Política de Tratamiento de Datos Personales

1. Responsable

Razón social: LIZAMA S.A.S. · NIT: 901.959.323-9 · Dirección: Carrera 19 A No. 90-13, Consultorio 612, Edificio 90, Bogotá D.C., Colombia · Teléfonos: 601 2569391 · 300 2078542 · Correo para protección de datos: [email protected] · Dominios: dermoglowvital.com · dermogv.com · Área responsable de la función de protección de datos (art. 23, Dto. 1377): Dirección General (designación provisional, art. 23 Dto. 1377), atiende peticiones, consultas y reclamos.

Todas las marcas y plataformas del ecosistema DermoGlowVital operan bajo la responsabilidad de LIZAMA S.A.S.

2. Objeto, alcance y naturaleza del servicio

Esta política rige el tratamiento de los datos personales que LIZAMA S.A.S. recolecta por sus portales, formularios digitales, canales de WhatsApp y demás medios del ecosistema. Vincula a todo el personal, contratistas y proveedores que intervienen.

Los canales digitales están dirigidos exclusivamente a personas mayores de 18 años.

El análisis dermofacial es una orientación estética por dominios de la piel: no constituye consulta médica, no emite diagnósticos ni prescripciones, no reemplaza la valoración de un profesional de la salud y no genera historia clínica. Las bases de datos objeto de esta política no son historia clínica ni están sujetas a ese régimen. Si el titular accede a servicios que sí constituyan acto médico, esa información se regirá por la normativa especial correspondiente y por autorizaciones específicas.

3. Principios

Se aplican los principios del artículo 4 de la Ley 1581: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

LIZAMA S.A.S. añade dos criterios propios: minimización —se recolecta el mínimo dato necesario; los canales digitales no capturan documento de identidad, dirección de residencia ni antecedentes médicos— y responsabilidad demostrada —se conservan las evidencias que acreditan el cumplimiento en cualquier momento.

4. Datos que se tratan

4.1 De contacto (necesarios): nombre, celular y correo electrónico.

4.2 Autoreporte sobre la piel (facultativo — dato sensible): lo que el titular decida informar sobre sus preocupaciones estéticas. LIZAMA S.A.S. lo califica como dato sensible por concernir al estado de salud (art. 5, Ley 1581), con independencia de que el servicio no sea acto médico. En consecuencia: su suministro es enteramente facultativo; se informa expresamente que no está obligado a autorizarlo; ninguna actividad se condiciona a su entrega (art. 6, Dto. 1377); se recaba con autorización explícita e independiente; y no se usa para publicidad, perfilamiento ni segmentación.

4.3 Técnicos y de trazabilidad: fecha y hora, canal, IP, identificador de sesión, agente de usuario y registro de autorizaciones y revocatorias con su versión de texto.

4.4 De pago: cuando el titular adquiere un servicio, los estrictamente necesarios para procesar el pago y expedir el comprobante. El procesamiento lo realiza la pasarela contratada como encargado; LIZAMA S.A.S. no almacena números completos de tarjetas.

4.5 No se tratan: diagnósticos, tratamientos, medicamentos, antecedentes médicos, historia clínica, resultados de laboratorio, datos biométricos de identificación, origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical ni vida sexual.

5. Finalidades

1. Atender y responder las solicitudes de los canales digitales. 2. Prestar el análisis dermofacial como orientación estética. 3. Coordinar, confirmar, recordar y reprogramar citas. 4. Acompañar al titular antes y después del servicio. 5. Contactarlo por WhatsApp, correo o teléfono para lo relacionado con su solicitud. 6. Llevar el registro interno de leads, citas y actividad. 7. Elaborar estadísticas agregadas y anonimizadas. 8. Acreditar el cumplimiento en materia de protección de datos. 9. Atender requerimientos de autoridades. 10. Previa autorización específica y separada: comunicaciones comerciales y promocionales.

Cualquier finalidad distinta requiere nueva autorización.

6. Autorización

Obtención. Por medios electrónicos, antes de cualquier tratamiento, mediante casillas de verificación no premarcadas que el titular activa deliberadamente. El flujo digital permanece bloqueado hasta que se otorguen las autorizaciones necesarias para prestar el servicio; esto no se extiende a las autorizaciones facultativas del numeral 4.2 y de la finalidad 10, cuya omisión no impide el acceso.

Granularidad. Cada finalidad se autoriza de forma independiente, según la arquitectura de tres ítems necesarios (datos de contacto y almacenamiento en el exterior, comprensión del alcance, contacto por WhatsApp) y dos facultativos (autoreporte de piel, comunicaciones comerciales).

Prueba (art. 8, Dto. 1377). Se conserva por cada autorización: identificador del titular o sesión, id y versión del texto aceptado, huella criptográfica del texto, fecha y hora, canal, IP y agente de usuario, en histórico inalterable que registra otorgamiento y revocatoria.

Revocatoria (art. 9, Dto. 1377). En cualquier momento, total o parcial por finalidad, escribiendo a [email protected], por el formulario web o por WhatsApp. Se hace efectiva y se registra. No procede cuando exista deber legal o contractual de permanencia.

7. Conservación y supresión

Titular que no llegó a agendar: 12 meses desde el último contacto. Titular que agendó o recibió el servicio: hasta 5 años desde la última interacción. Autoreporte sobre la piel (sensible): 12 meses, o supresión anticipada a solicitud. Registro de autorizaciones y revocatorias: durante el tratamiento y 5 años después.

Vencido el plazo, los datos se suprimen o anonimizan de forma irreversible, con constancia del evento. Lo anonimizado puede conservarse con fines estadísticos sin posibilidad de reidentificación.

8. Derechos del titular y procedimiento

Derechos (art. 8, Ley 1581): conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informado del uso dado a sus datos; presentar quejas ante la SIC; revocar la autorización y solicitar supresión; acceder gratuitamente a sus datos.

Legitimados: el titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro.

Canales: [email protected] · formulario en /habeas-data · WhatsApp institucional · Carrera 19 A No. 90-13, Consultorio 612, Edificio 90, Bogotá D.C., Colombia.

Consultas. Se responden en máximo 10 días hábiles. Si no es posible, se informa la razón y la fecha de respuesta, que no superará 5 días hábiles más.

Reclamos. Deben contener identificación del titular, descripción de los hechos, dirección de contacto y soportes. Si están incompletos, se requiere al interesado dentro de los 5 días siguientes; si no subsana en 2 meses, se entiende desistido. Si quien recibe no es competente, dará traslado en máximo 2 días hábiles e informará al interesado. Recibido el reclamo completo, se incluirá en la base de datos, en término no mayor a 2 días hábiles, la leyenda "reclamo en trámite" y el motivo, que se mantendrá hasta que se decida. Se resuelve en máximo 15 días hábiles desde el día siguiente a su recibo, prorrogables por 8 días hábiles más informando los motivos.

Procedibilidad: la queja ante la SIC solo procede tras agotar el trámite ante LIZAMA S.A.S. (art. 16, Ley 1581).

9. Encargados y transmisión internacional

LIZAMA S.A.S. se apoya en proveedores tecnológicos que actúan como encargados, tratando los datos por cuenta y bajo instrucciones del responsable, sin finalidades propias: alojamiento y base de datos, mensajería instantánea, correo transaccional y analítica.

Algunos procesan o almacenan en servidores fuera de Colombia. Estas operaciones constituyen transmisión internacional (art. 24, Dto. 1377) y están amparadas por contratos de transmisión que estipulan alcance y finalidades, obligaciones del encargado frente al titular y al responsable, medidas de seguridad y cumplimiento de esta política.

Se mantiene inventario actualizado de encargados con ubicación del tratamiento y estado del contrato, y se verifica que ninguno use la información para finalidades propias, incluido el entrenamiento de modelos de inteligencia artificial.

No se realizan transferencias a terceros responsables con finalidades propias, salvo obligación legal o autorización expresa del titular.

10. Personas menores de edad

Los canales digitales del ecosistema están dirigidos exclusivamente a personas mayores de 18 años. Cuando el sistema identifica a una persona menor de edad, el flujo se interrumpe, no se conservan los datos digitados y se orienta al usuario para coordinar su atención acompañado por su representante legal.

La atención presencial de personas menores de edad se sujeta al artículo 7 de la Ley 1581 y al artículo 12 del Decreto 1377: requiere autorización del representante legal, previo ejercicio del derecho del menor a ser escuchado, y se documenta en el formato específico adoptado para ello. En ningún caso se dirigen comunicaciones comerciales ni actividades de perfilamiento publicitario a personas menores de edad.

11. Seguridad

Cifrado en tránsito y en reposo; control de acceso por roles con mínimo privilegio; autenticación reforzada para el personal con acceso; registro de auditoría; copias de respaldo con verificación de restauración; acuerdos de confidencialidad vigentes aun después de terminada la vinculación; capacitación periódica; separación entre datos operativos y cualquier información asistencial; y procedimiento de gestión de incidentes con reporte a la SIC y a los titulares afectados cuando se presenten violaciones a los códigos de seguridad.

12. Deberes

LIZAMA S.A.S. cumple los deberes del artículo 17 de la Ley 1581 —incluidos adoptar el manual interno de políticas y procedimientos (lit. k), informar a solicitud del titular sobre el uso dado a sus datos (lit. m) e informar a la autoridad las violaciones a los códigos de seguridad (lit. n)—; publica y pone a disposición esta política y el aviso de privacidad conservando evidencia de haberlo hecho (arts. 13, 14, 16 y 17, Dto. 1377); y ha designado el área que asume la función de protección de datos (art. 23, Dto. 1377). Los encargados cumplen los deberes del artículo 18 de la Ley 1581 según los respectivos contratos.

13. RNBD

Conforme al Decreto 090 de 2018, la obligación de registrar bases de datos ante la SIC recae en sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT —medidos a 31 de diciembre del año anterior— y en personas jurídicas de naturaleza pública.

LIZAMA S.A.S. no se encuentra dentro del universo de obligados, según verificación de sus activos totales.

14. Vigencia

Esta política rige desde el 25 de julio de 2026 y permanece vigente mientras no sea modificada. Las bases de datos se mantienen durante los plazos del numeral 7 y mientras subsista la finalidad. Las modificaciones se publican en dermoglowvital.com y dermogv.com; cuando afecten las finalidades autorizadas o la identidad del responsable, se comunican al titular antes de implementarse y, de ser necesario, se solicita nueva autorización.