POLÍTICA INTEGRAL DE TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES

1. OBJETO Y ALCANCE

La presente Política establece los criterios, finalidades, procedimientos y medidas generales adoptados por LA TORTARIA GROUP S.A.S. para recolectar, almacenar, usar, actualizar, circular, transmitir, transferir, conservar y suprimir datos personales, garantizando el derecho constitucional de habeas data de sus Titulares.

Aplica a las bases de datos y archivos físicos o digitales administrados por LA TORTARIA GROUP S.A.S., incluidos los relacionados con clientes, usuarios, destinatarios de pedidos, contactos corporativos, prospectos, participantes en programas de referidos, proveedores, aliados, contratistas, candidatos, trabajadores y demás personas naturales cuyos datos sean tratados por la sociedad.

2. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

La Gerencia General, a través de la función de Protección de Datos Personales, es responsable de dirigir la implementación de esta Política y coordinar la atención de consultas y reclamos.

3. MARCO NORMATIVO

• Artículo 15 de la Constitución Política de Colombia.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1074 de 2015, en especial las disposiciones que compilaron y reglamentaron los Decretos 1377 de 2013 y 886 de 2014.
• Ley 2300 de 2023, respecto de canales, horarios, periodicidad y exclusión de contactos comerciales o publicitarios, cuando resulte aplicable.
• Ley 1480 de 2011 y normas de protección al consumidor aplicables al comercio electrónico.
• Circulares, instrucciones, guías y criterios vigentes de la Superintendencia de Industria y Comercio.
• Normas tributarias, comerciales, laborales, de comercio electrónico y demás disposiciones concordantes.

4. DEFINICIONES

5. PRINCIPIOS APLICABLES

• Legalidad: El Tratamiento se realizará conforme a la Constitución, la ley y las normas aplicables.
• Finalidad: Todo Tratamiento obedecerá a una finalidad legítima, específica e informada.
• Libertad: Salvo excepción legal, el Tratamiento requiere autorización previa, expresa e informada. El silencio no constituye autorización.
• Veracidad o calidad: Los datos deben ser veraces, completos, exactos, actualizados, comprobables y comprensibles.
• Transparencia: El Titular podrá conocer la existencia y uso de sus datos.
• Acceso y circulación restringida: Los datos solo circularán entre personas autorizadas o habilitadas por la ley y no se publicarán masivamente salvo autorización o mandato legal.
• Seguridad: Se adoptarán medidas técnicas, humanas y administrativas proporcionales a los riesgos.
• Confidencialidad: Quienes intervengan en el Tratamiento deberán preservar la reserva incluso después de finalizar su relación con la empresa.
• Necesidad y minimización: Se recolectarán datos adecuados, pertinentes y limitados a lo necesario para cada finalidad.
• Responsabilidad demostrada: La empresa documentará medidas, decisiones y controles que permitan demostrar el cumplimiento del régimen de protección de datos.

6. TITULARES, FUENTES Y CATEGORÍAS DE DATOS

6.1. Titulares

• Clientes y usuarios individuales.
• Destinatarios de pedidos o regalos.
• Representantes, empleados y contactos de clientes corporativos.
• Prospectos y participantes en campañas, encuestas, promociones, programas de fidelización o referidos.
• Proveedores, aliados, contratistas y sus contactos.
• Candidatos, trabajadores, exempleados y beneficiarios, cuando corresponda.

6.2. Fuentes de información

• Información suministrada directamente por el Titular mediante formularios, cuentas, compras, conversaciones, contratos, hojas de vida o solicitudes.
• Información entregada por un cliente corporativo o comprador para ejecutar pedidos, entregas, eventos o beneficios, bajo su responsabilidad y conforme a la autorización o base jurídica aplicable.
• Información generada durante la relación contractual, comercial, laboral o de servicio.
• Información técnica generada por el uso del sitio web o aplicación, conforme al aviso y configuración de cookies.
• Fuentes públicas o legalmente autorizadas.

6.3. Categorías de datos

7. TRATAMIENTO DE DATOS SENSIBLES

Las alergias, intolerancias o restricciones alimentarias que revelen información sobre la salud son datos sensibles. Su suministro es facultativo y se tratará únicamente cuando sea necesario para preparar, personalizar o entregar productos de manera segura, atender incidentes o cumplir obligaciones legales relacionadas.

• El Titular será informado expresamente de que no está obligado a autorizar el Tratamiento de datos sensibles.
• La autorización para estos datos será explícita, separada y verificable.
• La negativa a entregar estos datos no impedirá realizar una compra, aunque puede limitar la personalización o la capacidad de atender requerimientos especiales.
• El acceso estará restringido al personal y terceros que necesiten conocer la información para ejecutar el pedido.
• No se usarán datos sensibles para publicidad, elaboración de perfiles comerciales ni finalidades incompatibles.
• Se eliminarán o anonimizarán cuando dejen de ser necesarios, salvo deber legal o necesidad probatoria.

8. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

LA TORTARIA GROUP S.A.S. no pretende recolectar directamente datos de menores de edad para crear cuentas o realizar actividades comerciales sin la intervención de su representante legal. Cuando el Tratamiento sea necesario, se respetará el interés superior del menor, sus derechos fundamentales y su derecho a ser escuchado de acuerdo con su madurez.

• La autorización deberá provenir del representante legal, salvo las excepciones previstas por la ley.
• Se recolectarán únicamente los datos estrictamente necesarios.
• Cuando un cliente suministre datos de un menor como destinatario de un pedido, deberá estar legitimado para hacerlo y la empresa limitará su uso a la entrega o finalidad informada.
• No se realizarán perfiles publicitarios de menores ni se les dirigirán comunicaciones comerciales personalizadas.

9. FINALIDADES DEL TRATAMIENTO

9.1. Clientes, usuarios y destinatarios

• Crear y administrar cuentas de usuario en el sitio web o aplicación móvil.
• Recibir, confirmar, preparar, personalizar, despachar y entregar pedidos.
• Validar identidad, disponibilidad, cobertura y datos de entrega.
• Procesar pagos mediante proveedores autorizados y gestionar conciliaciones, devoluciones o contracargos.
• Emitir facturas y documentos equivalentes, y cumplir obligaciones tributarias, contables y comerciales.
• Atender peticiones, consultas, quejas, reclamos, garantías, cambios y devoluciones.
• Informar sobre confirmación, preparación, despacho, entrega o incidencias del pedido (comunicaciones operativas y necesarias para el servicio).
• Prevenir fraude, uso indebido, incidentes de seguridad y actividades contrarias a los términos de servicio.
• Generar estadísticas y análisis agregados para mejorar productos, procesos, cobertura y experiencia.
• Gestionar programas de fidelización, beneficios, promociones, premios y referidos, cuando el Titular participe voluntariamente.
• Cumplir obligaciones contractuales, regulatorias, judiciales o administrativas.

9.2. Marketing, publicidad y personalización

Estas finalidades son opcionales y requieren autorización independiente cuando corresponda:

• Enviar promociones, lanzamientos, novedades, contenidos, encuestas y solicitudes de reseña por los canales autorizados.
• Recordar fechas u ocasiones informadas voluntariamente por el Titular.
• Analizar preferencias e historial de compra para recomendar productos o contenidos, sin adoptar decisiones que produzcan efectos jurídicos o significativos exclusivamente de forma automatizada.
• Medir el rendimiento de campañas y mejorar la segmentación comercial.
• Gestionar la exclusión de comunicaciones y las preferencias de contacto.

9.3. Clientes corporativos y sus colaboradores o destinatarios

• Elaborar cotizaciones, propuestas, órdenes, contratos, entregas programadas y reportes de servicio.
• Administrar listados de destinatarios, sedes, fechas, preferencias y datos logísticos necesarios para pedidos corporativos.
• Verificar cantidades, cobertura, autorizaciones, recepción y evidencias de entrega.
• Gestionar facturación consolidada, cartera, servicio posventa y seguimiento comercial.
• Coordinar la prestación de servicios con aliados y operadores logísticos.
• Definir contractualmente si La Tortaria actúa como Responsable o Encargado según las decisiones sobre la finalidad y los medios del Tratamiento.

9.4. Proveedores, aliados y contratistas

• Evaluar, seleccionar, vincular y administrar proveedores o aliados.
• Gestionar cotizaciones, contratos, pagos, certificaciones, seguridad, cumplimiento y contacto operativo.
• Verificar referencias, conflictos, restricciones y cumplimiento legal cuando sea pertinente.
• Mantener evidencia de la relación contractual y atender auditorías o requerimientos.

9.5. Candidatos, trabajadores y exempleados

• Gestionar procesos de selección, entrevistas, validación de referencias y vinculación.
• Administrar contratos, nómina, seguridad social, beneficios, capacitación, desempeño, bienestar, seguridad y salud en el trabajo.
• Cumplir obligaciones laborales, tributarias, de seguridad social, judiciales y administrativas.
• Conservar historias laborales y soportes durante los términos exigidos por la ley.
• Contactar candidatos para futuras oportunidades únicamente con autorización cuando el proceso haya finalizado.

10. AUTORIZACIÓN Y CASOS EN QUE NO SE REQUIERE

La autorización será obtenida antes o al momento de la recolección, mediante mecanismos que permitan su consulta posterior, tales como formularios físicos o electrónicos, casillas no premarcadas, grabaciones, contratos, mensajes de datos, confirmaciones en aplicaciones o conductas inequívocas debidamente informadas. El silencio, la inactividad o las casillas premarcadas no se considerarán autorización.

La autorización deberá informar, como mínimo:

• El Tratamiento y su finalidad.
• El carácter facultativo de responder preguntas sobre datos sensibles o de menores.
• Los derechos del Titular.
• La identificación y canales del Responsable.
• La forma de consultar la Política.

No se requerirá autorización en los casos previstos por la ley, entre otros: información requerida por autoridad competente, datos de naturaleza pública, urgencia médica o sanitaria, Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y datos relacionados con el registro civil. Estas excepciones no eliminan el deber de respetar los principios de la protección de datos.

11. AVISO DE PRIVACIDAD

Cuando no sea posible poner a disposición esta Política en el momento de la recolección, se utilizará un aviso de privacidad que identifique al Responsable, informe las finalidades principales, los derechos del Titular, el carácter facultativo de los datos sensibles y la forma de acceder a la Política. Un modelo se incluye en el Anexo 2.

12. DERECHOS DE LOS TITULARES

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización, salvo que legalmente no sea necesaria.
• Ser informado, previa solicitud, sobre el uso dado a sus datos.
• Acceder gratuitamente a los datos objeto de Tratamiento, en los términos legales.
• Revocar la autorización o solicitar la supresión cuando no exista un deber legal o contractual de conservar los datos.
• Presentar consultas y reclamos ante LA TORTARIA GROUP S.A.S.
• Presentar quejas ante la Superintendencia de Industria y Comercio, después de agotar el trámite de consulta o reclamo ante la empresa.
• No ser obligado a suministrar datos sensibles y retirar la autorización para finalidades opcionales sin afectar la prestación principal contratada.

13. PROCEDIMIENTO PARA CONSULTAS, RECLAMOS, SUPRESIÓN Y REVOCATORIA

13.1. Canales habilitados

• Correo electrónico: info@latortaria.com
• Dirección física: Calle 78A No. 64-51, Bogotá D.C.
• Funcionalidad de autoservicio: Sección de Privacidad o /eliminar-cuenta cuando se encuentre habilitada en el sitio web o aplicación móvil.

13.2. Requisitos mínimos de la solicitud

• Nombre e identificación del Titular o de quien actúe en su nombre.
• Datos de contacto para recibir respuesta.
• Descripción clara de la consulta, hechos o petición.
• Documentos que acrediten representación o legitimación, cuando aplique.
• Soportes que el solicitante considere pertinentes.

13.3. Consultas

Las consultas serán atendidas dentro de los diez (10) días hábiles siguientes a su recepción. Cuando no sea posible responder dentro de ese término, se informará al interesado, antes de su vencimiento, la razón de la demora y la nueva fecha de respuesta, que no podrá superar cinco (5) días hábiles adicionales.

13.4. Reclamos

• Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes para que subsane las fallas. Si transcurren dos (2) meses desde el requerimiento sin que se presente la información solicitada, se entenderá desistido el reclamo.
• Si quien recibe el reclamo no es competente, lo trasladará al área o entidad competente dentro de los dos (2) días hábiles siguientes e informará al interesado.
• Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda “reclamo en trámite” y el motivo, en un término no mayor a dos (2) días hábiles. La leyenda permanecerá hasta que el reclamo sea decidido.
• El reclamo será atendido dentro de los quince (15) días hábiles siguientes a su recepción. Cuando no sea posible responder en ese plazo, se informará la causa y la nueva fecha, que no podrá superar ocho (8) días hábiles adicionales.

13.5. Supresión y revocatoria

La supresión o revocatoria no procederá cuando exista un deber legal o contractual de conservar la información, cuando sea necesaria para formular, ejercer o defender reclamaciones, o cuando su eliminación afecte derechos de terceros. En esos casos se informará la razón y, cuando sea posible, se limitará el Tratamiento a la finalidad obligatoria.

13.6. Verificación de identidad

La empresa podrá solicitar información razonable para verificar la identidad y evitar entregas o modificaciones no autorizadas. No se solicitarán más datos de los necesarios para esta verificación.

14. ÁREA RESPONSABLE DE PROTECCIÓN DE DATOS

La Gerencia General, mediante la función de Protección de Datos Personales, velará por la implementación de esta Política. Sus responsabilidades incluyen:

• Recibir, canalizar y controlar consultas y reclamos.
• Mantener evidencia de autorizaciones y avisos de privacidad.
• Coordinar inventarios de bases de datos, finalidades, encargados y períodos de conservación.
• Revisar contratos de transmisión y transferencia de datos.
• Promover formación y deberes de confidencialidad.
• Gestionar incidentes y medidas correctivas.
• Evaluar periódicamente riesgos y cumplimiento.

15. TRANSMISIÓN, TRANSFERENCIA Y CIRCULACIÓN

LA TORTARIA GROUP S.A.S. podrá compartir datos únicamente cuando sea necesario, exista autorización o habilitación legal, y se respeten la finalidad, necesidad, confidencialidad y seguridad. Los terceros deberán asumir obligaciones contractuales y legales adecuadas según su rol.

15.1. Tratamiento internacional

Algunos proveedores tecnológicos pueden almacenar o procesar información fuera de Colombia. En esos casos, la empresa aplicará las reglas de transmisión o transferencia internacional, según corresponda, incluyendo contratos con Encargados, verificación de estándares adecuados, declaraciones de conformidad cuando sean necesarias o utilización de excepciones legales. El Titular podrá solicitar información general sobre las categorías de destinatarios internacionales.

15.2. Clientes corporativos

Cuando un cliente corporativo entregue listados de trabajadores, beneficiarios o destinatarios, deberá garantizar que cuenta con autorización o base jurídica suficiente y que informó a los Titulares sobre la entrega de datos. La Tortaria tratará la información conforme al contrato y eliminará o devolverá los datos al finalizar el servicio, salvo deber legal de conservación.

16. COOKIES Y TECNOLOGÍAS SIMILARES

El sitio web y la aplicación podrán utilizar cookies, identificadores de dispositivo, registros técnicos y tecnologías similares para permitir funciones esenciales, mantener sesiones, proteger la seguridad, recordar preferencias, analizar el uso y, cuando exista autorización, personalizar contenidos o publicidad.

• Las cookies estrictamente necesarias podrán operar para prestar el servicio solicitado.
• Las cookies analíticas, de personalización o publicitarias estarán sujetas al consentimiento cuando corresponda.
• El Titular podrá configurar o retirar preferencias mediante el mecanismo habilitado y desde su navegador o dispositivo.
• La empresa publicará o mantendrá disponible una Política de Cookies con información sobre categorías, proveedores, duración y opciones de control.

17. COMUNICACIONES COMERCIALES

Las comunicaciones comerciales o publicitarias se enviarán únicamente por canales autorizados y respetando las preferencias del Titular, los horarios, la periodicidad y las restricciones legales aplicables. Cada comunicación deberá ofrecer un mecanismo sencillo para solicitar la exclusión o retirar la autorización, sin afectar mensajes operativos necesarios para pedidos o contratos vigentes.

La autorización para marketing será independiente de la aceptación requerida para comprar, crear una cuenta o recibir un pedido. La empresa conservará evidencia del canal autorizado, la fecha de autorización y las solicitudes de exclusión.

18. CONSERVACIÓN Y SUPRESIÓN

Los datos se conservarán durante el tiempo necesario para cumplir las finalidades informadas, atender obligaciones legales, resolver disputas y ejercer o defender derechos. La empresa mantendrá criterios internos de retención según el tipo de información.

Al finalizar el período aplicable, los datos serán eliminados, anonimizados o sometidos a restricción de acceso, salvo que exista una obligación o controversia que justifique su conservación.

19. SEGURIDAD Y GESTIÓN DE INCIDENTES

LA TORTARIA GROUP S.A.S. adoptará medidas razonables y proporcionales para proteger la confidencialidad, integridad y disponibilidad de los datos. Estas medidas podrán incluir:

• Gestión de accesos por necesidad de conocimiento y perfiles autorizados.
• Contraseñas robustas, autenticación y controles de sesión según el riesgo.
• Cifrado en tránsito y, cuando sea adecuado, en reposo.
• Copias de seguridad, registro de eventos y actualización de componentes.
• Acuerdos de confidencialidad y capacitación del personal.
• Evaluación de proveedores y cláusulas de protección de datos.
• Procedimientos de respuesta a incidentes, recuperación y mejora.

Ningún sistema es absolutamente invulnerable. Ante un incidente, la empresa evaluará su alcance, contendrá el riesgo, documentará las acciones y realizará los reportes a autoridades, registros o titulares cuando resulte legalmente exigible o necesario para proteger sus derechos.

20. REGISTRO NACIONAL DE BASES DE DATOS

LA TORTARIA GROUP S.A.S. inscribirá y actualizará sus bases de datos en el Registro Nacional de Bases de Datos cuando cumpla los presupuestos legales para estar obligada. Aunque no esté sujeta a inscripción por su nivel de activos o naturaleza, deberá cumplir integralmente los demás deberes de la Ley 1581 de 2012 y sus normas reglamentarias.

21. MODIFICACIONES Y VIGENCIA

Esta Política entra en vigencia el 16 de julio de 2026. Podrá ser modificada para reflejar cambios normativos, tecnológicos, operativos o comerciales. Los cambios sustanciales se informarán por medios razonables antes de su aplicación. Cuando se incorporen nuevas finalidades incompatibles con la autorización original, se solicitará una nueva autorización.

La versión vigente estará disponible en www.latortaria.com y podrá solicitarse a través de info@latortaria.com.