Política de Privacidad de Settha (Viajeros)

SETTHA TECHNOLOGIES S.A.S. (NIT 901984471-6), con domicilio en Medellín, Antioquia, Colombia, es la entidad responsable del tratamiento de sus datos personales. Contacto para asuntos de privacidad: [email protected]

Datos que usted nos proporciona: • Cuenta: nombre y apellido, correo electrónico, género y, si decide agregarlo, número de teléfono. Si inicia sesión con Google, recibimos de Google su nombre, su correo electrónico, el identificador de su cuenta y su foto de perfil. Si inicia sesión con Apple (en iPhone), recibimos de Apple su nombre, su correo electrónico (o una dirección de reenvío privada de Apple, si eligió ocultar el suyo) y el identificador de su cuenta, y guardamos cifrado un token que nos permite revocar el acceso de Settha a su Apple ID cuando elimina su cuenta. • Foto de perfil (opcional): la imagen que usted elige con el selector de fotos del sistema (Android o iPhone). La app recibe solo esa foto; no accede al resto de su galería. • Reservas: el tour, la fecha, el horario, el número de personas y los servicios adicionales que elija, y el estado del pago. • Mensajes que intercambia con las agencias por el chat de la app, y las solicitudes de disponibilidad o de cancelación que les envíe. • Reseñas y calificaciones de los tours que realizó. Las reseñas son públicas dentro de la app y se muestran con su nombre y su foto de perfil. • Reportes y bloqueos: los reportes que envíe sobre tours, reseñas, mensajes o usuarios (motivo y detalles; si reporta un mensaje del chat, una copia de ese mensaje), y la lista de cuentas que usted bloquea. La cuenta que usted bloquea es informada de que ya no puede enviarle mensajes, para que sepa que debe usar otro medio si tienen una reserva en curso. • Reportes de problemas que nos envíe desde la app, junto con la información técnica del dispositivo que se adjunta. • Preferencias: idioma, notificaciones y traducción automática. • Datos de pago: al pagar una reserva, los datos de su tarjeta los recopila Wompi, nuestro procesador de pagos, en su propia página de pago. Settha no recibe ni almacena números de tarjeta ni CVV; solo recibe el estado y la referencia del pago. Datos que recopilamos automáticamente: • Ubicación: si usted concede el permiso de ubicación (aproximada o precisa), la app la usa para dos cosas. Primero, para mostrar el tiempo estimado de viaje en carro hasta el punto de encuentro de un tour: la app envía sus coordenadas directamente desde su dispositivo a Google Maps Platform (Routes API) en Android, o a Apple Maps (MapKit) en iPhone, sin pasar por los servidores de Settha. En Android, la app guarda en su dispositivo, durante un máximo de 24 horas, los tiempos de viaje ya calculados junto con su ubicación redondeada a unos 100 metros; esa información no sale del dispositivo y se excluye de las copias de seguridad. Segundo, para ordenar el feed "Cerca de mí" por cercanía: la app envía a Settha su ubicación redondeada en el dispositivo a una cuadrícula de 0,1 grados (unos 11 km), de modo que recibimos el área aproximada y nunca su posición exacta. En el sitio web settha.com, la pestaña "Cerca de ti" usa, sin pedirle permiso, la ubicación aproximada que nuestro proveedor de alojamiento (Cloudflare) deduce de su dirección IP, redondeada a esa misma cuadrícula; solo si usted toca "Usar mi ubicación exacta", su navegador le pide permiso y la ubicación se redondea en el navegador antes de enviarse. El sitio no la asocia a usted ni la guarda en cookies. No la guardamos en su cuenta ni la compartimos con las agencias ni con otros usuarios. • Actividad en la app: las pantallas y los tours que ve, sus likes, guardados, compartidos y búsquedas, para prestar y mejorar el servicio y las recomendaciones. • Identificadores del dispositivo: un identificador para notificaciones (token de Firebase Cloud Messaging) con el que le enviamos notificaciones, e identificadores pseudónimos de instalación que usan nuestras herramientas de analítica y de monitoreo de fallos. En iPhone, Firebase entrega las notificaciones a través del servicio de notificaciones push de Apple (APNs), y si explora los tours sin iniciar sesión la app envía además un identificador aleatorio de la instalación para conservar su lugar en el feed, que no está vinculado a ninguna cuenta. • Información técnica y de diagnóstico: modelo del dispositivo, versión del sistema operativo (Android o iOS), versión de la app, informes de fallos (trazas de error, la estructura de los elementos de la pantalla en el momento del fallo sin sus textos ni imágenes, y los pasos recientes dentro de la app) y métricas de rendimiento. No tomamos capturas de pantalla. • Dirección IP y datos de la conexión, para la seguridad, el control de abuso y la gestión de sesiones (por ejemplo, los dispositivos con sesión iniciada que usted ve en Administrar cuenta). Nuestro proveedor de analítica puede deducir de la IP una ubicación aproximada (ciudad, región y país). Datos que no recopilamos: • No recopilamos el Identificador de Publicidad de Android (AD_ID), el identificador de publicidad de Apple (IDFA) ni otros identificadores publicitarios, y en iPhone no le pedimos permiso de rastreo. La app no muestra anuncios. • No accedemos a sus contactos, SMS, registros de llamadas, datos de salud ni datos biométricos, ni a su galería de fotos más allá de la foto que usted elija.

• Prestar el servicio: mostrar tours, gestionar reservas y pagos, habilitar el chat con las agencias, mostrar el tiempo de viaje hasta un tour y ordenar "Cerca de mí" por cercanía. • Entregar a la agencia que usted reserva la información necesaria para prestar el tour. • Personalizar recomendaciones con base en su actividad. • Enviar notificaciones y correos transaccionales: códigos de verificación, confirmaciones de reserva, mensajes nuevos y recordatorios. • Moderar el contenido: revisar reportes, retirar contenido que incumpla nuestras normas, y aplicar los bloqueos que usted configure. • Prevenir el fraude y el abuso, y mantener la seguridad de la plataforma y de las sesiones. • Diagnosticar fallos, medir el uso de la app de forma agregada y mejorar su estabilidad. • Cumplir obligaciones legales, fiscales y de turismo. No usamos sus datos para publicidad y no los vendemos.

Tratamos sus datos con base en: • Su autorización previa, expresa e informada (Ley 1581 de 2012, art. 9, y Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015), que usted otorga al crear su cuenta y aceptar esta política, y los permisos de ubicación y de notificaciones del sistema, que puede revocar en cualquier momento. • La ejecución del contrato de servicio y de sus reservas. • El cumplimiento de obligaciones legales, como la conservación de registros fiscales y turísticos. • Nuestro interés legítimo en la seguridad, la prevención del fraude y el diagnóstico de fallos. Para usuarios en la Unión Europea, estas bases corresponden al art. 6.1 (a), (b), (c) y (f) del RGPD.

Compartimos datos solo en la medida necesaria para prestar el servicio: • Agencias de turismo: cuando usted reserva, la agencia, y el personal o los guías que ella autorice, reciben su nombre, los datos de la reserva y los mensajes que usted les envíe por el chat. Sus reseñas y su foto de perfil son visibles para los demás usuarios y para la agencia reseñada. • Google LLC: inicio de sesión con Google (Credential Manager); cálculo del tiempo de viaje en Android (Google Maps Platform, Routes API), que recibe las coordenadas de su dispositivo y las del punto de encuentro; y notificaciones push (Firebase Cloud Messaging), que recibe el identificador de notificaciones de su dispositivo y el contenido de cada notificación, por ejemplo un fragmento de un mensaje nuevo. Política: policies.google.com/privacy • Apple Inc.: inicio de sesión con Apple (en iPhone); cálculo del tiempo de viaje en iPhone (Apple Maps), que recibe las coordenadas de su dispositivo y las del punto de encuentro; y entrega de las notificaciones push en iPhone (Apple Push Notification service). Política: apple.com/legal/privacy • Wompi (Bancolombia S.A.): procesamiento de pagos. Recibe los datos de pago que usted ingresa en la página de pago de Wompi y el monto. Política: wompi.co/politica-de-privacidad • Mixpanel Inc. (solo en Android): analítica de producto. Recibe un identificador pseudónimo, los eventos de uso de la app y su dirección IP, de la cual puede deducir su ciudad, región y país. Política: mixpanel.com/legal/privacy-policy • Sentry (Functional Software Inc.): monitoreo de fallos y de rendimiento. Recibe el modelo del dispositivo, el sistema operativo, las trazas de error, la estructura de la pantalla sin su contenido, los pasos recientes en la app y un identificador pseudónimo. No recibe capturas de pantalla. Política: sentry.io/privacy • Cloudflare, Inc.: infraestructura y entrega de contenido del sitio web settha.com. Recibe la IP y los metadatos de las solicitudes. Política: cloudflare.com/privacypolicy • Autoridades, cuando la ley lo exija. No vendemos sus datos personales ni los compartimos con fines publicitarios. Los correos transaccionales salen de nuestro propio servidor de correo, y los mensajes del chat y las traducciones automáticas del contenido de los tours se procesan en servidores que nosotros operamos.

• Datos de cuenta y de perfil: mientras su cuenta esté activa; se eliminan o anonimizan dentro de los 30 días siguientes a su solicitud de eliminación, salvo obligación legal de conservarlos. • Registros de reservas y transacciones: 5 años, conforme a la normativa fiscal colombiana (Estatuto Tributario, art. 632). • Mensajes del chat: 2 años desde la última interacción. • Reportes de contenido y de usuarios: hasta 2 años, para atender reclamaciones y prevenir abusos. La lista de cuentas bloqueadas se conserva mientras su cuenta esté activa. • Registros de errores y analítica: 12 meses, tras los cuales se anonimizan o eliminan. • Tiempos de viaje guardados en su dispositivo: hasta 24 horas.

Conforme a la Ley 1581 de 2012 y, cuando aplique, el RGPD, usted tiene derecho a: • Conocer, actualizar y rectificar sus datos personales. • Solicitar prueba de la autorización otorgada. • Ser informado, previa solicitud, del uso que se ha dado a sus datos. • Revocar la autorización y/o solicitar la supresión de sus datos (ver sección 8), cuando no exista un deber legal o contractual de conservarlos. • Acceder de forma gratuita a sus datos personales. • Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) de Colombia. • Cuando aplique el RGPD, oponerse al tratamiento basado en interés legítimo y solicitar la portabilidad de sus datos. Para ejercer cualquier derecho, escriba a [email protected] desde el correo asociado a su cuenta. Atendemos las consultas dentro de 10 días hábiles y los reclamos (rectificación, actualización o supresión) dentro de 15 días hábiles, conforme a los artículos 14 y 15 de la Ley 1581 de 2012.

Puede solicitar la eliminación de su cuenta en cualquier momento, sin necesidad de volver a instalar la app: • En la app: Ajustes → Administrar cuenta → Eliminar mi cuenta. • Por correo electrónico: escriba a [email protected] desde el correo asociado a su cuenta, con el asunto "Eliminar mi cuenta". Una vez recibida la solicitud: 1. Si la hizo desde la app, cerramos su cuenta de inmediato: se cierra la sesión en todos sus dispositivos y ya no es posible iniciar sesión con ella. Si usa inicio de sesión con Apple, revocamos también el acceso de Settha a su Apple ID. 2. Dejamos de usar sus datos para cualquier nueva finalidad. 3. Eliminamos o anonimizamos los datos personales asociados a su cuenta dentro de 30 días, y le enviamos una confirmación al correo de la cuenta cuando termina. 4. Conservamos únicamente lo que la ley exige, como los registros de reservas y transacciones durante 5 años por obligaciones fiscales y de protección al consumidor. Esa información queda separada y no se usa para operaciones habituales.

• Las comunicaciones entre la app y nuestros servidores viajan cifradas con TLS. • Las contraseñas se almacenan solo como resúmenes (hashes) de un solo sentido, nunca en texto plano. • El acceso a los datos personales se limita al personal autorizado que lo necesita para prestar el servicio. • Los datos de su tarjeta nunca pasan por nuestros servidores. Ningún sistema es completamente seguro. Si ocurre un incidente de seguridad que afecte sus datos personales, lo notificaremos a los usuarios afectados y a la Superintendencia de Industria y Comercio conforme a la ley colombiana.

Settha no está dirigida a menores de 13 años. No recopilamos conscientemente datos de menores de 13. Si cree que un menor se ha registrado, escriba a [email protected] y eliminaremos la cuenta. En jurisdicciones donde la edad mínima de consentimiento digital es 16 años (por ejemplo, algunos países de la UE), los menores de 16 deben contar con autorización de padre, madre o representante legal.

Algunos de nuestros proveedores (Google, Apple, Mixpanel, Sentry y Cloudflare) tratan datos fuera de Colombia, principalmente en Estados Unidos. Realizamos estas transferencias conforme al artículo 26 de la Ley 1581 de 2012: hacia países que la Superintendencia de Industria y Comercio considera con un nivel adecuado de protección, como Estados Unidos, o con base en su autorización. Cuando aplica el RGPD, nos apoyamos en las Cláusulas Contractuales Tipo u otros mecanismos equivalentes que ofrecen estos proveedores.

El sitio settha.com utiliza: • Una cookie "lang" para recordar su idioma preferido (validez: 1 año). • Para la pestaña "Cerca de ti", una ubicación aproximada, como se explica en la sección de datos que recopilamos: no se guarda en cookies. • Fotos y videos de los tours cargados desde los servidores de Settha, y algunas fotos de perfil de las agencias alojadas por Google, que reciben su dirección IP como parte de la solicitud. El sitio no usa cookies publicitarias ni herramientas de analítica, y no realiza seguimiento entre sitios.

Podemos actualizar esta Política de Privacidad. Los cambios materiales se notificarán por correo electrónico con al menos 15 días de antelación y serán visibles en la app. La fecha de "Última actualización" al inicio de este documento refleja la versión vigente.

SETTHA TECHNOLOGIES S.A.S. NIT 901984471-6 Medellín, Antioquia, Colombia [email protected]