Política de Tratamiento de Datos Personales

1. INTRODUCCIÓN

1.1. Contexto y objetivo de la política

Nébula Holdings S.A.S., como creador de VuelveApp (en adelante, "LA EMPRESA") reconoce la importancia de la protección de los datos personales y se compromete a garantizar su adecuado tratamiento, en cumplimiento de los principios de legalidad, finalidad, libertad, veracidad, seguridad, confidencialidad y acceso restringido.

Esta política establece las directrices para el tratamiento de los datos personales recolectados, almacenados, utilizados y procesados por LA EMPRESA, con el fin de asegurar el respeto de los derechos de los titulares y el cumplimiento de las obligaciones legales.

El objetivo de esta política es definir los lineamientos para el tratamiento de los datos personales en LA EMPRESA, garantizando el respeto de los derechos de los titulares y el cumplimiento de la normatividad colombiana vigente. A través de esta política, LA EMPRESA busca asegurar la recolección, almacenamiento, uso, circulación y supresión de los datos de manera lícita, segura y transparente, permitiendo a los titulares ejercer su derecho de habeas data. Asimismo, se establecen medidas para prevenir riesgos asociados al manejo indebido de la información y se definen los procedimientos para la gestión de consultas, reclamos y solicitudes, promoviendo la protección de la privacidad y la seguridad de los datos personales.

Esta política aplica a todos los procesos y actividades de LA EMPRESA en los que se manejen datos personales, ya sea de usuarios de la APP, clientes, proveedores, aliados estratégicos y cualquier otro titular con el que se tenga relación.

1.2. Marco normativo aplicable

La presente política de tratamiento de datos personales, se fundamenta en la Ley 1581 de 2012, que establece las disposiciones generales para la protección de datos personales en Colombia, y los decretos que la reglamenten. Además, LA EMPRESA se acoge a la demás normatividad aplicable en materia de protección de datos personales, garantizando el cumplimiento de las obligaciones legales y la salvaguarda de los derechos de los titulares.

2. RESPONSABLE DEL TRATAMIENTO

De conformidad con lo establecido en la Ley 1581 de 2012, el responsable del tratamiento de los datos personales es la persona natural o jurídica que decide sobre la recolección y finalidad del tratamiento de los datos. En este caso, la empresa responsable del tratamiento de los datos personales es LA EMPRESA, quien en el marco de sus actividades comerciales recolecta, almacena, utiliza y suprime datos personales conforme a la normatividad vigente y a lo establecido en esta política.

Así las cosas, se identifica el responsable del tratamiento de los mismos:

• Razón social: Nébula Holdings – VuelveApp
• Domicilio: Sabaneta, Antioquia – Colombia
• Correo electrónico para consultas y reclamos: contacto@nebulaholdings.online
• Teléfono: 3217521024
• Representante legal: Tomás Giraldo Agudelo

Nébula Holdings – VuelveApp (en adelante "Vuelve" o "LA EMPRESA") es el responsable del tratamiento de los datos personales de sus usuarios, comercios afiliados, proveedores y demás titulares vinculados a su operación.

3. DEFINICIONES

• Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
• Base de datos: Conjunto organizado de datos personales que son objeto de tratamiento.
• Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: Aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, tales como datos relacionados con la salud, la orientación sexual, convicciones religiosas o políticas, pertenencia a sindicatos, datos biométricos, entre otros.
• Encargado del tratamiento: Persona natural o jurídica, pública o privada, que realiza el tratamiento de los datos personales por cuenta del responsable del tratamiento.
• Responsable del tratamiento: Persona natural o jurídica, pública o privada, que decide sobre la base de datos y/o el tratamiento de los datos.
• Titular: Persona natural cuyos datos personales son objeto de tratamiento.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: Envío de los datos personales a un receptor que se encuentra dentro o fuera del país y que es responsable del tratamiento.
• Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio colombiano con el fin de que un encargado realice tratamiento por cuenta del responsable.

4. ALCANCE

4.1. Sujetos de aplicación

La presente Política de Tratamiento de Datos Personales aplica a todas las personas naturales cuyos datos personales sean tratados por Nébula Holdings S.A.S., en su calidad de responsable del tratamiento, en el marco de la operación de la plataforma Vuelve, incluyendo a usuarios finales de la aplicación, comercios y establecimientos afiliados, sus representantes legales, administradores o empleados, así como proveedores, aliados estratégicos, contratistas, colaboradores, excolaboradores, personas interesadas en vincularse a la plataforma y, en general, cualquier tercero que suministre sus datos personales a través de la aplicación, el sitio web, formularios, canales de atención o cualquier otro medio dispuesto por Vuelve, en el desarrollo de relaciones comerciales, contractuales, laborales, tecnológicas o de cualquier otra naturaleza relacionadas con el funcionamiento, operación y mejora de la plataforma.

4.2. Tipo de datos tratados

LA EMPRESA podrá recolectar, almacenar y tratar diferentes tipos de datos personales, incluyendo:

• Datos personales públicos: Aquellos que no están sujetos a reserva y pueden ser obtenidos sin autorización, como el nombre, número de identificación, estado civil o profesión.
• Datos personales privados: Aquellos que, por su naturaleza íntima o reservada, sólo pueden ser tratados con autorización del titular, como información de contacto, historial académico, información laboral o financiera.
• Datos sensibles: Aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como datos sobre salud, orientación sexual, convicciones religiosas o políticas, y datos biométricos. El tratamiento de datos sensibles se realizará únicamente cuando sea estrictamente necesario y con el consentimiento expreso del titular.

5. PRINCIPIOS RECTORES

El tratamiento de datos personales por parte de LA EMPRESA se regirá por los principios establecidos en la Ley 1581 de 2012, los cuales orientan la interpretación y aplicación de todas las disposiciones contenidas en esta política:

5.1. Legalidad

El tratamiento de los datos personales se realizará conforme a lo dispuesto en la legislación vigente en Colombia. LA EMPRESA no realizará tratamientos contrarios a la ley ni recolectará datos sin que exista una base jurídica que lo justifique.

5.2. Finalidad

El tratamiento dado por LA EMPRESA a los datos personales que trata, obedecen a las finalidades establecidas en la presente política, las cuales están en armonía con el ordenamiento jurídico colombiano. En lo no regulado en la presente política se aplicarán las normas de carácter superior que la reglamenten, adicionen, modifiquen o deroguen.

5.3. Libertad

El tratamiento de los datos personales sólo podrá llevarse a cabo con el consentimiento libre, previo, expreso e informado del titular, salvo en los casos excepcionales contemplados en la ley.

5.4. Transparencia

LA EMPRESA garantizará al titular el derecho a obtener información clara y completa sobre el tratamiento que se le da a sus datos personales, en cualquier momento y sin restricciones indebidas.

5.5. Seguridad

LA EMPRESA implementará las medidas técnicas, humanas y administrativas necesarias para proteger los datos personales frente a accesos no autorizados, pérdidas, alteraciones o usos indebidos.

5.6. Confidencialidad

Todo dato personal tratado por LA EMPRESA será manejado bajo estrictos estándares de confidencialidad. Incluso después de finalizada cualquier relación contractual o legal, se mantendrá la reserva sobre la información, salvo que medie autorización del titular o disposición legal que permita o exija su revelación.

5.7. Veracidad

Los datos personales objeto de tratamiento deberán ser veraces, completos, exactos, actualizados, comprobables y comprensibles.

5.8. Principio de acceso y circulación restringida

El tratamiento de los datos personales se realizará con acceso restringido únicamente a personas autorizadas y bajo los parámetros definidos por la ley. Los datos no podrán estar disponibles en internet u otros medios masivos de comunicación salvo que el acceso sea técnicamente controlado para brindar un conocimiento restringido únicamente a los titulares o terceros autorizados.

6. FINALIDADES DEL TRATAMIENTO

6.1 Descripción de los fines específicos

El tratamiento de los datos personales realizado por Nébula Holdings S.A.S., en adelante LA EMPRESA, a través de la plataforma Vuelve, se efectuará dentro del marco legal vigente y se limitará a las finalidades autorizadas por el titular de los datos o permitidas por la ley. Los datos personales serán tratados para las siguientes finalidades:

1. Permitir el registro, autenticación y gestión de cuentas de usuarios finales y comercios afiliados dentro de la aplicación Vuelve.
2. Facilitar el funcionamiento del sistema de fidelización, incluyendo el registro de compras, acumulación de sellos, redención de premios, descuentos, beneficios o incentivos definidos por cada comercio.
3. Administrar la relación comercial y contractual con los comercios afiliados, incluyendo la gestión de planes, suscripciones, límites de clientes activos, facturación, pagos y soporte.
4. Gestionar la relación con los usuarios finales de la aplicación, incluyendo notificaciones relacionadas con su actividad, beneficios acumulados, premios disponibles, cambios en condiciones o funcionamiento de la plataforma.
5. Desarrollar el objeto social de LA EMPRESA conforme a sus estatutos, relacionado con el desarrollo, operación, mantenimiento y mejora de soluciones tecnológicas de fidelización de clientes.
6. Cumplir con obligaciones legales, contractuales, contables, tributarias y regulatorias aplicables a LA EMPRESA.
7. Realizar análisis estadísticos, métricas de uso, comportamiento y tendencias, utilizando datos no sensibles y, cuando sea posible, de forma agregada o anonimizada, con fines de mejora del servicio, toma de decisiones y optimización de la plataforma.
8. Enviar comunicaciones informativas, operativas, comerciales o promocionales relacionadas con Vuelve, sus funcionalidades, actualizaciones, beneficios, campañas, alianzas o novedades, a través de medios digitales autorizados por el titular.
9. Gestionar solicitudes, peticiones, quejas, reclamos, sugerencias y soporte técnico presentados por usuarios y comercios.
10. Compartir información con proveedores tecnológicos, aliados estratégicos o contratistas que presten servicios necesarios para la operación de Vuelve (como servicios de hosting, procesamiento de pagos, mensajería, analítica o soporte), bajo acuerdos que garanticen la confidencialidad y seguridad de los datos.
11. Gestionar los pagos realizados por los comercios afiliados por concepto de suscripciones, planes o servicios de Vuelve, incluyendo el tratamiento de datos financieros estrictamente necesarios para dicho fin, a través de pasarelas de pago autorizadas.
12. Realizar actividades de mercadeo digital, difusión y posicionamiento de la plataforma Vuelve, a través de medios propios o de terceros, respetando siempre los derechos del titular y las autorizaciones otorgadas.
13. Realizar encuestas de satisfacción, estudios de experiencia de usuario y mediciones de calidad del servicio, con el fin de mejorar la plataforma y la experiencia ofrecida.
14. Transferir o transmitir datos personales a terceros, nacionales o internacionales, cuando sea necesario para el cumplimiento de las finalidades descritas, garantizando el cumplimiento de la normativa de protección de datos personales aplicable.
15. Cumplir con todos los compromisos contractuales, estatutarios o legales derivados de la operación de Vuelve.

La autorización del titular no será necesaria en los casos expresamente permitidos por la ley, tales como cuando se trate de datos de naturaleza pública, cuando el tratamiento esté autorizado por una norma legal o cuando se presenten situaciones de urgencia médica o sanitaria.

7. DERECHOS DE LOS TITULARES

De conformidad con lo establecido en la Ley 1581 de 2012 y demás normas aplicables en materia de protección de datos personales, los titulares de los datos personales tratados por Nébula Holdings S.A.S., a través de la plataforma Vuelve, tienen los siguientes derechos:

1. Acceder, conocer, actualizar y rectificar sus datos personales que reposen en las bases de datos de LA EMPRESA, cuando estos sean parciales, inexactos, incompletos, fraccionados, induzcan a error o su tratamiento no haya sido autorizado o esté prohibido.
2. Solicitar prueba de la autorización otorgada para el tratamiento de sus datos personales, salvo en los casos en que dicha autorización no sea exigida por la ley.
3. Ser informados, previa solicitud, sobre el uso que LA EMPRESA ha dado a sus datos personales dentro de la operación de la plataforma Vuelve.
4. Presentar consultas, reclamos o quejas relacionadas con el tratamiento de sus datos personales y, de considerarlo pertinente, acudir ante la Superintendencia de Industria y Comercio para presentar quejas por presuntas infracciones a la normativa vigente, una vez agotado el trámite de consulta o reclamo ante LA EMPRESA.
5. Revocar la autorización otorgada y/o solicitar la supresión de sus datos personales, cuando no exista un deber legal o contractual que impida su eliminación.
6. Acceder de manera gratuita a sus datos personales que hayan sido objeto de tratamiento, al menos una vez por cada mes calendario, y cada vez que se realicen modificaciones sustanciales a la presente Política de Tratamiento de Datos Personales.

Los derechos aquí descritos podrán ser ejercidos por el titular de los datos, quien deberá acreditar su identidad por los medios dispuestos por LA EMPRESA; por sus causahabientes, quienes deberán demostrar dicha calidad; por su representante legal o apoderado debidamente acreditado; o por cualquier otra persona que el titular haya autorizado expresamente para tal fin.

8. DEBERES DEL RESPONSABLE Y ENCARGADO DEL TRATAMIENTO

Nébula Holdings S.A.S., en su calidad de Responsable del Tratamiento de Datos Personales, y los terceros que actúen como Encargados del Tratamiento, se comprometen a cumplir con lo dispuesto en la Ley 1581 de 2012, sus decretos reglamentarios y demás normas que regulan la protección de datos personales en Colombia.

En desarrollo de lo anterior, LA EMPRESA asume los siguientes deberes:

1. Dar cumplimiento a los principios rectores del tratamiento de datos personales, tales como legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, aplicables a los datos tratados a través de la plataforma Vuelve.
2. Implementar medidas técnicas, humanas y administrativas razonables y proporcionales para garantizar la seguridad, integridad y confidencialidad de los datos personales, teniendo en cuenta la naturaleza digital de la plataforma.
3. Prevenir el acceso no autorizado, la pérdida, alteración, uso indebido, consulta o divulgación no autorizada de los datos personales almacenados o tratados en Vuelve.
4. Garantizar que sus colaboradores, contratistas, proveedores tecnológicos y aliados estratégicos que tengan acceso a datos personales cumplan con obligaciones de confidencialidad y manejo seguro de la información.
5. Establecer y mantener controles internos, protocolos y procedimientos para la gestión de incidentes de seguridad de la información y eventuales vulneraciones de datos personales.
6. Garantizar a los titulares de los datos el acceso a su información personal tratada a través de la plataforma, conforme a los mecanismos dispuestos por LA EMPRESA.
7. Atender de manera oportuna y completa las consultas, peticiones, quejas y reclamos presentados por los titulares de los datos personales, dentro de los términos establecidos por la Ley 1581 de 2012.
8. Designar las áreas o personas responsables de recibir, tramitar y dar respuesta a las solicitudes relacionadas con el ejercicio de los derechos de los titulares.
9. Llevar registros internos de las solicitudes recibidas y de las respuestas otorgadas, con el fin de garantizar trazabilidad, control y cumplimiento de las obligaciones legales en materia de protección de datos personales.

9. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS

La recolección, almacenamiento, uso, circulación o supresión de datos personales por parte de LA EMPRESA requiere del consentimiento libre, previo, expreso e informado del titular. En cumplimiento de lo establecido en la Ley 1581 de 2012, LA EMPRESA garantiza que, en todos los casos, se obtendrá la autorización correspondiente antes de realizar cualquier tipo de tratamiento de datos personales, salvo en los casos en que la ley permita el tratamiento sin necesidad de dicha autorización.

9.1. Formas de obtención de la autorización

La autorización podrá ser obtenida por cualquiera de los siguientes medios, siempre que permita su consulta posterior y demuestre de manera inequívoca que el titular consintió el tratamiento:

• Escrita: Por medio físico, firmada por el titular, ya sea en formatos independientes o como parte de otros documentos (por ejemplo, contratos laborales, formularios de inscripción o aceptación de términos).
• Verbal: A través de medios que permitan su posterior consulta, como grabaciones telefónicas o en video, dejando evidencia del consentimiento otorgado.
• Digital o electrónica: Mediante mecanismos digitales como checkboxes en formularios web, correos electrónicos, plataformas de gestión documental o sistemas electrónicos de aceptación que evidencien de forma clara la manifestación del consentimiento por parte del titular.

9.2. Procedimientos para registrar y almacenar las autorizaciones

LA EMPRESA mantendrá mecanismos idóneos para registrar, conservar y consultar las autorizaciones otorgadas por los titulares, de manera que sea posible:

• Verificar en cualquier momento que la autorización fue obtenida de forma válida, con evidencia del medio y la fecha en que se otorgó.
• Conservar las autorizaciones de forma segura, ya sea en archivos físicos (cuando aplique) o en medios digitales, garantizando su integridad y disponibilidad.
• Restringir el acceso a las autorizaciones únicamente al personal autorizado, protegiendo así la confidencialidad del titular.

En caso de que el titular solicite evidencia de la autorización otorgada, LA EMPRESA deberá entregarla dentro de los plazos establecidos por la ley.

10. TRATAMIENTO DE DATOS SENSIBLES

LA EMPRESA reconoce la especial protección que la ley otorga a los datos personales sensibles por su naturaleza íntima y el impacto que puede tener su uso indebido sobre los derechos fundamentales de los titulares. Por ello, el tratamiento de este tipo de datos se realizará únicamente en los casos estrictamente necesarios, cumpliendo con medidas reforzadas de seguridad, confidencialidad y consentimiento informado.

10.1. Definición y manejo especial

Se entiende por datos sensibles aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, tales como:

• Datos relacionados con la salud.
• Información biométrica (huellas dactilares, reconocimiento facial, etc.).
• Datos sobre orientación sexual.
• Creencias religiosas o filosóficas.
• Pertenencia a sindicatos, organizaciones sociales, derechos humanos o partidos políticos.
• Datos raciales o étnicos.

En caso de requerirse el tratamiento de este tipo de información, LA EMPRESA:

• Solicitará autorización explícita y previa al titular, informando claramente la finalidad del tratamiento y el carácter facultativo de responder.
• Implementará medidas de seguridad técnicas, administrativas y jurídicas que impidan el acceso, uso o divulgación no autorizada.
• Garantizará que el tratamiento sea estrictamente necesario en función de la finalidad legítima que lo justifique.

11. PROCEDIMIENTOS PARA EL EJERCICIO DE DERECHOS

LA EMPRESA garantiza a los titulares de datos personales el pleno y efectivo ejercicio de sus derechos a conocer, actualizar, rectificar y suprimir sus datos, así como a revocar la autorización otorgada para su tratamiento. Para tal fin, ha dispuesto procedimientos claros y accesibles para la atención de consultas y reclamos.

11.1. Procedimiento para consultas

Los titulares o sus causahabientes podrán presentar consultas respecto a la información personal que repose en las bases de datos de LA EMPRESA.

• Las consultas deberán ser enviadas al correo electrónico: contacto@nebulaholdings.online
• LA EMPRESA suministrará al solicitante toda la información relacionada con los datos personales del titular que tenga registrada en sus bases de datos.
• Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo.
• Si no fuera posible atender la consulta dentro de este plazo, se informará al solicitante antes del vencimiento del término, explicando los motivos de la demora y señalando la fecha en que se dará respuesta, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

11.2. Procedimiento para reclamos

Cuando el titular considere que la información contenida en las bases de datos de LA EMPRESA debe ser corregida, actualizada, suprimida o cuando advierta el presunto incumplimiento de alguno de los deberes legales o contractuales, podrá presentar un reclamo a través del siguiente procedimiento:

• El reclamo se deberá presentar al correo electrónico contacto@nebulaholdings.online, e incluir como mínimo:
  1. Identificación del titular.
  2. Descripción clara de los hechos que dan lugar al reclamo.
  3. Documentos que se quiera hacer valer.
  4. Medio de contacto para notificaciones.
• Si el reclamo resulta incompleto, LA EMPRESA requerirá al interesado dentro de los cinco (5) días hábiles siguientes a su recepción para que subsane las fallas. Si transcurridos dos (2) meses desde la fecha del requerimiento, el solicitante no ha presentado la información requerida, se entenderá que ha desistido del reclamo.
• El reclamo será atendido en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo completo. Cuando no sea posible atenderlo dentro de ese término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, sin que supere los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

12. SEGURIDAD DE LA INFORMACIÓN

Vuelve implementa medidas físicas, técnicas y administrativas para proteger la información, entre ellas:

• Encriptación de datos.
• Acceso restringido según roles.
• Mecanismos de autenticación segura.
• Almacenamiento en servicios con estándares internacionales.
• Monitoreo de actividades y prevención de fraudes.
• Procedimiento de respuesta ante incidentes de seguridad.

13. VIGENCIA DE LA POLÍTICA

LA EMPRESA establece la presente Política de Tratamiento de Datos Personales con el propósito de garantizar los derechos de los titulares y cumplir con las obligaciones legales establecidas en la Ley 1581 de 2012 y sus normas reglamentarias.

13.1. Fecha de entrada en vigor

La presente política entra en vigor a partir de su publicación, y será aplicable a todos los datos personales que hayan sido recolectados y tratados por LA EMPRESA antes y después de dicha fecha.

13.2. Actualizaciones y revisiones periódicas

LA EMPRESA se reserva el derecho de modificar esta política en cualquier momento, con el fin de adaptarla a nuevas disposiciones legales, políticas internas o decisiones empresariales relacionadas con la protección de datos personales.

Las actualizaciones serán publicadas en el sitio web oficial de LA EMPRESA o mediante los canales que se consideren pertinentes para garantizar el conocimiento por parte de los titulares. Cada vez que se realicen cambios sustanciales, estos serán informados de manera oportuna a los titulares de los datos personales, antes o al momento de su implementación.

La política será revisada periódicamente por el área responsable, al menos una vez al año, o cuando se presenten circunstancias que así lo requieran, como incidentes de seguridad, cambios en la legislación aplicable o actualizaciones en los procesos internos que involucren tratamiento de datos personales.

14. DISPOSICIONES FINALES

14.1. Aceptación y cumplimiento

Todos los colaboradores, contratistas, proveedores y terceros que, en virtud de su relación con LA EMPRESA, tengan acceso, conocimiento o participación en actividades que impliquen el tratamiento de datos personales, están obligados a cumplir con lo dispuesto en la presente Política de Tratamiento de Datos Personales.

La aceptación de cualquier vínculo laboral, contractual o comercial con la compañía implica el conocimiento, aceptación y compromiso de cumplir con esta política y las obligaciones legales aplicables en materia de protección de datos personales.

El incumplimiento de las disposiciones aquí contenidas podrá dar lugar a la aplicación de medidas disciplinarias, contractuales o legales, según corresponda y de conformidad con las normas vigentes y los acuerdos suscritos.