1.INTRODUCCIÓN
De conformidad con la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normatividad aplicable en materia de protección de datos personales, el presente documento define los requisitos para el manejo y protección de la información personal procesada o bajo la custodia de PRISMA Farmacéutica S.A.S., incluyendo las bases de datos de empleados, candidatos, proveedores, clientes, doctores y pacientes.

La presente política es aplicable a todas las bases de datos de PRISMA Farmacéutica S.A.S., y deberá ser observada por el personal de la Compañía o contratistas que realicen el tratamiento de datos personales por cuenta de PRISMA Farmacéutica S.A.S., en calidad de Encargados de Tratamiento.

2.IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO 

PRISMA Farmacéutica S.A.S., es una sociedad debidamente constituida según la legislación colombiana, identificada con el NIT No. 900.268.213 – 8, cuya sede administrativa y establecimiento de comercio se encuentran ubicados en la Avenida Carrera 24 # 85 – 04 Piso 2 y Avenida Carrera 24 # 87 – 45 Local 7, respectivamente, ambos del Barrio Polo Club, en la ciudad de Bogotá.

Si tiene alguna inquietud, comentario o pregunta sobre el tratamiento de sus datos, póngase en contacto con la doctora MARÍA ALEJANDRA GÓMEZ, a través del correo electrónico: legal@prismafarma.com.

3. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES
El tratamiento de datos personales que realice PRISMA Farmacéutica S.A.S. siempre deberá ceñirse a los siguientes principios:

a) Principio de libertad: salvo norma legal en contrario, la recolección de los datos sólo puede ejercerse con la autorización previa, expresa e informada del titular. Los datos personales no podrán ser obtenidos o divulgados sin el previo consentimiento del titular, o en ausencia de mandato legal o judicial que releve el consentimiento.
b) Principio de limitación de la recolección: solo deben recolectarse los datos personales que sean estrictamente necesarios para el cumplimiento de las finalidades del tratamiento, de tal forma que se encuentra prohibido el registro y divulgación de datos que no guarden estrecha relación con el objetivo del mismo.
c) Principio de finalidad: el tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al titular. Se deberá informar al titular del dato de manera clara, suficiente y previa acerca de la finalidad de la información suministrada y, por tanto, no podrán recopilarse datos sin una finalidad específica.
d) Principio de temporalidad: los datos personales se conservarán únicamente por el tiempo razonable y necesario para cumplir la finalidad del tratamiento y las exigencias legales o instrucciones de las autoridades de vigilancia y control u otras autoridades competentes. Los datos serán conservados cuando ello sea necesario para el cumplimiento de una obligación legal o contractual.
e) Principio de no discriminación: queda prohibido realizar cualquier acto de discriminación por las informaciones recaudadas en las bases de datos o archivos.
f) Principio de veracidad o calidad: la información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
g) Principio de seguridad: cada persona vinculada con la Compañía deberá cumplir las medidas técnicas, humanas y administrativas que establezca la entidad para otorgar seguridad a los datos personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
h) Principio de transparencia: en el tratamiento debe garantizarse el derecho del titular a obtener en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
i) Principio de acceso restringido: solo se permitirá acceso a los datos personales a las siguientes personas:
i. Al titular del dato.
ii. A las personas autorizadas por el titular del dato.
iii. A las personas autorizadas internamente en la Compañía.
iv. A las personas que por mandato legal u orden judicial sean autorizadas para conocer la información del titular del dato.
j) Principio de circulación restringida: solo se pueden enviar o suministrar los datos personales a las siguientes personas:
i. Al titular del dato.
ii. A las personas autorizadas por el titular del dato.
iii. A las personas autorizadas en la Compañía.
iv. A las personas que por mandato legal u orden judicial sean autorizadas para conocer la información del Titular del dato.
k) Principio de confidencialidad: todas las personas que intervengan en el tratamiento de datos personales están obligadas a garantizar la confidencialidad y la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley.

4. DATOS PERSONALES QUE PODRÍAN SER RECOLECTADOS
PRISMA Farmacéutica S.A.S. podrá recolectar datos personales pertenecientes a las siguientes categorías:

a. Datos generales de identificación de la persona como nombres, apellidos, identificación, número de identificación, estado civil o género.
b. Datos específicos de identificación de la persona como firma, nacionalidad, datos de familia, firma electrónica, otros documentos de identificación, fecha y lugar de nacimiento, edad.
c. Datos financieros, crediticios o socioeconómicos.
d. Datos relacionados a la historia clínica de un paciente, como, por ejemplo, recetas médicas formuladas.
e. Datos relacionados con la salud de la persona y afiliaciones al Sistema Integral de Seguridad Social.
f. Datos relacionados con la historia laboral, el nivel educativo o antecedentes judiciales o disciplinarios.
g. Datos de ubicación relacionados con la actividad profesional o privada de la persona como dirección, teléfono, correo electrónico, con alcance del compañero permanente para casos de emergencia, así como personas a cargo.

5. FINALIDADES Y ALCANCE DEL TRATAMIENTO
PRISMA Farmacéutica S.A.S. podrá realizar el tratamiento de los datos personales para las siguientes finalidades:

Clientes, doctores, pacientes y potenciales clientes:
i. Efectuar las gestiones pertinentes para el desarrollo de la etapa precontractual, contractual y postcontractual, respecto de cualquiera de los productos o servicios ofrecidos por PRISMA Farmacéutica S.A.S. Entre las gestiones, se incluye la solicitud de documentación, verificación de los datos suministrados, consulta en fuentes públicas de información, visitas domiciliarias, entre otras.
ii. Tener una mayor información de los antecedentes del paciente, incluyendo la obtención de las recetas médicas, de conformidad con los requisitos exigidos por ley, para la generación de las fórmulas magistrales y/o venta de otros productos.
iii. Recopilar y/o actualizar información de los doctores para prestación de servicios y la realización de visitas de agentes de promoción médica y de ventas.
iv. Informar de manera directa o indirecta sobre nuevos productos, servicios, promociones, eventos y demás contacto con fines de mercadeo.
v. Enviar la notificación previa al reporte negativo a las centrales de información a través de aplicaciones de mensajería instantánea, mensajes de texto, llamadas o correo electrónico, de acuerdo con la información suministrada por el titular o aquella obtenida por medio de herramientas o sistemas internos o externos.
vi. Reportar a las centrales de información crediticia datos sobre el cumplimiento oportuno como sobre el incumplimiento, si lo hubiere, de las obligaciones o de los deberes legales de contenido patrimonial, derivadas del contrato o documento suscrito o que llegue a suscribir con el Responsable, y lo referente al cumplimiento en el pago de las obligaciones existentes a favor de PRISMA Farmacéutica S.A.S.
vii. Informar sobre cambios en nuestros productos y servicios.
viii. Gestionar trámites, tales como peticiones, quejas, consultas y reclamos, relacionadas con la calidad del producto, eventos adversos u otra información derivada de la relación contractual.
ix. Llevar a cabo el proceso de actualización de datos.
x. Desarrollar actividades comerciales y de mercadeo, tales como: análisis de consumo; perfilamiento, trazabilidad de marca; envío de novedades, publicidad, promociones, ofertas y beneficios; programas de fidelización de clientes; investigación de mercado; generación de campañas, capacitaciones y eventos de marcas de la compañía.
xi. Contactar al titular de la información a través de los canales autorizados para el envío de extractos, estados de cuenta, facturas o cualquier otra información en relación con las obligaciones derivadas del contrato o acuerdos celebrados con la empresa.
xii. Gestiones inherentes a los procedimientos internos de la empresa.
xiii. Suministrar a autoridades, entes de control, los datos personales necesarios para la realización de estudios y en general la administración de sistemas de información del sector correspondiente, cuando aplique.
xiv. Realizar procesos de transmisión o transferencia de datos con terceros que actúen como Responsables o Encargados del Tratamiento de datos personales, ubicados dentro o fuera del territorio colombiano, a quienes aplicarán las mismas finalidades mencionadas en la presente autorización.
xv. Atender requerimientos de auditoría externa y de autoridades competentes.
xvi. Adelantar el control y prevención de fraudes, lavado de activos y/o financiación del terrorismo.

Proveedores:

i. Cumplir los procesos internos de PRISMA Farmacéutica S.A.S. en materia de administración de proveedores y contratistas, incluyendo la verificación de viabilidad del vínculo a nivel financiero, jurídico y comercial.
ii. Procesar las fórmulas magistrales emitidas por PRISMA Farmacéutica S.A.S. sin que exista autorización alguna para el uso de datos personales de los pacientes con fines distintos a los contractualmente establecidos. El proveedor no tendrá derecho a administrar, almacenar ni construir bases de datos con información que no sea estrictamente necesaria para el cumplimiento de las obligaciones contractuales.
iii. Garantizar que únicamente las personas que tengan responsabilidad directa sobre la atención del paciente / cliente podrán acceder a los datos sensibles, asegurando además que dichos datos sean almacenados bajo estrictas condiciones de seguridad y confidencialidad.
iv. Cumplir las obligaciones de facturación y obligaciones regulatorias aplicables a la relación contractual entre PRISMA Farmacéutica S.A.S. y el titular del dato.

v. Dar cumplimiento a obligaciones regulatorias o tributarias a cargo PRISMA Farmacéutica S.A.S. en relación con sus negocios y operación.
vi. Dar cumplimiento a los protocolos de contratación de proveedores o contratistas.
vii. Gestionar cuentas de cobro por prestación de servicios.
viii. Contactar al titular de la información a través de medios electrónicos y/o telefónicos para realizar encuestas, estudios y/o confirmación de datos personales necesarios para la ejecución de una relación contractual con PRISMA Farmacéutica S.A.S.
ix. Transmitir o transferir la información a encargados nacionales o internacionales con los que se tenga una relación contractual que provean los servicios necesarios para la debida operación de la Compañía.
x. Atender requerimientos de auditoría externa y de autoridades competentes.
xi. Hacerlos participes de iniciativas de marketing sobre los productos, bienes y servicios de la Compañía, lo cual podrá incluir entre otras y sin limitarse a: invitaciones a eventos, ofrecimiento de productos y soluciones de financiación, convocatoria a actividades asociadas a la relación comercial o vínculo existente con la Compañía.

Colaboradores:
i. Administrar el recurso humano de PRISMA Farmacéutica S.A.S., de conformidad con los términos legales y contractuales aplicables.
ii. Dar cumplimiento las obligaciones legales de PRISMA Farmacéutica S.A.S. en su calidad de empleador, incluyendo la gestión de la nómina, prestaciones sociales, sistema integral de seguridad social, prevención de riesgos laborales, pensiones, impuestos, entre otros.
iii. Hacer uso de la información personal e imágenes generadas en el marco de las actividades, procesos y eventos de la Compañía, para socializarlas de forma interna y externa a través de canales digitales, redes sociales, WhatsApp, YouTube, o cualquier otro medio comunicacional; así como la creación y distribución de material publicitario físico, digital o audiovisual.
iv. Llevar a cabo actividades de gestión de riesgos de seguridad física y digital de la Compañía empleadora a través de los dispositivos de videovigilancia y de registro biométrico dispuestos.
v. Adelantar procedimientos de debida diligencia e investigación disciplinaria en materia de gestión de riesgos legales o reputacionales, tales como fraude, posible comisión de delitos, infracciones a la libre competencia, fugas de información, o cualquier otro que defina la Compañía.
vi. Registrar, tramitar, procesar y almacenar la información proporcionada en las denuncias o consultas radicadas en el canal dedicado por la empresa para ese efecto.

Candidatos:
i. Cumplir con los fines del proceso de selección o contratación de la Compañía, evaluar su idoneidad o eventual contratación.
ii. Recolectar la información dada por el candidato ante el polígrafo y la visita domiciliaria para estudio de vinculación con PRISMA Farmacéutica S.A.S.
iii. Verificar y confirmar la veracidad de la información incluida en la hoja de vida y en cualquier otro documento o información entregada a la Compañía.
iv. Realizar estudios de seguridad del candidato, lo cual incluye consultar u obtener antecedentes judiciales, adelantar visitas domiciliarias, realizar el estudio de seguridad y consultar datos en centrales de información, entre otros.
v. Formar parte de la base de datos de postulantes para futuras contrataciones.
vi. Envío de comunicaciones de procesos de selección similares a aquellos en que el titular haya participado.
vii. Cumplir con las políticas de contratación de la Compañía.
viii. Verificar sus antecedentes de conformidad con lo dispuesto en los programas de cumplimiento vinculantes como, por ejemplo, de prevención de delitos o de ética y de libre competencia.
ix. Solicitar soportes correspondientes a la hoja de vida, exámenes médicos, pruebas psicotécnicas y cualquier otro que sea necesario.

En cualquier caso, PRISMA Farmacéutica S.A.S. podrá realizar el tratamiento de datos personales para la ejecución de transacciones comerciales que involucren a la Compañía, como ventas, integraciones, fusiones, reorganizaciones, entre otros.

Conforme las finalidades indicadas anteriormente, la Compañía podrá:
a. Conocer, almacenar y procesar toda la información suministrada por los titulares en una o varias bases de datos, en el formato que estime más conveniente.
b. Verificar, corroborar, comprobar, validar, investigar o comparar la información suministrada por los titulares, con cualquier información que disponga legítimamente.

6. TRATAMIENTO DE DATOS SENSIBLES
PRISMA Farmacéutica S.A.S. por su objeto social y actividad económica es una empresa que recopila datos sensibles como eventualmente pueden ser historias clínicas y/o recetas médicas de pacientes (que a su vez son clientes); por ende, tiene conocimiento de enfermedades y/o condiciones del titular del dato. Para el tratamiento de datos sensibles, la Compañía siempre requerirá una autorización previa, expresa e informada de los titulares.

Datos sensibles solicitados a pacientes:
i. Copia de las recetas médicas para la elaboración y dispensación de fórmulas magistrales (en cumplimiento de lo exigido por la ley) y otros productos de libre venta.
ii. En el conocimiento y solicitud de los datos puedo estar: historia clínica, receta médica, resultados de exámenes médicos, diagnósticos, tratamientos o discapacidades, información genética o biomédica.

Datos sensibles solicitados a colaboradores:
iii. Los datos asociados al estado de salud para el desarrollo de las labores en la Compañía, como trámites ante las EPS y entidades regulatorias.
iv. Las huellas digitales, fotografías o registro facial que podrán ser usados para temas de acceso o registro de las horas laboradas, así como para la gestión de emergencias.
v. Datos de ingreso para la participación en programas de bienestar, así como actividades organizacionales, para el titular y sus beneficiarios (hijos, cónyuge, compañero permanente).

7. DERECHOS DE LOS TITULARES Y PROCEDIMIENTO PARA EJERCERLOS
De conformidad con la Ley 1581 de 2012, son derechos de los titulares de los datos:
a. Conocer, actualizar y rectificar sus datos personales. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
b. Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el tratamiento, según la legislación aplicable.
c. Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales.
d. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la legislación.
e. Revocar la autorización o solicitar la supresión del dato, según lo establecido en la ley.
f. Acceder de manera gratuita a sus datos personales que hayan sido objeto de Tratamiento.

El titular, sus causahabientes y/o apoderados podrán ejercer los derechos anteriormente mencionados a través de una consulta y/o reclamo, en los siguientes términos:

Consultas
El titular, sus apoderados o sus causahabientes, podrán consultar la información personal que repose en las bases de datos de la Compañía previa solicitud de la misma, la cual será atendida en un plazo máximo de diez (10) hábiles contados a partir de la fecha de recibo. En el evento de no ser posible atender la solicitud en dicho término, se informará al interesado dentro del mismo término, expresando los motivos que dan lugar a la demora, al igual que la fecha en que se dará respuesta, la cual no podrá ser superior a cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos
Los titulares podrán presentar, a través de un reclamo, quejas por el incumplimiento de la presente política o la legislación, o podrán solicitar la corrección, actualización o supresión de sus datos personales. Para ello, deberán enviar un reclamo al canal de atención legal@prismafarma.com, el cual deberá contener la siguiente información:
i. Nombre y domicilio del titular (o de quién este facultado para tal fin) o cualquier otro medio para recibir respuesta a su solicitud.
ii. Documentos que acrediten la identidad del titular o de quién esté facultado; la descripción y propósito de la consulta.
iii. De ser el caso, otros documentos o elementos que se pretendan hacer valer.

Si el reclamo está incompleto, la Compañía requerirá al titular que subsane la información en los cinco (5) días hábiles siguientes a la recepción del mismo. Si trascurridos dos (2) meses desde la fecha del requerimiento el titular no cumple con la subsanación indicada, se entenderá que desistió del reclamo.

Si el reclamo está completo, la Compañía deberá responder en los quince (15) días hábiles siguientes a la recepción del mismo. En caso de no poder responder el reclamo en el plazo anteriormente mencionado, PRISMA Farmacéutica S.A.S. deberá informar sobre las razones del retraso y deberá indicar un nuevo plazo para dar respuesta, el cual no podrá exceder ocho (8) días hábiles adicionales al vencimiento del primer término. Si la Compañía no es competente para atender su reclamo, se le dará traslado a quién corresponda en un término máximo de dos (2) días hábiles y se le informará sobre dicha situación.

Adicionalmente, para la defensa de sus derechos los titulares podrán contactar a la Superintendencia de Industria y Comercio – SIC –, ubicada en la Avenida Carrera 7 # 31A – 36, piso 3, de Bogotá, al teléfono 018000 910165 o al correo electrónico contactenos@sic.gov.co.

8. SEGURIDAD Y CONFIDENCIALIDAD DE LOS DATOS PERSONALES
La Compañía solo procesará los datos personales recolectados para los propósitos de su tratamiento, tal como se describe en la presente política. En estricta aplicación del principio de seguridad, proporcionará las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. De igual manera, la Compañía exigirá a los proveedores de servicios que contrata, la adopción y cumplimiento de las medidas técnicas, humanas y administrativas adecuadas para la protección de los datos personales en relación con los cuales dichos proveedores actúen como Encargados del Tratamiento.

9. VIGENCIA
La presente Política para el Tratamiento de Datos Personales rige a partir de la FECHA.

Las bases de datos en las que se registrarán los datos personales tendrán una vigencia igual al tiempo en que se mantenga y utilice la información para las finalidades descritas en esta política. Una vez se cumplan estas finalidades y siempre que no exista un deber legal o contractual de conservar su información, sus datos serán eliminados de nuestras bases de datos.

Cualquier cambio sustancial en las Políticas de Tratamiento de Datos Personales se comunicará de forma oportuna a los titulares de los datos a través de los medios habituales como el correo electrónico o mediante canales autorizados.