Política de tratamiento de datos personales

Cuando una empresa usuaria registra en la plataforma información de sus trabajadores, dicha empresa actúa como responsable del tratamiento de esos datos y TUSISO OS actúa como encargado, tratándolos únicamente conforme a sus instrucciones y a esta política.

Según el tipo de usuario, la plataforma puede recoger y tratar:

• Datos de identificación: nombres y apellidos, tipo y número de documento, fecha de nacimiento, género.
• Datos de contacto: correo electrónico, teléfono, dirección de residencia.
• Datos laborales: empresa, sede, área, cargo, fechas de ingreso y retiro, tipo de vinculación, afiliaciones a seguridad social, salario cuando resulte necesario para trámites del SG-SST.
• Datos de gestión del SG-SST: capacitaciones y asistencias, entregas de elementos de protección personal, inspecciones, reportes de condiciones y actos inseguros, participación en comités.
• Datos técnicos de uso: registros de acceso, dirección IP, dispositivo y trazas de auditoría de las acciones realizadas en la plataforma.

Datos sensibles de salud

El Sistema de Gestión de Seguridad y Salud en el Trabajo implica el tratamiento de datos sensibles, en particular datos relativos a la salud. Entre ellos:

• Conceptos y resultados de exámenes médicos ocupacionales de ingreso, periódicos, de retiro y post-incapacidad.
• Restricciones, recomendaciones y recomendaciones de reubicación laboral.
• Registros de accidentes de trabajo, incidentes y enfermedades laborales, incluidas las descripciones de lesión y diagnóstico reportadas en los formatos oficiales.
• Incapacidades y registros de ausentismo por causa médica.
• Información de condiciones de salud declarada voluntariamente por el trabajador en encuestas de morbilidad sentida o condiciones de salud.

El titular no está obligado a autorizar el tratamiento de datos sensibles. Sin embargo, cuando la entrega de determinada información es una obligación legal del empleador o del trabajador dentro del SG-SST, dicho tratamiento se realiza con fundamento en esa obligación legal y no en el consentimiento.

El acceso a los datos de salud está restringido, dentro de la plataforma, a los roles expresamente habilitados para ello, y toda consulta queda registrada en la bitácora de auditoría.

• Implementar, documentar y mantener el Sistema de Gestión de Seguridad y Salud en el Trabajo de la empresa usuaria.
• Cumplir las obligaciones derivadas del Decreto 1072 de 2015, la Resolución 0312 de 2019 y demás normativa aplicable.
• Gestionar la identificación de peligros, la evaluación de riesgos y la definición de controles.
• Programar y registrar capacitaciones, inducciones, evaluaciones y sus constancias de asistencia.
• Administrar la entrega y el seguimiento de elementos de protección personal.
• Gestionar exámenes médicos ocupacionales, restricciones y recomendaciones médicas laborales.
• Investigar y reportar accidentes de trabajo, incidentes y enfermedades laborales ante las entidades competentes.
• Generar indicadores, informes y evidencias para auditorías internas y externas.
• Administrar el acceso de los usuarios a la plataforma, su seguridad y su trazabilidad.
• Atender requerimientos de autoridades administrativas y judiciales.

Los datos no se utilizan para finalidades comerciales distintas de las anteriores sin autorización previa, expresa e informada del titular.

• Cumplimiento de obligaciones legales del empleador en materia de seguridad y salud en el trabajo (Decreto 1072 de 2015, Resolución 0312 de 2019, Ley 1562 de 2012 y normas concordantes).
• Ejecución de la relación laboral o contractual entre el titular y la empresa usuaria.
• Autorización previa, expresa e informada del titular, en los casos en que el tratamiento no se fundamente en una obligación legal.
• Interés legítimo en la seguridad de la información y la trazabilidad de las operaciones realizadas en la plataforma.

• El propio titular, respecto de su información.
• Los usuarios de la empresa a los que se haya asignado un rol con permiso sobre el módulo correspondiente (por ejemplo, administrador de empresa, profesional o técnico responsable del SG-SST, auditor interno).
• El personal técnico del proveedor de la plataforma, únicamente cuando resulte necesario para la prestación del soporte y bajo compromiso de confidencialidad; los accesos de soporte quedan registrados.
• Terceros a quienes deba transmitirse la información en cumplimiento de una obligación legal o contractual: administradoras de riesgos laborales, entidades promotoras de salud, prestadores de servicios de medicina laboral, autoridades de inspección, vigilancia y control.
• Encargados que prestan servicios de infraestructura, almacenamiento y envío de comunicaciones, bajo acuerdos de tratamiento de datos.

La información aislada por empresa: los usuarios de una empresa no acceden a datos de otra. La plataforma no vende ni cede información personal a terceros con fines publicitarios.

Los datos se conservan durante el tiempo necesario para cumplir las finalidades descritas y, en todo caso, durante los plazos exigidos por la normativa del SG-SST.

• Los documentos del SG-SST señalados en el artículo 2.2.4.6.13 del Decreto 1072 de 2015 —entre ellos los resultados de perfiles epidemiológicos, los conceptos de los exámenes de ingreso, periódicos y de retiro, los registros de exposición a agentes de riesgo y las investigaciones de accidentes y enfermedades laborales— se conservan por un término mínimo de veinte (20) años contados a partir de la desvinculación del trabajador.
• La historia clínica ocupacional se conserva conforme a las normas que regulan la historia clínica y su custodia corresponde al prestador de servicios de salud ocupacional.
• Los demás registros del sistema se conservan por el tiempo definido por la empresa usuaria en su política interna de retención documental, con un mínimo que permita atender auditorías y requerimientos legales.
• Los registros de auditoría y trazabilidad de accesos se conservan por el plazo definido por la empresa usuaria.
• Plazo interno adicional definido por el responsable: [POR COMPLETAR]

Vencidos los plazos aplicables, los datos son suprimidos o anonimizados, salvo que exista un deber legal de conservarlos.

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular de los datos tiene derecho a:

• Acceder: conocer de forma gratuita los datos personales que sobre él se estén tratando.
• Rectificar: solicitar la actualización o corrección de datos inexactos, incompletos o desactualizados.
• Cancelar o suprimir: solicitar la supresión de los datos cuando no exista un deber legal o contractual de conservarlos.
• Oponerse: oponerse al tratamiento, así como revocar la autorización otorgada cuando el tratamiento no se fundamente en una obligación legal o contractual.
• Conocer el uso dado a sus datos, previa solicitud.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Ser informado sobre el carácter facultativo de responder preguntas relativas a datos sensibles.

Cómo ejercerlos

El titular, sus causahabientes o su representante debidamente acreditado pueden ejercer estos derechos enviando una solicitud al correo [POR COMPLETAR], indicando su nombre completo, número de documento, empresa a la que está o estuvo vinculado, el derecho que desea ejercer y una descripción clara de su solicitud, con los documentos de soporte que considere pertinentes.

Cuando la empresa usuaria sea el responsable del tratamiento, la solicitud será remitida a esta para su atención, informándolo al titular.

Consultas

Las consultas se atienden en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no sea posible atenderlas en ese plazo, se informará al interesado los motivos y la fecha en que se atenderá, que en ningún caso superará cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos

El reclamo debe presentarse con la identificación del titular, la descripción de los hechos que lo motivan, la dirección de notificación y los documentos que se quieran hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para que subsane las fallas; transcurridos dos (2) meses sin respuesta se entenderá desistido.

Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga «reclamo en trámite» y el motivo, dentro de los dos (2) días hábiles siguientes. El término máximo para atender el reclamo será de quince (15) días hábiles contados desde el día siguiente a su recibo, prorrogables por ocho (8) días hábiles más, informando al interesado los motivos de la prórroga.

Agotado el trámite de reclamo ante el responsable, el titular podrá presentar queja ante la Superintendencia de Industria y Comercio.

Se aplican medidas administrativas, técnicas y organizativas orientadas a proteger la información contra acceso no autorizado, pérdida, alteración o uso indebido. Entre ellas: control de acceso por roles, aislamiento de la información por empresa, cifrado en tránsito, registro de auditoría de las operaciones y compromisos de confidencialidad del personal con acceso.

Esta política rige desde [POR COMPLETAR] y permanecerá vigente mientras se realice el tratamiento de los datos. Cualquier modificación sustancial será informada a los titulares a través de la plataforma o del correo registrado, antes de su entrada en vigencia.