Política para el Tratamiento de Datos Personales

La presente Política para el Tratamiento de Datos Personales tiene por objeto dar cumplimiento a lo establecido en la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013 y demás normas concordantes, que reconocen el derecho constitucional de toda persona a conocer, actualizar, rectificar y controlar la información que sobre ella reposa en bases de datos públicas y privadas.

Estas políticas y procedimientos aplican a todos los datos personales registrados —de manera presencial o virtual, directamente o a través de terceros— en las bases de datos de GRUPO FLA S.A.S. y las empresas que conforman su grupo empresarial (en adelante, "La Compañía"), con las excepciones que la ley expresamente prevé.

Su ámbito material comprende cualquier operación de tratamiento, esto es, la recolección, almacenamiento, uso, circulación o supresión de datos de clientes, prospectos, proveedores, empleados, aliados y toda persona natural que mantenga o pretenda establecer una relación jurídica o comercial con La Compañía.

El régimen de protección de datos personales en Colombia está integrado, entre otras, por las siguientes disposiciones:

• Ley Estatutaria 1581 de 2012 — marco general de protección de datos personales.
• Decreto Reglamentario 1377 de 2013 — desarrollo reglamentario principal de la Ley 1581.
• Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo).
• Ley 1266 de 2008 — régimen especial de hábeas data financiero, crediticio y comercial.
• Ley 2157 de 2021 — modificación del régimen de permanencia de reportes negativos.
• Circulares y guías de la Superintendencia de Industria y Comercio (SIC) como autoridad de protección de datos.

Para los efectos de la presente Política, los siguientes términos tienen el significado que se indica:

Autorización:

Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.

Aviso de Privacidad:

Comunicación verbal o escrita, generada por el Responsable, que informa al Titular sobre la existencia de la política de Tratamiento, la forma de acceder a ella y las finalidades del Tratamiento.

Base de Datos:

Conjunto organizado de datos personales que sea objeto de Tratamiento.

Dato Personal:

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato Sensible:

Dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (origen racial o étnico, orientación política, convicciones religiosas, datos de salud, vida sexual, datos biométricos, entre otros).

Dato Público:

Información que por su naturaleza puede ser de libre acceso (estado civil, profesión, calidad de comerciante o de servidor público, entre otros).

Dato Privado:

Información personal de conocimiento restringido, relevante para la identificación y gestión de clientes, empleados, proveedores y demás personas relacionadas con La Compañía.

Encargado del Tratamiento:

Persona natural o jurídica que realiza el Tratamiento de datos por cuenta del Responsable.

Oficial de Protección de Datos:

Persona responsable de la vigilancia y control del cumplimiento de la presente Política.

Responsable del Tratamiento:

Persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento. Para efectos de esta Política, el Responsable es La Compañía.

Titular:

Persona natural cuyos datos son objeto de Tratamiento.

Tratamiento:

Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

La Compañía aplicará de manera armónica e integral los siguientes principios en toda operación de Tratamiento:

a) Legalidad:

El Tratamiento debe sujetarse a lo establecido en la ley y en las disposiciones que la desarrollen.

b) Finalidad:

El Tratamiento responderá a una finalidad legítima conforme a la Constitución y la ley, informada al Titular para efectos de su autorización.

c) Libertad:

El Tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular, salvo mandato legal o judicial.

d) Veracidad y Calidad:

La información tratada debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos o que puedan inducir a error.

e) Transparencia:

La Compañía garantizará al Titular el derecho a obtener información sobre el Tratamiento de sus datos en cualquier momento y sin restricciones.

f) Acceso y Circulación Restringida:

El Tratamiento se limitará a las personas autorizadas por el Titular o la ley. Los datos personales no estarán disponibles en medios masivos de comunicación sin control de acceso técnico adecuado.

g) Seguridad:

La información se manejará con las medidas técnicas, humanas y administrativas necesarias para evitar adulteración, pérdida, acceso o uso no autorizado.

h) Confidencialidad:

Todas las personas que intervengan en el Tratamiento están obligadas a guardar reserva de la información, incluso después de finalizada su relación con La Compañía.

i) Responsabilidad Demostrada:

La Compañía podrá acreditar, en todo momento, las medidas adoptadas para dar cumplimiento a la presente Política y a la legislación vigente.

El Responsable del Tratamiento de datos personales es:

Razón social

GRUPO FLA S.A.S.

Domicilio principal

Carrera 69D # 2B-43, Bogotá D.C., Colombia

Correo electrónico

diego@flacolombia.com

Teléfono

+57 313 663 2408

Oficial de Protección de Datos

Área Legal / SGSI – Ing. Diego Poveda (coordinación técnica)

Los datos personales objeto de Tratamiento por parte de La Compañía incluyen, según el tipo de relación, los siguientes:

• Datos de identificación: nombre completo, número de documento de identidad, fotografía.
• Datos de contacto: dirección, correo electrónico, número de teléfono.
• Datos comerciales y transaccionales: historial de compras, pedidos, facturación, preferencias de producto.
• Datos laborales: información de contratación, hoja de vida, referencias, certificaciones (para empleados y candidatos).
• Datos biométricos y de seguridad: capturas de imagen fija o en movimiento para control de acceso físico a instalaciones (cuando aplique).
• Datos financieros limitados: información necesaria para la gestión de pagos, sin incluir datos bancarios completos en medios no seguros.

La Compañía no recolecta datos sensibles de manera rutinaria. En los casos en que sea necesario, se obtendrá autorización explícita del Titular conforme al artículo 6 de la Ley 1581 de 2012.

Los datos personales recolectados serán utilizados exclusivamente para las siguientes finalidades:

a):

Procesamiento, administración y gestión de transacciones comerciales como cliente, usuario, proveedor o aliado de GRUPO FLA S.A.S.

b):

Envío de información sobre nuevos productos, servicios, planes, promociones, eventos y beneficios, a través de medios propios o en colaboración con terceros debidamente autorizados.

c):

Soporte técnico, mantenimiento, actualización y gestión de garantías de productos y servicios.

d):

Atención de peticiones, quejas, reclamos y solicitudes (PQRS).

e):

Gestión y análisis de solicitudes de vinculación como cliente, proveedor o empleado.

f):

Envío de comunicaciones comerciales, noticias corporativas, encuestas de satisfacción y campañas publicitarias.

g):

Tratamiento estadístico, analítico y de mercadeo relacional para mejorar productos y servicios.

h):

Investigación, innovación y desarrollo de nuevos productos y servicios.

i):

Gestión de asuntos laborales, nómina, recursos humanos y seguridad social (para empleados y contratistas).

j):

Cumplimiento de obligaciones legales, fiscales, regulatorias y contractuales.

k):

Transferencia o transmisión de datos a servidores ubicados fuera de Colombia, en el marco de los contratos de hosting y servicios en la nube contratados, conforme al artículo 26 de la Ley 1581 de 2012.

El Tratamiento podrá realizarse por medios físicos, electrónicos, telefonía móvil, mensajes de texto (SMS) o cualquier otro mecanismo análogo o digital, presente o futuro.

8.1. Autorización del Titular

Sin perjuicio de las excepciones legales, el Tratamiento requiere autorización previa, expresa e informada del Titular. Esta autorización podrá obtenerse por cualquier medio físico o electrónico (formularios web, landing pages, correo electrónico, aceptación en portales de usuario, entre otros) y deberá conservarse como prueba.

8.2. Casos en que no se requiere autorización

De conformidad con el artículo 10 de la Ley 1581 de 2012, la autorización del Titular no es necesaria cuando:

a):

Una entidad pública o autoridad judicial requiera la información en ejercicio de sus funciones legales.

b):

Se trate de datos de naturaleza pública.

c):

Exista urgencia médica o sanitaria.

d):

El Tratamiento sea autorizado por ley para fines históricos, estadísticos o científicos.

e):

Se trate de datos relacionados con el Registro Civil.

Los Titulares de los datos personales tratados por La Compañía tienen los siguientes derechos, conforme a los artículos 8 y siguientes de la Ley 1581 de 2012:

a) Conocer:

Acceder gratuitamente a sus datos personales que hayan sido objeto de Tratamiento.

b) Actualizar y Rectificar:

Solicitar la corrección de datos parciales, inexactos, incompletos o que induzcan a error.

c) Suprimir:

Solicitar la eliminación de sus datos cuando el Tratamiento no respete los principios, derechos y garantías de ley. Este derecho no es absoluto y podrá ser negado cuando exista obligación legal o contractual de conservar los datos.

d) Revocar:

Revocar la autorización otorgada para el Tratamiento, en los casos en que ello sea legalmente posible.

e) Prueba de autorización:

Solicitar copia de la autorización otorgada.

f) Información de uso:

Ser informado, previa solicitud, sobre el uso dado a sus datos personales.

g) Queja ante la SIC:

Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la normativa de protección de datos.

10.1. Canal de contacto

Las peticiones, consultas y reclamos deberán dirigirse al Responsable del Tratamiento a través de:

• Correo electrónico: diego@flacolombia.com (con asunto: "Protección de Datos Personales").
• Dirección física: Carrera 69D # 2B-43, Bogotá D.C., Colombia.

10.2. Término de respuesta

Los términos para atender solicitudes son los establecidos en la Ley 1581 de 2012:

• Consultas: se atenderán en un plazo máximo de diez (10) días hábiles, prorrogables por cinco (5) días hábiles adicionales cuando sea imposible atenderlas dentro del término inicial, previo aviso al interesado.
• Reclamos (solicitudes de actualización, rectificación, supresión o revocatoria): se atenderán en un plazo máximo de quince (15) días hábiles, prorrogables por ocho (8) días hábiles adicionales con aviso previo al Titular.

10.3. Requisitos de la solicitud

El Titular deberá indicar, como mínimo: (i) identificación completa, (ii) descripción clara de los hechos y el derecho que desea ejercer, (iii) documentos de soporte, y (iv) datos de contacto para respuesta.

11.1. Datos Sensibles

La Compañía no realizará Tratamiento de datos sensibles de manera rutinaria. Cuando ello sea estrictamente necesario (p. ej., datos de salud en el marco de relaciones laborales, imágenes biométricas para control de acceso), procederá únicamente si:

a):

El Titular otorga autorización explícita, con información clara sobre la naturaleza sensible del dato.

b):

El Tratamiento es necesario para salvaguardar el interés vital del Titular incapacitado de otorgar su consentimiento.

c):

Existe mandato legal o judicial que habilite el Tratamiento sin autorización.

En ningún caso La Compañía condicionará el acceso a sus servicios a la entrega de datos sensibles que no sean estrictamente necesarios.

11.2. Datos de Niños, Niñas y Adolescentes

El Tratamiento de datos de menores de edad se realizará únicamente cuando responda a sus derechos prevalentes, según los criterios del artículo 7 de la Ley 1581 de 2012, y con la representación legal correspondiente.

Cuando para la prestación de sus servicios La Compañía deba transferir datos personales a países que no cuenten con niveles adecuados de protección, cumplirá con los requisitos del artículo 26 de la Ley 1581 de 2012, incluyendo:

• Obtención de autorización expresa del Titular cuando ello sea requerido por ley.
• Suscripción de cláusulas contractuales tipo o acuerdos de transferencia que garanticen niveles de protección equivalentes a los colombianos.
• Inclusión de la finalidad de exportación en la autorización de Tratamiento cuando el hosting contratado esté fuera del territorio colombiano.

La Compañía implementará y mantendrá las siguientes medidas técnicas, humanas y administrativas para proteger la información personal:

• Control de acceso a bases de datos mediante perfiles de usuario y contraseña segura.
• Cifrado de datos en tránsito y en reposo para información sensible.
• Capacitación periódica al personal sobre el manejo confidencial de datos.
• Procedimientos de respaldo (backup) y recuperación ante desastres.
• Gestión de incidentes de seguridad, con reporte a la SIC en caso de brechas significativas.
• Contratos de confidencialidad con empleados, contratistas y Encargados del Tratamiento.

La adopción de estas medidas no garantiza la inmunidad total frente a incidentes de seguridad, pero refleja el compromiso de La Compañía con los más altos estándares razonablemente exigibles.

14.1. Deberes del Responsable del Tratamiento

Sin perjuicio de lo dispuesto en la Ley 1581 de 2012, son deberes del Responsable:

a):

Garantizar al Titular el pleno y efectivo ejercicio del derecho de hábeas data.

b):

Solicitar y conservar la autorización otorgada por el Titular.

c):

Informar debidamente al Titular sobre finalidades y derechos.

d):

Conservar la información con las condiciones de seguridad necesarias.

e):

Garantizar la veracidad, exactitud y actualidad de la información suministrada al Encargado.

f):

Tramitar consultas y reclamos en los términos de ley.

g):

Informar a la SIC sobre violaciones de seguridad que representen riesgos para los Titulares.

h):

Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

14.2. Deberes del Encargado del Tratamiento

Los Encargados del Tratamiento designados por La Compañía deberán:

a):

Conservar la información bajo condiciones de seguridad adecuadas.

b):

Realizar oportunamente la actualización, rectificación o supresión de datos conforme a las instrucciones del Responsable.

c):

Tramitar las consultas y reclamos presentados por los Titulares.

d):

Registrar en la base de datos la leyenda "reclamo en trámite" o "información en discusión judicial", según corresponda.

e):

Abstenerse de circular información controvertida o cuyo bloqueo haya sido ordenado por la SIC.

f):

Permitir el acceso a la información únicamente a personas autorizadas.

La presente Política entra en vigencia el 1 de enero de 2026. La Compañía podrá modificarla en cualquier momento en cumplimiento de la Ley 1581 de 2012, sus decretos reglamentarios o las instrucciones de la SIC. Toda modificación sustancial será comunicada a los Titulares a través de los canales oficiales indicados en la sección 16 y publicada en el sitio web de La Compañía antes de su entrada en vigor.

La Compañía pone a disposición de los Titulares el Aviso de Privacidad a través de:

• Sitio web oficial de GRUPO FLA S.A.S., sección "Políticas" o "Privacidad".
• Formularios de recolección de datos, tanto físicos como electrónicos.
• Material publicitario, facturas, landing pages y correos electrónicos institucionales.

Al registrarse en cualquier plataforma de La Compañía, o al utilizar sus servicios, el Titular acepta expresamente los términos de la presente Política.