581 de 2012.

10 Idem Fecha Clasificación Página Octubre de 2021 Público 14 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Transferencia de Datos: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.11 Transmisión de Datos: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.12 Transparencia en el tratamiento de datos personales: Implica que, en el tratamiento de datos personales, se debe garantizar el derecho que tiene el titular a obtener del responsable o encargado del tratamiento en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernen.

Adicionalmente, la transparencia va más allá de los requisitos mínimos de ley e implica las buenas prácticas en la gestión de los datos para la protección de los derechos de los usuarios.

Tratamiento de datos personales: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.13

6. Funciones y Responsabilidades

11 Artículo 2.2.2.25.1.3. del Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo.

12 Idem.

13 Artículo 3 de la Ley Estatutaria 1581 de 2012.

Fecha Clasificación Página Octubre de 2021 Público 15 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 A continuación se describen los actores de la Agencia de Analítica de Datos S.A.S. involucrados en el Tratamiento de los datos personales y las responsabilidades que le han sido asignadas:

6.1. Asamblea de Accionistas Corresponde a la Asamblea de Accionistas de la Agencia Analítica de Datos S.A.S., sin perjuicio de las funciones propias a su cargo, las siguientes funciones en materia de Protección de Datos Personales: a. Aprobar la Política y el Manual de Protección de Datos Personales de la Agencia.

6.2. Junta Directiva Corresponde a la Junta Directiva de La Agencia de Analítica de Datos S.A.S. sin perjuicio de las funciones propias a su cargo, las siguientes funciones en materia de Protección de Datos Personales: a. Someter a la aprobación de la Asamblea de Accionistas, las mejoras, modificaciones o ajustes a la Política de Tratamiento de Datos Personales, cuando así lo requiera el Representante Legal o la Ley.

6.3. Representante Legal El Representante Legal de Ágata es el Gerente General de la Agencia, quien, en relación con el cumplimiento de la presente Política de Tratamiento de Datos Personales, tendrá a su cargo, como principales y entre otras, las siguientes funciones: a. Verificar que los procesos, procedimientos, y en general, todas las actividades que al interior de Ágata guarden relación con el tratamiento de Fecha Clasificación Página Octubre de 2021 Público 16 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 datos personales, se desarrollen en cumplimiento de esta Política. b. Prestar un efectivo y oportuno apoyo a los responsables de la administración y tratamiento de las bases de datos, con el fin de salvaguardar los derechos de los titulares de la información. c. Adoptar las medidas que resulten necesarias, tendientes a garantizar el cumplimiento de lo establecido en la presente Política. d. Presentar a la Junta Directiva las mejoras, modificaciones o ajustes a la Política de Tratamiento de Datos Personales.

6.4. Comité de Seguridad y Privacidad de la Información Sin perjuicio de las responsabilidades, el Comité de Seguridad y Privacidad de la Información, tendrá las siguientes funciones en materia de la gestión de datos personales: a. Apoyar a la Gerencia en el cumplimiento de las políticas de gestión de datos personales. b. Recomendar a la Gerencia cuando así se requiera, lineamientos en la gestión de datos personales. c. Analizar y evaluar la información de los niveles de exposición de riesgo de la gestión de datos personales. d. Hacer seguimiento a las actividades desarrolladas para identificar, medir, monitorear y controlar la gestión de datos personales. e. Proveer a los órganos decisorios de Ágata, estudios, análisis y pronósticos sobre el comportamiento de la gestión de datos personales.

6.5. Oficial de Protección de Datos Personales De conformidad con lo establecido en el artículo 2.2.2.25.4.4 del Decreto 1074 del 2015, la persona o área designada como Oficial de Protección de Datos Personales, deberá asumir la función de protección de datos personales y dará trámite a las Fecha Clasificación Página Octubre de 2021 Público 17 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 solicitudes de los titulares para el ejercicio de los derechos a los que hace referencia la ley 1581 de 2012. El Oficial de Protección de Datos Personales, tiene como labor principal la de estructurar, diseñar y administrar la gestión de datos personales en Ágata.

Asimismo, cumplir y hacer cumplir las normas, políticas y/o procedimientos sobre protección de datos personales, de igual forma establecer los controles de ese programa, su evaluación y revisión permanente.

Las funciones del Oficial de Protección de Datos Personales, entre otras, son las siguientes: a. Reportar al Gerente General y la Junta Directiva de Ágata la gestión de datos personales. b. Promover la elaboración e implementación de un sistema que permita administrar los riesgos del tratamiento de datos personales. c. Coordinar la definición e implementación de los controles del programa integral de Gestión de datos personales d. Registrar las Bases de Datos de Ágata en el registro nacional de bases de datos y actualizar el reporte atendiendo las instrucciones que sobre la misma emita la SIC. e. Realizar seguimiento, medición y control de la Política de Tratamiento de Datos Personales aprobada en Ágata. f. Realizar acompañamiento y asesoría al Representante Legal en la implementación y control de las políticas de protección de datos personales. g. Realizar acompañamiento y asesoría al Representante Legal en los requerimientos y comunicaciones externas en lo referente al manejo y cumplimiento de las normas y políticas de protección de datos personales. h. Identificar, actualizar, evaluar y controlar el inventario de los datos personales, asimismo identificar y evaluar nuevas recolecciones, usos y divulgaciones. i. Realizar monitoreo, seguimiento y control al impacto de las vulnerabilidades, y Fecha Clasificación Página Octubre de 2021 Público 18 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 riesgos identificados en lo referente a la protección de datos personales. j. Identificar, proponer, analizar, monitorear y controlar los protocolos de respuesta en el manejo de violaciones e incidentes en el manejo y cumplimiento de las políticas de protección de datos personales. k. Reportar al Representante Legal y a la Junta Directiva la evolución de los riesgos identificados, los controles implementados y en general el monitoreo del sistema de protección de datos personales. l. Diseñar y ejecutar por lo menos una vez cada año, la evaluación de impacto de privacidad cuando corresponda. m. Aquellas que bajo su rol y responsabilidad le sean asignados por el Representante Legal de la Ágata.

7. Roles y Responsabilidades

De conformidad con la legislación vigente, la Agencia de Analítica de Datos S.A.S. reconoce de manera general los siguientes roles en el tratamiento de datos personales:

7.1. Titular de la Información De conformidad con lo establecido en el literal f) del artículo 3 de la Ley Estatutaria 1581 de 2012, el Titular de la Información es la “Persona natural cuyos datos personales sean objeto de Tratamiento”.

En esa medida son titulares de la información las personas naturales cuyos datos personales se encuentren en bases de datos que se describirán más adelante, cuyo tratamiento es llevado a cabo por la Agencia, así como cualquier parte interesada que llegue a suministrar información de carácter personal.

De acuerdo con la Ley, son derechos de los titulares de la información, y por tanto se Fecha Clasificación Página Octubre de 2021 Público 19 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 consagran en la presente Política, los siguientes: a. Conocer, actualizar y rectificar sus datos personales frente al Responsable del Tratamiento o Encargado del Tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado. b. Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la Ley Estatutaria 1581 de 2012. c. Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que les ha dado a sus datos personales. d. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley Estatutaria 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen después de agotar el trámite de consulta o de reclamo, según sea el caso, ante los Responsables o Encargados de Tratamiento. e. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a la Ley Estatutaria 1581 de 2012 y a la Constitución. f. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento. 7.2. Responsable del Tratamiento de Datos Personales De acuerdo con lo previsto en el literal e) del artículo 3 de la Ley Estatutaria 1581 de 2012, el Responsable del Tratamiento de Datos Personales es la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la Fecha Clasificación Página Octubre de 2021 Público 20 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 base de datos y/o el Tratamiento de los datos”.

Con base en lo anterior, el Responsable del Tratamiento de los Datos Personales es la Agencia de Analítica de Datos S.A.S. sociedad por acciones simplificada, constituida mediante documento privado del 22 de diciembre de 2020, inscrita en la Cámara de Comercio de Bogotá, el 24 de diciembre de 2020, bajo el No. 02647961 del libro IX, con matrícula No. 03320204, identificada con NIT 901.441.856-8, con domicilio principal en Bogotá D.C. cuyos datos de contacto son los siguientes:

La dirección principal de la Agencia es: Carrera 11b No. 99-25 Oficina 6-106, Bogotá D.C., Colombia El correo electrónico de la Agencia es: juridica@agatadata.com Conforme a lo dispuesto en el artículo 17 de la Ley Estatutaria 1581 de 2012, Ágata, en calidad de Responsable del tratamiento de datos personales, debe cumplir los siguientes deberes, sin perjuicio de los demás que se encuentren previstos en la Ley y en las demás normas que rijan su actividad: a. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. b. Solicitar y conservar, en las condiciones previstas en la Ley, copia de la respectiva autorización otorgada por el Titular. c. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. d. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. e. Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible. f. Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la Fecha Clasificación Página Octubre de 2021 Público 21 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 información suministrada a éste se mantenga actualizada. g. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento. h. Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la Ley. i. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular de acuerdo con lo establecido en el presente documento. j. Tramitar las consultas y reclamos formulados en los términos señalados en la Ley. k. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley, y en especial, para la atención de consultas y reclamos. l. Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo. m. Informar a solicitud del Titular sobre el uso dado a sus datos. n. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. o. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio en relación con la materia.

7.3. Encargado del Tratamiento de los datos De conformidad con lo dispuesto en el literal d) del artículo 3 de la Ley Estatutaria 1581 de 2012, el Encargado del Tratamiento de Datos Personales es la “Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales por cuenta del Responsable del Tratamiento”.

Fecha Clasificación Página Octubre de 2021 Público 22 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Quien(es) resulte(n) ser el(los) Encargado(s) del tratamiento de datos personales de la Agencia, conforme a dicha definición legal, deberá(n) cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la Ley y en otras normas que rijan su actividad: a. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. b. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. c. Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley. d. Actualizar la información reportada por el Responsable del Tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo. e. Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la Ley. f. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares. g. Registrar en la base de datos la leyenda "reclamo en trámite" en la forma en que se regula en la Ley. h. Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal. i. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio. j. Permitir el acceso a la información únicamente a las personas que deben tener acceso a ella. k. Informar al Responsable del Tratamiento y a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

Fecha Clasificación Página Octubre de 2021 Público 23 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 l. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. m. Disponer la infraestructura idónea y necesaria para la administración de las bases de datos. n. Monitorear los procesos de captura de información y realizar el seguimiento de la calidad de los datos contenidos en las bodegas de datos. o. Garantizar la seguridad y confidencialidad de la información. p. Realizar un seguimiento periódico a los sistemas de información, garantizando su funcionalidad, capacidad de integración y sincronización de datos.

Ágata, de acuerdo con su misión, puede recibir información proveniente de entidades públicas con el objeto de ser administrada o tratada en el cumplimiento de fines públicos o con el propósito de construcción de políticas públicas. En dichos escenarios la Agencia de Analítica de Datos S.A.S. obra en el rol de “Encargado de Tratamiento” de aquellas entidades y cumple con todas las obligaciones descritas en el presente numeral y todas aquellas que queden estipuladas en los contratos de trasmisión de datos celebrados entre las partes.

Además, Ágata puede recibir información proveniente de entidades privadas con el objeto de ser administrada o tratada para el enriquecimiento de casos de uso con fines públicos o con el propósito de construir otros casos de uso, soluciones o productos que estén alineados con la misión de la agencia. En estos casos la Agencia de Analítica de Datos S.A.S. obra en el rol de “Encargado de Tratamiento” de aquellas entidades y cumple con todas las obligaciones descritas en el presente numeral y todas aquellas que queden estipuladas en los contratos de trasmisión de datos celebrados entre las partes.

8. Políticas

8.1. Principios que rigen el tratamiento de datos personales Fecha Clasificación Página Octubre de 2021 Público 24 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Ágata en cumplimiento de las disposiciones legales aplicables basa el Tratamiento de Datos Personales sobre los siguientes principios: a. Principio de legalidad y finalidad: El Tratamiento a que se refiere la presente política es una actividad reglada que se apega a lo establecido en la ley aplicable y vigente, y se motiva en finalidades legítimas de acuerdo a la Constitución y la Ley. b. Principio de libertad: Ágata realiza Tratamiento de Datos personales con el consentimiento, previo, expreso e informado del Titular cuando se requiera o en actividades que estén exentas de conformidad con lo previsto en el artículo 10 de la Ley 1581 de 2012 o sus decretos reglamentarios. Así mismo, Ágata garantiza que los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Ágata respeta el derecho que les asiste a todas las personas naturales de las cuales trata su información personal a conocer, rectificar y actualizar sus datos. c. Principio de veracidad o calidad: La información sujeta a Tratamiento en Ágata es veraz, completa, exacta, actualizada, comprobable y comprensible de acuerdo con los procesos de obtención o transferencia, enriquecimiento y calidad de datos. d. Principio de transparencia: Ágata garantiza que como Responsable o Encargado de Tratamiento respeta los derechos que les asiste a los Titulares para obtener, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan. e. Principio de acceso y circulación restringida: Para realizar el Tratamiento autorizado según lo dispuesto en la Ley, Ágata garantiza que los datos personales sólo son accedidos por las personas o Encargados de Tratamiento Fecha Clasificación Página Octubre de 2021 Público 25 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 autorizadas por Ágata según el consentimiento obtenido del Titular o por las personas previstas en la ley.

Ágata evita la publicación o divulgación de datos personales en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados. f. Principio de seguridad: Ágata realiza una gestión de prevención y mitigación de los diferentes riesgos que se presentan al momento de la captura, administración y gestión de datos personales y en consecuencia implementa las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los datos evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. g. Principio de confidencialidad: Ágata define procedimientos y controles para garantizar la reserva de la información, extendiendo la protección por empleados y terceros inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la Ley.

8.2. Política general en materia de protección de datos a. La Agencia reconoce la particularidad e importancia de identificar y proteger los datos personales y la información confidencial que le sea entregada ya sea como Responsable o Encargado de tratamiento, por los clientes, usuarios, terceros, trabajadores, contratistas, proveedores, accionistas, directivos, y en general cualquier parte interesada que llegue a suministrar información sensible o confidencial, evitando, en cualquier caso, la divulgación, difusión, modificación, utilización y destrucción no autorizada.

Fecha Clasificación Página Octubre de 2021 Público 26 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 b. El tratamiento que se le dará a la información recibida y almacenada estará de acuerdo con los lineamientos trazados por la Constitución Política y la Ley para fines comerciales, operativos, financieros, estadísticos, de prevención, de administración, de riesgo, según la autorización dada para el tratamiento. c. Los derechos con los cuales cuenta el titular de la información para la protección de sus datos serán publicados y puestos en los diferentes canales de comunicación que establezca Ágata para tal fin. d. El presente documento será revisado mínimo una (1) vez al año, o cuando se presente algún cambio importante en el contexto interno o externo de Ágata y que impacte el tratamiento de datos personales.

8.3. Política general en materia de administración de bases de datos a. Ágata establecerá y ejecutará los mecanismos necesarios para la recolección, uso y tratamiento de los datos personales y confidenciales obtenidos. b. Ágata propenderá por el adecuado manejo, captura y adquisición de información relacionada con el mercado actual y potencial, siendo el responsable en su calidad de encargado de su clasificación, almacenamiento, análisis y custodia. c. Ágata propenderá por el control efectivo y la correcta integración de la información, el control de las fuentes de datos externas y el cumplimiento de las políticas de confidencialidad, integridad y disponibilidad de la información, d. Ágata propenderá por el control efectivo de los datos recibidos en función de encargo, y el compromiso de los trabajadores para evitar su fuga, manipulación o pérdida. e. Ágata propenderá por que el manejo y administración de las bases de datos responda a patrones de captura, almacenamiento y custodia comprensibles para su uso, administración y transformación. f. La Agencia revisará y adaptará los protocolos de respuesta en el manejo de violaciones e incidentes de seguridad para implementar las mejores prácticas, recomendaciones y lecciones aprendidas ante situaciones de la misma índole.

Fecha Clasificación Página Octubre de 2021 Público 27 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

9. Tratamiento de los Datos Personales

De acuerdo con lo establecido en la Ley 1581 de 2012 y de conformidad con las autorizaciones impartidas por los titulares de la información, Ágata realizará operaciones o conjunto de operaciones que incluyen recolección de datos, su almacenamiento, uso, circulación y/o supresión. Este Tratamiento de datos se realizará exclusivamente para las finalidades autorizadas y previstas en la presente Política y en las autorizaciones específicas otorgadas por parte del Titular.

9.1. Recolección Para todas las bases de datos señaladas en el alcance de este documento, los trabajadores, contratistas y terceros deben cumplir con las siguientes disposiciones: a. Sólo se podrán solicitar o usar los datos personales que sean estrictamente necesarios para la finalidad para la cual son requeridos, de acuerdo con los objetivos definidos en los procesos pertinentes de Ágata. b. No se podrán recolectar ni recibir datos personales sin la debida autorización del titular, salvo cuando se trate de datos públicos o aquellos señalados en el Art. 10 de la Ley 1581 de 2012. La manera como se han de recolectar los datos personales dependerá de la naturaleza de los datos que se trate y será descrita para cada base de datos personales, en todo caso sólo se podrá realizar con el consentimiento previo, expreso e informado del titular. c. Queda expresamente prohibida la recolección de datos personales a través de prácticas como el engaño o el fraude. d. Si no es posible poner a disposición de los titulares la Política de tratamiento de datos personales, se les debe informar por medio de un Aviso de privacidad, en el momento de hacer la recolección de la información, sobre la existencia de esta Política, la manera de acceder a ella, la finalidad para la cual van a ser tratados sus datos y los derechos que tiene como titular respecto a que pueden conocer, actualizar, rectificar y suprimir datos, de tal manera que Fecha Clasificación Página Octubre de 2021 Público 28 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 satisfagan los propósitos del Tratamiento. e. Ágata establecerá los controles necesarios para que los datos personales recolectados por terceros, funcionarios y contratistas sean veraces, completos, exactos, actualizados, comprobables, comprensibles y que no induzcan a error por parte del titular del dato. f. Todos los funcionarios y contratistas están obligados a garantizar la reserva de la información personal recolectada, inclusive, después de finalizada la relación con Ágata.

Conforme a la clasificación de los datos personales establecidos en la legislación colombiana, se realizará el tratamiento a datos personales públicos, semiprivados, privados y sensibles, así como datos de niños, niñas y adolescentes.

Además de la recolección directa de datos personales desde los Titulares, Ágata puede recibir información con datos personales en calidad de Encargado de Tratamiento de entidades públicas o privadas, casos en los que mediante un Contrato de Transmisión de Información se aclarará el método de envío y recepción, las responsabilidades de protección y las finalidades del tratamiento. Del mismo modo deberá estipularse si la entidad Responsable del Tratamiento cuenta con las autorizaciones respectivas por parte de los Titulares o si la finalidad exceptúa la consecución de dichas autorizaciones de acuerdo con el artículo 10 de la Ley 1581 de 2012. 9.2. Autorización del Titular De acuerdo con el literal a) del artículo 3 de la Ley Estatutaria 1581 de 2012, la Autorización es el “Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales”, y el artículo 9 de la misma señala que “Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior”.

En esa medida, la recolección, almacenamiento, uso, circulación o supresión de Fecha Clasificación Página Octubre de 2021 Público 29 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 datos personales por parte de Ágata requiere del consentimiento libre, previo, expreso e informado del titular, salvo que sea aplicable el Art. 10 de la Ley 1581 de 2012.

En la misma línea, y conforme a las previsiones contenidas en el Capítulo II del Decreto reglamentario 1377 de 2013 compilado en el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo 1074 de 2015, se tienen como reglas para la Autorización del Titular de Datos Personales, las siguientes:

Ágata en calidad de Responsable del tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del titular para el tratamiento de éstos e informarle los datos personales que serán recolectados, así como todas las finalidades específicas del tratamiento para las cuales se obtiene el consentimiento.

Los datos personales que se encuentren en fuentes de acceso público, con independencia del medio por el cual se tenga acceso, entendiéndose por tales aquellos datos o bases de datos que se encuentren a disposición del público, pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos.

La autorización del titular no será necesaria cuando se trate de: a. Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial b. Datos de naturaleza pública c. Casos de urgencia médica o sanitaria d. Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos e. Datos relacionados con el Registro Civil de las Personas Fecha Clasificación Página Octubre de 2021 Público 30 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 9.2.1. Medios y manifestaciones para otorgar la autorización Estos medios o mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste: (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular, que permitan concluir de forma razonable que otorgó la autorización, excepto aquellos que se puedan correlacionar con base en el Art. 10 de la Ley 1581 de 2012.

Así las cosas, Ágata en calidad de Responsable del tratamiento de datos personales, establece que la autorización del titular puede constar en un documento físico, electrónico, mensaje de datos, otorgada mediante internet y/o sitios web, o en cualquier otro formato que permita garantizar su posterior consulta, o mediante un mecanismo técnico o tecnológico idóneo, que permita manifestar u obtener el consentimiento vía clic o doble clic, mediante el cual se pueda concluir de manera inequívoca que, de no haberse llevado a cabo una conducta del titular, los datos nunca hubieren sido capturados y almacenados en la base de datos. La autorización será conservada por Ágata y será puesta a disposición del titular cuando así lo solicite.

9.2.2. Prueba de la autorización Ágata utilizará los mecanismos con que cuenta e implementará las acciones necesarias para mantener los registros o mecanismos técnicos o tecnológicos idóneos acerca de cuándo y cómo fue obtenida la autorización por parte de los titulares de datos personales para el correspondiente tratamiento. Para el efecto, se podrán establecer archivos físicos o repositorios electrónicos.

Asimismo, Ágata podrá no requerir prueba de autorización para aquellos casos contemplados en el artículo 10 de la Ley Estatutaria 1581 de 2012.

Fecha Clasificación Página Octubre de 2021 Público 31 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Para los casos en que Ágata obre como Encargado del Tratamiento de Datos Personales, sin que exista ninguna disposición contraria establecida de común acuerdo con el Responsable del Tratamiento, este último será el responsable de demostrar que cuenta con las pruebas de las autorizaciones concedidas por los Titulares, salvo que no se requieran según el artículo 10 de la Ley 1581 de 2012.

9.2.3. Revocatoria de la autorización y/o supresión del dato Los Titulares podrán en todo momento solicitar a Ágata la supresión de sus datos personales o revocar la autorización otorgada para el tratamiento de estos, mediante la presentación de un reclamo, de acuerdo con lo establecido en el artículo 15 de la Ley 1581 de 2012 y el procedimiento establecido en la presente Política de Tratamiento de Datos Personales.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos de Ágata o cuando la finalidad del tratamiento esté exenta según el artículo 10 de la Ley 1581 de 2012.

La solicitud de supresión de la información y la revocatoria de autorización procederán cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento ÁGATA, en calidad de Responsable o Encargado, ha incurrido en conductas contrarias a la ley o a la Constitución según lo consagrado en el artículo 8 de la Ley 1581 de 2012.

9.3. Avisos de Privacidad Teniendo en cuenta lo establecido en el Artículo 2.2.2.25.3.2 Decreto 1074 de 2015 “…En los casos en los que no sea posible poner a disposición del Titular las políticas de tratamiento de la información, los responsables deberán informar por medio de un Fecha Clasificación Página Octubre de 2021 Público 32 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 aviso de privacidad al titular sobre la existencia de tales políticas y la forma de acceder a las mismas, de manera oportuna y en todo caso a más tardar al momento de la recolección de los datos personales...”.

En esa medida, los avisos de privacidad son documentos soportados en medios físicos, electrónicos o en cualquier otro formato conocido o por conocer que son puestos a disposición del titular para el tratamiento de sus datos personales.

A través de este se comunica al titular la información relativa a la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a ellas, la finalidad para la cual van a ser tratados sus datos, los derechos que tiene como titular y las demás características del tratamiento que se pretende dar a los datos personales.

Ágata como Responsable de Tratamiento debe garantizar la creación y publicación de los avisos de privacidad de acuerdo con los lineamientos de la presente Política. Cuando la agencia obre como Encargado de Tratamiento los avisos de privacidad deberán ser provistos por el Responsable y publicados por Ágata.

Asimismo, y conforme a las previsiones contenidas en el Capítulo III del Decreto reglamentario 1377 de 2013 compilado en el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo 1074 de 2015, se tienen como reglas para los Avisos de Privacidad, las siguientes:

9.3.1. Contenido mínimo del Aviso de Privacidad Los avisos de privacidad deberán constar mínimo de: a. El nombre o razón social de Ágata b. Datos de contacto de Ágata c. Responsable del tratamiento Fecha Clasificación Página Octubre de 2021 Público 33 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 d. Tratamiento al cual serán sometidos los datos e. La finalidad del Tratamiento f. Los derechos que le asisten al titular g. Los mecanismos dispuestos por Ágata en calidad de responsable, para que el titular conozca la Política de Tratamiento de Datos Personales h. Los cambios sustanciales que se produzcan en la Política de Tratamiento de Datos Personales o en el aviso de privacidad correspondiente.

Cuando se recolecten datos personales sensibles, el aviso de privacidad deberá señalar expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

En este caso, además de cumplir con los requisitos establecidos para la autorización se deberá:

- Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.
- Informar al Titular cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento.

9.3.2. Deber de acreditar la puesta a disposición del Aviso de Privacidad y las Políticas de Tratamiento de la información Ágata debe mantener evidencia de los Avisos de Privacidad construidos y publicados como Responsable de Tratamiento.

En los casos en que Ágata obre como Encargado del Tratamiento, el Responsable debe remitir a Ágata el modelo del Aviso de Privacidad que sea utilizado para cumplir con el deber que se tiene de dar a conocer a los Titulares la existencia de políticas del tratamiento de la información y la forma de acceder a las mismas, Fecha Clasificación Página Octubre de 2021 Público 34 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 mientras se traten datos personales conforme al mismo y perduren las obligaciones que de este se deriven.

Para el almacenamiento del modelo, Ágata podrá emplear medios informáticos, electrónicos o cualquier otra tecnología que garantice el cumplimiento de lo previsto en la Ley 527 de 1999, y los principios de integridad, confidencialidad y disponibilidad de la información.

9.3.3. Medios de difusión del Aviso de Privacidad y de las políticas de tratamiento de la información Ágata como Responsable de Tratamiento, o el Responsable a quien Ágata preste sus servicios como Encargado de Tratamiento podrán valerse de documentos, formatos electrónicos, medios verbales o cualquier otra tecnología, los cuales deberán ser almacenados por Ágata de manera digital con el fin de garantizar la integridad, confidencialidad y disponibilidad de la información.

9.4. Almacenamiento Ágata almacena los datos personales recolectados directamente o recibidos de otros Responsables de Tratamiento en repositorios provistos de controles de seguridad que garantizan el acceso controlado, monitorización permanente y la integridad de la información mediante las medidas técnicas, humanas y administrativas necesarias.

Los datos de información personal que trata Ágata, deben conservarse en las bases de datos físicas y digitales pertinentes durante el tiempo que sea necesario hacerlo, atendiendo las finalidades debidamente autorizadas y que justificaron su tratamiento.

El tiempo de conservación de la información en las bases de datos personales debe atender los aspectos administrativos, contables, fiscales, jurídicos e históricos de la Fecha Clasificación Página Octubre de 2021 Público 35 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 información y en línea con lo definido en el proceso de gestión documental de Ágata, cada área debe documentar esos tiempos en su respectiva tabla de retención documental.

9.5. Circulación La circulación de los datos personales en Ágata procede únicamente para el cumplimiento de las finalidades definidas en esta política y autorizadas previamente por los titulares de la información o por los Responsables de Tratamiento quienes han encargado a Ágata para realizar tratamientos específicos autorizados por sus Políticas de Tratamiento de Datos y los Titulares según corresponda.

En cualquier caso, la transferencia y transmisión de información de datos personales será realizada tomando las medidas humanas, administrativas y técnicas necesarias para garantizar el envío y recepción seguro de la información, el tratamiento adecuado y la supresión de la información una vez terminen las actividades definidas.

Los empleados, contratistas y terceros de Ágata tienen acceso restringido a la información de datos personales y sólo podrán circularlos para la finalidad para la cual son requeridos, de acuerdo con los objetivos definidos en los procesos pertinentes de la Ágata.

Cuando no es necesario mantener la asociación de los datos con sus titulares, Agata realiza procesos de impersonalización, disociación o anonimización de los datos personales antes de circularlos.

9.6. Supresión o eliminación Ágata, como Responsable del Tratamiento de información recolectada directamente de los Titulares, elimina de sus sistemas de información y de cualquier Fecha Clasificación Página Octubre de 2021 Público 36 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 otro medio, incluyendo copias de seguridad, los datos personales cuando la finalidad de tratamiento haya sido completada y no exista ninguna disposición o mandato legal que requiera su preservación.

Cuando Ágata obra como Encargado de Tratamiento para otro Responsable, elimina de sus sistemas de información y de cualquier otro medio, incluyendo copias de seguridad, los datos personales recibidos después de finalizar la ejecución de las finalidades para las que fue encargada.

En los casos en que un Titular solicite la eliminación, parcial o total, de sus datos personales, Ágatá procederá a realizar la eliminación si no existe una disposición o mandato legal que no lo permita.

Las áreas deben cumplir estrictamente con los tiempos definidos en los archivos de gestión para que se realicen oportunamente los traslados al archivo central según corresponda. Si el tiempo de retención se cumple y el destino final definido es la eliminación, debe realizarse acta de eliminación, de acuerdo con lo establecido en los procesos de gestión documental y gestión ambiental de Ágata, teniendo en cuenta que, si la información personal se constituye en una documentación misional del área, es requerido que el acta de eliminación cuente con el aval del comité de archivo.

Es muy importante resaltar que, no obstante lo anterior, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual.

10. Uso y finalidades del Tratamiento en Ágata

Además de los lineamientos establecidos dentro del artículo 145 del Acuerdo Distrital 761 de 2020, se establecen las siguientes finalidades para cada uno de los diferentes segmentos identificados en Ágata.

Fecha Clasificación Página Octubre de 2021 Público 37 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 10.1. Ciudadanos Las finalidades para el tratamiento de los datos personales de los ciudadanos son las siguientes: a. Efectuar las gestiones pertinentes para el desarrollo del objeto social de Ágata. b. Realizar invitaciones a eventos y ofrecer nuevos productos y servicios. c. Efectuar encuestas en función del objeto social de Ágata respecto de los servicios ofrecidos. d. Contactar al Titular a través de medios telefónicos, SMS o digitales para realizar encuestas, estudios o confirmación de datos personales necesarios para la ejecución del objeto social de la Agencia. e. Realizar estadísticas de uso de los servicios brindados por la Alcaldía de Bogotá, de sus entidades, empresas u organizaciones o donde esta tenga una participación en la composición accionaria superior al 50%. f. Almacenar como encargado los datos personales o confidenciales remitidos por las diferentes partes interesadas garantizando en todo momento la integridad, confiabilidad y disponibilidad. g. Contar con el soporte de autorización necesario ante los entes de control. h. En el caso de los visitantes que registran sus datos personales al ingresar a las instalaciones de Ágata, la finalidad para la cual tratamos sus datos personales es la siguiente:

- Controlar el acceso y garantizar la seguridad de las instalaciones de Ágata.

i. Gestión necesaria para los propósitos del Sistema de Administración de los Riesgos de Lavado de Activos y Financiación del Terrorismo (SARLAFT). j. Las demás finalidades estrechamente asociadas y necesarias para cumplir con su objeto social.

Fecha Clasificación Página Octubre de 2021 Público 38 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 10.2. Accionistas Las finalidades del tratamiento de los datos personales de los accionistas directos son: a. Brindar información relativa al desempeño de las acciones de Ágata, tales como, precio, nombre de sociedades comisionistas de bolsa, o forma de compra y/o venta de acciones de Ágata. b. No se requerirá autorización expresa para el tratamiento de los datos personales para:

1. Toda la gestión que rige la relación con los accionistas
2. El control del volumen de acciones
3. La gestión del pago de dividendos
4. La gestión de solicitudes de información de los accionistas
5. El envío de noticias sobre el comportamiento de las acciones y bonos.
6. El envío de noticias sobre la organización de eventos en torno a la comunidad accionista
7. Las demás que rigen la relación con el accionista.

c. Gestión necesaria para los propósitos del Sistema de Administración de los Riesgos de Lavado de Activos y Financiación del Terrorismo (SARLAFT). d. Contar con el soporte necesario ante los entes de control.

La finalidad del tratamiento de datos personales de los accionistas potenciales es: a. Brindar información relativa al desempeño de las acciones de Ágata, tales como, precio, nombre de sociedades comisionistas de bolsa o forma de compra y/o venta de acciones de la Ágata. b. Gestión de acciones necesarias para cumplir los fines de mercadeo, tales como:

Fecha Clasificación Página Octubre de 2021 Público 39 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

1. Comunicar eficientemente información propia de Ágata, así como de nuestras filiales y aliados comerciales, sobre productos, servicios, ofertas.
2. Informar sobre nuevos productos o servicios que estén relacionados con el o los servicios adquiridos.
3. Evaluar la calidad de el o los servicios.
4. Informar sobre cambios de nuestros productos o servicios.
5. Realizar estudios de mercado sobre hábitos de consumo.

c. Gestión necesaria para los propósitos del Sistema de Administración de los Riesgos de Lavado de Activos y Financiación del Terrorismo (SARLAFT). d. Las demás finalidades estrechamente asociadas y necesarias para cumplir los fines de mercadeo.

10.3. Clientes Las finalidades para el tratamiento de datos personales contenidos en bases de datos personales de responsabilidad de los clientes son las siguientes: a. Efectuar las gestiones pertinentes para el desarrollo del objeto de Ágata. b. Realizar estadísticas de uso de los servicios brindados por la Alcaldía de Bogotá, de sus empresas u organizaciones o donde esta tenga una participación en la composición accionaria superior al 50%. c. Realizar invitaciones a eventos y ofrecer nuevos productos y servicios. d. Efectuar encuestas en función del objeto de Ágata respecto de los servicios ofrecidos. e. Contactar a través de medios telefónicos, SMS o digitales para realizar encuestas, estudios o confirmación de datos personales necesarios para la ejecución del objeto social de la Agencia. f. Almacenar los datos personales o confidenciales remitidos garantizando en todo momento la integridad, confiabilidad y disponibilidad.

Fecha Clasificación Página Octubre de 2021 Público 40 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 g. En el caso de los visitantes que registran sus datos personales al ingresar a las instalaciones de Ágata, la finalidad para la cual tratamos sus datos personales es la siguiente:

- Controlar el acceso y garantizar la seguridad de las instalaciones de Ágata.

h. Gestión necesaria para los propósitos del Sistema de Administración de los Riesgos de Lavado de Activos y Financiación del Terrorismo (SARLAFT). i. Contar con el soporte de autorización necesario ante los entes de control. j. Las demás finalidades estrechamente asociadas y necesarias para cumplir con su objeto social.

10.4. Empleados y exempleados Las finalidades para el tratamiento de los datos personales de los trabajadores activos y retirados son las siguientes: a. Efectuar las gestiones pertinentes para el desarrollo de la Ágata. b. Realizar invitaciones a eventos y ofrecer nuevos productos y servicios. c. Efectuar encuestas en función de Ágata respecto de los servicios ofrecidos. d. Contactar a través de medios telefónicos, SMS o digitales para realizar encuestas, estudios o confirmación de datos personales necesarios para la ejecución del objeto social de la Agencia. e. Almacenar los datos personales o confidenciales remitidos garantizando en todo momento la integridad, confiabilidad y disponibilidad. f. Contar con el soporte de autorización necesario ante los entes de control sobre la gestión de la Ágata. g. Gestión necesaria para los propósitos del Sistema de Administración de los Riesgos de Lavado de Activos y Financiación del Terrorismo (SARLAFT). h. Gestión necesaria de la nómina y el sistema de seguridad social de acuerdo Fecha Clasificación Página Octubre de 2021 Público 41 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 con la normatividad aplicable y vigente. i. Cumplir con los objetivos y actividades relacionadas con capacitación y el bienestar laboral para empleados y sus beneficiarios (hijos, cónyuge, compañero permanente). j. Elaborar la nómina y liquidación de las prestaciones económicas de los exfuncionarios y sus novedades (se incluyen, entre otras, ingresos, retiros, licencias no remuneradas, licencias por enfermedad, reubicaciones, encargos, coordinaciones, primas técnicas, vacaciones, horas extras, aportes fomento a la construcción-AFC y cualquier otra relacionada). k. Expedir certificaciones laborales u otras certificaciones solicitadas por empleados o exempleados. l. Contar con el soporte de autorización necesario ante los entes de control. m. Las demás finalidades estrechamente asociadas y necesarias para cumplir con su objeto social.

10.5. Proveedores Las finalidades para el tratamiento de los datos personales de los proveedores son las siguientes: a. Efectuar las gestiones pertinentes para el desarrollo del objeto social de la compañía. b. Realizar invitaciones a eventos y ofrecer nuevos productos y servicios. c. Efectuar encuestas en función del objeto social de la compañía respecto de los servicios ofrecidos. d. Contactar a través de medios telefónicos, SMS, digitales o chat para realizar encuestas, estudios o confirmación de datos personales necesarios para la ejecución del objeto social de la Agencia. e. Almacenar los datos personales o confidenciales remitidos garantizando en todo momento la integridad, confiabilidad y disponibilidad. f. Gestión necesaria para los propósitos del Sistema de Administración de los Fecha Clasificación Página Octubre de 2021 Público 42 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Riesgos de Lavado de Activos y Financiación del Terrorismo (SARLAFT). g. Contar con el soporte de autorización necesario ante los entes de control. h. Las demás finalidades estrechamente asociadas y necesarias para cumplir con su objeto social.

11. Canales de atención de consultas y reclamos

Los Titulares de Información tienen derecho a conocer qué información personal suya tiene Ágata, y si lo consideran necesario, tienen derecho a actualizarla o rectificarla.

Asimismo, tienen derecho a requerir que se les suprima datos y a revocar la autorización otorgada para tratar su información personal, sólo en el caso de que la finalidad para la cual se están tratando sus datos no esté exceptuada por el artículo 10 de la Ley 1581 de 2012.

También tienen derecho a efectuar reclamo si consideran que Ágata, como responsable o encargado del tratamiento, está incumpliendo con el régimen de protección de datos personales. Si Ágata incumple con los tiempos legalmente establecidos para dar respuesta, o si el Titular considera que la respuesta incumple con el régimen de protección de datos personales, el Titular podrá elevar una queja ante la Superintendencia de Industria y Comercio - SIC.

El área de Ágata encargada de atender los derechos que tienen los titulares actuales y potenciales en materia de tratamiento de datos personales, es la del Oficial de Protección de Datos o quien haga sus veces.

Ágata ha dispuesto múltiples canales de atención con el fin de garantizar que se puedan ejercer estos derechos. Los canales establecidos son:

- Página web: https://www.agatadata.com sección Contáctenos, Datos Personales.

Fecha Clasificación Página Octubre de 2021 Público 43 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

- Dirección física: Carrera 11b No. 99-25 Oficina 6-106 Bogotá D.C., Colombia
- Correo electrónico: datospersonales@agatadata.com

11.1. Consultas Las consultas que buscan identificar la información personal con la que cuenta Ágata y las autorizaciones correspondientes podrán ser realizadas a través de los canales de atención mencionados en el numeral anterior por un Titular de Información o por un ciudadano con propósito legítimo.

Quien realice consultas debe acreditar la información descrita en el numeral 11.3. de la presente política.

Ágata enviará confirmación de la recepción de la consulta al correo electrónico registrado y a partir de ese momento dispondrá de diez (10) días hábiles para responder. En caso de tener dificultad con la consecución de la información, se informará, expresando los motivos de la demora y la fecha estimada para la entrega de la información solicitada sin exceder los cinco (5) días hábiles siguientes al vencimiento del primer término.

11.2. Reclamos En caso de que la necesidad sea la de actualizar, rectificar, suprimir parcialmente datos personales o efectuar algún reclamo por considerar que Ágata está incumpliendo con el régimen de protección de datos personales, el titular dispone de los canales de atención descritos en el numeral 11.

Quien realice reclamos debe acreditar la información descrita en el numeral 11.3. de la presente política.

Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5)

Fecha Clasificación Página Octubre de 2021 Público 44 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 días hábiles siguientes a la recepción del reclamo para que complete la información de manera adecuada. Si transcurridos dos (2) meses desde la fecha del requerimiento el solicitante no presenta la información requerida, se entenderá que ha desistido del reclamo.

En caso que Ágata no sea competente para resolver el reclamo, se dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al solicitante.

Una vez recibido el reclamo completo, Ágata incluirá en la base de datos en un término no mayor a cinco (5) días hábiles, una leyenda que diga “Reclamo en trámite” la cual se mantendrá hasta que el reclamo sea decidido.

Ágata contará con quince (15) días hábiles a partir de la fecha en que se realiza el reclamo para informar por escrito sobre su resolución y en caso de tener dificultad con la resolución se informará la fecha estimada para la resolución definitiva sin exceder los ocho (8) días hábiles más.

11.3. Información que debe acreditar el Titular Los Titulares de los datos personales o cualquier persona habilitado legalmente para realizar consultas o reclamos debe acreditar la siguiente información:

- Nombres y Apellidos completos
- Tipo y número de documento de identificación
- Dirección de residencia
- Teléfono de contacto
- Dirección de correo electrónico
- Descripción de los hechos que dan lugar al reclamo o Descripción detallada de la consulta
- Documentos que soportan la solicitud (sólo aplicable a reclamos)

Fecha Clasificación Página Octubre de 2021 Público 45 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0

12. Base de Datos Personales

Ágata para cumplir con las finalidades de tratamiento descritas en la presente Política de tratamiento de Datos creará, mantendrá y gestionará las bases de datos que sean necesarias, las cuales de acuerdo con la legislación vigente serán reportadas a la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos en los tiempos establecidos por la Ley.

13. Transferencia Internacional de Datos Personales

Sólo se podrá realizar transferencia internacional de datos personales cuando el titular haya otorgado autorización expresa e inequívoca para la transferencia conforme al artículo 26 de la Ley 1581 de 2012, o en los casos que no requieran autorización de acuerdo con lo establecido en el artículo 10 de la Ley 1581 de 2012 para el cumplimiento del objeto social de la Ágata.

La transferencia internacional de datos se sujetará a lo dispuesto en el Decreto 1074 de 2015 Sector Comercio, Industria y Turismo, Sección 5 “TRANSFERENCIAS Y TRANSMISIONES INTERNACIONALES DE DATOS PERSONALES”.

Si la transferencia internacional de datos personales es requerida sin cumplir con los requisitos señalados en este numeral, debe elevarse consulta jurídica a través de los canales internos dispuestos para tal fin, para que, si es el caso, el Oficial de protección de datos personales de Ágata requiera a la Superintendencia de Industria y Comercio, la respectiva declaración de conformidad para poder realizar la transferencia.

Ágata podrá intercambiar o transferir información personal con autoridades Fecha Clasificación Página Octubre de 2021 Público 46 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 gubernamentales, públicas o de otro tipo (incluidas, entre otras autoridades judiciales o administrativas, autoridades fiscales y organismos de investigación penal, civil, administrativa, disciplinaria y fiscal), así como con terceros nacionales y extranjeros siempre y cuando resulte necesario: a. Para cumplir con las leyes vigentes, o vinculantes al Estado Colombiano. b. Para cumplir con procesos judiciales c. Para responder las solicitudes de las autoridades control d. Para hacer cumplir los términos y condiciones de las políticas de privacidad y tratamiento de información personal de Ágata e. Para proteger las operaciones de Ágata f. Para proteger los derechos, privacidad, seguridad o propiedad sobre los activos de información respecto de los cuales Ágata realiza tratamiento g. Para obtener las indemnizaciones aplicables o limitar los daños y perjuicios que puedan afectar Ágata h. Para dar cumplimiento a las finalidades del tratamiento aceptadas por el titular de información.

14. Comunicación y Formación

La comunicación guarda relación con las actividades de divulgación hacía los titulares, en cuanto a los procedimientos y canales de atención establecidos para que puedan ejercer sus derechos y, las actividades inherentes a la gestión de las consultas, reclamos y peticiones de los titulares para cada una de las Bases de datos personales con que cuenta la Ágata.

En esa medida, para el cumplimiento del régimen de protección de datos personales, deben existir y darse divulgaciones a empleados y contratistas, y generar capacitaciones con ocasión de dichos fines de comunicación y formación, encaminadas a la eficaz implementación de los controles que garantizan el cumplimiento de esta política.

Fecha Clasificación Página Octubre de 2021 Público 47 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 El Oficial de Protección de Datos Personales o quien haga sus veces, debe presentar y ejecutar un plan de capacitación aprobado por el Comité de Ética, con el fin de divulgar y dar a conocer las políticas dispuestas en el presente documento.

15. Auditoría Interna

Además de los ejercicios de auditoría interna y externa, debe incluirse en los planes de auditoría el ejercicio periódico, la auditoría de Tratamiento de datos personales, la revisión de controles y el seguimiento efectivo de los procedimientos de captura de estos.

16. Revisoría Fiscal

Los encargados del Tratamiento de datos personales, así como los contratistas, proveedores y terceros en general son gestionados en Ágata a través del proceso de monitoreo y control de partes.

A este grupo de interés de la organización le deben ser aplicables todos y cada uno de los controles antes descritos, a través de los cuales se asegure la implementación del régimen de protección de datos personales que les sea pertinente.

Asimismo, debe incluirse dentro del informe de Gestión entregado a Ágata, la auditoría de la Gestión de tratamiento de datos personales, la revisión de controles y el seguimiento efectivo de los procedimientos de captura y administración de estos.

De igual manera se debe incluir en el informe de gestión, las actividades realizadas por el Comité de Ética y el cumplimiento de las funciones establecidas en el presente manual.

Fecha Clasificación Página Octubre de 2021 Público 48 de 49 Código Política SI-PO-001 Versión Política de Tratamiento de Datos Personales 2.0 Control de Cambios Versión Fecha Descripción del cambio Aprobado por 1.0 Noviembre 20 de 2020 Documento inicial Manuel Riaño – Líder Proyecto para la constitución de La Agencia Analítica de Datos del Distrito Asamblea de Accionistas de la Agencia de Analítica de Datos S.A.S - Ágata.

2.0 Octubre de 2021 Inclusión de imagen corporativa Alineación con la operación de la Agencia Definición de responsabilidades Respuesta a la Resolución Número 47231 de 2021 de la SIC Fecha Clasificación Página Octubre de 2021 Público 49 de 49