Política de Privacidad — Settha

SETTHA TECHNOLOGIES S.A.S. opera dos aplicaciones distintas sobre la misma plataforma: • Settha, para viajeros que descubren y reservan tours, en Android (com.dodderware.settha) y en iPhone (App Store). • Settha Agencias (com.dodderware.settha.agency), en Android, para las agencias y creadores que publican esos tours y gestionan sus reservas. Esta política aplica a ambas. Las secciones 3 a 5 separan lo que recopila cada una, y donde la versión para iPhone funciona distinto lo indicamos. También publicamos una versión específica por aplicación, con el mismo contenido: • Viajeros: https://settha.com/privacy/travelers • Agencias y creadores: https://settha.com/privacy/creators Ambas aplicaciones usan la misma cuenta y el mismo servidor, por eso una sola política las cubre.

SETTHA TECHNOLOGIES S.A.S. (NIT 901984471-6), con domicilio en Medellín, Antioquia, Colombia, es responsable del tratamiento de sus datos personales. Contacto para privacidad: [email protected] Soporte a viajeros: [email protected] Soporte a creadores: [email protected]

Datos de cuenta que usted proporciona al registrarse: • Nombre y apellido. • Correo electrónico. • Número de teléfono. • Género. • Foto de perfil, si decide agregarla. Si inicia sesión con Google o con Apple (inicio de sesión con Apple está disponible en iPhone), ese proveedor nos entrega su nombre, su correo electrónico y un identificador de su cuenta en ese servicio; Google, además, su foto de perfil. Con Apple, el correo puede ser una dirección de reenvío privada de Apple si usted eligió ocultar el suyo, y los correos que le enviamos le llegan a través de ella. También guardamos, cifrado, un token de Apple que nos permite revocar el acceso de Settha a su Apple ID cuando elimina su cuenta. Contenido que usted crea: • Mensajes y fotografías que envía por el chat de la aplicación. Datos recopilados automáticamente: • Información del dispositivo: modelo, versión del sistema operativo (Android o iOS) y versión de la aplicación. • Dirección IP, para seguridad y control de abuso. • Informes de errores y diagnóstico de rendimiento (Sentry): la traza del error, la estructura de los elementos de la pantalla en el momento del fallo sin sus textos ni imágenes, y los pasos recientes dentro de la aplicación. No se adjuntan capturas ni grabaciones de la pantalla, y la opción de datos personales por defecto del proveedor está desactivada. • Analítica de producto (Mixpanel, solo en las aplicaciones Android): un identificador seudónimo y qué pantallas se abren. No incluye el contenido de sus tours ni de sus mensajes. • Un token de notificaciones push (Firebase Cloud Messaging), para avisarle de mensajes y cambios en reservas. En iPhone, Firebase entrega esas notificaciones a través del servicio de notificaciones push de Apple (APNs).

• Reservas: el tour, la fecha y hora, el número de personas y los servicios adicionales que elija. • Pagos: los procesa Wompi (Bancolombia S.A.). Settha NO almacena números de tarjeta. De cada pago guardamos una referencia, el estado, el medio de pago, el monto y el identificador de la transacción en la pasarela. • Reseñas y calificaciones que publique. Son públicas y quedan visibles para otros usuarios y para la agencia. • Favoritos, búsquedas e interacciones con los tours. • Reportes y bloqueos: los reportes que envíe sobre tours, reseñas o usuarios, con su motivo y detalles, y las cuentas que bloquee. En iPhone también puede reportar un mensaje del chat; en ese caso guardamos una copia del mensaje para revisarlo. • Navegación sin cuenta (iPhone): si explora los tours sin iniciar sesión, la aplicación envía un identificador aleatorio de la instalación para conservar su lugar en el feed. No está vinculado a ninguna cuenta ni a otros datos del dispositivo. Cuando usted reserva, compartimos con la agencia los datos necesarios para prestarle el servicio: su nombre, la cantidad de cupos y el horario reservado.

• Datos de la agencia o creador: razón social, NIT o cédula, Registro Nacional de Turismo (RNT) y dirección comercial. • Datos bancarios para desembolsos: entidad, tipo de cuenta, número de cuenta y documento del titular. • Contenido publicado: videos, fotografías, descripciones, precios y disponibilidad de los tours. Este contenido es público en la aplicación de viajeros. Para grabar o elegir el video de un tour, la aplicación solicita acceso a la cámara y al micrófono, y abre el selector de fotos del sistema operativo. El selector del sistema solo nos entrega el archivo que usted elige: la aplicación no tiene acceso al resto de su galería.

Ambas aplicaciones pueden pedir acceso a la ubicación del dispositivo, siempre explicando para qué se usa y siempre de forma opcional. Se usa de dos maneras distintas en las aplicaciones; el sitio web settha.com usa una tercera, descrita en el punto 3. 1. Tiempo de viaje (ambas aplicaciones). Para mostrar a qué distancia está un tour o una parada y cuánto se tarda en llegar, el dispositivo envía la ubicación directamente a un servicio de mapas: Google Maps Platform en Android y Apple Maps (MapKit) en iPhone. Ese envío no pasa por los servidores de Settha. 2. Orden del feed "Cerca de mí" (solo la aplicación de viajeros, en Android y en iPhone). Para ordenar los tours por cercanía, la aplicación de viajeros sí envía una ubicación a Settha, pero redondeada antes de salir del dispositivo: se ajusta a una cuadrícula de 0,1 grados, que equivale a unos 11 km. Es decir, enviamos el área aproximada, no su posición exacta. El redondeo ocurre en el dispositivo, antes de construir la petición, de modo que una coordenada exacta nunca llega a la red, ni a nuestros registros, ni a ningún intermediario. 3. Tours "Cerca de ti" en el sitio web settha.com. Sin pedirle permiso, el sitio usa la ubicación aproximada que nuestro proveedor de alojamiento (Cloudflare) deduce de la dirección IP de su conexión, redondeada a la misma cuadrícula de 0,1 grados antes de consultar a Settha. Solo si usted toca "Usar mi ubicación exacta", su navegador le pide permiso, y la ubicación se redondea en el navegador antes de enviarse. El sitio no la asocia a usted ni la guarda en cookies. La aplicación de agencias NO envía ninguna ubicación a los servidores de Settha. En ninguno de los dos casos la ubicación se comparte con otros usuarios ni con las agencias, y en ninguno se publica su posición. Si no concede el permiso, ambas aplicaciones siguen funcionando: las tarjetas no muestran el tiempo de viaje y "Cerca de mí" ordena los tours sin tener en cuenta la cercanía.

• No recopilamos el Identificador de Publicidad de Android (AD_ID) ni el de Apple (IDFA), y la aplicación para iPhone no pide permiso de rastreo. Las aplicaciones no muestran publicidad y no hacen seguimiento publicitario. • No accedemos a sus contactos, SMS, registros de llamadas, calendario, datos de salud ni biométricos. • No escaneamos su galería: el acceso a fotos y videos se hace a través del selector del sistema operativo, que nos entrega únicamente el archivo seleccionado. • No almacenamos números de tarjeta. • No vendemos datos personales.

• Crear y mantener su cuenta y autenticarle. • Operar el marketplace: publicar tours, mostrarlos, reservar y gestionar esas reservas. • Procesar pagos a viajeros y desembolsos a agencias. • Enviar notificaciones transaccionales: mensajes de chat, confirmaciones, cancelaciones y cambios de horario. • Verificar el cumplimiento legal de las agencias (RNT, registro tributario). • Retener impuestos y expedir documentos soporte conforme a la normativa tributaria. • Prevenir fraude y uso indebido, y moderar el contenido reportado. • Entender el uso del producto de forma agregada para mejorarlo.

Tratamos sus datos con base en: • Ejecución del contrato (art. 6.1.b RGPD; art. 4(a) Ley 1581 de 2012), para prestar el servicio. • Obligación legal (art. 6.1.c RGPD): registro en RNT, retención tributaria y conservación de registros transaccionales. • Interés legítimo (art. 6.1.f RGPD): seguridad, prevención de fraude y moderación de contenido. • Consentimiento (art. 6.1.a RGPD): permisos de ubicación, cámara, micrófono y notificaciones, que puede revocar en cualquier momento desde los ajustes del sistema.

Proveedores que tratan datos por cuenta de Settha: • Google LLC: inicio de sesión con Google, mapas y cálculo de rutas en Android (Google Maps Platform) y notificaciones push (Firebase Cloud Messaging). Política: policies.google.com/privacy • Apple Inc.: inicio de sesión con Apple, cálculo de rutas en iPhone (Apple Maps) y entrega de notificaciones en iPhone (Apple Push Notification service). Política: apple.com/legal/privacy • Wompi (Bancolombia S.A.): procesamiento de pagos y desembolsos. Recibe los datos de pago y de facturación. Política: wompi.co/politica-de-privacidad • Mixpanel Inc.: analítica de producto en las aplicaciones Android, con identificador seudónimo. Política: mixpanel.com/legal/privacy-policy • Sentry (Functional Software, Inc.): informes de errores y rendimiento. Política: sentry.io/privacy • Cloudflare, Inc.: infraestructura y entrega de contenido. Política: cloudflare.com/privacypolicy Además, cuando se concreta una reserva compartimos con la agencia los datos necesarios para prestar el servicio (sección 4), y el contenido que una agencia publica es visible para los viajeros. No vendemos datos personales ni los compartimos con terceros con fines publicitarios.

• Datos de cuenta: mientras la cuenta esté activa; se eliminan dentro de 30 días tras la solicitud, salvo obligación legal de conservación. • Registros de reservas, pagos y desembolsos: 5 años, conforme al Estatuto Tributario (art. 632). • Documentos legales de agencias (RNT, NIT, documentos de identidad): durante la relación contractual y 5 años adicionales. • Datos bancarios: mientras la cuenta bancaria esté registrada. • Contenido publicado: mientras esté publicado y 12 meses adicionales para auditoría. • Mensajes de chat: 2 años desde la última interacción. • Informes de errores y analítica: hasta 12 meses.

Conforme a la Ley 1581 de 2012 y, cuando aplique, el RGPD, usted puede acceder, rectificar, actualizar, suprimir y portar sus datos personales, oponerse a su tratamiento y revocar los consentimientos otorgados. Para ejercer cualquiera de estos derechos escriba a [email protected]. Respondemos dentro de 10 días hábiles para consultas y 15 días hábiles para reclamos de rectificación o supresión. Ciertos datos no pueden eliminarse mientras exista una obligación legal vigente, por ejemplo los registros transaccionales durante el periodo de retención fiscal. También puede presentar una queja ante la Superintendencia de Industria y Comercio (SIC).

Puede eliminar su cuenta de tres formas: 1. Desde la aplicación: Ajustes → Administrar cuenta → Eliminar mi cuenta. 2. Desde la web, sin necesidad de la aplicación: https://settha.com/account/delete. Le enviamos un código de verificación al correo de la cuenta para confirmar que es suya. 3. Escribiendo a [email protected]. Al confirmarse la solicitud desde la aplicación o desde la web, cerramos la cuenta de inmediato: se cierra la sesión en todos sus dispositivos y ya no es posible iniciar sesión con ella. Si usa inicio de sesión con Apple, revocamos también el acceso de Settha a su Apple ID. Después retiramos sus tours del marketplace (si es agencia), cancelamos las reservas futuras pendientes y notificamos a los afectados, procesamos los desembolsos pendientes y eliminamos o anonimizamos los datos personales dentro de 30 días: sus reseñas, interacciones y bloqueos se eliminan y los mensajes que envió se vacían. Cuando termina, le enviamos una confirmación al correo de la cuenta. Conservamos los registros transaccionales durante 5 años por obligación tributaria; quedan segregados y no se usan para operaciones rutinarias.

• Todo el tráfico entre las aplicaciones y nuestros servidores viaja cifrado con TLS 1.2 o superior. Las aplicaciones no permiten tráfico sin cifrar. • Las contraseñas se almacenan como resumen criptográfico con sal, nunca en texto plano. • No almacenamos números de tarjeta: los datos de pago los recibe directamente la pasarela. • Los informes de errores no incluyen capturas de pantalla. • Acceso interno restringido por roles; el acceso a datos bancarios está especialmente limitado. Notificamos a los usuarios afectados y a la Superintendencia de Industria y Comercio dentro de las 72 horas siguientes a la detección de una violación de datos personales.

Ambas aplicaciones están dirigidas a personas mayores de edad (18 años o más). El titular de la cuenta celebra un contrato de pago o de prestación de servicios turísticos, lo que requiere capacidad legal. Los tours pueden ser aptos para menores y pueden reservarse para ellos, pero siempre por un adulto titular de la cuenta. No recopilamos datos de menores de forma consciente; si detectamos una cuenta de un menor la eliminamos.

Sus datos pueden tratarse fuera de Colombia, porque algunos de nuestros proveedores operan globalmente (Google, Apple, Mixpanel, Sentry y Cloudflare, principalmente en Estados Unidos y la Unión Europea). Para estas transferencias nos apoyamos en Cláusulas Contractuales Tipo, en las certificaciones de privacidad de los proveedores y, cuando la ley lo exige, en su consentimiento explícito.

Podemos actualizar esta política. Los cambios materiales se notifican por correo electrónico con al menos 15 días de antelación y quedan visibles en la aplicación. La fecha de "Última actualización" en la parte superior indica la versión vigente.

SETTHA TECHNOLOGIES S.A.S. NIT 901984471-6 Medellín, Antioquia, Colombia Privacidad y ejercicio de derechos: [email protected] Soporte a viajeros: [email protected] Soporte a creadores: [email protected]