Política integral de tratamiento de datos personales

1.IDENTIFICACIÓN, OBJETO Y ALCANCE

1.1.Identificación de SUBBI

SUBBI COL S.A.S., sociedad comercial identificada con NIT 902091291-8, con domicilio principal en Buga, dirección de notificaciones Calle 6 11-62, correo electrónico para asuntos de protección de datos personales administrativo@subbi.com.co, teléfono 3186002708 y sitio web https://subbi.com.co, en adelante SUBBI o La Empresa, adopta la presente Política Integral de Tratamiento de Datos Personales en cumplimiento de las disposiciones legales aplicables.

SUBBI es una empresa de tecnología dedicada al desarrollo, licenciamiento y prestación de servicios de software en la nube, bajo la modalidad de Software como Servicio (SaaS), principalmente mediante las soluciones SUBBI Local Virtual y SUBBI Centro Comercial Virtual, así como otras herramientas, funcionalidades e integraciones tecnológicas que formen parte de su ecosistema.

En desarrollo de estas actividades, SUBBI realiza diferentes operaciones de tratamiento de datos personales, tanto para sus propias finalidades empresariales como por cuenta de terceros que utilizan sus servicios tecnológicos.

1.2.Objeto de la Política

La presente Política establece los principios, condiciones y procedimientos aplicables a la recolección, almacenamiento, uso, consulta, circulación, transmisión, transferencia, actualización, conservación y supresión de datos personales, de acuerdo con las funciones que SUBBI desempeñe en cada operación de tratamiento. Su finalidad es informar a los titulares sobre el tratamiento de sus datos personales, los derechos que les corresponden y los mecanismos para ejercerlos, así como delimitar la actuación de SUBBI cuando interviene como proveedor tecnológico en el tratamiento de información administrada por sus Clientes.

1.3.Ámbito de aplicación

Esta Política se aplica al tratamiento de datos personales relacionado con:

1. a.Los visitantes y usuarios del sitio web corporativo de SUBBI y de sus canales institucionales de comunicación.
2. b.Los prospectos comerciales, Clientes, representantes legales, administradores, contactos empresariales y usuarios autorizados de las Plataformas SUBBI.
3. c.Los proveedores, aliados, contratistas y demás personas que mantengan relaciones comerciales o contractuales con La Empresa.
4. d.Los candidatos a procesos de selección, trabajadores, extrabajadores y demás personas vinculadas a sus procesos de gestión humana.
5. e.Los titulares cuyos datos personales sean tratados por SUBBI para el cumplimiento de sus propias obligaciones administrativas, comerciales, tecnológicas, contables, tributarias y legales.
6. f.Los compradores, visitantes, usuarios y demás titulares cuyos datos sean procesados mediante los Locales Virtuales y Centros Comerciales Virtuales, cuando SUBBI intervenga como encargado tecnológico por cuenta de los respectivos responsables del tratamiento.

La aplicación de esta Política se determinará según la naturaleza de los datos, las finalidades del tratamiento y el rol jurídico que corresponda a SUBBI en cada operación.

1.4.Alcance frente a los Locales Virtuales y Centros Comerciales Virtuales

Los Locales Virtuales y Centros Comerciales Virtuales constituyen entornos comerciales administrados por sus respectivos titulares u Operadores, quienes desarrollan sus actividades empresariales de manera independiente.

En consecuencia, los comerciantes y Operadores determinarán las finalidades y condiciones del tratamiento de los datos personales respecto de los cuales actúen como responsables, incluyendo aquellos relacionados con sus clientes, compradores, contactos comerciales y actividades de mercadeo.

SUBBI no adquiere la condición de responsable de todas las bases de datos alojadas en sus Plataformas al proporcionar la infraestructura tecnológica; cuando procese información por cuenta de los comerciantes u Operadores, actuará como encargado del tratamiento, conforme a las instrucciones legítimas de los responsables y a las obligaciones legales y contractuales correspondientes.

Esta Política no sustituye las políticas de tratamiento de datos que deban adoptar los Operadores de Centros Comerciales Virtuales, los titulares de Locales Virtuales o los demás responsables independientes que intervengan en las operaciones comerciales.

1.5.Autorización y legitimidad del tratamiento

SUBBI realizará el tratamiento de datos personales con fundamento en la autorización previa, expresa e informada del titular, cuando sea legalmente exigible, o en las demás circunstancias que permitan su tratamiento conforme a la legislación aplicable.

La simple navegación por el sitio web, el acceso a una Plataforma o la utilización de una funcionalidad tecnológica no implican, por sí mismos, autorización general para tratar datos personales con cualquier finalidad.

Las autorizaciones, avisos de privacidad y mecanismos de información se implementarán de acuerdo con la naturaleza del tratamiento, las finalidades correspondientes y las obligaciones legales de cada responsable.

2.MARCO NORMATIVO Y PRINCIPIOS DEL TRATAMIENTO

2.1.Marco normativo

La presente Política se fundamenta principalmente en el artículo 15 de la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto 1074 de 2015, las instrucciones vigentes de la Superintendencia de Industria y Comercio y las demás disposiciones que las modifiquen, adicionen o complementen. También se observarán las normas especiales que resulten aplicables según la naturaleza del tratamiento, particularmente en materia comercial, laboral, tributaria, contractual, protección al consumidor y servicios digitales. Cuando SUBBI desarrolle actividades sometidas a normas de protección de datos de otras jurisdicciones, tales como el Reglamento General de Protección de Datos de la Unión Europea (RGPD), adoptará las medidas correspondientes en la medida en que dichas disposiciones resulten material y territorialmente aplicables.

2.2.Principios del tratamiento

SUBBI desarrollará sus actividades de tratamiento de datos personales conforme a los siguientes principios:

1. a.Legalidad. Todo tratamiento deberá sujetarse a las disposiciones legales aplicables.
2. b.Finalidad. Los datos personales serán tratados para finalidades legítimas, determinadas e informadas al titular.
3. c.Libertad. El tratamiento se realizará con la autorización del titular cuando esta sea exigible o con fundamento en las excepciones legalmente previstas.
4. d.Veracidad o calidad. La información deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible, según corresponda a la naturaleza de los datos y a las obligaciones de cada participante.
5. e.Transparencia. Los titulares podrán obtener información sobre la existencia y las condiciones del tratamiento de sus datos personales, conforme a la legislación aplicable.
6. f.Acceso y circulación restringida. Los datos personales únicamente podrán ser conocidos y tratados por las personas autorizadas o legalmente habilitadas para ello.
7. g.Seguridad. SUBBI adoptará medidas técnicas, humanas y administrativas apropiadas para proteger los datos personales contra pérdida, adulteración, consulta, uso o acceso no autorizado o fraudulento.
8. h.Confidencialidad. Quienes intervengan en el tratamiento deberán preservar la reserva de la información personal, incluso después de finalizar su vinculación o relación contractual, en los términos legalmente exigibles.

Adicionalmente, SUBBI aplicará criterios de necesidad, proporcionalidad, conservación limitada de la información y responsabilidad demostrada, procurando que las operaciones de tratamiento sean adecuadas a sus finalidades y puedan sustentarse mediante medidas y evidencias de cumplimiento.

3.DEFINICIONES Y CLASIFICACIÓN DE ROLES

3.1.Definiciones

Para efectos de esta Política se adoptan las siguientes definiciones, de conformidad con la legislación aplicable:

1. a.Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
2. b.Titular: Persona natural cuyos datos personales son objeto de tratamiento.
3. c.Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asociación con otras decide sobre la base de datos y/o el tratamiento de los datos personales.
4. d.Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asociación con otras realiza el tratamiento de datos personales por cuenta del responsable.
5. e.Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, incluyendo su recolección, almacenamiento, uso, consulta, circulación, actualización o supresión.
6. f.Autorización: Consentimiento previo, expreso e informado del titular para realizar el tratamiento de sus datos personales, cuando corresponda.
7. g.Datos sensibles: Aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, conforme a la definición legal.
8. h.Transmisión de datos personales: Comunicación de datos personales, dentro o fuera de Colombia, para que un encargado realice su tratamiento por cuenta del responsable.
9. i.Transferencia de datos personales: Envío de datos personales a otro receptor que actúa como responsable del tratamiento, conforme a las reglas legales aplicables.
10. j.Anonimización: Proceso mediante el cual se transforma información para impedir la identificación o reidentificación razonablemente posible de las personas naturales a quienes originalmente se refería.

3.2.Determinación del rol jurídico

La condición de responsable o encargado del tratamiento se determinará según las finalidades, decisiones y funciones efectivamente desarrolladas por cada participante. SUBBI podrá actuar como responsable de determinadas operaciones y como encargado en otras, según corresponda. La aplicación de esta clasificación a los tratamientos propios de SUBBI y a las operaciones de los Centros Comerciales Virtuales y Locales Virtuales se desarrolla en los numerales 4.2, 4.3 y 4.4.

3.3.SUBBI como responsable del tratamiento

SUBBI actuará como Responsable respecto de los datos personales cuyas finalidades determine para sus actividades empresariales, comerciales, administrativas y tecnológicas. Las operaciones correspondientes se identifican en el numeral 4.2 y sus finalidades se desarrollan en la Sección 6..

3.4.SUBBI como encargado del tratamiento

SUBBI actuará como encargado cuando, a través de sus Plataformas, aloje, almacene, organice, procese, transmita o realice otras operaciones sobre datos personales por cuenta de un Cliente que determine sus finalidades, de acuerdo con las instrucciones legítimas, los contratos y los acuerdos de transmisión aplicables. Las operaciones específicas del ecosistema se describen en los numerales 4.3 a 4.5 y las obligaciones del encargo en la Sección 7.

Esta condición podrá presentarse, entre otros casos, respecto de datos personales de compradores, visitantes registrados, clientes comerciales y demás usuarios de los Locales Virtuales y Centros Comerciales Virtuales.

3.5.Responsabilidad de los Operadores y titulares de Locales Virtuales

Los Operadores de Centros Comerciales Virtuales y los titulares de Locales Virtuales serán responsables de los tratamientos respecto de los cuales determinen las finalidades y condiciones esenciales. Sus funciones particulares se describen en los numerales 4.3 y 4.4, sin perjuicio de que una misma entidad desempeñe roles diferentes según cada operación La utilización de una infraestructura tecnológica compartida no modifica automáticamente la distribución de responsabilidades. Cuando concurran varias entidades en una operación de tratamiento, sus roles se establecerán atendiendo a las funciones y decisiones efectivamente asumidas por cada una.

4.MODELO SUBBI: TRATAMIENTOS, PARTICIPANTES Y DISTRIBUCIÓN DE RESPONSABILIDADES

4.1.Modelo tecnológico y tratamiento de datos personales

SUBBI presta servicios tecnológicos bajo la modalidad de Software como Servicio (SaaS), principalmente mediante sus soluciones SUBBI Local Virtual y SUBBI Centro Comercial Virtual, que permiten a comerciantes y Operadores establecer, administrar y desarrollar actividades comerciales en entornos digitales.

La utilización de estas soluciones puede involucrar datos personales de Clientes, representantes legales, administradores, comerciantes, visitantes, compradores, proveedores y demás personas relacionadas con su operación.

La intervención de SUBBI en el tratamiento de dichos datos dependerá de la naturaleza de cada operación y de las finalidades efectivamente determinadas, distinguiendo los tratamientos realizados para sus propias actividades empresariales de aquellos ejecutados por cuenta de sus Clientes.

El suministro de la infraestructura tecnológica, el alojamiento en la nube, la integración de Locales Virtuales o el funcionamiento de un carrito de compras compartido no convierten, por sí solos, a SUBBI en responsable de todas las bases de datos procesadas mediante sus Plataformas.

4.2.Tratamientos propios de SUBBI

SUBBI actuará como Responsable del Tratamiento cuando determine las finalidades de recolección y utilización de datos personales relacionados con su propia actividad empresarial. Esta condición comprende, entre otras, las siguientes operaciones:

1. a.Sitio web corporativo y prospección comercial. Datos obtenidos mediante formularios de contacto, solicitudes de información, demostraciones, eventos, campañas institucionales y herramientas de analítica o medición de navegación que SUBBI administre para sus propias finalidades.
2. b.Contratación y administración de licencias SaaS. Información de Clientes, representantes legales, contactos comerciales y usuarios administrativos necesaria para gestionar contratos, planes, facturación, recaudo, soporte, comunicaciones y demás obligaciones relacionadas con los servicios tecnológicos contratados.
3. c.Gestión empresarial y administrativa. Información relacionada con proveedores, aliados, contratistas, candidatos, trabajadores y demás personas vinculadas con los procesos empresariales de SUBBI.
4. d.Seguridad y administración tecnológica. Datos de autenticación, registros de acceso, eventos de seguridad y demás información personal que SUBBI trate para finalidades propias y legítimas de protección de sus sistemas, prevención del fraude, gestión de sus relaciones contractuales y cumplimiento de obligaciones legales.

Cuando los registros o datos técnicos se generen exclusivamente por cuenta de un Cliente y para sus finalidades, SUBBI los tratará de acuerdo con el rol de encargado que corresponda.

4.3.Tratamiento de datos en SUBBI Centro Comercial Virtual

El Centro Comercial Virtual (CCV) es un entorno digital que integra diferentes Locales Virtuales independientes bajo la identidad comercial de un Operador, quien administra el entorno común, establece las condiciones de vinculación de comerciantes y determina las funcionalidades y actividades que desarrolla dentro de su operación.

El Operador actuará normalmente como Responsable del Tratamiento respecto de los datos personales cuyas finalidades determine, incluyendo los relacionados con el registro y vinculación de comerciantes, administración del entorno común, atención de sus usuarios, comunicaciones institucionales o comerciales y demás actividades propias de la gestión del CCV.

SUBBI, por su parte, actuará ordinariamente como Encargado del Tratamiento cuando aloje, almacene, organice o procese dichos datos para prestar los servicios tecnológicos contratados por el Operador, conforme a las instrucciones legítimas, los acuerdos aplicables y las obligaciones legales correspondientes.

La administración del Centro Comercial Virtual no convierte automáticamente al Operador en responsable de todos los tratamientos realizados de manera independiente por los comerciantes vinculados, sin perjuicio de aquellos que efectivamente determine o realice conjuntamente con otros participantes.

4.4.Tratamiento de datos en SUBBI Local Virtual

El Local Virtual (LV) es un espacio de comercio electrónico autogestionado por su titular, mediante el cual el comerciante puede exhibir, promocionar y comercializar productos o servicios, administrar pedidos e integrar herramientas de pago, facturación, logística y atención al comprador.

El comerciante actuará normalmente como Responsable del Tratamiento respecto de los datos personales que recolecte y utilice para sus propias finalidades, incluyendo registro de compradores, gestión de pedidos, facturación, pagos, entregas, garantías, devoluciones, atención de reclamaciones y actividades de mercadeo.

Cuando SUBBI procese esta información para permitir el funcionamiento del Local Virtual y de sus funcionalidades contratadas, actuará ordinariamente como Encargado del Tratamiento, sujeto a las instrucciones legítimas del respectivo responsable.

Esta distribución aplicará tanto a los Locales Virtuales licenciados directamente por SUBBI como a aquellos vinculados a un Centro Comercial Virtual, atendiendo a las relaciones y funciones efectivamente establecidas entre las partes.

4.5.Operaciones integradas y transacciones multilocales

Las Plataformas SUBBI podrán permitir que los compradores consulten, seleccionen y adquieran productos o servicios de diferentes Locales Virtuales mediante experiencias integradas de navegación, carrito de compras o pago. En estas operaciones, cada comerciante conservará su identidad y las responsabilidades que le correspondan respecto de los datos asociados a sus propias ventas. La Plataforma podrá facilitar la comunicación de información estrictamente necesaria entre los participantes que intervengan legítimamente en cada transacción, de acuerdo con las finalidades informadas, las autorizaciones o demás fundamentos jurídicos y los permisos de acceso correspondientes. La interfaz compartida no convierte, al Operador y a los comerciantes en Responsables conjuntos ni autoriza el acceso o aprovechamiento de bases de datos ajenas para finalidades incompatibles, cada parte vinculada en la transacción recibe o recolecta la informacion que le corresponde a su propia operación comercial.

4.6.Pasarelas de pago, logística y demás proveedores integrados

Las Plataformas SUBBI podrán conectarse con pasarelas de pago, entidades financieras, transportadoras, operadores logísticos, sistemas de facturación electrónica, herramientas de marketing, CRM, analítica, inteligencia artificial y otros proveedores tecnológicos.

Cada proveedor podrá actuar como Responsable independiente o como Encargado del Tratamiento, según las finalidades que determine, las funciones que desempeñe, los contratos correspondientes y las disposiciones legales aplicables.

La integración tecnológica no implica que SUBBI controle necesariamente los tratamientos ejecutados por dichos proveedores ni que estos adquieran automáticamente la condición de encargados de SUBBI.

Cuando una integración implique la comunicación de datos personales, los participantes deberán establecer las condiciones de acceso, uso, seguridad y circulación de la información que correspondan, diferenciando las transmisiones realizadas por cuenta de un responsable de las transferencias a otros responsables.

4.7.Infraestructura en la nube y proveedores de alojamiento

Para prestar sus servicios, SUBBI podrá utilizar infraestructura propia o contratada con terceros de alojamiento, almacenamiento, procesamiento, seguridad, respaldo, mantenimiento y demás servicios tecnológicos, ubicados dentro o fuera de Colombia.

Al contratar los servicios y aceptar las condiciones contractuales aplicables, el Cliente habilita la intervención de los proveedores necesarios para su operación, mantenimiento, seguridad y continuidad, dentro del alcance del contrato SaaS y de los acuerdos de transmisión correspondientes. Cuando SUBBI actúe como Encargado, la utilización de subencargados y la comunicación de datos estarán sujetas a las instrucciones, autorizaciones contractuales y requisitos legales aplicables. La contratación de infraestructura no transfiere la titularidad de las bases de datos de los Clientes ni habilita su explotación comercial independiente. El régimen de transmisiones, transferencias y proveedores con finalidades propias se desarrolla en la Sección 8.

SUBBI establecerá las medidas contractuales, técnicas y organizacionales correspondientes para proteger la información y regular su tratamiento por dichos proveedores, incluyendo las condiciones de confidencialidad, seguridad y transmisión internacional cuando proceda.

4.8.Delimitación general de responsabilidades

La condición de Responsable o Encargado del Tratamiento se establecerá de acuerdo con las finalidades, decisiones y operaciones efectivamente desarrolladas por cada participante del ecosistema SUBBI. Por consiguiente, una misma entidad podrá actuar como Responsable en determinadas operaciones y como Encargado en otras, sin que la existencia de una relación de licenciamiento SaaS, una infraestructura compartida o una identidad comercial común determine automáticamente un régimen conjunto de responsabilidad.

SUBBI tratará los datos personales administrados por cuenta de sus Clientes únicamente dentro de los alcances legítimamente autorizados y las finalidades de la presente política, y no adquirirá, por el solo hecho de alojarlos o procesarlos, el derecho a comercializarlos, cederlos, utilizarlos para publicidad propia o explotarlos con finalidades ajenas a los servicios contratados. Lo anterior no limitará la facultad de SUBBI para generar y utilizar información estadística y agregada debidamente anonimizada, conforme a las condiciones legales y contractuales aplicables, siempre que no permita identificar personas naturales ni revelar información comercial confidencial o resultados individualizados de sus Clientes.

5.CATEGORÍAS DE DATOS PERSONALES, FUENTES DE INFORMACIÓN Y ACCESO INTERNO

5.1.Categorías de datos personales

Según la naturaleza de la relación con el titular y las funcionalidades utilizadas, SUBBI podrá recolectar y tratar, para sus propias finalidades o por cuenta de sus Clientes, las siguientes categorías de información:

1. a.Datos de identificación y contacto: nombres, apellidos, tipo y número de identificación, correo electrónico, número telefónico, dirección, ciudad, país y demás información necesaria para identificar o contactar al titular.
2. b.Datos empresariales y contractuales: cargo, calidad de representante o contacto autorizado, vinculación con una empresa, información de contratación, licencias, planes, facturación, pagos, comunicaciones y gestión de relaciones comerciales. Los datos relativos exclusivamente a personas jurídicas no constituyen, por sí mismos, datos personales, sin perjuicio de la información que permita identificar personas naturales.
3. c.Datos de cuentas y autenticación: identificadores de usuario, perfiles, roles, permisos, fechas de creación y actualización de cuentas, historial de acceso y demás registros necesarios para la administración y seguridad de las Plataformas.
4. d.Datos técnicos y de navegación: dirección IP, tipo de dispositivo, sistema operativo, navegador, fecha y hora de conexión, registros de actividad, identificadores técnicos, cookies, preferencias de navegación e interacciones con el Sitio Web o las funcionalidades disponibles.
5. e.Datos de atención y comunicaciones: solicitudes de información, mensajes, consultas, reclamaciones, historial de soporte, evaluaciones del servicio, respuestas a encuestas y demás información suministrada mediante los canales de atención.
6. f.Datos comerciales y transaccionales procesados por cuenta de Clientes: información de compradores, pedidos, productos adquiridos, direcciones de entrega, estados o referencias de pago, facturación, logística y atención posventa, cuando SUBBI intervenga como Encargado del Tratamiento en la prestación de sus servicios tecnológicos.
7. g.Datos relacionados con proveedores, contratistas y personal: información de identificación, contacto, contratación, cumplimiento de obligaciones, trayectoria profesional, vinculación laboral y demás datos necesarios para la administración de las correspondientes relaciones jurídicas.

SUBBI limitará la recolección y tratamiento de información a los datos pertinentes y necesarios para las finalidades legítimamente determinadas. El tratamiento de categorías especiales de información estará sujeto a las garantías y requisitos legales correspondientes.

5.2.Fuentes de información

Los datos personales podrán obtenerse directamente de sus titulares, representantes o personas autorizadas; de formularios, solicitudes, procesos de contratación y comunicaciones; de las interacciones con el Sitio Web y las Plataformas; de los Clientes que actúen como Responsables del Tratamiento; de proveedores tecnológicos autorizados; de fuentes públicas de legítimo acceso; o de registros técnicos generados durante la prestación de los servicios.

Cuando SUBBI reciba datos personales de un Cliente para procesarlos por su cuenta, su tratamiento estará sujeto a las instrucciones legítimas del respectivo Responsable y a las condiciones legales y contractuales aplicables.

5.3.Acceso interno a la información

El acceso a los datos personales dentro de SUBBI estará limitado al personal, colaboradores y contratistas debidamente autorizados que requieran conocerlos para el cumplimiento de sus funciones. Según la naturaleza de sus responsabilidades, podrán acceder a la información los equipos administrativos, comerciales, tecnológicos, de desarrollo, soporte, seguridad, facturación, dirección y atención al Cliente, exclusivamente en la medida necesaria para ejecutar las actividades correspondientes. SUBBI aplicará controles de acceso, asignación de permisos, mecanismos de autenticación y obligaciones de confidencialidad, procurando evitar consultas, modificaciones, divulgaciones o tratamientos no autorizados. El acceso técnico a información administrada por los Clientes no habilitará su utilización para finalidades propias de SUBBI.

5.4.Datos no requeridos y minimización

SUBBI no solicitará de manera general datos sensibles, información financiera reservada, números completos de tarjetas de pago, códigos de seguridad (CVV) ni datos de geolocalización precisa, salvo cuando una funcionalidad o actividad específica lo requiera y exista la habilitación jurídica y técnica correspondiente. La información de instrumentos de pago podrá ser recolectada y tratada directamente por los respectivos proveedores financieros o pasarelas de pago, conforme a sus propias funciones, políticas y autorizaciones. La existencia de campos, integraciones o funcionalidades técnicamente disponibles no implica que SUBBI deba recolectar todos los datos que dichas herramientas permitan procesar.

6.FINALIDADES DEL TRATAMIENTO DE DATOS PERSONALES

6.1.Finalidades propias de SUBBI como Responsable del Tratamiento

SUBBI podrá recolectar, almacenar, consultar, utilizar, actualizar, transmitir, transferir y suprimir datos personales, conforme a las autorizaciones y demás fundamentos jurídicos aplicables, para las siguientes finalidades:

1. a.Gestión comercial y contractual: atender solicitudes de información, contactar prospectos, presentar propuestas, realizar demostraciones, formalizar relaciones contractuales y administrar la contratación de licencias, planes y servicios tecnológicos.
2. b.Prestación y administración de servicios SaaS: crear y administrar cuentas contractuales, habilitar accesos, gestionar usuarios autorizados, verificar condiciones de licenciamiento, prestar soporte y atender solicitudes relacionadas con los servicios contratados.
3. c.Facturación y gestión administrativa: emitir documentos contables y tributarios, administrar pagos, cartera, obligaciones contractuales, registros empresariales y demás actuaciones necesarias para el cumplimiento de sus obligaciones legales y comerciales.
4. d.Comunicaciones institucionales y comerciales: informar sobre servicios, funcionalidades, actualizaciones, eventos, promociones, nuevas soluciones tecnológicas y demás actividades de SUBBI, mediante los canales y bajo las condiciones legítimamente autorizadas por los titulares.
5. e.Atención y relacionamiento: responder consultas, solicitudes, peticiones y reclamaciones; gestionar incidencias de soporte; evaluar la calidad de la atención y mantener comunicaciones relacionadas con la prestación de los servicios.
6. f.Seguridad y prevención de riesgos: administrar accesos, autenticar usuarios, monitorear eventos de seguridad, prevenir fraudes, investigar incidentes tecnológicos, proteger la infraestructura y adoptar medidas de protección frente a usos no autorizados de las Plataformas.
7. g.Análisis y mejoramiento tecnológico: evaluar el funcionamiento de sus servicios, medir indicadores de desempeño, analizar tendencias de utilización, corregir errores, optimizar funcionalidades y desarrollar nuevas herramientas, conforme a las condiciones legales aplicables.
8. h.Gestión empresarial, laboral y de proveedores: desarrollar procesos de selección, contratación, administración de personal, pagos, cumplimiento de obligaciones laborales, comerciales y contractuales, así como gestionar relaciones con proveedores, aliados y contratistas.
9. i.Cumplimiento normativo y defensa jurídica: atender requerimientos de autoridades competentes, cumplir obligaciones legales, conservar soportes, gestionar controversias y ejercer o defender derechos en procedimientos administrativos, judiciales o contractuales.

El tratamiento se limitará a las finalidades correspondientes a cada categoría de titular, sin que esta enumeración autorice el uso indiscriminado de todos los datos para todas las actividades descritas.

6.2.Comunicaciones comerciales y publicidad digital

SUBBI podrá utilizar los datos de contacto de sus Clientes, representantes, Usuarios autorizados y demás titulares para enviar comunicaciones relacionadas con la contratación, habilitación, funcionamiento, soporte, seguridad, facturación, mantenimiento y administración de sus Servicios Tecnológicos, conforme a las finalidades y condiciones legalmente aplicables.

Adicionalmente, podrá enviar información institucional, promociones, invitaciones, campañas publicitarias y comunicaciones comerciales propias mediante correo electrónico, WhatsApp, mensajes de texto, llamadas u otros canales autorizados.

Las actividades de cobranza y el envío de comunicaciones comerciales o publicitarias se realizarán respetando las disposiciones de la Ley 2300 de 2023, cuando resulten aplicables, especialmente en materia de canales autorizados, horarios, frecuencia de contacto y protección de la intimidad de los destinatarios.

Los titulares podrán solicitar el cese de las comunicaciones publicitarias mediante los mecanismos de desuscripción disponibles o a través del correo descrito en la presente política, sin que ello impida el envío de comunicaciones estrictamente necesarias para el cumplimiento de obligaciones contractuales o legales. Estas finalidades no comprenden la utilización de las bases de datos de compradores, visitantes o usuarios administradas por los Operadores de Centros Comerciales Virtuales o titulares de Locales Virtuales para campañas comerciales propias de SUBBI, salvo que exista una habilitación jurídica independiente y suficiente.

6.3.Estadísticas, analítica e innovación tecnológica

SUBBI podrá elaborar y utilizar estadísticas, métricas e indicadores derivados de la operación de sus servicios para analizar el desempeño tecnológico, identificar tendencias de utilización, evaluar funcionalidades, desarrollar nuevas soluciones y orientar decisiones empresariales.

SUBBI podrá aprovechar los resultados debidamente anonimizados y agregados, siempre que no permitan identificar o reidentificar personas naturales ni revelar información comercial confidencial o resultados individualizados de sus Clientes sin autorización.

La generación de información estadística no implicará adquisición de derechos sobre las bases de datos originales administradas por los Clientes ni habilitará su explotación comercial independiente.

6.4.Tratamientos realizados como Encargado

Cuando SUBBI procese datos personales por cuenta de los Operadores de Centros Comerciales Virtuales o titulares de Locales Virtuales, las finalidades serán determinadas por los respectivos Responsables del Tratamiento. Estas operaciones podrán comprender, según las funcionalidades contratadas, el alojamiento y administración tecnológica de registros de usuarios y compradores; procesamiento de pedidos; gestión de información de pagos, facturación y entregas; comunicaciones operativas; atención de solicitudes; generación de reportes y demás actividades necesarias para el funcionamiento de los entornos comerciales.

En estos casos, SUBBI realizará el tratamiento conforme a las instrucciones legítimas del Responsable, las condiciones contractuales y los acuerdos de transmisión aplicables, sin utilizar dicha información para campañas comerciales propias o finalidades distintas de las autorizadas.

6.5.Tratamiento por proveedores tecnológicos

Para cumplir las finalidades legítimamente establecidas, SUBBI podrá recurrir a proveedores de infraestructura, alojamiento, comunicaciones, soporte, seguridad, analítica, facturación y otros servicios tecnológicos. La comunicación y tratamiento de datos por estos proveedores se realizará conforme a su condición jurídica, las autorizaciones, acuerdos y medidas de protección aplicables. Los proveedores que determinen finalidades propias mediante sus ambientes digitales deberán informar sus condiciones de tratamiento y obtener directamente las autorizaciones que legalmente correspondan. Las reglas de comunicación de información a proveedores, intervención de subencargados, transmisiones, tratamientos independientes y transferencias se desarrollan en los numerales 8.1 a 8.4.

6.6.Limitaciones del tratamiento

La aceptación de la presente Política no constituye autorización general para que SUBBI comercialice, venda, ceda o utilice con fines publicitarios propios las bases de datos personales administradas por sus Clientes. Toda finalidad adicional que requiera autorización del titular deberá informarse y obtenerse mediante los mecanismos legalmente exigibles, respetando las condiciones de tratamiento inicialmente establecidas y los derechos de los titulares.

7.TRATAMIENTO DE DATOS PERSONALES COMO ENCARGADO TECNOLÓGICO

7.1.Alcance del tratamiento

Cuando SUBBI actúe como Encargado del Tratamiento, realizará las operaciones necesarias para alojar, almacenar, procesar, respaldar, asegurar, mantener, integrar y soportar los servicios tecnológicos contratados, conforme a las instrucciones legítimas del Responsable del Tratamiento y a las condiciones contractuales y legales aplicables. SUBBI no determinará autónomamente finalidades comerciales sobre dichas bases de datos ni podrá incorporarlas a sus campañas publicitarias, comercializarlas o utilizarlas para crear perfiles de compradores con fines propios. Lo anterior no limita el aprovechamiento de información estadística debidamente anonimizada en los términos previstos en esta Política.

7.2.Obligaciones del Cliente como Responsable

El Cliente que actúe como Responsable del Tratamiento deberá determinar e informar las finalidades de uso de los datos personales, obtener las autorizaciones legalmente exigibles, mantener actualizada su política de tratamiento, atender las solicitudes de los titulares y cumplir las demás obligaciones derivadas de las actividades que desarrolle mediante las Plataformas.

También deberá establecer los períodos de conservación aplicables, impartir instrucciones legítimas a SUBBI y garantizar que los tratamientos solicitados sean compatibles con las autorizaciones y demás fundamentos jurídicos correspondientes.

7.3.Obligaciones y colaboración de SUBBI

SUBBI adoptará las medidas técnicas, administrativas y organizacionales que le correspondan como Encargado del Tratamiento, preservará la confidencialidad de la información y limitará su utilización a las finalidades autorizadas. Asimismo, prestará colaboración razonable al Responsable para atender solicitudes de consulta, actualización, rectificación, supresión, acceso o exportación de información, así como incidentes de seguridad que involucren datos personales, conforme a las obligaciones legales, las condiciones contractuales y las capacidades técnicas del servicio. Cuando reciba directamente solicitudes relacionadas con bases de datos administradas por sus Clientes, SUBBI podrá remitirlas o coordinar su atención con el Responsable correspondiente, sin perjuicio de los deberes que legalmente le sean exigibles.

7.4.Acuerdos de transmisión y subencargados

El tratamiento de datos personales por cuenta de los Clientes se sujetará a los contratos de licenciamiento, acuerdos de transmisión de datos personales o anexos de tratamiento aplicables. Estos instrumentos establecerán, según corresponda, las finalidades y el alcance del tratamiento, su duración, las categorías de datos involucrados, las obligaciones de las partes, las medidas de seguridad, la intervención de proveedores tecnológicos y subencargados, las condiciones de tratamiento internacional, la atención de incidentes y solicitudes de titulares y el destino de la información al finalizar la relación contractual. SUBBI podrá recurrir a proveedores tecnológicos y subencargados para la prestación de los servicios contratados, conforme a las habilitaciones contractuales, instrucciones legítimas y requisitos legales aplicables, procurando que asuman obligaciones de seguridad, confidencialidad y protección de datos acordes con las funciones encomendadas.

7.5.Delimitación de las operaciones comerciales

La intervención de SUBBI como Encargado del Tratamiento no implica asumir la administración comercial de los Locales Virtuales o Centros Comerciales Virtuales ni la atención de reclamaciones relacionadas con productos o servicios comercializados por sus titulares. Cuando una reclamación comercial requiera acceso, consulta o modificación de datos personales, SUBBI podrá prestar el apoyo tecnológico correspondiente dentro de las funcionalidades contratadas y conforme a las instrucciones legítimas del Responsable, sin sustituir las obligaciones del vendedor u Operador.

8.COMUNICACIÓN, TRANSMISIÓN Y TRANSFERENCIA DE DATOS PERSONALES

8.1.Comunicación de información a proveedores tecnológicos

Para el desarrollo de sus actividades y la prestación de los servicios contratados, SUBBI podrá comunicar o permitir el acceso a datos personales a proveedores de infraestructura en la nube, alojamiento, almacenamiento, seguridad, soporte, comunicaciones, facturación, analítica y demás servicios tecnológicos. Esta comunicación se realizará exclusivamente dentro de las finalidades legítimamente establecidas y conforme a las autorizaciones, contratos y disposiciones legales aplicables. SUBBI adoptará medidas razonables de evaluación, seguridad, confidencialidad y control de acceso, atendiendo a la naturaleza de los datos y a las funciones de cada proveedor, sin que la utilización de servicios externos autorice la explotación o aprovechamiento comercial independiente de las bases de datos administradas por cuenta de los Clientes.

8.2.Subencargados y transmisiones nacionales e internacionales de datos

Cuando SUBBI actúe como Encargado del Tratamiento, podrá utilizar proveedores y subencargados tecnológicos ubicados dentro o fuera de Colombia, conforme a las habilitaciones contractuales otorgadas por el Responsable, las instrucciones legítimas y los requisitos legales aplicables. Las transmisiones de datos personales se realizarán bajo los instrumentos y condiciones exigibles (garantizando seguridad, confidencialidad, tratamiento por cuenta del Responsable y limitación de finalidades). SUBBI informará los cambios relevantes de proveedores o subencargados en los términos establecidos en los acuerdos correspondientes.

8.3.Proveedores con tratamientos independientes

Determinados proveedores integrados a las Plataformas SUBBI podrán recolectar y tratar directamente datos personales mediante sus propios ambientes tecnológicos, determinando finalidades de tratamiento de manera independiente y sujetas a sus propias políticas y autorizaciones legales. En estos supuestos, cada proveedor responderá exclusivamente por los tratamientos que realice bajo su propia responsabilidad, sin perjuicio de las obligaciones de SUBBI respecto de la información que comunique, las integraciones tecnológicas que suministre o sus actuaciones directamente atribuibles.

8.4.Transferencias de datos personales a otros responsables

Cuando SUBBI comunique datos personales a otro Responsable del Tratamiento, dentro o fuera de Colombia, verificará la existencia del fundamento jurídico correspondiente y el cumplimiento de las condiciones aplicables a la transferencia. La ubicación internacional de servidores o proveedores tecnológicos no constituye, por sí misma, una autorización general para transferir información a cualquier destinatario ni modifica la titularidad de las bases de datos administradas por los Clientes.

8.5.Restricciones al uso, circulación y comercialización de la información

Esta Política no autoriza a SUBBI, a sus vinculadas, aliados comerciales, anunciantes o proveedores a vender, ceder, combinar o explotar bases de datos personales administradas por cuenta de terceros para finalidades comerciales propias. Toda utilización o comunicación adicional requerirá una finalidad legítima, habilitación jurídica verificable y las condiciones contractuales y legales correspondientes. Lo anterior no limita el aprovechamiento de información efectivamente anonimizada y agregada, siempre que el tratamiento de los datos de origen haya sido legítimo y no se revele información confidencial o comercial individualizada de los Clientes.

8.6.Requerimientos de autoridades y obligaciones legales

SUBBI podrá conservar, consultar o suministrar datos personales a las autoridades judiciales, administrativas o de control cuando exista una obligación legal, orden válida o requerimiento emitido dentro de sus competencias. La información suministrada se limitará estrictamente a aquella que resulte pertinente y jurídicamente exigible, observando las garantías de reserva, seguridad y protección de datos aplicables. Cuando la solicitud involucre datos administrados por cuenta de un Cliente, SUBBI actuará conforme a sus obligaciones legales y contractuales y, cuando resulte procedente, informará o coordinará su atención con el Responsable del Tratamiento.

9.AUTORIZACIONES, AVISOS DE PRIVACIDAD Y PRUEBA DEL TRATAMIENTO

9.1.Obtención de autorizaciones

Cuando SUBBI actúe como Responsable del Tratamiento, solicitará la autorización previa, expresa e informada del titular antes de recolectar o tratar sus datos personales, salvo en los casos exceptuados por la legislación aplicable. La autorización podrá obtenerse mediante mecanismos físicos, electrónicos o mediante conductas inequívocas que permitan establecer válidamente la voluntad del titular, conforme a los requisitos legales.

9.2.Información al titular y avisos de privacidad

Al solicitar la autorización, SUBBI informará al titular, según corresponda, su identidad y datos de contacto como Responsable, las finalidades específicas del tratamiento, los derechos que le asisten, el carácter facultativo de las respuestas sobre datos sensibles o de niños, niñas y adolescentes, y los mecanismos para consultar esta Política.

Cuando resulte procedente, SUBBI utilizará avisos de privacidad, formularios, casillas de aceptación u otros mecanismos informativos adecuados al canal y a la naturaleza del tratamiento.

9.3.Comunicaciones comerciales y autorizaciones diferenciadas

La autorización para administrar una Cuenta, prestar soporte, enviar comunicaciones operativas o ejecutar una relación contractual no implicará automáticamente autorización para realizar publicidad, prospección comercial, segmentación promocional o campañas mediante terceros.

La aceptación de finalidades publicitarias no se establecerá como condición obligatoria para acceder a servicios que no requieran dicho tratamiento.

9.4.Datos recibidos de terceros

Cuando SUBBI reciba datos personales provenientes de terceros para sus propias finalidades, verificará razonablemente la legitimidad de su origen, las condiciones de comunicación y la existencia de autorización u otro fundamento jurídico suficiente para el tratamiento previsto. La entrega de una base de contactos por un aliado, proveedor o Cliente no habilitará automáticamente a SUBBI para utilizarla en campañas comerciales propias. Cuando los datos sean recibidos para su procesamiento por cuenta de un Responsable, SUBBI actuará conforme a las instrucciones legítimas y acuerdos de tratamiento correspondientes.

9.5.Prueba de la autorización

SUBBI conservará evidencia suficiente de las autorizaciones obtenidas cuando actúe como Responsable, incluyendo, según el mecanismo empleado, la fecha, el medio, las finalidades informadas, la versión del aviso o política aplicable y los registros técnicos necesarios para acreditar la manifestación de voluntad. También conservará, cuando corresponda, evidencia de las revocatorias, modificaciones de preferencias y demás solicitudes relacionadas con el tratamiento, durante los períodos legalmente justificados. La obtención y conservación de las autorizaciones relativas a tratamientos determinados por Operadores y titulares de Locales Virtuales corresponderá a los respectivos Responsables, sin perjuicio del apoyo tecnológico que SUBBI pueda suministrar para su registro y consulta.

10.COOKIES, PÍXELES, ANALÍTICA E INTEGRACIONES DIGITALES

10.1.Tecnologías de navegación y seguimiento

El Sitio Web corporativo y las Plataformas SUBBI podrán utilizar cookies, píxeles, identificadores, registros de sesión y tecnologías similares para permitir funcionalidades técnicas, autenticar usuarios, preservar preferencias, proteger la seguridad, medir el funcionamiento de los servicios y, cuando corresponda, desarrollar actividades de analítica o publicidad digital. La utilización de estas tecnologías dependerá de las funcionalidades efectivamente implementadas y de las finalidades correspondientes, sin que su disponibilidad técnica implique autorización para cualquier tratamiento de datos personales.

10.2.Información y gestión de preferencias

SUBBI informará sobre las categorías, finalidades y principales proveedores de las tecnologías de seguimiento que utilice bajo su responsabilidad, mediante avisos, paneles de configuración o mecanismos equivalentes. Cuando las tecnologías no sean estrictamente necesarias y su utilización implique tratamientos sujetos a autorización, SUBBI habilitará los mecanismos adecuados para obtenerla, permitir su rechazo y gestionar las preferencias del titular conforme a la legislación aplicable. La desactivación de determinadas tecnologías podrá afectar funcionalidades que dependan de ellas, circunstancia que será informada cuando corresponda.

10.3.Analítica y publicidad digital propia

SUBBI podrá utilizar herramientas de medición de tráfico, análisis de navegación, evaluación de campañas, conversiones y publicidad digital respecto de sus propios canales, observando las finalidades informadas y las autorizaciones o demás fundamentos jurídicos exigibles. Cuando estas herramientas impliquen comunicación de datos personales a proveedores externos, se observarán las reglas de transmisión, transferencia y tratamiento independiente previstas en esta Política.

10.4.Herramientas instaladas por Operadores y Locales Virtuales

Los Operadores de Centros Comerciales Virtuales y titulares de Locales Virtuales podrán utilizar, dentro de las funcionalidades habilitadas, integraciones con píxeles publicitarios, herramientas de analítica, CRM, automatización, mensajería y servicios semejantes para sus propias actividades. Cuando estos participantes determinen las finalidades del seguimiento o tratamiento, les corresponderá informar a los titulares, gestionar las autorizaciones exigibles, configurar las herramientas conforme a la ley y cumplir las obligaciones propias de su condición de Responsables. La disponibilidad de dichas integraciones en la Plataforma SUBBI no autoriza a La Empresa a utilizar los datos resultantes para fines publicitarios propios, sin perjuicio de las obligaciones que le correspondan por sus actuaciones tecnológicas o tratamientos independientes.

10.5.Inicio de sesión y autenticación mediante terceros

SUBBI podrá habilitar mecanismos de autenticación mediante proveedores externos de identidad, como redes sociales o servicios de cuentas digitales. Cuando el Usuario seleccione esta modalidad, el proveedor podrá comunicar a SUBBI determinados datos de identificación o autenticación, de acuerdo con los permisos efectivamente otorgados, las condiciones de la integración y las políticas aplicables. SUBBI tratará únicamente la información necesaria y legítimamente habilitada para la finalidad correspondiente. La utilización de un servicio externo de autenticación no constituye autorización para acceder a toda la información del perfil del Usuario.

10.6.Información sobre tecnologías utilizadas

SUBBI mantendrá disponible información actualizada sobre las categorías de cookies y tecnologías de seguimiento que utilice, sus finalidades, proveedores y mecanismos de gestión de preferencias. Cuando corresponda, estos detalles se presentarán en un aviso, inventario o Política de Cookies complementaria, ajustada a la configuración efectiva de sus entornos tecnológicos.

11.DATOS SENSIBLES Y TRATAMIENTO DE INFORMACIÓN DE NIÑOS, NIÑAS Y ADOLESCENTES

11.1.Tratamiento de datos sensibles

SUBBI no solicitará datos personales sensibles para la navegación ordinaria por su Sitio Web ni para la contratación general de sus servicios SaaS, salvo cuando su tratamiento resulte necesario para una finalidad legítima y se cumplan los requisitos legales correspondientes. Cuando SUBBI requiera tratar esta categoría de información en calidad de Responsable, informará expresamente su naturaleza, finalidad y carácter facultativo cuando corresponda, y aplicará las medidas de seguridad y demás garantías exigibles. No se condicionará el acceso a servicios que no requieran datos sensibles a la entrega de dicha información.

11.2.Información de salud, biométrica y categorías especiales

Cuando una actividad empresarial, laboral, contractual o funcionalidad específica implique tratamiento de datos de salud, biométricos o de naturaleza semejante, SUBBI determinará previamente su necesidad, finalidad, medidas de protección y fundamento jurídico. El acceso a esta información se limitará a las personas autorizadas y a los tratamientos legalmente permitidos.

11.3.Datos personales de niños, niñas y adolescentes

El tratamiento de datos personales de niños, niñas y adolescentes observará su interés superior, la prevalencia de sus derechos y las condiciones especiales establecidas en la legislación colombiana. Cuando sea jurídicamente procedente, se obtendrá la autorización del representante legal, teniendo en cuenta el derecho del menor a ser escuchado y su grado de madurez, de acuerdo con las exigencias legales correspondientes. SUBBI no presumirá que los datos de adolescentes carecen de protección especial por superar determinada edad.

11.4.Tratamiento de datos de menores en los entornos comerciales

Los Operadores y titulares de Locales Virtuales que recolecten o traten información de niños, niñas o adolescentes deberán observar las garantías legales aplicables a las finalidades que determinen. SUBBI, cuando actúe como Encargado, realizará las operaciones tecnológicas correspondientes conforme a las instrucciones legítimas del Responsable, sin que la disponibilidad de campos, registros o funcionalidades de la Plataforma habilite tratamientos contrarios a los derechos de los menores. Los participantes deberán evitar la recopilación de información innecesaria y aplicar controles especiales cuando los servicios, productos o contenidos se dirijan a esta población.

12.SEGURIDAD, GESTIÓN DE INCIDENTES Y CONTROL DEL TRATAMIENTO

12.1.Medidas de seguridad

SUBBI adoptará medidas técnicas, humanas, administrativas y organizacionales razonables y proporcionales a la naturaleza de los datos personales, las finalidades del tratamiento y los riesgos asociados a sus servicios tecnológicos. Estas medidas podrán comprender, según la arquitectura y las funcionalidades efectivamente implementadas, controles de autenticación y acceso por roles, segregación lógica de información, protección de credenciales, registros de actividad, gestión de vulnerabilidades, actualización tecnológica, respaldos, recuperación de información, controles de proveedores, capacitación y obligaciones de confidencialidad.

Los mecanismos específicos de seguridad, disponibilidad, recuperación y continuidad aplicables a cada servicio se complementarán con los contratos, anexos técnicos y acuerdos de niveles de servicio correspondientes.

12.2.Gestión de incidentes de seguridad

Ante incidentes que puedan comprometer la confidencialidad, integridad o disponibilidad de los datos personales, SUBBI implementará las acciones razonables de identificación, evaluación, clasificación, contención, preservación de evidencias, investigación, mitigación y recuperación, de acuerdo con la naturaleza y gravedad del evento. Cuando SUBBI actúe como Encargado del Tratamiento, informará oportunamente al Responsable correspondiente sobre los incidentes que afecten la información procesada por su cuenta, conforme a las obligaciones legales y contractuales aplicables, y colaborará en las actuaciones de atención, investigación y recuperación que le correspondan. Cuando actúe como Responsable, evaluará y cumplirá los deberes de reporte ante la Superintendencia de Industria y Comercio, comunicación a los titulares y demás actuaciones exigibles según la regulación vigente.

12.3.Control, verificación y mejora

SUBBI podrá implementar mecanismos de supervisión, evaluación y auditoría de sus procesos de tratamiento de datos personales, directamente o mediante terceros autorizados, con el propósito de verificar el cumplimiento de sus obligaciones y adoptar medidas de mejora continua. Las verificaciones que involucren información administrada por cuenta de los Clientes se realizarán dentro de los límites contractuales y legales correspondientes, protegiendo la confidencialidad, seguridad y derechos de los demás participantes.

13.DERECHOS DE LOS TITULARES Y PERSONAS LEGITIMADAS

13.1.Derechos de los titulares

De conformidad con la legislación colombiana, los titulares de datos personales tendrán derecho a:

1. a.Conocer, actualizar y rectificar sus datos personales, especialmente cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o su tratamiento se encuentre prohibido o no haya sido autorizado.
2. b.Solicitar prueba de la autorización otorgada, salvo cuando legalmente se exceptúe dicho requisito.
3. c.Ser informados, previa solicitud, sobre el uso que se ha dado a sus datos personales.
4. d.Presentar quejas ante la Superintendencia de Industria y Comercio por presuntas infracciones al régimen de protección de datos personales, una vez cumplidos los requisitos legales correspondientes.
5. e.Revocar la autorización y solicitar la supresión de sus datos personales cuando proceda, conforme a las disposiciones legales aplicables.
6. f.Acceder gratuitamente a los datos personales que hayan sido objeto de tratamiento, en las condiciones establecidas por la ley.
7. g.Abstenerse de suministrar información sensible o de niños, niñas y adolescentes cuando su respuesta tenga carácter facultativo, según las disposiciones aplicables.

13.2.Personas legitimadas

Los derechos podrán ejercerse directamente por el titular, sus causahabientes, representantes o apoderados debidamente acreditados y las demás personas legalmente habilitadas, conforme a las condiciones de identificación y representación correspondientes.

13.3.Alcance de la revocatoria y supresión

La revocatoria de la autorización o solicitud de supresión no implicará necesariamente la eliminación inmediata de información cuya conservación resulte exigible por obligaciones legales o contractuales legítimas, procesos judiciales, requerimientos de autoridades u otras circunstancias legalmente reconocidas. En estos eventos, el tratamiento se limitará a las finalidades que justifiquen la conservación y a los plazos legalmente procedentes.

13.4.Ejercicio de derechos en Locales Virtuales y Centros Comerciales Virtuales

Cuando los datos personales sean tratados por cuenta de un Operador o titular de Local Virtual, el respectivo Responsable tendrá a su cargo la atención sustancial de las solicitudes relacionadas con las finalidades que determine. SUBBI, en su condición de Encargado, recibirá, canalizará o colaborará en la atención de dichas solicitudes conforme a sus obligaciones legales y contractuales, sin desconocer los derechos del titular ni trasladarle injustificadamente las cargas de coordinación entre los participantes.

14.PROCEDIMIENTO PARA CONSULTAS, RECLAMOS Y EJERCICIO DE DERECHOS

14.1.Canales de atención

Los titulares y demás personas legitimadas podrán presentar consultas, reclamaciones y solicitudes relacionadas con el tratamiento de sus datos personales mediante el correo electrónico administrativo@subbi.com.co o los demás canales oficiales habilitados por SUBBI.

Las solicitudes deberán contener la identificación del titular o solicitante legitimado, una descripción clara de la petición, los datos de contacto para recibir respuesta y la información razonablemente necesaria para verificar la identidad o representación correspondiente.

14.2.Consultas

Las solicitudes de conocimiento o acceso a datos personales serán atendidas dentro de un término máximo de diez (10) días hábiles contados desde su recepción. Cuando no sea posible atender la consulta dentro de dicho plazo, SUBBI informará oportunamente al solicitante los motivos de la demora y la fecha de respuesta, que no podrá superar cinco (5) días hábiles adicionales.

14.3.Reclamos

Los reclamos de corrección, actualización, supresión, revocatoria o presunto incumplimiento de obligaciones en materia de protección de datos deberán identificar al titular, describir los hechos que fundamentan la solicitud, indicar los datos de contacto y acompañar los documentos pertinentes. Cuando un reclamo esté incompleto, se requerirá al solicitante dentro de los cinco (5) días siguientes a su recepción para que subsane las deficiencias. Transcurridos dos (2) meses desde el requerimiento sin que aporte la información solicitada, se entenderá que ha desistido del reclamo. Recibido el reclamo completo, SUBBI incorporará, cuando corresponda, la leyenda «reclamo en trámite» y su motivo en la base de datos dentro de los dos (2) días hábiles siguientes, manteniéndola hasta su resolución. El término máximo para atender el reclamo será de quince (15) días hábiles, contados desde el día siguiente a su recepción completa. Cuando no sea posible responder dentro de ese plazo, se informarán los motivos de la demora y la nueva fecha de respuesta, que no podrá superar ocho (8) días hábiles adicionales.

14.4.Solicitudes recibidas sin competencia

Cuando SUBBI reciba un reclamo respecto del cual no sea competente, dará traslado a quien corresponda dentro de los dos (2) días hábiles siguientes e informará de la situación al interesado, conforme a la legislación aplicable. Cuando la información corresponda a bases de datos administradas por un Cliente, SUBBI coordinará la atención con el respectivo Responsable y prestará la colaboración técnica que legal o contractualmente le corresponda.

14.5.Reclamaciones ante la autoridad de control

Los titulares podrán acudir ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante el Responsable o Encargado del Tratamiento, cuando así lo exija la legislación aplicable. Las solicitudes recibidas serán atendidas sin perjuicio de los términos inferiores o procedimientos especiales que establezcan las disposiciones legales correspondientes.

15.CONSERVACIÓN, SUPRESIÓN, DEVOLUCIÓN Y ANONIMIZACIÓN DE LA INFORMACIÓN

15.1.Conservación de datos tratados por SUBBI como Responsable

SUBBI conservará los datos personales durante el tiempo necesario para cumplir las finalidades legítimamente establecidas y atender las obligaciones legales, contractuales, comerciales, contables, tributarias, laborales o probatorias que correspondan. Una vez desaparezcan las finalidades y fundamentos que justifican su conservación, procederá a la supresión, anonimización o tratamiento restringido de la información, conforme a los requisitos legales y las condiciones técnicas aplicables.

15.2.Información tratada por cuenta de los Clientes

Cuando SUBBI actúe como Encargado, la conservación, disponibilidad, exportación, devolución, bloqueo y eliminación de la información se sujetarán a las instrucciones legítimas del Responsable, las condiciones del contrato o acuerdo de transmisión y las obligaciones legales correspondientes. Al finalizar el servicio, SUBBI aplicará los procedimientos contractuales establecidos para la gestión de la información, incluyendo los períodos y mecanismos de exportación, devolución o eliminación que correspondan. La terminación de una licencia no implica necesariamente la eliminación instantánea de todas las copias de la información ni habilita su conservación indefinida. Las copias de seguridad y respaldos se gestionarán conforme a los ciclos técnicos, medidas de protección y períodos de retención aplicables.

15.3.Registro de exclusión de comunicaciones comerciales

Cuando un titular solicite dejar de recibir comunicaciones publicitarias de SUBBI, La Empresa podrá conservar de forma restringida los datos mínimos necesarios para identificar y respetar dicha preferencia, siempre que exista fundamento jurídico suficiente. La permanencia en estos registros no autorizará nuevas campañas comerciales ni tratamientos incompatibles con la solicitud del titular.

15.4.Anonimización y aprovechamiento estadístico

SUBBI podrá generar, conservar y utilizar información estadística y agregada derivada de la operación de sus servicios, destinada a medición, analítica, investigación, innovación y mejoramiento tecnológico, siempre que el tratamiento de los datos de origen esté debidamente habilitado. Los resultados utilizados para estas finalidades deberán impedir la identificación o reidentificación razonablemente posible de personas naturales y no podrán revelar información confidencial ni resultados comerciales individualizados de los Clientes sin autorización. La anonimización efectiva no implicará transferencia de titularidad de las bases de datos originales a SUBBI ni autorizará su utilización para finalidades diferentes de las legítimamente establecidas.

16.REORGANIZACIONES SOCIETARIAS Y MODIFICACIONES ESTRUCTURALES

16.1.Operaciones corporativas

En desarrollo de su actividad empresarial, SUBBI podrá participar en procesos de inversión, capitalización, fusión, escisión, reorganización societaria, adquisición o enajenación de activos, cesión de contratos y demás operaciones corporativas legalmente permitidas. Cuando estas operaciones involucren datos personales, SUBBI adoptará las medidas necesarias para garantizar la legitimidad de su tratamiento, la confidencialidad de la información y la continuidad de las obligaciones de protección de datos, incluyendo, según corresponda, controles de acceso, acuerdos de confidencialidad, verificaciones jurídicas y documentación de los flujos de información.

16.2.Cambios del responsable y circulación de información

La ejecución de una operación corporativa no autoriza, por sí misma, la utilización irrestricta de datos personales ni su explotación para finalidades diferentes de las legítimamente establecidas. Cuando se produzca un cambio del Responsable del Tratamiento, una transferencia de datos o una modificación sustancial de las finalidades autorizadas, SUBBI efectuará las comunicaciones y obtendrá las autorizaciones que legalmente correspondan. Los cambios en la estructura accionaria, denominación social, infraestructura o proveedores tecnológicos no extinguirán las obligaciones de confidencialidad, seguridad, conservación y respeto de los derechos de los titulares.

17.GOBIERNO DE DATOS Y RESPONSABILIDAD DEMOSTRADA

17.1.Gestión interna de protección de datos. SUBBI designará un área o persona encargada de coordinar la implementación, seguimiento y cumplimiento de su Política Integral de Tratamiento de Datos Personales y de los procedimientos internos correspondientes.

En desarrollo de esta función, La Empresa procurará mantener mecanismos documentados de identificación de bases de datos y operaciones de tratamiento, gestión de autorizaciones, atención de solicitudes, control de accesos, administración de proveedores y encargados, gestión de incidentes, capacitación y verificación de cumplimiento, conforme a la naturaleza y riesgos de sus actividades.

17.2.Evaluación de riesgos y nuevos tratamientos

SUBBI evaluará los riesgos asociados a nuevos servicios, integraciones, funcionalidades de inteligencia artificial, herramientas publicitarias, operaciones internacionales y actividades de analítica, especialmente cuando involucren datos personales administrados por cuenta de sus Clientes.

La incorporación de nuevas tecnologías deberá observar los principios de finalidad, necesidad, seguridad, confidencialidad y demás obligaciones aplicables, sin ampliar automáticamente las autorizaciones o finalidades previamente establecidas.

17.3.Registro Nacional de Bases de Datos

SUBBI verificará periódicamente si se encuentra obligada a inscribir y actualizar sus bases de datos personales en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio, de acuerdo con su naturaleza jurídica, activos totales y demás requisitos normativos vigentes. La eventual ausencia de obligación de inscripción no eximirá a SUBBI de cumplir las disposiciones sobre protección de datos personales, incluyendo la implementación de políticas, procedimientos, medidas de seguridad, gestión de autorizaciones y atención de los derechos de los titulares.

18.MODIFICACIONES, PUBLICACIÓN Y VIGENCIA

18.1.Modificaciones de la Política

SUBBI podrá actualizar la presente Política para atender cambios normativos, societarios, tecnológicos, contractuales u operativos. La versión vigente estará disponible en su Sitio Web oficial. Los cambios sustanciales que afecten la identificación del Responsable o las finalidades del tratamiento serán comunicados mediante mecanismos adecuados y, cuando legalmente corresponda, se obtendrá una nueva autorización del titular antes de realizar tratamientos que la requieran. Las modificaciones no tendrán por efecto legitimar retroactivamente tratamientos realizados sin el fundamento jurídico correspondiente ni desconocer los derechos de los titulares.

18.2.Publicación y vigencia. La presente Política Integral de Tratamiento de Datos Personales entrará en vigor a partir de su publicación en el Sitio Web oficial de SUBBI y permanecerá disponible para su consulta, sin perjuicio de las actualizaciones posteriores.

Razón social: SUBBI COL S.A.S.

NIT: 902091291-8

Sitio Web: https://subbi.com.co

Correo para protección de datos personales: administrativo@subbi.com.co

Área responsable de atención: Dirección General

Domicilio y dirección de notificaciones: Calle 6 11-62, Buga

Versión: 1.0

Fecha de publicación: 01/09/2026