Política de Tratamiento de Datos Personales y Privacidad

Esta política se aplica al sitio grcatlassentinel.com y al servicio ATLAS SENTINEL GRC. ATLAS es la denominación del servicio, no una identificación jurídica independiente.

El operador del servicio determina las finalidades de los datos necesarios para gestionar sus relaciones comerciales, cuentas y atención a usuarios. En cambio, la organización cliente determina las finalidades de los datos personales que incorpora a sus expedientes de cumplimiento; su tratamiento por cuenta del cliente se regula en el acuerdo contractual correspondiente.

Una misma información puede tener tratamientos distintos según su finalidad. Esta distinción no exime al operador ni al cliente de sus respectivas obligaciones.

Se trata la información proporcionada para crear y administrar cuentas, identificar a sus usuarios autorizados, responder solicitudes y prestar las funciones contratadas. Puede incluir nombre, correo, cargo, organización y comunicaciones de soporte.

También se generan datos de sesión, permisos y actividad necesarios para autenticar usuarios, proteger el servicio, investigar incidentes y mantener trazabilidad. Los expedientes cargados por el cliente pueden contener datos de empleados, proveedores u otras personas.

Cada finalidad requiere una base jurídica válida conforme a la ley aplicable. Cuando corresponda, se obtendrá autorización o consentimiento informado; cuando procedan otras bases, como un contrato, una obligación legal o un interés legítimo, deberán cumplirse sus condiciones. El contrato con una organización no constituye por sí solo consentimiento de todas las personas cuyos datos incorpora.

La información debe limitarse a lo necesario. No incorpore datos sensibles o de menores sin necesidad justificada, habilitación legal y las medidas de protección correspondientes. El servicio está dirigido a organizaciones y profesionales.

La prestación del servicio puede requerir proveedores de alojamiento, autenticación, comunicaciones u otras funciones. Su acceso debe limitarse a la finalidad autorizada y sujetarse a obligaciones de confidencialidad, seguridad y tratamiento de datos.

El alojamiento o acceso desde otro país requiere evaluar la normativa de origen y destino. Cuando proceda, deben establecerse garantías y mecanismos válidos, como decisiones de adecuación o cláusulas contractuales aplicables. No se presume que cualquier proveedor o país ofrezca protección suficiente.

El acuerdo con el cliente debe identificar los tratamientos, proveedores pertinentes, localizaciones y condiciones de incorporación o cambio. Una referencia genérica a esta política no sustituye esas condiciones.

La conservación depende de la finalidad, las obligaciones legales y el acuerdo del servicio. La información no debe mantenerse indefinidamente por el solo hecho de haber sido registrada. Al terminar su necesidad de conservación, corresponde eliminarla o anonimizarla, salvo que exista una obligación válida de retenerla.

Los permisos, controles de acceso, trazabilidad y gestión de incidentes contribuyen a proteger la información. Su existencia no equivale a una certificación ni elimina todo riesgo. El cliente debe administrar correctamente sus usuarios y permisos.

Ante una brecha de datos personales, se evaluarán alcance, riesgos y obligaciones de notificación. Las comunicaciones al cliente, autoridades y personas afectadas se realizarán cuando corresponda y en los plazos aplicables; no toda incidencia exige notificar a todos los destinatarios.

Según la normativa aplicable, las personas pueden solicitar acceso, actualización, rectificación o eliminación, revocar su consentimiento y ejercer derechos de oposición, limitación o portabilidad cuando procedan. Estos derechos tienen condiciones y excepciones; revocar el consentimiento no invalida el tratamiento lícito previo.

Para datos incorporados por una organización cliente, dirija la solicitud a esa organización. Para datos gestionados directamente por el operador, utilice el canal oficial indicado en su relación de servicio o comunicación de privacidad. Podrá requerirse información mínima y proporcionada para verificar identidad.

La solicitud se atenderá conforme al procedimiento y plazo legal aplicable. También puede acudir a la autoridad competente, cumpliendo los requisitos previos que exija su jurisdicción. Los derechos no se reducen por usar el servicio desde otro país.

La aplicación de normas como la Ley 1581 de 2012 y su reglamentación en Colombia, el RGPD en la Unión Europea o leyes de otros países depende del lugar, las personas, las actividades y los criterios de alcance de cada norma. Operar internacionalmente no significa que todas se apliquen de la misma manera a todo tratamiento.

Los cambios se identificarán con versión y fecha. Cuando afecten materialmente al tratamiento, se informarán por los medios pertinentes y se obtendrá una nueva autorización cuando sea necesaria. Esta política no sustituye avisos específicos ni acuerdos exigidos por la ley.