Política de Tratamiento de Datos Personales

01 Identificación del Responsable

DCM System S.A.S. (en adelante, DCM System) es una empresa de desarrollo de software, automatización e inteligencia artificial. En esta política explica cómo recolecta, usa, almacena, circula y suprime los datos personales que trata, y cómo pueden los titulares ejercer sus derechos.

02 Objeto y alcance

Esta política se aplica a todos los datos personales registrados en bases de datos de DCM System, físicas o electrónicas, y obliga a sus administradores, colaboradores, contratistas y a los terceros que traten datos por su cuenta.

DCM System actúa en dos calidades distintas, y esta política regula ambas:

• Como Responsable del Tratamiento, respecto de los datos de sus clientes y prospectos, proveedores, colaboradores, candidatos, visitantes de sus instalaciones y usuarios de su sitio web y canales digitales.
• Como Encargado del Tratamiento, cuando desarrolla, aloja, opera o da soporte a plataformas de sus clientes y, por cuenta e instrucción de ellos, trata datos personales de los que el cliente es Responsable. Este caso se regula en la sección 9.

03 Marco normativo

• Constitución Política de Colombia, artículos 15 y 20.
• Ley Estatutaria 1581 de 2012, régimen general de protección de datos personales.
• Decreto Único Reglamentario 1074 de 2015, Parte 2, Título 2, Capítulos 25 y 26, que compilan los Decretos 1377 de 2013 y 886 de 2014, con las modificaciones del Decreto 090 de 2018.
• Circular Única de la Superintendencia de Industria y Comercio (SIC), Título V.
• Circular Externa 002 de 2024 de la SIC, sobre tratamiento de datos personales en sistemas de inteligencia artificial.
• Circular Externa 002 de 2025 de la SIC, sobre protección de datos personales en procesos de transferencia de tecnología.
• Las normas que las modifiquen, adicionen o sustituyan.

04 Definiciones

• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento.
• Aviso de privacidad: comunicación verbal o escrita dirigida al Titular que le informa la existencia de esta política, la forma de acceder a ella y las finalidades del Tratamiento.
• Base de datos: conjunto organizado de datos personales objeto de Tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato público: el que no es semiprivado, privado ni sensible, como el estado civil, la profesión u oficio o la calidad de comerciante.
• Dato semiprivado: el que no es íntimo ni público y cuyo conocimiento interesa al Titular y a cierto sector, como los datos financieros y crediticios.
• Dato privado: el que por su naturaleza íntima solo es relevante para el Titular.
• Dato sensible: el que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación, como el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales, los datos de salud, la vida sexual y los datos biométricos.
• Encargado del Tratamiento: persona que trata datos personales por cuenta del Responsable.
• Responsable del Tratamiento: persona que decide sobre la base de datos y el Tratamiento.
• Titular: persona natural cuyos datos personales son objeto de Tratamiento.
• Tratamiento: cualquier operación sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión.
• Transferencia: envío de datos personales a un receptor que a su vez es Responsable, dentro o fuera de Colombia.
• Transmisión: comunicación de datos personales a un Encargado, dentro o fuera de Colombia, para que los trate por cuenta del Responsable.

05 Principios

DCM System aplica en todo Tratamiento los principios del artículo 4 de la Ley 1581 de 2012:

• Legalidad: el Tratamiento se sujeta a la ley.
• Finalidad: obedece a una finalidad legítima que se informa al Titular.
• Libertad: solo se realiza con el consentimiento previo, expreso e informado del Titular, salvo mandato legal o judicial.
• Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: el Titular puede obtener información sobre sus datos en cualquier momento.
• Acceso y circulación restringida: los datos solo son accesibles para el Titular y las personas autorizadas, y no se publican en medios de divulgación masiva sin controles.
• Seguridad: se aplican medidas técnicas, humanas y administrativas para evitar su adulteración, pérdida, consulta o uso no autorizado.
• Confidencialidad: quienes intervienen en el Tratamiento guardan reserva, incluso después de terminada su relación con DCM System.

Además, conforme al principio de responsabilidad demostrada (artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto 1074 de 2015), DCM System documenta las medidas que adopta y puede demostrarlas ante la Superintendencia de Industria y Comercio.

06 Bases de datos y finalidades

DCM System trata datos personales para las finalidades que se indican a continuación según el grupo de Titulares. No los usa para finalidades distintas sin informar al Titular y, cuando corresponda, obtener una nueva autorización.

07 Datos sensibles y datos de niños, niñas y adolescentes

Datos sensibles

Como Responsable, DCM System solo trata datos sensibles cuando es estrictamente necesario, como los datos de salud de sus colaboradores para fines de seguridad y salud en el trabajo, o las imágenes de videovigilancia. En esos casos:

• Informa al Titular que no está obligado a autorizar el Tratamiento de datos sensibles y que las respuestas a preguntas sobre ellos son facultativas.
• Informa de forma explícita cuáles datos son sensibles y la finalidad de su Tratamiento.
• Obtiene autorización explícita, salvo las excepciones del artículo 6 de la Ley 1581 de 2012.
• No condiciona ninguna actividad a que el Titular suministre datos sensibles.

Niños, niñas y adolescentes

Como Responsable, DCM System no dirige sus servicios a menores de edad ni recolecta intencionalmente sus datos, salvo los que sean necesarios para afiliar a los beneficiarios de sus colaboradores. Cuando lo haga, respetará el interés superior del menor y sus derechos fundamentales, y la autorización la dará su representante legal, conforme al artículo 7 de la Ley 1581 de 2012.

Cuando DCM System actúe como Encargado de plataformas de sus clientes que traten datos sensibles o de menores, por ejemplo en los sectores de educación, salud o control de acceso, se aplica la sección 9: la obtención de la autorización corresponde al cliente Responsable, y DCM System aplica medidas de seguridad reforzadas.

08 Autorización del Titular

DCM System solicita la autorización del Titular a más tardar al momento de recolectar sus datos y le informa la finalidad del Tratamiento, sus derechos y los canales para ejercerlos. La autorización puede constar:

• Por escrito, en documento físico o electrónico.
• De forma oral, cuando quede registro de ella.
• Mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. El silencio no se entiende como autorización.

DCM System conserva prueba de las autorizaciones obtenidas. La autorización no es necesaria en los casos del artículo 10 de la Ley 1581 de 2012: información requerida por una entidad pública o administrativa en ejercicio de sus funciones o por orden judicial, datos de naturaleza pública, casos de urgencia médica o sanitaria, tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y datos relacionados con el Registro Civil de las Personas.

09 DCM System como Encargado del Tratamiento

En el desarrollo de sus servicios, DCM System construye, aloja, opera y da soporte a plataformas de software, automatizaciones y agentes de inteligencia artificial de sus clientes. Cuando en esas actividades trata datos personales de los que el cliente es Responsable, DCM System actúa como Encargado y se obliga a:

1. Tratar los datos únicamente por cuenta del cliente, conforme a sus instrucciones documentadas, a su política de tratamiento y a las finalidades que el cliente haya autorizado. El alcance y las obligaciones se fijan en el contrato de transmisión o en las cláusulas de protección de datos del contrato de servicios, de acuerdo con el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.
2. No usar los datos para finalidades propias, no comercializarlos y no comunicarlos a terceros sin autorización del cliente.
3. No utilizar los datos del cliente para entrenar modelos de inteligencia artificial propios ni de terceros, salvo instrucción expresa y por escrito del cliente.
4. Cumplir los deberes del artículo 18 de la Ley 1581 de 2012, entre ellos tramitar las consultas y los reclamos de los Titulares en los términos de ley, actualizar la información reportada por el Responsable dentro de los cinco (5) días hábiles siguientes a su recibo, y registrar las leyendas de «reclamo en trámite» e «información en discusión judicial» cuando corresponda.
5. Permitir el acceso a los datos solo al personal que lo necesite para prestar el servicio, bajo obligaciones de confidencialidad.
6. Aplicar medidas de seguridad adecuadas a la naturaleza de los datos, reforzadas cuando se trate de datos sensibles o de niños, niñas y adolescentes.
7. Vincular a otros encargados o subencargados, como proveedores de infraestructura en la nube o de servicios de inteligencia artificial, solo con autorización del cliente y bajo obligaciones de protección equivalentes a las que DCM System asume.
8. Informar al cliente, sin demora injustificada, cualquier incidente de seguridad que afecte sus datos, y colaborar con él en su gestión y en el reporte a la Superintendencia de Industria y Comercio.
9. Al terminar el servicio, devolver o suprimir los datos según la instrucción del cliente, salvo que la ley exija conservarlos.
10. Colaborar con el cliente para que pueda demostrar el cumplimiento de sus propias obligaciones, incluidas auditorías razonables.

Si un Titular presenta ante DCM System una solicitud relacionada con datos de los que es Responsable un cliente, DCM System la trasladará al cliente y colaborará con él en la respuesta.

10 Inteligencia artificial y nuevas tecnologías

Cuando DCM System diseña o usa sistemas de inteligencia artificial que traten datos personales, aplica la Circular Externa 002 de 2024 y la Circular Externa 002 de 2025 de la Superintendencia de Industria y Comercio:

• Evalúa que el Tratamiento sea idóneo, necesario, razonable y proporcional a la finalidad.
• Identifica y gestiona los riesgos del Tratamiento y, si detecta un riesgo alto para los Titulares, realiza un estudio de impacto de privacidad antes de desarrollar el sistema.
• Aplica privacidad desde el diseño y por defecto: recolecta solo los datos necesarios y, cuando es posible, los anonimiza o seudonimiza.
• Mantiene supervisión humana sobre los resultados que puedan afectar a los Titulares.
• Entiende que un dato accesible al público no es por ello un dato público ni puede usarse para cualquier finalidad sin autorización.

11 Derechos de los Titulares

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales, incluidos los parciales, inexactos, incompletos, fraccionados o que induzcan a error.
2. Solicitar prueba de la autorización otorgada, salvo cuando no sea requerida.
3. Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante DCM System.
5. Revocar la autorización y solicitar la supresión de sus datos, en particular cuando no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y la supresión no proceden cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.
6. Acceder en forma gratuita a sus datos personales, al menos una vez cada mes calendario y cada vez que haya modificaciones sustanciales de esta política.

Pueden ejercer estos derechos el Titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro, acreditando su calidad. Los derechos de los niños, niñas y adolescentes se ejercen por medio de su representante legal.

12 Área responsable y canales de atención

La Gerencia General de DCM System es el área responsable de atender las consultas, los reclamos y las solicitudes de los Titulares, y de velar por el cumplimiento de esta política.

13 Procedimiento para consultas y reclamos

Consultas

El Titular o su legitimado puede consultar la información personal que repose en las bases de datos de DCM System. La consulta se atenderá en un término máximo de diez (10) días hábiles contados a partir de su recibo. Cuando no sea posible atenderla en ese término, se informará al interesado el motivo de la demora y la fecha de respuesta, que no podrá superar cinco (5) días hábiles adicionales (artículo 14 de la Ley 1581 de 2012).

Reclamos

Quien considere que su información debe ser corregida, actualizada o suprimida, o advierta un presunto incumplimiento de la ley, puede presentar un reclamo (artículo 15 de la Ley 1581 de 2012), que debe contener:

• Identificación del Titular.
• Descripción de los hechos que dan lugar al reclamo.
• Dirección física o electrónica para la respuesta.
• Los documentos que se quieran hacer valer.

Si el reclamo está incompleto, DCM System requerirá al interesado dentro de los cinco (5) días siguientes a su recibo para que subsane las fallas. Si pasan dos (2) meses desde el requerimiento sin que presente la información, se entenderá que desistió del reclamo. Si DCM System no es competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará al interesado.

Recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles, y se mantendrá hasta que el reclamo se decida. El término máximo para atenderlo es de quince (15) días hábiles contados a partir del día siguiente a su recibo. Cuando no sea posible atenderlo en ese término, se informará al interesado el motivo de la demora y la fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

Requisito de procedibilidad

El Titular solo podrá presentar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante DCM System (artículo 16 de la Ley 1581 de 2012).

14 Transferencias y transmisiones de datos

DCM System puede transmitir datos personales a encargados que le prestan servicios, como proveedores de correo electrónico y herramientas de trabajo colaborativo, de infraestructura y alojamiento en la nube, y de servicios de inteligencia artificial. Algunos de estos proveedores pueden estar ubicados o almacenar la información fuera de Colombia.

• Las transmisiones se rigen por un contrato o por cláusulas que obligan al encargado a tratar los datos según esta política, a respetar la finalidad autorizada, a proteger la seguridad de la información y a guardar confidencialidad (artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015).
• Las transferencias internacionales solo se realizan hacia países que ofrezcan niveles adecuados de protección según la Superintendencia de Industria y Comercio, o en los casos exceptuados por el artículo 26 de la Ley 1581 de 2012.
• DCM System entregará datos a autoridades únicamente cuando las solicite una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.

El Titular puede solicitar a través de los canales de atención información sobre los encargados que tratan sus datos.

15 Medidas de seguridad

DCM System adopta medidas técnicas, humanas y administrativas para proteger los datos personales, proporcionales a su naturaleza y a los riesgos del Tratamiento, entre ellas:

• Control de acceso a sistemas y bases de datos según el rol de cada persona.
• Cifrado de las comunicaciones de sus sitios y plataformas web mediante HTTPS (TLS).
• Copias de respaldo de la información que administra.
• Obligaciones de confidencialidad para colaboradores, contratistas y proveedores.
• Procedimiento de gestión de incidentes de seguridad. Los incidentes que afecten bases de datos de las que DCM System es Responsable se reportan a la Superintendencia de Industria y Comercio en los términos que fija la Circular Única.

16 Videovigilancia

DCM System utiliza cámaras de videovigilancia en su oficina. Para ello:

• Informa su existencia mediante avisos visibles en las zonas videovigiladas.
• Usa las imágenes solo para la seguridad de las personas, los bienes y las instalaciones.
• Restringe el acceso a las grabaciones al personal autorizado.
• Conserva las imágenes solo por el tiempo que permite el sistema de grabación antes de sobrescribirlas, salvo que se requieran como prueba en un proceso o ante una autoridad.
• No graba en zonas que afecten la intimidad de las personas, como baños o vestidores.

17 Cookies y tecnologías de seguimiento

El sitio web dcmsystem.co utiliza cookies y tecnologías similares de terceros:

El usuario puede bloquear o eliminar las cookies desde la configuración de su navegador. Algunas funciones del sitio pueden verse afectadas.

18 Conservación de los datos y vigencia de las bases de datos

Los datos personales se conservan mientras sean necesarios para las finalidades que justificaron su Tratamiento y, después, durante el término que exijan las normas comerciales, contables, tributarias y laborales, o el necesario para atender reclamaciones. Cumplidos esos términos, se suprimen o anonimizan.

Las bases de datos de DCM System permanecerán vigentes mientras la sociedad desarrolle su objeto social. Los datos que DCM System trata como Encargado se conservan según las instrucciones del cliente Responsable y el contrato respectivo.

19 Registro Nacional de Bases de Datos

DCM System ha inscrito sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) que administra la Superintendencia de Industria y Comercio, y mantiene actualizada la información registrada.

20 Autoridad de protección de datos

La Superintendencia de Industria y Comercio, a través de la Delegatura para la Protección de Datos Personales, vigila el cumplimiento de la normativa de protección de datos personales en Colombia. Sitio web: www.sic.gov.co.

21 Modificaciones y vigencia de la política

DCM System puede modificar esta política. Los cambios sustanciales se comunicarán oportunamente a los Titulares, a través del sitio web o de los canales de contacto disponibles, antes de implementarlos. Si el cambio se refiere a la finalidad del Tratamiento, se solicitará una nueva autorización.

La versión 2.0 de esta política rige a partir del 26 de octubre de 2026 y actualiza la versión 1.0, publicada el 4 de abril de 2026.

Historial de versiones