Política de Tratamiento de Datos Personales

1. Responsable del tratamiento

• Razón social: VENTAP S.A.S.
• Domicilio: Barranquilla, Atlántico, Colombia.
• Correo de contacto: [email protected]
• Oficial de Protección de Datos: el área de cumplimiento de la Compañía, contactable por el correo anterior.

2. Definiciones

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
• Responsable: persona que decide sobre la base de datos y/o el tratamiento (en este caso, VENTAP S.A.S.).
• Encargado: persona que, por cuenta del Responsable, realiza el tratamiento (p. ej. proveedores de hosting o de envío de correo).
• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento.

3. Datos personales que tratamos

Según la relación que el titular mantenga con la Compañía, podemos tratar las siguientes categorías de datos:

• Datos de identificación: nombres y apellidos, tipo y número de documento, NIT, fecha de nacimiento.
• Datos de contacto: correo electrónico, número de teléfono, dirección de envío del establecimiento.
• Datos comerciales: razón social del establecimiento, dirección, ciudad, tipo de negocio.
• Datos de facturación: información tributaria (NIT, razón social, dirección) e historial de pagos. El cobro se gestiona de forma manual y externa a la plataforma: Ventap no recibe ni almacena números de tarjeta ni credenciales bancarias.
• Datos de cuenta: credenciales hasheadas, tokens de sesión, dirección IP, identificador de dispositivo, registros de acceso.
• Datos de uso: métricas de navegación dentro de la plataforma, secciones consultadas, productos publicados.
• Datos de la aceptación contractual: al aceptar electrónicamente los documentos que rigen el Servicio se registran la identidad del usuario, la fecha y hora del servidor, la dirección IP, el agente de usuario y la categoría de dispositivo, junto con la versión y el texto exacto de cada documento aceptado. Véase la Sección 4.
• Datos de reservas (comensales): cuando un comensal solicita una reserva a través de la página pública de un establecimiento, se recogen nombre y apellido, número de teléfono, número de personas, fecha y hora solicitadas, una nota opcional y —de forma opcional— su correo electrónico. En este tratamiento el Responsable es el establecimiento y Ventap actúa como Encargado. Véase la Sección 11.
• Datos de contacto de visitantes del sitio web: nombre, correo electrónico, teléfono y nombre del negocio suministrados voluntariamente en el formulario de contacto, junto con el mensaje enviado, tratados únicamente para responder la solicitud.
• Datos analíticos de Usuarios Finales (comensales): Ventap no almacena en bruto la dirección IP ni el user-agent de los visitantes que abren el menú público. A partir de esos valores deriva un identificador pseudonimizado de sesión que rota diariamente y permite únicamente evitar contar al mismo visitante varias veces. Adicionalmente se registra una categoría de dispositivo (móvil, escritorio, etc.) inferida del user-agent. Véase la Sección 10 para el detalle del tratamiento analítico.

4. Finalidades del tratamiento

Los datos personales serán tratados con las siguientes finalidades:

• Crear, mantener y administrar la cuenta del Cliente y su acceso al Servicio.
• Prestar el Servicio contratado: publicación del menú, generación de QR/NFC, métricas y soporte.
• Gestionar la facturación, el cobro y el cumplimiento de obligaciones tributarias.
• Cumplir con obligaciones legales, contractuales o regulatorias aplicables.
• Atender peticiones, quejas, reclamos y solicitudes (PQR).
• Enviar comunicaciones operativas, técnicas o de seguridad relacionadas con la cuenta (restablecimiento y cambio de contraseña, alta de la cuenta, estado del plan y suspensiones).
• Gestionar las solicitudes de reserva realizadas por comensales: comunicarlas al establecimiento y notificar al comensal la confirmación, el rechazo o la cancelación, así como un recordatorio previo a la fecha reservada.
• Atender las solicitudes recibidas a través del formulario de contacto del sitio web.
• Acreditar la celebración del contrato y los términos aceptados, conservando la evidencia de la aceptación electrónica conforme a la Ley 527 de 1999.
• Enviar comunicaciones comerciales y de marketing sobre nuevos productos o promociones, previa autorización del titular y con opción de retiro (opt-out).
• Realizar análisis estadísticos y de mejora del Servicio sobre datos agregados.
• Prevenir fraude, abuso o usos indebidos de la plataforma.

5. Bases de legitimación

El tratamiento de los datos personales se ampara en alguna de las siguientes bases:

• Autorización del titular otorgada al momento del registro o al activar funcionalidades específicas.
• Ejecución de un contrato en el que el titular es parte (la prestación del Servicio).
• Cumplimiento de obligaciones legales a cargo de la Compañía.
• Interés legítimo de la Compañía en mantener la seguridad de la plataforma y prevenir el fraude, siempre que no prevalezcan derechos del titular.

6. Derechos del titular

De conformidad con el artículo 8 de la Ley 1581 de 2012, todo titular podrá:

• Conocer los datos personales sobre los que se realiza el tratamiento.
• Actualizar y rectificar los datos cuando resulten parciales, inexactos, incompletos o induzcan a error.
• Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la normativa, previo trámite de consulta o reclamo ante la Compañía.
• Revocar la autorización y/o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales.
• Acceder de forma gratuita a los datos que hayan sido objeto de tratamiento.

7. Procedimiento para ejercer derechos

Los titulares (o sus causahabientes) podrán ejercer sus derechos enviando una comunicación a [email protected]con la siguiente información mínima:

• Nombres y apellidos completos del titular.
• Número de documento de identidad.
• Correo electrónico registrado en la plataforma.
• Descripción clara de la solicitud (consulta, reclamo, supresión, revocatoria, etc.).
• Anexos que sustenten la petición, si los hubiere.

Tiempos de respuesta: las consultas se resolverán dentro de los diez (10) días hábiles siguientes a su recepción; los reclamos dentro de los quince (15) días hábiles. Cuando no fuere posible responder en estos plazos, se informará al titular las razones de la demora y la nueva fecha de respuesta, que no podrá superar los cinco (5) ni los ocho (8) días hábiles adicionales, respectivamente.

8. Datos sensibles y de menores

Ventap, por la naturaleza de su Servicio, no requiere ni solicita datos sensibles (origen racial, convicciones religiosas, afiliación sindical, datos biométricos o de salud, entre otros). En caso de que un titular suministre voluntariamente datos sensibles, el tratamiento estará sujeto a autorización expresa y específica.

Nota de la solicitud de reserva. El formulario de reservas incluye un campo de texto libre destinado a indicaciones logísticas para el establecimiento. Ventap no solicita en él datos sensibles y recomienda no incluirlos. Si el comensal decide suministrarlos de forma voluntaria (por ejemplo, una restricción alimentaria), dicha información se trata con la única finalidad de trasladarla al establecimiento para la atención de la reserva: no se analiza, no se enriquece, no se utiliza para segmentación ni se comunica a terceros distintos del establecimiento y del proveedor de envío de correo indicado en la Sección 14. Responder este campo nunca es obligatorio y su omisión no afecta la solicitud de reserva.

La Compañía no dirige sus servicios a menores de edad. El tratamiento de datos de niños, niñas y adolescentes se realizará únicamente cuando responda y respete su interés superior y se cuente con autorización expresa del representante legal.

9. Transferencia y transmisión de datos

La Compañía podrá compartir datos personales con terceros encargados (proveedores de infraestructura, de envío de correo y de distribución de contenido) exclusivamente con las finalidades autorizadas y bajo contratos que garanticen el cumplimiento de la normativa colombiana. La Compañía no vende, arrienda ni cede datos personales a terceros con fines comerciales.

Cuando la prestación del Servicio requiera transferir datos a países que no otorguen niveles adecuados de protección según la SIC, se solicitará autorización previa o se implementarán cláusulas contractuales tipo y demás garantías apropiadas.

Transmisiones internacionales vigentes. El envío de los correos descritos en la Sección 11 se realiza a través de Resend(Resend, Inc., Estados Unidos), que actúa como Encargado y recibe únicamente los datos necesarios para la entrega del mensaje: dirección de destino, asunto y contenido del correo. Esta transmisión se ampara en el contrato de tratamiento de datos suscrito con el proveedor, que incorpora las garantías exigidas por la normativa colombiana, y se realiza exclusivamente para las finalidades descritas en esta Política.

Las imágenes del menú se sirven a través de una red de distribución de contenido (Cloudflare), que procesa la dirección IP de quien solicita cada imagen con la única finalidad de entregarla y proteger la infraestructura frente a abusos. La infraestructura de servidores y el almacenamiento de archivos son gestionados directamente por la Compañía.

10. Cookies, tecnologías similares y analítica del menú público

La plataforma utiliza cookies estrictamente necesarias para el funcionamiento (autenticación de sesión, preferencias del usuario y seguridad). El titular podrá configurar su navegador para rechazar o eliminar cookies; sin embargo, ello puede afectar el correcto funcionamiento del Servicio.

En las páginas públicas (menú, página de enlaces y reservas) la Compañía no instala cookies publicitarias, de perfilado ni de terceros, y no incorpora etiquetas de redes sociales, píxeles ni herramientas de analítica externas. Sí se emplea el almacenamiento local del navegador(localStorage y sessionStorage) para recordar preferencias de visualización, no repetir una ventana emergente ya vista y no volver a mostrar una guía de uso. Esa información permanece en el dispositivo del visitante, no se transmite a la Compañía y puede borrarse desde el propio navegador.

10.1 Analítica del menú público

Cuando un comensal abre el menú público de un establecimiento, Ventap registra métricas anónimas de uso (vistas, clics sobre productos y profundidad de scroll) con el único propósito de que el Cliente conozca cómo se consume su propio menú. No se realiza perfilado, publicidad, segmentación ni venta de datos a terceros. Para evitar contar al mismo visitante varias veces se utiliza un identificador pseudonimizado, derivado a partir de la dirección IP y el user-agent, que rota diariamente; los valores originales no se almacenan. Los registros se conservan por un máximo de doce (12) meses. El titular puede solicitar la supresión de los registros que le conciernan escribiendo a [email protected]. La base de legitimación es el interés legítimo del Cliente (responsable del tratamiento) de conocer el uso de su menú; Ventap actúa como encargado.

11. Reservas y comunicaciones por correo electrónico

11.1 Solicitudes de reserva

Los establecimientos que activan el módulo de reservas publican un formulario en su página de Ventap. Los datos que allí suministra el comensal (nombre y apellido, teléfono, número de personas, fecha y hora, nota opcional y correo electrónico opcional) se recogen por cuenta del establecimiento, que es el Responsable del tratamiento; Ventap los aloja y procesa como Encargado y no los utiliza para finalidades propias.

El correo electrónico es opcional. Si el comensal no lo suministra, la solicitud se tramita igual y el establecimiento se comunica por teléfono; en ese caso Ventap no le envía ningún correo.

11.2 Correos dirigidos al comensal

Cuando el comensal ha suministrado su correo, Ventap envía por cuenta del establecimiento únicamente los siguientes mensajes, todos derivados de la propia solicitud del comensal:

• Confirmación, rechazo o cancelación de la reserva por parte del establecimiento.
• Un recordatorio el día anterior a la fecha reservada.

Se trata de comunicaciones transaccionales: no constituyen publicidad ni marketing, no se envían a quien no haya solicitado una reserva y no se utilizan para promocionar productos o servicios. El comensal puede solicitar la supresión de sus datos ante el establecimiento o escribiendo a [email protected].

11.3 Correos dirigidos al Cliente

A los titulares con cuenta en la plataforma, Ventap envía comunicaciones operativas necesarias para la prestación del Servicio: alta de la cuenta, restablecimiento y confirmación de cambio de contraseña, aviso de nuevas reservas, resumen diario de reservas (activable y desactivable por el propio Cliente), y avisos sobre el estado del plan o la suspensión de la cuenta.

Por su carácter operativo y de seguridad, estas comunicaciones no están sujetas a baja voluntaria mientras la cuenta permanezca activa. Las comunicaciones comerciales o de marketing, que sí requieren autorización y admiten retiro, se rigen por la Sección 4 y son independientes de las anteriores.

Ventap no garantiza la entrega ni la oportunidad de los correos, que dependen de terceros ajenos a su control (proveedores de correo, filtros antispam). El correo es un canal auxiliar de aviso: la información válida sobre el estado de una reserva es la que figura en el panel del establecimiento.

12. Medidas de seguridad

La Compañía implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre ellas:

• Cifrado de las comunicaciones mediante TLS.
• Almacenamiento de contraseñas mediante funciones de hash con sal.
• Autenticación mediante identificador de sesión opaco, almacenado en una cookie httpOnly con política SameSite=Strict.
• Control de sesiones activas, con posibilidad de revocación inmediata y cierre de sesión en todos los dispositivos ante un cambio de contraseña.
• Enlaces de restablecimiento de contraseña de un solo uso, con vigencia limitada y almacenados en forma de resumen criptográfico (nunca en claro).
• Registros de auditoría y monitoreo de accesos.
• Capacitación periódica al personal con acceso a datos personales.

No obstante lo anterior, ningún sistema es absolutamente infalible, por lo que la Compañía no garantiza la inexistencia de riesgos residuales.

12.1 Acceso del personal de Ventap a las cuentas

Para prestar soporte, diagnosticar incidencias y configurar cuentas, el personal autorizado de la Compañía puede acceder al panel de un Cliente y verlo tal como lo vería éste, incluyendo su menú, su configuración y las reservas recibidas. Esta facultad está sujeta a las siguientes garantías:

• Solo la ejercen cuentas con rol de administrador de VENTAP S.A.S., sujetas a deber de confidencialidad.
• Cada inicio y cada fin de acceso quedan registrados en una bitácora de auditoría con el responsable, la fecha y la dirección IP.
• Mientras el acceso está activo se muestra un aviso permanente en pantalla que lo identifica como tal.
• Se utiliza únicamente para las finalidades indicadas, nunca para explorar información sin causa ni para fines comerciales.

El Cliente puede solicitar el detalle de los accesos realizados sobre su cuenta escribiendo a [email protected].

13. Conservación y supresión

Los datos personales se conservarán mientras subsista la relación contractual con el Cliente y, terminada ésta, por los plazos legales aplicables (en particular, los términos de prescripción tributaria y comercial). Vencidos dichos plazos, los datos serán suprimidos o anonimizados de forma segura.

Reservas. Los datos de las solicitudes de reserva se conservan mientras el establecimiento mantenga activa su cuenta, ya que constituyen su historial de servicio. El establecimiento puede eliminar cualquier reserva en cualquier momento desde su panel, y la eliminación de la cuenta del establecimiento conlleva la supresión de todas sus reservas. Los registros analíticos del menú público se conservan por un máximo de doce (12) meses, según la Sección 10.

Evidencia de aceptación. Los registros de aceptación de los Términos y Condiciones, esta Política y el Contrato de Licencia se conservan mientras subsista la relación contractual y durante los plazos de prescripción aplicables una vez terminada, ya que constituyen la prueba del contrato. Por esa misma razón no se suprimen a solicitud mientras dichos plazos estén corriendo, conforme al artículo 9 del Decreto 1377 de 2013.

Formulario de contacto. Los mensajes recibidos se conservan durante el tiempo necesario para atender la solicitud y acreditar su gestión, y se suprimen cuando dejan de ser necesarios para esa finalidad.

14. Encargados del tratamiento

Para la prestación del Servicio, Ventap se apoya en proveedores que actúan como encargados del tratamiento, entre los que pueden encontrarse:

• Proveedores de infraestructura en la nube e hosting de bases de datos.
• Proveedores de envío de correo electrónico y notificaciones — actualmente Resend (Resend, Inc., Estados Unidos), para el correo transaccional descrito en la Sección 11.
• Redes de distribución de contenido (CDN) para la entrega de imágenes — Cloudflare.
• Servicios de mensajería instantánea para soporte (WhatsApp Business).

Todos los encargados se encuentran obligados contractualmente al cumplimiento de la normativa colombiana de protección de datos.

15. Vigencia y modificaciones

La presente Política rige a partir de la fecha de su publicación y mientras existan bases de datos bajo el tratamiento de la Compañía. Ventap podrá modificarla en cualquier momento; los cambios sustanciales se comunicarán al titular por los canales habituales de contacto con una antelación razonable antes de su entrada en vigor.

16. Contacto

Para cualquier inquietud, ejercicio de derechos o presentación de quejas relacionadas con el tratamiento de datos personales, el titular podrá comunicarse con:

• Razón social: VENTAP S.A.S.
• Domicilio: Barranquilla, Atlántico, Colombia.
• Correo electrónico: [email protected]
• Autoridad de control: Superintendencia de Industria y Comercio — www.sic.gov.co