1. 责任方

由Country Manager负责执行本政策所述内容。

2. 政策

EDGEUNO S.A.S，为遵守2013年6月27日第1377号法令，该法令根据2012年法律1581号制定了个人数据一般保护制度，其目的是“(…)发展所有个人了解、更新和更正关于他们在数据库或档案中收集的信息的宪法权利，以及《政治宪法》第15条所述的其他宪法权利、自由和保障；以及《政治宪法》第20条规定的知情权”，特此发布以下政策，其中包含用于组织内部个人数据处理的信息安全法律框架和程序。

第一条. 定义。

授权：数据主体事先、明确和知情的同意，以进行个人数据的处理。

隐私声明：由责任方生成的口头或书面沟通，针对数据主体用于其个人数据的处理，其中告知了适用的信息处理政策的存在、访问方式以及计划对个人数据进行的处理目的。

个人数据库。指任何形式或方式创建、存储、组织和访问的个人性质数据的有组织集合。

自动化数据库。这是通过计算机程序或软件创建、处理和/或存储的个人数据的组织集合。

非自动化数据库。指以手动方式创建、处理和/或存储的个人性质数据的有组织集合，不涉及计算机程序或软件。

数据转让。涉及向与数据所有者不同或未授权的受让人披露数据的处理。

数据库保管人。指在EDEGUNO S.A.S.内部保管个人数据库的自然人。

个人数据。指任何可识别或使其可识别的自然人的数据和/或信息。可以是数字、字母、图形、视觉、生物识别、听觉、个人资料或任何其他类型的数据。

敏感个人数据。属于特殊个人数据类别，因其涉及健康、性别、政治隶属关系、种族或民族起源、生物识别指纹等构成个人隐私的一部分，可为

仅在获得数据所有者明确和知情同意以及法律规定的情况下收集。

处理代理指自然人或法人、公共或私人机构，自行或与其他方合作，代表数据控制者处理个人数据的实体。

公众可获取的来源。指那些包含个人数据、可供任何人查询的数据库，这可能包括或不包括为访问此类数据服务而支付对价。具有此条件的公开来源包括电话簿、行业或部门名录等，前提是信息仅限于一般性质的个人数据或包含法律的一般规定。印刷媒体、官方公报和其他通讯媒介也具备此条件。

Habeas Data个人享有知情权、查阅权、更正权和/或删除权，涉及其在公共或私人数据库中收集和/或处理的个人信息和数据，须符合法律及其他适用规范的规定。

数据处理原则。这是关于个人数据处理的法律和/或判例法规定的基本规则，这些规则确定了解决隐私权、habeas data和个人数据保护与知情权之间潜在冲突的行动和标准。

数据库所有者。在EDGEUNO S.A.S的业务流程中，作为数据库所有者的部门负责处理这些数据的责任方，管理并控制着它们。

处理负责人（或：数据控制者）。指收集个人数据并决定该数据库目的、内容和使用的人身或法人，无论其性质是公共还是私人。

个人数据的权利人。指其数据是处理对象的人身。对于法人而言，此名称被视为宪法保护的基本权利。

数据处理。任何针对个人数据的自动化或非自动化操作集合及技术程序，例如收集、录制、存储、保存、使用、流通、修改、封锁、删除等。

用户。是对使用个人信息感兴趣的自然人或法人。

个人数据泄露（或：侵犯）。根据2009年第1273号法律创建的罪行，载于哥伦比亚刑法典第269 F条。犯罪类型如下：“未经授权，为自身或第三方谋取利益，获取、汇编、窃取、提供、出售、交换、发送、购买、拦截、泄露、修改或使用个人代码、包含在文件、档案、数据库或类似介质中的个人数据，将面临四十八（48）至九十六（96）个月的监禁和100至1000个现行法定最低月工资单位的罚款”

第二条。目的。

本政策采纳并确立了适用于由EDEGUNO S.A.S在其经营范围内收集、处理和/或存储的个人数据类型的规则，无论其是以控制者身份还是处理受托人身份。

本规范中的规则是根据哥伦比亚《宪法》第15条的规定，以及其中规定的信息权（第20条）和Ley 1581 de 2012的规定颁布的，涉及个人隐私权的保障、行使habeas data权利和个人数据保护，并与信息权保持一致，从而在EDEGUNO S.A.S对这些权利进行适当监管，并防止其受到侵犯。

第三条适用范围。

本规范的规定适用于在哥伦比亚领土内处理的个人数据，或当控制者和/或受托人位于哥伦比亚领土之外时，包括但不限于国际条约、合同关系。本个人信息安全规范中包含的原则和规定，适用于EDEGUNO S.A.S保管的任何个人数据库，无论其是以控制者身份还是处理受托人身份。

第四条接收方

本标准适用并约束以下人员：

• 法定代表人。
• 负责保管和处理个人数据库的EDEGUNO S.A.S内部员工，无论是否为管理人员。
• 为EDEGUNO S.A.S提供服务的承包商以及自然人或法人，无论采用何种合同模式，只要涉及任何个人数据处理。此规定必须纳入所有合同中。
• 其他存在公司章程、合同等法律关系的人员。
• 作为个人数据用户地位的公共和私人实体。
• 法律规定的其他人员。

第五条。个人数据处理适用原则。

EDGEUNO S.A.S的个人数据保护受以下基本原则或规则约束，这些原则将确定与个人数据处理相关的内部流程；这些原则将被和谐、全面和系统地解释，以解决本领域产生的冲突；适用于本规范的原则包括国际标准、法律中规定的原则。

哥伦比亚国内法和宪法法院已发展出的与个人数据相关的基本权利，以及以下：

5.1.数据处理的合法性原则：EDEGUNO S.A.S执行的数据处理活动是一种受监管的活动，必须遵守ley 1581 de 2012及其所有发展规定的规定；

5.2.目的限制原则：数据处理必须符合宪法和法律规定的合法目的，并且该目的必须告知数据主体；

5.3.自由原则：数据处理只能在获得数据主体事先、明确和知情同意的情况下进行。未经事先授权，或没有法律或司法授权免除同意的情况下，不得获取或披露个人数据；

5.4.可信度或质量原则：EDEGUNO S.A.S处理的个人信息必须真实、完整、准确、最新、可查证和易懂。禁止处理部分数据、不完整数据、碎片化数据或具有误导性的数据；

5.5.透明度原则：在处理过程中，必须保证数据主体有权随时无限制地从数据控制者或数据处理者处获取有关其数据的存在信息；

5.6.访问和流通受限原则：处理须遵守源自个人数据性质的限制。个人数据（除公开信息外）不得在互联网或其他大规模传播或通信媒介上可用，除非访问是技术可控的，仅为数据主体或授权第三方提供有限知识。

5.7.安全原则：本法所指由数据控制者或数据处理者处理的信息，必须采用必要的技术、人为和行政措施来确保记录的安全，防止其被篡改、丢失、查询、使用或未经授权或欺诈性访问；

5.8.保密原则：所有参与个人数据处理且非公众性质的人员有义务保证信息的机密性，即使与任何包含在处理中的工作关系终止后亦是如此，只能在符合本法规定的活动发展和条款的情况下提供或传输个人数据。

5.9.信息义务：EDGEUNO S.A.S将向个人数据主体、处理责任方和受托人通报该组织采用的数据保护制度，以及规范这些数据的目的和其他原则。它还将说明其保管的个人性质数据库的存在，以及数据主体享有的权利和行使habeas data的权利，并进行法律要求的登记。

5.10.敏感数据特殊保护：EDGEUNO S.A.S仅在这对发展其社会宗旨是必要和相关的个人数据时收集此类数据。在这种情况下，它必须获得数据主体的明确授权，或核实其处理源于并

legitime en el marco de una relación contractual y/o negocial, o bien provenga de autorización legal. La información personal de carácter sensible que se pueda obtener de un proceso de selección de personal será protegida a través de las medidas de seguridad altas。

第六条。数据主体权利。

存储在EDGEUNO S.A.S信息系统数据库中的个人数据主体，享有本节所述的权利，以履行宪法和法律规定的基本保障。

6.1.了解、更新和更正其个人数据，以应对处理责任人或处理受托方。除了其他情况外，本权利可用于处理部分、不准确、不完整、分散、具有误导性的数据，或明确禁止处理或未获得授权处理的数据；此权利包括数据主体更新、更正、删除其个人数据的权力，前提是这些数据发生了变化。

6.2.要求处理责任人提供已授予的授权证明，除非法律明确规定该授权不是处理的必要条件。

在特殊情况下，无需该项授权的情况如下：

6.2.1. Cuando sea requerida por entidad pública o administrativa en cumplimiento de sus funciones
legales, o por orden judicial.
6.2.2. Cuando se trate de datos de naturaleza pública.
6.2.3. En casos de emergencia médica o sanitaria.
6.2.4. Cuando sea tratamiento de información autorizado por la ley para fines históricos, estadísticos
o científicos.
6.2.5. Cuando se trate de datos personales relacionados con el registro civil de las personas. En estos
casos, si bien no se requiere de la autorización del titular, sí tendrán aplicación los demás principios
y disposiciones legales sobre protección de datos personales.

6.3.在事先要求的情况下，由处理责任人或处理受托方告知其对您个人数据的用途；

6.4.向工业和商业监管局提交关于违反本法及其他修改、增补或补充规定的投诉；个人数据主体有权向工业和商业监管局或任何有管辖权的实体提出投诉和申诉，以及采取相关的行动来保护其数据。在此之前，必须已根据法律1581 de 2012行使了其针对EDGEUNO S.A.S的权利。

6.5.撤销授权和/或请求删除数据，当处理过程中不遵守宪法和法律的原则、权利和保障。如果工业和商业监管局确定在处理过程中，责任人或受托人违反了本法和宪法的行为时，将进行撤销和/或删除；

6.6.免费获取其个人数据，这些数据已成为处理对象。此权利包括数据主体获得有关其自身个人数据的全部信息（无论是部分还是完整），关于所应用的处理、处理目的、包含其个人数据的数据库的位置，以及有关与该数据相关的通信和/或转让的信息，无论这些是否经过授权。

第七条。接收方的义务。

当EDGEUNO S.A.S或本规范的任何接收方承担对其保管的人身数据处理责任时，应履行以下义务，但这不影响法律和管理其活动的其他规定：

a)确保数据主体随时充分行使“数据权”（Hábeas Data）的权利。

b) 根据本规范规定的条件，要求并保存由数据主体授予的相关授权副本。

c)向数据主体充分告知收集的目的以及根据所授予的授权赋予其的权利。

d)在必要的安全条件下保存信息，以防止其被篡改、丢失、查询、使用或未经授权或欺诈性访问。

e)确保提供给处理受托方的信息是真实、完整、准确、最新、可验证和可理解的。

f)更新信息，及时向处理受托方传达所有关于先前提供给它的数据的最新情况，并采取其他必要的措施确保所提供的这些信息保持最新。

g)纠正不正确的信息，并将相关事宜通知处理者。

h)根据情况，仅向处理者提供根据法律规定事先授权处理的数据。

i)要求处理者始终尊重数据主体的信息安全和隐私条件。

j)处理根据本规范和法律规定的咨询和投诉。

k)制定内部政策和程序手册，以确保遵守法律，特别是处理咨询和投诉。EDGEUNO S.A.S通过采纳本规范履行了此义务。

l)通知处理者，一旦提交了投诉且相应的流程尚未结束，某项信息处于数据主体争议状态。

m)根据数据主体的要求告知其数据的用途。

n)当发生安全代码违规和数据主体信息管理风险时，通知数据保护机构。

o)遵守工业和商业监管局发布的指示和要求。

第八条。数据库的处理描述和目的

a)向客户、供应商和公司员工、法定代表、经理以及一般代表这些人员，提供EDGEUNO S.A.S的本处理政策和隐私通知，以遵守法律并保障各方权利；b)在相应的合同有效期内，保存数据库中报告的信息并进行适当更新；c) 通知信息权利人有关将数据库信息传输和转让给获得正式授权的第三方的事宜，遵守法律或工业和商业监管局或主管机构规定的法律保护标准；d) 通过电子邮件或实体媒介发送：

• 服务更新。
• 公司相关的资讯或公告。
• 内部或第三方活动的邀请函。
• 发送公司希望赠送的礼品。
• 一般信件和通讯。
• 报价，合同，RFP ́s，RFI ́s

第九条。投诉程序。

数据主体或其继承人认为数据库中的信息需要进行更正、更新或删除，或者当发现疑似违反《2012年第1581法》所载任何义务时，可以向EDGEUNO S.A.S提出投诉，该投诉将根据以下规则处理：

9.1.投诉需通过提交给 EDGEUNO S.A.S 的申请来提出，至少需要包含以下信息：

• 处理责任供应商或处理负责人名称
• 申请人姓名
• 申请人识别号码
• 申请依据的事实
• 申请目的
• 信件寄送地址
• 提供您希望主张的文件

9.2.如果投诉不完整，将要求相关方在收到投诉后的五个 (5) 个工作日内补正缺陷。自要求发出之日起两个 (2) 月后，如果申请人未提交所需信息，则视为其放弃了该投诉。如果接收投诉的人员无权解决此问题，应将其转交给相应的部门，最长不超过两个 (2) 工作日，并通知相关方情况。9.3.一旦收到完整的投诉，系统将在数据库中包含“正在处理的投诉”和其原因标识，期限不得超过两个 (2) 工作日。该标识必须保持直到投诉得到决定。3. 处理投诉的最长时间为自接收之日起的十五 (15) 个工作日。如果无法在此期限内处理投诉，将通知相关方延误的原因以及何时可以处理其投诉，此日期在任何情况下都不得超过第一个期限到期后的八 (8) 个工作日。9.4.EDGEUNO S.A.S 在作为数据处理受托人的情况下，应向个人数据的权利人或相关方告知该情况，并通知数据控制者该请求，以便其对提交的查询或投诉请求作出回应。此类通信的副本将发送给数据权利人或相关方，使其了解数据控制者的身份，以及相应的主要义务人保障行使权利的责任。9.5.EDGEUNO S.A.S 将记录和存储数据权利人或相关方行使任何权利所提交的申请，以及对这些申请的回应。此信息将根据适用于组织通信的规定进行处理。如需向工业和商业监管局（Superintendencia de Industria y Comercio）寻求法律行动，必须事先完成此处描述的查询和/或投诉程序。

ARTÍCULO DÉCIMO。供应商和客户个人数据库中央登记

CLIENTES。

10.1. 客户个人数据处理。

从商业关系中收集的客户个人数据将根据客户授权和设定的目的进行处理。公司内部相应的部门将在应用此处规定内容的基础上，根据EDGEUNO S.A.S的市场营销、广告和推广需求来定义这些个人数据的处理方式。

10.2 供应商个人数据处理。

EDGEUNO S.A.S仅从其供应商处索取为选择、评估和执行合同所必需、相关且非过度的目的的数据。当

根据法律性质要求EDGEUNO S.A.S披露供应商数据（作为选拔过程的自然人）时，将采取符合本规定并防止第三方知晓所披露信息目的的措施。

EDGEUNO S.A.S将从其供应商处收集员工的个人数据，这些数据必须是必要的、相关的且非过度的，并且出于安全原因需要分析和评估，需根据与供应商签订的服务特性。EDGEUNO S.A.S收集的供应商员工个人数据的唯一目的是核实这些员工的适宜性和能力；因此，一旦验证了此要求，EDGEUNO S.A.S可以将其信息返还给供应商，除非有必要保留这些数据。

第一条。EDGEUNO S.A.S的信息安全政策。

EDGEUNO S.A.S的安全指南得到了EDGEUNO S.A.S信息安全政策的支持，这些政策是根据现有最佳实践和安全标准构建的，并符合现行法规。所有在EDGEUNO S.A.S内部从事任何工作或活动的直接或间接职员都必须严格遵守这些政策。

第二条。关于遵守个人数据保护责任

个人数据。

在EDGEUNO S.A.S内部妥善处理个人数据的责任由所有员工承担。因此，每个处理涉及个人数据业务流程的部门都必须采取规则和程序来应用和遵守本规定，因为他们是包含在EDGEUNO S.A.S信息系统中的个人信息的保管人。

如果对个人数据的法律处理有疑问，应咨询法务部门以获取相应的指导方针。

客户经理作为负责接收和处理与个人数据相关的各类请求、投诉、申诉和咨询事宜的负责人，需根据第八条规定的内容执行。客户服务部门将根据法律和本政策处理个人数据方面的查询和申诉。

本部门在与个人数据相关的部分职能包括：

a)接收个人数据主体（Titulares de Datos Personales）的申请，并处理和回复基于法律或本政策的申请，例如：更新个人数据的请求；了解个人数据的请求；当数据主体出示符合法律规定的工业和商业监管局决定副本时，删除个人数据的请求；关于其使用情况的信息请求

个人数据，更新个人数据的请求，以及根据法律程序授予授权证明的请求。

b)为个人数据主体回复根据法律不适用的请求。

联系数据如下：

实体地址：Calle 100 No. 8ª -55 Torre C of. 605

电子邮箱：legal@edgeuno.co

电话： (+57-1) 4873939

联系人职位：

Country Manager

第十三条。数据库有效期

数据处理的有效期应与合同关系设定的期限一致。EDGEUNO S.A.S将根据情况对其进行销毁或退还，或者根据法律规定予以保存，并采取技术措施防止不当处理。

第十四条。安全措施。

在本规范监管的个人数据处理中，EDGE UNO S.A.S 将采取物理、逻辑和行政安全措施，这些措施根据所处理的个人数据的关键性可能产生的风险分为高、中和低三个级别。为落实个人数据安全原则，EDGEUNO S.A.S 将制定关于这些措施的一般指导方针，本规范接收者必须强制遵守。

第十五条。处罚。

适用于本规范接收者的制裁制度由2012年法律第1581号第23条规定，该条款阐明了个人数据不当处理所承担的风险：

“第23条。制裁。工业和商业监管局可对数据控制者（Responsables del Tratamiento）和数据处理代理人（Encargados del Tratamiento）处以以下制裁：

“a) 个人和机构性质的罚款，最高相当于制裁实施时的两千（2,000）个法定最低月工资。若不遵守规定持续存在，可连续处以罚款。

“b) 暂停与处理相关的活动，期限最长为六（6）个月。在暂停期间，应指明需要采取的纠正措施。

“c) 一旦超过暂停期但未采纳工业和商业监管局命令的纠正措施，将暂时关闭与处理相关的业务。

“d) 立即且永久终止涉及敏感数据处理的操作。”

任何与个人数据处理相关的调查程序通知，无论来自哪个当局，都必须立即通知 Country Manager，以便采取措施捍卫本实体的行为，并避免适用哥伦比亚法律中规定的制裁，特别是《2012年第1581法》第六篇第三章所述的。

作为个人数据处理的责任方和/或受托方，EDGEUNO S.A.S承担的风险后果，其接收方不遵守本规定将导致适用规范规定的制裁和/或措施。

第十六条。修改。

EDGEUNO S.A.S 保留修改本信息处理政策（全部或部分）的权利。如果关于 EDGEUNO S.A.S 的识别和个人数据处理目的的处理政策发生实质性变化，这些变化可能会影响内容授权，EDGEUNO S.A.S 将最迟在实施新政策时将这些变化通知给数据主体。