Política de Tratamiento de Datos Personales

OBJETIVO

Establecer los criterios para la recolección, almacenamiento, uso, circulación, transmisión, transferencia, actualización, conservación, supresión y demás formas de tratamiento de datos personales realizadas por Almacenes Éxito, garantizando los derechos de Los Titulares y el cumplimiento de la normativa colombiana en materia de protección de datos personales.

ALCANCE

La Política aplica al tratamiento de datos personales de los Titulares que conforman los diversos grupos de interés de Éxito:

• (a) Clientes y consumidores.
• (b) Usuarios de exito.com, Carulla.com y demás plataformas de comercio electrónico.
• (c) Usuarios de App Éxito, App Carulla y demás aplicaciones móviles.
• (d) Participantes de programas de fidelización y beneficios.
• (e) Participantes en promociones, sorteos, concursos, activaciones de marca y campañas publicitarias.
• (f) Proveedores, contratistas y aliados comerciales.
• (g) Accionistas e inversionistas.
• (h) Empleados, aprendices, candidatos y exempleados.
• (i) Visitantes de instalaciones físicas y usuarios de sistemas de videovigilancia.
• (j) Usuarios de canales digitales, redes sociales, centros de contacto y servicios de atención.
• (k) Copropietarios, propietarios de locales y órganos de administración de los centros comerciales o galerías administrados por La Compañía (Asamblea de Copropietarios, Consejo de Administración, Revisor Fiscal, etc.).
• (l) Locatarios, comerciantes aliados, arrendatarios, concesionarios y sus colaboradores en los centros comerciales administrados por Almacenes Éxito.
• (m) Contratistas de obra, adecuación de locales, mantenimiento y demás proveedores vinculados a la operación de los centros comerciales.
• (n) Visitantes, peatones y conductores que ingresen a los centros comerciales, sus parqueaderos y zonas comunes.
• (o) Cualquier persona natural cuyos datos sean tratados por La Compañía.

DEFINICIONES

En aras de brindar un mejor entendimiento sobre lo dispuesto en el presente documento, se brindan una serie de definiciones sobre ciertos conceptos fundamentales:

• Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales.
• Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
• Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la(s) base(s) de datos y/o el tratamiento de los datos.
• Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del tratamiento de datos personales ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del tratamiento dentro o fuera del país.
• Transmisión: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el Encargado por cuenta del Responsable.

PRINCIPIOS RECTORES

Almacenes Éxito tratará la información personal conforme a los siguientes principios y declaraciones:

Principio de legalidad

El tratamiento de datos personales es una actividad reglada que debe sujetarse a lo establecido en la Constitución Política, la Ley 1581 de 2012, el Decreto 1074 de 2015 y las demás disposiciones que resulten aplicables. En consecuencia, Almacenes Éxito únicamente realizará tratamientos de datos personales cuando exista una base jurídica que los legitime y respetando los derechos y garantías previstos por el ordenamiento jurídico colombiano.

Principio de finalidad

Todo tratamiento de datos personales deberá obedecer a una finalidad legítima, específica, explícita e informada al titular. Las finalidades deben guardar relación directa con las actividades comerciales, operativas, administrativas, laborales, de cumplimiento normativo, mercadeo, comercio electrónico, fidelización, analítica, seguridad y demás actividades propias de la organización.

Principio de libertad

El tratamiento de datos personales solamente podrá ejercerse con el consentimiento previo, expreso e informado del Titular, salvo las excepciones previstas en la ley. Ningún dato personal puede ser obtenido o divulgado sin autorización válida del Titular o sin que exista un mandato legal o judicial que habilite su tratamiento.

Principio de veracidad o calidad

La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Almacenes Éxito adoptará medidas razonables para garantizar que los datos personales sean actualizados cuando resulte necesario y para corregir oportunamente aquellos registros que resulten inexactos, incompletos o desactualizados.

Principio de transparencia

Almacenes Éxito garantizará a Los Titulares el derecho a obtener, en cualquier momento y sin restricciones injustificadas, información sobre la existencia de datos personales que les conciernan y sobre las condiciones de su tratamiento.

Principio de acceso y circulación restringida

Los datos personales sólo podrán ser tratados por las personas autorizadas por El Titular, por la ley o por La Compañía dentro de sus competencias y responsabilidades. Éxito implementará controles físicos, tecnológicos, organizacionales y contractuales destinados a restringir el acceso a la información únicamente a quienes requieran conocerla para el cumplimiento de sus funciones.

Principio de seguridad

Almacenes Éxito implementará medidas técnicas, tecnológicas, humanas, administrativas y organizacionales razonables para proteger los datos personales contra pérdida, acceso no autorizado, adulteración, uso fraudulento, divulgación indebida, destrucción o cualquier tratamiento no autorizado. Las medidas de seguridad se adaptarán de manera proporcional a la naturaleza de los datos tratados, al nivel de riesgo identificado y a los cambios tecnológicos y operativos de la organización.

Principio de confidencialidad

Todas las personas que intervengan en el tratamiento de datos personales están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con La Compañía o de culminadas las actividades que justificaron el acceso a los datos. Las obligaciones de confidencialidad se formalizarán mediante cláusulas contractuales, acuerdos de confidencialidad, políticas internas y/o programas de capacitación.

TEMPORALIDAD DE LAS BASES DE DATOS Y DEL TRATAMIENTO DE DATOS PERSONALES

La Compañía dará tratamiento a los datos personales por el término que sea razonable y necesario, el cual no será inferior al término de duración de la relación contractual, legal o comercial que se tenga con El Titular de los datos personales. Una vez cese la finalidad o necesidad del tratamiento de los datos personales y no exista disposición legal, contable o fiscal que obligue a su tratamiento, los mismos serán eliminados de las bases de datos de La Compañía o serán archivados bajo medidas de seguridad adecuadas, a efectos de sólo ser divulgados cuando la ley así lo exija.

Además, Éxito cuenta con un sistema interno de conservación y disposición de información y datos personales, diferenciado por categorías y finalidad del tratamiento a través de tablas de retención documental. Lo anterior hace parte del Programa Integral de Gestión de Protección de Datos Personales y puede ser consultado por El Titular a través de los canales dispuestos en esta Política.

CATEGORÍAS DE DATOS OBJETO DE TRATAMIENTO

La Compañía podrá tratar, entre otros:

• Datos de identificación: Nombre, apellidos, tipo y número de documento, fecha de nacimiento, género.
• Datos de contacto: Dirección, correo electrónico, teléfono fijo y móvil.
• Datos comerciales y transaccionales: Historial de compras, comportamiento de consumo, canastas de compra, programas de fidelización, historial de redenciones, devoluciones y preferencias comerciales.
• Datos financieros: Información de pagos, facturación, medios de pago y demás datos requeridos para procesar transacciones.
• Datos tecnológicos: Direcciones IP, identificadores de dispositivos, cookies, identificadores publicitarios, sistemas operativos, registros de navegación y eventos de uso.
• Datos biométricos y videovigilancia: Imágenes captadas mediante cámaras de seguridad, controles de acceso y mecanismos biométricos cuando corresponda.
• Datos de geolocalización: Información de ubicación geográfica aproximada o precisa obtenida a través de aplicaciones móviles, dispositivos o tecnologías equivalentes.
• Datos sensibles: La Compañía podrá tratar datos sensibles únicamente en los casos autorizados por la ley y bajo medidas reforzadas de protección.

AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES

Almacenes Éxito solicitará la autorización de Los Titulares de manera previa, expresa e informada para el tratamiento de sus datos personales, de conformidad con la Ley 1581 de 2012 y demás normas aplicables. La autorización podrá obtenerse por cualquier medio que permita su consulta posterior, incluyendo medios físicos, electrónicos, digitales, verbales o mediante conductas inequívocas que permitan concluir razonablemente que El Titular otorgó su consentimiento.

En desarrollo de su actividad empresarial, Éxito podrá recolectar, almacenar, usar, consultar, actualizar, transmitir, transferir, compartir y suprimir datos personales para las finalidades previstas en esta Política. La Compañía conservará prueba de las autorizaciones otorgadas y adoptará las medidas necesarias para garantizar su adecuada custodia, confidencialidad y trazabilidad.

La autorización general otorgada por El Titular constituirá la base para el tratamiento de sus datos personales. No obstante, cuando la naturaleza de determinados servicios o funcionalidades así lo requiera, La Compañía podrá solicitar autorizaciones específicas o complementarias, entre otras, para el tratamiento de datos sensibles, datos biométricos, geolocalización, uso de imagen y funcionalidades de las aplicaciones móviles o sitios web administrados por La Compañía.

Datos sensibles

Cuando se trate de datos sensibles, La Compañía informará previamente al titular que no está obligado a autorizar su tratamiento, indicará cuáles son los datos solicitados, las finalidades para las cuales serán utilizados y obtendrá una autorización previa, expresa e informada.

Datos de niños, niñas y adolescentes

El tratamiento de datos personales de niños, niñas y adolescentes se realizará respetando su interés superior y sus derechos fundamentales. En los casos que correspondan, se solicitará autorización del representante legal y se garantizará el derecho del menor a ser escuchado, de acuerdo con su edad y nivel de madurez.

Casos en los cuales no se requiere autorización

La autorización del Titular no será necesaria en los eventos previstos en el artículo 10 de la Ley 1581 de 2012, entre ellos cuando la información sea requerida por una autoridad competente en ejercicio de sus funciones, se trate de datos públicos, exista una urgencia médica o sanitaria, o cuando el tratamiento esté expresamente autorizado por la ley.

Revocatoria de la autorización

El Titular puede revocar en cualquier momento la autorización otorgada para el tratamiento de sus datos personales, salvo cuando exista un deber legal o contractual que impida la eliminación o supresión de la información. La solicitud será atendida a través de los canales definidos por La Compañía para el ejercicio de los derechos de Los Titulares.

TRATAMIENTO Y FINALIDADES

Almacenes Éxito puede recolectar, almacenar, usar, circular, transmitir, transferir, actualizar, conservar y suprimir datos personales para las siguientes finalidades:

Clientes y consumidores

Los datos personales de clientes, consumidores y usuarios serán tratados por Almacenes Éxito para las siguientes finalidades:

• Crear, administrar, desarrollar, mantener y terminar relaciones comerciales, contractuales o de servicio con Los Titulares, así como gestionar la adquisición y prestación de productos y servicios ofrecidos por La Compañía a través de cualquier canal habilitado.
• Identificar, validar, verificar y autenticar la identidad de Los Titulares mediante mecanismos físicos, digitales o biométricos cuando resulte necesario para la prestación de servicios, la ejecución de transacciones, la protección de los derechos de Los Titulares o la seguridad de la operación.
• Gestionar procesos de compra, venta, comercio electrónico, Marketplace, pagos, reembolsos, cambios, devoluciones, garantías, entregas a domicilio, recogida en tienda y demás actividades asociadas a la comercialización de bienes y servicios a través de canales físicos, digitales, telefónicos o cualquier otro habilitado por La Compañía.
• Operar, administrar, desarrollar y mejorar los canales de atención, relacionamiento y comercio de La Compañía, incluyendo sitios web, aplicaciones móviles, plataformas transaccionales, canales digitales, centros de contacto, herramientas tecnológicas y experiencias omnicanal.
• Gestionar, procesar, autorizar, validar, registrar y soportar transacciones, operaciones comerciales, medios de pago y demás actividades relacionadas con la prestación de servicios y la comercialización de bienes.
• Atender solicitudes, consultas, peticiones, quejas, reclamos, garantías, requerimientos, sugerencias, felicitaciones y demás interacciones con Los Titulares, así como medir y gestionar la calidad del servicio y la experiencia del cliente.
• Enviar información comercial, publicitaria, promocional, institucional y de servicio relacionada con productos, servicios, beneficios, eventos, campañas, novedades, alianzas, promociones, descuentos y demás actividades de La Compañía o de terceros aliados autorizados.
• Diseñar, administrar y ejecutar programas de fidelización, beneficios, recompensas, incentivos, acumulación y redención de puntos, convenios, experiencias y demás estrategias de relacionamiento con clientes, directamente o mediante terceros autorizados.
• Realizar actividades de mercadeo, publicidad, prospección comercial, segmentación, perfilamiento, personalización de contenidos, recomendaciones, inteligencia de negocios, analítica de datos, ciencia de datos, inteligencia artificial, modelamiento predictivo e investigación de mercados para comprender hábitos, preferencias, necesidades, intereses, comportamientos y tendencias de consumo, optimizar la oferta comercial y mejorar la experiencia de compra.
• Elaborar estudios, estadísticas, indicadores, mediciones, análisis de comportamiento, hábitos de consumo, tendencias de mercado y demás actividades de conocimiento del cliente de forma individual, agregada, anonimizada o seudonimizada, según corresponda.
• Actualizar, complementar, validar, enriquecer y verificar la información de Los Titulares mediante fuentes propias, públicas, privadas o provenientes de terceros legítimamente autorizados.
• Gestionar campañas, acciones comerciales y actividades de relacionamiento desarrolladas directamente por La Compañía o en conjunto con proveedores, aliados estratégicos, marcas, filiales, subsidiarias o sociedades vinculadas.
• Gestionar procesos de cobranza, recuperación de cartera, recaudo, validación de obligaciones económicas y demás actividades relacionadas con el cumplimiento de obligaciones financieras adquiridas por Los Titulares.
• Proteger la seguridad de las personas, bienes, instalaciones, activos de información, operaciones, canales físicos y digitales de La Compañía mediante mecanismos de monitoreo, videovigilancia, control de accesos y demás medidas de seguridad física y lógica.
• Detectar, prevenir, investigar y gestionar actividades fraudulentas, suplantaciones, usos indebidos de canales, incidentes de seguridad, ciberataques, conductas sospechosas, incumplimientos, corrupción, lavado de activos, financiación del terrorismo, financiamiento de la proliferación de armas de destrucción masiva y demás riesgos legales, operacionales, tecnológicos, reputacionales y de cumplimiento.
• Dar cumplimiento a obligaciones legales, regulatorias, tributarias, contables, administrativas, contractuales, de protección al consumidor, protección de datos personales, transparencia empresarial, prevención de riesgos y demás deberes aplicables a La Compañía, así como atender requerimientos de autoridades administrativas, judiciales o de control.
• Compartir, transmitir o transferir datos personales a filiales, subsidiarias, sociedades vinculadas, aliados estratégicos, encargados del tratamiento, operadores logísticos, proveedores tecnológicos, administradores de programas de fidelización, medios de pago y demás terceros autorizados, cuando ello sea necesario para el desarrollo de las finalidades autorizadas o el cumplimiento de obligaciones legales.
• Gestionar funcionalidades de aplicaciones, sitios web y servicios digitales que requieran acceso a capacidades de los dispositivos utilizados por Los Titulares, tales como geolocalización, cámara, almacenamiento, conectividad, notificaciones u otras herramientas necesarias para la correcta operación de los servicios, previa autorización cuando esta resulte exigible.
• Desarrollar iniciativas de sostenibilidad, responsabilidad social empresarial, impacto social, relacionamiento con grupos de interés y comercialización de productos y servicios propios o de terceros pertenecientes al ecosistema de negocios de La Compañía, incluyendo actividades de retail, servicios financieros, seguros, turismo, servicios inmobiliarios, movilidad, bienestar y demás actividades permitidas por el ordenamiento jurídico.

Proveedores, contratistas y aliados

Los datos personales de proveedores, contratistas, aliados estratégicos, representantes legales, accionistas, empleados, colaboradores y demás personas vinculadas a estos terceros podrán ser tratados para las siguientes finalidades:

• Realizar los procesos de selección, evaluación, conocimiento, vinculación, contratación, homologación, renovación, monitoreo y terminación de la relación comercial o contractual.
• Verificar la información suministrada y validar referencias comerciales, financieras, reputacionales, disciplinarias, fiscales, judiciales y de cumplimiento.
• Ejecutar actividades de debida diligencia y conocimiento de contrapartes, incluyendo validaciones asociadas a la prevención del lavado de activos, financiación del terrorismo, financiamiento de la proliferación de armas de destrucción masiva, corrupción, fraude, soborno y demás riesgos de cumplimiento.
• Gestionar las etapas precontractual, contractual y post contractual, incluyendo la administración documental, financiera, contable, tributaria, logística, operativa y administrativa derivada de la relación existente.
• Gestionar pagos, facturación, certificaciones tributarias, retenciones, auditorías y demás obligaciones legales, contractuales y regulatorias.
• Coordinar accesos físicos y lógicos a instalaciones, plataformas, aplicaciones, sistemas de información y demás recursos corporativos.
• Evaluar la calidad, desempeño, nivel de servicio, cumplimiento contractual, riesgos asociados y continuidad de la relación comercial.
• Atender requerimientos de autoridades administrativas, judiciales o de control, nacionales o extranjeras, cuando exista obligación legal para ello.
• Compartir información con compañías vinculadas, filiales, subsidiarias, encargados o terceros autorizados cuando ello sea necesario para la ejecución de las finalidades autorizadas.
• Gestionar actividades de comunicación, capacitación, auditoría, sostenibilidad, abastecimiento responsable, ética empresarial y cumplimiento corporativo.
• Emitir certificaciones, constancias y documentos asociados a la relación contractual o comercial.

Aspirantes y colaboradores

Los datos personales de aspirantes, candidatos, empleados, aprendices, practicantes, trabajadores en misión, contratistas persona natural y excolaboradores podrán ser tratados para las siguientes finalidades:

• Adelantar procesos de reclutamiento, selección, evaluación, vinculación y contratación de personal.
• Validar información académica, laboral, disciplinaria, financiera, reputacional y demás antecedentes que resulten pertinentes para el proceso de selección o vinculación.
• Administrar la relación laboral, contractual o de aprendizaje y dar cumplimiento a las obligaciones derivadas de esta.
• Gestionar el pago de salarios, beneficios, prestaciones sociales, auxilios, incentivos, reembolsos y demás conceptos asociados a la relación laboral.
• Administrar afiliaciones y reportes ante entidades del Sistema de Seguridad Social Integral y demás autoridades competentes.
• Gestionar programas de bienestar, formación, desarrollo organizacional, clima laboral, diversidad e inclusión, salud, seguridad y bienestar integral.
• Administrar procesos disciplinarios, investigaciones internas, actividades asociadas al Programa de Transparencia y Ética Empresarial, conflictos de interés y demás mecanismos de cumplimiento corporativo.
• Controlar el acceso físico y lógico a instalaciones, aplicaciones, plataformas, herramientas tecnológicas y activos de información.
• Realizar actividades de videovigilancia y seguridad física para la protección de las personas, bienes e instalaciones.
• Gestionar comunicaciones institucionales, actividades corporativas, campañas internas, reconocimiento de colaboradores y divulgación de contenidos asociados a la cultura organizacional.
• Dar cumplimiento a obligaciones legales, regulatorias, tributarias, laborales, judiciales y de auditoría.
• Gestionar planes de carrera, evaluaciones de desempeño, sucesión, desarrollo de talento y procesos de movilidad interna.
• Compartir información con entidades vinculadas, fondos de empleados, aseguradoras, proveedores de beneficios y terceros autorizados cuando ello resulte necesario para la ejecución de las finalidades autorizadas.
• Conservar la información una vez finalizada la relación laboral o contractual para atender obligaciones legales, judiciales, probatorias o administrativas y para la expedición de certificaciones laborales o contractuales cuando sean solicitadas.

Accionistas e inversionistas

Los datos personales de accionistas, inversionistas, representantes, apoderados y demás personas relacionadas con la administración del libro de accionistas podrán ser tratados para las siguientes finalidades:

• Permitir el ejercicio de los derechos políticos y económicos derivados de la calidad de accionista o inversionista.
• Gestionar la convocatoria, organización y realización de asambleas generales de accionistas, reuniones informativas, eventos corporativos y demás espacios de relacionamiento con inversionistas.
• Administrar el libro de registro de accionistas y demás obligaciones establecidas en la legislación comercial y en la normativa aplicable al mercado de valores.
• Realizar procesos de actualización, validación y conservación de información de accionistas e inversionistas.
• Emitir certificados accionarios, certificados tributarios, certificaciones de participación accionaria y demás documentos asociados a la calidad de accionista o inversionista.
• Gestionar el pago de dividendos y demás derechos económicos derivados de la inversión.
• Remitir información financiera, corporativa, regulatoria, de sostenibilidad, gobierno corporativo, resultados financieros, hechos relevantes y demás comunicaciones de interés para accionistas e inversionistas.
• Atender requerimientos formulados por autoridades regulatorias, judiciales, administrativas o de supervisión.
• Ejecutar procedimientos de conocimiento y debida diligencia de accionistas e inversionistas, así como validaciones relacionadas con riesgos LA/FT/FPADM, corrupción, fraude y cumplimiento normativo.
• Compartir información con asesores, entidades financieras, depositarios, administradores de valores, auditores, revisores fiscales y demás terceros autorizados que participen en la gestión de las relaciones con inversionistas.
• Gestionar encuestas, espacios de relacionamiento, actividades de fidelización, programas de educación al inversionista y mecanismos de comunicación corporativa.
• Preservar la seguridad, integridad y trazabilidad de la información relacionada con la composición accionaria de la sociedad y el ejercicio de los derechos derivados de esta condición.

Comercio electrónico

Los datos personales de los usuarios de las plataformas de comercio electrónico de Almacenes Éxito (exito.com, carulla.com, App y demás canales digitales) serán tratados para las siguientes finalidades:

• Crear, administrar y gestionar las cuentas de usuario habilitadas en las plataformas de comercio electrónico de la Compañía.
• Validar y verificar la identidad del Titular para la realización de compras y demás transacciones en dichas plataformas.
• Procesar y gestionar los pedidos realizados por el Titular a través de los canales de comercio electrónico.
• Administrar los pagos asociados a las transacciones realizadas en las plataformas de comercio electrónico.
• Gestionar la entrega de los pedidos y realizar el seguimiento correspondiente hasta su recepción por el Titular.
• Atender novedades, incidencias y solicitudes relacionadas con el proceso logístico de entrega.
• Implementar medidas de seguridad y de prevención de fraude en los canales digitales de la Compañía.
• Gestionar mecanismos de autenticación multifactor y demás controles de acceso a las plataformas digitales.
• Identificar de manera temprana transacciones fraudulentas, en cumplimiento de las obligaciones de prevención de lavado de activos y financiación del terrorismo (LA/FT) aplicables a la Compañía.

Marketing, publicidad y fidelización

Los datos personales de clientes, usuarios y participantes en programas de fidelización serán tratados por Almacenes Éxito S.A. para las siguientes finalidades:

• Segmentar audiencias con fines de mercadeo y publicidad.
• Elaborar perfiles comerciales del Titular con fines de personalización de la oferta.
• Personalizar las ofertas, productos y servicios dirigidos al Titular.
• Enviar comunicaciones promocionales, publicitarias e institucionales a través de los canales autorizados.
• Gestionar campañas de mercadeo omnicanal desarrolladas por la Compañía o en conjunto con terceros aliados.
• Medir la efectividad de las campañas publicitarias implementadas por la Compañía.
• Analizar los hábitos y preferencias de consumo del Titular con fines estadísticos y comerciales.
• Generar audiencias para la ejecución de campañas en canales digitales.
• Ejecutar programas de relacionamiento y fidelización con los clientes de la Compañía.

Aplicaciones móviles y geolocalización

Cuando El Titular otorgue autorización expresa a través de la App Éxito, App Carulla o cualquier otra aplicación administrada por La Compañía, las aplicaciones administradas podrán acceder a la ubicación geográfica aproximada o precisa del dispositivo en tiempo real, tanto mientras la aplicación esté siendo utilizada como cuando se ejecute en segundo plano.

Esta información podrá utilizarse para habilitar funcionalidades basadas en ubicación, personalizar la experiencia del usuario, activar funcionalidades de geocercas y presentar información, beneficios, promociones o comunicaciones relacionadas con la ubicación del Titular. Adicionalmente, la información de geolocalización podrá ser utilizada además de las finalidades descritas en los numerales 8.1., 8.5 y 8.6, para:

• Identificar los establecimientos de la Compañía cercanos a la ubicación del Titular.
• Mostrar los productos, servicios y beneficios disponibles según la ubicación del Titular.
• Mejorar la experiencia de uso de las aplicaciones y plataformas digitales.
• Optimizar los servicios logísticos y de entrega ofrecidos por la Compañía.
• Analizar los patrones de movilidad asociados al uso de los servicios de la Compañía.
• Medir la efectividad de las campañas comerciales desarrolladas en función de la ubicación del Titular.
• Implementar funcionalidades basadas en geocercas (geofencing).
• Enviar notificaciones, mensajes, promociones, descuentos u ofertas cuando el Titular ingrese, permanezca o transite por zonas geográficas previamente definidas por la Compañía.
• Personalizar la experiencia del Titular dentro de los establecimientos físicos de la Compañía.
• Desarrollar modelos analíticos y estadísticos relacionados con el comportamiento de consumo y el tráfico de clientes.

La activación de funcionalidades de geolocalización será facultativa para el usuario y podrá ser deshabilitada en cualquier momento desde la configuración del dispositivo o de la aplicación, sin perjuicio de que algunas funcionalidades puedan verse limitadas. La geolocalización en segundo plano únicamente se utilizará cuando resulte estrictamente necesaria para funcionalidades expresamente habilitadas por el titular.

Administración inmobiliaria y centros comerciales

Cuando se opere bajo la calidad de administrador, Almacenes Éxito podrá recolectar, almacenar, usar, circular, transmitir, transferir, actualizar, conservar y suprimir los datos personales de copropietarios, locatarios, contratistas, visitantes y demás personas relacionadas con dicha actividad, para las siguientes finalidades:

• Administrar, operar y mantener los centros comerciales, incluyendo las zonas comunes, bienes comunes y áreas de circulación, conforme al reglamento de propiedad horizontal aplicable y a la Ley 675 de 2001.
• Ejercer las funciones propias del administrador delegado de la copropiedad, incluyendo la convocatoria y organización de asambleas de copropietarios, el apoyo al Consejo de Administración y al Revisor Fiscal, la elaboración de actas, presupuestos y estados financieros, y la administración del libro de propietarios y del libro de actas.
• Gestionar el recaudo, facturación, cobro y cartera de cuotas de administración ordinarias y extraordinarias, cuotas de fondo de imprevistos y demás obligaciones económicas a cargo de copropietarios y/o locatarios.
• Adelantar los procesos de selection, vinculación, contratación, renovación, evaluación y terminación de la relación comercial con locatarios, comerciantes aliados y arrendatarios de locales, incluyendo la verificación de referencias comerciales, financieras y de cumplimiento.
• Administrar la relación contractual de arrendamiento o concesión de espacios comerciales, incluyendo la liquidación de cánones fijos y variables cuando estos dependan de un porcentaje de las ventas del locatario, la gestión de garantías, pólizas y demás obligaciones derivadas del contrato.
• Verificar el cumplimiento del reglamento interno, del reglamento de propiedad horizontal y de las normas de convivencia y operación comercial aplicables a locatarios, comerciantes y visitantes.
• Diseñar, coordinar y ejecutar actividades de mercadeo, publicidad, promoción, activaciones de marca, eventos y campañas del centro comercial como destino comercial, incluyendo la administración de fondos de promoción y publicidad conformados con aportes de los locatarios, cuando a ello haya lugar.
• Implementar y administrar sistemas de videovigilancia y de control de acceso vehicular y peatonal —incluyendo lectura de placas vehiculares (ANPR), sistemas de parqueadero y mecanismos biométricos cuando corresponda— con el fin de proteger a visitantes, locatarios, colaboradores y bienes dentro de las instalaciones.
• Gestionar planes de emergencia, evacuación, brigadas y demás protocolos de seguridad y continuidad de la operación de los centros comerciales, incluyendo el reporte a autoridades competentes cuando la ley lo exija.
• Coordinar el ingreso, permanencia y seguimiento de contratistas y proveedores de mantenimiento, aseo, seguridad y demás terceros que ejecuten obras, adecuaciones o labores de mantenimiento dentro de los centros comerciales.
• Ofrecer y administrar servicios de conectividad (por ejemplo, redes wifi gratuito) y demás facilidades tecnológicas dispuestas en zonas comunes para visitantes.
• Atender peticiones, quejas, reclamos y sugerencias formuladas por copropietarios, locatarios, comerciantes y visitantes de los centros comerciales, distintas de aquellas relacionadas con la actividad comercial de Almacenes Éxito S.A. y Carulla como operador retail.
• Elaborar reportes, estadísticas e indicadores de afluencia, ocupación, tráfico peatonal y vehicular, y desempeño comercial del centro comercial, de forma agregada o anonimizada cuando sea posible, para la toma de decisiones de administración inmobiliaria.
• Dar cumplimiento a obligaciones legales, tributarias, contables y regulatorias derivadas de la administración de la propiedad horizontal y de la actividad de administración inmobiliaria, así como atender requerimientos de autoridades administrativas, judiciales o de control.

Datos de niños, niñas y adolescentes

El tratamiento de datos de niños, niñas y adolescentes se realizará únicamente cuando:

• Se respete su interés superior.
• Se garantice el ejercicio de sus derechos fundamentales.
• Sea autorizado por su representante legal cuando corresponda.
• La finalidad resulte adecuada y proporcional.

Éxito no dirigirá actividades de perfilamiento publicitario, mercadeo directo automatizado ni decisiones basadas en inteligencia artificial hacia niños, niñas y adolescentes. Cuando existan indicios razonables de que un usuario es menor de edad, La Compañía adoptará mecanismos razonables de verificación de edad y solicitará la autorización expresa del representante legal antes de continuar con el tratamiento, garantizando en todo momento el derecho del menor a ser escuchado según su edad y grado de madurez.

TRANSFERENCIA Y TRANSMISIÓN DE DATOS

La Compañía puede transmitir o transferir datos personales a proveedores, operadores logísticos, plataformas tecnológicas, aliados comerciales y demás terceros legítimamente vinculados a sus operaciones. Adicionalmente Éxito podrá transferir los datos personales de Los Titulares con sus compañías filiales, subsidiarias y negocios conjuntos.

Cuando la transmisión o transferencia implique circulación internacional de datos personales, se adoptarán las medidas previstas en la Ley 1581 de 2012, el Decreto 1074 de 2015 y los principios de responsabilidad demostrada desarrollados por la Superintendencia de Industria y Comercio (SIC), garantizando niveles adecuados de protección y seguridad.

Cuando la transferencia internacional de datos personales se realice hacia países que no cuenten con la declaratoria de nivel adecuado de protección de datos emitida por la SIC, Almacenes Éxito suscribirá Cláusulas Contractuales Tipo, Reglas Corporativas Vinculantes u otro mecanismo idóneo reconocido por la normativa colombiana, que garantice niveles de protección equivalentes a los exigidos en Colombia. La Compañía podrá transferir o transmitir datos personales a proveedores tecnológicos, plataformas de nube, procesadores de pago y demás encargados ubicados fuera del territorio nacional, exclusivamente para el desarrollo de las finalidades descritas en esta Política y bajo los mecanismos de protección aquí referidos.

Adicionalmente, Almacenes Éxito formalizará con cada encargado del tratamiento (incluyendo proveedores logísticos, administradores de programas de fidelización, procesadores de pago y proveedores tecnológicos) un contrato o acuerdo de transmisión de datos personales, en el cual se establecerán el alcance del tratamiento autorizado, las obligaciones del Encargado, las medidas de seguridad exigibles y la prohibición de tratar los datos para fines distintos a los instruidos por La Compañía.

DERECHOS DE LOS TITULARES Y SU EJERCICIO

Los Titulares de los datos personales pueden ejercer los siguientes derechos: (a) Conocer, actualizar y rectificar sus datos personales. (b) Solicitar prueba de la autorización otorgada. (c) Ser informados sobre el uso de sus datos. (d) Presentar consultas y reclamos. (e) Revocar la autorización otorgada. (f) Solicitar la supresión de los datos cuando sea procedente. (g) Acceder gratuitamente a sus datos personales. (h) Presentar quejas ante la Superintendencia de Industria y Comercio. (i) Los demás que la Ley les reconozca.

La atención de las solicitudes relacionadas con el ejercicio de los derechos de Los Titulares estará a cargo del Área de Protección de Datos Personales de Almacenes Éxito, que actúa como área responsable designada para tal fin. Dicha área podrá ser contactada a través del correo electrónico [email protected] o en el correo electrónico [email protected] cuando se actúe como administrador inmobiliario o en la dirección física Carrera 48 No. 32B Sur - 139, Envigado, Antioquia. Esta tendrá a su cargo, entre otras, las funciones de atender las solicitudes de Los Titulares, coordinar el Programa Integral de Gestión de Protección de Datos Personales, y servir de punto de contacto ante la SIC.

Procedimiento

Para ejercer sus derechos, llevar a cabo consultas o reclamos, se deberá de acreditar la condición de titular sobre los datos personales mediante copia de un documento que permita verificar la identidad de la persona, la cual se podrá suministrar junto con la solicitud, por medio físico o digital. En caso de que esté representado por un tercero o se trate de un causahabiente, aquel deberá acreditar conforme a la normativa su respectiva legitimación para actuar. El apoderado deberá igualmente acreditar su identidad en los términos aquí indicados.

Consultas

Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en las bases de datos de La Compañía. El Responsable del tratamiento o Encargado del tratamiento suministrará a estos la información contenida en el registro individual o que esté vinculada con la identificación del Titular.

La consulta deberá formularse por los canales descritos en este mismo capítulo y será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de esta. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual no superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos

El Titular o sus causahabientes que consideren que la información contenida en la base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes de Almacenes Éxito, podrán presentar un reclamo el cual será tramitado bajo las siguientes reglas:

• El reclamo se formulará mediante solicitud dirigida a Éxito como responsable del tratamiento, o al Encargado del tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
• En caso de que se reciba un reclamo y Almacenes Éxito no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
• Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo de este, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.
• El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual no superará los ocho (8) días hábiles siguientes al vencimiento del primer término.

SEGURIDAD DE LA INFORMACIÓN Y RESPONSABILIDAD DEMOSTRADA

Almacenes Éxito reconoce que la protección de los datos personales constituye un elemento esencial de la confianza de sus clientes, empleados, accionistas, proveedores, aliados comerciales y demás grupos de interés. Por tal motivo, La Compañía adopta un enfoque preventivo, basado en riesgos y orientado a la mejora continua para garantizar el tratamiento adecuado de la información personal.

La Compañía implementa medidas técnicas, tecnológicas, administrativas, jurídicas, físicas y organizacionales razonables para proteger los datos personales frente a riesgos de destrucción, pérdida, alteración, uso indebido, acceso no autorizado, divulgación, fraude, manipulación o cualquier tratamiento no autorizado o ilícito.

En aplicación del principio de responsabilidad demostrada, Almacenes Éxito mantiene un Programa Integral de Gestión de Protección de Datos Personales orientado a demostrar el cumplimiento permanente de la normativa aplicable. Dicho programa incluye, entre otros, los siguientes componentes:

• Inventario y clasificación de bases de datos.
• Identificación de actividades de tratamiento.
• Definición de roles y responsabilidades.
• Gobierno corporativo de protección de datos.
• Evaluaciones de riesgos de privacidad.
• Gestión de incidentes de seguridad y privacidad.
• Procedimientos de atención de consultas y reclamos.
• Programas de capacitación y concientización.
• Auditorías internas y monitoreo periódico.
• Gestión documental y conservación de evidencias de cumplimiento.

Almacenes Éxito incorpora criterios de protección de datos personales desde las etapas iniciales de diseño, desarrollo, adquisición e implementación de productos, servicios, aplicaciones, campañas de mercadeo, programas de fidelización, iniciativas de transformación digital, proyectos de analítica de datos e inteligencia artificial y demás procesos que impliquen tratamiento de información personal. Para tal efecto, la Compañía promueve la minimización de datos, la limitación de finalidades, la configuración de opciones de privacidad por defecto, la realización de evaluaciones de riesgos de privacidad cuando resulten necesarias y la adopción anticipada de medidas técnicas, organizacionales y jurídicas que permitan proteger los derechos de los Titulares desde el inicio de cada proyecto.

INTELIGENCIA ARTIFICIAL Y USO RESPONSABLE DE TECNOLOGÍAS AUTOMATIZADAS

Almacenes Éxito utilizará herramientas de inteligencia artificial, analítica avanzada, aprendizaje automático, sistemas de recomendación y otras tecnologías automatizadas para mejorar la experiencia de los clientes, optimizar procesos operativos, fortalecer la seguridad de sus canales físicos y digitales, prevenir fraudes, personalizar productos, servicios y comunicaciones, así como desarrollar modelos de análisis y conocimiento de clientes. Estas actividades se realizarán respetando los principios de legalidad, finalidad, transparencia, seguridad, confidencialidad y demás disposiciones aplicables en materia de protección de datos personales.

La Compañía procurará que los sistemas utilizados sean diseñados y operados bajo criterios de uso responsable, gestión de riesgos, supervisión humana, calidad de la información y respeto por los derechos de los Titulares. La utilización de herramientas de inteligencia artificial no limitará el ejercicio de los derechos de consulta, acceso, corrección, actualización, supresión o revocatoria previstos en esta Política. Así mismo, los modelos analíticos no producirán efectos jurídicos o decisiones exclusivamente automatizadas que afecten significativamente al Titular sin intervención humana apropiada.

REGISTRO NACIONAL DE BASES DE DATOS – RNBD

En cumplimiento del Decreto 1074 de 2015 y de la Circular Única de la Superintendencia de Industria y Comercio, Éxito mantiene inscritas y actualizadas sus bases de datos personales en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio.

COOKIES, TECNOLOGÍAS SIMILARES Y DATOS DE NAVEGACIÓN

Las cookies son archivos de información que los sitios web o aplicaciones almacenan en el navegador o dispositivo del usuario con el fin de recordar información sobre su visita, actividad y preferencias de navegación. Estas herramientas permiten mejorar la experiencia de uso, facilitar procesos de autenticación, personalizar contenidos, analizar el comportamiento de navegación y apoyar estrategias de medición y publicidad digital. Las cookies pueden clasificarse según su funcionalidad, duración, finalidad o entidad que las administra, existiendo, entre otras, cookies técnicas, de personalización, de análisis y publicitarias; cookies de sesión o permanentes; y cookies propias o de terceros.

El usuario puede aceptar, configurar, restringir o deshabilitar las cookies mediante las herramientas dispuestas por La Compañía o a través de las opciones de configuración de su navegador o dispositivo. Sin embargo, la desactivación de determinadas cookies puede afectar el correcto funcionamiento de algunas funcionalidades de los portales o aplicaciones. La aceptación de las cookies se entenderá otorgada a través de los mecanismos de consentimiento implementados por La Compañía, los cuales permitirán al usuario recibir información clara sobre su uso. Asimismo, La Compañía puede actualizar periódicamente su Política de Cookies para atender cambios normativos, tecnológicos, operativos o relacionados con sus servicios o productos digitales, por lo que se recomienda a los usuarios consultar regularmente la versión vigente publicada en sus canales oficiales.

La regulación completa del uso de Cookies, tecnologías similares y datos de navegación podrá encontrarse en la Política de Cookies y Datos de Navegación dispuesta en la página web de exito.com.

VIDEOVIGILANCIA, CONTROL DE ACCESO Y MONITOREO DE INSTALACIONES

Con el fin de proteger las personas, bienes, instalaciones y operación de La Compañía, Almacenes Éxito podrá utilizar sistemas de videovigilancia y otros mecanismos de monitoreo en sus almacenes, centros de distribución, oficinas administrativas, parqueaderos, plataformas logísticas, puntos de atención, centros comerciales o galerías administradas y demás instalaciones bajo su administración. La captura de imágenes y registros podrá realizarse mediante cámaras fijas, cámaras móviles, dispositivos de control de acceso u otras tecnologías legalmente permitidas.

Los datos recolectados mediante sistemas de videovigilancia podrán ser tratados para:

• Garantizar la seguridad de colaboradores, clientes, proveedores y visitantes.
• Proteger los activos físicos y digitales de la organización.
• Prevenir pérdidas, hurtos, fraudes y otros comportamientos contrarios a la ley o a las políticas corporativas.
• Apoyar investigaciones internas.
• Gestionar incidentes relacionados con seguridad física.
• Controlar accesos a áreas restringidas.
• Atender requerimientos de autoridades administrativas o judiciales.
• Responder reclamaciones, controversias o procesos judiciales.
• Verificar el cumplimiento de protocolos de seguridad y operación.
• Salvaguardar la continuidad del negocio.

La Compañía podrá implementar sistemas de control de acceso apoyados en credenciales, registros electrónicos, biometría u otros mecanismos tecnológicos cuando resulte necesario para la protección de personas, instalaciones e información. Cuando se utilicen datos biométricos, estos serán tratados observando las reglas especiales previstas para datos sensibles y aplicando medidas reforzadas de seguridad.

Las zonas sometidas a videovigilancia serán identificadas mediante avisos visibles que informen a Los Titulares sobre la existencia de dichos mecanismos y permitan conocer los canales para ejercer sus derechos. Las imágenes, grabaciones y registros obtenidos mediante sistemas de videovigilancia serán conservados únicamente durante el tiempo necesario para cumplir las finalidades que justifican su tratamiento, salvo que exista una obligación legal, contractual o requerimiento de autoridad competente que exija un plazo mayor de conservación.

El acceso a las imágenes y registros de videovigilancia estará restringido exclusivamente al personal autorizado y a las autoridades competentes en ejercicio de sus funciones legales. La reproducción, copia, extracción, divulgación o utilización de estas grabaciones para fines distintos de los autorizados se encuentra prohibida.

En caso de implementarse herramientas de analítica de video, inteligencia artificial (IA), reconocimiento de patrones, conteo de tráfico, medición de afluencia, mapas de calor u otras tecnologías que involucren tratamiento de datos personales, La Compañía realizará previamente las evaluaciones de riesgo y los análisis de impacto en privacidad que resulten necesarios para garantizar el respeto de los derechos de Los Titulares.

VIGENCIA

La presente Política entra en vigor a partir del 11 de septiembre de 2026 y reemplaza en su totalidad las versiones anteriores.