POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES

COOPERATIVA MULTIACTIVA MILITAR Y POLICIAL — COMIPOL NIT 900.052.579-1

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

La COOPERATIVA MULTIACTIVA MILITAR Y POLICIAL COMIPOL (en adelante, "COMIPOL" o "la Cooperativa") es una persona jurídica sin ánimo de lucro, de derecho privado, de naturaleza asociativa y solidaria, empresa multiactiva, que se rige por las leyes, principios y doctrina del cooperativismo y de la Economía Solidaria, por su Estatuto y por sus reglamentos internos. Fue constituida el 15 de octubre de 2005 y su número de asociados y patrimonio social es variable e ilimitado, integrada por sus fundadores, miembros asociados, afiliados y adherentes.

2. MARCO NORMATIVO

Esta Política se adopta en cumplimiento de:

• Constitución Política de Colombia, artículos 15 y 20.

• Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.

• Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo), Título 2, Capítulo 25, que compiló los Decretos 1377 de 2013 y 886 de 2014.

• Ley 1266 de 2008, sobre habeas data y manejo de la información contenida en bases de datos personales de carácter financiero, crediticio, comercial y de servicios.

• Ley 79 de 1988 y Ley 454 de 1998, sobre legislación cooperativa y economía solidaria.

• Circular Básica Jurídica de la Superintendencia de la Economía Solidaria, en lo relativo al Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT/SIPLAFT).

• Ley 1273 de 2009, sobre protección de la información y de los datos.

• Ley 2300 de 2023, sobre contacto con consumidores y usuarios de servicios financieros y de cobranza.

• Demás normas que las modifiquen, adicionen, reglamenten o sustituyan.

3. ÁMBITO DE APLICACIÓN

Esta Política aplica a todos los datos personales registrados en las bases de datos de COMIPOL, cualquiera sea su forma de recolección, y obliga a todos los directivos, empleados, contratistas, proveedores y terceros que traten datos personales por cuenta de la Cooperativa.

4. DEFINICIONES

Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.

Aviso de privacidad: comunicación verbal o escrita dirigida al Titular para informarle sobre la existencia de esta Política, la forma de acceder a ella y las finalidades del Tratamiento.

Base de datos: conjunto organizado de datos personales objeto de Tratamiento.

Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público: el que no es semiprivado, privado o sensible. Son públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público.

Dato semiprivado: el que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo a su Titular sino a un grupo de personas o a la sociedad en general. Incluye los datos financieros y crediticios.

Dato privado: el que por su naturaleza íntima o reservada solo es relevante para el Titular.

Dato sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación. Comprende los datos que revelen origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales, datos de salud, de la vida sexual y los datos biométricos.

Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.

Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y el Tratamiento. Para efectos de esta Política, COMIPOL.

Titular: persona natural cuyos datos personales son objeto de Tratamiento.

Transferencia: envío de datos por el Responsable o Encargado a un receptor que a su vez es Responsable, dentro o fuera del país.

Transmisión: comunicación de datos personales a un Encargado, dentro o fuera del país, para que realice el Tratamiento por cuenta del Responsable.

Tratamiento: cualquier operación sobre datos personales, tal como la recolección, almacenamiento, uso, circulación o supresión.

5. PRINCIPIOS RECTORES

COMIPOL aplica los siguientes principios, previstos en el artículo 4 de la Ley 1581 de 2012:

Legalidad. El Tratamiento es una actividad reglada que se sujeta a lo dispuesto en la ley y sus normas reglamentarias.

Finalidad. El Tratamiento obedece a una finalidad legítima, informada al Titular.

Libertad. El Tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular, salvo mandato legal o judicial que releve el consentimiento.

Veracidad o calidad. La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

Transparencia. Se garantiza al Titular el derecho a obtener, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

Acceso y circulación restringida. El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable.

Seguridad. La información se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Confidencialidad. Todas las personas que intervengan en el Tratamiento están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con COMIPOL.

6. CATEGORÍAS DE TITULARES Y DATOS TRATADOS

6.1 Titulares

• Asociados, afiliados y adherentes, y quienes aspiren a serlo.

• Solicitantes de crédito, codeudores, deudores solidarios y garantes.

• Referencias familiares, personales y comerciales suministradas por los solicitantes.

• Beneficiarios designados por los asociados.

• Empleados, aspirantes a vacantes, y ex empleados.

• Miembros de los órganos de administración y control.

• Proveedores y contratistas, y sus empleados de contacto.

• Visitantes del sitio web y de las instalaciones de COMIPOL.

6.2 Datos tratados

Datos de identificación: nombres y apellidos, tipo y número de documento, fecha y lugar de expedición, fecha y ciudad de nacimiento, sexo, estado civil, firma.

Datos de contacto: dirección de residencia, barrio, ciudad o municipio, teléfono fijo, teléfono celular, correo electrónico.

Datos socioeconómicos y financieros: ingresos, egresos, activos, pasivos, información de empleo (empresa, cargo, fecha de ingreso, salario), información patrimonial, información de aportes sociales, historial de crédito, información de comportamiento de pago, información tributaria.

Datos de relación con la Cooperativa: fecha de vinculación, calidad (asociado, afiliado, adherente), productos y servicios contratados, saldos, movimientos, participación en asambleas y comités.

Datos de terceros: nombres, parentesco o relación y teléfonos de las referencias suministradas por los solicitantes.

Datos de navegación: dirección IP, tipo de navegador y dispositivo, páginas visitadas y tiempos de permanencia en el sitio web.

6.3 Datos sensibles

COMIPOL, por regla general, no recolecta datos sensibles. Cuando excepcionalmente sea necesario —por ejemplo, imagen captada por circuitos cerrados de televisión en sus instalaciones, huella dactilar para control de acceso o información de salud requerida para el otorgamiento de un beneficio o auxilio solidario— se informará expresamente al Titular tal carácter, las finalidades específicas y que no está obligado a autorizar su Tratamiento.

El Tratamiento de datos de niñas, niños y adolescentes solo procede cuando se trate de datos de naturaleza pública, respondiendo al respeto de su interés superior y al respeto de sus derechos fundamentales, y contando con la autorización del representante legal.

7. FINALIDADES DEL TRATAMIENTO

COMIPOL trata los datos personales para las siguientes finalidades:

7.1 Vinculación y relación asociativa

1. Estudiar y tramitar las solicitudes de vinculación como asociado, afiliado o adherente.

2. Verificar la identidad del Titular y la veracidad de la información suministrada.

3. Administrar el registro social, los aportes sociales y los derechos y deberes derivados del vínculo asociativo.

4. Convocar y gestionar la participación en asambleas, elecciones y órganos de administración y control.

5. Ejecutar los programas de educación, solidaridad y bienestar propios del sector cooperativo.

7.2 Otorgamiento y administración de crédito

1. Estudiar, evaluar y decidir sobre las solicitudes de crédito presentadas por el Titular, en calidad de solicitante, codeudor o garante.

2. Consultar y reportar ante operadores de información y centrales de riesgo (Datacrédito, TransUnion, CIFIN, Procrédito y demás), el comportamiento crediticio y el cumplimiento o incumplimiento de las obligaciones, conforme a la Ley 1266 de 2008.

3. Verificar las referencias familiares, personales, laborales y comerciales suministradas.

4. Administrar, recaudar y, cuando corresponda, gestionar el cobro prejurídico y jurídico de las obligaciones.

5. Constituir, administrar y ejecutar garantías.

7.3 Prestación de servicios y comunicaciones

1. Prestar los servicios de la actividad multiactiva de la Cooperativa.

2. Enviar información sobre el estado de las solicitudes, productos, saldos, extractos y obligaciones.

3. Remitir información institucional, invitaciones a eventos, y ofertas de productos y servicios de COMIPOL o de sus aliados, previa autorización específica del Titular para fines comerciales.

4. Realizar encuestas de satisfacción y estudios estadísticos, en lo posible sobre información disociada.

7.4 Cumplimiento legal y regulatorio

1. Cumplir las obligaciones derivadas del SARLAFT/SIPLAFT, incluida la consulta en listas restrictivas nacionales e internacionales.

2. Atender requerimientos de autoridades administrativas, judiciales, tributarias y de control.

3. Cumplir las obligaciones contables, tributarias y de reporte a la Superintendencia de la Economía Solidaria.

4. Conservar la información como soporte y prueba de las operaciones celebradas.

7.5 Gestión interna y seguridad

1. Adelantar procesos de selección, vinculación y administración de personal.

2. Gestionar la relación con proveedores y contratistas.

3. Controlar el acceso a las instalaciones y velar por la seguridad de las personas y los bienes.

4. Administrar y auditar los sistemas de información de la Cooperativa.

8. AUTORIZACIÓN DEL TITULAR

8.1 Obtención

COMIPOL solicita la autorización del Titular a más tardar en el momento de la recolección, por medios que permitan su posterior consulta: documento físico firmado, formulario electrónico con casilla de aceptación, grabación de voz, o cualquier otro mecanismo tecnológico idóneo conforme a la Ley 527 de 1999.

En el formulario de solicitud de crédito en línea, la autorización se manifiesta mediante la aceptación expresa de la casilla correspondiente, sin la cual el formulario no puede ser enviado. COMIPOL conserva registro de la fecha, hora y contenido de la autorización otorgada.

8.2 Casos en que no se requiere

Conforme al artículo 10 de la Ley 1581 de 2012, no se requiere autorización cuando se trate de:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial. b) Datos de naturaleza pública. c) Casos de urgencia médica o sanitaria. d) Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos. e) Datos relacionados con el Registro Civil de las Personas.

8.3 Autorización para finalidades comerciales

La autorización para el envío de información comercial y publicitaria es independiente y opcional. La negativa a otorgarla no afecta el estudio de la solicitud ni la prestación de los servicios. El Titular puede revocarla en cualquier momento escribiendo al correo indicado en el numeral 1.

9. DERECHOS DE LOS TITULARES

De conformidad con el artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales frente a COMIPOL. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.

2. Solicitar prueba de la autorización otorgada, salvo cuando la ley la exceptúe como requisito.

3. Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.

4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante COMIPOL.

5. Revocar la autorización y/o solicitar la supresión del dato, cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria o supresión procederá cuando la Superintendencia de Industria y Comercio así lo determine, o cuando no exista un deber legal o contractual que imponga al Titular permanecer en la base de datos.

6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Nota importante sobre la relación crediticia: mientras subsista una obligación a cargo del Titular con COMIPOL, o mientras exista un deber legal de conservación de la información, la Cooperativa no podrá atender solicitudes de supresión total de los datos. En estos casos se informará al Titular la razón de la negativa.

9.1 Legitimación para el ejercicio de los derechos

Los derechos podrán ser ejercidos por:

• El Titular, acreditando su identidad.

• Los causahabientes del Titular, acreditando tal calidad.

• El representante o apoderado del Titular, acreditando la representación.

• Quien actúe por estipulación a favor de otro o para otro.

Tratándose de menores de edad, los derechos se ejercen por medio de quien acredite su representación legal.

10. PROCEDIMIENTO PARA CONSULTAS Y RECLAMOS

10.1 Canal de atención

El área responsable de la atención de peticiones, consultas y reclamos es [ÁREA RESPONSABLE — p. ej. la Gerencia / el Oficial de Protección de Datos], a través de:

10.2 Consultas

El Titular podrá consultar la información personal que repose en las bases de datos de COMIPOL. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

10.3 Reclamos

El Titular que considere que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando advierta el presunto incumplimiento de cualquiera de los deberes contenidos en la ley, podrá presentar un reclamo que será tramitado así:

a) Contenido del reclamo. Debe contener la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección y los documentos que se quiera hacer valer.

b) Reclamo incompleto. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

c) Traslado. Si COMIPOL no es competente para resolver el reclamo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

d) Anotación "reclamo en trámite". Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.

e) Término de respuesta. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

10.4 Requisito de procedibilidad

El Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante COMIPOL.

11. TRANSMISIÓN Y TRANSFERENCIA DE DATOS

COMIPOL podrá compartir datos personales con:

• Operadores de información y centrales de riesgo, para consulta y reporte del comportamiento crediticio (Ley 1266 de 2008).

• Entidades del sector solidario y financiero con las que se tengan convenios para la prestación de servicios a los asociados.

• Casas de cobranza y abogados externos, para la gestión de cartera.

• Proveedores de tecnología y servicios en la nube, que actúan como Encargados del Tratamiento.

• Aseguradoras, para la administración de seguros y amparos asociados a los productos.

• Autoridades públicas, cuando medie requerimiento legal o judicial.

11.1 Servicios tecnológicos y transferencia internacional

COMIPOL utiliza servicios de computación en la nube para el correo institucional, la recepción de formularios en línea y el almacenamiento de información, los cuales pueden implicar el alojamiento de datos en servidores ubicados fuera del territorio colombiano.

Al aceptar esta Política, el Titular autoriza dicha transferencia y transmisión internacional. COMIPOL exige a sus proveedores el cumplimiento de estándares de seguridad y confidencialidad equivalentes a los previstos en la legislación colombiana, y celebra con ellos los contratos de transmisión de datos personales exigidos por el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

12. MEDIDAS DE SEGURIDAD

COMIPOL adopta medidas técnicas, humanas y administrativas razonables para proteger la información, entre ellas:

• Control de acceso basado en roles y en el principio de mínimo privilegio.

• Autenticación reforzada (verificación en dos pasos) en los sistemas críticos y en las cuentas de correo institucional.

• Cifrado de la información en tránsito mediante protocolos seguros (HTTPS/TLS).

• Copias de respaldo periódicas y verificación de su restauración.

• Registro y monitoreo de accesos a los sistemas de información.

• Acuerdos de confidencialidad con empleados, contratistas y proveedores.

• Capacitación periódica al personal en protección de datos y seguridad de la información.

• Procedimiento de gestión de incidentes de seguridad.

Deber de reporte. En caso de violación a los códigos de seguridad o de riesgos en la administración de la información de los Titulares, COMIPOL informará el incidente a la Superintendencia de Industria y Comercio conforme a lo previsto en el literal n) del artículo 17 de la Ley 1581 de 2012, y comunicará a los Titulares afectados cuando ello resulte procedente.

13. VIGENCIA DE LA BASE DE DATOS Y PERÍODO DE CONSERVACIÓN

Los datos personales serán conservados durante el tiempo en que subsista la relación asociativa, contractual o comercial con el Titular, y con posterioridad a su terminación durante los términos que exijan:

• Las normas contables y tributarias.

• El artículo 28 de la Ley 962 de 2005 y demás normas sobre conservación de libros y papeles de comercio.

• Las normas sobre SARLAFT/SIPLAFT aplicables a las organizaciones de economía solidaria.

• Los términos de prescripción de las acciones legales derivadas de la relación.

Cumplidos dichos términos, y siempre que no exista un deber legal o contractual de conservación, los datos serán suprimidos o sometidos a procesos de anonimización.

14. REGISTRO NACIONAL DE BASES DE DATOS

COMIPOL evaluará y, cuando le resulte exigible conforme al Decreto 090 de 2018 y demás normas concordantes, inscribirá sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, y mantendrá actualizada dicha información.

15. AVISO DE PRIVACIDAD

Cuando no sea posible poner esta Política a disposición del Titular, COMIPOL le comunicará mediante un aviso de privacidad la existencia de la misma, la forma de acceder a ella, las finalidades del Tratamiento y sus derechos como Titular.

16. VIGENCIA Y MODIFICACIONES

La presente Política rige a partir del 14 de JUNIO de 2025 y deja sin efecto las disposiciones internas que le sean contrarias.

COMIPOL se reserva el derecho de modificarla en cualquier momento. Cualquier cambio sustancial será comunicado a los Titulares con antelación razonable a través del sitio web https://comipol.com, del correo electrónico registrado o de los demás canales institucionales, antes de implementar las nuevas políticas.