POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES DE BAKER & MCKENZIE S.A.S.

I. OBJETIVO

Baker & McKenzie S.A.S. (en adelante “Baker & McKenzie” o "la Firma") ha preparado esta Política de Tratamiento de Datos Personales (en adelante “Política de Tratamiento”) de empleados, socios, candidatos y terceros personas naturales (en adelante el “Titular”) con el fin de delimitar cualquier operación sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión de información vinculada o que pueda vincularse a una o varias personas naturales determinadas o determinables (en adelante “Información Personal”).

Baker & McKenzie tratará la Información Personal para la finalidad del tratamiento, tal y como se define más adelante, y de conformidad con los principios y disposiciones contenidos en la normatividad aplicable.

II. DEFINICIONES

i. Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de Datos Personales.

ii. Base de Datos: Conjunto organizado de Datos Personales que sea objeto de Tratamiento.

iii. Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

iv. Dato Privado: Es el dato que por su naturaleza intima o reservada solo es relevante para el titular.

v. Dato Público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.

vi. Datos Personales Sensibles: Se entiende por Datos Personales Sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.

vii. Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento.

viii. Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la Base de Datos y/o el Tratamiento de los Datos.

ix. Titular: Persona natural cuyos Datos Personales sean objeto de Tratamiento.

x. Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de Datos Personales, ubicado en Colombia, envía la información o los Datos Personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

xi. Transmisión: Tratamiento de Datos Personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

xii. Tratamiento: Cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

III. PRINCIPIOS

Baker & McKenzie tratará la Información Personal conforme a los siguientes principios:

i. Principio de finalidad: El Tratamiento de los Datos Personales y Datos Personales Sensibles recolectados por Baker & McKenzie debe obedecer a una finalidad legítima, la cual debe ser informada al Titular.

ii. Principio de libertad: El Tratamiento solo puede llevarse a cabo con el consentimiento previo, expreso e informado del Titular.

Los Datos Personales y Datos Personales Sensibles no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;

iii. Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

El Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error se encuentra prohibido.

iv. Principio de transparencia: En el Tratamiento se debe garantizar el derecho del Titular a obtener de Baker & McKenzie en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan;

v. Principio de acceso y circulación restringida: Los Datos Personales y Datos Personales Sensibles, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados.

vi. Principio de seguridad: La información sujeta a Tratamiento por parte de Baker & McKenzie, se deberá proteger mediante el uso de las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, perdida, consulta, uso o acceso no autorizado o fraudulento; vii. Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de Datos Personales están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento.

IV. RECOPILACIÓN DE LA INFORMACIÓN PERSONAL

Baker & McKenzie podrá recopilar las siguientes categorías de Información Personal:

i. Para candidatos, empleados y socios

a) Información Personal y familiar: información que incluye, pero no se limita al nombre (incluido cualquier nombre anterior); foto o imagen captada por nuestras cámaras de seguridad o en eventos de la Firma; información de contacto (dirección, número telefónico y correo electrónico); fecha y lugar de nacimiento; género; números de cédula de ciudadanía, tarjeta profesional y demás números de identificación gubernamentales; número de cuenta bancaria y demás datos financieros; estado civil y familiar; visas; antecedentes judiciales; referencias personales y laborales; certificados académicos, información sobre familiares y personas a cargo (nombre, fecha de nacimiento, relación con el Titular); nombre, dirección y teléfono de contacto en caso de emergencia.

b) Información laboral: información que incluye, pero no se limita a, trabajos previos; puesto o cargo; ubicación; dirección y número telefónico del sitio de trabajo; fecha de inicio y terminación del empleo; nombre del superior jerárquico; organigrama de la empresa o cadena de mando; naturaleza del empleo (tiempo completo o medio tiempo); salario; bonificaciones; información sobre las prestaciones laborales; desempeño laboral y demás información relacionada con la evaluación del Titular; información sobre la nómina o pago por remuneración; registro de vacaciones, ausencias, licencias e incapacidades; educación e información relacionada con la capacitación, formación profesional, certificados y competencias laborales.

c) Información de carácter sensible: datos biométricos, tales como huellas digitales, fotografías, videos y grabaciones de voz; información médica y de salud ocupacional; pertenencia a sindicatos u organizaciones sociales; condición socioeconómica; origen racial o étnico; información relacionada con discapacidades laborales con fines de gestión de beneficios; información relacionada con el estado de salud.

ii. Para proveedores personas naturales o su representante persona natural

a) Información Personal: información que incluye, pero no se limita al nombre (incluido cualquier nombre anterior); foto o imagen captada por nuestras cámaras de seguridad; información de contacto (dirección, número telefónico y correo electrónico); número de cédula de ciudadanía; registro único tributario; número de identificación tributaria; planilla de aportes a seguridad social; número de la cuenta bancaria y demás datos bancarios y financieros; visas; antecedentes judiciales; referencias comerciales y laborales; cargo dentro de la empresa en la que trabaja;

b) Información laboral: Información que sea enviada a nosotros por el Titular o por un tercero debidamente autorizado; Información consultada a través de bases de datos de plataformas en las que el Titular haya publicado sus Datos Personales, incluyendo, pero sin limitarse a: trabajos previos, puesto o cargo, fecha de inicio y terminación del empleo; nombre del superior jerárquico;

iii. Para clientes personas naturales o su representante persona natural

a) Información Personal: información que incluye, pero no se limita al nombre (incluido cualquier nombre anterior); foto o imagen captada por nuestras cámaras de seguridad; información de contacto (dirección, número telefónico y correo electrónico); número de cédula de ciudadanía; registro único tributario; número de identificación tributaria; número de cuenta bancaria y demás datos bancarios y financieros; visas; antecedentes judiciales.

iv. Para visitantes

V. FINALIDAD DEL PROCESAMIENTO DE LA INFORMACIÓN PERSONAL

Baker & McKenzie puede emplear la Información Personal mencionada anteriormente para las siguientes finalidades (en adelante “Finalidad del Tratamiento”):

i. Para candidatos

(1) Evaluarlo como potencial empleado de Baker & McKenzie; (2) evaluar y corroborar la información contenida en su hoja de vida e información sobre la experiencia profesional y trayectoria académica provista por el Titular; (3) almacenar y clasificar su Información Personal para facilitar su acceso e identificarlo; (4) proporcionar información a las autoridades competentes cuando medie requerimiento de dichas autoridades en ejercicio de sus funciones y facultades legales, en cumplimiento de un deber legal o para proteger los derechos de la Firma; (5) proporcionar información a auditores internos o externos en el marco de las finalidades aquí descritas; (6) dar a conocer la realización de eventos de interés o de nuevas convocatorias para otros puestos de trabajo; (7) verificar la información contenida en listas de riesgo, restrictivas y no restrictivas, y vinculantes y no vinculantes para Colombia, tal y como se explica en el capítulo VI de esta política; y todas las demás actividades que sean compatibles con estas finalidades.

ii. Para empleados y socios

(1) Administración y gestión de la relación contractual; (2) la gestión y procesamiento de la nómina y/o remuneración (incluidas las decisiones respecto a la remuneración y el cálculo de las bonificaciones, cuando apliquen); (3) el seguimiento de indicadores financieros y de remuneración; (4) la preparación de presupuestos; (5) la gestión de prestaciones sociales, afiliaciones a seguridad social del empleado/socio y su núcleo familiar, beneficios extralegales (medicina prepagada, convenios empresariales, entre otros) y de las licencias e incapacidades, cuando corresponda; (6) planeación y desarrollo profesional; (7) proporcionar información a las autoridades competentes cuando medie requerimiento de dichas autoridades en ejercicio de sus funciones y facultades legales, en cumplimiento de un deber legal o para proteger los derechos de la Firma; (8) actividades de bienestar social y recreativas; (9) gestión, revisión y valoración del desempeño y productividad, cuando corresponda; (10) facilitar las actividades de contratación, gestión de talento humano, comunicación y planificación de reemplazos; (11) servicios informáticos, de asistencia telefónica y soporte técnico; (12) seguimiento y toma de medidas para el cumplimiento de las políticas, procedimientos y demás actividades de la Firma; (13) brindar espacios de trabajo adecuados conforme a los necesidades de cada empleado o socio; (14) verificar la información contenida en listas de riesgo, restrictivas y no restrictivas, y vinculantes y no vinculantes para Colombia, tal y como se explica en el capítulo VI de esta política; y todas las demás actividades que sean compatibles con estas finalidades.

iii. Para proveedores personas naturales o su representante persona natural

(1) Administración, gestión, cumplimiento y ejecución de la relación contractual con el proveedor; (2) manejo de cuentas del proveedor, lo cual incluye el cumplimiento de requisitos legales relacionados con los libros comerciales y contables, el manejo de las transacciones de facturación y pago, realizar los cierres financieros, informes a la gerencia y, en general, para asegurar el monitoreo interno de la cuenta; (3) realizar encuestas de satisfacción, así como reportes de desempeño de proveedores; (4) proporcionar información a las autoridades competentes cuando medie requerimiento de dichas autoridades en ejercicio de sus funciones y facultades legales, en cumplimiento de un deber legal o para proteger los derechos de la Firma; (5) gestión de facturación, cartera, cobranza y pagos por servicios requeridos; (6) verificar la información contenida en listas de riesgo, restrictivas y no restrictivas, y vinculantes y no vinculantes para Colombia, tal y como se explica en el capítulo VI de esta política; y todas las demás actividades que sean compatibles con estas finalidades.

iv. Para clientes personas naturales o su representante personal natural

(1) Proveer nuestros servicios y productos a través de la gestión y ejecución de la relación comercial; (2) lograr una eficiente comunicación relacionada con nuestros servicios; (3) informar sobre cambios en nuestros productos o servicios; (4) manejo de cuentas del cliente, lo cual incluye el cumplimiento de requisitos legales relacionados con los libros comerciales y contables, el manejo de las transacciones de facturación y pago, realizar los cierres financieros, informes de gerencia y, en general, para asegurar el monitoreo interno de la cuenta; (5) realizar encuestas de satisfacción; (6) comunicación de boletines informativos, eventos y productos; (7) proporcionar información a las autoridades competentes cuando medie requerimiento de dichas autoridades en ejercicio de sus funciones y facultades legales, en cumplimiento de un deber legal o para proteger los derechos de la Firma; (8) verificar la información contenida en listas de riesgo, restrictivas y no restrictivas, y vinculantes y no vinculantes para Colombia, tal y como se explica en el capítulo VI de esta política; y todas las demás actividades que sean compatibles con estas finalidades.

v. Para visitantes u otros terceros personas naturales

(1) Garantizar la seguridad al interior de nuestras oficinas al controlar el acceso a las instalaciones; (2) proteger a nuestros empleados y prevenir la comisión de delitos; (3) detectar violaciones de las políticas de la Firma; (4) prevenir el uso inapropiado e inadecuado de las instalaciones; (5) verificar que los sistemas e instalaciones de la Firma sean accedidos únicamente por personas autorizadas; (6) proporcionar información a las autoridades competentes cuando medie requerimiento de dichas autoridades en ejercicio de sus funciones y facultades legales, en cumplimiento de un deber legal o para proteger los derechos de la Firma; (7) gestión y procesamiento de cualquier tipo de remuneración en caso de ser necesario; (8) verificar la información contenida en listas de riesgo, restrictivas y no restrictivas, y vinculantes y no vinculantes para Colombia, tal y como se explica en el capítulo VI de esta política; y todas las demás actividades que sean compatibles con estas finalidades.

VI. VERIFICACIÓN DE LISTAS DE RIESGO, RESTRICTIVAS Y NO RESTRICTIVAS, Y VINCULANTES Y NO VINCULANTES PARA COLOMBIA

Dentro de las obligaciones que establece la Ley, Baker & McKenzie debe establecer si sus empleados, sus socios, sus familiares o personas cercanas califican como Personas Expuestas Políticamente (en adelante "PEP").

Por ende, Baker & McKenzie tiene la obligación de verificar, solicitar y/o consultar la Información Personal de los Titulares en listas de riesgo, restrictivas y no restrictivas, y vinculantes y no vinculantes para Colombia, a través de cualquier motor de búsqueda tales como, pero sin limitarse a, las plataformas de los entes Administradores del Sistema de Seguridad Social Integral, las Autoridades Judiciales y de Policía Nacional, la Procuraduría General de la República, la Contraloría General de la Nación o cualquier otra fuente de información legalmente constituida y/o a través de otros motores de búsqueda diseñados para verificar su situación laboral actual, sus aptitudes académicas y demás información pertinente para los fines antes señalados. Baker & McKenzie realizará estas gestiones directamente, o a través de sus filiales o aliados estratégicos con quienes acuerde realizar estas actividades. De igual manera, Baker & McKenzie podrá adelantar el proceso de consulta, a partir de su Información Personal, a través de la base de datos de World-Check de Thompson Reuters y otras similares.

Adicionalmente y de conformidad con la Ley, se le informa al Titular de que en caso de que algún familiar o persona cercana ostente la calidad de PEP o llegue a adquirirla, el Titular deberá comunicar tal situación a Baker & McKenzie, indicando los datos de identificación de dicho familiar o persona cercana, incluyendo su nombre completo y el parentesco que tiene y el cargo que desempeña o desempeñó dentro de los dos (2) años anteriores. En los casos en los que la Firma deba llevar a cabo el tratamiento de Datos Personales de terceros proporcionados por el Titular, este deberá contar con la autorización de esas personas para que su Información Personal sea entregada a Baker & McKenzie y tratada de conformidad con esta Política de Tratamiento.

VII. INFORMACIÓN PERSONAL SOBRE FAMILIARES Y/O TERCEROS

Si el Titular proporciona a Baker & McKenzie Información Personal sobre los miembros de su familia y/u otros terceros (por ejemplo, contactos en caso de emergencia o con fines de asignación de beneficios), el Titular les informará sobre sus derechos en relación con la protección de sus Datos Personales y Datos Personales Sensibles. A menos que el Titular haya notificado lo contrario a Baker & McKenzie, este declara que ha obtenido el consentimiento expreso, previo e informado de dichas personas - quedando entendido que dichas personas tienen capacidad legal para autorizarlo - para proporcionar esta información a Baker & McKenzie y para el consiguiente procesamiento, incluida la transmisión, de dicha información como se establece en esta Política de Tratamiento.

VIII. ACCESO A LA INFORMACIÓN PERSONAL

En Baker & McKenzie, el acceso a la Información Personal está restringido a determinadas personas en los casos estrictamente necesarios y legalmente permitidos o según sea requerido por la autoridad competente. Todos los empleados y socios tendrán acceso al directorio interno de empleados y socios.

IX. TRANSMISIÓN DE INFORMACIÓN PERSONAL

Baker & McKenzie puede transmitir Datos Personales y Datos Personales Sensibles a terceros ubicados en Colombia o en el exterior, quienes realizarán el tratamiento en nombre de Baker & McKenzie y de conformidad con la Finalidad del Tratamiento según se indica en esta Política. Estos terceros asumirán el rol de Encargados del Tratamiento de la Información Personal y la relación se documentará en un contrato de transmisión.

Baker & McKenzie tomará las medidas necesarias con el fin de garantizar los requerimientos adecuados de seguridad y protección de la información por parte de dichos destinatarios, y se asegurará de que la Información Personal esté debidamente protegida de conformidad con esta Política de Tratamiento y las disposiciones legales aplicables.

X. DERECHOS DE LOS TITULARES

De conformidad con el artículo 8 de la Ley 1581 de 2012, los derechos de los Titulares de Datos Personales y Datos Personales Sensibles son:

i. Conocer, actualizar y rectificar los Datos Personales y Datos Personales Sensibles frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado;

ii. Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento;

iii. Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que le ha dado a los Datos Personales y Datos Personales Sensibles;

iv. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley frente al Tratamiento de la información;

v. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a la Ley y a la Constitución;

vi. Acceder en forma gratuita a los Datos Personales y Datos Personales Sensibles que hayan sido objeto de Tratamiento.

XI. PROCEDIMIENTO PARA EJERCER LOS DERECHOS

Baker & McKenzie procesará cualquier consulta o reclamo en relación con la Información Personal recolectada y procesada de conformidad con la Ley. Para ello, los Titulares deberán enviar una descripción escrita de su consulta o reclamo a: protecciondatos.colombia@bakermckenzie.com , teniendo en cuenta los siguientes procedimientos:

i. Consultas

De conformidad con las disposiciones del artículo 14 de la Ley 1581 de 2012, los Titulares pueden consultar su información personal que se encuentra en cualquier base de datos de Baker & McKenzie.

Por lo tanto, Baker & McKenzie garantizará el derecho de consulta, proporcionándole al Titular o a sus sucesores, toda la información contenida en el registro individual o que está vinculada a la identificación del Titular como sujeto de Datos Personales. Cuando se trate de consultas, Baker & McKenzie garantizará que estas sean atendidas dentro de un plazo máximo de diez (10) días hábiles contados a partir del día siguiente de la fecha de recepción.

Cuando no sea posible responder la consulta dentro de dicho plazo, se informará al interesado antes de la expiración de los 10 días, indicando los motivos de la demora e indicando la fecha en que se atenderá la consulta, que en ningún caso podrá exceder cinco (5) días hábiles después de la expiración del primer término.

ii. Reclamos

De conformidad con lo dispuesto en el artículo 15 de la Ley 1581 de 2012, los Titulares, cuando consideren que la información contenida en una base de datos debe estar sujeta a corrección, actualización o eliminación, o cuando evidencien el supuesto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, pueden presentar un reclamo ante Baker & McKenzie.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término se le informará antes del vencimiento del referido plazo los motivos de la demora y la fecha en que se atenderá el reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

XII. VIGENCIA

La presente Política de Tratamiento entrará a regir a partir del 14 de octubre de 2020 y estará vigente mientras Baker & McKenzie recolecte y trate Información Personal.