Política para el tratamiento y la protección de datos

1. Quién es el responsable y qué cubre esta política

Petroil reconoce la protección de los datos personales como un componente de la confianza, la integridad empresarial, la seguridad de la información y el respeto por los derechos fundamentales. Esta política fija las reglas para recolectar, consultar, usar, almacenar, analizar, circular, actualizar, transmitir, transferir, conservar y suprimir datos personales, de modo que todo tratamiento tenga una finalidad legítima, sea necesario y proporcional, y cuente con una base jurídica válida.

Alcance

Aplica a los datos personales tratados por Petroil en medios físicos, digitales, audiovisuales o cualquier otro soporte, y es obligatoria para administradores, trabajadores, contratistas, proveedores y terceros que actúen por cuenta de la compañía o tengan acceso autorizado a información personal. Comprende datos de empleados y aspirantes; clientes y potenciales clientes; proveedores, contratistas y demás contrapartes; representantes legales, administradores, apoderados, accionistas y beneficiarios finales; visitantes; usuarios de canales digitales; y demás personas naturales relacionadas con la operación.

Marco normativo

La política se interpreta de conformidad con:

• Constitución Política, especialmente su artículo 15.
• Ley 1581 de 2012 y su reglamentación compilada en el Decreto 1074 de 2015.
• Ley 1266 de 2008 y Ley 2157 de 2021, cuando resulte aplicable el régimen especial de habeas data.
• Ley 2195 de 2022, en materia de debida diligencia y beneficiarios finales.
• Circular Básica Jurídica vigente de la Superintendencia de Sociedades, incluido el sistema integral de autocontrol y gestión de riesgos que sustituya o integre los esquemas SAGRILAFT/PTEE.
• Instrucciones de la Superintendencia de Industria y Comercio y las normas que modifiquen, adicionen o sustituyan las anteriores.

2. Con qué principios y para qué tratamos los datos

Principios que aplicamos

Los ocho principios de la Ley 1581 de 2012 rigen cualquier tratamiento que hagamos:

• LegalidadEl tratamiento se realiza conforme a la Constitución, la ley y las demás disposiciones aplicables.
• FinalidadLos datos se tratan únicamente para finalidades legítimas, informadas antes al titular.
• LibertadSe requiere autorización previa, expresa e informada, salvo las excepciones legales.
• Veracidad o calidadLa información debe ser veraz, completa, exacta, actualizada y comprensible.
• TransparenciaEl titular puede conocer la existencia y el uso de sus datos en los términos de ley.
• Acceso y circulación restringidaSolo personas autorizadas consultan, usan o comparten los datos, y solo para su finalidad.
• SeguridadSe adoptan medidas técnicas, humanas y administrativas razonables contra la pérdida, alteración, uso o acceso no autorizado.
• ConfidencialidadQuienes intervienen en el tratamiento guardan reserva, incluso después de terminar su relación con Petroil.

Finalidades del tratamiento

Tratamos datos personales solo para finalidades legítimas relacionadas con la operación, las obligaciones legales y la relación con nuestros grupos de interés:

Debida diligencia de contrapartes

Para conocer a una contraparte podemos consultar fuentes oficiales, públicas, legalmente accesibles o contractualmente autorizadas: listas vinculantes, restrictivas o sancionatorias, registros judiciales, comerciales, societarios, fiscales, disciplinarios y administrativos, información reputacional de fuentes abiertas confiables y bases especializadas contratadas por la compañía. La debida diligencia se ejecuta con enfoque basado en riesgo.

Una noticia, investigación, coincidencia nominal, alerta o registro adverso no constituye por sí sola prueba de responsabilidad ni determina automáticamente una decisión desfavorable: antes de decidir se valida identidad, fuente, actualidad, contexto, rol procesal y relevancia frente al riesgo evaluado, evitando homónimos y falsos positivos. Cuando sea pertinente, Petroil puede pedir aclaraciones o soportes a la contraparte.

3. Sus derechos como titular

En los términos de la ley, quien es titular de los datos puede:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización, cuando esta sea requerida.
• Conocer el uso que Petroil ha dado a sus datos personales.
• Acceder gratuitamente a sus datos personales objeto de tratamiento.
• Solicitar la supresión de los datos o revocar la autorización, cuando legalmente proceda y no exista un deber legal o contractual de conservarlos.
• Presentar peticiones, quejas, reclamos, sugerencias y felicitaciones (PQRSF).
• Decidir libremente si suministra datos sensibles, cuando su entrega no sea obligatoria.

4. Cómo ejercer sus derechos

El proceso de Gestión de Cumplimiento y Seguridad Patrimonial atiende las consultas y reclamos sobre datos personales. Indique el derecho que desea ejercer, sus datos de contacto y la información que permita verificar su identidad.

Sobre la autorización

Cuando la ley lo exige, Petroil solicita al titular una autorización previa, expresa e informada, y conserva evidencia de ella —por eso los formularios de cotización y de PQRSF de este sitio piden marcar la casilla de aceptación antes de enviar—. La autorización no es necesaria en los casos expresamente permitidos por la ley, como el tratamiento de datos de naturaleza pública; aun así, en esos casos se siguen cumpliendo los principios y obligaciones de protección de datos.

5. Seguridad, conservación y terceros

Encargados, transmisión y transferencia

Petroil puede apoyarse en encargados para servicios tecnológicos, nube, almacenamiento, gestión documental, nómina, selección, verificación, seguridad, auditoría o comunicaciones. Los contratos con ellos establecen finalidades, instrucciones, confidencialidad, seguridad y deberes frente a incidentes y al ejercicio de derechos. Las transferencias nacionales o internacionales a otros responsables solo se realizan cuando existe una base jurídica válida y se cumplen las restricciones, excepciones y garantías de la normativa aplicable.

Medidas de seguridad e incidentes

Aplicamos medidas técnicas, humanas, contractuales y administrativas razonables y proporcionales para proteger la confidencialidad, integridad y disponibilidad de los datos: gestión de accesos y privilegios, deberes de reserva, trazabilidad cuando procede, copias de respaldo, continuidad, protección frente a malware o fuga de información y procedimientos de gestión de incidentes. Todo incidente que pueda comprometer datos personales se reporta por los canales internos definidos; Petroil evalúa su impacto, adopta medidas de contención y recuperación y hace las comunicaciones o reportes exigibles ante las autoridades.

Conservación y supresión

Los datos se conservan únicamente durante el tiempo necesario para cumplir las finalidades informadas y los términos legales, contractuales, regulatorios, contables, tributarios, laborales, societarios o de cumplimiento aplicables. La información obtenida en debida diligencia se conserva durante la relación y por el término mínimo legal aplicable, incluido el del artículo 12 de la Ley 2195 de 2022 cuando corresponda. Cumplida la finalidad y agotados los plazos de retención, los datos se suprimen, anonimizan, bloquean o archivan con acceso restringido, según proceda.

Vigencia y actualizaciones

La política rige a partir de su aprobación y publicación. Puede actualizarse ante cambios legales, regulatorios, tecnológicos, organizacionales o en las actividades de Petroil; cuando las modificaciones afecten de manera sustancial las finalidades del tratamiento o la identificación del responsable, se informará a los titulares conforme a la normativa aplicable. Petroil mantiene actualizados los registros de sus bases de datos y realiza las actualizaciones ante el Registro Nacional de Bases de Datos (RNBD) cuando legalmente corresponde.

6. Documento oficial

El texto completo y vigente, con la tabla de aprobación y el control de cambios, es el documento firmado. Ábralo en una pestaña nueva para leerlo o descárguelo para conservarlo.

Documento controlado del Sistema de Gestión Integrado: la copia impresa no es una copia controlada. Se publica tal como lo emitió y firmó la compañía, sin recomprimir.