Parte I. Política de Seguridad y Privacidad de la Información
1. Introducción
En COLLABORATIVE FARMING, FOOD AND INNOVATION SOLUTIONS SAS, operando bajo la marca Coffis.co, entendemos que la información es uno de nuestros activos más valiosos y un pilar fundamental para generar confianza. Esta Política de Seguridad y Privacidad de la Información establece el marco de acción para proteger los datos de nuestros usuarios (Productores y Compradores), la información de nuestra operación y la infraestructura tecnológica que la soporta.
Este documento es la base de nuestro Sistema de Gestión de Seguridad de la Información (SGSI) y refleja nuestro compromiso con las mejores prácticas y el cumplimiento de la normativa vigente.
2. Objetivo
Establecer los lineamientos estratégicos para preservar la confidencialidad, integridad y disponibilidad de la información gestionada por la plataforma Coffis.co, mediante la identificación y gestión de riesgos, la implementación de controles adecuados y la promoción de una cultura de seguridad, con el fin de proteger los intereses de nuestros usuarios y garantizar la continuidad y confianza en nuestros servicios.
3. Alcance
Esta política aplica a todos los procesos, sistemas de información, infraestructura tecnológica y activos de información de Coffis.co. Es de obligatorio cumplimiento para todos los empleados, directivos, contratistas, proveedores y usuarios (Productores y Compradores) que, en razón de su relación con la plataforma, tengan acceso, traten, generen o custodien información propiedad de la compañía o de sus usuarios.
4. Definiciones
- Activo de Información: Cualquier recurso que tenga valor para Coffis.co, incluyendo datos de usuarios, software, hardware, procesos y la reputación de la marca.
- Confidencialidad: Propiedad que asegura que la información es accesible únicamente por el personal o los sistemas autorizados.
- Integridad: Propiedad que salvaguarda la exactitud y completitud de la información y sus métodos de proceso.
- Disponibilidad: Propiedad que asegura que los usuarios autorizados tengan acceso a la información y a los activos asociados cuando lo requieran.
- Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
- Riesgo de Seguridad: Posibilidad de que una amenaza explote una vulnerabilidad de un activo de información, causando un daño al negocio.
- Tratamiento de Datos: Cualquier operación sobre datos personales, como la recolección, almacenamiento, uso, circulación o supresión.
5. Principios rectores
La gestión de la seguridad y privacidad en Coffis.co se rige por los siguientes principios:
- Principio de Responsabilidad Demostrada (Accountability): Asumimos la responsabilidad de cumplir con la normativa y ser capaces de demostrar dicho cumplimiento.
- Principio de Legalidad: El tratamiento de datos se sujeta a lo establecido en la Ley 1581 de 2012 y demás disposiciones aplicables.
- Principio de Finalidad: Los fines del tratamiento de la información serán legítimos, informados al titular y acordes con la Constitución y la Ley.
- Principio de Seguridad: Implementaremos las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Principio de Transparencia: Garantizamos el derecho del titular a obtener información sobre sus datos personales en cualquier momento y sin restricciones.
6. Roles y responsabilidades
Para la correcta implementación y mantenimiento del Sistema de Gestión de Seguridad de la Información (SGSI), se establecen los siguientes roles y responsabilidades:
Dirección General:
- Demostrar liderazgo y compromiso con la seguridad y privacidad de la información.
- Asegurar que esta política y los objetivos de seguridad estén alineados con la dirección estratégica de la compañía.
- Garantizar la disponibilidad de los recursos necesarios (humanos, técnicos y financieros) para la implementación, mantenimiento y mejora continua del SGSI.
- Promover una cultura de seguridad en toda la organización.
Oficial de Seguridad y Privacidad de la Información (OSPI):
- Diseñar, implementar, operar y mejorar el SGSI de Coffis.co.
- Informar a la Dirección General sobre el desempeño del SGSI.
- Liderar la gestión de riesgos de seguridad y privacidad, incluyendo su identificación, análisis y tratamiento.
- Coordinar la gestión de incidentes de seguridad, desde su detección hasta su resolución y lecciones aprendidas.
- Velar por el cumplimiento del marco legal y normativo aplicable en materia de seguridad y protección de datos.
- Desarrollar y ejecutar programas de formación y concienciación para todo el personal y partes interesadas.
Área de Tecnología:
- Implementar y administrar los controles técnicos de seguridad (firewalls, antivirus, sistemas de detección de intrusos, etc.).
- Gestionar el control de acceso a los sistemas, aplicaciones y redes, basado en los perfiles y autorizaciones definidos.
- Administrar y probar periódicamente las copias de respaldo y los planes de recuperación de la información.
- Gestionar las vulnerabilidades técnicas de la infraestructura y aplicar los parches de seguridad necesarios.
- Asegurar que los desarrollos de software (propios o de terceros) cumplan con los principios de desarrollo seguro.
Todos los Empleados y Contratistas:
- Conocer y cumplir con lo establecido en esta política y en los procedimientos de seguridad relacionados.
- Hacer un uso adecuado de los activos de información y los recursos tecnológicos de la compañía.
- Proteger la confidencialidad de la información a la que tengan acceso.
- Reportar de manera inmediata al OSPI cualquier incidente o debilidad de seguridad que detecten.
Usuarios (Productores y Compradores):
- Proteger sus credenciales de acceso (usuario y contraseña) a la plataforma, las cuales son personales e intransferibles.
- Suministrar información veraz y actualizada durante su registro y en todas las operaciones.
- Utilizar la plataforma Coffis.co exclusivamente para los fines lícitos y comerciales para los que fue diseñada.
- Notificar a Coffis.co en caso de sospechar que la seguridad de su cuenta ha sido comprometida.
7. Marco legal y normativo
Esta política se desarrolla en concordancia con el siguiente marco normativo principal:
- Constitución Política de Colombia: Artículo 15 (Derecho al Habeas Data y a la intimidad).
- Ley Estatutaria 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales.
- Decreto 1074 de 2015 (y anteriores que compiló): Que reglamenta parcialmente la Ley 1581.
- Ley 527 de 1999: Sobre comercio electrónico, firmas digitales y mensajes de datos.
- Ley 1273 de 2009: Sobre delitos informáticos y protección de la información y de los datos.
- Norma Técnica Colombiana NTC-ISO/IEC 27001: Como marco de referencia para las mejores prácticas en gestión de la seguridad de la información.
8. Lineamientos de la política
8.1. Gestión de Activos de Información
- Inventario y Propiedad: Todos los activos de información (datos, software, hardware, etc.) deben ser claramente identificados y se les debe asignar un propietario responsable de su protección.
- Clasificación de la Información: La información se clasificará según su nivel de sensibilidad (pública, interna, confidencial, restringida) para determinar los controles de seguridad apropiados.
- Uso Aceptable: El uso de los activos de información de Coffis.co debe estar alineado exclusivamente con los fines del negocio. Se prohíbe el uso para actividades personales, ilegales o no autorizadas.
8.2. Control de Acceso
- Principio de Mínimo Privilegio: El acceso a la información y a los sistemas se concederá basándose en la estricta necesidad del rol del usuario para cumplir sus funciones.
- Gestión de Usuarios: Se seguirán procedimientos formales para el registro, modificación y eliminación de usuarios y sus privilegios de acceso.
- Gestión de Contraseñas: Se aplicará una política de contraseñas robusta que exija complejidad, cambios periódicos y protección contra el uso de contraseñas débiles o reutilizadas.
- Revisión de Accesos: Se realizarán revisiones periódicas de los derechos de acceso de los usuarios para asegurar que sigan siendo apropiados.
8.3. Seguridad de las Operaciones
- Protección contra Código Malicioso: Se implementarán y mantendrán actualizadas soluciones de protección (antivirus, antimalware) en todos los sistemas y servidores.
- Copias de Respaldo (Backups): Se realizarán copias de seguridad periódicas de la información crítica. La integridad de estas copias y los procedimientos de restauración serán probados regularmente.
- Gestión de Cambios: Todos los cambios en la infraestructura tecnológica, sistemas o aplicaciones seguirán un proceso formal de gestión de cambios que incluya análisis de impacto, autorización y pruebas.
8.4. Seguridad de las Comunicaciones
- Seguridad de la Red: Las redes de Coffis.co estarán protegidas por controles de seguridad perimetral (firewalls) y segmentadas para limitar el acceso entre diferentes zonas de confianza.
- Transferencia de Información: Toda la información sensible transmitida a través de redes públicas (Internet) deberá ser cifrada utilizando protocolos seguros (ej. TLS).
- Uso del Correo Electrónico: El correo electrónico corporativo es para uso estrictamente profesional. Se prohíbe el envío de información confidencial a cuentas de correo personales o no autorizadas.
8.5. Adquisición, Desarrollo y Mantenimiento de Sistemas
- Desarrollo Seguro: La seguridad será un requisito integral en todo el ciclo de vida del desarrollo de software, desde el diseño hasta la implementación y el mantenimiento.
- Gestión de Vulnerabilidades: Se realizarán análisis periódicos para identificar y remediar vulnerabilidades técnicas en los sistemas y aplicaciones de la plataforma.
- Ambientes Separados: Se mantendrán ambientes de desarrollo, pruebas y producción debidamente separados para evitar la exposición de datos reales y la introducción de cambios no autorizados en producción.
8.6. Relaciones con Proveedores y Terceros
- Acuerdos de Confidencialidad: Se exigirá la firma de acuerdos de confidencialidad a todos los proveedores, Cooperativas Aliadas y terceros que tengan acceso a información sensible.
- Cláusulas de Seguridad: Todos los contratos con terceros incluirán cláusulas que los obliguen a cumplir con las políticas de seguridad y privacidad de Coffis.co.
- Debida Diligencia: Se realizará un proceso de evaluación de la postura de seguridad de los proveedores críticos antes de establecer una relación comercial.
8.7. Gestión de Incidentes de Seguridad de la Información
Se ha establecido un proceso formal para la gestión de incidentes que incluye:
- Reporte: Canales claros para que cualquier empleado o usuario pueda reportar un incidente o debilidad de seguridad.
- Contención y Erradicación: Acciones inmediatas para contener el impacto del incidente y eliminar su causa raíz.
- Recuperación y Análisis Post-Incidente: Procedimientos para restaurar los servicios y realizar un análisis forense para identificar lecciones aprendidas y aplicar mejoras.
8.8. Continuidad del Negocio
Coffis.co desarrollará y mantendrá planes de continuidad del negocio y de recuperación ante desastres para garantizar la disponibilidad de los servicios críticos de la plataforma frente a interrupciones significativas.
8.9. Cumplimiento
- Cumplimiento Legal y Regulatorio: Se realizará un seguimiento continuo para garantizar el cumplimiento de todas las leyes y regulaciones aplicables en materia de protección de datos, comercio electrónico y ciberseguridad.
- Auditorías: Se realizarán auditorías internas y/o externas de seguridad de forma periódica para verificar la eficacia de los controles y el cumplimiento de esta política.
9. Compromiso de la dirección
La alta dirección de COLLABORATIVE FARMING, FOOD AND INNOVATION SOLUTIONS SAS aprueba esta política y se compromete a liderar su implementación, proveyendo los recursos necesarios y fomentando una cultura de seguridad en toda la organización como pilar fundamental para el éxito y la sostenibilidad del negocio.
10. Revisión y actualización
Esta política será revisada anualmente o antes si se presentan cambios significativos en el entorno, la operación o la normativa, para garantizar su continua pertinencia, adecuación y eficacia.
Parte II. Autorización para el Tratamiento de Datos Personales
Preámbulo: Aceptación de la Política
Este documento describe la política y los términos bajo los cuales Coffis.co realiza el tratamiento de los datos personales de sus usuarios. No requiere firma física. Al solicitar los servicios de Coffis.co y completar el formulario de registro correspondiente, el usuario (sea Productor o Comprador) declara, autoriza y acepta de manera inequívoca el contenido íntegro de este documento.
De conformidad con lo dispuesto en la normatividad vigente sobre protección de datos personales, en especial la Ley 1581 de 2012 y el Decreto 1074 de 2015 y demás normas que las modifiquen o complementen, al registrarse en la plataforma, el Usuario autoriza de manera libre, previa, expresa e inequívoca a COLLABORATIVE FARMING, FOOD AND INNOVATION SOLUTIONS SAS ("Coffis.co") para que realice la recolección y tratamiento de los datos personales que suministra de forma veraz y completa.
1. Finalidad del Tratamiento
Los datos suministrados serán utilizados para los siguientes fines:
- Gestionar la creación, administración y seguridad de la cuenta del Usuario en la plataforma.
- Facilitar la conexión y comunicación entre Productores y Compradores.
- Coordinar y gestionar la logística de recepción, análisis, alistamiento y exportación del café.
- Procesar la facturación, los pagos y las transacciones financieras relacionadas con los servicios.
- Realizar la debida diligencia y las verificaciones de seguridad en listas de control, en cumplimiento de la normativa SARLAFT.
- Enviar comunicaciones transaccionales, operativas y de servicio relacionadas con el uso de la plataforma.
- Realizar análisis estadísticos para la mejora de nuestros servicios.
2. Política de Tratamiento de Datos
El Usuario declara que conoce que la recolección y tratamiento de sus datos se realizará de conformidad con la Política de Tratamiento de Datos Personales de Coffis.co, la cual se encuentra publicada permanentemente en el enlace www.coffis.co/politica-privacidad. Así mismo, manifiesta haber sido informado de forma clara y suficiente sobre los fines de su tratamiento y la posibilidad que tenía de no otorgar la autorización en aquella información considerada como sensible.
3. Derechos del Titular
El Usuario, como titular de la información, manifiesta que ha sido informado de los derechos que le asisten, especialmente a:
- Conocer, actualizar y rectificar su información personal frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
- Solicitar prueba de la autorización otorgada.
- Ser informado sobre el uso que se le ha dado a sus datos personales.
- Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la ley.
- Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
- Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.
4. Canales de Atención
El Usuario podrá ejercer sus derechos a través de los siguientes canales dispuestos por Coffis.co:
- Correo electrónico: info@coffis.co
- Teléfono de contacto: (+57) 317 538 53 53
- Dirección de correspondencia: Cl 59 Bis 8-15 APT 305 Bogotá, Colombia.
5. Aceptación y Consentimiento Electrónico
El acto de marcar la casilla de aceptación en el formulario de registro y enviar dicho formulario constituye una firma electrónica y una manifestación de consentimiento libre, previo, expreso e informado. Con este acto, el Usuario certifica que ha leído, entendido y aprobado el contenido de esta Autorización para el Tratamiento de Datos Personales y consiente el uso de sus datos en los términos aquí descritos.