Política de privacidad

INTRODUCCIÓN

Esta Política de privacidad explica cómo Axxon trata la información sobre las personas, incluidos los datos personales, en relación con el sitio web axxon.co y con los servicios de gestión de flotas, dashcam, videotelemática y servicios relacionados de Axxon (los "Servicios").

Quién controla tus datos personales

Axxon opera a través de dos entidades:

Axxon B.V., sociedad registrada bajo el número 133383 ante la Cámara de Comercio e Industria de Curazao, con domicilio social en Bon Bini Business Center Unit 1-10, Curacao. Axxon B.V. es la responsable de los datos personales recopilados a través del sitio web axxon.co, de los clientes potenciales y en relación con las relaciones comerciales establecidas con Axxon B.V.

Axxon Latam S.A.S., sociedad constituida conforme a las leyes de la República de Colombia, NIT 901.911.215-4, domiciliada en Calle 15 Norte #6N-34, Edificio Alcazar, Oficina 901, Cali, Colombia. Axxon Latam S.A.S. es la responsable de los datos personales tratados en relación con las relaciones comerciales establecidas con Axxon Latam S.A.S., y es el Responsable del Tratamiento para efectos de la ley colombiana.

Las referencias a "Axxon", "nosotros" y "nuestro" en esta Política aluden a la entidad que controla los datos personales en cuestión, según lo indicado anteriormente.

Dos roles diferentes

Axxon trata datos personales en dos calidades distintas, y esta Política las aborda por separado.

Como responsable. Axxon determina las finalidades y los medios del tratamiento de los datos personales relativos a los visitantes del sitio web, los clientes potenciales, los administradores de cuenta y los contactos comerciales y de facturación. Las Secciones 1.A, 2 y 3 de esta Política describen ese tratamiento.

Como encargado. Cuando un cliente utiliza los Servicios, Axxon trata los datos personales relativos a los conductores, empleados, contratistas y usuarios de ese cliente por cuenta del cliente y siguiendo sus instrucciones documentadas. Respecto de esos datos, el cliente es el responsable, el Responsable del Tratamiento conforme a la ley colombiana, y Axxon es el encargado, o Encargado del Tratamiento. Axxon no determina las finalidades de ese tratamiento y no trata esos datos para sus propios fines. La Sección 1.B de esta Política describe esos datos. Las finalidades establecidas en la Sección 2 no se aplican a ellos.

Si eres conductor, empleado o contratista de un cliente de Axxon, la organización que opera tu vehículo o que emitió tu cuenta es la responsable de tus datos personales. Las solicitudes relativas a esos datos deben dirigirse a esa organización en primera instancia. Axxon asistirá a su cliente en la respuesta, y no responderá directamente salvo que la ley lo exija o que el cliente así lo instruya. Los datos de contacto de Axxon figuran en la Sección 11 si no puedes identificar o contactar a la organización correspondiente.

Esta Política es un aviso. Describe cómo Axxon trata los datos personales. No es un contrato, y leer o utilizar el sitio web no constituye autorización para el tratamiento de tus datos personales. Cuando se requiere autorización, Axxon la obtiene por separado, en la forma descrita en la Sección 3.

1. INFORMACIÓN QUE TRATAMOS

1.A Datos personales que Axxon trata como responsable

1.A.1 Datos de cuenta y comerciales. Cuando creas una cuenta, solicitas una cotización o realizas un pedido, nos proporcionas:

• nombre completo;
• dirección de correo electrónico;
• número de teléfono;
• cargo y empleador;
• dirección de facturación y de envío;
• información de pago;
• cualquier otra información que elijas proporcionar para este fin.

1.A.2 Comunicaciones. La correspondencia entre tú y Axxon, incluidas las solicitudes de soporte, las consultas comerciales y los registros de reuniones y llamadas realizadas en relación con una relación comercial.

1.A.3 Datos del sitio web. Cuando visitas axxon.co podemos tratar:

• tu dirección IP;
• el tipo y la versión de tu dispositivo y navegador;
• las páginas visitadas y las acciones realizadas en el sitio web.

1.A.4 Datos de marketing. Cuando te has suscrito a un boletín, blog o comunicación similar, tus datos de contacto y el estado de tu suscripción.

1.B Datos personales que Axxon trata por cuenta de sus clientes

Las siguientes categorías de datos personales son tratadas por Axxon únicamente según la configuración e instrucciones del cliente, en relación con las finalidades de gestión de flotas, cumplimiento, operación y seguridad de los conductores que determina ese cliente. Axxon no determina las finalidades de este tratamiento y no utiliza estos datos para sus propios fines.

1.B.1 Datos del vehículo y operativos, incluidos la marca, el modelo, el kilometraje, el estado técnico, las lecturas de sensores de combustible y de temperatura, y demás telemetría generada por la flota del cliente.

1.B.2 Datos de ubicación y de trayecto, incluidos la posición GPS, las rutas, la velocidad, la dirección y el historial de trayectos.

1.B.3 Datos de comportamiento de conducción, incluidos los eventos detectados por los sistemas de Axxon tales como frenadas bruscas, aceleración, giros, exceso de velocidad, distracción y signos de somnolencia.

1.B.4 Datos de video e imagen, cuando el cliente ha habilitado la funcionalidad de cámara, incluidas las grabaciones de la vía, del interior del vehículo y de las personas dentro o cerca del vehículo.

1.B.5 Datos de audio, cuando el cliente ha habilitado la grabación de audio. La grabación de audio está habilitada de forma predeterminada.

1.B.6 Identificadores de conductores y usuarios, cuando el cliente los habilita y los diligencia, incluidos el nombre, la dirección de correo electrónico, el número de teléfono, el número de identificación del empleado o conductor y el número de licencia de conducción.

1.B.7 Datos de cuenta y de acceso relativos a los usuarios del cliente, incluidas las credenciales de inicio de sesión, los permisos de acceso y los registros de actividad dentro de los Servicios.

Axxon no realiza reconocimiento facial y no trata datos biométricos con el fin de identificar de manera única a ninguna persona. Cuando los sistemas de Axxon analizan imágenes de un conductor, lo hacen para detectar comportamientos y condiciones relevantes para la seguridad vial, y no para identificar a la persona.

1.C Integraciones con terceros

Un cliente puede optar por conectar servicios de terceros a su cuenta de Axxon. Cuando se habilita una integración de este tipo, el proveedor tercero correspondiente puede recibir o transmitir datos en relación con los Servicios. El cliente es responsable de la configuración de cualquier integración de este tipo y de revisar los términos de privacidad del proveedor tercero.

2. FINALIDADES DEL TRATAMIENTO

Esta Sección se aplica únicamente a los datos personales descritos en la Sección 1.A. No se aplica a los datos personales que Axxon trata por cuenta de sus clientes conforme a la Sección 1.B.

Axxon trata datos personales como responsable para las siguientes finalidades:

• registrarte para el uso de los Servicios, verificar tu identidad y crear y administrar tu cuenta;
• prestar los Servicios en el marco de un contrato contigo o con la organización que representas;
• emitir facturas y procesar pagos;
• comunicarnos contigo, responder consultas y solicitudes y prestar soporte;
• gestionar y desarrollar la relación comercial, incluidas las ventas y la gestión de cuentas;
• analizar el uso del sitio web axxon.co con el fin de mantenerlo y mejorarlo;
• enviar comunicaciones comerciales sobre los productos y servicios de Axxon, cuando nos hayas autorizado a hacerlo;
• proteger los intereses legales de Axxon, de sus clientes y de terceros, incluida la exigencia del cumplimiento de los términos contractuales, el establecimiento, ejercicio o defensa de reclamaciones legales y la prevención del fraude y del uso indebido de los Servicios;
• cumplir con obligaciones legales, contables, tributarias y regulatorias.

Axxon no vende datos personales. Axxon no utiliza los datos personales tratados por cuenta de sus clientes conforme a la Sección 1.B para fines propios de desarrollo de producto, analítica, marketing o publicidad.

3. BASES LEGALES DEL TRATAMIENTO

Axxon trata datos personales únicamente cuando cuenta con una base legal para hacerlo. La base aplicable depende de la categoría de datos y de la finalidad del tratamiento, y los mismos datos pueden tratarse para varias finalidades sobre más de una base.

3.1 Contrato. Cuando el tratamiento es necesario para celebrar o ejecutar un contrato contigo o con la organización que representas.

3.2 Obligación legal. Cuando el tratamiento es necesario para que Axxon cumpla una obligación impuesta por la ley aplicable, incluidas las obligaciones comerciales, contables, tributarias y regulatorias, o para responder a solicitudes legítimas de autoridades públicas.

3.3 Intereses legítimos. Cuando el tratamiento es necesario para los intereses legítimos de Axxon o de un tercero, siempre que dichos intereses no prevalezcan sobre los derechos y libertades del titular de los datos. Axxon se apoya en esta base para el mantenimiento y la seguridad de los Servicios, la prevención del fraude y del uso indebido y la gestión de las relaciones comerciales. Esta base no está disponible en Colombia; consulta el Anexo Colombia.

3.4 Consentimiento o autorización. Cuando has otorgado tu consentimiento o, en Colombia, autorización previa, expresa e informada. Axxon se apoya en esta base para los boletines, las comunicaciones de marketing y las cookies no esenciales. Puedes retirar tu consentimiento en cualquier momento, sin que ello afecte la licitud del tratamiento realizado antes del retiro.

Cuando Axxon actúa como encargado conforme a la Sección 1.B, la base legal del tratamiento es determinada por el cliente en su calidad de responsable. El cliente es responsable de establecer esa base y de obtener las autorizaciones u ofrecer los avisos exigidos por la ley, incluido lo relativo al uso de la funcionalidad de cámara y de grabación de audio.

4. DATOS SENSIBLES

Los Servicios no están destinados a la recolección o el tratamiento de datos personales sensibles.

Axxon no realiza reconocimiento facial, no trata datos biométricos con el fin de identificar de manera única a una persona y no recolecta intencionalmente datos que revelen salud, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, vida sexual u orientación sexual.

La funcionalidad de cámara, cuando la habilita un cliente, produce video continuo o activado por eventos que puede capturar de manera incidental información susceptible de clasificarse como sensible conforme a la ley aplicable, incluidas imágenes de personas. Los sistemas de detección de comportamiento analizan imágenes de un conductor con el fin de detectar condiciones relevantes para la seguridad vial, tales como la distracción o los signos de somnolencia. Estos sistemas no identifican a las personas.

Cuando se captura de manera incidental información sensible mediante el uso de los Servicios, el cliente, en su calidad de responsable, es responsable de establecer una base legal apropiada y de satisfacer todos los requisitos legales aplicables, incluidas las obligaciones de aviso o autorización frente a los conductores y demás personas afectadas.

No estás obligado a autorizar el tratamiento de datos sensibles. Cuando Axxon solicita autorización para el tratamiento de datos sensibles, te informará que los datos son sensibles, identificará las finalidades del tratamiento y dejará en claro que otorgar la autorización es opcional.

5. COMPARTIR DATOS PERSONALES CON TERCEROS

5.1 Proveedores de servicios que actúan siguiendo las instrucciones de Axxon. Axxon contrata a terceros para prestar servicios necesarios para operar su negocio y entregar los Servicios. Estos incluyen proveedores de alojamiento e infraestructura, proveedores de plataformas de gestión de flotas y videotelemática, redes de comunicación y de entrega de contenido, proveedores de seguridad, procesadores de facturación y pagos, proveedores de analítica y de distribución de correo electrónico, y asesores profesionales.

Estos proveedores reciben únicamente los datos personales necesarios para prestar el servicio solicitado, actúan siguiendo las instrucciones documentadas de Axxon y están sujetos a acuerdos escritos que imponen obligaciones de protección de datos no menos protectoras que las que Axxon debe a sus propios clientes.

5.2 Destinatarios independientes. Cuando un tercero recibe datos personales y los trata para sus propios fines en lugar de hacerlo únicamente siguiendo las instrucciones de Axxon, ese tercero actúa como responsable independiente. Axxon identificará a cualquier destinatario de este tipo, las categorías de datos involucradas y las finalidades correspondientes, y garantizará que se satisfagan los requisitos legales aplicables a dicha divulgación antes de que tenga lugar.

5.3 Divulgaciones requeridas por ley. Axxon puede divulgar datos personales cuando lo exija la ley aplicable, una orden judicial o una solicitud legítima de una autoridad pública. En tales casos, Axxon divulgará únicamente los datos mínimos estrictamente necesarios, mantendrá un registro de la divulgación y notificará a la persona afectada o al cliente correspondiente cuando esté legalmente permitido.

5.4 Transacciones corporativas. Los datos personales pueden divulgarse en relación con una fusión, adquisición, reorganización o venta de activos, con sujeción a las protecciones de confidencialidad apropiadas y a que el destinatario asuma obligaciones no menos protectoras que las de esta Política.

6. TRANSFERENCIAS INTERNACIONALES

Axxon opera en Curazao, Colombia y el resto del Caribe, y contrata a proveedores de servicios ubicados en la Unión Europea, los Estados Unidos y otras jurisdicciones. Por lo tanto, los datos personales pueden transferirse fuera del país en el que fueron recolectados.

Cuando los datos personales se transfieren a un país que no ofrece un nivel de protección equivalente al del país de origen, Axxon implementa las garantías apropiadas, que pueden incluir:

• la transferencia a una jurisdicción reconocida por la autoridad competente como proveedora de un nivel adecuado de protección;
• garantías contractuales que impongan obligaciones equivalentes a las exigidas por la ley del país de origen, incluidas las Cláusulas Contractuales Tipo de la Comisión Europea cuando sean aplicables;
• la autorización expresa e informada del titular de los datos, habiendo sido informado del destino y del nivel de protección disponible.

A las transferencias desde Colombia se aplican requisitos adicionales. Consulta el Anexo Colombia.

Axxon mantiene registros de las transferencias internacionales y los pondrá a disposición de una autoridad de control competente cuando lo solicite.

7. CONSERVACIÓN

Axxon conserva los datos personales únicamente durante el tiempo que sea necesario para las finalidades para las que fueron recolectados, o durante el tiempo que exija la ley aplicable.

• Datos comerciales y contractuales: la duración de la relación, más el término de prescripción legal aplicable.
• Datos financieros, contables y tributarios: según lo exija la ley comercial y tributaria aplicable de la jurisdicción correspondiente.
• Datos del sitio web y de analítica: hasta 24 meses desde su recolección.
• Datos de marketing y de boletines: hasta que se retire el consentimiento o se cancele la suscripción.
• Datos tratados sobre la base de intereses legítimos: durante el tiempo que persista el interés, con sujeción a revisión periódica.
• Registros de soporte y de correspondencia: la duración de la relación, más 3 años.

Los datos personales tratados por cuenta de un cliente conforme a la Sección 1.B se conservan de acuerdo con las instrucciones y la configuración de los Servicios de ese cliente, según lo establecido en el acuerdo de tratamiento de datos aplicable. Las grabaciones de video se conservan durante aproximadamente treinta (30) días, salvo que el cliente configure lo contrario.

Al vencer el período de conservación aplicable, Axxon eliminará de forma segura o anonimizará los datos personales, salvo que la ley aplicable exija o permita su conservación, incluidos los fines de una retención legal o del establecimiento, ejercicio o defensa de reclamaciones legales.

8. SEGURIDAD

Axxon implementa medidas técnicas y organizativas diseñadas para proteger los datos personales frente al tratamiento no autorizado o ilícito y frente a la pérdida, destrucción o daño accidentales. Estas medidas son apropiadas a la naturaleza de los datos, a los riesgos involucrados y al estado de la técnica, e incluyen:

• el cifrado de los datos personales en tránsito y en reposo;
• controles de acceso y mecanismos de autenticación;
• restricciones de acceso basadas en roles que limitan el acceso al personal que lo requiere;
• el registro y monitoreo del acceso y la actividad en los sistemas;
• obligaciones de confidencialidad vinculantes para todo el personal con acceso a los datos personales;
• controles de respaldo y restauración;
• procedimientos de respuesta y escalamiento ante incidentes;
• la revisión periódica de las medidas de seguridad.

Ningún sistema es completamente seguro, y Axxon no garantiza que sus medidas prevendrán todos los incidentes. Axxon revisa y actualiza estas medidas con el tiempo y no realizará cambios que reduzcan de manera sustancial el nivel general de protección.

9. INCIDENTES DE SEGURIDAD

Cuando Axxon tenga conocimiento de un incidente de seguridad que afecte datos personales que trata como responsable, evaluará el incidente y, cuando lo exija la ley aplicable, notificará a la autoridad de control competente y a las personas afectadas sin dilación indebida.

Cuando un incidente afecte datos personales que Axxon trata por cuenta de un cliente, Axxon notificará a ese cliente sin dilación indebida de acuerdo con el acuerdo de tratamiento de datos aplicable, y cooperará con el cliente en sus propias obligaciones de notificación. Axxon no notificará directamente a los titulares de datos del cliente ni a una autoridad de control salvo que la ley lo exija o que el cliente así lo instruya.

Axxon mantiene registros de los incidentes de seguridad que afectan datos personales y conserva la evidencia razonablemente necesaria para la investigación y la remediación.

10. TUS DERECHOS

Con sujeción a las condiciones y excepciones de la ley aplicable, tienes derecho a:

• obtener confirmación de si Axxon trata tus datos personales y a acceder a esos datos;
• solicitar la corrección de datos inexactos, incompletos o desactualizados;
• solicitar la eliminación de datos que ya no sean necesarios para las finalidades para las que fueron recolectados, o cuando hayas retirado la autorización y ninguna obligación legal exija su conservación;
• retirar el consentimiento o la autorización en cualquier momento, sin efecto retroactivo sobre el tratamiento ya realizado de forma lícita;
• oponerte al tratamiento o solicitar su restricción, cuando la ley aplicable lo prevea;
• solicitar la portabilidad de los datos que hayas proporcionado, cuando la ley aplicable lo prevea;
• obtener evidencia de la autorización otorgada para el tratamiento de tus datos, cuando corresponda;
• ser informado del uso que se hace de tus datos personales;
• presentar una queja ante Axxon o ante la autoridad de control competente.

Para ejercer cualquiera de estos derechos, contacta a Axxon utilizando los datos de la Sección 11. Axxon puede necesitar verificar tu identidad antes de responder y puede solicitar información adicional para ese fin.

Axxon responderá dentro del plazo exigido por la ley aplicable. En Colombia se aplican plazos específicos; consulta el Anexo Colombia.

Si eres conductor, empleado o contratista de un cliente de Axxon, consulta la Introducción de esta Política. Las solicitudes relativas a datos tratados por cuenta de ese cliente deben dirigirse a esa organización.

Proporcionar datos personales es necesario para celebrar un contrato con Axxon y para recibir los Servicios. Cuando Axxon solicita datos personales para una finalidad que no es necesaria para la prestación de los Servicios, proporcionarlos es opcional, y negarte no afectará tu acceso a los Servicios.

11. CONTACTO

Para preguntas sobre esta Política, para ejercer tus derechos o para presentar una queja:

Para el tratamiento en Colombia y por parte de Axxon Latam S.A.S.: Calle 15 Norte #6N-34, Edificio Alcazar, Oficina 901, Cali, Colombia. Teléfono: +57 (304) 354-7106.

Para todo otro tratamiento y por parte de Axxon B.V.: Bon Bini Business Center Unit 1-10, Curacao.

12. CAMBIOS A ESTA POLÍTICA

Axxon puede modificar esta Política, por ejemplo cuando introduce nuevos servicios o funcionalidades, o cuando lo exige un cambio en la ley aplicable.

Axxon dará aviso de cualquier cambio sustancial al menos treinta (30) días antes de que entre en vigor, publicando la Política actualizada en esta página y, cuando exista una relación comercial, notificando al contacto correspondiente por correo electrónico. Los cambios no sustanciales, incluida la corrección de errores materiales, entran en vigor al publicarse.

Cuando un cambio introduce una nueva finalidad de tratamiento que requiere tu consentimiento o autorización, Axxon obtendrá ese consentimiento o autorización antes de tratar tus datos personales para la nueva finalidad. El uso continuado de los Servicios no constituye autorización para una nueva finalidad.

La fecha de la revisión más reciente aparece en la parte superior de esta Política.

ANEXO COLOMBIA

Este Anexo complementa y forma parte integral de la Política de privacidad de Axxon (la "Política") y se aplica exclusivamente al tratamiento de datos personales realizado en la República de Colombia y a los datos personales de titulares colombianos (el "Tratamiento de Datos en Colombia").

En caso de cualquier conflicto entre la Política y este Anexo, este Anexo prevalece, exclusivamente respecto del Tratamiento de Datos en Colombia.

Este Anexo establece únicamente aquellas disposiciones que se apartan de la Política o la complementan. Todas las demás disposiciones de la Política se aplican sin cambios.

Responsable del Tratamiento: Axxon Latam S.A.S., NIT 901.911.215-4, Calle 15 Norte #6N-34, Edificio Alcazar, Oficina 901, Cali, Colombia. Teléfono: +57 (304) 354-7106.

C.1 Bases legales (desviación de la Sección 3)

Conforme a la Ley 1581 de 2012, el tratamiento de datos personales requiere la autorización previa, expresa e informada del titular de los datos (Titular), obtenida por cualquier medio susceptible de verificación posterior. Esta autorización es la base legal principal para el tratamiento en Colombia.

C.1.1 Contrato. Una relación contractual constituye un contexto válido para obtener la autorización, pero no reemplaza por sí sola el requisito de la autorización. Axxon obtiene la autorización del titular de los datos en el momento de la recolección o antes de este, la cual puede incorporarse en la documentación contractual.

C.1.2 Obligación legal. Conforme al Artículo 10 de la Ley 1581 de 2012, no se requiere autorización cuando:

• la información es requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial;
• los datos son de naturaleza pública;
• existe una urgencia médica o sanitaria;
• el tratamiento está autorizado por la ley para fines históricos, estadísticos o científicos;
• los datos se relacionan con el Registro Civil.

En todos esos casos, Axxon cumple con todas las demás obligaciones bajo la ley colombiana de protección de datos.

C.1.3 Intereses legítimos. El interés legítimo no existe como base legal autónoma bajo la ley colombiana de protección de datos. Cualquier tratamiento que de otro modo se apoyaría en la Sección 3.3 de la Política requiere autorización previa, expresa e informada en Colombia, salvo que aplique una excepción del Artículo 10.

C.1.4 Requisitos de la autorización. La autorización debe ser previa, obtenida antes de que comience el tratamiento; expresa, otorgada mediante un acto afirmativo e inequívoco; e informada, lo que significa que el titular de los datos debe ser advertido con claridad de los datos recolectados, las finalidades del tratamiento, sus derechos y la identidad del Responsable.

Axxon mantiene registros de todas las autorizaciones obtenidas y las pone a disposición para consulta. La autorización puede revocarse en cualquier momento, sin efecto retroactivo sobre el tratamiento ya realizado de forma lícita.

C.2 Datos sensibles (complementa la Sección 4)

Conforme al Artículo 5 de la Ley 1581 de 2012, los datos sensibles son aquellos que afectan la intimidad del titular de los datos o cuyo uso indebido puede generar discriminación, incluidos los datos que revelan salud, origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical, datos biométricos y datos relativos a la vida sexual.

Conforme al Artículo 6, el tratamiento de datos sensibles está prohibido salvo que el titular de los datos haya otorgado autorización expresa, habiendo sido informado previamente de que los datos son sensibles, de las finalidades del tratamiento y de que no está obligado a autorizar su tratamiento.

Axxon no solicita autorización para el tratamiento de datos sensibles en relación con los Servicios. Cuando la funcionalidad de cámara habilitada por un cliente captura de manera incidental datos susceptibles de clasificarse como sensibles, el cliente, en su calidad de Responsable, es responsable de obtener cualquier autorización requerida de los titulares de datos afectados y de informarles que la autorización es opcional.

Cuando Axxon trata datos sensibles de sus propios empleados o contratistas, lo hace bajo un aviso de privacidad separado aplicable a esa relación.

C.3 Compartir datos personales (reemplaza la Sección 5)

Conforme a la Ley 1581 de 2012 y al Decreto 1074 de 2015, el compartir datos personales con terceros se rige por dos mecanismos distintos, que deben diferenciarse:

Transmisión. Cuando un tercero trata datos personales exclusivamente siguiendo las instrucciones de Axxon y por cuenta de esta, el arreglo constituye una transmisión y requiere un contrato escrito de tratamiento de datos (contrato de transmisión de datos personales) que establezca, como mínimo: el alcance y la finalidad del tratamiento; las medidas de seguridad que se implementarán; la obligación de tratar los datos únicamente dentro del alcance autorizado por el titular de los datos; la prohibición de realizar transferencias posteriores sin el consentimiento previo y escrito de Axxon; y la obligación de asistir a Axxon en la respuesta a las solicitudes de los titulares de datos. No se requiere autorización separada del titular de los datos, siempre que el tratamiento permanezca dentro del alcance de la autorización originalmente otorgada a Axxon.

Transferencia. Cuando un tercero recibe datos personales con el fin de tratarlos para sus propios fines, el arreglo constituye una transferencia y requiere la autorización expresa y previa del titular de los datos, salvo que aplique una excepción del Artículo 10 de la Ley 1581 de 2012. La autorización debe cubrir expresamente la transferencia al destinatario específico o a la categoría de destinatarios.

Axxon clasifica cada relación con terceros de acuerdo con esta distinción e implementa el mecanismo correspondiente antes de compartir cualquier dato. Se suscribe un contrato de transmisión antes de cualquier transferencia de datos.

Las divulgaciones requeridas por ley se rigen por la Sección 5.3 de la Política.

C.4 Transferencias internacionales (reemplaza la Sección 6)

Cualquier transferencia de datos personales desde Colombia a un destinatario ubicado en el exterior se rige exclusivamente por el régimen colombiano de transferencia internacional bajo la Ley 1581 de 2012, el Decreto 1074 de 2015 y los lineamientos emitidos por la Superintendencia de Industria y Comercio (SIC).

Tales transferencias solo se permiten cuando:

• la SIC ha determinado que el país destinatario ofrece un nivel adecuado de protección; o
• Axxon ha implementado garantías contractuales con el destinatario que aseguran un nivel de protección equivalente al exigido por la ley colombiana; o
• el titular de los datos ha otorgado autorización expresa e informada para la transferencia internacional, habiendo sido informado del país de destino y del nivel de protección disponible.

Axxon mantiene registros de todas las transferencias internacionales y los pone a disposición de la SIC cuando lo solicite.

C.5 Conservación (complementa la Sección 7)

Para el Tratamiento de Datos en Colombia, los siguientes períodos de conservación se aplican en lugar de las entradas correspondientes de la Sección 7:

• Datos comerciales y contractuales: la duración de la relación, más diez (10) años.
• Datos financieros, contables y tributarios: mínimo diez (10) años, según lo exige la ley comercial y tributaria colombiana.
• Registros de salud, seguridad ocupacional y seguridad social: hasta 20 años.

C.6 Derechos de los titulares de datos (reemplaza la Sección 10)

Conforme al Artículo 8 de la Ley 1581 de 2012, los titulares de datos cuyos datos personales se traten en Colombia tienen los siguientes derechos, ejercibles en cualquier momento y de forma gratuita:

• Acceso (consulta): obtener confirmación de si sus datos están siendo tratados y recibir una copia completa e inteligible de los datos que se tienen;
• Rectificación: solicitar la corrección de datos inexactos, incompletos, fraccionados o desactualizados;
• Supresión: solicitar la supresión de datos que ya no sean necesarios para las finalidades para las que fueron recolectados, o cuando la autorización haya sido revocada y ninguna obligación legal exija su conservación;
• Revocatoria de la autorización: en cualquier momento, sin efecto retroactivo sobre el tratamiento ya realizado de forma lícita;
• Prueba de la autorización: obtener evidencia de la autorización otorgada;
• Ser informado: del uso que se hace de sus datos personales, a solicitud;
• Presentar un reclamo: ante Axxon o ante la SIC.

C.7 Procedimiento para consultas y reclamos

C.7.1 Consultas. Una consulta puede presentarse por correo electrónico o por escrito a la dirección indicada anteriormente. La consulta debe identificar al titular de los datos y describir la información solicitada.

Axxon responderá dentro de los diez (10) días hábiles siguientes a su recepción. Cuando no sea posible responder dentro de ese plazo, Axxon informará al titular de los datos las razones y la fecha en la que se responderá la consulta, que no excederá de cinco (5) días hábiles adicionales contados a partir del vencimiento del plazo inicial.

C.7.2 Reclamos. Un titular de datos que considere que los datos que tiene Axxon deben ser corregidos, actualizados o suprimidos, o que considere que Axxon ha incumplido sus obligaciones bajo la Ley 1581 de 2012, puede presentar un reclamo. El reclamo debe contener la identificación del titular de los datos; una descripción de los hechos que dan origen al reclamo; la dirección del titular de los datos; y los documentos de soporte.

Reclamos incompletos. Si el reclamo está incompleto, Axxon requerirá al titular de los datos que subsane la deficiencia dentro de los cinco (5) días siguientes a su recepción. Si el titular de los datos no proporciona la información requerida dentro de un (1) mes a partir de ese requerimiento, se entenderá que ha desistido del reclamo.

Reclamos dirigidos a la parte equivocada. Si Axxon no es competente para resolver el reclamo, lo trasladará a la parte correspondiente dentro de los dos (2) días hábiles siguientes e informará al titular de los datos.

Anotación. Una vez recibido un reclamo completo, Axxon incluirá una nota que indique "reclamo en trámite" y el motivo del mismo en el registro correspondiente de la base de datos, dentro de los dos (2) días hábiles siguientes. La anotación se mantiene hasta que se resuelva el reclamo.

Respuesta. Axxon resolverá el reclamo dentro de los quince (15) días hábiles contados a partir del día siguiente a su recepción. Cuando no sea posible resolver el reclamo dentro de ese plazo, Axxon informará al titular de los datos las razones y la fecha de resolución, que no excederá de ocho (8) días hábiles adicionales contados a partir del vencimiento del plazo inicial.

C.7.3 Escalamiento ante la SIC. Un titular de datos puede presentar una queja ante la Superintendencia de Industria y Comercio únicamente después de haber presentado un reclamo directamente ante Axxon y haber recibido una respuesta insatisfactoria, o ninguna respuesta dentro del plazo aplicable, conforme al Artículo 16 de la Ley 1581 de 2012. Las quejas pueden presentarse a través de www.sic.gov.co.

C.8 Incidentes de seguridad (complementa la Sección 9)

Axxon reportará a la SIC cualquier incidente de seguridad que afecte los datos personales que tiene en calidad de Responsable, conforme a los requisitos y plazos establecidos por la ley colombiana y por la SIC.

Cuando Axxon actúa como Encargado por cuenta de un cliente, notificará a ese cliente y cooperará con el cliente en el cumplimiento de sus propias obligaciones de reporte ante la SIC.

C.9 Ley aplicable

Este Anexo y el Tratamiento de Datos en Colombia se rigen exclusivamente por las leyes de la República de Colombia, incluidas la Ley 1581 de 2012 (Ley Estatutaria de Protección de Datos Personales); el Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo), Libro 2, Parte 2, Título 2, Capítulo 25; y cualquier otra ley, reglamento, circular o lineamiento colombiano aplicable emitido por la Superintendencia de Industria y Comercio en su calidad de autoridad nacional de protección de datos, en cada caso según sea modificado, complementado o reemplazado en el tiempo.

C.10 Fecha de entrada en vigor

Este Anexo entra en vigor el 1 de agosto de 2026, y permanece vigente hasta que sea modificado o reemplazado conforme a la ley aplicable.