Política de Tratamiento de Datos Personales

I. Quiénes somos

Tómalo S.A.S., sociedad comercial identificada con NIT 901.887.250-1, domiciliada en la ciudad de Bogotá, pone en conocimiento del público en general, la presente Política de Tratamiento de Datos Personales, a fin de dar cumplimiento con la Ley 1581 de 2012 y sus decretos reglamentarios.

Tómalo adopta medidas técnicas, humanas y administrativas orientadas a proteger la seguridad, la confidencialidad y el manejo adecuado de los datos personales de sus usuarios, colaboradores, proveedores y aliados, según la naturaleza de la información y los riesgos del tratamiento.

II. Alcance de la Política

La presente política establece los principios, parámetros y reglas de protección de datos que aplica Tómalo y que deben cumplir quienes traten información por su cuenta. Informa a los titulares sobre sus datos, finalidades, derechos y canales de atención; su consulta no reemplaza la autorización cuando esta sea requerida.

III. Marco Legal

• Artículo 15 de la Constitución Política de Colombia (Habeas Data).
• Ley 1266 de 2008.
• Ley 1581 de 2012 (Protección de Datos Personales).
• Ley 2157 de 2021 y Ley 2300 de 2023.
• Decretos reglamentarios (1377 de 2013, 886 de 2014, 1074 de 2015).
• Circular Única de la SIC.
• Ley 1480 de 2011, modificada, entre otras, por la Ley 2439 de 2024, y Ley 527 de 1999, en lo pertinente a soportes de transacciones y mensajes de datos. Ley 2573 de 2026, en lo aplicable a Tómalo y conforme a su régimen de entrada en vigencia.

IV. Definiciones

• Autorización: Consentimiento previo, expreso e informado del Titular.
• Base de Datos: Conjunto organizado de datos personales objeto de tratamiento.
• Dato personal: Información vinculada a personas naturales.
• Dato sensible: Aquellos que afectan la intimidad del Titular o pueden generar discriminación (origen racial, biométricos, etc.).
• Responsable del Tratamiento: Persona que decide sobre la base de datos (Tómalo).
• Titular: Persona natural cuyos datos sean objeto de Tratamiento.
• Tratamiento: Recolección, almacenamiento, uso, circulación o supresión de datos.
• Encargado del Tratamiento: Persona que realiza el tratamiento por cuenta de Tómalo y conforme a sus instrucciones.
• Transmisión: Comunicación de datos a un Encargado para tratar información por cuenta del Responsable, dentro o fuera de Colombia. Transferencia: Comunicación de datos a otro Responsable que decide sobre su tratamiento.
• Información financiera, crediticia, comercial y de servicios: Información relativa al nacimiento, cumplimiento y extinción de obligaciones dinerarias, sometida al régimen especial de habeas data financiero.

V. Principios

Cualquier operación de Tómalo se sujetará a los principios de: Legalidad, Finalidad, Libertad, Veracidad o Calidad, Transparencia, Acceso y Circulación Restringida, Seguridad y Confidencialidad.

Tómalo aplicará además criterios de necesidad, proporcionalidad, minimización y conservación limitada. Recolectará datos pertinentes para finalidades específicas, restringirá los accesos y eliminará o anonimizará de manera irreversible la información cuando deje de ser necesaria y no exista un deber de conservación. El cifrado, enmascaramiento o uso de hashes no convierte por sí solo los datos personales en información anónima.

VI. Finalidades del tratamiento de datos

Tómalo tratará los datos personales para:

• 1. Proporcionar información necesaria para utilizar los micro mercados, atender solicitudes sobre productos y servicios y comunicar novedades operativas relacionadas con la cuenta o las compras. El envío de publicidad se rige por la finalidad 5 y su autorización independiente.
• 2. Cumplir obligaciones contractuales.
• 3. Crear y administrar cuentas con los datos de identificación y contacto del Usuario; verificar y revalidar su identidad; proteger la cuenta; prevenir, detectar y gestionar fraude y suplantación; e identificar al comprador para dar trazabilidad a transacciones, obligaciones y reclamaciones. Para la validación documental se suministran al proveedor especializado el tipo de documento, el número de documento y la fecha de expedición. Tómalo tratará el resultado de la validación y los soportes estrictamente necesarios para estas finalidades. Los datos de la cuenta no se entienden enviados íntegramente al proveedor de identidad. La validación aquí descrita no incluye datos biométricos; su eventual tratamiento se sujetará al apartado VIII. El Usuario podrá solicitar revisión de inconsistencias mediante SAC y la validación no constituye prueba irrebatible de autoría de una compra.
• 4. Personalizar la experiencia y mejorar productos y servicios con los datos necesarios para ello, respetando las autorizaciones y preferencias aplicables y sin reutilizar para esta finalidad información archivada exclusivamente por razones legales o de controversias.
• 5. Enviar mercadeo, publicidad, promociones y campañas mediante los canales autorizados, como push, correo electrónico, WhatsApp, SMS o llamadas. Esta finalidad será opcional y requerirá una elección expresa e independiente de las autorizaciones necesarias para contratar. El titular podrá cancelar su recepción fácilmente, sin perder el acceso al servicio por esa decisión. Se respetarán los horarios, límites y mecanismos de exclusión legalmente aplicables.
• 6. Realizar análisis de consumo y de operación para mejorar el servicio, preferiblemente con información agregada o anonimizada. Cuando sea posible identificar a una persona, se mantendrán las restricciones y autorizaciones de protección de datos; la finalidad de análisis no habilita reutilizar indiscriminadamente los soportes retenidos tras cerrar una cuenta.
• 7. Consultar información financiera, comercial o de servicios relacionada con las obligaciones derivadas de compras, cuando resulte pertinente para su gestión y se cuente con la autorización y demás requisitos del régimen especial aplicable. Las consultas a listas restrictivas solo procederán para una finalidad de cumplimiento legal o prevención de riesgos aplicable y debidamente informada. La validación documental de identidad no implica por sí sola consultar el historial crediticio ni someter a todos los Usuarios a un régimen especial de prevención de lavado de activos.
• 8. Evaluar riesgos de fraude e incumplimiento asociados a compras y saldos pendientes, con información pertinente y bajo las autorizaciones y límites aplicables. Esta finalidad no supone ofrecer préstamos, cupos de crédito o financiación ni habilita perfiles ajenos a la relación con Tómalo.
• 9. Consultar, reportar, actualizar, rectificar y solicitar el retiro de información ante operadores de información financiera, crediticia, comercial y de servicios, con la autorización y requisitos aplicables. Antes de un reporte negativo se verificará la obligación y se cumplirán las comunicaciones previas, términos y reglas especiales legales. Se informarán pagos, abonos, acuerdos, correcciones y reclamaciones, y se atenderán los derechos del titular bajo la Ley 1266 de 2008 y sus modificaciones.
• 10. Gestionar pagos, procesar recaudos, ejecutar cobros totales o parciales, recuperar saldos pendientes y administrar cartera derivada de compras, incluidos los medios de pago registrados, habilitados y autorizados. Gestionar comunicaciones por los canales elegidos por el titular y conservar los soportes necesarios de las obligaciones. Esta finalidad de datos no sustituye la autorización de cobro ni permite utilizar medios revocados o cobrar por encima del saldo.
• 11. Cumplimiento de obligaciones laborales (empleados).
• 12. Comunicar incidentes de seguridad o situaciones urgentes que afecten la cuenta, los datos personales, las compras o la seguridad de los productos adquiridos. Esta finalidad no se utilizará para enviar publicidad sin autorización.
• 13. Recibir y resolver consultas, PQR, garantías, devoluciones, reversión de pagos y controversias; gestionar Tómalo Puntos y su historial de origen y movimientos, distinguiendo beneficios promocionales de puntos provenientes de devoluciones. Conservar evidencia de la elección voluntaria entre dinero y puntos y, cuando se solicite el cierre de cuenta con saldo de puntos, de la información suministrada sobre su origen, restricciones y consecuencias, así como de la confirmación expresa del Usuario conforme a los Términos y Condiciones. Estos soportes estarán sujetos a los límites de conservación del apartado XV.
• 14. Cumplir obligaciones legales, contables, comerciales y frente a autoridades competentes; conservar evidencia de compras, pagos, consentimientos, cartera y actuaciones estrictamente necesaria para ejercer o defender derechos. La conservación estará limitada a su finalidad y plazo correspondiente.
• 15. Seguridad y videovigilancia en puntos de venta.

Las imágenes de videovigilancia se utilizarán para seguridad y acreditación de hechos específicos, con información visible en los puntos de captura, acceso restringido y conservación proporcional. No se utilizarán como una autorización general para reconocimiento biométrico, publicidad o difusión pública.

Para proveedores y aliados se tratarán los datos de identificación, contacto y soporte necesarios para gestionar relaciones, pagos, cumplimiento y obligaciones legales. Para colaboradores se utilizará la información necesaria para la relación laboral, seguridad social y deberes aplicables, con las garantías adicionales que correspondan a datos sensibles.

VII. Transferencia y Transmisión de Datos

Tómalo comunicará únicamente datos pertinentes a proveedores tecnológicos, de pagos, de identidad y de cobranza que intervengan en las finalidades informadas, bajo las obligaciones de seguridad, confidencialidad e instrucciones que correspondan. Cuando actúen por cuenta de Tómalo serán Encargados. Los operadores de información, autoridades y otros Responsables recibirán datos solo cuando exista autorización o habilitación legal y dentro de sus competencias y finalidades. La pertenencia a un grupo empresarial no autoriza por sí sola el acceso o una finalidad nueva.

Tómalo podrá contratar y sustituir proveedores especializados para la validación documental de identidad, conservando su calidad de Responsable. Cuando el proveedor trate datos por cuenta de Tómalo actuará como Encargado, sujeto a instrucciones y obligaciones contractuales de seguridad, confidencialidad y tratamiento limitado a las finalidades autorizadas. Para la validación se suministran el tipo de documento, el número de documento y la fecha de expedición. La identidad y los datos de contacto del proveedor vigente, así como la información sobre el tratamiento que realiza por cuenta de Tómalo, podrán solicitarse a SAC. La sustitución del proveedor no amplía los datos ni las finalidades autorizadas; si el cambio implica modificaciones sustanciales del tratamiento, Tómalo las informará y obtendrá las autorizaciones adicionales que correspondan antes de implementarlas. Se aplicarán, cuando corresponda, las reglas sobre tratamiento fuera de Colombia del párrafo siguiente.

El tratamiento puede implicar transmisiones a proveedores ubicados fuera de Colombia. Tómalo aplicará las reglas del Decreto 1074 de 2015 y exigirá contratos que delimiten alcance, actividades, finalidades, seguridad, confidencialidad y obligaciones del Encargado. Cuando exista una transferencia a otro Responsable, se cumplirán el artículo 26 de la Ley 1581 de 2012 y los demás requisitos aplicables. Los mecanismos contractuales extranjeros no sustituyen el cumplimiento de la normativa colombiana.

VIII. Tratamiento de datos sensibles

Si se llegaran a tratar datos sensibles, incluidos los biométricos, Tómalo informará cuáles son, su finalidad específica y el carácter facultativo de responder, y obtendrá autorización explícita y diferenciada, salvo excepción legal. Ninguna actividad se condicionará al suministro de datos personales sensibles. La aceptación general de esta Política no autoriza por sí sola una captura biométrica ni activa todos los servicios que pueda ofrecer un proveedor. Se aplicarán medidas reforzadas de acceso, seguridad y conservación.

IX. Datos de menores de edad

Los servicios de compra no están dirigidos a menores de edad. El eventual tratamiento incidental de sus datos, por ejemplo en videovigilancia, respetará su interés superior y derechos fundamentales. Si en el futuro se habilitaran servicios para menores, se implementarán las garantías legales, la autorización del representante cuando proceda y la consideración de la opinión del menor según su madurez, sin presumir que la autorización del adulto es suficiente por sí sola.

X. Derechos de los Titulares

• Conocer, actualizar, rectificar y suprimir sus datos.
• Solicitar prueba de la autorización.
• Ser informado sobre el uso de sus datos.
• Presentar quejas ante la SIC.
• Revocar la autorización.
• Acceder gratuitamente a sus datos.

La supresión y revocación procederán cuando no exista un deber legal o contractual que exija conservar información. Tómalo explicará la causa y el alcance de cualquier conservación, sin mantener datos ajenos a esa necesidad. Para presentar quejas ante la SIC por protección de datos deberá agotarse previamente el trámite de consulta o reclamo ante el Responsable o Encargado cuando la ley lo exija. El régimen especial de información financiera se aplicará a los datos comprendidos en él.

XI y XII. Deberes de Tómalo y Encargados

Tómalo y sus encargados garantizarán el derecho de hábeas data, conservarán la seguridad de la información, tramitarán consultas y reclamos, y cumplirán las instrucciones de la SIC.

Tómalo documentará las autorizaciones, limitará los accesos según funciones, exigirá seguridad y confidencialidad a proveedores y atenderá incidentes y deberes de reporte ante la autoridad competente. Los datos de identidad, resultados de verificación, soportes de pago y registros técnicos tendrán controles acordes con su riesgo; su conservación no será indefinida por razones de conveniencia técnica.

XIII. Autorizaciones

Cuando la ley exija autorización, Tómalo la obtendrá de manera previa, informada y expresa, mediante una casilla de aceptación u otro mecanismo verificable. Antes de aceptar, el titular podrá consultar esta Política, la identificación y contacto del Responsable, las finalidades, sus derechos y el carácter facultativo de datos sensibles. Se conservará evidencia de la manifestación, la fecha, el titular y el texto o versión aceptada. Las excepciones legales al consentimiento no excluyen los demás deberes de protección de datos.

Para comunicaciones sobre obligaciones, el Usuario podrá autorizar expresamente WhatsApp, llamadas y correo electrónico como canales iniciales al aceptar los Términos y Condiciones y el texto de autorización correspondiente. Podrá solicitar su modificación mediante SAC; Tómalo conservará evidencia de la elección y de sus cambios y respetará los límites de contacto de la Ley 2300 de 2023. La autorización para publicidad será independiente y opcional. Los cambios sustanciales de esta Política se comunicarán oportunamente antes de implementarlos; las nuevas finalidades que requieran consentimiento solo se aplicarán después de obtenerlo. No se presumirá aceptación por silencio.

XIV. Ejercicio de los Derechos (Consultas y Reclamos)

Los Titulares pueden ejercer sus derechos a través de:

• Área de atención: Servicio al Cliente (SAC), que recibe y coordina el trámite de consultas y reclamos de protección de datos con las áreas competentes de Tómalo.
• Dirección: Calle 143 No. 47-32, Bogotá, Colombia.
• Correo electrónico: servicioalcliente@tomalo.app
• WhatsApp de Servicio al Cliente: +1 (555) 882-7812. También se puede acceder mediante el botón Servicio al Cliente de la aplicación, que dirige a WhatsApp; la conversación se realiza en ese canal externo.

Las consultas de datos personales se atenderán dentro de diez (10) días hábiles desde su recepción; si no es posible, se informarán los motivos y la nueva fecha antes del vencimiento, sin exceder cinco (5) días hábiles adicionales. Los reclamos se resolverán dentro de quince (15) días hábiles contados desde el día siguiente a su recepción; cuando proceda prórroga, se informará oportunamente su motivo y fecha, sin exceder ocho (8) días hábiles adicionales.

La solicitud deberá permitir identificar al titular o a su representante e incluir hechos, petición, canal de respuesta y soportes pertinentes. No se exigirán datos o formalidades desproporcionados. Bajo la Ley 1581 de 2012, si el reclamo está incompleto, se requerirá su corrección dentro de los cinco (5) días siguientes; transcurridos dos (2) meses sin aportar lo solicitado, se entenderá desistido. Si quien lo recibe no es competente, dará traslado dentro de dos (2) días hábiles e informará al interesado. Una vez completo, se incluirá la indicación de reclamo en trámite dentro de dos (2) días hábiles y hasta su resolución.

Para habeas data financiero se aplicará el trámite especial del artículo 16 de la Ley 1266 de 2008, incluidas las comunicaciones al operador, las reglas sobre suplantación y el efecto favorable del silencio cuando corresponda. En ese régimen, el desistimiento por no subsanar opera después de un (1) mes desde el requerimiento. Los plazos y actuaciones especiales se aplican con preferencia a las reglas generales anteriores.

XV. Término de conservación

Los datos serán conservados mientras exista la finalidad por la cual fueron recolectados y por el término que establezcan las leyes.

El titular podrá solicitar el cierre de su cuenta, la supresión de datos o la revocación de autorizaciones mediante los mecanismos habilitados y obtener orientación a través de SAC. Son solicitudes con efectos distintos: cerrar la cuenta no elimina por sí solo las obligaciones pendientes ni exige borrar inmediatamente todos los soportes. La existencia de deuda no impide presentar una solicitud de protección de datos ni justifica conservar información ajena a esa obligación. Tómalo evaluará su alcance, responderá en los términos legales y eliminará los datos cuya finalidad haya terminado, salvo deber de conservación. Podrá retener únicamente lo necesario para obligaciones legales o contractuales, soportes comerciales y contables, compras y pagos, cartera, PQR, controversias, defensa de derechos y requerimientos de autoridades. La conservación por fraude o controversia exigirá una necesidad concreta y revisión de su subsistencia.

Los datos retenidos después del cierre se mantendrán con acceso restringido y separados funcionalmente de la operación ordinaria. No se utilizarán para marketing, personalización, campañas ni funcionamiento normal de la cuenta. Se conservará evidencia mínima de lo eliminado, lo retenido, su fundamento y su plazo o condición de finalización. Las copias de seguridad seguirán ciclos controlados y no se restaurarán datos eliminados para reanudar usos no autorizados.

Los libros, papeles y soportes comerciales sujetos a conservación legal se mantendrán durante los términos aplicables, incluido el plazo de diez (10) años del artículo 28 de la Ley 962 de 2005 cuando corresponda. Ese plazo no se extiende automáticamente a todos los registros de verificación, imágenes o logs. Los soportes de controversias o deberes especiales se conservarán por el tiempo que estos requieran, documentando la causa.

La configuración de retención del proveedor de identidad no obliga a conservar todo dato hasta su vencimiento. Tómalo instruirá la supresión individual cuando deje de existir necesidad y no haya un deber de conservación. La permanencia de información en operadores de información financiera se regirá por sus normas especiales. Terminadas las causas de conservación, se eliminarán o anonimizarán irreversiblemente los datos que no deban mantenerse por otra finalidad legítima.

Aviso de Privacidad - Zona de Videovigilancia

Tómalo S.A.S., NIT 901.887.250-1, informa que en esta zona se captan y conservan imágenes para seguridad de personas y equipos y para esclarecer incidentes y controversias. El titular puede conocer, actualizar o rectificar sus datos y solicitar su supresión o revocar la autorización cuando proceda. Consulte la Política de Tratamiento de Datos Personales en www.tomalo.app o solicítela a servicioalcliente@tomalo.app. Atención por WhatsApp: +1 (555) 882-7812. Domicilio y dirección: Calle 143 No. 47-32, Bogotá, Colombia.

Fecha de entrada en vigencia de la política original: 16 de junio de 2025. Fecha de entrada en vigencia de esta actualización: 30 de septiembre de 2026, previa comunicación de los cambios sustanciales a los titulares. Los nuevos tratamientos que requieran consentimiento se iniciarán únicamente después de obtenerlo. Las bases de datos tendrán la vigencia necesaria para sus finalidades y deberes de conservación, conforme al apartado XV.