1. IDENTIFICACIÓN Y OBJETO. POVALCO SERVICES S.A.S., NIT 901711044-3, utiliza la marca comercial Travia Content para desarrollar y comercializar servicios de CRM, sistema de ventas omnicanal, automatización, implementación e inteligencia artificial. Esta Política establece las reglas para el Tratamiento de Datos Personales realizado por POVALCO/Travia y debe leerse junto con los Términos y Condiciones, Política de Privacidad, Política de Cookies y, cuando corresponda, el DPA. Travia Content no constituye una sociedad independiente de POVALCO SERVICES S.A.S., salvo que en el futuro se constituya una entidad separada.

2. MARCO JURÍDICO. El Tratamiento se regirá principalmente por la Ley 1581 de 2012, sus normas reglamentarias y las instrucciones de la Superintendencia de Industria y Comercio (SIC), además de las demás normas colombianas aplicables. Cuando existan comunicaciones comerciales, comercio electrónico, cookies, transferencias internacionales o tecnologías de IA, se aplicarán las normas específicas que correspondan a cada operación.

3. DEFINICIONES. Dato Personal: información vinculada o asociable a una persona natural determinada o determinable. Titular: persona natural cuyos datos son objeto de Tratamiento. Tratamiento: recolección, almacenamiento, uso, consulta, organización, circulación, actualización, supresión y demás operaciones sobre datos. Responsable: quien decide sobre la base de datos y/o las finalidades y medios del Tratamiento. Encargado: quien realiza Tratamiento por cuenta del Responsable. Transmisión: comunicación de datos dentro o fuera de Colombia para que un Encargado los trate por cuenta del Responsable. Transferencia: comunicación a otro Responsable, dentro o fuera de Colombia, conforme a la legislación aplicable. Subencargado: tercero contratado por un Encargado para realizar parte del Tratamiento. Dato sensible: dato cuyo uso indebido puede afectar la intimidad o generar discriminación. IA: sistemas de inteligencia artificial utilizados para generación, clasificación, resumen, asistencia o automatización.

4. ROLES DE TRAVIA. Cuando POVALCO trate datos de sus propios clientes, prospectos, proveedores, usuarios de sus sitios o relaciones comerciales, actuará como Responsable cuando determine las finalidades y medios. En el CRM B2B, cuando el cliente cargue o genere datos de sus propios clientes, prospectos, compradores, huéspedes, alumnos, pacientes, usuarios o contactos, el cliente será normalmente el Responsable y Travia actuará como Encargado, siempre que la realidad de la operación corresponda a esa estructura. Si el cliente es a su vez Encargado frente a un tercero, Travia podrá actuar como Subencargado. El rol jurídico depende de las funciones efectivamente realizadas y no solamente del nombre que las partes utilicen.

5. PRINCIPIOS. Travia aplicará legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso restringido, seguridad y confidencialidad, además de los principios legales aplicables. Los datos deberán ser pertinentes y adecuados para las finalidades informadas. Travia adoptará medidas razonables para corregir información inexacta cuando corresponda.

6. CATEGORÍAS DE DATOS. Según el servicio podrán tratarse datos de identificación y contacto; información empresarial/profesional; cuenta y credenciales técnicas; interacciones; comunicaciones; reservas o transacciones; agenda; preferencias; datos de navegación y dispositivo; información de campañas; y otros datos que el Responsable introduzca legítimamente. Los datos sensibles no son requeridos como regla general. Si el cliente necesita tratarlos, deberá contar con base jurídica, necesidad, proporcionalidad, información al Titular y medidas reforzadas. Los clientes deben evitar cargar datos sensibles o de menores cuando no sean necesarios.

7. FUENTES. Los datos pueden provenir del Titular, formularios, landing pages, calendarios, reservas, CRM, email, WhatsApp, SMS, llamadas, integraciones autorizadas, proveedores, fuentes públicas lícitas o automatizaciones. Cuando Travia actúe como Encargado, el cliente es responsable de la legitimidad de las fuentes, autorizaciones y finalidades, sin perjuicio de las obligaciones propias de Travia.

8. FINALIDADES COMO RESPONSABLE. Prestar servicios; administrar cuentas; gestionar contratos y pagos; facturar; atender solicitudes y PQR; brindar soporte; prevenir fraude; mantener seguridad; realizar analítica; mejorar productos; gestionar proveedores; cumplir obligaciones legales; ejercer derechos; y realizar marketing cuando exista una base jurídica válida. Para comunicaciones comerciales se respetarán autorización, oposición, revocatoria y reglas de los canales.

9. FINALIDADES COMO ENCARGADO. Cuando Travia actúe como Encargado, podrá almacenar, organizar, consultar, segmentar, automatizar, sincronizar, generar reportes, gestionar contactos y oportunidades, ejecutar comunicaciones ordenadas por el Responsable, administrar calendarios, brindar soporte y ejecutar funciones de IA contratadas. Travia no utilizará los datos del cliente para finalidades incompatibles con el encargo, sin perjuicio de operaciones técnicas necesarias para seguridad, mantenimiento, soporte o cumplimiento legal.

10. CRM Y SISTEMA DE VENTAS OMNICANAL. El CRM puede centralizar contactos, conversaciones, formularios, oportunidades, calendarios, campañas y automatizaciones. El cliente es responsable de configurar finalidades, segmentaciones, campañas, mensajes y reglas de automatización de manera lícita. Para email, SMS, WhatsApp, llamadas, redes sociales y otros canales, el Responsable deberá contar con las autorizaciones necesarias y respetar las reglas del canal. Travia podrá limitar o suspender funcionalidades ante indicios razonables de spam, fraude, abuso, riesgo de seguridad o incumplimiento.

11. INTELIGENCIA ARTIFICIAL. Las funciones de IA pueden generar respuestas, resumir conversaciones, clasificar contactos, extraer información, automatizar seguimientos, generar contenido o asistir agentes. El uso de IA no cambia por sí mismo los roles: el Responsable continúa determinando finalidades y Travia actuará como Encargado cuando corresponda. El cliente debe evitar introducir datos sensibles o información no necesaria en funciones de IA y debe mantener supervisión humana cuando las decisiones o comunicaciones tengan consecuencias relevantes. Los resultados de IA pueden contener errores. El cliente es responsable de revisar información crítica, precios, disponibilidad, condiciones comerciales y decisiones de negocio. Travia podrá utilizar proveedores tecnológicos de IA como subencargados cuando sea necesario para una función contratada y sujeto a las salvaguardas aplicables. Travia no declara que los datos del cliente sean utilizados para entrenar modelos generales de terceros. Cualquier finalidad adicional deberá tener base jurídica o autorización contractual aplicable y ser informada cuando corresponda.

12. MENORES Y DATOS SENSIBLES. Travia no busca recolectar deliberadamente datos de menores para sus servicios empresariales salvo que la finalidad contratada lo requiera legítimamente. Cuando el servicio del cliente implique niños, niñas o adolescentes, el Responsable deberá cumplir las reglas especiales aplicables y priorizar su interés superior. El Tratamiento de datos sensibles requiere necesidad, base jurídica y medidas reforzadas. Travia podrá restringir funciones cuyo uso genere riesgos que no puedan gestionarse razonablemente.

13. AUTORIZACIÓN Y DERECHOS. Cuando POVALCO sea Responsable y la ley requiera autorización, procurará obtenerla mediante mecanismos que permitan acreditar la voluntad del Titular. Los Titulares podrán ejercer consulta, actualización, rectificación, supresión, revocatoria cuando proceda y demás derechos legales. Si Travia recibe como Encargado una solicitud dirigida al Responsable, la remitirá o asistirá conforme a las instrucciones contractuales, salvo exigencia legal directa.

14. CONSULTAS Y RECLAMOS. El canal de atención es [email protected]. Cuando los datos pertenezcan a un cliente de Travia, el cliente será el canal principal del Titular como Responsable. Travia prestará asistencia razonable como Encargado. Las solicitudes se atenderán dentro de los términos establecidos por la legislación colombiana aplicable.

15. TRANSMISIONES Y TRANSFERENCIAS INTERNACIONALES. Travia puede utilizar proveedores ubicados fuera de Colombia. Si los datos se comunican a un Encargado para Tratamiento por cuenta del Responsable, podrá existir transmisión internacional; si se comunican a otro Responsable, podrá existir transferencia. La SIC distingue estas figuras y señala que los contratos de transmisión deben definir, entre otros, alcance, actividades del Encargado y obligaciones. ■cite■turn0search2■turn0search24■ Las transmisiones y transferencias se realizarán conforme a Ley 1581, normas reglamentarias, instrucciones de la SIC y mecanismos jurídicos disponibles para el caso. El cliente autoriza las transmisiones razonablemente necesarias para prestar el servicio dentro del marco contractual y legal aplicable.

16. ENCARGADOS Y SUBENCARGADOS. Travia puede contratar proveedores para CRM, infraestructura, alojamiento, mensajería, email, telefonía, IA, analítica, seguridad, pagos, almacenamiento y soporte. Los proveedores que procesen datos por cuenta de Travia deberán estar sujetos a obligaciones de confidencialidad y protección adecuadas a su función. El cliente autoriza el uso de subencargados necesarios para el servicio, sujeto a las condiciones del contrato y mecanismos legales aplicables.

17. CONFIDENCIALIDAD. El acceso a datos se limitará a personas que necesiten conocerlos para prestar el servicio, seguridad, soporte o cumplimiento legal. Las personas autorizadas estarán sujetas a obligaciones de confidencialidad que continuarán cuando corresponda después de terminada la relación.

18. SEGURIDAD. Travia implementará medidas administrativas, técnicas y organizacionales razonables y proporcionales al riesgo. Podrán incluir control de acceso, permisos, autenticación y 2FA cuando estén disponibles, cifrado proporcionado por la infraestructura, registros, monitoreo, gestión de vulnerabilidades, copias de seguridad, controles de proveedores y respuesta a incidentes. Cuando determinados controles pertenezcan a HighLevel u otro proveedor, Travia se apoyará en ellos como parte de la infraestructura contratada, sin afirmar que Travia posee certificaciones que correspondan exclusivamente al proveedor.

19. INCIDENTES. Travia mantendrá procedimientos razonables para identificar, contener, investigar y mitigar incidentes. Cuando actúe como Encargado y conozca un incidente relevante que afecte datos del cliente, notificará al Responsable sin demora indebida y suministrará información razonablemente disponible. El plazo concreto podrá establecerse contractualmente según la naturaleza del servicio. La notificación no constituye por sí misma reconocimiento de culpa.

20. RETENCIÓN, DEVOLUCIÓN Y ELIMINACIÓN. Los datos se conservarán mientras sean necesarios para la finalidad, contrato, obligaciones legales, seguridad o defensa de derechos. Al terminar el servicio, Travia permitirá exportar o recuperar datos mediante las funcionalidades disponibles y podrá eliminarlos conforme al contrato, instrucciones, políticas de retención y obligaciones legales. Las copias de seguridad podrán permanecer temporalmente aisladas y protegidas hasta su ciclo técnico de eliminación.

21. RESPONSABILIDADES DEL CLIENTE. El cliente debe determinar finalidades y bases jurídicas; obtener autorizaciones; informar a Titulares; mantener datos exactos; atender derechos; gestionar revocatorias; definir conservación; configurar automatizaciones; cumplir normas de marketing; y proporcionar instrucciones lícitas. El cliente responde por la legalidad de las bases que cargue, campañas que ordene y mensajes que envíe mediante el sistema.

22. RESPONSABILIDADES DE TRAVIA COMO ENCARGADO. Tratar datos conforme a instrucciones; mantener confidencialidad; aplicar medidas de seguridad razonables; limitar acceso; asistir razonablemente en derechos e incidentes; gestionar subencargados; y devolver/eliminar datos según contrato y ley. Travia no decidirá nuevas finalidades comerciales sobre datos del cliente cuando actúe como Encargado, salvo operaciones técnicas necesarias o permitidas por ley y contrato.

23. COOKIES Y SEGUIMIENTO. Las cookies se regulan adicionalmente por la Política de Cookies de Travia. Cuando las cookies permitan identificar o individualizar a una persona, el tratamiento se regirá también por esta Política.

24. ACTUALIZACIONES Y CONTACTO. POVALCO podrá actualizar esta Política por cambios legales, tecnológicos, organizativos o de servicios. La versión vigente indicará fecha de actualización. POVALCO SERVICES S.A.S. · NIT 901711044-3 · Travia Content · [email protected]

ANEXO A — ACUERDO DE TRATAMIENTO Y TRANSMISIÓN DE DATOS (DPA) Este Anexo se aplica cuando Travia actúe como Encargado de Datos Personales por cuenta de un cliente Responsable. Su estructura toma como referencia el Customer Data Processing Addendum vigente de HighLevel, que contempla definiciones, alcance, roles, instrucciones, personal, seguridad, subencargados, derechos, incidentes, devolución/eliminación, auditoría y transferencias.

A.1 Incorporación. El Anexo forma parte del contrato cuando exista Tratamiento por cuenta del Cliente.

A.2 Roles. Cliente: Responsable. Travia: Encargado. Si el Cliente es Encargado frente a un tercero, Travia podrá ser Subencargado.

A.3 Objeto. CRM, almacenamiento, gestión de contactos, automatización, sistema de ventas omnicanal, comunicaciones, agenda, reportes, soporte, integraciones y funciones de IA contratadas.

A.4 Instrucciones. El Cliente autoriza el Tratamiento conforme al contrato, configuraciones, esta Política e instrucciones documentadas. Si una instrucción parece ilícita, Travia podrá solicitar aclaración o abstenerse mientras se resuelve.

A.5 Personal. Acceso limitado a personas que necesiten conocer datos para cumplir funciones autorizadas, sujetas a confidencialidad.

A.6 Subencargados. Autorización para proveedores necesarios para CRM, infraestructura, comunicaciones, IA, analítica, seguridad, almacenamiento y funciones contratadas. Travia procurará imponer obligaciones de protección equivalentes a la naturaleza del servicio.

A.7 Derechos. Travia asistirá razonablemente al Cliente. Las solicitudes recibidas directamente podrán remitirse al Responsable, salvo obligación legal de responder.

A.8 Incidentes. Travia notificará sin demora indebida los incidentes relevantes que afecten datos bajo su control y suministrará información razonablemente disponible sobre naturaleza, alcance y medidas adoptadas.

A.9 Devolución y eliminación. Al terminar el servicio, el Cliente podrá exportar datos mediante las funciones disponibles. Travia podrá eliminar los datos según contrato, instrucciones, retención y obligaciones legales, incluyendo el tratamiento de backups.

A.10 Auditoría. El Cliente podrá solicitar información razonable para verificar cumplimiento. Auditorías técnicas deberán proteger seguridad, secretos comerciales y datos de terceros.

A.11 Transferencias y transmisiones internacionales. Se autorizan las comunicaciones necesarias para prestar el servicio, sujetas a legislación colombiana y mecanismos aplicables.

A.12 Datos sensibles. No se prevén como regla general. Si son necesarios, deberán informarse y someterse a controles reforzados.

A.13 IA. Cuando una función de IA trate Datos Personales, se considerará parte del servicio contratado. El Cliente deberá definir instrucciones y finalidades lícitas y evitar datos no necesarios.

A.14 No venta de datos. Travia no adquiere propiedad sobre los Datos Personales del Cliente ni los recibe como contraprestación y no podrá vender la base de datos del Cliente como producto independiente.

A.15 Vigencia. Este Anexo estará vigente mientras Travia trate Datos Personales por cuenta del Cliente y continuará respecto de obligaciones que por su naturaleza sobrevivan.

ANEXO B — DETALLES DEL TRATAMIENTO

Objeto: prestación del CRM, sistema omnicanal, automatización, soporte, integraciones e IA contratadas.

Naturaleza: recolección por canales autorizados; almacenamiento; consulta; organización; segmentación; automatización; comunicación; análisis; soporte; sincronización; eliminación.

Duración: vigencia del servicio y período posterior necesario para exportación, eliminación, backups y obligaciones legales. Titulares: clientes, prospectos, compradores, huéspedes, usuarios, alumnos, pacientes, proveedores, empleados u otros contactos legítimamente incorporados por el Responsable. Datos: identificación, contacto, información comercial, interacciones, comunicaciones, agenda, navegación y otros datos introducidos lícitamente.

Datos sensibles: no previstos como regla general; requieren necesidad, base jurídica y medidas reforzadas.

Frecuencia: continua mientras el Cliente utilice funciones que involucren datos.

Subencargados: proveedores tecnológicos necesarios para las funciones contratadas.