Política de Tratamiento de Datos Personales

1. Responsable del tratamiento

• Razón social: VENTAP S.A.S.
• Domicilio: Barranquilla, Atlántico, Colombia.
• Correo de contacto: [email protected]
• Oficial de Protección de Datos: el área de cumplimiento de la Compañía, contactable por el correo anterior.

2. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
• Responsable: persona que decide sobre la base de datos y/o el tratamiento (en este caso, VENTAP S.A.S.).
• Encargado: persona que, por cuenta del Responsable, realiza el tratamiento (p. ej. proveedores de hosting o pasarelas de pago).
• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento.

3. Datos personales que tratamos

Según la relación que el titular mantenga con la Compañía, podemos tratar las siguientes categorías de datos:

• Datos de identificación: nombres y apellidos, tipo y número de documento, NIT, fecha de nacimiento.
• Datos de contacto: correo electrónico, número de teléfono, dirección de envío del establecimiento.
• Datos comerciales: razón social del establecimiento, dirección, ciudad, tipo de negocio.
• Datos de facturación: información tributaria, medios de pago (procesados por terceros), historial de transacciones.
• Datos de cuenta: credenciales hasheadas, tokens de sesión, dirección IP, identificador de dispositivo, registros de acceso.
• Datos de uso: métricas de navegación dentro de la plataforma, secciones consultadas, productos publicados.
• Datos de Usuarios Finales (comensales): Ventap no almacena en bruto la dirección IP ni el user-agent de los visitantes que abren el menú público. A partir de esos valores deriva un identificador pseudonimizado de sesión que rota diariamente y permite únicamente evitar contar al mismo visitante varias veces. Adicionalmente se registra una categoría de dispositivo (móvil, escritorio, etc.) inferida del user-agent. Véase la Sección 10 para el detalle del tratamiento analítico.

4. Finalidades del tratamiento

Los datos personales serán tratados con las siguientes finalidades:

• Crear, mantener y administrar la cuenta del Cliente y su acceso al Servicio.
• Prestar el Servicio contratado: publicación del menú, generación de QR/NFC, métricas y soporte.
• Gestionar la facturación, el cobro y el cumplimiento de obligaciones tributarias.
• Cumplir con obligaciones legales, contractuales o regulatorias aplicables.
• Atender peticiones, quejas, reclamos y solicitudes (PQR).
• Enviar comunicaciones operativas, técnicas o de seguridad relacionadas con la cuenta.
• Enviar comunicaciones comerciales y de marketing sobre nuevos productos o promociones, previa autorización del titular y con opción de retiro (opt-out).
• Realizar análisis estadísticos y de mejora del Servicio sobre datos agregados.
• Prevenir fraude, abuso o usos indebidos de la plataforma.

5. Bases de legitimación

El tratamiento de los datos personales se ampara en alguna de las siguientes bases:

• Autorización del titular otorgada al momento del registro o al activar funcionalidades específicas.
• Ejecución de un contrato en el que el titular es parte (la prestación del Servicio).
• Cumplimiento de obligaciones legales a cargo de la Compañía.
• Interés legítimo de la Compañía en mantener la seguridad de la plataforma y prevenir el fraude, siempre que no prevalezcan derechos del titular.

6. Derechos del titular

De conformidad con el artículo 8 de la Ley 1581 de 2012, todo titular podrá:

• Conocer los datos personales sobre los que se realiza el tratamiento.
• Actualizar y rectificar los datos cuando resulten parciales, inexactos, incompletos o induzcan a error.
• Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la normativa, previo trámite de consulta o reclamo ante la Compañía.
• Revocar la autorización y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales.
• Acceder de forma gratuita a los datos que hayan sido objeto de tratamiento.

7. Procedimiento para ejercer derechos

Los titulares (o sus causahabientes) podrán ejercer sus derechos enviando una comunicación a [email protected]con la siguiente información mínima:

• Nombres y apellidos completos del titular.
• Número de documento de identidad.
• Correo electrónico registrado en la plataforma.
• Descripción clara de la solicitud (consulta, reclamo, supresión, revocatoria, etc.).
• Anexos que sustenten la petición, si los hubiere.

Tiempos de respuesta: las consultas se resolverán dentro de los diez (10) días hábiles siguientes a su recepción; los reclamos dentro de los quince (15) días hábiles. Cuando no fuere posible responder en estos plazos, se informará al titular las razones de la demora y la nueva fecha de respuesta, que no podrá superar los cinco (5) ni los ocho (8) días hábiles adicionales, respectivamente.

8. Datos sensibles y de menores

Ventap, por la naturaleza de su Servicio, no requiere ni solicita datos sensibles (origen racial, convicciones religiosas, afiliación sindical, datos biométricos o de salud, entre otros). En caso de que un titular suministre voluntariamente datos sensibles, el tratamiento estará sujeto a autorización expresa y específica.

La Compañía no dirige sus servicios a menores de edad. El tratamiento de datos de niños, niñas y adolescentes se realizará únicamente cuando responda y respete su interés superior y se cuente con autorización expresa del representante legal.

9. Transferencia y transmisión de datos

La Compañía podrá compartir datos personales con terceros encargados (proveedores de infraestructura en la nube, pasarelas de pago, servicios de envío, herramientas analíticas) exclusivamente con las finalidades autorizadas y bajo contratos que garanticen el cumplimiento de la normativa colombiana.

Cuando la prestación del Servicio requiera transferir datos a países que no otorguen niveles adecuados de protección según la SIC, se solicitará autorización previa o se implementarán cláusulas contractuales tipo y demás garantías apropiadas.

10. Cookies, tecnologías similares y analítica del menú público

La plataforma utiliza cookies estrictamente necesarias para el funcionamiento (autenticación de sesión, preferencias del usuario y seguridad). El titular podrá configurar su navegador para rechazar o eliminar cookies; sin embargo, ello puede afectar el correcto funcionamiento del Servicio.

10.1 Analítica del menú público

Cuando un comensal abre el menú público de un establecimiento, Ventap registra métricas anónimas de uso (vistas, clics sobre productos y profundidad de scroll) con el único propósito de que el Cliente conozca cómo se consume su propio menú. No se realiza perfilado, publicidad, segmentación ni venta de datos a terceros. Para evitar contar al mismo visitante varias veces se utiliza un identificador pseudonimizado, derivado a partir de la dirección IP y el user-agent, que rota diariamente; los valores originales no se almacenan. Los registros se conservan por un máximo de doce (12) meses. El titular puede solicitar la supresión de los registros que le conciernan escribiendo a [email protected]. La base de legitimación es el interés legítimo del Cliente (responsable del tratamiento) de conocer el uso de su menú; Ventap actúa como encargado.

11. Medidas de seguridad

La Compañía implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre ellas:

• Cifrado de las comunicaciones mediante TLS.
• Almacenamiento de contraseñas mediante funciones de hash con sal.
• Autenticación basada en tokens JWT con rotación y expiración corta.
• Control de sesiones activas, con posibilidad de revocación inmediata.
• Registros de auditoría y monitoreo de accesos.
• Capacitación periódica al personal con acceso a datos personales.

No obstante lo anterior, ningún sistema es absolutamente infalible, por lo que la Compañía no garantiza la inexistencia de riesgos residuales.

12. Conservación y supresión

Los datos personales se conservarán mientras subsista la relación contractual con el Cliente y, terminada ésta, por los plazos legales aplicables (en particular, los términos de prescripción tributaria y comercial). Vencidos dichos plazos, los datos serán suprimidos o anonimizados de forma segura.

13. Encargados del tratamiento

Para la prestación del Servicio, Ventap se apoya en proveedores que actúan como encargados del tratamiento, entre los que pueden encontrarse:

• Proveedores de infraestructura en la nube e hosting de bases de datos.
• Proveedores de envío de correo electrónico y notificaciones.
• Pasarelas de pago para el cobro de los planes.
• Herramientas analíticas y de monitoreo de errores.
• Servicios de mensajería instantánea para soporte (WhatsApp Business).

Todos los encargados se encuentran obligados contractualmente al cumplimiento de la normativa colombiana de protección de datos.

14. Vigencia y modificaciones

La presente Política rige a partir de la fecha de su publicación y mientras existan bases de datos bajo el tratamiento de la Compañía. Ventap podrá modificarla en cualquier momento; los cambios sustanciales se comunicarán al titular por los canales habituales de contacto con una antelación razonable antes de su entrada en vigor.

15. Contacto

Para cualquier inquietud, ejercicio de derechos o presentación de quejas relacionadas con el tratamiento de datos personales, el titular podrá comunicarse con:

• Razón social: VENTAP S.A.S.
• Domicilio: Barranquilla, Atlántico, Colombia.
• Correo electrónico: [email protected]
• Autoridad de control: Superintendencia de Industria y Comercio — www.sic.gov.co