Política de Privacidad

SURTIA — Sistema de Gestión para Comercios Colombianos

Vigente desde: Abril 2026 | Versión 2.0 | Actualizado: 6 de septiembre de 2026

1. Responsable del tratamiento de datos

Responsable (persona natural, mientras se constituye la S.A.S.): Maria Luisa Narvaez Cuervo

Marca comercial: SURTIA (solicitud de registro ante la SIC en trámite)

Domicilio: Villavicencio, Meta, Colombia

Correo electrónico (datos personales / Habeas Data): privacidad@surtia.co

Al momento de constituirse SURTIA S.A.S., esta sección se actualizará con la razón social, NIT y representante legal, y la titularidad del tratamiento se cederá a la sociedad.

SURTIA actúa con un doble rol conforme a la Ley 1581: es Responsable del tratamiento de los datos del titular de la cuenta (sección 3.1) y es Encargado del tratamiento de los datos de terceros que el titular cargue en la plataforma (secciones 3.2 a 3.5). Las obligaciones de SURTIA como Encargado se detallan en la sección 7C de los Términos y Condiciones.

1A. Consentimiento diferenciado (Circular SIC 001/2025)

En cumplimiento de la Circular Externa 001 de 2025 de la Superintendencia de Industria y Comercio (SIC), SURTIA implementa un sistema de consentimiento diferenciado en tres niveles:

• Consentimiento Primario (obligatorio): Tratamiento de datos necesario para prestar el servicio de gestión comercial. Sin este consentimiento no es posible crear una cuenta.
• Consentimiento Secundario (opcional): Comunicaciones comerciales y notificaciones. Checkbox separado en la suscripción.
• Consentimiento Terciario (opcional): Tratamiento de datos agregados y anonimizados para análisis estadísticos. Checkbox separado.

El consentimiento se registra con fecha y hora (timestamp UTC). El usuario puede revocar cualquiera de estos consentimientos en cualquier momento.

Al hacer clic en el checkbox "Acepto la Política de Privacidad" durante el registro, el titular autoriza expresa, libre, voluntaria, previa, explícita e informada al responsable a recolectar, almacenar, usar, circular y suprimir sus datos personales para las finalidades descritas en la sección 4 de esta política, conforme al artículo 9 de la Ley 1581 de 2012 y al artículo 7 del Decreto 1377 de 2013.

2. Marco legal

• Ley 1581 de 2012 — Régimen General de Protección de Datos Personales
• Decreto 1377 de 2013 — Disposiciones reglamentarias de la Ley 1581
• Ley 1266 de 2008 — Habeas Data financiero
• Circular Externa 002 de 2015 de la SIC — Registro Nacional de Bases de Datos
• Circular Externa 001 de 2025 de la SIC — Consentimiento diferenciado

3. Datos personales que recopilamos

3.1 Datos del titular de la cuenta (el comerciante)

3.2 Datos de los clientes del comerciante

3.3 Datos de empleados del comerciante

Cuando el comerciante usa el módulo de nómina, SURTIA almacena: nombre, cédula, cargo, salario, EPS, AFP, ARL, fondo de cesantías y número de cuenta bancaria. La base legal es la obligación legal del comerciante como empleador (CST, Ley 100/1993, Decreto 1072/2015). El comerciante actúa como Responsable del tratamiento; SURTIA actúa como Encargado.

3.4 Datos transaccionales del negocio

SURTIA almacena los datos de ventas, gastos, inventario, compras, nómina y demás operaciones del negocio. Estos datos son propiedad exclusiva del comerciante y se procesan únicamente para prestar el servicio contratado.

3.5 Datos sensibles — firma manuscrita digital

Cuando el comerciante registra una venta a crédito, la plataforma permite capturar la firma manuscrita del cliente como evidencia de la obligación crediticia. Esta firma constituye un dato biométrico (dato sensible) conforme al artículo 6 de la Ley 1581 de 2012. La base legal es la autorización explícita del titular obtenida por el comerciante en el momento de la firma. La conservación se extiende mientras exista la obligación crediticia más cinco (5) años conforme al Estatuto Tributario. El acceso está restringido exclusivamente al comerciante propietario de la cuenta mediante Row Level Security (RLS).

3.6 Atribución de servicios al trabajador (vertical Agenda)

Cuando el comerciante opera en el vertical Agenda (barbería, spa, estética, veterinaria, taller, consultorio), SURTIA registra la vinculación entre cada servicio cobrado y el trabajador que lo ejecutó. Los datos almacenados son: identificador del trabajador, monto atribuido, fecha y hora del servicio, estado de la atribución (pendiente, confirmada, disputada o ajustada), motivo de disputa (cuando aplica) y motivo del ajuste si el administrador reasigna la atribución.

La finalidad es permitirle al trabajador conocer en tiempo real los servicios que se le atribuyeron, confirmar o disputar atribuciones erróneas, y darle al administrador trazabilidad probatoria para la liquidación de comisiones y la resolución de controversias laborales. La base legal es la autorización previa, expresa e informada del trabajador, capturada mediante un consentimiento adicional al ingresar por primera vez a la pantalla "Mi Día" (Decreto 1377/2013 Art. 7). Sin esa autorización, la pantalla queda bloqueada.

Política de retención dual: el motivo libre de disputa se elimina automáticamente a los tres (3) años de registrado, alineado con la prescripción de acciones laborales (CST Art. 488). El vínculo del trabajador con la atribución se anonimiza a los diez (10) años, preservando un "snapshot" del nombre del empleado para fines contables sin mantener la vinculación con datos personales (Ley 962 de 2005, Art. 28 — conservación de los libros y papeles del comerciante por diez años, norma que modificó el Art. 60 del Código de Comercio).

Ejercicio ARCO permanente: el trabajador puede solicitar el historial completo de sus atribuciones en cualquier momento, incluso después de finalizado el vínculo laboral, escribiendo a privacidad@surtia.co o desde la opción "Mis datos personales" dentro de la aplicación (Art. 8 Ley 1581 de 2012).

Publicación en el enlace público de agenda: cuando el comerciante activa el enlace público de agenda, SURTIA publica en una página accesible sin autenticación el nombre del profesional y sus franjas horarias libres para los próximos treinta (30) días, con la finalidad exclusiva de permitirle al cliente final elegir profesional y hora. No se publica información de otros clientes, ni el historial de atenciones, ni datos de contacto del trabajador. El trabajador puede solicitar al comerciante la supresión de su nombre de esa página (Art. 8 lit. c y e, Ley 1581 de 2012).

3.7 Datos de propietarios, residentes y visitantes (vertical Propiedad Horizontal)

Cuando SURTIA opera en una copropiedad regida por la Ley 675 de 2001, la asamblea o administración del conjunto actúa como Responsable del tratamiento y SURTIA como Encargado (cláusula 7D de los Términos y Condiciones), conforme al Art. 3 lit. d) y e) de la Ley 1581 de 2012.

Los datos que SURTIA almacena por cuenta de la copropiedad se agrupan así:

• Propietarios, residentes y arrendatarios: nombre, cédula, unidad, teléfono, email, tipo de vínculo, cuota de administración, cartera y pagos — finalidad: gestión administrativa autorizada por la Ley 675/2001 (Arts. 32, 51).
• Vehículos y correspondencia: placa, tipo, remitente/destinatario — finalidad: control interno de la copropiedad.
• Asambleas: asistencia, poderes y votos — finalidad: soporte de actas conforme al Art. 39 de la Ley 675 de 2001 (Régimen de Propiedad Horizontal).
• Visitantes: nombre, documento, hora de entrada/salida y unidad visitada — finalidad: seguridad. Retención efímera de 30 días, salvo requerimiento de autoridad.
• Comunicados enviados a propietarios: registro de envío y destinatarios.

Los titulares ejercen sus derechos ARCO (acceso, rectificación, actualización, supresión, revocatoria y consulta — Art. 8 Ley 1581/2012) ante la administración del conjunto como Responsable; SURTIA atenderá la solicitud como Encargado a instrucción de ésta. Retención mínima: 5 años (Art. 632 E.T.) para soportes contables y 10 años desde el último asiento (Ley 962 de 2005, Art. 28, en concordancia con el Art. 60 del Código de Comercio) para actas y libros de la copropiedad.

4. Finalidades del tratamiento

• Prestar el servicio de gestión comercial (POS, inventario, ventas, cartera, gastos, contabilidad)
• Autenticar al usuario y proteger su cuenta mediante OTP y JWT
• Enviar notificaciones por WhatsApp cuando el usuario lo autorice
• Generar informes y estadísticas para el comerciante sobre su propio negocio
• Atribuir servicios al trabajador que los ejecutó en el vertical Agenda, permitirle al trabajador conocer sus servicios atribuidos, confirmar o disputar atribuciones erróneas y darle al administrador trazabilidad para la liquidación de comisiones (sección 3.6)
• Cumplir con obligaciones legales y tributarias colombianas, incluyendo prevención de fraude y lavado de activos (SARLAFT/UIAF — Art. 102 del Estatuto Orgánico del Sistema Financiero y Circular Externa 100-000016/2020 SAGRILAFT)
• Registro de interesados en el lanzamiento: comunicar a quien deje sus datos en surtia.co los avances y la apertura de la venta de SURTIA. Los datos tratados con esta finalidad son nombre, celular y correo electrónico, y se usan únicamente para ese aviso.
• Seguridad y prevención de abuso: impedir registros automatizados en los formularios públicos. Para eso se tratan la dirección IP y señales del navegador de quien envía el formulario, y se conserva una huella matemática irreversible de esa dirección junto con el navegador usado, nunca la dirección original.
• Investigación de producto: entender qué necesitan los negocios que se anotan, a partir de la ciudad, el tipo de negocio, el número de personas que trabajan en él y la respuesta opcional a la pregunta abierta del formulario. Esta información se lee de forma agregada para decidir qué construir; no se usa para perfilar ni para tomar ninguna decisión sobre el titular.

4A. Tratamiento automatizado y sugerencias generadas por inteligencia artificial

SURTIA utiliza análisis estadístico sobre los datos transaccionales del negocio (ventas, inventario, compras, cartera) para generar sugerencias y alertas dirigidas al comerciante, tales como:

• Recomendaciones de pedido a proveedores con base en el historial de rotación.
• Alertas de quiebre de stock proyectado.
• Análisis descriptivo de comportamiento de ventas y de cartera.
• Resúmenes operativos y notificaciones proactivas.

Este procesamiento se ejecuta de forma diferida (procesos nocturnos), nunca durante la operación de venta en tiempo real. Las sugerencias generadas no constituyen decisiones automatizadas vinculantes: son recomendaciones informativas que el comerciante revisa y decide aplicar o descartar a su entera discreción. SURTIA no toma decisiones en nombre del usuario, ni emite calificaciones crediticias sobre los clientes del comerciante, ni produce efectos jurídicos automáticos sobre ningún titular de datos.

Los datos personales de clientes del comerciante utilizados para alimentar estos análisis se procesan en forma agregada bajo la autorización del titular obtenida por el comerciante (Art. 9 Ley 1581 de 2012, sección 3.2). El titular puede solicitar al comerciante la exclusión de sus datos ejerciendo su derecho de oposición conforme al artículo 8 literal c) de la Ley 1581 de 2012. SURTIA se compromete a actualizar esta sección si la SIC emite directrices específicas sobre transparencia algorítmica.

5. Compartición de datos con terceros

Para prestar el servicio, SURTIA utiliza proveedores de infraestructura especializados. En todos los casos, estos proveedores actúan como Encargados del tratamiento bajo instrucciones de SURTIA y no pueden usar los datos para fines propios:

5.2 Contadores y revisores fiscales aliados

SURTIA permite al responsable del tratamiento (titular del negocio registrado) invitar y autorizar expresamente el acceso de contadores públicos o tecnólogos contables debidamente inscritos ante la Junta Central de Contadores (Ley 43 de 1990, arts. 1, 13 y 14), así como de revisores fiscales cuando el responsable esté obligado a designarlos. Estas personas actúan como Encargados del Tratamiento (Ley 1581 de 2012, art. 3 lit. d; Decreto 1377 de 2013, arts. 24 y 25).

• Finalidad: Asesoría contable, tributaria y fiscal; elaboración de declaraciones ante la DIAN; auditoría o revisión fiscal cuando sea legalmente exigible.
• Datos compartidos: Únicamente datos contables del negocio autorizado (ventas, gastos, inventario, cartera, nómina agregada). No se comparten datos sensibles ni datos de terceros más allá de lo estrictamente necesario para obligaciones fiscales.
• Base legal: Contrato bilateral de encargo de tratamiento (Decreto 1377/2013, art. 25), aceptado por ambas partes con registro forense en la plataforma (HMAC-SHA256, IP, fecha/hora) conservado 10 años (C.Co. art. 28).
• Revocación: El responsable puede revocar el acceso del contador aliado en cualquier momento desde la plataforma. La revocación cesa el tratamiento futuro; el registro histórico de aceptación se conserva durante el período legalmente exigible.
• Responsabilidad: SURTIA actúa exclusivamente como intermediario técnico que habilita el acceso autorizado. La selección, supervisión y evaluación del contador aliado son responsabilidad exclusiva del titular del negocio.

6. Transferencia internacional de datos

Los datos se almacenan en servidores ubicados en Estados Unidos: la base de datos principal en la región us-east-1 y el servidor de la aplicación (API) en la región us-west2. Dos proveedores tienen su infraestructura fuera de Estados Unidos, ambos en la Unión Europea: el servicio de correo transaccional, ubicado en Francia, que trata únicamente el nombre y el correo electrónico del destinatario para enviar mensajes de activación de cuenta y recuperación de contraseña; y la analítica del sitio web, que cuenta las visitas a la página de inicio de surtia.co sin instalar cookies, sin almacenar la dirección IP y sin datos que permitan identificar al visitante. Ambos se detallan en la tabla de la sección 5. Estas transferencias se realizan conforme al artículo 26 de la Ley 1581 de 2012, garantizando niveles adecuados de protección mediante contratos con los proveedores que obligan a tratar los datos bajo estándares equivalentes a los exigidos por la normativa colombiana. Al aceptar esta política, el titular autoriza expresamente la transferencia de sus datos a dichas jurisdicciones con las salvaguardas indicadas.

6.1 Proveedores de inteligencia artificial conversacional (OpenAI y Google)

Mitigaciones técnicas comunes implementadas por SURTIA (aplican sin importar cuál de los dos proveedores atendió la consulta):

• La pantalla del asistente muestra un aviso permanente: "No incluyas cédulas ni datos de tus clientes. Cuéntanos el problema."
• El texto de la consulta se sanitiza automáticamente antes de enviarse al proveedor que corresponda para eliminar patrones reconocibles de cédulas colombianas (con y sin puntos de miles), teléfonos, correos electrónicos, JWT y API keys.
• El asistente opera únicamente sobre el texto escrito por el operador — no recibe acceso automático a bases de clientes, inventario, facturas ni datos financieros del negocio.

6.1.a OpenAI API (OpenAI, L.L.C.) — proveedor primario

• Procesamiento: OpenAI, L.L.C. (domicilio: 3180 18th Street, San Francisco, CA 94110, EE.UU.) recibe el texto de la consulta y genera una respuesta.
• Entrenamiento de modelos: Según las políticas de uso de datos de la API de OpenAI, los datos enviados por la API no se usan para entrenar modelos por defecto.
• Retención: Los datos se conservan hasta 30 días para monitoreo de abuso, transcurridos los cuales se eliminan.

6.1.b Gemini API (Google LLC) — proveedor de respaldo

• Cuándo se usa: Solo cuando el proveedor primario (OpenAI) no responde o falla — una minoría del tráfico del módulo de Soporte IA.
• Procesamiento: Google recibe el texto de la consulta y genera una respuesta mediante la API de Gemini contratada en modalidad de pago. Este procesamiento ocurre en servidores de Google en EE.UU.
• Entrenamiento de modelos: Según los Términos de la API de Gemini, en los Paid Services Google no usa los prompts ni las respuestas para mejorar sus productos ni los somete a revisión humana.
• Retención: Los datos se conservan por tiempo limitado para detección de abuso y cumplimiento legal. Este plazo es definido y administrado exclusivamente por Google LLC.

Limitación del derecho de supresión (ARCO — Art. 8 Ley 1581): Una vez que el texto de una consulta ha sido transferido a OpenAI, L.L.C. o a Google LLC, SURTIA no puede ejecutar la supresión de esos datos directamente en los sistemas del proveedor que la atendió. Si el titular desea solicitar la eliminación de datos ante Google, puede hacerlo directamente a través del formulario de soporte de Google disponible en support.google.com/gemini. Para solicitudes ante OpenAI, o si el titular prefiere gestionar cualquiera de los dos casos a través de SURTIA, puede escribir a privacidad@surtia.co; SURTIA gestionará la solicitud ante el proveedor correspondiente en los plazos de la Ley 1581 (15 días hábiles).

Prohibición para datos de menores (Art. 7 Ley 1581, Sentencia C-748/2011): Queda expresamente prohibido el uso del asistente de soporte IA para consultas que involucren datos personales de menores de 18 años. El módulo de Soporte IA está diseñado para consultas operativas del negocio, no para el procesamiento de datos sensibles.

Minimización de datos — responsabilidad del operador: Si el operador incluye datos personales de terceros en el chat (clientes, empleados, copropietarios) pese al aviso en pantalla, actúa como Responsable del tratamiento de esos datos (sección 7B T&C) y asume la responsabilidad frente a los titulares. La sanitización automática de SURTIA reduce pero no elimina completamente este riesgo.

6.2 Copiloto interno de soporte (asistencia al equipo SURTIA)

Base legal de la transferencia (Art. 26 lit. e, Ley 1581 de 2012): la transferencia es necesaria para la ejecución del contrato celebrado entre SURTIA y el operador — sin asistencia de IA no es posible sostener tiempos de respuesta de soporte razonables a costos alcanzables en esta etapa del producto. Se complementa con la autorización expresa e inequívoca del operador otorgada al aceptar esta Política de Privacidad y al abrir el ticket de soporte.

Anonimización previa (best-effort): antes de enviar el hilo del ticket a OpenAI o a Google, SURTIA aplica el mismo proceso automático de sanitización descrito en la sección 6.1: elimina patrones reconocibles de cédulas colombianas (con y sin puntos de miles), números de teléfono, correos electrónicos, JWT y API keys. Esta anonimización reduce el riesgo pero no lo elimina completamente — por eso el proveedor de IA se contrata bajo obligaciones equivalentes a un Encargado del Tratamiento (sección 5).

Naturaleza no automatizada de la respuesta al usuario: la sugerencia generada por el copiloto no se envía al operador ni al cliente final del operador sin revisión humana. El asesor de soporte de SURTIA es responsable del contenido definitivo de la respuesta. La IA no produce decisiones vinculantes ni efectos jurídicos automáticos sobre ningún titular de datos (Art. 22 GDPR análogo — buenas prácticas SIC).

Alcance especial cuando el hilo contiene datos de clientes finales del operador: si al describir su problema el operador incluye datos personales de sus propios clientes finales (nombre, cédula, teléfono, historial de compra, saldo de cartera), esos datos se transfieren a los proveedores de IA junto con el resto del hilo. En ese escenario, el operador actúa como Responsable del tratamiento de los datos de sus clientes finales (sección 7B de los Términos y Condiciones) y le corresponde a él haber obtenido previamente la autorización de esos titulares para el uso de sus datos con finalidades de soporte técnico y para la transferencia internacional a EE.UU. asociada. SURTIA actúa como Encargado y mantiene las mismas mitigaciones técnicas (anonimización automática, revisión humana previa a la respuesta, DPA con el proveedor).

Entrenamiento y retención en el proveedor: aplican las mismas condiciones descritas en las secciones 6.1.a y 6.1.b. Compromiso cumplido: desde el 29 de julio de 2026 el copiloto opera con OpenAI como primario y con Gemini exclusivamente en modalidad de pago; ninguno de los dos usa las consultas para entrenar.

Ejercicio ARCO y prohibición para menores: aplican las mismas reglas descritas en la sección 6.1 respecto a la limitación del derecho de supresión posterior a la transferencia y a la prohibición expresa de utilizar el asistente para consultas que involucren datos de menores de 18 años.

7. Medidas de seguridad

• Cifrado en tránsito: Todas las comunicaciones usan HTTPS/TLS 1.3
• Cifrado en reposo: Base de datos cifrada con AES-256 en la infraestructura de almacenamiento
• Copias de respaldo cifradas: Los respaldos diarios de la base de datos se cifran con AES-256 (GPG simétrico) antes de ser almacenados. Las copias se conservan máximo 90 días conforme al principio de finalidad (Art. 4 lit. b, Ley 1581)
• Aislamiento de datos: Row Level Security (RLS) garantiza que cada comerciante solo accede a sus propios datos
• Autenticación: JWT con HS256, contraseñas hasheadas con bcrypt, verificación OTP
• Auditoría: Registro inmutable (append-only) de todas las operaciones críticas

8. Derechos del titular (ARCO)

Como titular de datos personales, usted tiene derecho a: Acceso a sus datos, Rectificación de datos inexactos o incompletos, Cancelación (supresión) de datos, Oposición al tratamiento, Portabilidad y Revocatoria del consentimiento.

Para ejercer cualquiera de estos derechos cuenta con dos canales equivalentes:

• Formulario web: surtia.co/habeas-data — recomendado, le entrega un radicado y fecha límite automáticamente.
• Correo electrónico: privacidad@surtia.co indicando: nombre completo, número de documento, descripción del derecho que desea ejercer y, si corresponde, el dato que solicita corregir o eliminar.

Plazos de respuesta conforme al Decreto 1377 de 2013:

• Consulta (Acceso): responderemos dentro de los 10 días hábiles siguientes a la recepción. Si no es posible atender en ese plazo, le informaremos antes del vencimiento y el plazo se extiende por 5 días hábiles adicionales (art. 14 Ley 1581).
• Reclamación (Rectificación, Cancelación u Oposición): dentro de los 2 días hábiles siguientes informamos si la reclamación está incompleta para que la complete. Una vez completa, tenemos 15 días hábiles para resolver. Si no es posible, informamos antes del vencimiento y el plazo se extiende por 8 días hábiles adicionales (art. 15 Ley 1581 y art. 21 D. 1377).

Si considera que su solicitud no fue atendida conforme a la ley, puede presentar queja ante la Superintendencia de Industria y Comercio (SIC) en www.sic.gov.co o al correo info@sic.gov.co.

9. Conservación de datos

Conservamos cada dato únicamente mientras exista una finalidad o un deber legal que lo justifique. Vencido ese plazo, el dato se suprime (Art. 4 lit. b de la Ley 1581 de 2012 y Art. 11 del Decreto 1377 de 2013, que manda atender a los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información).

• Datos operativos del negocio: se conservan mientras la cuenta esté activa.
• Cancelación de la cuenta: cuando usted solicita la cancelación, atendemos la solicitud en los plazos de la sección 8, damos de baja la cuenta y suprimimos los datos personales que lo identifican —nombre, correo, teléfono y, cuando el titular es persona natural, su documento de identidad— de nuestros sistemas activos. La cancelación no borra los soportes contables y tributarios ni la bitácora de auditoría del negocio, porque usted como comerciante tiene el deber legal de conservarlos: el Art. 9 del Decreto 1377 de 2013 dispone que la solicitud de supresión «no procederá cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos». Esos soportes se conservan por los plazos indicados abajo y se suprimen una vez vencidos.
• Soportes con relevancia tributaria: se conservan por el término que exige la ley tributaria. Para quienes están obligados a declarar renta, ese término corre hasta que quede en firme la declaración que los soporta (Art. 632 del Estatuto Tributario, modificado por el Art. 46 de la Ley 962 de 2005); para quienes no están obligados a declarar, el término es de 5 años (Art. 632 del Estatuto Tributario).
• Libros y papeles del comerciante, incluidos los soportes de las operaciones que usted registra en SURTIA: 10 años contados desde la fecha del último asiento, documento o comprobante (Art. 28 de la Ley 962 de 2005, que modificó el Art. 60 del Código de Comercio).
• Registros de auditoría —la bitácora que deja constancia de quién hizo cada operación—: son inalterables y no se borran mientras subsista el deber legal de conservar los soportes del negocio. Es un registro de solo adición, diseñado para que nadie, ni siquiera SURTIA, pueda modificarlo o eliminarlo, y por eso no se elimina al cerrar la cuenta. Cuando usted ejerce su derecho de cancelación, los datos personales que lo identifican se suprimen en los registros de origen, de modo que la bitácora conserva la operación sin quedar asociada a una persona identificada.
• Registros técnicos de errores del aplicativo: máximo 90 días si el fallo fue resuelto y 180 días si sigue pendiente de diagnóstico, transcurridos los cuales se eliminan automáticamente — conforme al principio de finalidad (Art. 4 lit. b de la Ley 1581 de 2012) y a las limitaciones temporales al tratamiento (Art. 11 del Decreto 1377 de 2013).

Para solicitar la supresión de sus datos o consultar qué información conservamos sobre usted, use los canales de la sección 8.

10. Menores de edad

SURTIA está diseñado para uso comercial por personas mayores de 18 años. No recopilamos intencionalmente datos de menores de edad.

10A. Notificación de brechas de seguridad

En caso de brecha, SURTIA notificará a la SIC y a los titulares afectados en un plazo máximo de 15 días hábiles desde la detección, conforme al artículo 17 literal f) de la Ley 1581 de 2012.

11. Cookies y tecnologías de seguimiento

La aplicación móvil SURTIA no utiliza cookies. Usamos almacenamiento local seguro (FlutterSecureStorage) para mantener la sesión. El sitio web surtia.co mide sus visitas sin cookies y sin identificarlo; no hay cookies analíticas opcionales. Ver nuestra Política de Cookies.

12. Cambios en esta política

Cualquier cambio significativo será notificado dentro de la aplicación con al menos 15 días de anticipación.

13. Autoridad de protección de datos

Puede presentar quejas ante la Superintendencia de Industria y Comercio (SIC): www.sic.gov.co — Línea gratuita: 018000-910165

13A. Registro Nacional de Bases de Datos (RNBD)

De conformidad con el Decreto 886 de 2014, el Decreto 090 de 2018 y la Circular Externa 002 de 2015 de la SIC, la obligación de inscribir bases de datos personales en el Registro Nacional de Bases de Datos (RNBD) recae sobre personas jurídicas con activos totales superiores a 100.000 UVT y sobre personas naturales cuyo objeto comercial sea el tratamiento profesional de datos.

Mientras el responsable del tratamiento sea una persona natural, no se encuentra dentro de los supuestos de inscripción obligatoria descritos en el párrafo anterior. Al momento de constituirse SURTIA S.A.S. y de superar los umbrales legales, se procederá a inscribir las bases de datos correspondientes (titulares de cuenta, clientes del comerciante y empleados del comerciante) dentro de los dos (2) meses siguientes, conforme al numeral III de la Circular 002 de 2015. La constancia de inscripción se publicará en esta misma sección.

14. Contacto

• Ejercicio derechos ARCO (Habeas Data): privacidad@surtia.co
• Soporte técnico general: soporte@surtia.co
• WhatsApp: Disponible en la sección "Soporte" de la aplicación