I. IDENTIFICACION DEL RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES

II. OBJETIVO Establecer las pautas y criterios generales a los empleados de FUNDACION SIDOC para que realicen una evaluación y afronten de manera efectiva el manejo de datos personales de empleados, clientes y proveedores y de las posibles reclamaciones que lleguen a presentar ante la compañía. Y así lograr que el nivel de satisfacción de estas personas vaya a acorde con la legislación colombiana vigente. III.ALCANCE Esta Política aplica desde el momento mismo el cual se están recopilando los datos personales de empleados, clientes y proveedores hasta el momento que se le brinda una respuesta acorde con la petición presentada con referencia a cualquier información personal que sea almacenada en las bases de datos de FUNDACION SIDOC. IV. MARCO NORMATIVO A continuación, se menciona la normatividad relacionada con la Protección de Datos Personales:

• Ley 1266 de 2008
• Ley 1581 de 2012
• Decreto 1377 de 2013

V. APLICACIÓN Son los datos personales registrados en cualquier base de datos, que los haga susceptibles de tratamiento por entidades de naturaleza pública o privada, efectuado en el territorio colombiano o en países en donde sea aplicable la legislación colombiana. VI. DEFINICIONES Actores del tratamiento de Datos Personales: Son las empresas o personas que llevan a cabo el suministro, recolección y el tratamiento de datos personales, éstos son: • “Responsable del Tratamiento”: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. • “Encargado del Tratamiento”: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento de Datos Personales. “Titular de Datos Personales”: Persona natural cuyos datos personales sean objeto de Tratamiento. “Usuario”: Es la persona natural o jurídica que puede acceder a información personal de uno o varios titulares de la información suministrada por el operador o por la fuente, o directamente por el titular de la información. El usuario debe garantizar la protección de los derechos del titular de los datos. En el caso en que el usuario a su vez entregue la información directamente a un operador, aquél tendrá la doble condición de usuario y fuente, y asumirá los deberes y responsabilidades de ambos. “Autorización”: Consentimiento previo, expreso e informado del titular para llevar a cabo el Tratamiento de Datos Personales. “Aviso de privacidad”: Documento físico, electrónico o en cualquier otro formato, generado por el Responsable del Tratamiento, que es puesto a disposición del Titular para comunicarle la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las características del Tratamiento que se pretende dar a los datos personales. “Base de Datos”: Conjunto organizado de datos personales que sea objeto de tratamiento.

“Consulta”: Proceso mediante el cual el Titular de Datos Personales puede solicitar a FUNDACION SIDOC. su información personal que reposa en las bases de datos. “Dato Personal”: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. “Dato público”: Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política y todos aquellos que no sean semiprivados o privados, de conformidad con la ley. Son públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales que no estén sometidos a reserva y los relativos al estado civil de las personas. “Datos Sensibles: Son aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual y los datos biométricos. “Reclamo”: Proceso mediante el cual los Titulares de los datos Personales o sus causahabientes, podrán solicitar a FUNDACION SIDOC. la actualización, rectificación, supresión parcial o total de la información, la prueba de la autorización o la revocatoria de la misma. “SIC”: Superintendencia de Industria y Comercio. “Tratamiento de Datos Personales”: Cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, consulta, intercambio, transferencia, uso, circulación o supresión. VII. NORMAS Y CRITERIOS DE APLICACIÓN 1. PRINCIPIOS GENERALES PARA EL TRATAMIENTO DE DATOS PERSONALES En el Tratamiento de Datos Personales se cumplirá con los siguientes principios: a) Principio de finalidad: El Tratamiento de Datos Personales debe obedecer a una finalidad legítima que se informará al Titular.

b)Principio de libertad: El Tratamiento de Datos Personales sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no podrán ser obtenidos o divulgados sin previa autorización o mandato legal o judicial que releve el consentimiento del Titular. c) Principio de veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error. d) Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener de FUNDACION SIDOC, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan. e) Principio de acceso y circulación restringida: Los Datos Personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados por ellos. f)Principio de seguridad: La información sujeta a Tratamiento, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. g) Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de Datos Personales están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento. 2. CATEGORIAS ESPECIALES DE DATOS 2.1 Datos sensibles: Está prohibido el tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización. b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.

c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular. d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas para suprimir la identidad de los Titulares. 2.2 Derechos de los niños, niñas y adolescentes: Según lo dispuesto en el Artículo 7o de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013, FUNDACION SIDOC. sólo realizará el Tratamiento, esto es, la recolección, almacenamiento, uso, circulación y/o supresión de Datos Personales correspondientes a niños, niñas y adolescentes, siempre y cuando este Tratamiento responda y respete el interés superior de los niños, niñas y adolescentes y asegure el respeto de sus derechos fundamentales. Cumplidos los anteriores requisitos, FUNDACION SIDOC. deberá obtener la Autorización del representante legal del niño, niña o adolescente, previo ejercicio del menor de su derecho a ser escuchado, opinión que será valorada teniendo en cuenta la madurez, autonomía y capacidad para entender el asunto. 3. TRATAMIENTO AL CUAL SERAN SOMETIDOS LOS DATOS Y FINALIDAD DEL MISMO Los datos personales que los clientes y proveedores suministren o hayan suministrado a FUNDACION SIDOC. son objeto de tratamiento (recolección, almacenamiento, uso, circulación o supresión) con la finalidad de prestar adecuadamente los servicios de compra y venta de productos, materiales y materias primas propias de la industria siderúrgica y metalmecánica, realizar actividades de mercadeo, venta, facturación, gestión de cobranza, recaudo, mejoramiento del servicio, envío de información comercial a través de correos electrónicos, prestar asistencia, servicio y soporte técnico de nuestros productos, realizar las gestiones necesarias para dar cumplimiento a las obligaciones inherentes a nuestro negocio y productos adquiridos con FUNDACION SIDOC, informar sobre cambios de productos relacionados con el giro ordinario de los negocios de FUNDACION SIDOC ,controlar y

prevenir el fraude en general, facilitar la ejecución para la adquisición y enajenación de nuestro servicio. Los datos personales que se someten a tratamiento, son: nombre y apellidos, documento de identidad, edad, domicilio, región, país, ciudad, código postal, número de teléfono fijo, número de teléfono móvil, dirección, dirección de correo electrónico, preferencia de consumo, quejas y reclamos, novedades de servicio. 3.1. Tratamiento Datos Sensibles El titular tiene derecho a optar por no suministrar cualquier información solicitada por FUNDACION SIDOC. que sea considerado datos sensibles. 4. AUTORIZACIÓN El Tratamiento de Datos Personales realizado por FUNDACION SIDOC, requiere del consentimiento libre, previo, expreso e informado del Titular. FUNDACION SIDOC, en su condición de Responsable del Tratamiento de Datos Personales, ha dispuesto de los mecanismos necesarios para obtener la autorización del Titular, sus causahabientes o representantes legitimados. La autorización podrá darse por medio de un documento físico, electrónico o cualquier otro formato que permita garantizar su posterior consulta, y que, además, pueda demostrarse, de manera inequívoca, que el Titular de los Datos Personales: a) autorizó el tratamiento, b) conoce y acepta que FUNDACION SIDOC recogerá y utilizará la información para los fines que le han sido informados. En virtud de lo anterior, la autorización solicitada deberá incluir: a) El Responsable del Tratamiento y qué datos se recopilan; b) La finalidad del tratamiento de los datos; c) Los derechos de acceso, corrección, actualización o supresión de los datos personales suministrados por el titular y, d) Si se recopilan Datos Sensibles. e) La identificación, dirección física o electrónica y teléfono del Responsable del Tratamiento. 5. AVISO DE PRIVACIDAD FUNDACION SIDOC cuenta con el Aviso de Privacidad, que contiene la información exigida por la Ley 1581 de 2012, Decreto 1377 de 2013 y cualquier otra norma que los modifique y/o complemente; el cual será comunicado al Titular de Datos Personales a través de medios de comunicación de la compañía. Para facilitar la divulgación, su contenido podrá ser incluido dentro de la autorización.

6. DERECHOS Y DEBERES DE LOS TITULARES El Titular de los Datos Personales tendrá los siguientes derechos: a) Conocer, actualizar y rectificar los Datos Personales. b) Solicitar pruebas de la autorización otorgada a FUNDACION SIDOC. c) Ser informado por FUNDACION SIDOC, previa solicitud, respecto del uso que le ha dado a sus Datos Personales. d) Presentar consultas ante el Responsable o Encargado del Tratamiento, conforme a lo establecido en el numeral 9 de la presente política. e) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la presente ley y las demás normas que la modifiquen, adicionen o complementen, una vez haya agotado el trámite de consulta o reclamo ante el Responsable o el Encargado del tratamiento, según el Artículo 16 del Decreto 1377. f) Acceder de manera gratuita a los Datos Personales que son objeto de Tratamiento. g) Solicitar a FUNDACION SIDOC. la supresión de sus Datos Personales y/o revocar la autorización otorgada para el Tratamiento de los mismos, mediante la presentación de un reclamo, de acuerdo con los procedimientos establecidos en el numeral 10 de esta Política. No obstante, la solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular de la información tenga un deber legal o contractual de permanecer en la Base de Datos y/o Archivos, ni mientras se encuentre vigente la relación entre el Titular y FUNDACION SIDOC., en virtud de la cual fueron recolectados sus datos. El Titular de los Datos Personales tendrá el deber de mantener actualizada su información y garantizar, en todo momento, la veracidad de la misma. FUNDACION SIDOC no se hará responsable, en ningún caso, por cualquier tipo de responsabilidad derivada por la inexactitud de la información suministrada por el Titular. 7. MEDIDAS DE SEGURIDAD FUNDACION SIDOC adoptará las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Dichas medidas responderán a los requerimientos mínimos hechos por la legislación vigente y periódicamente se evaluará su efectividad.

8. RESPONSABLE DEL TRATAMIENTO FUNDACION SIDOC será responsable y/o encargada de la recolección y/o del Tratamiento de Datos Personales, conservará la Autorización y demás registros almacenados, impidiendo que se deterioren, pierdan, alteren o se usen sin autorización. 9. DATOS DE CONTACTO PARA RADICACION DE SOLICITUDES: Los Titulares de la Información pueden ejercer sus derechos de revocar la autorización para el tratamiento de datos, conocer, actualizar, rectificar y suprimir sus Datos Personales, enviando comunicaciones al Área de la Dirección Administrativa, en Acopi Yumbo Valle del Cauca, a la Carrea 12a # 37 – 15, teléfono 664 4717, ext. 137, Igualmente, los Titulares de la información pueden dirigir sus solicitudes al correo electrónico contafundacion@sidocsa.com y estas deberán contener la siguiente información: 9.1. Nombre e identificación del Titular 9.2. Descripción precisa y completa de los hechos que dan lugar a la solicitud. 9.3. Dirección física o electrónica para remitir la respuesta e informar sobre el estado del trámite. 9.4. Documentos y demás pruebas que se pretendan hacer valer 10. SOLICITUDES POR PARTE DEL TITULAR DE DATOS 10.1 Consulta Los Titulares de los Datos Personales o sus causahabientes podrán, en cualquier momento, consultar la información personal que repose en las bases de datos de FUNDACION SIDOC. Igualmente, podrán solicitar la demostración de la existencia de su autorización para el tratamiento de Datos Personales. 10.1.1Término para la Atención de Consulta De acuerdo con la Ley 1581 de 2012, la solicitud de consulta debe ser atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

10.2 Reclamos Los Titulares de los datos Personales o sus causahabientes, podrán solicitar la actualización, rectificación o la supresión total o parcial de datos. Igualmente, podrán solicitar la revocatoria de la autorización. 10.2.1 Revocatoria de la autorización: El Titular de Datos Personales o sus causahabientes podrán revocar la autorización otorgada, de acuerdo a la normativa vigente. 10.2.2 Supresión de Datos Personales: El Titular de Datos podrá solicitar al Responsable y/o Encargado del Tratamiento la supresión total o parcial de datos personales. La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal, contractual o comercial de permanecer en la base de datos. De acuerdo con el Artículo 16 del Decreto 1377 de 2013, el Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable o el Encargado del tratamiento. Cuando se reciba un reclamo por parte del Titular de Datos Personales relativo a inconsistencias en la información, o que el dato se encuentre en discusión por parte del mismo, el Responsable del tratamiento, y cuando en su nombre actúe, el Encargado del Tratamiento, debe suspender el uso del mismo, durante un tiempo no menor a la fecha de finalización del trámite. Para esto, FUNDACION SIDOC, responsable de la base de datos, debe asegurar que exista un registro donde se consignen las siguientes notas: “reclamo en trámite” o “información en discusión judicial” según el estado de trámite en el que se encuentre la reclamación. 10.2.3 Término para la atención de Reclamos relativos a Datos Personales: De acuerdo con la Ley 1581 de 2012, cuando se reciba una solicitud de reclamo por parte del Titular de Datos Personales, el responsable del tratamiento, procederá a revisar si ésta contiene la información suficiente para ser atendida, y, en el caso que requiera mayor información le comunicará al Titular, dentro de los siguientes 5 días hábiles siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. Igualmente, la Ley indica que el término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término se informará al

interesado antes del vencimiento del referido plazo los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. 11. ENTRADA EN VIGENCIA, MODIFICACIÓN Y PERIODO DE VIGENCIA DE LAS BASES DE DATOS La presente política aplica a partir del día 27 de julio de 2013 y la información suministrada por los grupos de interés permanecerá almacenada hasta por el término de diez (10) años contados a partir de la fecha del último Tratamiento, para permitirle a FUNDACION SIDOC. El cumplimiento de las obligaciones legales y/o contractuales a su cargo especialmente en materia contable, fiscal y tributaria. Esta política podrá ser modificada en cualquier momento y de forma unilateral por parte de FUNDACION SIDOC Consideración General: Las áreas y/o gerencias dueñas de cada proceso son responsables por asegurar la aplicación de las políticas corporativas respectivas. El auditor interno, en su rol de auditoría interna tiene bajo su responsabilidad verificar el cumplimiento de las mismas, de acuerdo a su plan de auditoria anual y reportar el resultado de sus evaluaciones en sus informes de auditoría tanto a la gerencia como al comité de auditoría correspondiente.