POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES DE SHUGGI
Versión 1.2 · Vigente desde el 5 de octubre de 2026
Cambios de la versión 1.2: el documento fue reescrito por completo tras la revisión de un abogado. El procesador de pagos es ahora Wompi, que reemplaza a los procesadores anteriores. Se completaron los datos de identificación, domicilio y contacto del Responsable.
Versionado. Los tres documentos legales de Shuggi —Política de Tratamiento de Datos Personales, Aviso de Privacidad y Términos y Condiciones— comparten un mismo número de versión, porque el Usuario acepta la Política y los Términos en un solo acto y se conserva un único registro de qué versión aceptó. Cuando cambia cualquiera de los tres, sube el número de los tres, aunque el texto de alguno no haya cambiado.
I. OBJETO Y ALCANCE
Tomás Echavarría Gil, persona natural domiciliada en Envigado, Antioquia, Colombia (en adelante, el responsable o Shuggi), es titular y operador de Shuggi, una plataforma tecnológica (aplicación móvil y sitio web) que conecta a personas consumidoras con comercios aliados, como panaderías, restaurantes, supermercados y hoteles, que ofrecen excedentes de alimentos a precio reducido, con el fin de reducir el desperdicio de comida.
En cumplimiento del artículo 15 de la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y demás normas concordantes, el Responsable adopta la presente Política de Tratamiento de Datos Personales para proteger el derecho fundamental de Hábeas Data de todos los Titulares con quienes se relaciona.
La presente Política establece los criterios, reglas y procedimientos aplicables al Tratamiento de los Datos Personales realizado por Shuggi en desarrollo de sus actividades como plataforma digital que conecta a usuarios con establecimientos aliados que ofrecen excedentes alimentarios a precio reducido, bajo un modelo de recogida en el establecimiento.
La Política tiene por objeto informar a los Titulares, de manera clara y transparente, acerca de:
- Los Datos Personales que son tratados.
- Las finalidades para las cuales son tratados.
- Los derechos que les asisten.
- Los mecanismos para ejercerlos.
- Las condiciones de conservación, circulación, eliminación y, cuando corresponda, anonimización o seudonimización de la información.
- Los terceros que intervienen en el Tratamiento.
- Las medidas generales adoptadas para proteger la información.
Esta Política aplica a los Datos Personales que Shuggi trate en calidad de Responsable del Tratamiento, independientemente del medio o tecnología mediante la cual sean recolectados o tratados.
Cuando un tercero actúe por cuenta de Shuggi como Encargado del Tratamiento, deberá sujetarse a las instrucciones, finalidades, condiciones de seguridad y demás obligaciones que correspondan conforme al régimen colombiano de protección de Datos Personales.
II. RESPONSABLE DEL TRATAMIENTO
El Responsable del Tratamiento de los Datos Personales es:
Nombre o razón social: Tomás Echavarría Gil, persona natural
Cédula de ciudadanía: 1.034.987.542
Domicilio: Envigado, Antioquia, Colombia
Dirección: Carrera 20 # 22 Sur - 30, Envigado, Antioquia, Colombia
Correo electrónico: shuggi.app@gmail.com
Teléfono: +57 313 882 2679
Sitio web: https://shuggi.app
Para efectos de la presente Política, las referencias a “Shuggi” corresponden al Responsable del Tratamiento identificado anteriormente.
Nota sobre la naturaleza jurídica del Responsable. Shuggi opera actualmente bajo una persona natural, no bajo una sociedad. Esto no reduce ninguna de las obligaciones de la Ley 1581 de 2012: el Responsable responde personalmente por el Tratamiento aquí descrito.
Cualquier modificación en la estructura jurídica del Responsable, incluyendo la eventual constitución de una sociedad que asuma la operación de Shuggi, será gestionada de conformidad con las normas aplicables. Cuando implique un cambio en el Responsable del Tratamiento o una modificación relevante de las condiciones del Tratamiento, Shuggi lo comunicará a los Titulares antes o, a más tardar, al momento de su implementación y, cuando corresponda, obtendrá las autorizaciones exigidas por la legislación aplicable. El Titular que no esté de acuerdo podrá eliminar su cuenta en cualquier momento.
III. MARCO NORMATIVO
El Tratamiento de Datos Personales realizado por Shuggi se desarrolla de conformidad con la Constitución Política de Colombia, particularmente el artículo 15, la Ley 1581 de 2012, sus decretos reglamentarios y compilatorios, las instrucciones impartidas por la Superintendencia de Industria y Comercio (SIC) y las demás disposiciones que resulten aplicables.
De manera particular, Shuggi observará los principios y obligaciones establecidos en la Ley 1581 de 2012 y en el Decreto 1377 de 2013, incorporado en el Decreto 1074 de 2015, así como las disposiciones de la Circular Única de la SIC, Título V, en lo que resulte aplicable.
Cuando corresponda, también se observarán las normas especiales relacionadas con protección al consumidor, comercio electrónico, obligaciones contables, tributarias, prevención del fraude, seguridad de la información y demás disposiciones que impongan deberes de conservación, suministro o tratamiento de información.
IV. PRINCIPIOS
Shuggi realizará el Tratamiento de Datos Personales bajo los principios establecidos en la legislación colombiana, particularmente:
Legalidad
El Tratamiento se realizará de conformidad con las normas vigentes y dentro de las finalidades informadas al Titular.
Finalidad
Los Datos Personales serán tratados para finalidades determinadas, explícitas y legítimas, informadas al Titular.
Libertad
El Tratamiento requerirá la autorización del Titular cuando esta sea legalmente necesaria, salvo las excepciones previstas en la ley.
Veracidad o calidad
Shuggi adoptará medidas razonables para que la información tratada sea veraz, completa, exacta, actualizada, comprobable y comprensible.
Transparencia
El Titular podrá solicitar información acerca de la existencia de Datos Personales que le conciernan y sobre el Tratamiento realizado respecto de ellos, en los términos establecidos por la ley.
Acceso y circulación restringida
El Tratamiento y circulación de los Datos Personales estarán limitados a las finalidades autorizadas y a las personas o entidades que legalmente deban acceder a ellos.
Seguridad
Shuggi adoptará medidas técnicas, humanas y administrativas razonables y apropiadas para evitar la pérdida, adulteración, acceso, uso o Tratamiento no autorizado de los Datos Personales.
Confidencialidad
Las personas que intervengan en el Tratamiento de Datos Personales estarán sujetas al deber de confidencialidad, incluso después de terminada su relación con Shuggi.
Minimización
Shuggi recolectará y conservará únicamente los Datos Personales que resulten pertinentes, adecuados y necesarios para las finalidades informadas.
V. DEFINICIONES
Para efectos de esta Política:
Autorización: manifestación previa, expresa e informada del Titular que permite el Tratamiento de sus Datos Personales, cuando este sea legalmente exigible.
Dato Personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación, como el que revele el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales, y los datos relativos a la salud, a la vida sexual y los datos biométricos.
Titular: persona natural cuyos Datos Personales sean objeto de Tratamiento.
Tratamiento: cualquier operación sobre Datos Personales, como recolección, almacenamiento, uso, circulación, consulta, actualización, modificación, supresión o eliminación.
Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento de los Datos Personales.
Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento de Datos Personales por cuenta del Responsable.
Transmisión: comunicación de Datos Personales a un Encargado para que realice un Tratamiento por cuenta del Responsable, dentro o fuera de Colombia.
Transferencia: comunicación de Datos Personales a otro Responsable del Tratamiento, dentro o fuera de Colombia.
Seudonimización: tratamiento mediante el cual los Datos Personales dejan de estar directamente asociados con una persona identificable sin información adicional, pero pueden volver a asociarse mediante información o mecanismos adicionales.
La seudonimización no equivale a anonimización y, cuando exista posibilidad razonable de reidentificación, la información continuará siendo tratada como Dato Personal.
Anonimización: proceso mediante el cual la información deja de poder asociarse, de forma irreversible y con los medios razonablemente disponibles, a una persona determinada o determinable.
VI. TITULARES Y CATEGORÍAS DE INFORMACIÓN
En desarrollo de sus actividades, Shuggi trata Datos Personales correspondientes a las siguientes categorías de Titulares:
- Usuarios de la plataforma.
- Comerciantes o establecimientos aliados.
- Proveedores.
- Personas que se comuniquen con Shuggi para solicitar soporte, formular peticiones, quejas o reclamos.
- Personas vinculadas con relaciones contractuales o comerciales con Shuggi.
- Representantes, apoderados o personas autorizadas para actuar en nombre de los anteriores.
- Personas cuyos datos deban ser tratados para atender obligaciones legales o requerimientos de autoridades.
La información efectivamente recolectada dependerá de la relación que exista con cada Titular y de las funcionalidades utilizadas.
VII. DATOS PERSONALES DE LOS USUARIOS
Shuggi trata los siguientes datos de los usuarios, según las funcionalidades que utilicen:
Datos de identificación y contacto
- Nombre.
- Correo electrónico.
- Identificadores internos de usuario.
Shuggi no solicita a los usuarios número de documento de identidad, fecha de nacimiento ni número telefónico. Si en el futuro una funcionalidad o una obligación legal lo requiere, se informará previamente y se actualizará esta Política.
Datos de autenticación
Podrán tratarse elementos técnicos relacionados con la autenticación de la cuenta, incluyendo credenciales almacenadas mediante mecanismos de seguridad apropiados.
Las contraseñas no serán almacenadas en texto plano.
Información de utilización de la plataforma
Se tratan:
- Pedidos realizados.
- Establecimientos utilizados.
- Productos o paquetes seleccionados.
- Estado de las órdenes.
- Cancelaciones y su motivo, cuando el usuario decida indicarlo.
- Favoritos.
- Calificaciones.
- Estadísticas de impacto calculadas a partir de los pedidos (por ejemplo, CO2 evitado, dinero ahorrado y nivel alcanzado en la plataforma).
- Comunicaciones relacionadas con soporte.
- Información necesaria para gestionar peticiones, quejas y reclamos.
Información técnica
Al utilizar la plataforma se generan los siguientes datos técnicos:
- Dirección IP.
- Fecha y hora de acceso.
- Tipo de dispositivo.
- Sistema operativo.
- Navegador o agente de usuario.
- Identificadores técnicos necesarios para determinadas funcionalidades.
- Tokens técnicos necesarios para el envío de notificaciones.
Estos datos serán tratados únicamente en la medida necesaria para prestar el servicio, mantener la seguridad, prevenir abusos, solucionar incidentes o cumplir obligaciones legales, y se conservan por los plazos indicados en la Sección XVI. No se utilizan para publicidad ni para perfilar al usuario.
Información de ubicación
La ubicación del dispositivo solo se solicita cuando el usuario elige usar esa opción, mediante el permiso del sistema operativo, y puede sustituirse por una dirección escrita manualmente. Se usa únicamente para mostrar establecimientos y paquetes cercanos y, cuando el usuario lo solicita, para registrar su interés en la lista de espera de cobertura.
Las coordenadas no se almacenan en la base de datos de usuarios, no se incorporan al historial de la cuenta ni se asocian a los pedidos.
La única excepción es la lista de espera de cobertura: cuando el usuario pide expresamente que se le avise al llegar Shuggi a su zona, se guarda una ubicación aproximada, redondeada a cerca de un (1) kilómetro, asociada a su cuenta. Se usa solo para ese aviso y para conocer en qué zonas hay demanda, y se conserva por el plazo indicado en la Sección XVI.
Como las coordenadas se envían al servidor para resolver cada consulta, pueden quedar registradas de forma transitoria, junto con la dirección IP, en los registros técnicos del servidor. Esos registros se conservan por el plazo indicado en la Sección XVI, no se utilizan para elaborar perfiles de comportamiento ni con fines publicitarios, y solo se asocian a una cuenta cuando resulta necesario para la seguridad de la plataforma, la prevención del fraude o la atención de una solicitud del Titular.
Datos de pago
El pago se procesa en la página de la pasarela de pagos. Shuggi no recibe ni almacena el número de la tarjeta, el nombre del tarjetahabiente ni la dirección de facturación. De cada pago solo conserva el identificador de la transacción, su estado, el monto, la moneda, el método de pago y la fecha.
VIII. DATOS DE COMERCIANTES Y ESTABLECIMIENTOS ALIADOS
En relación con comerciantes o establecimientos aliados, Shuggi trata la información necesaria para:
- Identificar el establecimiento.
- Publicar y administrar su oferta dentro de la plataforma.
- Verificar la relación comercial.
- Gestionar pedidos.
- Administrar paquetes, productos o servicios.
- Gestionar pagos, liquidaciones y obligaciones contractuales.
- Atender solicitudes y comunicaciones.
- Cumplir obligaciones legales, contables y tributarias.
Para estos fines se tratan: nombre, dirección y coordenadas del establecimiento; nombre, teléfono y correo electrónico del representante o de la persona de contacto; información tributaria (RUT o NIT); información bancaria para liquidaciones; logotipo, categoría e información de los paquetes publicados; y documentos de la relación contractual.
Shuggi tratará cada categoría de información únicamente cuando resulte necesaria para la finalidad correspondiente.
IX. FINALIDADES DEL TRATAMIENTO
Los Datos Personales son tratados para las siguientes finalidades, según la categoría de Titular y las funcionalidades utilizadas:
Administración de cuentas
- Crear y administrar cuentas.
- Autenticar usuarios.
- Mantener la seguridad de las cuentas.
- Gestionar solicitudes relacionadas con la cuenta.
- Permitir el ejercicio de los derechos del Titular.
Prestación del servicio
- Gestionar pedidos.
- Facilitar la interacción entre usuarios y establecimientos.
- Identificar pedidos.
- Procesar o facilitar pagos.
- Generar el código de recogida y su código QR, y gestionar la recogida del pedido en el establecimiento.
- Informar sobre el estado de las órdenes.
Funcionalidades basadas en ubicación
- Mostrar establecimientos próximos.
- Facilitar funcionalidades que dependan de la ubicación autorizada por el usuario.
- Avisar al usuario que lo solicite cuando Shuggi llegue a su zona (lista de espera de cobertura).
Comunicaciones operativas
- Enviar notificaciones relacionadas con pedidos.
- Informar sobre cambios relevantes en la cuenta.
- Responder solicitudes de soporte.
- Gestionar peticiones, quejas, reclamos y consultas.
Seguridad y prevención del fraude
- Detectar actividades anómalas.
- Prevenir usos abusivos o fraudulentos.
- Proteger las cuentas y sistemas.
- Investigar incidentes de seguridad.
- Mantener registros técnicos necesarios para la seguridad.
Las medidas destinadas a prevenir fraude deberán guardar relación con riesgos concretos y estarán sujetas a revisión y control conforme a los procedimientos internos de Shuggi.
Cuando una medida de prevención del fraude implique la suspensión o restricción de una cuenta, Shuggi informará al usuario, sin revelar los criterios ni los mecanismos de prevención utilizados. Si la comunicación inmediata pudiera comprometer la seguridad de la plataforma, una investigación en curso o el cumplimiento de una obligación legal, la realizará tan pronto como cese esa circunstancia. El usuario podrá solicitar la revisión de la medida por los canales de la Sección XXVIII.
Cumplimiento de obligaciones legales
- Atender requerimientos de autoridades competentes.
- Cumplir obligaciones contables, tributarias, comerciales o regulatorias.
- Conservar información cuando exista una obligación legal de hacerlo.
- Ejercer o defender derechos de Shuggi en actuaciones administrativas o judiciales.
Gestión de comerciantes y proveedores
- Administrar relaciones contractuales.
- Verificar información.
- Gestionar pagos y liquidaciones.
- Administrar facturación.
- Atender obligaciones contables y tributarias.
- Mantener información necesaria para la relación comercial.
Impacto y funcionalidades informativas
Shuggi utiliza la información necesaria para calcular, mostrar o comunicar indicadores de impacto relacionados con el uso de la plataforma.
Cuando se utilicen identificadores técnicos para estos efectos, la información será agregada o seudonimizada siempre que ello sea compatible con la finalidad.
Las funcionalidades informativas o de reconocimiento dentro de la plataforma no producen consecuencias jurídicas sobre el Titular ni se comparten con los establecimientos aliados.
X. AUTORIZACIÓN DEL TITULAR
Shuggi solicita al Titular una autorización previa, expresa e informada, salvo en los casos en que la ley no la exija.
La autorización podrá obtenerse mediante mecanismos electrónicos, incluyendo casillas de aceptación, formularios u otros mecanismos que permitan acreditar razonablemente:
- La identidad o vinculación del Titular con la cuenta.
- La fecha y hora de autorización.
- La versión de la Política o aviso aplicable.
- Las finalidades informadas.
- La manifestación de voluntad del Titular.
Las casillas de autorización no estarán previamente marcadas.
En la aplicación, la autorización se otorga mediante una casilla no premarcada en la pantalla de registro; mientras no se marque, no es posible crear la cuenta. En el mismo acto, el usuario declara ser mayor de 18 años. Shuggi conserva como prueba la fecha y hora de aceptación y la versión exacta del texto mostrado en pantalla en ese momento.
La aceptación de los Términos y Condiciones de uso de Shuggi no sustituirá la autorización para el Tratamiento de Datos Personales cuando esta sea exigible.
Cuando una finalidad requiera una autorización independiente, esta será solicitada de manera separada.
La autorización puede revocarse en cualquier momento, sin efectos retroactivos, conforme a la Sección XV.
XI. TRATAMIENTO DE DATOS DE UBICACIÓN Y PERMISOS DEL DISPOSITIVO
El acceso a la ubicación o a determinados permisos del dispositivo dependerá de las autorizaciones otorgadas por el usuario mediante el sistema operativo correspondiente.
El Titular podrá administrar dichos permisos desde las configuraciones de su dispositivo, incluidos los de ubicación y notificaciones, sin perder acceso al resto de la aplicación.
La negativa a otorgar un permiso podrá impedir el funcionamiento de determinadas funcionalidades que dependan de él, pero no implicará por sí misma la autorización para realizar tratamientos distintos de los informados.
Shuggi no utilizará la ubicación del usuario para fines publicitarios o de elaboración de perfiles publicitarios salvo que una finalidad de esa naturaleza sea incorporada posteriormente previa información y autorización expresa, separada y opcional del Titular.
XII. CIRCULACIÓN DE LOS DATOS PERSONALES
Los Datos Personales podrán ser comunicados o puestos a disposición de terceros únicamente cuando exista una finalidad legítima y una base jurídica que permita el Tratamiento.
La intervención de terceros se clasificará de acuerdo con su verdadera función y no únicamente por el lugar donde se encuentre ubicado el servidor o proveedor.
12.1 Encargados del Tratamiento
Shuggi contrata proveedores tecnológicos, de infraestructura, comunicaciones, soporte u otros servicios que traten Datos Personales por cuenta de Shuggi.
Entre las categorías de proveedores que intervienen se encuentran:
- Servicios de infraestructura y alojamiento.
- Servicios de bases de datos.
- Servicios de correo electrónico.
- Servicios de notificaciones.
- Servicios tecnológicos necesarios para la operación de la plataforma.
- Servicios de soporte y gestión.
La identificación de cada Encargado y del país donde trata la información consta en el Anexo 1.
Los Encargados deberán tratar la información únicamente de acuerdo con las instrucciones de Shuggi y para las finalidades contratadas.
Los contratos o instrumentos jurídicos correspondientes establecerán, según aplique, obligaciones de confidencialidad, seguridad, tratamiento limitado a instrucciones, gestión de incidentes, devolución o eliminación de información y demás obligaciones exigibles.
12.2 Terceros que actúen como Responsables independientes
Cuando un tercero determine de manera autónoma las finalidades y medios de su propio Tratamiento, será tratado jurídicamente como Responsable independiente y no como Encargado.
En particular, las pasarelas de pago identificadas en el Anexo 1 pueden realizar Tratamientos en calidad de Responsables independientes respecto de los datos que recolectan directamente del pagador, en la medida en que determinen autónomamente las finalidades y medios de dichos Tratamientos.
La identidad de estos terceros, la finalidad de su intervención y el enlace a sus políticas constan en el Anexo 1.
12.3 Comerciantes o establecimientos aliados
Para ejecutar una orden, Shuggi comunica al establecimiento correspondiente únicamente la información necesaria para atenderla.
Esta comprende, según el caso:
- Nombre del usuario o identificación funcional equivalente.
- Identificador de la orden.
- Información necesaria para preparar o entregar el pedido.
- Ventana o momento de recogida o entrega.
- Valor de la orden cuando sea necesario.
- Estado del pago.
- Motivo de la cancelación, cuando el usuario decida indicarlo. El usuario deberá evitar incluir en este campo Datos Personales sensibles o información que no resulte necesaria para explicar la cancelación.
Los establecimientos no reciben el correo electrónico, la contraseña, la ubicación, las estadísticas de impacto ni el historial de pedidos del usuario en otros establecimientos.
El identificador interno estable del usuario no podrá ser utilizado por el establecimiento para realizar actividades de marketing, perfilar al usuario, intentar identificar información adicional, reidentificarlo fuera de la relación operativa, vender o compartir información con terceros.
El establecimiento puede consultar los pedidos que el mismo usuario ha realizado en ese establecimiento, únicamente para gestionar pedidos y recogidas. Esta información no podrá utilizarse para ningún otro fin.
Estas restricciones constan en el contrato que cada establecimiento suscribe con Shuggi, que incluye obligaciones de confidencialidad, seguridad, supresión de la información y reporte de incidentes.
12.4 Autoridades públicas
Shuggi podrá suministrar Datos Personales cuando exista una obligación legal, orden judicial, requerimiento de autoridad competente o una circunstancia expresamente autorizada por la legislación aplicable.
12.5 Transferencias internacionales
La existencia de infraestructura tecnológica ubicada fuera de Colombia no convierte por sí sola a un proveedor tecnológico en receptor de una transferencia internacional en calidad de Responsable.
Cuando un proveedor trate información por cuenta de Shuggi, la operación será analizada bajo las reglas aplicables a la transmisión de datos a Encargados.
Algunos Encargados tratan la información en Estados Unidos y en países de la Unión Europea. Estados Unidos figura en la lista de países que cuentan con un nivel adecuado de protección de datos personales establecida por la Superintendencia de Industria y Comercio; respecto de los países de la Unión Europea, se atenderá igualmente a las decisiones de adecuación adoptadas por la Comisión Europea y reconocidas conforme al régimen colombiano aplicable.
Cuando exista una verdadera transferencia internacional a otro Responsable, Shuggi aplicará las reglas correspondientes a dicha operación, incluyendo, cuando proceda, las condiciones relativas al país receptor, autorización, contratos, garantías y demás mecanismos previstos en la legislación y en las instrucciones de la SIC.
XIII. DERECHOS DE LOS TITULARES
De conformidad con la legislación aplicable, los Titulares podrán:
- Conocer, actualizar y rectificar sus Datos Personales.
- Solicitar prueba de la autorización cuando esta sea exigible.
- Ser informados sobre el uso dado a sus Datos Personales.
- Presentar consultas y reclamos.
- Solicitar la supresión de sus Datos Personales cuando corresponda.
- Revocar la autorización cuando ello sea legalmente procedente.
- Acceder gratuitamente a sus Datos Personales en los términos establecidos por la ley.
- Presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado el trámite correspondiente ante Shuggi, cuando ello sea exigible.
Los derechos estarán sujetos a las excepciones y limitaciones previstas en la ley, particularmente cuando exista un deber legal o contractual de conservar determinada información.
XIV. CONSULTAS Y RECLAMOS
El Titular podrá ejercer sus derechos mediante los canales indicados en la Sección XXVIII.
La solicitud deberá permitir identificar al Titular y contener, como mínimo:
- Nombre del Titular.
- Medio de contacto para recibir respuesta.
- Descripción clara de los hechos o solicitud.
- Documentos o información que permitan sustentar la petición, cuando corresponda.
Cuando la solicitud sea presentada por un representante, apoderado, causahabiente o persona autorizada, deberá acreditarse la calidad correspondiente.
Shuggi realizará la verificación de identidad utilizando mecanismos razonables y proporcionales.
Para usuarios autenticados, podrá utilizarse la sesión de la cuenta y el correo electrónico registrado como mecanismos principales de verificación.
La presentación ordinaria de una solicitud no requerirá que el Titular entregue nuevamente un documento de identidad cuando Shuggi pueda verificar razonablemente su identidad mediante los mecanismos de autenticación disponibles.
Cuando sea indispensable solicitar copia de un documento de identidad, esta será utilizada exclusivamente para verificar la identidad o legitimación correspondiente y será eliminada una vez resuelta la solicitud, salvo deber legal de conservarla.
Consultas
Las consultas serán atendidas dentro de un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo, prorrogable por una sola vez hasta por cinco (5) días hábiles adicionales cuando no fuere posible atenderlas dentro del término inicial.
En ese caso, antes del vencimiento del término inicial, se informará al Titular el motivo de la demora y la fecha en que se atenderá la consulta.
Reclamos
Cuando el reclamo resulte incompleto, Shuggi requerirá al interesado para que subsane las fallas dentro de los cinco (5) días siguientes a su recepción. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
Si quien recibe el reclamo no es competente para resolverlo, deberá dar traslado a quien corresponda en un término máximo de dos (2) días hábiles y comunicar al Titular dicha circunstancia.
El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de ese término, se informará al interesado el motivo de la demora y la fecha en que se atenderá, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
Una vez recibido el reclamo completo, Shuggi incluirá en la base de datos, en un término no mayor a dos (2) días hábiles, una leyenda que diga “reclamo en trámite” y el motivo de este, y la mantendrá hasta que el reclamo sea decidido.
XV. SUPRESIÓN DE LA INFORMACIÓN Y REVOCATORIA
El Titular podrá solicitar la supresión de sus Datos Personales o revocar su autorización cuando ello sea procedente.
La supresión no procederá cuando exista un deber legal o contractual que obligue a Shuggi a conservar determinada información, cuando los datos sean necesarios en una actuación administrativa o judicial en curso, mientras esta dure, o cuando concurra alguna de las excepciones previstas en la legislación aplicable.
Cuando el usuario elimine su cuenta, Shuggi procederá al cierre de la cuenta y a la eliminación de los Datos Personales que no deban conservarse por una razón legal o contractual. La cuenta puede eliminarse directamente desde el perfil en la aplicación.
La cuenta se cierra de inmediato y, dentro de los treinta (30) días siguientes a la solicitud o a la eliminación de la cuenta, Shuggi suprime el nombre, la contraseña, los tokens de acceso, el identificador de notificaciones, los favoritos, las solicitudes de lista de espera, los registros de sesión y las estadísticas de impacto, y reemplaza el correo electrónico por un identificador técnico que no permita identificar directamente al Titular. Los registros de pedidos y pagos que deban conservarse por deber legal o contractual se mantienen seudonimizados, conforme a la Sección XVI.
XVI. CONSERVACIÓN Y RETENCIÓN
Shuggi no conservará Datos Personales indefinidamente.
El período de conservación dependerá de:
- La finalidad para la cual fueron recolectados.
- La necesidad de mantener la relación con el Titular.
- Las obligaciones legales, contables, tributarias o contractuales aplicables.
- La necesidad de atender reclamaciones, investigaciones o controversias.
- Las necesidades de seguridad y prevención del fraude.
- Los períodos técnicamente necesarios para eliminar copias de respaldo.
Plazos de conservación:
- Los datos necesarios para administrar una cuenta se conservarán mientras la cuenta permanezca activa y hasta treinta (30) días después de su eliminación.
- Los datos necesarios para atender una orden se conservarán mientras la cuenta permanezca activa; tras su eliminación, se conservarán seudonimizados conforme a la Sección 16.1.
- Los registros técnicos de seguridad se conservarán por un período máximo ordinario de treinta (30) días, salvo que deban preservarse temporalmente para investigar un incidente concreto.
- Los códigos QR generados para la recogida de pedidos se eliminarán dentro de la hora siguiente a que el pedido llegue a un estado final (recogido, cancelado, expirado, no recogido o reembolsado).
- Las solicitudes de lista de espera de cobertura se eliminarán a los doce (12) meses de su registro, o antes si el usuario elimina su cuenta.
- La información que deba conservarse por obligaciones contables, tributarias, contractuales o legales se mantendrá durante los términos exigidos por las normas contables y tributarias aplicables, que en ningún caso superarán diez (10) años, y, cuando corresponda, durante el tiempo adicional necesario para atender una actuación administrativa o judicial en curso, mientras esta dure.
- Una vez finalizado el período de conservación, la información será eliminada o anonimizada.
16.1 Información seudonimizada
La conservación de información seudonimizada no será indefinida.
Cuando Shuggi conserve registros históricos de pedidos, calificaciones, métricas u otra información vinculada a un identificador técnico después del cierre de una cuenta, deberá existir una finalidad concreta y un período de conservación previamente definido.
Los favoritos, las solicitudes de lista de espera y los registros de sesión no se conservan después de la eliminación de la cuenta. Las calificaciones se conservan vinculadas a un identificador seudonimizado, por el plazo previsto en esta Sección.
La información permanecerá sujeta al régimen de protección de Datos Personales mientras exista una posibilidad razonable de asociarla nuevamente con una persona determinada o determinable.
Período máximo de conservación de esta información: el mismo término previsto en esta Sección para la información contable y tributaria.
16.2 Copias de respaldo
Las copias de seguridad podrán contener temporalmente información que ya haya sido eliminada de los sistemas operativos.
Shuggi aplicará procedimientos para que dicha información sea sobrescrita o eliminada conforme al ciclo de conservación de las copias de respaldo.
Período máximo previsto para la eliminación de copias de respaldo: noventa (90) días.
XVII. DATOS SENSIBLES
Shuggi no solicita Datos Personales sensibles.
Cuando un Titular suministre voluntariamente información sensible (por ejemplo, sobre salud o alergias) en un campo de texto libre, comentario, solicitud de soporte, cancelación u otro canal, Shuggi limitará su Tratamiento a lo estrictamente necesario para atender la solicitud concreta.
El suministro de Datos Personales sensibles será facultativo, salvo que exista una excepción legal aplicable.
Cuando la información sensible ya no sea necesaria para la finalidad concreta que motivó su recepción, se eliminará.
XVIII. NIÑOS, NIÑAS Y ADOLESCENTES
Shuggi dirige sus servicios exclusivamente a personas mayores de 18 años. Al registrarse, el usuario declara ser mayor de edad.
La plataforma no está diseñada para recolectar Datos Personales de niños, niñas o adolescentes.
Si Shuggi identifica que se ha creado una cuenta utilizando información correspondiente a una persona menor de edad, la suspenderá de inmediato y suprimirá sus datos dentro de los quince (15) días hábiles siguientes, salvo los soportes de pago que deban conservarse por ley, que se mantendrán seudonimizados.
En ningún caso esta disposición se interpretará como una autorización general para tratar Datos Personales de menores.
El tratamiento de Datos Personales de niños, niñas y adolescentes, cuando excepcionalmente resulte procedente, deberá observar el interés superior del menor, el respeto de sus derechos fundamentales y las demás condiciones establecidas por la Ley 1581 de 2012 y las normas que la reglamenten.
Las restricciones relativas a la venta o adquisición de productos destinados exclusivamente a mayores de edad se regirán adicionalmente por los Términos y Condiciones y por las normas aplicables.
XIX. SEGURIDAD DE LA INFORMACIÓN
Shuggi implementará medidas técnicas, humanas y administrativas razonables y apropiadas para proteger los Datos Personales frente a riesgos de pérdida, destrucción, adulteración, acceso no autorizado, uso indebido o tratamiento no autorizado.
Estas medidas comprenden:
- Cifrado de las comunicaciones.
- Protección de credenciales mediante mecanismos apropiados de almacenamiento.
- Controles de acceso según funciones y privilegios.
- Mecanismos de autenticación reforzada para accesos administrativos.
- Controles frente a accesos abusivos o automatizados.
- Gestión y protección de copias de respaldo.
- Registro y revisión de eventos de seguridad.
- Gestión de accesos de proveedores.
- Compromisos de confidencialidad.
- Procedimientos para la gestión de incidentes.
- Revisión periódica de las medidas de seguridad.
Ninguna medida de seguridad es infalible.
XX. INCIDENTES DE SEGURIDAD
Cuando Shuggi tenga conocimiento de un incidente que comprometa Datos Personales, activará los procedimientos internos correspondientes para:
- Contener el incidente.
- Determinar su alcance.
- Preservar evidencia.
- Evaluar los Datos Personales comprometidos.
- Adoptar medidas correctivas.
- Determinar las obligaciones de comunicación o reporte aplicables.
- Documentar las decisiones adoptadas.
Cuando se presente un incidente de seguridad que, conforme a la legislación o a las instrucciones vigentes de la Superintendencia de Industria y Comercio, deba ser reportado, Shuggi realizará el reporte dentro de los quince (15) días hábiles siguientes a su detección, o dentro del término que fijen las instrucciones vigentes de esa entidad, y mediante el mecanismo dispuesto por ella. Cuando el incidente pueda afectar de manera relevante los derechos de los Titulares, Shuggi adoptará las medidas de comunicación que resulten legalmente exigibles y razonablemente necesarias, indicando lo ocurrido y las medidas adoptadas.
XXI. TERCEROS TECNOLÓGICOS Y COMPONENTES DE LA PLATAFORMA
Shuggi utiliza servicios tecnológicos de terceros necesarios para prestar sus funcionalidades, identificados en el Anexo 1. La utilización de estos servicios no implica autorización para que los proveedores utilicen los Datos Personales para fines propios incompatibles con la relación contractual o con la legislación aplicable.
Los componentes tecnológicos utilizados exclusivamente para prestar funcionalidades operativas, como mapas, notificaciones o infraestructura, podrán tratar determinados datos técnicos necesarios para su funcionamiento. Estos proveedores están identificados en el Anexo 1.
Actualmente, Shuggi no utiliza herramientas de analítica publicitaria, medición de audiencias ni identificadores publicitarios.
Shuggi no incorporará herramientas destinadas a publicidad comportamental, medición de audiencias publicitarias o creación de perfiles publicitarios sin informar previamente la finalidad correspondiente y obtener las autorizaciones que resulten necesarias.
XXII. MARKETING Y COMUNICACIONES COMERCIALES
Actualmente, Shuggi no utiliza los Datos Personales de los usuarios para enviar comunicaciones comerciales o realizar actividades de marketing distintas de las comunicaciones necesarias para la operación del servicio, salvo que el Titular haya otorgado una autorización específica cuando esta sea exigible.
La autorización para comunicaciones comerciales será diferenciada de la aceptación de esta Política y de los Términos y Condiciones, se solicitará mediante una casilla no premarcada y opcional, y nunca será condición para usar la plataforma.
El Titular podrá retirar su autorización para recibir comunicaciones comerciales mediante los mecanismos dispuestos por Shuggi.
XXIII. RELACIÓN ENTRE ESTA POLÍTICA Y LOS TÉRMINOS Y CONDICIONES
Los Términos y Condiciones regulan la utilización de la plataforma y la relación contractual correspondiente.
Esta Política regula específicamente el Tratamiento de Datos Personales.
En caso de contradicción respecto del Tratamiento de Datos Personales, prevalecerán las disposiciones de esta Política y las normas imperativas aplicables.
La aceptación de los Términos y Condiciones no constituirá por sí misma autorización para finalidades de Tratamiento que requieran autorización independiente.
XXIV. MODIFICACIONES A LA POLÍTICA
Shuggi podrá actualizar esta Política cuando resulte necesario por cambios legales, regulatorios, tecnológicos, operativos o en sus tratamientos de información.
Las modificaciones sustanciales, en especial las referidas a la identificación del Responsable o a las finalidades del Tratamiento, serán comunicadas a los Titulares de manera previa a su implementación, a través de la aplicación o por correo electrónico.
Cuando una modificación implique nuevas finalidades que requieran una nueva autorización, Shuggi solicitará dicha autorización antes de iniciar el nuevo Tratamiento.
La simple continuidad en el uso de la plataforma no se considerará, por sí sola, autorización para una nueva finalidad cuando la legislación exija consentimiento previo, expreso e informado.
Cada versión de la Política indicará su fecha de entrada en vigor.
XXV. VIGENCIA DE LAS BASES DE DATOS
Las bases de datos de Shuggi tendrán una vigencia determinada por la finalidad para la cual fueron creadas y por los períodos de conservación establecidos en esta Política.
La eliminación de una base de datos o de información específica se realizará cuando:
- Haya desaparecido la finalidad que justificaba su Tratamiento; y
- No exista obligación legal o contractual de conservación.
Los períodos específicos de conservación son los indicados en la Sección XVI.
XXVI. ÁREA RESPONSABLE DE PROTECCIÓN DE DATOS
La persona o área responsable de atender las consultas y reclamos relacionados con la protección de Datos Personales será:
Responsable o área: Tomás Echavarría Gil, quien asume directamente la función mientras Shuggi opere bajo persona natural
Canales: los indicados en la Sección XXVIII.
Esta persona o área tendrá, entre otras, las funciones de:
- Gestionar consultas y reclamos.
- Coordinar la atención de los derechos de los Titulares.
- Mantener actualizada la Política.
- Coordinar la gestión de incidentes relacionados con Datos Personales.
- Promover el cumplimiento interno de las reglas de protección de Datos Personales.
- Coordinar con las áreas técnicas, jurídicas y operativas las medidas necesarias para asegurar el cumplimiento de la Política.
XXVII. RESPONSABILIDAD DEMOSTRADA
Shuggi adopta un enfoque de responsabilidad demostrada respecto del Tratamiento de Datos Personales.
En consecuencia, además de esta Política pública, mantendrá los procedimientos, contratos, controles, registros y demás elementos internos necesarios para demostrar la adopción de medidas apropiadas y efectivas de cumplimiento.
XXVIII. CANALES DE ATENCIÓN
Para ejercer los derechos relacionados con sus Datos Personales, el Titular podrá comunicarse a:
Correo electrónico: shuggi.app@gmail.com
Dirección y teléfono: los indicados en la Sección II.
Eliminación de la cuenta: directamente desde el perfil en la aplicación.
Los canales permanecerán habilitados, funcionales y bajo supervisión de la persona o área responsable.
Shuggi asignará un número de radicado a cada solicitud para facilitar su seguimiento.
XXIX. AUTORIDAD DE PROTECCIÓN DE DATOS
La Superintendencia de Industria y Comercio es la autoridad nacional competente para ejercer las funciones de vigilancia y control en materia de protección de Datos Personales, de conformidad con la legislación colombiana.
El Titular podrá acudir ante dicha autoridad cuando corresponda, una vez agotados los mecanismos internos previstos por la legislación aplicable.
ANEXO 1. TERCEROS QUE INTERVIENEN EN EL TRATAMIENTO
Terceros que intervienen en el Tratamiento, su función, su rol frente a los datos, los datos que tratan y el país donde tratan la información:
| Categoría | Función | Rol frente a los datos | Datos potencialmente tratados |
|---|---|---|---|
| Infraestructura tecnológica: Amazon Web Services, Inc. | Alojamiento/operación | Encargado | Información alojada. País: Estados Unidos |
| Base de datos: MongoDB, Inc. (MongoDB Atlas) | Almacenamiento | Encargado | Datos de plataforma. País: Estados Unidos |
| Correo electrónico: Amazon Web Services, Inc. (Amazon Simple Email Service) | Comunicaciones | Encargado | Nombre, correo, contenido necesario. País: Estados Unidos |
| Correo de atención: Google LLC (Gmail) | Recepción y respuesta de solicitudes de los Titulares | Presta el servicio conforme a sus propios términos, sin un contrato de encargo específico; actúa como Responsable independiente respecto de los tratamientos que realice para fines propios conforme a dichos términos | Contenido de las comunicaciones que el Titular envíe al correo de atención. País: puede variar según la infraestructura del proveedor |
| Notificaciones: Google LLC (Firebase Cloud Messaging) | Comunicaciones móviles | Encargado | Token técnico y datos necesarios (nombre del establecimiento y franja de recogida). País: puede variar según la infraestructura del proveedor |
| Mapas/geolocalización: Google LLC (Google Maps Platform) | Funcionalidades de ubicación | Encargado respecto del tratamiento que realiza por cuenta de Shuggi. Respecto de los tratamientos que realice para fines propios conforme a sus términos, actúa como Responsable independiente | Ubicación o dirección necesaria. País: Estados Unidos |
| Procesador de pagos: WOMPI S.A.S. (Wompi), subsidiaria de Bancolombia S.A. | Procesamiento de pagos | Responsable independiente respecto de los datos que recolecta directamente del pagador, en la medida en que determine autónomamente su Tratamiento | Nombre y correo electrónico del comprador, monto, moneda y referencia del pedido. Política del proveedor: disponible en su sitio web. País: Colombia |
| Comerciantes aliados | Preparación/entrega de órdenes | Encargado respecto de la información que reciben para gestionar el pedido | Datos necesarios para ejecutar la orden (ver Sección 12.3) |
| Autoridades | Cumplimiento legal | Tercero receptor por obligación legal | Información exigida |
Fin de la Política de Tratamiento de Datos Personales de Shuggi, Versión 1.2