POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES — SHUGGI

Versión 1.1 · Vigente desde el 8 de septiembre de 2026

Cambios de la versión 1.1 (publicada el mismo día que la 1.0): se retiró a Google Fonts de la lista de encargados. La aplicación ya no descarga su tipografía desde servidores de Google al abrirse, sino que la incluye en su propio paquete, de modo que esa transferencia de datos dejó de existir.

Versionado. Los tres documentos legales de Shuggi —Política de Tratamiento de Datos Personales, Aviso de Privacidad y Términos y Condiciones— comparten un mismo número de versión, porque el Usuario acepta la Política y los Términos en un solo acto y se conserva un único registro de qué versión aceptó. Cuando cambia cualquiera de los tres, sube el número de los tres, aunque el texto de alguno no haya cambiado.

I. INTRODUCCIÓN

Tomás Echavarría Gil, persona natural domiciliada en Medellín, Colombia (en adelante, "el Responsable" o "Shuggi"), es titular y operador de Shuggi, una plataforma tecnológica (aplicación móvil y sitio web) que conecta a personas consumidoras con comercios aliados —panaderías, restaurantes, supermercados, hoteles y similares— que ofrecen excedentes de alimentos a precio reducido, con el fin de reducir el desperdicio de comida.

En cumplimiento del artículo 15 de la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y demás normas concordantes, el Responsable adopta la presente Política de Tratamiento de Datos Personales para proteger el derecho fundamental de Hábeas Data de todos los Titulares con quienes se relaciona.

Nota sobre la naturaleza jurídica del Responsable. Shuggi opera actualmente bajo una persona natural, no bajo una sociedad. Esto no reduce ninguna de las obligaciones de la Ley 1581/2012: el Responsable responde personalmente por el Tratamiento aquí descrito. Si en el futuro la operación se traslada a una persona jurídica, esta Política será actualizada y el cambio comunicado a los Titulares conforme a la Sección XIII.

II. RESPONSABLE DEL TRATAMIENTO

El correo indicado es el canal oficial y suficiente para ejercer cualquiera de los derechos descritos en la Sección IX. No se requiere ningún otro medio. Si el Titular necesita una dirección física para una actuación formal, será suministrada a solicitud por ese mismo canal.

Registro Nacional de Bases de Datos (RNBD): el Responsable no está obligado a inscribir sus bases de datos en el RNBD de la Superintendencia de Industria y Comercio. Conforme al Decreto 1074 de 2015 (Libro 2, Parte 2, Título 2, Capítulo 26), dicha obligación recae únicamente sobre sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y sobre personas jurídicas de naturaleza pública. No estar obligado a registrar no exime del cumplimiento del resto de la Ley 1581/2012.

III. DEFINICIONES

• Autorización: consentimiento previo, expreso e informado del Titular para tratar sus datos.
• Base de datos: conjunto organizado de datos personales sujeto a Tratamiento.
• Dato personal: información vinculada a personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (origen racial o étnico, ideología política, convicciones religiosas, datos de salud, vida sexual, datos biométricos, entre otros).
• Encargado del Tratamiento: quien trata datos personales por cuenta del Responsable.
• Responsable del Tratamiento: Tomás Echavarría Gil, quien decide sobre la base de datos y el Tratamiento.
• Titular: persona natural cuyos datos son objeto de Tratamiento.
• Tratamiento: cualquier operación sobre datos personales —recolección, almacenamiento, uso, circulación o supresión.

IV. PRINCIPIOS RECTORES

El Tratamiento se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, en los términos del artículo 4 de la Ley 1581 de 2012.

En particular, el Responsable aplica el principio de minimización: no se recolecta ni conserva ningún dato que no sea necesario para una finalidad expresamente declarada en esta Política.

V. TITULARES DE LA INFORMACIÓN

Esta Política aplica a:

1. Usuarios consumidores: personas naturales que se registran en la aplicación móvil y reservan o compran paquetes de excedentes.
2. Comercios aliados: personas naturales, o representantes y contactos de personas jurídicas, que publican excedentes en la plataforma a través del portal web.
3. Proveedores y contratistas del Responsable.

Shuggi no cuenta con domiciliarios ni personal de reparto: el modelo es exclusivamente de recogida en el punto de venta del comercio aliado. Esa categoría de Titular no existe.

VI. DATOS QUE RECOLECTAMOS

6.1 Usuarios consumidores (aplicación móvil)

6.2 Comercios aliados (portal web)

Nombre del comercio, dirección, coordenadas geográficas, teléfono de contacto, correo electrónico, categoría, logotipo e información de los paquetes publicados.

6.3 Datos que NO recolectamos

El Responsable declara expresamente que no recolecta ni almacena:

• Datos de tarjetas de crédito o débito. El pago se procesa íntegramente en la plataforma de la pasarela de pagos (ver Sección XII). Shuggi no recibe, no ve y no almacena el número de tarjeta —completo ni enmascarado—, el nombre del tarjetahabiente, ni la dirección de facturación. Del pago solo se conserva: identificador de la transacción, estado, monto, moneda, método de pago y fecha.
• Número telefónico de usuarios consumidores. La aplicación no tiene campo, formulario ni pantalla que lo solicite.
• Fecha de nacimiento ni documento de identidad de usuarios consumidores.
• Datos sensibles en el sentido del artículo 5 de la Ley 1581/2012.
• Datos de menores de edad (ver Sección XI).

Shuggi no utiliza herramientas de analítica de comportamiento, de medición de audiencia, de reporte de errores ni SDK publicitarios en la aplicación móvil ni en el portal web. No existe ningún identificador de seguimiento publicitario. El portal web utiliza únicamente cookies de sesión estrictamente necesarias para mantener la sesión iniciada.

6.4 Tratamiento particular de la ubicación

La ubicación del dispositivo se solicita solo cuando el Usuario pulsa explícitamente la opción de usar su ubicación, nunca de forma automática al abrir la aplicación, y puede sustituirse por una dirección escrita a mano. Se utiliza para una única finalidad: ordenar y filtrar los comercios y paquetes por cercanía.

Las coordenadas no se guardan en nuestra base de datos: se envían al servidor con cada consulta, se usan para resolverla y se descartan. No se construye historial de ubicaciones ni se asocian coordenadas a un pedido.

Precisión honesta. Las coordenadas viajan como parámetros de la consulta al servidor, por lo que pueden quedar registradas de forma transitoria en los registros técnicos de acceso del servidor web, junto con la dirección IP, como ocurre en cualquier servicio de internet. Esos registros existen para operación y seguridad, no se usan para perfilar al Usuario, no se cruzan con su cuenta y se sobrescriben de forma automática y periódica.

VII. FINALIDADES DEL TRATAMIENTO

7.1 Usuarios consumidores

1. Crear, autenticar y administrar la cuenta del Usuario.
2. Permitir la búsqueda, reserva y compra de paquetes de excedentes.
3. Mostrar comercios aliados cercanos, a partir de la ubicación del dispositivo.
4. Procesar el pago a través de la pasarela y confirmar la transacción.
5. Generar y entregar el código de recogida y su código QR.
6. Enviar notificaciones transaccionales (confirmación de pedido, recordatorio de recogida, cancelaciones).
7. Calcular y mostrar las estadísticas de impacto del Usuario ("Foody Hero").
8. Atender peticiones, quejas y reclamos (PQR).
9. Prevenir el fraude y el uso indebido de la plataforma.
10. Cumplir obligaciones legales, tributarias y regulatorias, y conservar los soportes de las transacciones por el término legal aplicable (Sección XIII).

Shuggi no envía comunicaciones comerciales ni de mercadeo en esta versión. Si en el futuro se implementan, se solicitará una autorización independiente y opcional (casilla separada, no premarcada), y nunca serán condición para usar la plataforma.

7.2 Comercios aliados

Gestión del registro y la verificación del comercio; administración de la relación comercial; publicación y gestión de paquetes; liquidación y pago de las ventas, neto de la comisión de la plataforma; reportes de desempeño; y cumplimiento de obligaciones tributarias.

7.3 Proveedores y contratistas

Gestión contractual, facturación y pagos.

VIII. AUTORIZACIÓN DEL TITULAR

El Tratamiento requiere el consentimiento previo, expreso e informado del Titular, salvo en los casos en que la ley no lo exija.

La autorización se obtiene mediante una casilla de verificación no premarcada en la pantalla de registro, que el Usuario debe marcar activamente antes de poder crear su cuenta; mientras no lo haga, el botón de registro permanece deshabilitado. Junto a ella, el Usuario declara ser mayor de 18 años.

El acceso a la ubicación se solicita por separado, mediante el permiso nativo del sistema operativo, y puede revocarse en cualquier momento desde la configuración del dispositivo sin perder acceso al resto de la aplicación. Lo mismo aplica a las notificaciones push.

El Responsable conserva, como prueba de la autorización, la fecha y hora de aceptación y la versión exacta del texto que la aplicación mostró en pantalla en ese momento. Se registra la versión mostrada por la aplicación —no la vigente en el servidor— precisamente para que la constancia refleje lo que el Usuario leyó y no un texto posterior.

La autorización puede revocarse en cualquier momento, sin efectos retroactivos, por los canales de la Sección X.

IX. DERECHOS DE LOS TITULARES

Todo Titular tiene derecho, de forma gratuita e ilimitada, a:

1. Conocer, actualizar y rectificar sus datos personales.
2. Solicitar prueba de la autorización otorgada.
3. Ser informado sobre el uso dado a sus datos.
4. Revocar la autorización y/o solicitar la supresión de sus datos, cuando no exista un deber legal o contractual que lo impida.
5. Acceder gratuitamente a sus datos objeto de Tratamiento.
6. Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581/2012, una vez agotado el trámite ante el Responsable.

X. CANALES Y PROCEDIMIENTO PARA EJERCER LOS DERECHOS

Canal oficial: shuggi.app@gmail.com

Este correo es suficiente para ejercer cualquier derecho de la Sección IX. Adicionalmente, la aplicación ofrece la eliminación de la cuenta directamente desde el perfil del Usuario, como mecanismo de autoservicio equivalente en sencillez al de aceptación.

Se requerirá acreditar la identidad del Titular —o de su representante o causahabiente, con los documentos que lo acrediten— antes de tramitar cualquier solicitud.

Consultas: se responden en un plazo máximo de 10 días hábiles. Si no fuere posible, se informará al Titular el motivo y la fecha de atención, que no superará 5 días hábiles adicionales.

Quejas y reclamos: se responden en un plazo máximo de 15 días hábiles, prorrogable hasta 8 días hábiles adicionales informando los motivos. Si el reclamo estuviere incompleto, se requerirá al Titular dentro de los 5 días siguientes para subsanarlo; transcurridos 2 meses sin respuesta, se entenderá desistido.

XI. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

El uso de Shuggi está dirigido exclusivamente a personas mayores de 18 años. Al registrarse, el Usuario declara expresamente ser mayor de edad.

Conforme al artículo 7 de la Ley 1581/2012 y al artículo 12 del Decreto 1377/2013, el Responsable no trata datos de menores de edad. Por esa misma razón, y en aplicación del principio de minimización, no se solicita la fecha de nacimiento: exigir ese dato implicaría recolectar información adicional sin una finalidad legítima que la justifique.

Si se detecta una cuenta perteneciente a una persona menor de edad, será eliminada junto con sus datos asociados.

Los paquetes ofrecidos en Shuggi no contienen bebidas alcohólicas. Esta prohibición se impone contractualmente a los comercios aliados.

XII. ENCARGADOS, TRANSMISIÓN Y TRANSFERENCIA INTERNACIONAL

El Responsable comparte datos personales, en la medida estrictamente necesaria, con:

Sobre la pasarela de pagos. Shuggi está migrando de PayU a Rapyd. Mientras la migración se completa, la pasarela efectivamente utilizada en cada transacción es la indicada en el momento del pago. La fila de PayU se retirará de esta Política cuando la migración termine.

Comercios aliados: reciben la información necesaria para preparar y entregar el pedido: el nombre del Usuario, un identificador interno del comprador, el detalle del paquete, el código de recogida, la franja horaria, el importe del pedido y su estado de pago. Si el Usuario cancela e indica un motivo, el Comercio también lo ve. Como el identificador es estable, el Comercio puede ver los pedidos que ese mismo Usuario ha hecho en su propio establecimiento.

No reciben el correo electrónico, la contraseña, la ubicación, las estadísticas de impacto, ni el historial de pedidos del Usuario en otros comercios.

Personal de Shuggi: el Responsable, en su función de administración de la plataforma, accede al nombre y al correo electrónico de los Usuarios, así como al detalle de los pedidos, para soporte, conciliación de pagos y prevención del fraude.

Autoridades públicas: cuando medie requerimiento legal.

Transferencia internacional

Parte de la infraestructura de Shuggi opera en Estados Unidos y, en el caso del proveedor de correo, también en la Unión Europea. Estas transferencias se realizan conforme al artículo 26 de la Ley 1581/2012, amparadas en la autorización expresa del Titular y en la necesidad de la transferencia para la ejecución del contrato entre el Titular y el Responsable, y bajo las cláusulas contractuales de tratamiento de datos que cada proveedor suscribe en calidad de Encargado.

XIII. VIGENCIA, CONSERVACIÓN Y SUPRESIÓN

Los datos se conservan mientras sean necesarios para las finalidades declaradas o mientras subsista un deber legal de conservación. En concreto:

Precisión importante. Tras la eliminación de una cuenta, los registros de pedidos y pagos se conservan sin los datos de identificación del Titular: no contienen su nombre, su correo, su contraseña ni sus estadísticas personales. Subsiste un identificador técnico interno, necesario para la contabilidad y para atender un requerimiento tributario. La obligación tributaria de 5 años no implica conservar datos de identificación durante 5 años.

Esta Política será revisada periódicamente. Todo cambio sustancial se comunicará a los Titulares por la aplicación o por correo electrónico con antelación razonable, y dará lugar a una nueva versión, que el Usuario deberá aceptar cuando el cambio afecte las finalidades autorizadas.

XIV. SEGURIDAD DE LA INFORMACIÓN

El Responsable aplica medidas técnicas, humanas y administrativas razonables y proporcionales al riesgo, entre ellas: cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones entre las aplicaciones y nuestros servidores, aplicado en la capa de red que da acceso al servicio; almacenamiento de contraseñas mediante funciones hash (nunca en texto plano); tokens de verificación y recuperación almacenados en forma hasheada y con expiración; control de acceso por roles; sesión mediante cookie httpOnly; limitación de tasa en los endpoints de autenticación y en las operaciones sensibles; generación del código de recogida con un generador criptográficamente seguro; y registros técnicos de la operación.

Ninguna medida de seguridad es infalible. Si llegara a producirse un incidente que comprometa datos personales, el Responsable lo informará a los Titulares afectados y a la Superintendencia de Industria y Comercio conforme a la normativa aplicable.

XV. RESPONSABLE INTERNO DE PROTECCIÓN DE DATOS

Mientras Shuggi opere bajo una persona natural, la función de Oficial de Protección de Datos es asumida directamente por Tomás Echavarría Gil, quien atiende las solicitudes de los Titulares y coordina la relación con la Superintendencia de Industria y Comercio.

Contacto: shuggi.app@gmail.com

Versión 1.1 — 8 de septiembre de 2026. Esta Política se rige por las leyes de la República de Colombia.