VII. Base legal para el tratamiento

PLUXEE tratará los datos personales únicamente cuando se cumpla al menos una de las condiciones de licitud previstas en la Ley 81 de 2019 y desarrolladas en el Decreto 285 de 2021:

1. Consentimiento del titular: Cuando el titular otorgue su consentimiento previo, informado, inequívoco y trazable para determinadas finalidades (por ejemplo, recepción de comunicaciones promocionales).
2. Ejecución de un contrato o relación jurídica: Cuando el tratamiento sea necesario para la celebración o ejecución de contratos con clientes, usuarios, proveedores o colaboradores.
3. Cumplimiento de obligaciones legales: Cuando la normativa aplicable exija el tratamiento (por ejemplo, conservación de registros contables, laborales o regulatorios).
4. Interés legítimo del responsable o de un tercero: Siempre que sobre dicho interés no prevalezcan los derechos y libertades fundamentales del titular, particularmente cuando se trate de menores de edad.
5. Otras bases previstas en la Ley 81: Incluyendo la protección de intereses vitales del titular y el cumplimiento de mandatos judiciales o legales.

Para el tratamiento de datos sensibles, requerimos consentimiento previo, expreso, informado e inequívoco del titular, salvo las excepciones previstas en la ley, tales como: salvaguarda de la vida o salud del titular, procesos judiciales, fines estadísticos anonimizados).

VIII. Protección de datos sensibles.

Para efectos de la presente política, se consideran datos personales sensibles aquellos que se refieren a la esfera más íntima del titular o cuyo uso indebido pueda generar discriminación, estigmatización o un riesgo grave para sus derechos fundamentales. Entre otros, se incluyen los datos relacionados con la salud, datos biométricos, datos genéticos, origen racial o étnico, convicciones religiosas, filosóficas o morales, vida sexual, afiliación sindical, así como cualquier otro dato definido como sensible por la normativa vigente.

1. Acceso: El tratamiento de datos personales sensibles estará sujeto a condiciones reforzadas de licitud, seguridad y confidencialidad, en atención al mayor nivel de riesgo que implica para los derechos del titular.
   El acceso a datos personales sensibles estará estrictamente restringido al personal autorizado que, por razón de sus funciones, requiera conocer dicha información para el cumplimiento de una finalidad legítima, específica y previamente definida.
   PLUXEE aplicará el principio de mínimo acceso necesario, garantizando que los usuarios autorizados únicamente puedan acceder a los datos indispensables para el ejercicio de sus funciones.
   Todo acceso a datos personales sensibles quedará registrado y documentado, de forma que permita su trazabilidad, auditoría y control.
2. Tratamiento: El tratamiento de datos personales sensibles solo se realizará cuando exista una base legal válida, principalmente el consentimiento previo, expreso, específico e informado del titular de los datos, salvo las excepciones expresamente previstas en la Ley 81 de 2019.
   El tratamiento deberá limitarse exclusivamente a la finalidad para la cual los datos fueron recopilados, quedando prohibido su uso para fines distintos, incompatibles o no autorizados.
   La recopilación y el tratamiento de datos sensibles se realizará conforme a los principios de proporcionalidad y minimización, evitando la recolección excesiva o innecesaria de información.
3. Medidas de seguridad aplicables: PLUXEE implementará medidas técnicas, organizativas y administrativas reforzadas para proteger los datos personales sensibles contra pérdida, alteración, acceso no autorizado, divulgación indebida o cualquier otro tratamiento ilícito.
   Estas medidas incluirán, entre otras, controles de acceso, mecanismos de autenticación, cifrado cuando corresponda, políticas de confidencialidad y capacitación periódica del personal autorizado.

4. Transferencia de datos personales sensibles: La transferencia de datos personales sensibles a terceros, ya sea a nivel nacional o internacional, solo se permitirá cuando:

   1. Exista una base legal válida o consentimiento expreso del titular.
   2. La transferencia responda a una finalidad legítima y compatible con aquella que motivó su recopilación.
   3. El receptor garantice un nivel adecuado de protección conforme a la Ley 81 de 2019 y su reglamento.

   Toda transferencia deberá estar respaldada por acuerdos contractuales que incluyan obligaciones de confidencialidad, seguridad y uso limitado de los datos.

IX. Tratamiento de datos personales de menores de edad

El tratamiento de datos personales de niños, niñas y adolescentes se regirá de manera prioritaria por el principio del interés superior del menor, el cual prevalecerá sobre cualquier otro interés legítimo de PLUXEE.

1. Captación y acceso a los datos personales de menores de edad: La captación de datos personales de menores de edad se limitará estrictamente a aquellos datos que resulten necesarios, pertinentes y proporcionales para el cumplimiento de una finalidad legítima, específica y previamente definida por PLUXEE.
   La captación y el acceso a los datos personales de menores de edad requerirán el consentimiento previo, expreso y verificable del padre, madre o representante legal, sin perjuicio del derecho del menor a ser escuchado conforme a su edad y grado de madurez.
2. Acceso: El acceso a estos datos estará restringido exclusivamente al personal autorizado que, por razón de sus funciones, deba conocer dicha información, aplicando el principio de mínimo acceso necesario.
   Todo acceso deberá quedar registrado, permitiendo la trazabilidad y el control del cumplimiento de la presente política.
3. Tratamiento de datos personales de menores de edad: El tratamiento de los datos personales de menores de edad deberá realizarse de forma lícita, leal y transparente, garantizando en todo momento el respeto a sus derechos fundamentales.
   Los datos solo podrán ser utilizados para la finalidad específica que motivó su recopilación, quedando prohibido su uso para fines distintos, incompatibles o no autorizados.
   PLUXEE evitará cualquier tratamiento que resulte excesivo, desproporcionado o que pueda generar riesgos para la seguridad, dignidad o desarrollo integral del menor.
   No se realizará tratamiento automatizado, elaboración de perfiles, ni utilización con fines comerciales o publicitarios de datos de menores de edad, salvo habilitación legal expresa y con garantías reforzadas.
4. Medidas de seguridad aplicables: PLUXEE implementa medidas técnicas, organizativas y administrativas reforzadas para proteger los datos personales de menores de edad frente a accesos no autorizados, pérdida, alteración, divulgación indebida o cualquier tratamiento ilícito.
   Estas medidas incluirán, entre otras, controles de acceso diferenciados, deberes estrictos de confidencialidad, capacitación del personal y mecanismos de revisión periódica del tratamiento.

5. Transferencia de datos personales de menores de edad: La transferencia de datos personales de menores de edad a terceros, nacionales o internacionales, solo se permitirá cuando:

   1. Exista consentimiento expreso del padre, madre o representante legal, o una base legal habilitante.
   2. La transferencia responda a una finalidad legítima y compatible con aquella que motivó su recopilación.
   3. El tercero receptor garantice un nivel adecuado de protección de datos personales conforme a la Ley 81 de 2019.

   Toda transferencia deberá formalizarse mediante acuerdos o cláusulas contractuales que establezcan obligaciones claras de confidencialidad, seguridad y uso limitado de la información.

X. Transferencias de datos personales:

Para efectos de la presente política, se entiende por transferencia de datos personales la comunicación o cesión de datos personales a un tercero que actúa como responsable del tratamiento, y que decide de manera autónoma sobre las finalidades y medios del tratamiento de dichos datos.

1. Condiciones de licitud para la transferencia: PLUXEE solo realizará transferencia de datos personales cuando exista una base legal válida, en particular:

   1. El consentimiento previo, expreso e informado del titular de los datos; o
   2. Una obligación legal o habilitación expresa prevista en la Ley 81 de 2019 u otra norma aplicable.

   Toda transferencia deberá responder a una finalidad legítima, específica y compatible con aquella que motivó la recopilación inicial de los datos.

2. Evaluación de riesgos y garantías: Previo a cualquier transferencia, la organización evaluará los riesgos para los derechos y libertades del titular, considerando la naturaleza de los datos, el perfil del receptor y el contexto del tratamiento.
   No se transferirán datos personales a terceros que no garanticen un nivel adecuado de protección, conforme a los principios y obligaciones establecidos en la normativa vigente.
3. Transferencias internacionales: En el caso de transferencias internacionales de datos personales, la organización verificará que el país o jurisdicción de destino ofrezca garantías adecuadas de protección, o que existan mecanismos contractuales que aseguren el cumplimiento de la Ley 81 de 2019.
4. Responsabilidad: PLUXEE mantendrá evidencia documental de las transferencias realizadas, sin perjuicio de las responsabilidades que correspondan al tercero receptor como responsable del tratamiento.

XI. Transmisión de datos personales

Se entiende por transmisión de datos personales la comunicación de datos a un tercero que actúa por cuenta del responsable del tratamiento, en este caso PLUXEE, sin decidir sobre la finalidad ni los medios del tratamiento, y bajo instrucciones documentadas de la organización.

La transmisión se produce, entre otros supuestos, cuando PLUXEE contrata proveedores, encargados o custodios de datos personales.

1. La transmisión de datos personales no requerirá un consentimiento adicional del titular, siempre que:

   1. El tratamiento esté vinculado a una finalidad previamente informada; y
   2. El tercero actúe exclusivamente bajo instrucciones del responsable del tratamiento.

   El tercero receptor no podrá utilizar los datos para fines propios ni distintos a los expresamente autorizados por PLUXEE.

2. Obligaciones contractuales: Toda transmisión de datos personales será formalizada mediante contratos, acuerdos o cláusulas específicas, que establezcan como mínimo:
   1. Deberes de confidencialidad.
   2. Medidas de seguridad aplicables.
   3. Prohibición de subcontratación no autorizada.
   4. Obligación de devolución o supresión de los datos una vez finalizada la relación contractual.
3. Medidas de seguridad y control: PLUXEE verificará que el tercero receptor implemente medidas técnicas y organizativas adecuadas para proteger los datos personales contra accesos no autorizados, pérdida, alteración o divulgación indebida.
   La organización se reserva el derecho de supervisar y auditar el cumplimiento de dichas obligaciones.
4. Responsabilidad: PLUXEE conservará la condición de responsable del tratamiento, siendo responsable frente al titular de los datos, sin perjuicio de las responsabilidades contractuales o legales que correspondan al tercero encargado o custodio.

XII. Medidas de seguridad adoptadas

En cumplimiento del principio de seguridad de los datos, PLUXEE adopta medidas técnicas, administrativas y organizativas razonables para proteger los datos personales contra pérdida, acceso, uso, alteración o divulgación no autorizados.

Entre otras, se implementan:

1. Controles de acceso y autenticación a sistemas.
2. Uso de cifrado o técnicas equivalentes, cuando sea apropiado.
3. Protocolos y procedimientos de gestión de incidentes de seguridad.
4. Políticas internas de confidencialidad y formación al personal.
5. Contratos y cláusulas de protección de datos con proveedores y encargados de tratamiento.

Cuando se detecte una vulneración de la seguridad que pueda afectar de forma relevante los derechos de los titulares, se adoptarán las medidas para mitigar los riesgos y, cuando corresponda, se informará al titular conforme a la normativa aplicable.

XIII. Plazos de conservación de los datos

Los datos personales se conservarán durante el tiempo estrictamente necesario para cumplir con las finalidades para las que fueron recolectados y, posteriormente, durante los plazos de prescripción de responsabilidades legales, contractuales o regulatorias que sean aplicables.

Transcurridos los plazos de conservación, los datos serán eliminados, anonimizados o bloqueados de conformidad con la Ley 81 y el Decreto 285.

XIV. Derechos de los titulares de datos (ARCO y otros)

La Ley 81 reconoce a los titulares de datos personales los siguientes derechos irrenunciables:

1. Derecho de acceso: permite al titular conocer si PLUXEE trata o no sus datos personales y, en caso afirmativo, obtener información clara, comprensible y completa sobre dicho tratamiento.
   Mediante este derecho, el titular podrá solicitar, entre otros aspectos:

   1. la confirmación de la existencia de tratamiento de sus datos personales;
   2. el detalle de los datos personales tratados;
   3. el origen de los datos, cuando no hayan sido proporcionados directamente por el titular;
   4. las finalidades específicas para las cuales los datos están siendo utilizados;
   5. el plazo de conservación aplicable o los criterios utilizados para determinarlo; y
   6. las transferencias o transmisiones de datos realizadas, cuando corresponda.

   El acceso no podrá afectar derechos de terceros, secretos comerciales, información confidencial protegida por ley ni comprometer obligaciones legales o contractuales de PLUXEE. En estos casos, la información será proporcionada de forma limitada o anonimizada, conforme a la normativa aplicable.

2. Derecho de rectificación: faculta al titular a solicitar la corrección o actualización de sus datos personales cuando estos resulten inexactos, incompletos, erróneos o desactualizados.
   PLUXEE adoptará las medidas razonables para verificar la solicitud y proceder a la rectificación correspondiente, siempre que el titular aporte la información necesaria que permita acreditar la corrección solicitada.
   Este derecho es especialmente relevante para garantizar el principio de veracidad y exactitud, evitando que decisiones, servicios o beneficios se vean afectados por información incorrecta.
   La rectificación no procederá cuando los datos sean exactos, estén debidamente respaldados o deban conservarse sin modificación por mandato legal o contractual.

3. Derecho de cancelación: permite al titular solicitar la supresión o eliminación de sus datos personales cuando:

   1. hayan dejado de ser necesarios para las finalidades informadas;
   2. se haya revocado el consentimiento que sustentaba el tratamiento;
   3. el tratamiento no cuente con una base legal válida; o
   4. se haya ejercido exitosamente el derecho de oposición.

   La cancelación no implicará necesariamente la eliminación inmediata en todos los casos. Cuando existan obligaciones legales, contractuales, regulatorias o de defensa ante reclamaciones, PLUXEE podrá conservar los datos debidamente bloqueados o restringidos, limitando su tratamiento exclusivamente a dichos fines, hasta el vencimiento de los plazos aplicables.

4. Derecho de oposición: permite al titular solicitar que PLUXEE cese el tratamiento de sus datos personales cuando existan motivos fundados y legítimos relacionados con su situación particular.
   Este derecho resulta especialmente aplicable cuando:

   1. el tratamiento se base en intereses legítimos de PLUXEE;
   2. los datos se utilicen con fines comerciales o promocionales; o
   3. el tratamiento genere un impacto relevante para el titular.

   PLUXEE evaluará la solicitud considerando el equilibrio entre los derechos del titular y las obligaciones legales o contractuales que pudieran justificar la continuidad del tratamiento. En caso de proceder la oposición, los datos dejarán de ser tratados para las finalidades objetadas, sin perjuicio de su conservación para el cumplimiento de obligaciones legales o regulatorias.

5. Derecho de portabilidad: permite al titular solicitar la entrega de sus datos personales en un formato estructurado, de uso común y lectura mecánica, o bien solicitar su transmisión directa a otro responsable del tratamiento, cuando sea técnicamente posible.
   Este derecho será aplicable únicamente cuando:

   1. el tratamiento se realice por medios automatizados; y
   2. la base legal del tratamiento sea el consentimiento del titular o la ejecución de un contrato.

   La portabilidad no incluirá datos derivados, inferidos, anonimizados ni información que afecte derechos de terceros, secretos empresariales o sistemas internos de PLUXEE.

Adicionalmente, el titular tiene derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos negativos o un detrimento significativo, salvo que se den las condiciones previstas en la Ley 81 (consentimiento, contrato, ley especial).

XV. Procedimiento para ejercer los derechos

El ejercicio de sus derechos es gratuito y no puede ser limitado mediante acuerdos o contratos.
Para ejercerlos, usted o su representante legal podrán:

1. Enviar una solicitud al correo electrónico del oficial o canal de privacidad: privacy.pa@pluxeegroup.com
2. Indicar claramente:
   1. Nombre completo y medio de contacto para recibir respuesta.
   2. Documento que pruebe la identidad del solicitante y/o de su representante.
   3. Derecho que desea ejercer (acceso, rectificación, cancelación, oposición, portabilidad u otro).
   4. Descripción de los datos o tratamiento a los que se refiere su solicitud.
   5. Información adicional que facilite la localización de los datos, cuando aplique.

Plazos de respuesta:

Una vez nos proporcione de forma correcta los datos, información y documentación establecida en el párrafo antecedente, nos obligamos a:

1. PLUXEE responderá la solicitud de acceso en un plazo máximo de 10 días hábiles a partir de su recepción.
2. Las solicitudes de rectificación deberán ser atendidas en un plazo de 5 días hábiles desde su presentación.

En casos debidamente justificados, estos plazos podrán extenderse conforme a la normativa vigente, lo cual será comunicado oportunamente al titular.

Ejecución y respuesta:

La respuesta será comunicada al titular por el mismo medio utilizado para presentar la solicitud, salvo que este indique expresamente otro canal. PLUXEE adoptará las medidas necesarias para ejecutar lo resuelto dentro de un plazo razonable y conforme a la ley.

Reclamaciones ante la autoridad:

Si el titular considera que su solicitud no ha sido atendida dentro de los plazos legales o que la respuesta no es satisfactoria, podrá presentar una reclamación ante la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI).

XVI. Relación con comercios afiliados y terceros proveedores

PLUXEE opera a través de una red de comercios afiliados y diversos proveedores tecnológicos y de servicios. Frente a esos terceros:

1. Comercios afiliados:
   1. Reciben ciertos datos necesarios para procesar y validar transacciones asociadas a los beneficios, tales como el número de tarjeta o identificador del usuario, monto y fecha de la transacción, y producto o servicio adquirido.
   2. Actúan, según el caso, como responsables independientes o corresponsables del tratamiento respecto de la información que ellos mismos recolectan en el punto de venta.
2. Proveedores y encargados del tratamiento:
   1. Pueden tratar datos personales por cuenta de PLUXEE tales como: servicios de alojamiento en la nube, soporte de plataformas tecnológicas, mensajería, servicios de atención al cliente, entre otros.
   2. Deben cumplir con las obligaciones y estándares de protección de datos personales establecidos en la Ley 81, el Decreto 285 y en los contratos suscritos con PLUXEE, incluyendo medidas de seguridad y confidencialidad adecuadas.

En todo caso, PLUXEE mantiene la responsabilidad de velar por contratar con comercios y proveedores que acepten cumplir con la presente política de protección de datos personales y con la normativa aplicable, y que se obliguen a implementar medidas técnicas, organizativas y administrativas adecuadas para garantizar la seguridad, confidencialidad, integridad y disponibilidad de los datos personales a los que tengan acceso.

Dichos comercios y proveedores deberán tratar los datos personales exclusivamente conforme a las instrucciones de PLUXEE, abstenerse de utilizarlos para fines distintos o no autorizados, y adoptar salvaguardas que prevengan el acceso no autorizado, la pérdida, alteración, divulgación o cualquier tratamiento ilícito de los datos.

PLUXEE exigirá contractualmente compromisos de confidencialidad, cumplimiento normativo y cooperación en materia de protección de datos personales, sin perjuicio de las responsabilidades legales que correspondan a los proveedores o comercios por incumplimientos imputables a su actuación.

XVII. Actualizaciones de esta Política de Privacidad

Podremos actualizar esta Política de Privacidad para reflejar cambios en nuestros procesos de tratamiento, en la normativa aplicable o en nuestros servicios.

Cuando los cambios sean sustanciales, se comunicarán a través de nuestro sitio web y, cuando corresponda, a través de otros medios de contacto disponibles. En todo caso, el tratamiento de datos personales se regirá por la Política de Privacidad vigente al momento en que se comenzó dicho tratamiento, salvo que se requiera recabar nuevamente el consentimiento del titular.

Le recomendamos revisar periódicamente esta Política para mantenerse informado.

XVIII. Información de contacto

Para cualquier consulta, comentario o solicitud relacionada con la protección de sus datos personales, puede contactarnos a través de la siguiente dirección de correo electrónico que hemos creado especialmente para ello: privacy.pa@pluxeegroup.com .

También puede dirigirse, en caso de controversia o insatisfacción con la respuesta recibida, a la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI).