1. Identificación de la organización

Firma Planee S.A.S, identificada con NIT 900.429.194-8, con domicilio en CL 49 48 06 – Centro Comercial Colonial, Rionegro, Antioquia, teléfono fijo (604) 4488226, celular 3104218141, correo electrónico info@firmaplanee.com y sitio web www.firmaplanee.com, en adelante Firma Planee, adopta la presente Política de Seguridad de la Información como marco general para proteger la información propia, de sus clientes, proveedores, colaboradores, aliados y demás grupos de interés.

Esta Política se articula con la Política de Tratamiento de Datos Personales, los procedimientos internos de gestión documental, las obligaciones contractuales asumidas por Firma Planee y las normas colombianas aplicables en materia de protección de datos personales, confidencialidad, gestión contable, tributaria, financiera y corporativa.

2. Objetivo

La presente Política tiene como objetivo establecer los lineamientos generales para proteger la información que Firma Planee recolecta, recibe, consulta, produce, almacena, procesa, transmite, comparte, conserva o elimina en desarrollo de sus actividades profesionales.

La seguridad de la información en Firma Planee busca preservar tres principios fundamentales:

Confidencialidad: garantizar que la información sea conocida únicamente por las personas autorizadas.

Integridad: proteger la exactitud, completitud, consistencia y confiabilidad de la información.

Disponibilidad: asegurar que la información esté accesible para las personas autorizadas cuando sea necesaria para el cumplimiento de las funciones, servicios, obligaciones legales o compromisos contractuales de Firma Planee.

3. Alcance

Esta Política aplica a todos los activos de información de Firma Planee, sin importar su formato, medio, ubicación o soporte. Incluye información física, digital, verbal, documental, contable, tributaria, financiera, administrativa, contractual, comercial, corporativa, técnica y tecnológica.

La Política aplica a:

1. Socios, directivos, colaboradores, contratistas, asesores, practicantes y demás personas vinculadas a Firma Planee.
2. Clientes, proveedores, aliados estratégicos y terceros que tengan acceso a información administrada por Firma Planee.
3. Sistemas de información, equipos de cómputo, dispositivos móviles, plataformas en la nube, correos electrónicos, bases de datos, documentos físicos, archivos digitales, copias de seguridad y demás medios utilizados para gestionar información.
4. Procesos de revisoría fiscal, outsourcing contable, planeación tributaria, planeación financiera, planeación corporativa, asesoría empresarial y demás servicios prestados por Firma Planee.
5. Información recibida, generada o tratada en calidad de responsable o encargado del tratamiento de datos personales.

4. Principios de seguridad de la información

Firma Planee orientará la gestión de la seguridad de la información conforme a los siguientes principios:

Responsabilidad: toda persona que acceda a información de Firma Planee o de sus clientes debe protegerla y utilizarla únicamente para los fines autorizados.

Necesidad de acceso: el acceso a la información se otorgará según las funciones, responsabilidades, obligaciones contractuales o finalidades legítimas que lo justifiquen.

Mínimo privilegio: los usuarios solo deberán contar con los permisos estrictamente necesarios para cumplir sus funciones.

Confidencialidad profesional: la información contable, tributaria, financiera, corporativa, contractual y personal conocida por Firma Planee será tratada con estricta reserva.

Trazabilidad: cuando sea técnica y operativamente posible, los accesos, modificaciones, transferencias y eliminaciones de información deberán poder ser identificados o auditados.

Prevención del riesgo: Firma Planee adoptará medidas razonables para prevenir pérdida, alteración, acceso no autorizado, divulgación indebida, uso fraudulento, daño o indisponibilidad de la información.

Mejora continua: los controles de seguridad serán revisados y ajustados conforme a los cambios normativos, tecnológicos, operativos, contractuales o de riesgo.

5. Activos de información protegidos

Para efectos de esta Política, se consideran activos de información todos aquellos elementos que contienen, procesan, almacenan, transmiten o permiten acceder a información relevante para Firma Planee.

Entre ellos se incluyen:

1. Documentos contables, tributarios, financieros, corporativos, contractuales y administrativos.
2. Estados financieros, declaraciones tributarias, soportes contables, nóminas, certificados, informes, conciliaciones y reportes.
3. Información de clientes, representantes legales, accionistas, beneficiarios finales, proveedores, colaboradores y terceros relacionados.
4. Correos electrónicos, comunicaciones internas y externas, conceptos, propuestas, contratos y anexos.
5. Bases de datos, hojas de cálculo, archivos digitales, expedientes físicos y repositorios documentales.
6. Equipos de cómputo, dispositivos móviles, medios extraíbles, servidores, plataformas en la nube, aplicaciones y sistemas de información.
7. Credenciales de acceso, contraseñas, códigos de autenticación, tokens, certificados digitales y demás mecanismos de identificación.
8. Copias de seguridad, archivos históricos y documentos sujetos a conservación legal o contractual.
9. Información estratégica, metodologías de trabajo, modelos de análisis, plantillas, procesos internos y conocimiento técnico de Firma Planee.

6. Clasificación de la información

Firma Planee clasificará la información según su nivel de sensibilidad, criticidad y riesgo. Como criterio general, se adoptan las siguientes categorías:

La clasificación de la información determinará los controles de acceso, almacenamiento, transmisión, conservación, eliminación y divulgación aplicables.

7. Reglas generales de uso de la información

Toda persona que tenga acceso a información de Firma Planee deberá cumplir las siguientes reglas:

1. Utilizar la información únicamente para los fines autorizados.
2. No divulgar información confidencial, interna, restringida o crítica sin autorización.
3. No copiar, descargar, enviar, modificar, eliminar o transferir información sin justificación funcional, contractual o legal.
4. No almacenar información institucional o de clientes en cuentas personales, dispositivos no autorizados o servicios no aprobados.
5. No compartir credenciales de acceso, claves, códigos de verificación, tokens o certificados digitales.
6. Reportar oportunamente cualquier pérdida, acceso indebido, sospecha de fraude, envío equivocado, divulgación accidental o incidente de seguridad.
7. Conservar la información conforme a los lineamientos documentales, contractuales, contables, tributarios y legales aplicables.
8. Eliminar o devolver la información cuando termine la relación contractual, laboral o profesional, salvo que exista obligación legal de conservación.
9. Mantener reserva sobre la información conocida durante la relación con Firma Planee, incluso después de finalizado el vínculo correspondiente.

8. Control de acceso

Firma Planee gestionará el acceso a la información conforme a los principios de necesidad, proporcionalidad, mínimo privilegio y trazabilidad.

Para ello, podrá implementar las siguientes medidas:

1. Creación de usuarios individuales y no compartidos para el acceso a sistemas, correos, plataformas y repositorios.
2. Asignación de permisos según cargo, función, proyecto, cliente o responsabilidad específica.
3. Revisión periódica de usuarios activos, permisos concedidos y accesos innecesarios.
4. Cancelación o modificación de accesos cuando una persona cambie de función, termine su contrato o deje de requerir determinada información.
5. Uso de contraseñas robustas y mecanismos de autenticación reforzada cuando la plataforma lo permita.
6. Restricción de acceso a información confidencial, restringida o crítica.
7. Registro y monitoreo de accesos cuando sea técnica y razonablemente posible.

9. Gestión de contraseñas y autenticación

Los usuarios deberán proteger sus credenciales de acceso y cumplir las siguientes reglas:

1. Utilizar contraseñas seguras, no evidentes y diferentes para cada servicio relevante.
2. No compartir contraseñas por correo electrónico, mensajería instantánea, documentos sin protección o medios inseguros.
3. Cambiar las contraseñas cuando exista sospecha de exposición, pérdida, acceso indebido o uso no autorizado.
4. Activar la autenticación multifactor cuando el sistema, plataforma o servicio lo permita y la criticidad de la información lo justifique.
5. No guardar contraseñas en lugares visibles, documentos físicos expuestos, archivos sin protección o navegadores de uso compartido.
6. Usar gestores de contraseñas seguros cuando sean autorizados por Firma Planee.
7. No reutilizar credenciales institucionales en servicios personales o externos no relacionados con las funciones asignadas.

10. Seguridad en equipos, dispositivos y estaciones de trabajo

Los equipos utilizados para acceder, procesar o almacenar información de Firma Planee deberán contar con medidas razonables de seguridad.

Entre otras, se deberán aplicar las siguientes prácticas:

1. Mantener sistemas operativos, aplicaciones, navegadores y herramientas de seguridad actualizados.
2. Utilizar mecanismos de bloqueo automático por inactividad.
3. Proteger los equipos mediante contraseña, PIN, biometría u otro mecanismo seguro.
4. Evitar el uso de dispositivos públicos o compartidos para acceder a información confidencial.
5. No instalar software no autorizado, de origen desconocido o que pueda comprometer la seguridad de la información.
6. Mantener herramientas de protección contra malware, cuando resulten aplicables.
7. Evitar almacenar información confidencial en medios extraíbles sin cifrado o protección equivalente.
8. Reportar pérdida, robo, daño, acceso indebido o comportamiento anómalo de cualquier equipo o dispositivo utilizado para actividades institucionales.

11. Seguridad en correo electrónico y comunicaciones

El correo electrónico institucional y demás canales de comunicación deberán utilizarse con prudencia, precisión y reserva profesional.

Firma Planee promoverá las siguientes medidas:

1. Verificar destinatarios antes de enviar información confidencial.
2. Evitar el envío de información crítica sin mecanismos adecuados de protección.
3. No abrir enlaces, archivos adjuntos o mensajes sospechosos.
4. Confirmar por un canal alterno solicitudes inusuales de pagos, cambios de cuentas bancarias, envío de documentos sensibles o entrega de credenciales.
5. No remitir información de clientes a cuentas personales o no autorizadas.
6. Usar asuntos, cuerpos de mensaje y archivos adjuntos coherentes con la finalidad profesional de la comunicación.
7. Reportar intentos de phishing, suplantación, fraude, malware o ingeniería social.
8. Evitar divulgar información confidencial en grupos de mensajería, redes sociales o canales no autorizados.

12. Seguridad en servicios tecnológicos y plataformas en la nube

Firma Planee podrá utilizar servicios tecnológicos, plataformas en la nube, software contable, herramientas de productividad, correo electrónico, repositorios documentales, sistemas de facturación, alojamiento web u otros servicios necesarios para su operación.

La selección y uso de estos servicios deberá considerar, cuando resulte aplicable:

1. Reputación y confiabilidad del proveedor.
2. Condiciones de seguridad, disponibilidad y respaldo.
3. Controles de acceso y autenticación.
4. Ubicación, transferencia o transmisión de datos.
5. Condiciones contractuales de confidencialidad.
6. Posibilidad de recuperación de información.
7. Políticas de privacidad y tratamiento de datos del proveedor.
8. Continuidad del servicio y soporte técnico.
9. Eliminación o devolución de información al terminar la relación contractual.

Los proveedores tecnológicos que puedan acceder a información confidencial, personal o crítica deberán comprometerse a protegerla y a utilizarla únicamente para las finalidades autorizadas.

13. Gestión de proveedores y terceros

Cuando Firma Planee comparta información con proveedores, contratistas, aliados, asesores externos o terceros, deberá hacerlo bajo criterios de necesidad, confidencialidad y finalidad legítima.

Los terceros deberán:

1. Usar la información únicamente para el servicio contratado o finalidad autorizada.
2. Abstenerse de divulgarla sin autorización.
3. Adoptar medidas razonables de seguridad.
4. Informar oportunamente cualquier incidente que pueda comprometer la información.
5. Devolver, eliminar o conservar la información conforme a las instrucciones de Firma Planee y a las obligaciones legales aplicables.
6. Cumplir las normas de protección de datos personales cuando traten información de personas naturales.

Firma Planee podrá incluir cláusulas de confidencialidad, protección de datos, seguridad de la información, manejo documental y gestión de incidentes en contratos, órdenes de servicio, acuerdos de confidencialidad o documentos equivalentes.

14. Protección de datos personales

La seguridad de la información personal será gestionada conforme a la Política de Tratamiento de Datos Personales de Firma Planee y a la normativa colombiana aplicable.

Cuando la información contenga datos personales, Firma Planee deberá:

1. Tratar los datos conforme a finalidades legítimas, informadas y autorizadas.
2. Restringir el acceso a quienes necesiten la información para cumplir sus funciones.
3. Implementar medidas razonables para evitar pérdida, adulteración, acceso no autorizado, uso indebido o divulgación fraudulenta.
4. Atender consultas, reclamos, solicitudes de actualización, rectificación, supresión o revocatoria de autorización conforme a la ley.
5. Gestionar incidentes de seguridad que involucren datos personales de acuerdo con los procedimientos internos y las obligaciones legales aplicables.

15. Copias de seguridad y recuperación de información

Firma Planee adoptará medidas razonables para respaldar la información crítica necesaria para la continuidad de sus servicios y el cumplimiento de sus obligaciones legales, contractuales, contables, tributarias y administrativas.

Las copias de seguridad deberán considerar:

1. Periodicidad adecuada según la criticidad de la información.
2. Protección frente a accesos no autorizados.
3. Almacenamiento en medios o servicios confiables.
4. Verificación periódica de la posibilidad de restauración.
5. Conservación por el tiempo necesario conforme a criterios legales, contractuales y operativos.
6. Protección especial para información confidencial, restringida o crítica.
7. Eliminación segura cuando la copia deje de ser necesaria.

16. Conservación, archivo y eliminación de información

La información será conservada durante el tiempo necesario para cumplir las finalidades que justifican su tratamiento, las obligaciones legales, contractuales, contables, tributarias, administrativas, judiciales o de defensa jurídica.

Firma Planee deberá procurar que la eliminación de información se realice de forma segura, evitando accesos posteriores no autorizados.

Cuando se trate de documentos físicos, se deberán usar mecanismos adecuados de destrucción o disposición segura. Cuando se trate de información digital, se deberán aplicar procesos de eliminación, anonimización, depuración o restricción de acceso, según corresponda.

17. Seguridad física

Firma Planee adoptará medidas razonables para proteger documentos, equipos, soportes físicos y espacios donde se almacene o consulte información.

Entre otras medidas, se podrán aplicar las siguientes:

1. Controlar el acceso a áreas donde se conserve información confidencial.
2. Mantener archivos físicos organizados y protegidos.
3. Evitar dejar documentos sensibles expuestos en escritorios, salas de reunión, impresoras o zonas comunes.
4. Proteger equipos portátiles, medios extraíbles y documentos durante desplazamientos.
5. Disponer adecuadamente de documentos que ya no deban conservarse.
6. Evitar conversaciones sobre información confidencial en lugares públicos o con presencia de personas no autorizadas.

18. Trabajo remoto y acceso fuera de las instalaciones

Cuando se realicen actividades fuera de las instalaciones de Firma Planee, deberán observarse medidas especiales de seguridad.

Los usuarios deberán:

1. Acceder a la información únicamente desde equipos y redes confiables.
2. Evitar el uso de redes públicas inseguras para consultar o transmitir información confidencial.
3. Proteger los dispositivos contra pérdida, robo o acceso no autorizado.
4. No imprimir ni trasladar documentos confidenciales sin justificación.
5. Evitar que terceros no autorizados visualicen pantallas, documentos o comunicaciones.
6. Usar canales institucionales o autorizados para el intercambio de información.
7. Reportar oportunamente cualquier incidente ocurrido durante el trabajo remoto o desplazamiento.

19. Gestión de incidentes de seguridad

Se considera incidente de seguridad cualquier evento real o sospechoso que pueda comprometer la confidencialidad, integridad o disponibilidad de la información.

Entre otros, son incidentes de seguridad:

1. Pérdida o robo de equipos, documentos o medios de almacenamiento.
2. Acceso no autorizado a sistemas, archivos, correos o plataformas.
3. Envío de información confidencial a destinatarios equivocados.
4. Divulgación indebida de información.
5. Eliminación, alteración o daño no autorizado de archivos.
6. Infección por malware, ransomware u otro código malicioso.
7. Suplantación de identidad, phishing o fraude digital.
8. Exposición de contraseñas, certificados, tokens o credenciales.
9. Indisponibilidad significativa de sistemas críticos.
10. Tratamiento indebido de datos personales.

Todo incidente deberá ser reportado tan pronto como sea conocido a través de los canales internos definidos por Firma Planee. El reporte deberá contener, en lo posible:

1. Fecha y hora de detección.
2. Descripción del evento.
3. Información, sistema, cliente o proceso afectado.
4. Personas involucradas o que tuvieron conocimiento del hecho.
5. Evidencias disponibles.
6. Acciones inmediatas realizadas.

Firma Planee evaluará el incidente, adoptará medidas de contención, mitigación, recuperación y prevención, y determinará si corresponde informar a titulares, clientes, proveedores, autoridades o terceros, conforme a la normativa y obligaciones contractuales aplicables.

20. Continuidad operativa

Firma Planee procurará adoptar medidas razonables para garantizar la continuidad de sus procesos críticos ante fallas tecnológicas, indisponibilidad de sistemas, incidentes de seguridad, pérdida de información, interrupciones de servicios o eventos que puedan afectar la prestación de sus servicios profesionales.

Estas medidas podrán incluir:

1. Identificación de procesos críticos.
2. Copias de seguridad de información esencial.
3. Canales alternos de comunicación.
4. Acceso controlado a documentos prioritarios.
5. Procedimientos de recuperación.
6. Contacto con proveedores tecnológicos clave.
7. Priorización de servicios urgentes o legalmente sensibles.
8. Revisión posterior de eventos que afecten la continuidad.

21. Capacitación y cultura de seguridad

Firma Planee promoverá una cultura de seguridad de la información basada en la responsabilidad, la confidencialidad, la prevención del riesgo y el buen criterio profesional.

Para ello, podrá desarrollar actividades de sensibilización, capacitación o comunicación interna sobre:

1. Protección de datos personales.
2. Manejo seguro de información contable, tributaria, financiera y corporativa.
3. Identificación de correos fraudulentos o intentos de suplantación.
4. Uso adecuado de contraseñas y autenticación.
5. Seguridad en dispositivos y trabajo remoto.
6. Gestión de incidentes.
7. Confidencialidad y reserva profesional.
8. Buenas prácticas documentales y tecnológicas.

22. Auditoría, revisión y mejora

Firma Planee podrá realizar revisiones periódicas de sus controles de seguridad, accesos, procedimientos, proveedores, incidentes, copias de seguridad y prácticas de manejo de información.

Estas revisiones tendrán como finalidad:

1. Identificar debilidades o riesgos.
2. Corregir desviaciones.
3. Actualizar controles frente a cambios tecnológicos, normativos u operativos.
4. Mejorar la trazabilidad y protección de la información.
5. Fortalecer la confianza de clientes, aliados y titulares de información.
6. Verificar el cumplimiento de obligaciones legales y contractuales.

23. Obligaciones de confidencialidad

Toda persona que acceda a información de Firma Planee o de sus clientes deberá guardar estricta confidencialidad sobre la información conocida en virtud de su relación laboral, contractual, comercial, profesional o institucional.

Esta obligación incluye, entre otros aspectos:

1. No divulgar información sin autorización.
2. No usar información para beneficio personal o de terceros.
3. No reproducir, copiar o transferir información sin justificación.
4. Proteger documentos, archivos, conversaciones, credenciales y sistemas.
5. Mantener la reserva incluso después de terminado el vínculo con Firma Planee.

La obligación de confidencialidad aplicará especialmente sobre información contable, tributaria, financiera, corporativa, contractual, societaria, estratégica, personal o cualquier otra información no pública conocida en desarrollo de los servicios de Firma Planee.

24. Incumplimiento de la política

El incumplimiento de esta Política podrá dar lugar a medidas administrativas, contractuales, disciplinarias, civiles, comerciales o legales, según la naturaleza de la relación con la persona involucrada y la gravedad de los hechos.

Firma Planee podrá adoptar acciones correctivas, solicitar devolución o eliminación de información, restringir accesos, terminar relaciones contractuales o informar a las autoridades competentes cuando las circunstancias lo ameriten.

25. Canales de contacto

Para asuntos relacionados con seguridad de la información, protección de datos personales, incidentes, consultas o solicitudes asociadas a esta Política, los interesados podrán comunicarse a través de los siguientes canales:

Firma Planee S.A.S
Dirección: CL 49 48 06 – Centro Comercial Colonial, Rionegro, Antioquia
Teléfono: (604) 4488226
Celular: 3104218141
Correo electrónico: info@firmaplanee.com
Sitio web: www.firmaplanee.com

26. Modificaciones

Firma Planee podrá modificar esta Política cuando lo considere necesario, especialmente por cambios normativos, tecnológicos, operativos, contractuales, organizacionales o de riesgo.

Las modificaciones serán publicadas en el sitio web de Firma Planee o comunicadas por los medios que se consideren adecuados.

27. Vigencia

La presente Política de Seguridad de la Información rige a partir del día 01 de enero de 2026.

Su aplicación se mantendrá vigente mientras Firma Planee recolecte, produzca, almacene, consulte, procese, transmita, conserve o elimine información propia, de clientes, proveedores, colaboradores, aliados o terceros.