1. RESPONSABILIDADES Y ROLES
Esta sección define los cargos organizacionales y los roles de PDP responsables del tratamiento y la protección de datos personales. Cada rol es responsable del cumplimiento y de la conservación de la evidencia asociada con sus funciones.
Líder de Nube y Ciberseguridad
Garantizar el cumplimiento de esta Política.
CEO
Solicitar revisiones de la Política cuando se considere apropiado para garantizar su cumplimiento y mejora, y aprobar la Política.
Líder de Mejora de Procesos de TI
Garantizar que la Política de Tratamiento y Protección de Datos Personales cumpla con los estándares establecidos en SIGI, y publicar y mantener la Política en SIGI.
Todos los cargos/roles
Garantizar prácticas coherentes con las políticas de seguridad de la información y salvaguardar la confidencialidad de los datos.
CEO - Rol de PDP
Aprueba la Política, asigna recursos, designa al Oficial de Protección de Datos y responde por la responsabilidad demostrada de la organización.
Oficial de Protección de Datos / DPO
Supervisa el cumplimiento, asesora a la organización, mantiene el ROPA, coordina las DPIA, gestiona las vulneraciones de datos y actúa como punto de contacto con las autoridades y los titulares de los datos.
Responsable del Tratamiento
Determina las finalidades y los medios del tratamiento y garantiza la base jurídica, la autorización y los derechos de los titulares de los datos.
Encargado del Tratamiento
Trata los datos por cuenta del responsable, siguiendo instrucciones, obligaciones contractuales (DPA) y medidas de seguridad, conservando la evidencia correspondiente.
Líder de Infraestructura y Ciberseguridad
Implementa y verifica medidas técnicas de seguridad, control de acceso, cifrado, monitoreo, registros de auditoría y privacidad desde el diseño en los sistemas.
Líderes de Procesos
Identifican, documentan y mantienen actualizadas las actividades de tratamiento en sus procesos y garantizan el cumplimiento de la Política.
Recursos Humanos
Gestiona los datos personales de empleados y candidatos, obtiene autorizaciones y aplica medidas de conservación y eliminación.
Mesa de Ayuda
Recibe, registra, clasifica y canaliza las solicitudes de los titulares y los eventos/incidentes de privacidad, manteniendo la trazabilidad.
Responsable Legal / Contractual
Valida las bases jurídicas, autorizaciones, avisos de privacidad, cláusulas contractuales estándar y Acuerdos de Tratamiento de Datos (DPA).
Proveedores, terceros y subencargados
Tratan los datos personales de acuerdo con las instrucciones de Integra, con las garantías, controles y evidencias exigidos contractualmente.
Usuarios internos
Aplican los principios y controles de la Política, salvaguardan la confidencialidad y reportan eventos e incidentes de seguridad y privacidad.
Comité de Seguridad de la Información o equivalente
Revisa periódicamente el cumplimiento, aprueba tratamientos de alto riesgo, evalúa riesgos de privacidad y supervisa la mejora continua del marco de PDP.
1.1 Matriz RACI de Responsabilidades
R = Responsable; A = Aprobador/Responsable final; C = Consultado; I = Informado. GG = Gerencia General; DPO = Oficial de Protección de Datos; LIC = Líder de Infraestructura y Ciberseguridad; AJ = Asuntos Jurídicos; MA = Mesa de Ayuda; LP = Líderes de Procesos; CS = Comité de Seguridad de la Información.
| Actividad de PDP | GG | DPO | LIC | AJ | MA | LP | CS |
|---|---|---|---|---|---|---|---|
| Aprobación y gobernanza de la Política | A | R | I | C | I | I | C |
| Bases jurídicas y finalidades del tratamiento | I | A | I | R | I | C | I |
| Consentimiento y autorización | I | A | I | C | C | R | I |
| Derechos / solicitudes ARCO+ | I | A | I | C | R | C | I |
| ROPA e inventario | I | A | C | I | I | R | I |
| DPIA/PIA | I | A | R | C | I | C | C |
| Transferencias internacionales (TIA) | I | A | C | R | I | C | I |
| Encargados/terceros y DPA | I | A | C | R | I | C | I |
| Gestión / notificación de vulneraciones de datos | I | A | R | C | C | I | C |
| Privacidad desde el diseño/por defecto / seguridad técnica | I | C | A | I | I | C | C |
| Conservación y eliminación segura | I | A | C | I | I | R | I |
| Capacitación y concientización sobre privacidad | I | A | C | I | I | R | C |
2. DEFINICIONES
ALCOA+: Principios de integridad de datos: atribuibles, legibles, contemporáneos, originales, exactos, completos, consistentes, perdurables y disponibles.
Anonimización: Proceso irreversible que impide la identificación directa o indirecta del titular de los datos.
Autorización: Consentimiento previo, expreso e informado del titular para tratar sus datos personales.
Aviso de Privacidad: Comunicación verbal o escrita que informa al titular sobre las políticas de tratamiento aplicables, cómo acceder a ellas y las finalidades previstas.
Base de Datos: Conjunto organizado de datos personales que son objeto de tratamiento.
Base jurídica: Fundamento jurídico que legitima el tratamiento, como autorización, contrato, obligación legal, interés legítimo, interés vital u obligación regulatoria.
Vulneración de datos personales: Incidente de seguridad que ocasiona la destrucción, pérdida, alteración, divulgación o acceso no autorizado a datos personales.
Categorías especiales de datos: Datos sensibles conforme al GDPR, la Ley 1581 y HIPAA que requieren salvaguardas reforzadas.
Cliente: Toda persona que utiliza los servicios de INTEGRA IT S.A.S. como usuario o proveedor.
Consentimiento: Manifestación libre, previa, expresa, informada, verificable y revocable de la voluntad del titular respecto al tratamiento.
Datos de menores: Datos personales de niños, niñas y adolescentes, sujetos al interés superior del menor y a controles reforzados.
Datos de salud: Datos personales relacionados con la salud física o mental de un titular, considerados sensibles y, cuando aplica HIPAA, información de salud protegida.
Datos personales: Cualquier información vinculada o que pueda asociarse con una o varias personas naturales determinadas o determinables.
Datos privados: Datos que, por su naturaleza íntima o reservada, solo son relevantes para su titular.
Datos públicos: Datos que no son semiprivados, privados ni sensibles.
Datos semiprivados: Datos que no tienen naturaleza íntima, reservada ni pública, y cuyo conocimiento interesa al titular y a un sector o grupo de personas.
Datos sensibles: Datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, incluidos aquellos que revelan origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliaciones, salud, vida sexual y datos biométricos.
Oficial de Protección de Datos / DPO: Función responsable de supervisar el cumplimiento del marco de protección de datos y actuar como punto de contacto con los titulares y las autoridades.
DPIA / PIA: Evaluación de impacto de protección de datos/privacidad aplicada a tratamientos de alto riesgo.
Eliminación segura: Destrucción, eliminación o anonimización verificable y documentada de datos personales.
Encargado del tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.
Firma electrónica: Símbolo o datos electrónicos asociados con un registro y ejecutados por una persona con la intención de firmar.
GDPR: Reglamento General de Protección de Datos de la Unión Europea.
Incidente de seguridad: Evento que compromete o puede comprometer la confidencialidad, integridad o disponibilidad de la información.
Limitación de la finalidad: Recopilación para fines específicos, explícitos y legítimos, sin tratamientos posteriores incompatibles.
Minimización de datos: Tratamiento limitado a datos adecuados, pertinentes y estrictamente necesarios.
PHI / ePHI: Información de Salud Protegida y su formato electrónico conforme a HIPAA.
Privacidad por defecto: Configuración predeterminada que permite tratar únicamente los datos necesarios, con acceso restringido y finalidad limitada.
Privacidad desde el diseño: Integración de controles de privacidad desde la concepción de los procesos, sistemas y servicios.
Registro electrónico: Cualquier combinación de texto, gráficos, datos o información en formato digital creada, modificada, mantenida o distribuida por un sistema.
Responsable del tratamiento: Persona natural o jurídica que determina la base de datos y/o el tratamiento.
Conservación: Periodo durante el cual se conservan los datos personales de acuerdo con la finalidad y las obligaciones legales, contractuales y regulatorias aplicables.
ROPA: Registro documentado de Actividades de Tratamiento que abarca finalidades, categorías, bases jurídicas, encargados, transferencias, medidas de seguridad y conservación.
Seudonimización: Tratamiento que impide atribuir los datos a un titular sin utilizar información adicional conservada por separado y protegida mediante controles reforzados.
Subencargado: Tercero contratado por un encargado para tratar datos personales por cuenta de un responsable bajo obligaciones equivalentes.
TIA: Evaluación de Impacto de Transferencia para transferencias internacionales de datos personales.
Titular de los datos: Persona natural cuyos datos personales son objeto de tratamiento.
Transferencia: Envío de datos personales por un responsable y/o encargado en Colombia a otro responsable dentro o fuera del país.
Transferencia internacional: Envío de datos personales a un responsable ubicado en otro país.
Transmisión: Comunicación de datos personales, dentro o fuera de Colombia, para su tratamiento por un encargado por cuenta del responsable.
Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, incluida la recolección, almacenamiento, uso, circulación o eliminación.
3. PRINCIPIOS RECTORES
3.1 Principios para el Tratamiento de Datos Personales - Ley 1581 de 2012
- Legalidad
- Finalidad
- Libertad
- Veracidad o calidad
- Transparencia
- Acceso y circulación restringida
- Seguridad
- Confidencialidad
3.2 Principios de Responsabilidad Demostrada y Privacidad
- Responsabilidad demostrada
- Minimización de datos
- Limitación de la conservación
- Integridad y confidencialidad
- Exactitud
- Privacidad desde el diseño
- Privacidad por defecto
- Trazabilidad
- Auditabilidad
- Integridad de datos ALCOA+
4. POLÍTICAS DE TRATAMIENTO DE DATOS PERSONALES
INTEGRA IT S.A.S. desarrolla y comercializa software y presta servicios profesionales, de consultoría, implementación, mantenimiento, tercerización y operación. En calidad de responsable y/o encargado del tratamiento, Integra establece las siguientes políticas de datos personales basadas en evidencia, trazables, controladas y auditables.
INTEGRA IT S.A.S. | NIT 900311906-7
Cra 45 A 104 B 16, Bogotá D.C. - CO
[email protected] | +57 (1) 316 292 0684
4.1 Ciclo de Vida de los Datos
Gestionar los datos personales desde su recolección hasta su almacenamiento, uso, circulación, transferencia, transmisión, conservación, archivo, anonimización, seudonimización, eliminación y disposición final. Documentar cada fase, las responsabilidades, los controles basados en riesgos y la evidencia. Respaldado por IT-SOP-031.
4.2 Bases Jurídicas
Establecer y documentar la base jurídica para cada actividad de tratamiento, incluida la autorización, contrato, obligación legal, interés legítimo cuando corresponda, intereses vitales, obligaciones regulatorias y prestación del servicio. Registrar la base en el ROPA. Respaldado por IT-SOP-032.
4.3 Consentimiento y Autorización
Obtener, registrar, conservar y verificar el consentimiento o autorización otorgado libremente, previo, expreso, informado, verificable y revocable. Proporcionar mecanismos de trazabilidad y revocación. Respaldado por IT-SOP-032 e IT-FRM-034.
4.4 Legitimidad del Tratamiento
Validar antes del tratamiento que cada actividad tenga una finalidad legítima, una base jurídica válida y una relación proporcional entre los datos recopilados y la finalidad declarada; revisar periódicamente. Respaldado por IT-SOP-032 e IT-FRM-034.
4.5 Derechos ARCO+ de los Titulares
Garantizar el acceso, rectificación, cancelación, oposición, actualización, eliminación, revocación de la autorización, portabilidad y restricción cuando corresponda, así como los derechos del GDPR relacionados con decisiones automatizadas. Respaldado por IT-SOP-033 e IT-FRM-032.
4.6 Procedimiento de Atención de Solicitudes
Recibir, registrar, clasificar, verificar la identidad, gestionar, responder y cerrar las solicitudes de los titulares a través de la Mesa de Ayuda y [email protected], manteniendo trazabilidad de extremo a extremo. Respaldado por IT-SOP-033 e IT-FRM-032.
4.7 Plazos de Respuesta
Atender las consultas en Colombia dentro de 10 días hábiles y los reclamos dentro de 15 días hábiles, sujetos a las prórrogas permitidas legalmente. Cuando aplique el GDPR, responder dentro de un mes, prorrogable según lo permitido. Respaldado por IT-SOP-033.
4.8 Minimización y Limitación de la Finalidad
Limitar la recopilación y el tratamiento a datos estrictamente necesarios, pertinentes y adecuados para fines informados, legítimos y autorizados; evitar tratamientos posteriores incompatibles y eliminar periódicamente los datos innecesarios. Respaldado por IT-SOP-031.
4.9 DPIA / PIA
Realizar evaluaciones de impacto para tratamientos nuevos o de alto riesgo, nuevas tecnologías, datos sensibles o de salud, datos de menores o monitoreo sistemático; documentar riesgos, mitigaciones y decisiones. Respaldado por IT-SOP-034 e IT-FRM-033.
4.10 Análisis de Riesgos de Privacidad
Identificar, evaluar, tratar, monitorear y documentar los riesgos de privacidad, seguridad, confidencialidad, integridad, disponibilidad, cumplimiento y derechos de los titulares. Respaldado por IT-SOP-034 e IT-FRM-033.
4.11 Tratamientos de Alto Riesgo
Aplicar controles reforzados, evaluaciones de impacto y aprobación del Comité de Seguridad de la Información al tratamiento de datos sensibles, de salud o de menores, tratamientos a gran escala, transferencias internacionales, decisiones automatizadas, elaboración de perfiles y tecnologías emergentes. Respaldado por IT-SOP-034.
4.12 Transferencias Internacionales
Realizar una evaluación previa del destino, salvaguardas, base jurídica, contratos, autorización cuando sea requerida y trazabilidad de la transferencia, incluidos los artículos 44-49 del GDPR cuando corresponda. Respaldado por IT-SOP-035 e IT-FRM-039.
4.13 Salvaguardas Adecuadas
Utilizar salvaguardas contractuales, técnicas, organizacionales, regulatorias y documentales para las transferencias internacionales, incluidas confidencialidad, cifrado, controles de acceso y obligaciones de seguridad. Respaldado por IT-SOP-035 e IT-FRM-039.
4.14 Cláusulas Contractuales Estándar
Utilizar cláusulas contractuales estándar o mecanismos equivalentes cuando el GDPR o las normas de transferencia así lo requieran, y conservar evidencia de su ejecución y cumplimiento. Respaldado por IT-SOP-035.
4.15 Encargados del Tratamiento
Gestionar encargados, subencargados y terceros mediante instrucciones documentadas, obligaciones de seguridad, restricciones de uso, controles de subcontratación, supervisión y evidencia de auditoría. Respaldado por IT-SOP-036.
4.16 Debida Diligencia de Terceros
Evaluar a los terceros antes del tratamiento, considerando seguridad, privacidad, cumplimiento, ubicación, subencargados, controles técnicos, evidencia y contratos. Respaldado por IT-SOP-036 e IT-FRM-037.
4.17 Acuerdos de Tratamiento de Datos (DPA)
Formalizar DPA que contemplen finalidad, seguridad, restricciones de uso, subencargados, notificación de incidentes, derechos de auditoría y devolución/eliminación al finalizar la relación, junto con acuerdos de confidencialidad. Respaldado por IT-SOP-036 e IT-FRM-038.
4.18 Gestión de Vulneraciones de Datos Personales
Identificar, clasificar, contener, evaluar el impacto, investigar, documentar, remediar, extraer lecciones y cerrar las vulneraciones de datos personales mientras se evalúan los riesgos para los titulares. Respaldado por IT-SOP-037 e IT-FRM-040.
4.19 Notificación a las Autoridades
Evaluar y ejecutar las notificaciones a las autoridades competentes, incluida la SIC de Colombia y las autoridades europeas cuando corresponda, cumpliendo los plazos y contenidos exigidos. Respaldado por IT-SOP-037 e IT-FRM-035.
4.20 Comunicación a los Titulares Afectados
Comunicar las vulneraciones a los titulares afectados cuando sea requerido en función del riesgo, describiendo la vulneración, las posibles consecuencias, las medidas y los canales de contacto. Respaldado por IT-SOP-037 e IT-FRM-036.
4.21 Privacidad desde el Diseño
Incorporar controles de privacidad desde la concepción y durante el diseño, adquisición, configuración, desarrollo, implementación, mantenimiento y retiro de sistemas, procesos y servicios. Respaldado por IT-SOP-038.
4.22 Privacidad por Defecto
Configurar procesos, sistemas y servicios para tratar por defecto únicamente los datos necesarios, con acceso restringido, finalidad limitada y controles proporcionales al riesgo. Respaldado por IT-SOP-038.
4.23 Protección en el Diseño de Sistemas
Aplicar seguridad, trazabilidad, segregación de funciones, registros de auditoría, control de acceso y validación en el desarrollo, infraestructura, nube, integraciones, bases de datos, Odoo, Trial360 y soluciones administradas. Respaldado por IT-SOP-038.
4.24 ROPA
Mantener y actualizar periódicamente el Registro de Actividades de Tratamiento con responsables, finalidades, categorías de datos/titulares, bases jurídicas, encargados, transferencias, seguridad, conservación y evidencia. Respaldado por IT-SOP-039 e IT-FRM-031.
4.25 Inventario de Tratamientos
Mantener un inventario de tratamientos en procesos, sistemas, clientes, servicios, proveedores y plataformas tecnológicas, alineado con el ROPA y utilizado para la gestión de riesgos y cumplimiento. Respaldado por IT-SOP-039 e IT-FRM-031.
4.26 Registro Nacional de Bases de Datos de Colombia
Evaluar, mantener y actualizar la inscripción ante el RNBD de la SIC cuando sea legalmente aplicable y conservar la evidencia correspondiente. Respaldado por IT-SOP-039.
4.27 Avisos de Privacidad
Crear, mantener, publicar y actualizar avisos claros, completos, accesibles y verificables, alineados con las finalidades y los derechos de los titulares, conservando evidencia de versión y publicación. Respaldado por IT-SOP-040.
4.28 Políticas Públicas de Tratamiento
Mantener políticas públicas de tratamiento de datos personales disponibles para los titulares y partes interesadas, con control de versiones y evidencia de disponibilidad. Respaldado por IT-SOP-040.
4.29 Transparencia e Información
Informar a los titulares sobre el responsable, finalidades, derechos, canales, transferencias, encargados, conservación, medidas de seguridad y demás elementos relevantes del tratamiento. Respaldado por IT-SOP-040.
4.30 Anonimización
Aplicar anonimización cuando sea necesario, evaluar el riesgo de reidentificación, documentar las técnicas aplicadas y validar periódicamente su eficacia, incluido el uso de hash/eliminación de identificadores directos cuando corresponda. Respaldado por IT-GDE-011.
4.31 Seudonimización
Utilizar seudonimización para reducir el riesgo, manteniendo la información de reidentificación separada y bajo controles reforzados, con evidencia documentada. Respaldado por IT-GDE-011.
4.32 Conservación de Datos Personales
Definir, documentar, aplicar y revisar periódicamente los periodos de conservación conforme a la finalidad y a las necesidades legales, contractuales, regulatorias, litigiosas u operativas justificadas. Respaldado por IT-GDE-012.
4.33 Eliminación Segura
Eliminar, destruir, anonimizar o disponer de forma segura y verificable los datos personales al finalizar su finalidad o periodo de conservación, utilizando métodos apropiados para el medio y la sensibilidad de la información. Respaldado por IT-GDE-012.
4.34 Excepciones de Conservación
Conservar los datos más allá de los periodos ordinarios únicamente por necesidades legales, regulatorias, contractuales, de litigio, auditoría, seguridad, continuidad o investigación de incidentes debidamente documentadas, con una duración definida. Respaldado por IT-GDE-012.
4.35 Medidas Técnicas de Seguridad
Implementar control de acceso, autenticación, cifrado, monitoreo, copias de seguridad, segregación de funciones, endurecimiento de sistemas, registros de auditoría, gestión de vulnerabilidades y protección de endpoints, redes, bases de datos y plataformas en la nube. Respaldado por IT-GDE-013.
4.36 Cifrado
Cifrar los datos personales en tránsito y en reposo, gestionar el ciclo de vida de las claves y credenciales, utilizar canales seguros y reforzar la protección de los datos sensibles y de salud. Respaldado por IT-GDE-013.
4.37 Controles de Acceso
Aplicar los principios de necesidad de conocer, mínimo privilegio, segregación de funciones, autenticación robusta, revisiones periódicas de acceso, revocación oportuna y trazabilidad. Respaldado por IT-GDE-013.
4.38 Cumplimiento Multijurisdiccional
Identificar y gestionar las obligaciones de privacidad según el país, cliente, contrato, tipo de datos, ubicación del titular, lugar del tratamiento y transferencias internacionales; mantener actualizado un mapa de obligaciones. Respaldado por IT-GDE-014.
4.39 Requisitos por País/Jurisdicción
Documentar los requisitos específicos de cada jurisdicción para Colombia, UE/EEE, Estados Unidos cuando aplique HIPAA y otros países pertinentes, incluidos marco jurídico, autoridad, bases jurídicas, derechos, datos especiales, menores, transferencias, vulneraciones, registros y evidencia. Respaldado por IT-GDE-014.
4.40 Datos Sensibles
Proteger los datos sensibles mediante autorización explícita cuando corresponda, restricciones de acceso, medidas reforzadas, evaluación de riesgos, limitación de la finalidad y controles técnicos. Respaldado por IT-GDE-015.
4.41 Datos de Salud
Proteger los datos de salud y PHI/ePHI cuando corresponda, garantizando confidencialidad, integridad, disponibilidad, trazabilidad, consideración de las reglas de privacidad y seguridad de HIPAA, requisitos contractuales y controles técnicos reforzados. Respaldado por IT-GDE-015.
4.42 Datos de Menores
Tratar los datos de menores conforme a la legislación aplicable, el interés superior del menor, la autorización del representante, una finalidad legítima, la minimización y controles reforzados. Respaldado por IT-GDE-015.
4.43 Categorías Especiales
Identificar, clasificar y controlar las categorías especiales conforme al GDPR, la Ley 1581, HIPAA y demás normas aplicables, con salvaguardas reforzadas y evaluación de riesgos. Respaldado por IT-GDE-015.
4.44 Investigación Clínica y Salud Digital
Garantizar una base jurídica/consentimiento aplicable, anonimización o seudonimización cuando corresponda, cumplimiento de ICH-GCP y ALCOA+, trazabilidad completa del ciclo de vida y restricciones sobre usos secundarios.
4.45 Uso Responsable de Inteligencia Artificial
Antes de implementar IA, realizar evaluaciones de riesgo, aplicar privacidad desde el diseño y minimización, revisión humana cuando corresponda, prevención de sesgos, transparencia, trazabilidad del modelo y prohibir el uso de datos personales para entrenamiento de modelos sin una base jurídica válida.
5. MARCO JURÍDICO APLICABLE
El marco distingue las normas jurídicas obligatorias de los estándares adoptados, marcos de referencia y requisitos de entornos regulados. La aplicabilidad depende del titular de los datos, el tipo de datos, el alcance del tratamiento y la jurisdicción.
5.1 Ley 1581 de 2012 - Colombia
Aplica al tratamiento de datos personales en Colombia, incluidos principios, derechos, deberes de responsables/encargados, autorización, consultas y reclamos.
5.2 Decreto 1377 de 2013
Aplica a la autorización, los avisos de privacidad, las finalidades del tratamiento, los derechos de los titulares y las políticas de tratamiento.
5.3 GDPR
Aplica cuando se cumple el ámbito territorial o extraterritorial de la UE, e incluye principios, bases jurídicas, consentimiento, categorías especiales, derechos, privacidad desde el diseño/por defecto, encargados, ROPA, seguridad, notificación de vulneraciones, DPIA y transferencias internacionales.
5.4 HIPAA - cuando aplique PHI
Aplica a la información de salud protegida cuando corresponda, con salvaguardas administrativas, físicas y técnicas de las Reglas de Privacidad y Seguridad.
5.5 Otras jurisdicciones
Integra evalúa los requisitos según país, cliente, contrato, ubicación del titular/tratamiento, encargados/subencargados, transferencias y naturaleza de los datos. Las jurisdicciones contempladas incluyen Chile (Ley 21.719), Argentina (Ley 25.326), Panamá (Ley 81 de 2019) y Paraguay (Ley 7593/2025).
5.6 ISO/IEC 27001:2022
Utilizada para alinear la seguridad de la información, riesgos, accesos, incidentes, continuidad, proveedores, activos, cifrado y monitoreo.
5.7 ISO/IEC 27701:2019
Utilizada como extensión para la gestión de privacidad en los roles de responsable/encargado de PII, obligaciones respecto de titulares, terceros, transferencias, minimización y conservación.
5.8 Marco de Privacidad de NIST
Alineado mediante las funciones Identify-P, Govern-P, Control-P, Communicate-P y Protect-P.
5.9 GAMP 5 Segunda Edición
Aplicado cuando corresponde a sistemas computarizados regulados, ciclo de vida, enfoques basados en riesgos, trazabilidad, validación y control de cambios.
5.10 21 CFR Parte 11
Aplicado cuando corresponde a registros/firmas electrónicas, controles de acceso, pistas de auditoría, integridad, conservación, trazabilidad y controles del sistema.
5.11 Integridad de Datos ALCOA+
Garantiza que los datos personales y registros regulados permanezcan atribuibles, legibles, contemporáneos, originales, exactos, completos, consistentes, perdurables y disponibles.
Chile
Ley 21.719; Agencia de Protección de Datos Personales; derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo; protección reforzada para menores; requisitos para transferencias internacionales.
Argentina
Ley 25.326; calidad de los datos, consentimiento, datos sensibles, Habeas Data y derechos de acceso, rectificación, actualización y supresión.
Panamá
Ley 81 de 2019; principios de lealtad, finalidad, transparencia, proporcionalidad y seguridad; derechos ARCO; gestión de incidentes y comunicación a los titulares.
Paraguay
Ley 7593/2025; alcance extraterritorial, derechos de los titulares, transferencias internacionales, encargados y responsables del tratamiento.
6. REFERENCIAS
Cuando exista conflicto entre las fuentes, prevalecerá la legislación obligatoria aplicable, seguida de los estándares adoptados y la documentación interna de Integra.
- Constitución Política de Colombia, Artículo 15
- Ley 1581 de 2012
- Decreto Reglamentario 1377 de 2013
- Decreto 1074 de 2015, cuando corresponda
- Sentencia C-748 de 2011 de la Corte Constitucional de Colombia
- Lineamientos de la Superintendencia de Industria y Comercio (SIC)
- Reglamento General de Protección de Datos (GDPR)
- Regla de Privacidad de HIPAA
- Regla de Seguridad de HIPAA
- ISO/IEC 27001:2022
- ISO/IEC 27701:2019
- Marco de Privacidad de NIST
- GAMP 5 Segunda Edición
- 21 CFR Parte 11
- Principios de Integridad de Datos ALCOA+
- Políticas internas de seguridad de la información de Integra IT
- Procedimientos, guías, formularios y registros del marco PDP: IT-SOP-031 a 040, IT-GDE-011 a 015, IT-FRM-031 a 040
6.1 Trazabilidad con el Marco Documental de Protección de Datos Personales
| Documento PDP | Código | Secciones IT-POL-002 | Evidencia / registro | Responsable sugerido |
|---|---|---|---|---|
| Gestión del Ciclo de Vida de los Datos | IT-SOP-031 | 5; 6.1; 6.8 | Registros del ciclo de vida de los datos | DPO / Líder de Proceso |
| Consentimiento y Bases Jurídicas | IT-SOP-032 | 6.2; 6.3; 6.4 | Registro de autorizaciones y bases jurídicas | DPO / Legal |
| Derechos y Solicitudes ARCO | IT-SOP-033 | 6.5; 6.6; 6.7 | Registro de solicitudes de titulares | Mesa de Ayuda / DPO |
| DPIA/PIA | IT-SOP-034 | 6.9; 6.10; 6.11 | DPIA documentadas | DPO / Líder de Infraestructura y Ciberseguridad |
| Transferencias Internacionales | IT-SOP-035 | 6.12; 6.13; 6.14 | TIA y contratos | DPO / Legal |
| Encargados y Terceros | IT-SOP-036 | 6.15; 6.16; 6.17 | Debida diligencia y DPA | DPO / Legal |
| Notificación de Vulneraciones de Datos Personales | IT-SOP-037 | 6.18; 6.19; 6.20 | Registros de vulneraciones y notificaciones | DPO / Líder de Infraestructura y Ciberseguridad |
| Privacidad desde el Diseño y por Defecto | IT-SOP-038 | 6.21; 6.22; 6.23 | Evidencia del diseño de sistemas | Líder de Infraestructura y Ciberseguridad |
| ROPA | IT-SOP-039 | 6.24; 6.25; 6.26 | ROPA e inventario de tratamientos | DPO |
| Avisos y Políticas de Privacidad | IT-SOP-040 | 6.27; 6.28; 6.29 | Avisos y políticas publicados | DPO / Comunicaciones |
| Anonimización y Seudonimización | IT-GDE-011 | 6.30; 6.31; 6.1 | Evidencia técnica aplicada | Líder de Infraestructura y Ciberseguridad |
| Conservación y Eliminación | IT-GDE-012 | 6.32; 6.33; 6.34 | Programas de conservación / registros de eliminación | DPO / Líder de Proceso |
| Cifrado y Protección Técnica | IT-GDE-013 | 6.35; 6.36; 6.37 | Configuración de seguridad/claves | Líder de Infraestructura y Ciberseguridad |
| Cumplimiento Jurisdiccional Multipaís | IT-GDE-014 | 6.38; 6.39; 6.12 | Mapa de obligaciones jurisdiccionales | DPO / Legal |
| Categorías Especiales de Datos | IT-GDE-015 | 6.40; 6.41; 6.42; 6.43 | Registros de datos sensibles | DPO / Líder de Proceso |
| Formulario ROPA | IT-FRM-031 | 6.24; 6.25 | ROPA completado | DPO |
| Solicitud de Derechos del Titular | IT-FRM-032 | 6.5; 6.6 | Solicitudes registradas | Mesa de Ayuda |
| Formulario DPIA | IT-FRM-033 | 6.9; 6.10 | DPIA completada | DPO |
| Formulario de Consentimiento Informado | IT-FRM-034 | 6.3; 6.4 | Consentimientos registrados | Legal / DPO |
| Notificación de Vulneración a la Autoridad | IT-FRM-035 | 6.18; 6.19 | Notificación a la SIC | DPO |
| Notificación de Vulneración al Titular | IT-FRM-036 | 6.18; 6.20 | Comunicaciones a los titulares | DPO |
| Debida Diligencia de Encargados | IT-FRM-037 | 6.15; 6.16 | Evaluación de terceros | DPO / Legal |
| Acuerdo de Tratamiento de Datos | IT-FRM-038 | 6.15; 6.17 | DPA formalizados | Legal |
| Evaluación de Transferencia Internacional | IT-FRM-039 | 6.12; 6.13 | TIA completada | DPO / Legal |
| Registro de Vulneraciones de Datos Personales | IT-FRM-040 | 6.18 | Registro de vulneraciones | DPO / Líder de Infraestructura y Ciberseguridad |