Política de tratamiento de datos personales

FOODBOX S.A.S. y Foodbox GO | Operación corporativa ecommerce y WhatsApp

Versión 3.1 | Entrada en vigencia 02 de octubre de 2026

1. OBJETO

Esta Política establece cómo FOODBOX S.A.S. recolecta, almacena, usa, comunica, transmite, transfiere y suprime datos personales en sus relaciones con proveedores, clientes empresariales, consumidores de Foodbox GO, transportistas y otros titulares vinculados a su operación. Su propósito es informar las finalidades del tratamiento, las garantías aplicables y la forma de ejercer los derechos sobre la información.

Ámbito de aplicación. Comprende las bases de datos de las relaciones comerciales y logísticas de FOODBOX, las visitas y compras en Foodbox GO por ecommerce en Shopify, y las comunicaciones por WhatsApp, correo, teléfono y formularios, exista o no una compra. Obliga a administradores, trabajadores, contratistas y encargados que intervengan en estos tratamientos. Los tratamientos de personal y otros grupos no desarrollados aquí deberán contar con finalidades, avisos y autorizaciones específicos cuando corresponda. Las normas obligatorias colombianas prevalecen; los términos de compra no sustituyen esta Política ni amplían las autorizaciones del titular.

Para consumidores de Foodbox GO. La sección 6.3 describe los datos y finalidades de ecommerce y WhatsApp; las secciones 7 a 10 explican autorización, derechos y atención de solicitudes; la sección 11 desarrolla proveedores, circulación de datos y cookies; y las secciones 12 y 15 regulan seguridad y conservación. Las finalidades de proveedores, importaciones, crédito empresarial y transportistas se aplican únicamente a esas relaciones, no por el solo hecho de comprar o consultar en Foodbox GO.

2. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

 

3. DEFINICIONES

Para efectos de esta Política, y conforme al artículo 3 de la Ley 1581 de 2012 y a la normativa reglamentaria, se entiende por:

1.     Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.

2.     Aviso de Privacidad: comunicación verbal o escrita generada por el Responsable, dirigida al Titular, mediante la cual se le informa sobre la existencia de la Política, la forma de acceder a ella y las finalidades del Tratamiento.

3.     Base de Datos: conjunto organizado de datos personales que sea objeto de Tratamiento.

4.     Causahabiente: quien acredite la calidad de sucesor del titular y esté legitimado conforme a la ley para ejercer los derechos sobre sus datos personales.

5.     Dato Personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

6.     Dato Público: dato que no es semiprivado, privado o sensible, como los relativos al estado civil, la profesión u oficio y la calidad de comerciante o servidor público.

7.     Dato Semiprivado: dato que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento interesa al Titular y a cierto sector o grupo de personas, como la información financiera y crediticia.

8.     Dato Privado: dato de naturaleza íntima o reservada, relevante solo para el Titular.

9.     Dato sensible: información cuya utilización puede afectar la intimidad o generar discriminación, incluidos los datos de salud, biométricos, origen racial o étnico, convicciones políticas, religiosas o filosóficas y vida sexual. Las imágenes que permitan identificar a una persona son datos personales; su tratamiento como información biométrica depende del uso y la tecnología empleados.

10.  Encargado del Tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el Tratamiento de datos personales por cuenta del Responsable.

11.  Responsable del Tratamiento: persona natural o jurídica que por sí misma o en asocio con otros decide sobre la base de datos y/o el Tratamiento de los datos. Para esta Política, FOODBOX.

12.  Titular: persona natural cuyos datos personales son objeto de Tratamiento.

13.  Transferencia: envío de datos por el Responsable o Encargado, ubicado en Colombia, a un receptor que a su vez es Responsable del Tratamiento y está dentro o fuera del país.

14.  Transmisión: Tratamiento de datos que implica su comunicación dentro o fuera de Colombia y que tiene por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

15.  Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.

4. PRINCIPIOS RECTORES

FOODBOX aplicará, de manera armónica e integral, los principios del artículo 4 de la Ley 1581 de 2012:

1.     Legalidad: el Tratamiento se sujeta a lo establecido en la ley y demás normas que la desarrollen.

2.     Finalidad: el Tratamiento obedece a finalidades legítimas, informadas al Titular.

3.     Libertad: el Tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular, salvo mandato legal o judicial.

4.     Veracidad o calidad: la información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

5.     Transparencia: se garantiza al Titular el derecho de obtener del Responsable, en cualquier momento y sin restricciones, información sobre la existencia de datos que le conciernan.

6.     Acceso y circulación restringida: el Tratamiento solo podrá hacerse por personas autorizadas por el Titular o por la ley.

7.     Seguridad: la información se maneja con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

8.     Confidencialidad: todas las personas que intervengan en el Tratamiento están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con las labores de Tratamiento.

5. TRATAMIENTO DE DATOS SENSIBLES Y DE MENORES DE EDAD

5.1. Datos sensibles. En Foodbox GO y el ecommerce no se solicitan datos sensibles para comprar. En los demás procesos de FOODBOX solo podrán tratarse bajo una excepción legal aplicable y con autorización expresa cuando corresponda. La seguridad o el control de acceso no constituyen, por sí solos, una exención de autorización. Los certificados médicos o datos de salud se limitarán a lo que resulte necesario y legalmente permitido, sin recolectar información clínica adicional innecesaria.

9.     Se informará al Titular que no está obligado a autorizar el Tratamiento de este tipo de datos.

10.  Se identificarán de manera previa y explícita los datos sensibles solicitados y su finalidad, y se obtendrá consentimiento expreso cuando sea exigible. Se conservará su prueba separada y verificable.

11.  No se condicionará una actividad a entregar datos sensibles cuando no exista una exigencia legal específica. Cuando el mecanismo de acceso utilice biometría voluntaria se habilitará una alternativa adecuada. Si se reciben datos sensibles espontáneamente por el chat, se limitará su acceso y se eliminará lo innecesario conforme al procedimiento interno, salvo una obligación de conservación aplicable.

5.2. Niños, niñas y adolescentes. Los servicios de venta de Foodbox GO están dirigidos a mayores de 18 años. No se solicitarán intencionalmente datos de menores para compras, cuentas o publicidad. Cuando se advierta su recepción se verificará la situación, se evitará su uso comercial y se suprimirán los datos que no deban conservarse. Cualquier tratamiento excepcional legalmente procedente deberá respetar el interés superior y los derechos fundamentales del menor, obtener la autorización de su representante cuando sea exigible y garantizar el derecho del menor a ser escuchado según su madurez y capacidad de comprensión. El representante podrá solicitar la revisión del caso por los canales de la sección 9.

6. FINALIDADES DEL TRATAMIENTO POR BASE DE DATOS

6.1 Base de Datos de Proveedores nacionales e internacionales

Datos tratados: nombre o razón social, NIT o identificador tributario en origen, datos de representantes legales y personas de contacto (nombre, cargo, correo, teléfono), datos bancarios para pagos, certificaciones sanitarias, referencias comerciales y documentos de soporte.

Finalidades:

1.     Evaluar, seleccionar, vincular y registrar al proveedor, incluida la debida diligencia comercial, reputacional y de prevención del lavado de activos y la financiación del terrorismo (LA/FT).

2.     Gestionar cotizaciones, órdenes de compra, contratos, pagos, conciliaciones y demás obligaciones derivadas de la relación comercial.

3.     Adelantar el control de calidad en origen: auditorías, inspecciones a plantas frigoríficas y de faenado, y verificación de certificados sanitarios y de habilitación de plantas exportadoras.

4.     Garantizar la trazabilidad sanitaria del producto (lote, planta de origen, fechas de producción y vencimiento, cadena de temperatura) y atender los requerimientos del INVIMA y de las demás autoridades sanitarias competentes.

5.     Tramitar la importación y nacionalización de la mercancía: declaraciones de importación, licencias, registros y autorizaciones ante la DIAN, la Ventanilla Única de Comercio Exterior (VUCE), el INVIMA y demás autoridades, así como la coordinación con agentes de aduana, agentes de carga, navieras, puertos y depósitos habilitados.

6.     Atender reclamaciones, garantías, devoluciones y controversias comerciales.

7.     Cumplir obligaciones contables, fiscales, aduaneras, cambiarias y regulatorias, y atender requerimientos de autoridades judiciales o administrativas.

8.     Transmitir o transferir los datos a Encargados o terceros en el país o en el exterior, conforme a la sección 11.

6.2 Clientes empresariales

Datos tratados: identificación y contacto de personas naturales, representantes y contactos autorizados; direcciones de facturación y despacho; información tributaria, comercial y crediticia pertinente; historial de pedidos y pagos; documentos de vinculación; y registros de PQR y encuestas. No todos estos datos se solicitan a todos los clientes: su recolección depende del tipo de relación y de su necesidad. La razón social y demás información de personas jurídicas se distinguen de los datos personales de sus representantes y contactos.

Finalidades:

1.     Registrar al cliente, verificar su identidad y evaluar su vinculación comercial, incluida la validación de riesgos LA/FT y el análisis de cupos de crédito.

2.     Gestionar cotizaciones, pedidos, ventas, contratos y la atención posventa.

3.     Expedir facturación electrónica y demás documentos soporte, y transmitir la información a la DIAN y a los proveedores tecnológicos autorizados de facturación electrónica.

4.     Programar, ejecutar y confirmar despachos y entregas de mercancía congelada, incluida la coordinación de ventanas de recepción, el registro de temperatura de entrega y la constancia de recibido.

5.     Adelantar seguimiento de cartera y gestiones de cobro conforme a los canales, horarios y restricciones aplicables. La consulta y el reporte a operadores de información financiera y crediticia se someterán al régimen especial de la Ley 1266 de 2008 y sus modificaciones, incluidas las autorizaciones, comunicaciones previas y garantías exigibles. La aceptación general de esta Política no reemplaza esos requisitos ni habilita consultas crediticias indiscriminadas a consumidores que compren de contado.

6.     Realizar encuestas de satisfacción, mediciones de calidad del servicio y estudios de mejora.

7.     Enviar novedades, catálogos y promociones de FOODBOX únicamente con autorización expresa para las finalidades comerciales aplicables, respetando los canales elegidos y los mecanismos de retiro de publicidad de la sección 7.6.

8.     Atender solicitudes de información, retiros de producto, alertas sanitarias y reclamaciones de calidad. Esto incluye contactar a los clientes que hayan recibido lotes específicos ante una alerta o retiro ordenado por el INVIMA u otra autoridad.

9.     Gestionar los canales comerciales y las solicitudes precontractuales de los clientes empresariales. Cuando una persona compre como consumidor final, se aplicarán también las reglas específicas de la sección 6.3.

10.  Cumplir obligaciones legales, contables y tributarias, y atender requerimientos de autoridades.

6.3 Foodbox GO ecommerce y WhatsApp

Datos tratados. Según la interacción y los servicios utilizados: nombre, documento cuando sea necesario para facturación o identificación, correo, teléfono, dirección de entrega y facturación, instrucciones de entrega, datos del destinatario, identificadores de cuenta, preferencias, historial de pedidos, pagos, cambios y devoluciones; comunicaciones y solicitudes por WhatsApp, correo o formularios; y registros de autorización y preferencias de privacidad.

Para autenticación se tratan los datos que exija la modalidad de cuenta habilitada, como correo e identificadores de acceso. FOODBOX no solicitará contraseñas, códigos de verificación ni claves bancarias por WhatsApp. Los datos completos de tarjetas son procesados por la pasarela correspondiente y no se almacenan en los sistemas propios de FOODBOX. Cuando una devolución o pago requiera información bancaria del titular, solo se solicitarán los datos indispensables por el canal autorizado.

Cuando las herramientas configuradas lo requieran, podrán tratarse dirección IP, navegador, dispositivo, identificadores y eventos de navegación como productos consultados o agregados al carrito. Los tratamientos mediante cookies y tecnologías similares se sujetan a la sección 11.6 y a las preferencias y autorizaciones aplicables.

Fuentes. Los datos se reciben directamente del titular al escribir, comprar o crear una cuenta; de los registros técnicos de la tienda, bajo las reglas de privacidad aplicables; y de proveedores de plataforma, pagos, mensajería o logística para las finalidades autorizadas o legalmente permitidas. Comprar, consultar o visitar no constituye por sí solo una autorización general para publicidad.

Finalidades de atención y operación del servicio

•    Responder consultas, cotizaciones y solicitudes, aunque no se concrete una compra, y conservar los registros necesarios para atenderlas.

•    Crear y administrar la cuenta solicitada, autenticar el acceso y gestionar preferencias funcionales del usuario.

•    Recibir y gestionar pedidos; tramitar pagos y confirmaciones; expedir facturas y soportes; y gestionar cancelaciones, devoluciones y reembolsos cuando procedan.

•    Verificar cobertura, organizar despachos, coordinar entregas o reprogramaciones y comunicar información estrictamente relacionada con el pedido o la atención solicitada.

•    Atender solicitudes y reclamaciones de calidad, garantías y derechos del consumidor; gestionar alertas sanitarias o retiros de lotes; y conservar las evidencias pertinentes.

•    Proteger las cuentas y transacciones, prevenir fraude y atender incidentes, mediante tratamientos proporcionales y las autorizaciones o excepciones legales aplicables.

•    Cumplir obligaciones legales, contables, tributarias y de trazabilidad, y atender requerimientos legítimos de autoridades.

Finalidades opcionales sujetas a elección del titular

•    Enviar novedades, catálogos, ofertas y promociones por los canales autorizados. Los recordatorios de carritos abandonados enviados por iniciativa comercial se incluirán en esta autorización.

•    Realizar medición no indispensable, publicidad personalizada, segmentación o perfilamiento comercial basado en navegación y compras, únicamente para las herramientas y finalidades informadas y autorizadas cuando sea exigible. No se utilizarán datos sensibles para estos fines.

Negarse a las finalidades opcionales no impide comprar ni recibir atención. Los análisis realizados con información efectivamente anonimizada se diferencian de los que permiten identificar al titular. La política no habilita herramientas, cesiones ni funciones que no hayan sido informadas y configuradas de forma compatible con la autorización.

Datos de un tercero destinatario. Cuando el comprador suministre información de quien recibe el pedido, deberá contar con una habilitación válida para comunicarla. FOODBOX la limitará a la entrega y sus incidencias, informará su tratamiento por un medio adecuado y obtendrá la autorización exigible. El destinatario no se incorporará a listas de publicidad por el solo hecho de recibir un pedido.

6.4 Transportistas y logística

Datos tratados: identificación de empresas transportadoras, conductores y auxiliares; licencia de conducción, tarjeta de propiedad, placas, SOAT y revisión técnico-mecánica; afiliaciones a seguridad social; datos de contacto; información de rutas, geolocalización y telemetría de vehículos y equipos de frío; registros de acceso a bodegas; imágenes de cámaras de seguridad; y, cuando aplique, datos biométricos sensibles como la huella dactilar. Las fotografías y videos identificables son datos personales; su clasificación como biométricos depende del uso y la tecnología empleados.

Finalidades:

1.     Seleccionar, vincular y evaluar a transportistas y operadores logísticos, y verificar el cumplimiento de requisitos legales y sanitarios del transporte de alimentos refrigerados o congelados.

2.     Planear, asignar y coordinar rutas de distribución en cadena de frío, incluido el monitoreo de ubicación y de temperatura durante el transporte.

3.     Controlar la entrega de mercancía: registro de cargue y descargue, actas y guías de despacho, sellos de seguridad y evidencias de entrega.

4.     Verificar la seguridad en la cadena de suministro: validación de identidad de conductores y vehículos, consulta en listas restrictivas y de control (LA/FT) cuando resulte pertinente, control de acceso a instalaciones, y prevención de fraude, hurto o contaminación de la carga.

5.     Investigar y gestionar incidentes: pérdida de cadena de frío, siniestros, faltantes, averías o reclamaciones de seguros.

6.     Verificar el cumplimiento de obligaciones laborales, de seguridad social y de seguridad y salud en el trabajo, cuando FOODBOX deba exigirlas contractualmente.

7.     Cumplir obligaciones contractuales, contables, fiscales y regulatorias, y atender requerimientos de autoridades.

6.5 Finalidades comunes

En todas las bases de datos, FOODBOX podrá tratar los datos para: (i) mantener registros de auditoría y de cumplimiento normativo; (ii) garantizar la seguridad de sus instalaciones y de su información; (iii) ejercer sus derechos de defensa en procesos judiciales o administrativos; y (iv) realizar análisis estadísticos o de mejora operativa con información anonimizada cuando sea posible.

7. AUTORIZACIÓN DEL TITULAR

7.1. Regla general. El Tratamiento de datos personales requiere autorización previa, expresa e informada del Titular, salvo los casos exceptuados por el artículo 10 de la Ley 1581 de 2012: información requerida por entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, datos de naturaleza pública, casos de urgencia médica o sanitaria, Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y datos relacionados con el Registro Civil.

7.2. Mecanismos. La autorización podrá obtenerse por escrito, oralmente o mediante una conducta inequívoca que permita demostrar su otorgamiento informado. Se utilizarán formatos, cláusulas específicas, casillas sin premarcar o respuestas y botones de WhatsApp precedidos de información clara sobre el responsable, los datos y finalidades pertinentes, los derechos y el acceso a esta Política. El silencio, una casilla premarcada o la simple publicación de la Política no constituyen autorización. Una visita o un saludo no habilitan por sí solos publicidad ni tratamientos adicionales.

7.3. Prueba. FOODBOX conservará evidencia de la autorización y del aviso presentado durante el tratamiento y por los plazos legales aplicables. Los registros deberán permitir identificar al titular o su identificador verificable, el canal, la fecha, la manifestación de voluntad y la versión del texto y finalidades informadas. En los canales digitales se conservarán por separado las elecciones para operación, publicidad y tecnologías de seguimiento, según corresponda.

7.4. Revocatoria. El titular puede solicitar revocatoria total o parcial y supresión de sus datos, sin tener que demostrar previamente una infracción ni obtener una orden de la SIC. Se conservará exclusivamente la información que deba permanecer por una obligación legal o contractual, o por otra habilitación legal concreta, para esa finalidad y durante el tiempo necesario. Conservar documentos de una compra no autoriza continuar utilizando el contacto para publicidad.

7.5. Información suministrada por personas jurídicas. El proveedor, cliente o transportista deberá contar con habilitación para entregar los datos de sus representantes y contactos. FOODBOX verificará el alcance de esa habilitación cuando corresponda e informará sus propias finalidades. La declaración del tercero no libera a FOODBOX de sus obligaciones como responsable ni permite tratar información por finalidades no autorizadas.

7.6. Comunicaciones comerciales. La autorización para novedades, promociones y publicidad será opcional y diferenciada de la requerida para atender la solicitud o compra. Se identificarán los canales autorizados, se conservará evidencia y se respetarán las restricciones de la Ley 2300 de 2023, las reglas del Registro de Números Excluidos y las instrucciones vigentes aplicables. El titular podrá retirar esta autorización sin afectar sus pedidos, usando la cancelación de suscripción del correo o una solicitud por WhatsApp o correo. Los mensajes de pedido o seguridad no incorporarán publicidad para eludir la elección del titular.

7.7. Interacciones posteriores. Una autorización válida y comprobable puede amparar posteriores conversaciones y compras dentro de las finalidades y el alcance informados, mientras su tratamiento siga siendo procedente. No se solicitará nuevamente por el solo inicio de otro chat o sesión. Se gestionará una nueva autorización cuando se incorpore una finalidad que la requiera y no esté cubierta. Si no puede acreditarse la autorización, existe revocatoria o resulta insuficiente su alcance, se regularizará la situación antes del tratamiento que la exija. La Política permanecerá accesible.

8. DERECHOS DE LOS TITULARES

Conforme al artículo 8 de la Ley 1581 de 2012, los Titulares tienen derecho a:

1.     Conocer, actualizar y rectificar sus datos personales frente a FOODBOX o a los Encargados. Este derecho puede ejercerse, entre otros casos, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o cuyo Tratamiento esté prohibido o no haya sido autorizado.

2.     Solicitar prueba de la autorización otorgada, salvo cuando esta no sea necesaria conforme a la ley.

3.     Ser informado, previa solicitud, del uso que se ha dado a sus datos personales.

4.     Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante FOODBOX (artículo 16 de la Ley 1581 de 2012).

5.     Revocar la autorización total o parcialmente y solicitar la supresión de datos en los términos de la sección 10.3. Cuando exista un tratamiento contrario a la ley, el titular también podrá acudir a la SIC por los procedimientos aplicables.

6.     Acceder en forma gratuita a sus datos personales objeto de Tratamiento. El acceso será gratuito al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta Política que motiven nuevas consultas.

Legitimación para ejercer los derechos. Podrán hacerlo: (i) el Titular, acreditando su identidad; (ii) sus causahabientes, acreditando dicha calidad; (iii) su representante legal o apoderado, con poder que acredite la representación; y (iv) quien actúe por estipulación a favor de otro o para otro.

9. ÁREA RESPONSABLE Y CANALES DE ATENCIÓN DE PETICIONES, QUEJAS Y RECLAMOS PQR

9.1. Área responsable. El Área Comercial y Servicio al Cliente es el área designada para recibir, tramitar y responder las solicitudes y coordinar el cumplimiento de esta Política. La recepción por los canales indicados activa el trámite y no obliga al titular a reenviar su solicitud internamente.

El correo oficial para solicitudes de datos personales es atencionalcliente@foodbox.com.co. No se exige utilizar un formulario web ni crear una cuenta para ejercer derechos.

9.2. Canales de atención.

 

10. PROCEDIMIENTO PARA EL EJERCICIO DE LOS DERECHOS

10.1 Consultas acceso a la información

1.     El titular o su legitimado presentará la consulta por cualquiera de los canales de la sección 9.2, indicando su identificación y la información que desea consultar. FOODBOX verificará la identidad con medios proporcionales a la solicitud y dejará constancia de recepción. No se exigirá información adicional innecesaria para el trámite.

2.     FOODBOX responderá la consulta en un máximo de diez (10) días hábiles contados a partir de la fecha de recibo.

3.     Si no fuere posible atenderla en dicho término, FOODBOX informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar cinco (5) días hábiles adicionales al vencimiento del primer plazo (artículo 14 de la Ley 1581 de 2012).

10.2 Reclamos actualización, rectificación, supresión, revocatoria o presunto incumplimiento

Contenido del reclamo. Deberá presentarse mediante solicitud dirigida a FOODBOX, con:

4.     Identificación del titular suficiente para verificar su identidad y localizar la información correspondiente.

5.     Descripción clara de los hechos que dan lugar al reclamo.

6.     Dirección física o electrónica para recibir la respuesta.

7.     Los documentos que se quieran hacer valer (por ejemplo, soportes de la corrección solicitada).

Trámite (artículo 15 de la Ley 1581 de 2012):

1.     Reclamo incompleto. Si el reclamo está incompleto, FOODBOX requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde el requerimiento sin que el solicitante presente la información, se entenderá que ha desistido del reclamo.

2.     Reclamo en trámite. Recibido el reclamo completo, FOODBOX incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo, en un término no mayor a dos (2) días hábiles. Esta leyenda se mantendrá hasta que el reclamo sea decidido.

3.     Plazo de respuesta. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

4.     Prórroga. Cuando no fuere posible atenderlo dentro de dicho término, FOODBOX informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar ocho (8) días hábiles siguientes al vencimiento del primer término.

5.     Competencia. Si FOODBOX no es competente para resolver el reclamo, lo trasladará a quien corresponda en un máximo de dos (2) días hábiles e informará de ello al reclamante.

10.3 Supresión y revocatoria

La supresión podrá ser total o parcial. Una solicitud no se negará por la sola conveniencia comercial de FOODBOX. Podrá limitarse únicamente en la medida en que exista una obligación legal o contractual de conservación, o una habilitación legal específica que justifique mantener datos determinados. En particular:

6.     Se conservarán los datos indispensables para cumplir las obligaciones legales o contractuales que deban permanecer, por el plazo aplicable y con acceso restringido.

7.     Cuando exista una actuación judicial, administrativa o reclamación concreta que justifique conservar información, se identificará su fundamento, necesidad y duración, y se limitará el tratamiento a esa actuación.

8.     La respuesta explicará qué datos se eliminan, qué datos deben conservarse y por qué, y cómo se atiende la revocatoria parcial. Retirar la autorización publicitaria supone detener ese uso aunque permanezcan facturas, soportes o evidencias de un pedido. Cuando proceda, FOODBOX coordinará la atención de la solicitud con sus encargados.

10.4 Requisito de procedibilidad

El Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio (Delegatura para la Protección de Datos Personales) una vez haya agotado el trámite de consulta o reclamo ante FOODBOX.

10.5 Gratuidad

El ejercicio de derechos es gratuito. Para consultas de acceso que excedan una por mes calendario, solo podrán cobrarse los gastos legalmente permitidos de envío, reproducción o certificación, debidamente justificados y sin superar el costo de recuperación del material. No se cobrarán estas sumas por la consulta motivada por cambios sustanciales de la Política ni como condición para rectificar, suprimir o revocar.

11. TRANSMISIÓN Y TRANSFERENCIA NACIONAL E INTERNACIONAL DE DATOS

La operación comercial, logística y digital puede requerir comunicar datos a terceros nacionales o extranjeros. FOODBOX distinguirá si el destinatario trata información por sus instrucciones, como encargado, o decide sus propias finalidades, como responsable independiente. La existencia de un servicio tecnológico no determina por sí sola esa clasificación.

11.1. Transmisión a encargados. Para las finalidades autorizadas o legalmente permitidas, FOODBOX podrá comunicar los datos pertinentes a proveedores que operen por su cuenta y bajo sus instrucciones. Según el servicio utilizado pueden intervenir:

9.     Agentes de aduana y agencias de carga.

10.  Inspectoras y laboratorios de calidad en origen y en destino.

11.  Operadores logísticos y de almacenamiento en frío.

12.  Proveedores de facturación electrónica, ecommerce, software, nube, soporte técnico y mensajería, incluido el proveedor del bot de WhatsApp, cuando actúen por instrucciones de FOODBOX.

13.  Prestadores de cobranza, seguridad, encuestas, analítica o publicidad, únicamente en los tratamientos en que actúen como encargados y respetando las autorizaciones opcionales aplicables.

FOODBOX documentará las instrucciones y obligaciones de sus encargados. Para las transmisiones internacionales se aplicarán los artículos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015. Cuando exista el contrato de transmisión exigido, la norma permite realizarlas sin consentimiento adicional específico para esa transmisión. Esta regla no elimina la autorización u otra habilitación legal exigible para recolectar y tratar originalmente los datos. Los acuerdos deberán cubrir:

14.  Los alcances del Tratamiento.

15.  Las actividades que el Encargado realizará por cuenta de FOODBOX.

16.  La obligación de tratar los datos conforme a esta Política y a la Ley 1581 de 2012.

17.  El deber de salvaguardar la seguridad de las bases de datos y guardar confidencialidad.

11.2. Transferencia a responsables independientes. Solo se comunicarán datos a quienes decidan sus propias finalidades cuando exista autorización válida u otra habilitación legal aplicable. Pueden intervenir pasarelas, entidades financieras, aseguradoras, autoridades u otros terceros según el tratamiento concreto. La publicidad y la analítica no se considerarán automáticamente indispensables para prestar una compra. Los datos se limitarán a la finalidad que justifica cada comunicación. FOODBOX no comercializa bases de datos personales.

11.3. Reglas para transferencias internacionales (artículo 26 de la Ley 1581 de 2012). Está prohibida la transferencia de datos personales a países que no proporcionen niveles adecuados de protección de datos, conforme a los estándares fijados por la SIC. Esta prohibición no aplica en los siguientes casos, que FOODBOX invocará según corresponda:

•        Cuando el Titular haya otorgado su autorización expresa e inequívoca para la transferencia.

•        Intercambio de datos de carácter médico, cuando así lo exija el Tratamiento del Titular por razones de salud o higiene pública.

•        Transferencias bancarias o bursátiles, conforme a la legislación que les resulte aplicable.

•        Transferencias acordadas en el marco de tratados internacionales en los que Colombia sea parte.

•        Transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable, o para la ejecución de medidas precontractuales, siempre que exista autorización del Titular.

•        Transferencias legalmente exigidas para la salvaguardia del interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

Antes de una transferencia internacional FOODBOX verificará el país de destino, el rol del receptor y el mecanismo permitido por la normativa colombiana: nivel adecuado conforme a la SIC, una excepción legal aplicable o una declaración de conformidad cuando corresponda. Una referencia a servidores extranjeros o la aceptación general de esta Política no reemplaza esa verificación ni una autorización expresa e informada cuando sea la excepción utilizada.

11.4. Garantías y operaciones corporativas. FOODBOX verificará los compromisos de confidencialidad, seguridad, limitación de finalidades y atención de derechos de sus proveedores, y conservará los soportes disponibles. En fusiones, adquisiciones o reorganizaciones, una eventual comunicación de datos se limitará a lo necesario y legalmente permitido, con medidas de reserva. Estas operaciones no autorizan automáticamente nuevas finalidades ni la difusión indiscriminada de bases de datos.

11.5. Shopify. Foodbox GO utiliza Shopify para alojar y operar la tienda. En los tratamientos prestados por cuenta de FOODBOX, la relación se rige por los términos y el anexo de tratamiento de datos (DPA) aplicables, sin que ello sustituya las obligaciones de FOODBOX bajo la ley colombiana. FOODBOX conservará y revisará los términos de la entidad con la que contrata y las condiciones de los servicios utilizados.

Shopify Network Intelligence está habilitado en Foodbox GO. A través de esta función, Shopify puede combinar información de interacciones con esta tienda, otros comercios y sus propios servicios para ofrecer los Servicios Mejorados, como mejoras de funcionamiento, personalización y apoyo a funciones publicitarias. En esos tratamientos Shopify puede actuar como responsable independiente. Su alcance debe corresponder a los servicios realmente utilizados y a las elecciones y autorizaciones exigibles del titular. La activación de esta función no equivale a una autorización del cliente ni permite activar indiscriminadamente todas las finalidades opcionales. Las relaciones directas del usuario con servicios propios de Shopify, si los utiliza, se rigen también por sus avisos específicos.

La información sobre el tratamiento propio de Shopify está disponible en https://www.shopify.com/legal/privacy/consumers y su portal de derechos en https://privacy.shopify.com/es. El DPA se puede consultar en https://www.shopify.com/legal/dpa. FOODBOX sigue siendo el contacto para las solicitudes sobre los tratamientos a su cargo y coordinará las actuaciones pertinentes con Shopify cuando intervenga como encargado.

Shopify y sus proveedores pueden procesar datos fuera de Colombia. El alojamiento y los destinatarios dependen de la infraestructura y servicios utilizados, por lo que no se limita la información a una afirmación genérica de servidores en Estados Unidos o Canadá. FOODBOX identificará los destinatarios y países pertinentes en su registro interno, aplicará las garantías de esta sección y proporcionará información sobre el uso y circulación de los datos ante una solicitud del titular.

11.6. Cookies y tecnologías similares. Esta sección contiene la información de cookies de Foodbox GO y forma parte de la Política única. Las cookies son pequeños archivos que se guardan en el navegador; otras tecnologías, como píxeles, etiquetas o almacenamiento local, pueden cumplir funciones similares. Algunas duran solo durante la sesión y otras permanecen durante un período definido o hasta que se eliminan.

Categorías y finalidades. Shopify proporciona tecnologías para operar la tienda, conservar el carrito y la sesión, recordar elecciones y apoyar la seguridad. Su necesidad técnica no crea por sí sola una excepción general al régimen colombiano de datos personales. Las categorías opcionales de medición y los usos publicitarios o de perfilamiento que requieran autorización deben permanecer desactivados hasta obtener la elección correspondiente. Comprar o visitar la tienda no equivale a aceptar esas finalidades.

Elección y cambio de preferencias. El aviso de cookies de la tienda ofrece aceptar, rechazar y configurar las categorías. Actualmente no hay un acceso permanente implementado para volver a abrir el panel de preferencias después de cerrar el aviso. Para solicitar orientación, retirar una autorización o pedir el cambio de un tratamiento, puedes escribir a atencionalcliente@foodbox.com.co. FOODBOX tramitará la solicitud conforme a esta Política. Este canal de atención no equivale a un control automático sobre las cookies del dispositivo.

Medición con Shopify y Google Analytics. Foodbox GO utiliza estas herramientas para conocer cómo se visita y usa la tienda, medir interacciones y compras y mejorar el servicio. Pueden tratar identificadores del navegador, características del dispositivo, páginas o productos visitados y eventos de navegación. Google Analytics está activo para estadísticas; actualmente no está vinculado por FOODBOX a Google Ads ni se utiliza para remarketing. No se deben enviar a Analytics nombres, correos, teléfonos ni otra información que permita identificar directamente al visitante.

Shopify Network Intelligence. Su funcionamiento se explica en la sección 11.5. Deben distinguirse las finalidades funcionales, de medición y publicitarias de sus Servicios Mejorados. La ausencia de Google Ads o remarketing en Google Analytics no significa que Shopify Network Intelligence carezca de funciones publicitarias. Cualquier uso opcional queda sujeto a las elecciones y garantías aplicables.

Proveedores y circulación de datos. Los proveedores confirmados son Shopify y Google, para los servicios descritos. Las comunicaciones y el procesamiento fuera de Colombia se sujetan a la sección 11. Puedes consultar sus explicaciones sobre cookies en https://www.shopify.com/legal/cookies y https://policies.google.com/technologies/cookies?hl=es, y la privacidad de Google en https://policies.google.com/privacy?hl=es. Esos catálogos generales no significan que todas sus cookies estén instaladas en Foodbox GO.

Inventario y duración. El detalle debe corresponder a las cookies y tecnologías efectivamente instaladas, con nombre o identificador, proveedor, categoría, finalidad y duración real. La duración de una cookie en el navegador es distinta del plazo de conservación de los registros en Shopify o Google Analytics; estos registros se sujetan a los criterios de la sección 15.1 y a la configuración aplicable.

Gestión desde el navegador. Puedes borrar o bloquear cookies en las opciones de tu navegador. Esto puede afectar el carrito, la sesión u otras funciones y no retira automáticamente una autorización ya registrada ni elimina información que ya haya sido recibida por FOODBOX o sus proveedores. Es una opción complementaria a los mecanismos de ejercicio de derechos y de elección de categorías.

FOODBOX deberá verificar que la aceptación, el rechazo y la configuración del aviso se apliquen a Shopify, Google Analytics y las demás herramientas que se instalen, incluidos los usos opcionales de Shopify Network Intelligence. El consentimiento de cookies no inscribe al visitante en promociones por correo o WhatsApp, ni habilita futuros servicios o finalidades no informados.

11.7 WhatsApp pagos y atención digital

El canal de WhatsApp puede utilizar proveedores de mensajería, soporte e integración para recibir y tramitar solicitudes. La comunicación a esos proveedores se limita a lo necesario para las finalidades informadas y a sus roles y garantías aplicables. Cuando un pedido se registre en el ecommerce o en sistemas de facturación y entrega, se tratarán los datos necesarios para esa operación.

Las condiciones propias de WhatsApp se consultan en su política de privacidad. Esto no exime a FOODBOX de sus deberes sobre las conversaciones y datos que recibe o comunica. La autorización para atender consultas y compras no habilita por sí sola la reutilización de conversaciones para entrenar modelos ni para otras finalidades ajenas a las informadas y autorizadas.

Foodbox GO utiliza Wompi para los pagos en ecommerce y, cuando se elige esa opción, en WhatsApp. En el chat también pueden efectuarse pagos por transferencia directa. La información necesaria para confirmar la transacción, facturar y gestionar reembolsos se trata para esas finalidades, con las garantías de esta Política. Los datos completos de tarjetas se procesan por la pasarela y no se almacenan en los sistemas propios de FOODBOX. El papel de cada proveedor de pago se determina por el tratamiento concreto, conforme a las secciones 11.1 y 11.2.

11.8. Sitios de terceros. Los enlaces a redes sociales o sitios externos pueden conducir a tratamientos a cargo de otros responsables. Se recomienda revisar sus avisos. Esta información no limita las obligaciones de FOODBOX por los datos que recolecte, comunique o ponga a disposición mediante herramientas integradas en sus propios canales.

12. MEDIDAS DE SEGURIDAD

FOODBOX deberá implementar y mantener medidas técnicas, humanas y administrativas apropiadas y demostrables, proporcionales a la naturaleza de los datos y a los riesgos. Estas incluyen, según el tratamiento y la infraestructura:

18.  Control de acceso por perfiles y trazabilidad de consultas en sistemas de información.

19.  Protección de comunicaciones, credenciales e información almacenada mediante controles apropiados, incluidos cifrado y autenticación cuando corresponda al riesgo. No se utilizará la inviabilidad de una medida como justificación para mantener un tratamiento sin protección suficiente.

20.  Copias de respaldo y planes de continuidad.

21.  Cláusulas de confidencialidad con empleados, contratistas y Encargados.

22.  Protocolos de gestión de incidentes de seguridad.

23.  Capacitación periódica del personal que trata datos.

24.  Protección física de archivos, bodegas y áreas restringidas.

Los incidentes se gestionarán de acuerdo con el protocolo interno y se reportarán a la SIC por el mecanismo correspondiente a la condición de FOODBOX, esté o no obligada a inscribir bases en el RNBD. El reporte se realizará dentro del plazo vigente aplicable; las instrucciones generales contemplan quince (15) días hábiles desde la detección y conocimiento por la persona o área encargada. Se coordinará con proveedores la contención, investigación y corrección, y se evaluará la comunicación a los afectados según la normativa, los riesgos y las instrucciones de la autoridad.

13. DEBERES DE FOODBOX COMO RESPONSABLE

FOODBOX cumplirá los deberes del artículo 17 de la Ley 1581 de 2012. En particular, se compromete a:

25.  Garantizar al Titular el pleno y efectivo ejercicio del derecho de habeas data.

26.  Solicitar y conservar copia de la autorización otorgada.

27.  Informar de manera clara las finalidades del Tratamiento y los derechos que asisten al Titular.

28.  Conservar la información bajo condiciones de seguridad.

29.  Garantizar que la información suministrada al Encargado sea veraz, completa, exacta, actualizada, comprobable y comprensible, y comunicarle oportunamente las novedades.

30.  Tramitar las consultas y reclamos en los términos señalados.

31.  Exigir al Encargado el respeto de las condiciones de seguridad y privacidad del Titular.

32.  Informar a la SIC cuando se presenten violaciones a los códigos de seguridad o riesgos en la administración de la información de los Titulares.

33.  Cumplir las instrucciones y requerimientos que imparta la SIC.

14. REGISTRO NACIONAL DE BASES DE DATOS RNBD

FOODBOX inscribirá y actualizará las bases que corresponda en el RNBD cuando esté obligada conforme al régimen vigente. Para sociedades privadas, el criterio contempla activos totales superiores a 100.000 UVT. La obligación se verifica con información contable, no con ventas ni número de clientes. La ausencia de obligación de registro no exime de autorizaciones, atención de derechos, seguridad y reporte de incidentes. Las nuevas bases y cambios se gestionarán en los plazos aplicables.

15. VIGENCIA

15.1. Conservación. Los datos se conservarán solo mientras sean razonables y necesarios para sus finalidades y durante los períodos exigidos por obligaciones legales o contractuales. FOODBOX documentará criterios o plazos por categoría, evitando aplicar automáticamente el término de conservación contable a chats, navegación, prospectos o publicidad. Como referencia:

34.  Los libros y papeles del comerciante se conservarán por el término legal aplicable, incluido el previsto en el artículo 28 de la Ley 962 de 2005. Los documentos tributarios, aduaneros y otros soportes se revisarán también bajo sus reglas especiales cuando corresponda.

35.  Los registros de trazabilidad sanitaria se conservarán durante el tiempo exigido por el INVIMA y demás autoridades.

36.  Las conversaciones, solicitudes sin compra, cuentas inactivas, navegación y registros de publicidad se conservarán según su finalidad, actividad, autorización y necesidad de atender reclamaciones. Los registros de seguridad y cámaras tendrán un plazo proporcional a su propósito, con conservación específica cuando exista un incidente o actuación que la justifique.

Una vez cumplida la finalidad y vencidos los plazos aplicables, los datos se suprimirán o se anonimizarán efectivamente. El archivo seguro solo procederá mientras subsista una obligación o habilitación de conservación identificable; no será una alternativa para mantener información indefinidamente. Los respaldos y encargados se incluirán en los procedimientos de conservación y eliminación, con restricciones de acceso y recuperación.

15.2. Vigencia de la Política. Rige a partir de 02 de octubre de 2026 y se mantendrá hasta que sea modificada o sustituida. La fecha de entrada en vigencia y la versión se indicarán en la publicación. El período de conservación de cada categoría se determina conforme a la sección 15.1 y no se extiende por la sola vigencia de esta Política.

15.3. Modificaciones. Los cambios sustanciales se comunicarán por medios eficaces antes de su implementación. La publicación de una nueva versión no amplía retroactivamente la autorización. Cuando se incorpore una finalidad no cubierta que requiera consentimiento, se informará y obtendrá la nueva autorización antes de ese tratamiento, conforme a los artículos 2.2.2.25.2.2 y 2.2.2.25.3.1 del Decreto 1074 de 2015. Se conservará el historial de versiones y de las comunicaciones pertinentes.

15.4. Publicación. Esta Política única estará disponible permanentemente en https://shop.foodbox.com.co/policies/privacy-policy. La misma publicación será el documento de referencia para la operación corporativa de FOODBOX y para Foodbox GO en ecommerce y WhatsApp. También podrá solicitarse en las sedes y por los canales de atención. Los avisos breves remiten a este documento completo y no reemplazan su consulta.

16. Acceso a la política y avisos por canal

FOODBOX aplica una sola Política de tratamiento de datos personales. Los avisos de cada punto de recolección explican las finalidades pertinentes y remiten a esta misma publicación. No existen políticas distintas para ecommerce y WhatsApp dentro de esta estructura; el alcance de cada tratamiento depende de la relación y de las finalidades informadas al titular.

FOODBOX mantendrá coherencia entre la Política, los avisos y las autorizaciones, y conservará sus versiones. Los avisos no pueden introducir finalidades nuevas ni reducir derechos. Si se advierte una diferencia, se corregirá y se respetarán las garantías legales y el alcance de la autorización válida del titular.

Los avisos se mostrarán a más tardar al recolectar los datos e informarán responsable, tratamiento y finalidades, derechos y acceso a la política. Las autorizaciones operativas, comerciales y de tecnologías opcionales se obtendrán mediante elecciones verificables cuando corresponda. La publicación del aviso o de la política no constituye, por sí sola, consentimiento.

Esta Política y los avisos de Foodbox GO no sustituyen los documentos específicos de información laboral, biometría, videovigilancia o información crediticia cuando sean necesarios. Publicar la Política no implica habilitar todos sus tratamientos para todos los titulares.