POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

HEALTHY GRUPO NATURAL S.A.S., identificada con NIT 902.046.321-1, con domicilio en Medellín, Antioquia, es la Responsable del Tratamiento de los datos personales a los que se refiere esta Política.

Para consultas, reclamos y solicitudes relacionadas con el tratamiento de datos personales, el titular podrá comunicarse al correo [email protected], indicando en el asunto “Protección de datos”, o presentar comunicación escrita en la Carrera 95 #43-17, Campo Alegre, Medellín, Antioquia, Colombia.

La coordinación de estas solicitudes corresponde al Área de Protección de Datos Personales de la Sociedad. La persona que ejerza internamente esta función será identificada y actualizada en los registros internos de roles y responsabilidades.

2. OBJETO Y ALCANCE

Esta Política informa a los titulares sobre la forma en que HEALTHY GRUPO NATURAL S.A.S. recolecta, almacena, usa, consulta, actualiza, circula, transmite, transfiere, protege y suprime datos personales, así como sobre los mecanismos para ejercer los derechos de habeas data.

Aplica al tratamiento realizado en las actividades comerciales, administrativas y digitales de la Sociedad, incluyendo la tienda en línea, WhatsApp Business, redes sociales, atención comercial, domicilios, facturación, pagos, servicio al cliente, publicidad y analítica digital, gestión de proveedores y contratistas y, cuando corresponda, procesos laborales y de selección.

También aplica, en lo pertinente, a los terceros que actúen como Encargados por cuenta de la Sociedad.

3. MARCO NORMATIVO

Esta Política se adopta principalmente con fundamento en el artículo 15 de la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones, circulares, conceptos y demás disposiciones vigentes de la Superintendencia de Industria y Comercio (SIC), así como las normas que los modifiquen, adicionen o sustituyan.

La Sociedad revisará periódicamente los cambios normativos que resulten aplicables y ajustará esta Política y sus procedimientos internos cuando sea necesario.

4. DEFINICIONES

Para efectos de esta Política:

• Dato personal: información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Responsable: persona natural o jurídica que decide sobre la base de datos y/o el tratamiento.
• Encargado: persona natural o jurídica que realiza el tratamiento por cuenta del Responsable.
• Tratamiento: cualquier operación sobre datos personales, incluida la recolección, almacenamiento, uso, consulta, actualización, circulación, transmisión, transferencia y supresión.
• Autorización: consentimiento previo, expreso e informado del titular cuando la ley lo exige.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, en los términos de la Ley 1581 de 2012.
• Transmisión: tratamiento de datos por un Encargado por cuenta del Responsable, incluso cuando el Encargado se encuentre fuera de Colombia.
• Transferencia: comunicación de datos a otro Responsable para su tratamiento, de acuerdo con las reglas legales aplicables.
• Consulta: solicitud del titular para conocer los datos personales que son objeto de tratamiento.
• Reclamo: solicitud relacionada con la corrección, actualización, supresión, revocatoria o presunto incumplimiento de las normas de protección de datos.

5. PRINCIPIOS DEL TRATAMIENTO

HEALTHY GRUPO NATURAL S.A.S. tratará los datos personales observando, entre otros, los siguientes principios:

• Legalidad: el tratamiento se realizará conforme a la Constitución, la ley y las instrucciones aplicables.
• Finalidad: los datos serán tratados para finalidades legítimas, concretas, explícitas e informadas.
• Libertad: cuando la ley exija autorización, esta será previa, expresa e informada.
• Veracidad o calidad: se procurará que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: se facilitará al titular información sobre la existencia y uso de sus datos.
• Acceso y circulación restringida: el acceso estará limitado a personas autorizadas y a quienes resulte necesario para las finalidades permitidas.
• Seguridad: se adoptarán medidas razonables y proporcionales para proteger la información.
• Confidencialidad: las personas que intervengan en el tratamiento deberán mantener reserva.
• Responsabilidad demostrada: la Sociedad mantendrá medidas, procedimientos y evidencias razonables que permitan demostrar el cumplimiento.

6. DATOS PERSONALES QUE PUEDE TRATAR LA SOCIEDAD Y FINALIDADES

7. INFORMACIÓN RELACIONADA CON MASCOTAS

La Sociedad puede tratar información proporcionada por el cliente sobre su mascota, como nombre, especie, edad, peso, tamaño, nivel de actividad y preferencias de alimentación, cuando sea necesaria para prestar el servicio, orientar recomendaciones comerciales o atender la relación con el cliente. Esta información no constituye por sí misma una historia clínica veterinaria y no sustituye la valoración de un profesional veterinario.

Se recomienda a los clientes no enviar por WhatsApp, formularios u otros canales comerciales información sobre su propia salud u otros datos sensibles que no sean necesarios para la finalidad solicitada.

8. DATOS SENSIBLES

HEALTHY GRUPO NATURAL S.A.S. no requiere datos sensibles para la compra ordinaria de sus productos. Cuando excepcionalmente sea necesario tratarlos, se aplicarán las reglas especiales de la Ley 1581 de 2012, incluida la información sobre su carácter sensible y, cuando corresponda, la autorización explícita del titular. La respuesta a preguntas sobre datos sensibles será facultativa, salvo que exista una excepción legal aplicable.

9. NIÑOS, NIÑAS Y ADOLESCENTES

Los productos y canales comerciales de la Sociedad están orientados principalmente a personas adultas. La Sociedad no busca recopilar deliberadamente datos personales de menores de edad. Si excepcionalmente se requiere tratar datos de un menor, se aplicarán las reglas legales correspondientes, el interés superior del menor y la protección de sus derechos fundamentales. Cuando se detecte una recolección indebida, la Sociedad evaluará la supresión o las demás medidas que legalmente correspondan.

10. AUTORIZACIÓN Y BASES DEL TRATAMIENTO

Cuando la Ley 1581 de 2012 exija autorización, esta será previa, expresa e informada. La Sociedad podrá obtenerla por escrito, por medios electrónicos, mediante formularios, casillas de aceptación, mecanismos implementados en la tienda o comunicaciones en WhatsApp, siempre que el mecanismo permita acreditar la autorización cuando sea necesario. El silencio no se considerará autorización.

El tratamiento necesario para recibir y ejecutar una compra, coordinar una entrega, emitir una factura, atender una garantía, responder una solicitud o cumplir una obligación legal se realizará conforme a la base jurídica que corresponda en cada caso. Las comunicaciones comerciales se gestionarán separadamente y no serán condición para comprar.

La Sociedad podrá tratar información sin autorización cuando concurra una excepción legal, por ejemplo, cuando la información sea requerida por una autoridad en ejercicio de sus funciones, sea de naturaleza pública o exista otra excepción prevista en la legislación aplicable.

11. COMUNICACIONES COMERCIALES

Las promociones, descuentos, novedades, recomendaciones y demás comunicaciones comerciales por correo electrónico, WhatsApp, SMS o llamadas se enviarán conforme a las autorizaciones y reglas legales aplicables. La autorización para marketing será separada de la atención necesaria para ejecutar una compra.

El titular podrá retirar su autorización para comunicaciones comerciales en cualquier momento mediante el mismo canal, escribiendo “BAJA” o comunicándose a [email protected]. La baja de marketing no impide las comunicaciones estrictamente transaccionales necesarias para pedidos, entregas, facturación, garantías o atención de solicitudes.

La Sociedad aplicará las restricciones de horario y demás obligaciones que correspondan a las comunicaciones comerciales de acuerdo con la Ley 2300 de 2023 y sus modificaciones, reglamentaciones e instrucciones vigentes.

12. WHATSAPP BUSINESS

La Sociedad utiliza WhatsApp Business en el número 322 581 7518 para atención comercial y servicio al cliente. Las conversaciones pueden contener datos de contacto, pedidos, direcciones y consultas. El acceso interno estará limitado al personal autorizado y el uso se restringirá a las finalidades correspondientes.

La publicidad por WhatsApp se gestionará separadamente de las comunicaciones necesarias para atender o ejecutar una compra. Cuando se utilicen proveedores tecnológicos o integraciones que impliquen tratamiento de datos, se aplicarán las condiciones legales y contractuales correspondientes.

13. COOKIES Y TECNOLOGÍAS SIMILARES

La Sociedad mantendrá un inventario interno de cookies, píxeles, etiquetas y tecnologías similares. La configuración publicada deberá corresponder a la configuración técnica real. Cuando se requiera consentimiento para tecnologías no esenciales, estas no deberán activarse antes de que el mecanismo implementado registre la decisión del usuario.

Podrán intervenir proveedores como Google, Meta u otros, según las herramientas efectivamente instaladas, quienes podrán actuar bajo sus propios roles y políticas. La Sociedad mantendrá mecanismos para informar y gestionar las preferencias de cookies conforme a la configuración real del sitio.

14. PROVEEDORES, ENCARGADOS Y TERCEROS

Para operar sus servicios, la Sociedad puede utilizar proveedores de comercio electrónico, alojamiento web, pagos, facturación, comunicaciones, analítica, publicidad, desarrollo y soporte tecnológico y entrega. La lista concreta y el rol de cada proveedor se mantienen en el inventario interno y se actualizan cuando cambia la operación.

Cuando un proveedor actúe como Encargado, deberá tratar los datos siguiendo las instrucciones de la Sociedad y contar con obligaciones de confidencialidad, seguridad, asistencia en el ejercicio de derechos, gestión de incidentes y devolución o supresión de información cuando corresponda, de acuerdo con el contrato o términos jurídicos aplicables.

La Sociedad no vende datos personales. Podrá comunicar información a autoridades cuando exista obligación o requerimiento legal.

15. TRANSMISIONES Y TRANSFERENCIAS INTERNACIONALES

Algunos proveedores tecnológicos pueden almacenar o procesar información fuera de Colombia. Antes de habilitar o mantener un proveedor que implique tratamiento internacional, la Sociedad evaluará su rol, país o jurisdicción, condiciones de protección, contrato o términos aplicables y el mecanismo jurídico correspondiente.

La Sociedad distinguirá entre transmisión internacional a un Encargado y transferencia internacional a otro Responsable. Estas operaciones se realizarán conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones vigentes de la SIC, incluyendo las reglas aplicables a los países receptores, contratos y demás mecanismos que correspondan.

16. PAGOS, FACTURACIÓN Y DOMICILIOS

Los pagos se procesan mediante el proveedor de pagos habilitado en el checkout o mediante transferencia bancaria. La Sociedad no tiene como finalidad almacenar números completos de tarjetas ni códigos de seguridad; conserva la información necesaria para conciliación, soporte, facturación y obligaciones legales.

La facturación electrónica se realiza mediante el sistema utilizado por la Sociedad, actualmente Siigo. Los datos necesarios para facturar se conservarán durante los plazos legales aplicables.

Los domicilios son realizados por personal de la Sociedad. Al mensajero se le comunican únicamente los datos necesarios para la entrega, como nombre, teléfono y dirección. El acceso es temporal, limitado a la entrega y sujeto al deber de reserva. La información no deberá conservarse ni reutilizarse para fines distintos de los autorizados.

17. FOTOGRAFÍAS, VIDEOS, TESTIMONIOS Y RESEÑAS

Cuando una fotografía, video, voz, testimonio o reseña permita identificar a una persona, la Sociedad solicitará la autorización que corresponda para utilizar dicho contenido con fines publicitarios o comerciales. La autorización especificará, cuando resulte aplicable, la finalidad, los medios, el alcance y las condiciones de uso. La revocatoria tendrá efectos hacia el futuro, sin perjuicio de los usos realizados legítimamente antes de su ejercicio.

18. SEGURIDAD Y RESPONSABILIDAD DEMOSTRADA

HEALTHY GRUPO NATURAL S.A.S. adopta medidas técnicas, humanas, administrativas y contractuales razonables y proporcionales para proteger los datos frente a pérdida, destrucción, adulteración, consulta, uso, acceso o tratamiento no autorizado.

• Control de acceso bajo el principio de necesidad de conocer.
• Credenciales individuales cuando técnicamente estén disponibles.
• Confidencialidad del personal y proveedores que accedan a datos.
• Copias de respaldo de la información relevante.
• Revisión y retiro de accesos cuando cambien las funciones o termine una relación.
• Procedimientos para atender consultas, reclamos e incidentes.
• Inventario de proveedores, bases y tecnologías relevantes.
• Manual Interno de Protección de Datos Personales como soporte de controles y evidencias.

19. INCIDENTES DE SEGURIDAD

Cualquier pérdida, acceso no autorizado, divulgación indebida, alteración, destrucción o sospecha razonable de compromiso de información personal deberá ser reportada internamente de inmediato.

• Identificar los sistemas, bases y datos potencialmente afectados.
• Contener o limitar el acceso o exposición.
• Preservar evidencias relevantes.
• Evaluar el riesgo y las posibles consecuencias.
• Adoptar medidas correctivas y preventivas.
• Determinar si corresponde informar a titulares, proveedores o autoridades.
• Registrar y documentar el incidente y las actuaciones realizadas.

Los reportes a la Superintendencia de Industria y Comercio y las comunicaciones a titulares se realizarán dentro de los términos, condiciones y canales que establezca la normativa e instrucciones vigentes. La Sociedad no hará una promesa de plazo distinta de la que corresponda legalmente en cada caso.

20. CONSERVACIÓN, SUPRESIÓN Y BLOQUEO

Los datos se conservarán durante el tiempo necesario para cumplir la finalidad informada y las obligaciones legales, contractuales, contables, tributarias, laborales, judiciales o de defensa de derechos que resulten aplicables.

Cuando termine la necesidad de conservación y no exista obligación legal o causa legítima para mantener la información, la Sociedad procederá a su supresión, anonimización o bloqueo, según corresponda. Una solicitud de supresión no obliga a eliminar información que deba conservarse por disposición legal u otra causa legítima.

Los datos utilizados para comunicaciones comerciales se conservarán mientras exista autorización o mientras resulte legalmente procedente, sin perjuicio de los registros necesarios para demostrar la baja o gestionar obligaciones legales.

21. DERECHOS DE LOS TITULARES

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización cuando esta sea exigible.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar consultas y reclamos ante la Sociedad.
• Solicitar la supresión de los datos o revocar la autorización cuando legalmente proceda.
• Acceder gratuitamente a sus datos personales en los términos establecidos por la ley.
• Presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado, cuando corresponda, el trámite ante la Sociedad.

22. PROCEDIMIENTO PARA EJERCER LOS DERECHOS

Las consultas y reclamos podrán presentarse al correo [email protected], indicando en el asunto “Protección de datos”, o mediante comunicación escrita dirigida a la Carrera 95 #43-17, Campo Alegre, Medellín, Antioquia, Colombia.

La solicitud deberá contener, en lo posible:

• Nombre completo del titular y datos suficientes para verificar su identidad.
• Descripción clara de la solicitud o de los hechos.
• Medio o dirección para recibir respuesta.
• Documentos o soportes que se consideren pertinentes.
• Si actúa un representante, apoderado o causahabiente, la acreditación correspondiente.

22.1 Consultas

Las consultas serán atendidas dentro del término legal de diez (10) días hábiles contados a partir de su recibo. Si no fuere posible atenderlas dentro de dicho término, se informarán los motivos de la demora y la fecha en que se atenderá la consulta, sin superar el término adicional permitido por la normativa aplicable.

22.2 Reclamos

Los reclamos se tramitarán conforme a la Ley 1581 de 2012 y sus normas reglamentarias. Si el reclamo resulta incompleto, se solicitará la subsanación dentro del término legal; una vez recibido completo, se tramitará dentro de quince (15) días hábiles, con la prórroga legal cuando corresponda. Se aplicarán igualmente las reglas legales sobre traslado, leyenda de reclamo en trámite y demás actuaciones procedentes.

La Sociedad conservará evidencia de la solicitud, respuesta y actuaciones realizadas.

23. ÁREA RESPONSABLE Y REGISTRO INTERNO

El Área de Protección de Datos Personales coordina la atención de consultas y reclamos y apoya la gestión del inventario de bases, proveedores, autorizaciones, incidentes, capacitaciones y revisiones internas. La identificación nominal de la persona responsable se mantendrá en el registro interno y deberá actualizarse cuando cambie.

24. PQR COMERCIALES Y PROTECCIÓN DE DATOS

Las solicitudes de garantía, devoluciones, cambios, entregas y demás asuntos de consumo se atenderán por los canales comerciales correspondientes. Las solicitudes relacionadas con conocer, actualizar, rectificar, suprimir, revocar autorizaciones o cuestionar el tratamiento de datos personales se identificarán y tramitarán conforme al procedimiento de protección de datos.

25. REGISTRO NACIONAL DE BASES DE DATOS (RNBD)

La Sociedad verificará periódicamente si se encuentra obligada a inscribir bases de datos en el Registro Nacional de Bases de Datos (RNBD), de acuerdo con las condiciones y criterios legales vigentes. La eventual no obligación de inscripción no elimina los demás deberes de protección de datos que resulten aplicables.

26. CAMBIOS, VIGENCIA Y PUBLICACIÓN

Esta Política rige desde la fecha indicada en su encabezado y permanecerá disponible en www.healthybarf.com. La versión publicada deberá coincidir con la versión vigente adoptada por la Sociedad y con la operación real.

Cuando existan cambios relevantes en las finalidades del tratamiento o en las condiciones que requieran una nueva autorización, la Sociedad implementará las medidas de información y autorización que correspondan. Las modificaciones se comunicarán o publicarán por medios razonables.