POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN.
La presente Política de Seguridad de la Información establece los lineamientos, requisitos y procedimientos adoptados por GOLOBA para garantizar la protección de los datos personales, sistemas informáticos, recursos tecnológicos y demás activos de información frente a amenazas internas o externas. Esta política se fundamenta en el cumplimiento de la normativa colombiana vigente en materia de protección de datos personales, en especial la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 y demás disposiciones complementarias.
1. Alcance
Esta política aplica a todos los empleados, contratistas, consultores, vendedores, compradores y personal temporal con acceso a los sistemas, plataformas o información administrada por GOLOBA. Igualmente, cubre todas las actividades relacionadas con la recolección, almacenamiento, uso, circulación y supresión de datos personales en el desarrollo de las operaciones del marketplace.
2. Objetivos
La Política de Seguridad de la Información de GOLOBA tiene como propósito principal establecer un marco normativo y operativo que permita garantizar la protección de los datos personales, activos de información y sistemas tecnológicos utilizados en el funcionamiento del marketplace. En ese sentido, busca salvaguardar la confidencialidad, integridad y disponibilidad de la información, minimizando los riesgos asociados a accesos no autorizados, pérdidas, alteraciones o divulgaciones indebidas.
Asimismo, esta política tiene como objetivo asegurar el cumplimiento riguroso de la normativa colombiana en materia de protección de datos personales, brindando a los titulares garantías efectivas para el ejercicio de sus derechos. También pretende establecer responsabilidades claras para cada actor involucrado en el tratamiento de la información, tanto al interior de la organización como en sus relaciones con terceros, promoviendo una cultura de seguridad y prevención de incidentes. Finalmente, se busca fortalecer los mecanismos de gobernanza de la información, reduciendo vulnerabilidades y promoviendo buenas prácticas en la gestión tecnológica, operativa y legal de los datos.
3. Marco Legal
GOLOBA adopta y aplica la normativa colombiana vigente en materia de protección de datos personales y seguridad de la información, en especial lo dispuesto por la Ley Estatutaria 1581 de 2012, que establece el régimen general de protección de datos personales, y su Decreto Reglamentario 1377 de 2013. Igualmente, se tiene en cuenta el Decreto 886 de 2014 y el Capítulo 26 del Decreto 1074 de 2015.
De manera complementaria, GOLOBA incorpora los lineamientos de la Circular Externa 002 de 2015 emitida por la Superintendencia de Industria y Comercio (SIC), que desarrolla el principio de responsabilidad demostrada (accountability) para los responsables del tratamiento de datos. También se observa lo dispuesto en el Decreto 1759 de 2016, que modifica disposiciones reglamentarias sobre el Registro Nacional de Bases de Datos (RNBD). Esta política se construye sobre el compromiso de la empresa con el cumplimiento normativo, la transparencia frente a los titulares de datos y la adopción de medidas preventivas eficaces para garantizar el adecuado tratamiento de la información personal.
4. Definiciones
Las definiciones clave se ajustan a lo establecido por la Ley 1581 de 2012:
● Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
● Dato público: Dato que no sea semiprivado, privado o sensible, como datos relativos al estado civil, profesión u oficio.
● Dato semiprivado: Dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento interesa al titular y a cierto sector o grupo de personas.
● Dato privado: Dato que por su naturaleza íntima o reservada sólo es relevante para el titular.
● Dato sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
● Titular: Persona natural cuyos datos personales sean objeto de tratamiento. ● Tratamiento: Cualquier operación sobre datos personales.
● Responsable del Tratamiento: Persona natural o jurídica que decida sobre la base de datos y/o el tratamiento de los datos (Goloba).
● Encargado del Tratamiento: Persona natural o jurídica que realice el tratamiento de datos por cuenta del Responsable.
● Seguridad de la información: preservación de la confidencialidad, integridad y disponibilidad de la información.
● Riesgo: posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consideraciones.
● Vulnerabilidad: debilidad de un activo o control que pueda ser explotado por una o más amenazas.
5. Medidas de Seguridad
GOLOBA implementa las siguientes medidas internas en el marco de la seguridad de la información y protección de datos personales.
5.1. Control de Acceso
● Implementación de controles de acceso basados en roles según perfil del usuario (administrador, vendedor, comprador).
● Autenticación multifactor obligatoria para todos los usuarios administrativos y vendedores. La autenticación multifactor es un mecanismo de seguridad que requiere que un usuario proporcione al menos dos o más factores de verificación antes de concederle acceso a un sistema, cuenta o plataforma.
● Registro detallado de actividades (logs) para auditoría. El registro detallado de actividades (logs) para auditoría es un mecanismo de seguridad que almacena de manera estructurada información sobre las acciones realizadas dentro de un sistema, aplicación o plataforma.
● Bloqueo automático de cuentas después de 3 intentos fallidos de acceso.
5.2. Seguridad de Datos
● Anonimización o seudonimización de datos cuando sea apropiado para análisis internos.
● Controles de acceso a datos basados en el principio de mínimo privilegio: Cada usuario o sistema recibe únicamente los permisos esenciales para desempeñar su función, se evitan accesos innecesarios a información sensible o confidencial, se establecen roles y niveles de acceso según la responsabilidad del usuario.
● Mecanismos de respaldo diario y recuperación de datos con pruebas mensuales.
● Clasificación de datos según categorías establecidas por la Ley 1581 de 2012 (públicos, semiprivados, privados, sensibles). En Goloba los datos serán clasificados así:
Datos públicos: Son aquellos datos que no requieren autorización previa del titular para su tratamiento y cuyo acceso no está restringido. En GOLOBA, se consideran datos públicos, por ejemplo, aquellos que reposan en bases de datos de naturaleza pública, como registros judiciales o administrativos, así como la información contenida en registros o documentos públicos conforme a la ley.
Datos semiprivados: Son aquellos que no tienen naturaleza íntima, reservada o pública y cuyo conocimiento o divulgación puede interesar no solo al titular sino a cierto sector o grupo de personas. En GOLOBA, se clasifican como semiprivados los datos relacionados con transacciones comerciales, historial de compras y comportamientos de navegación en la plataforma, siempre y cuando no afecten la intimidad del titular.
Datos privados: Son aquellos que por su naturaleza íntima o reservada sólo interesan al titular. En GOLOBA, se consideran datos privados la dirección exacta de domicilio, número telefónico personal, cédula de ciudadanía, datos tributarios, financieros y bancarios, correo electrónico y demás información de contacto personal no disponible al público.
Datos sensibles: Son aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. En GOLOBA, no se solicitarán ni tratarán datos sensibles como orientación sexual, creencias religiosas, ideología política, datos biométricos, origen étnico o estado de salud, salvo en los casos autorizados expresamente por la ley y con el consentimiento previo, expreso e informado del titular.
5.3. Seguridad de Red y Sistemas.
La infraestructura tecnológica de la página web de GOLOBA está alojada en servidores proporcionados por HOSTINGER, quien actúa como proveedor externo de servicios de hosting y almacenamiento web. En consecuencia, la seguridad, integridad y disponibilidad de la información recolectada a través de nuestra plataforma también se rige por los términos, condiciones y políticas de privacidad establecidas por HOSTINGER, las cuales se encuentran disponibles públicamente en su sitio web oficial. HOSTINGERimplementa altos estándares de seguridad y adopta las mejores prácticas de la industria para proteger sus servidores, salvaguardar la información procesada y garantizar el cumplimiento de las leyes y normativas aplicables, como el Reglamento General de Protección de Datos (GDPR).
En cuanto a la protección de la infraestructura y los servidores, HOSTINGER realiza monitoreo constante (24/7) de sus sistemas y aplica una configuración de seguridad uniforme en toda su red. Además, cuenta con protección mediante firewalls y módulos de seguridad avanzados como mod_security, Suhosin PHP hardening, PHP open_basedir protection, entre otros. También implementa soluciones de protección antimalware tanto en los servidores como en los dispositivos terminales conectados.
Desde el punto de vista organizacional, HOSTINGER dispone de un equipo interno especializado en seguridad, encargado de aplicar políticas y procedimientos diseñados para respaldar la protección de la información. Se realizan escaneos continuos de vulnerabilidades, pruebas de intrusión, y se promueve una política de divulgación responsable con un programa de recompensas por reporte de errores. Asimismo, se aplican prácticas de codificación segura de acuerdo con los estándares OWASP, junto con autenticación de doble factor (2FA) en todos los sistemas relevantes.
En lo que respecta a la integridad de los datos, HOSTINGER mantiene actualizados todos sus sistemas operativos, incluyendo la aplicación regular de parches de seguridad. Además, utiliza algoritmos de cifrado robustos para proteger las bases de datos, realiza copias de seguridad periódicas y lleva a cabo análisis de código estático para identificar posibles vulnerabilidades de seguridad en el software.
HOSTINGER cuenta con la certificación internacional ISO/IEC 27001:2017, que respalda su sistema de gestión de seguridad de la información y garantiza la implementación de controles adecuados para la protección de datos. No obstante, es importante aclarar que, de acuerdo con su Acuerdo de Hosting, los servicios ofrecidos por HOSTINGER no están destinados ni certificados para operar en un entorno compatible con la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) de los Estados Unidos.
6. Gestión de Datos Personales
GOLOBA garantiza que la recolección y tratamiento de datos personales se realiza con autorización previa, expresa e informada del titular, a quien se le proporciona información clara sobre la finalidad del tratamiento, sus derechos y los mecanismos para ejercerlos. La empresa conserva pruebas de dicha autorización mediante mecanismos técnicos seguros y dispone de avisos de privacidad y cookies visibles en todos los puntos de recolección, tanto en su sitio web como en sus aplicaciones. Los datos personales se tratarán con fines como el registro y autenticación de usuarios, gestión de transacciones, verificación de identidad, análisis de comportamiento (previa autorización), comunicaciones comerciales con posibilidad de desuscripción, atención al cliente, cumplimiento de obligaciones legales y prevención de fraude. Los titulares podrán ejercer sus derechos (conocimiento, actualización, rectificación, supresión o revocatoria) contactando a GOLOBA al correo electrónico legalco@goloba.com, manifestando el derecho que desean ejercer. Además, deberán ingresar a la sección “Ayuda/PQRS” disponible en la página web, descargar el formulario “Ejercicio de Derechos – Protección de Datos Personales”, diligenciarlo y enviarlo al mismo correo con el asunto EJERCICIO DE DERECHOS – DATOS PERSONALES. GOLOBA dará respuesta en un plazo máximo de 10 días hábiles y, de requerirse una prórroga, informará al titular antes del vencimiento del plazo inicial, entregando una respuesta definitiva dentro de los 5 días hábiles siguientes. Para más información, se invita a consultar el Aviso de Privacidad, la Política de Cookies y la Política de Tratamiento de Datos Personales disponibles en la página oficial de GOLOBA.
7. Vigencia de la política de la seguridad de la información.
Esta política entra en vigor a partir de su publicación y se mantendrá vigente hasta que sea reemplazada o actualizada. Cualquier cambio será informado a través de nuestros canales oficiales.