POLÍTICA DE PRIVACIDAD

COOPERATIVA NACIONAL DE DROGUISTAS DETALLISTAS - COOPIDROGAS

1. BASE LEGAL Y ÁMBITO DE APLICACIÓN

La Política de Tratamiento de la información se desarrolla en cumplimiento de los artículos 15 y 20 de la Constitución Política, así como, el Decreto 1377 de 2013 con fundamento en los artículos 17 literal k) y 18 literal f) de la Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la Protección de Datos Personales (LEPD). Adicionalmente, en cumplimiento del artículo 2.2.2.25.1.1 sección 1 Capítulo 25 del Decreto 1074 de 2015, por el cual se reglamenta parcialmente la Ley 1581 de 2012.

Esta Política será aplicable a todos los datos personales registrados en bases de datos que sean objeto de tratamiento por el Responsable del Tratamiento.

1.1. Alcance

El presente documento aplicará para todos aquellos datos personales o de cualquier otro tipo de información que sea utilizada o repose en las bases de datos y archivos de la COOPERATIVA NACIONAL DE DROGUISTAS DETALLISTAS - COOPIDROGAS, respetando los criterios para la obtención, recolección, uso, tratamiento, procesamiento, intercambio, transferencia y transmisión de datos personales, y fijar las obligaciones y lineamientos de la entidad para la administración y tratamiento de los datos personales que reposen en sus bases de datos y archivos. La presente política es aplicable a los procesos de la entidad que deban realizar el tratamiento de los datos (datos públicos, datos semiprivados, datos privados, datos sensibles, datos de los niños, niñas y adolescentes), en calidad de Responsable y de Encargado.

1.2. Normatividad aplicable

• Constitución Política de Colombia
• Ley 1581 de 2012
• Decreto 1074 de 2015 Capítulo 25 y Capítulo 26 compilatorios de los Decretos:
  • Decreto 1377 de 2013
  • Decreto 886 de 2014
• Ley 1266 de 2008 “Por la cual se dictan las disposiciones generales del Habeas Data”.
• Actos administrativos expedidos por la Superintendencia de Industria y Comercio.

2. DEFINICIONES

Las siguientes definiciones se encuentran establecidas en el artículo 3 de la LEPD y artículo 2.2.2.25.1.3 sección 1 Capítulo 25 del Decreto 1074 de 2015 (Artículo 3 del Decreto 1377 de 2013):

• Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales.
• Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamiento que se pretende dar a los datos personales.
• Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento, pertenecientes a un mismo contexto y almacenados sistemáticamente para su posterior uso.
• Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. Estos datos se clasifican en públicos, semiprivados, privados y sensibles:
  • Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o del servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales, sentencias judiciales debidamente ejecutadas que no estén sometidas a reserva.
  • Dato semiprivado: Es aquel que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no solo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como son: Bases de datos que contengan Información financiera, crediticia, comercial, de servicios y la proveniente de terceros países.
  • Dato privado: Es un dato personal que por su naturaleza íntima o reservada solo interesa a su Titular y para su tratamiento requiere de su autorización previa, informada y expresa. Bases de datos que contengan datos como números telefónicos y correos electrónicos personales; datos laborales, sobre infracciones administrativas o penales, administrados por administraciones tributarias, entidades financieras y entidades gestoras y servicios comunes de la Seguridad Social, bases de datos sobre solvencia patrimonial o de crédito, bases de datos con información suficiente para evaluar la personalidad del Titular, bases de datos de los responsables de operadores que presten servicios de comunicación electrónica.
  • Dato sensible: Se entiende por datos sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos.
• Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del Responsable del Tratamiento.
• LEPD: Ley Estatutaria de Protección de Datos.
• Oficial de Protección de Datos: Es la persona natural que asume la función de coordinar la implementación del marco legal en protección de datos personales, que dará trámite a las solicitudes de los Titulares, para el ejercicio de los derechos a que se refiere la Ley 1581 de 2012.
• RNBD: El Registro Nacional de Bases de Datos – RNBD - es el directorio público de las bases de datos sujetas a tratamiento que operan en el país, el cual es administrado por la Superintendencia de Industria y Comercio y de libre consulta para los ciudadanos.
• Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos.
• Responsable de administrar las bases de datos: Colaborador encargado de controlar y coordinar la adecuada aplicación de las políticas del tratamiento de los datos una vez almacenados en una base datos específica; así como de poner en práctica las directrices que dicte el Responsable del Tratamiento y el Oficial de Protección de datos.
• Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: Es cuando el responsable o encargado de datos personales envía información a otro responsable del tratamiento que está ubicado dentro o fuera del país. El nuevo receptor no actúa por cuenta del emisor, sino como un nuevo responsable con autonomía sobre los datos, quien deberá gestionar la autorización de tratamiento de datos personales ante el titular para las nuevas finalidades que establezca.
• Transmisión: Es la comunicación de datos personales dentro o fuera del territorio de la República de Colombia, con el fin de que un tercero realice un tratamiento por cuenta del responsable. Es decir, el responsable sigue teniendo el control, pero delega el tratamiento a un encargado para tener un beneficio por cuenta del responsable.

3. PRINCIPIOS DE LA PROTECCIÓN DE DATOS

El artículo 4 de la LEPD establece unos principios para el tratamiento de datos personales que se han de aplicar, de manera armónica e integral, en el desarrollo, interpretación y aplicación de la Ley:

3.1. Principio de legalidad

El tratamiento de los datos es una actividad regulada que debe sujetarse a lo establecido en la LEPD, el Decreto 1377 de 2013 Compilado en el Capítulo 25 del Decreto 1074 de 2015 y en las demás disposiciones que la desarrollen.

3.2. Principio de finalidad

El tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular.

3.3. Principio de libertad

El tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que revele el consentimiento.

3.4. Principio de veracidad o calidad

La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

3.5. Principio de transparencia

En el tratamiento debe garantizarse el derecho del Titular a obtener del Responsable o Encargado del Tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan. En el momento de solicitar la autorización, se deberá informar de manera clara y expresa:

• El tratamiento al cual serán sometidos sus datos y la finalidad del mismo.
• El carácter facultativo de la respuesta del Titular a las preguntas sobre datos sensibles o sobre niños, niñas o adolescentes.
• Los derechos que le asisten como Titular.
• La identificación, dirección física, correo electrónico y teléfono del Responsable del Tratamiento.

3.6. Principio de acceso y circulación restringida

El tratamiento se sujeta a los límites derivados de la naturaleza de los datos personales y de la Constitución y la Ley. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable.

3.7. Principio de seguridad

La información se deberá manejar con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

3.8. Principio de confidencialidad

Todas las personas que intervengan en el tratamiento de datos personales que no tengan naturaleza pública están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento.

4. AUTORIZACIÓN USO DE DATOS PERSONALES

De acuerdo con el artículo 9 de la LEPD, para el tratamiento de datos personales se requiere la autorización del Titular, salvo en los casos expresamente señalados en la ley.

No será necesaria la autorización del Titular cuando se trate de:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las personas.

5. SOLICITUD DE AUTORIZACIÓN AL TITULAR DEL DATO PERSONAL

La autorización será gestionada a través de mecanismos que garanticen su consulta posterior, tales como:

• Por escrito.
• De forma oral.
• Mediante canales automatizados.
• Mediante conductas inequívocas del Titular.

6. RESPONSABLE DEL TRATAMIENTO

El Responsable del Tratamiento es la COOPERATIVA NACIONAL DE DROGUISTAS DETALLISTAS - COOPIDROGAS:

• Dirección: Autopista Bogotá - Medellín Kilometro 4.7 Costado Norte, antes del puente de Siberia (Cota, Cundinamarca)
• Correo electrónico: datospersonales@coopidrogas.com.co
• Teléfono: 4375150

7. TRATAMIENTO Y FINALIDADES DE LAS BASES DE DATOS

A continuación se relacionan las distintas bases de datos bajo responsabilidad de la Cooperativa y sus finalidades:

Base de Datos: Aspirantes Asociados y Pre Asociados

• Finalidades varias - Fines históricos, científicos o estadísticos
• Finalidades varias - Procedimientos administrativos, publicación de imágenes personales como datos biométricos en medios impresos, audiovisuales y/o redes sociales institucionales; grabación de voz como medio de autenticación y gestión de dispositivos móviles como doble factor de autenticación.
• Gestión Técnica y Administrativa – Envío de comunicaciones
• Gestión contable, fiscal y administrativa - Gestión administrativa y económica
• Publicidad y prospección comercial

Base de Datos: Invitados Eventos Especiales

• Finalidades varias - Fidelización de clientes, fines históricos, científicos o estadísticos, procedimientos administrativos, publicaciones, relaciones comerciales (registro de asistencia a eventos o recepciones sociales/administrativas).
• Gestión Técnica y Administrativa – Envío de comunicaciones
• Gestión contable, fiscal y administrativa - Gestión administrativa
• Marketing y Publicidad propia

Base de Datos: Eventos Clientes Finales Farmacenter

• Finalidades varias - Fines históricos, científicos o estadísticos, procedimientos administrativos, publicaciones.
• Financiera
• Gestión Técnica y Administrativa – Envío de comunicaciones
• Gestión contable, fiscal y administrativa - Gestión administrativa, de clientes, económica y contable.
• Marketing y Prospección comercial

Base de Datos: Clientes Finales Farmaexpress

• Finalidades varias - Atención al ciudadano/cliente (PQR), fidelización, campañas de actualización de datos.
• Gestión Técnica y Administrativa – Envío de comunicaciones
• Gestión contable, fiscal y administrativa - Gestión administrativa y de facturación.
• Marketing, análisis de perfiles, encuestas de opinión, prospección comercial, segmentación de mercados, publicidad propia, venta a distancia y ofrecimiento de productos y servicios.

Base de Datos: Usuarios Finales CAP

• Finalidades varias - Atención al ciudadano/cliente (PQR), fidelización, procedimientos administrativos, actualización de datos.
• Gestión Técnica y Administrativa – Envío de comunicaciones
• Gestión contable, fiscal y administrativa - Gestión administrativa, de cobros, pagos y facturación.
• Marketing, análisis de perfiles, encuestas de opinión, prospección comercial, segmentación de mercados, publicidad propia, venta a distancia y ofrecimiento de productos y servicios.

Base de Datos: Proveedores Activos e Inactivos

• Capacitación
• Finalidades varias - Atención al ciudadano/cliente (PQR), fines históricos, científicos o estadísticos, procedimientos administrativos.
• Financiera
• Gestión Técnica y Administrativa - Administración de Sistemas de Información, gestión de claves, usuarios, envío de comunicaciones.
• Gestión contable, fiscal y administrativa - Gestión administrativa, cobros y pagos, facturación, proveedores y contratistas, económica y contable, fiscal, históricos de relaciones comerciales, requerimientos por organismos de control (datos no sensibles).

Base de Datos: Asociados Activos

• Actividades asociativas, culturales, recreativas, deportivas y sociales - Gestión de ONGs
• Capacitación y Formación
• Finalidades varias - Atención al ciudadano/cliente (PQR), publicación de imágenes personales/biométricos, grabación de voz, fines históricos, sanciones y amonestaciones, procedimientos administrativos, publicaciones, transporte de mercancía, relaciones comerciales (asistencia a eventos).
• Financiera
• Gestión Técnica y Administrativa - Administración de sistemas, envío de comunicaciones.
• Gestión contable, fiscal y administrativa - Gestión administrativa, cobros, pagos, facturación, económica, fiscal, requerimientos de control.
• Marketing, encuestas de opinión, segmentación, publicidad propia.
• Servicios económico-financieros y seguros - Solvencia patrimonial, crédito y seguros generales.

Base de Datos: Video Vigilancia

• Finalidades varias - Fines históricos, científicos o estadísticos.
• Seguridad - Seguridad y control de acceso a edificios.

Base de Datos: Empleados Vigentes

• Actividades asociativas, culturales, recreativas, deportivas y sociales - Asistencia social, gestión cultural, imágenes biométricas, grabación de voz.
• Capacitación y formación
• Finalidades varias - Procedimientos administrativos, geolocalización GPS.
• Gestión contable, fiscal y administrativa - Gestión administrativa, económica, requerimientos de control.
• Recursos humanos - Control de horario, formación, nómina, personal, trabajo temporal, prestaciones sociales, prevención de riesgos laborales, promoción y selección de empleo.
• Sanidad - Gestión y control sanitario, investigación epidemiológica.
• Seguridad - Seguridad y control de acceso a edificios.
• Servicios económico-financieros - Seguros generales.
• Trabajo y bienestar social - Declaración y pago de seguridad social, relaciones laborales.

Base de Datos: Pre Asociados Activos

• Finalidades varias - Atención al ciudadano (PQR), imágenes biométricas, voz, fines históricos, sanciones, procedimientos administrativos, publicaciones, transporte de mercancía, asistencia a eventos.
• Financiera, Formación
• Gestión Técnica y Administrativa - Sistemas de información, desarrollo operativo, envío de comunicaciones.
• Gestión contable, fiscal y administrativa - Gestión administrativa, cobros/pagos, facturación, económica, fiscal, requerimientos de control.
• Marketing, servicios de comunicaciones, encuestas, segmentación, publicidad propia.

Base de Datos: Control de Ingreso Visitantes Regionales

• Finalidades varias - Procedimientos administrativos.
• Sanidad - Investigación epidemiológica.
• Seguridad - Seguridad y control de acceso a edificios.

8. VIGENCIA DE LA BASE DE DATOS

Los datos personales incorporados en las bases de datos estarán vigentes durante el plazo necesario para cumplir las finalidades para el cual se autorizó su tratamiento y de las normas especiales que regulen la materia, teniendo en cuenta las normas sobre periodo de conservación.

9. DERECHOS DE LOS TITULARES

De acuerdo con el artículo 8 de la LEPD, los Titulares tienen derecho a:

• a. Conocer, actualizar y rectificar sus datos personales frente a los Responsables o Encargados.
• b. Solicitar prueba de la autorización otorgada.
• c. Ser informado respecto del uso dado a sus datos personales.
• d. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la ley.
• e. Revocar la autorización y/o solicitar la supresión del dato.
• f. Acceder en forma gratuita a sus datos personales.

Estos derechos pueden ser ejercidos por el Titular, sus causahabientes, su representante/apoderado, o por estipulación a favor de otro. Los menores de edad los ejercerán a través de sus representantes legalmente facultados.

9.1. Derecho de acceso o consulta

Derecho a ser informado sobre el origen, uso y finalidad de los datos personales.

9.2. Derechos de quejas y reclamos

• Reclamo de corrección: Actualización o rectificación de datos inexactos o incompletos.
• Reclamo de supresión: Eliminación de datos inadecuados o excesivos.
• Reclamo de revocación: Dejar sin efecto la autorización prestada.
• Reclamo de infracción: Subsanar incumplimientos normativos.

10. TRATAMIENTO DE DATOS DE MENORES

La Cooperativa realiza tratamiento de datos de niños, niñas y adolescentes en el marco del interés superior y el respeto de sus derechos fundamentales, solicitando autorización al representante legal previa opinión del menor, valorando su madurez y autonomía.

11. DEBERES COMO RESPONSABLE DEL TRATAMIENTO

11.1. Frente al Titular

• Garantizar el pleno ejercicio del derecho de hábeas data.
• Solicitar y conservar copia de la autorización.
• Informar sobre la finalidad de la recolección y derechos asociados.
• Tramitar consultas y reclamos oportunamente.

11.2. Frente al Encargado

• Suministrar información veraz, completa y actualizada.
• Comunicar novedades y rectificaciones oportunamente.
• Exigir condiciones de seguridad y privacidad.

11.3. Frente a los principios y otras obligaciones

• Observar los principios legales.
• Adoptar un manual interno de políticas y procedimientos.
• Informar a la autoridad de protección de datos sobre violaciones de seguridad.

12. DEBERES COMO ENCARGADO DEL TRATAMIENTO

• Garantizar el ejercicio del hábeas data.
• Conservar la información bajo condiciones de seguridad adecuadas.
• Realizar actualización, rectificación o supresión oportuna (dentro de los 5 días hábiles siguientes).
• Tramitar consultas y reclamos.
• Registrar leyendas de "reclamo en trámite" o "información en discusión judicial".
• Informar a la SIC sobre vulneraciones de seguridad.

13. ATENCIÓN A LOS TITULARES DE DATOS

• Correo electrónico: datospersonales@coopidrogas.com.co
• Dirección: Autopista Bogotá - Medellín Kilometro 4.7 costado norte, antes del puente de Siberia (Cota – Cundinamarca)
• Teléfono: 4375150

14. PROCEDIMIENTOS PARA EJERCER LOS DERECHOS DEL TITULAR

14.1. Derecho de acceso o consulta

• Gratuito al menos una vez al mes calendario.
• Plazo de respuesta: Máximo 10 días hábiles, prorrogables por 5 días hábiles más.

14.2. Derechos de quejas y reclamos

• Plazo de respuesta: Máximo 15 días hábiles, prorrogables por 8 días hábiles más.

14.3. Verificación de identidad

El solicitante debe aportar documento de identidad, y en caso de actuar mediante apoderado o causahabiente, los documentos que acrediten tal calidad.

15. TRATAMIENTO DE DATOS EN LOS SISTEMAS DE VIDEOVIGILANCIA

Se informa a las personas sobre la existencia de videovigilancia mediante anuncios visibles en los accesos y zonas vigiladas. Las imágenes se conservan por el tiempo estrictamente necesario y su acceso es estrictamente restringido a personal autorizado o autoridades competentes.

16. MEDIDAS DE SEGURIDAD

Se han implementado medidas técnicas, humanas y administrativas organizadas en cuatro categorías principales:

1. Medidas comunes para todo tipo de datos: Gestión de documentos, control de acceso, registro de incidentes, definiciones de personal y manual interno de seguridad (SARSI).
2. Medidas según tipo de bases de datos: Procedimientos de archivo, almacenamiento físico seguro, identificación y autenticación (Directorio Activo) y telecomunicaciones seguras (VPN).
3. Medidas para datos privados: Auditorías periódicas, designación de administradores, control estricto de accesos y cifrado en transmisiones.
4. Medidas para datos sensibles: Control de accesos biométricos, registros detallados de logs, trazabilidad de documentos y cifrado robusto (soluciones Sophos).

17. COOKIES O WEB BUGS

Coopidrogas utiliza tecnologías de seguimiento (cookies propias y de terceros) en su página web principal () y en la de su marca () para mejorar la experiencia de navegación. Los usuarios pueden configurar sus navegadores para bloquearlas o eliminarlas, teniendo en cuenta que algunas funcionalidades podrían limitarse.

18. PROTOCOLO DE NOTIFICACIÓN, GESTIÓN Y RESPUESTA ANTE INCIDENTES

Procedimiento interno para reportar, contener, mitigar y documentar incidentes de seguridad (como caídas de sistemas, accesos no autorizados, pérdida de datos). Los incidentes graves son notificados a la Superintendencia de Industria y Comercio a través del RNBD dentro de los 15 días hábiles siguientes a su detección.

19. ADMINISTRACIÓN DE RIESGOS ASOCIADOS AL TRATAMIENTO DE LOS DATOS

Implementación de la Metodología del Sistema Integral de Administración de Riesgos (SIAR) para evaluar amenazas de criminalidad, sucesos de origen físico y decisiones institucionales/negligencia.

20. ENTREGA DE DATOS PERSONALES A LAS AUTORIDADES

Se verifica la legalidad y pertinencia de las solicitudes de autoridades públicas o judiciales, suscribiendo un acta de entrega que garantice la reserva y protección de los derechos de los Titulares.

21. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS PERSONALES

Se realizan transferencias únicamente a países que proporcionen niveles adecuados de protección o bajo las excepciones legales previstas (autorización expresa, razones de salud, contratos, etc.). Las transmisiones a Encargados se rigen por contratos de transmisión de datos que garantizan la confidencialidad y seguridad.

22. TRATAMIENTO DE DATOS BIOMÉTRICOS

Recopilados por motivos estrictamente de seguridad, verificación de identidad y control de acceso (huellas dactilares, voz, rasgos faciales) bajo estrictas medidas técnicas.

23. REGISTRO NACIONAL DE BASES DE DATOS – RNBD

Inscripción de las bases de datos ante la Superintendencia de Industria y Comercio de conformidad con la normatividad vigente y los plazos establecidos.

24. SEGURIDAD DE LA INFORMACIÓN Y DATOS PERSONALES

Compromiso institucional permanente con la protección, confidencialidad, integridad y disponibilidad de la información mediante herramientas tecnológicas y prácticas seguras.

25. GESTIÓN DE DOCUMENTOS

Trazabilidad, conservación, custodia y disposición final de documentos físicos y digitales que contienen datos personales, garantizando su correcta retención y destrucción segura.

26. VIGENCIA

La presente actualización de la Política rige a partir del 5 de septiembre de 2025,las
bases de datos de responsabilidad de la COOPERATIVA NACIONAL DE DROGUISTAS DETALLISTAS
COOPIDROGAS serán objeto de tratamiento durante el tiempo que sea razonable y necesario para
la finalidad para la cual son recabados los datos y de acuerdo con la autorización otorgada por los
Titulares de los datos personales.