POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

Razón social	El Cielo Hospitality Group Colombia S.A.S.
NIT	901966425-0
Domicilio principal	Carrera 30 No. 4A-45, Edificio Forever W&L, Oficina 406, El Poblado, Medellín, Colombia
Correo de contacto	legal@elcielococinacreativa.com
Sitio web	www.elcielo.com.co
Responsable interno	Camilo Carvajal Salazar – Líder Departamento Jurídico

2. OBJETIVO

La presente Política tiene por objeto garantizar la protección de los derechos fundamentales al habeas data, intimidad y libertad de las personas naturales cuyos datos personales son recolectados y tratados por El Cielo Hospitality Group Colombia S.A.S. (en adelante, la "Compañía"), en cumplimiento de la Ley Estatutaria 1581 de 2012, el Decreto Único Reglamentario 1074 de 2015 y demás normas concordantes vigentes.

3. ÁMBITO DE APLICACIÓN

Esta Política aplica a la totalidad de datos personales recolectados, almacenados, usados, circulados, transmitidos o suprimidos por la Compañía en desarrollo de sus actividades, que incluyen:

Operación de restaurantes, eventos y servicios de hospitalidad.
Gestión de reservas a través del sitio web y plataformas tecnológicas de terceros.
Programas de fidelización y relacionamiento con clientes.
Actividades de marketing y comunicaciones comerciales.
Gestión de recursos humanos: empleados activos, retirados y candidatos.
Relaciones con proveedores y contratistas.
Operación del sitio web www.elcielo.com.co y plataformas digitales asociadas.
Aplicación móvil de fidelización de clientes.

Esta Política es de obligatorio cumplimiento para los directivos, empleados, contratistas, proveedores y cualquier tercero que acceda a datos personales en nombre de la Compañía.

4. DEFINICIONES

Dato Personal	Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. (Art. 3, Ley 1581/2012)
Dato Sensible	Dato que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación: origen racial o étnico, orientación política, convicciones religiosas, salud, vida sexual, datos biométricos, entre otros.
Dato Privado	Dato que por su naturaleza íntima o reservada solo es relevante para el titular.
Dato Público	Dato que no sea semiprivado, privado o sensible, que puede ser tratado sin autorización previa.
Titular	Persona natural cuyos datos personales son objeto de tratamiento.
Responsable del Tratamiento	Persona jurídica que decide sobre la base de datos y el tratamiento. En el presente documento: El Cielo Hospitality Group Colombia S.A.S.
Encargado del Tratamiento	Persona natural o jurídica que realiza el tratamiento por cuenta del Responsable.
Tratamiento	Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.
Autorización	Consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
Transmisión	Comunicación de datos al Encargado, dentro o fuera de Colombia, para tratamiento por cuenta del Responsable.
Transferencia	Envío de datos a otro Responsable, dentro o fuera de Colombia.
Aviso de Privacidad	Comunicación que informa al titular sobre la existencia y contenido de la Política de Tratamiento.
Base de Datos	Conjunto organizado de datos personales objeto de tratamiento.
Habeas Data	Derecho fundamental que faculta a toda persona a conocer, actualizar, rectificar y suprimir sus datos personales.

5. MARCO NORMATIVO

Constitución Política de Colombia, artículos 15 y 20.
Ley Estatutaria 1581 de 2012 – Régimen General de Protección de Datos Personales.
Decreto Único Reglamentario 1074 de 2015 (incorpora Decreto 1377 de 2013 y Decreto 886 de 2014).
Circular Externa SIC 002 de 2015 y Circular Externa SIC 005 y 008 de 2017.
Resolución SIC 35122 de 2021 – Estándares de seguridad de la información.
Ley 1266 de 2008 – Habeas Data financiero.
Normas que las complementen, modifiquen o sustituyan.

6. PRINCIPIOS RECTORES

La Compañía aplicará los siguientes principios en todo tratamiento de datos personales:

Legalidad: el tratamiento se sujetará estrictamente a lo dispuesto en la Constitución, la ley y esta Política.
Finalidad: los datos solo se recolectarán para finalidades determinadas, explícitas y legítimas.
Libertad: el tratamiento requerirá autorización previa, expresa e informada del titular, salvo mandato legal.
Veracidad y calidad: los datos tratados deben ser veraces, completos, exactos y actualizados.
Transparencia: el titular podrá conocer en todo momento la existencia y uso de sus datos.
Acceso y circulación restringida: los datos solo circularán conforme a lo autorizado por el titular o la ley.
Seguridad: se adoptarán medidas técnicas, humanas y administrativas para proteger los datos.
Confidencialidad: quienes accedan a datos personales están obligados a mantener su reserva.

7. CATEGORÍAS DE DATOS RECOLECTADOS

7.1 Clientes, comensales y asistentes a eventos

Nombre completo.
Documento de identidad (para eventos con requisitos legales).
Correo electrónico.
Número de teléfono.
Fecha de reserva, número de personas y preferencias declaradas voluntariamente (restricciones alimentarias, ocasiones especiales).
Calificación y comentarios en encuestas de satisfacción (sistema NPS).
Historial de visitas y consumo agregado (programas de fidelización).
Datos técnicos de navegación (IP, cookies, datos de analítica web) conforme a la Política de Cookies.
Demás datos que sean expresados y aceptados conforme a la política de privacidad aplicada o el documento que soporte la relación.

7.2 Empleados y ex empleados

Datos de identificación y contacto.
Información académica y laboral.
Datos de nómina, seguridad social y prestaciones.
Datos de desempeño y disciplinarios.
Datos biométricos para control de acceso (cuando aplique).
Datos de salud en la medida exigida por la normativa laboral y de seguridad y salud en el trabajo.
Demás datos que sean expresados y aceptados conforme a la política de privacidad aplicada o el documento que soporte la relación.

7.3 Candidatos a empleo

Hoja de vida y documentos de soporte.
Referencias laborales y académicas.
Antecedentes judiciales y disciplinarios mediante consulta a fuentes oficiales.
Resultados de pruebas de selección.
Datos de salud en los términos exigidos para el cargo.
Demás datos que sean expresados y aceptados conforme a la política de privacidad aplicada o el documento que soporte la relación.

7.4 Proveedores y contratistas

Razón social o nombre, NIT o documento de identidad del representante.
Datos de contacto comercial.
Información bancaria y tributaria necesaria para la relación contractual.
Demás datos que sean expresados y aceptados conforme a la política de privacidad aplicada o el documento que soporte la relación.

7.5 Usuarios del sitio web y la aplicación móvil

Datos de registro de cuenta (nombre, correo electrónico, contraseña cifrada).
Datos de perfil de usuario y preferencias declaradas.
Historial de interacción con la plataforma.
Datos de acumulación y redención de beneficios en el programa de fidelización.
Datos técnicos: dirección IP, tipo de dispositivo, sistema operativo, identificadores de sesión.
Datos de analítica de uso de la aplicación.
Datos de geolocalización, únicamente cuando el usuario lo autorice expresamente desde la configuración de su dispositivo.
Demás datos que sean expresados y aceptados conforme a la política de privacidad aplicada o el documento que soporte la relación.

8. FINALIDADES DEL TRATAMIENTO

8.1 Clientes, comensales y asistentes a eventos

Gestión, confirmación y seguimiento de reservas.
Prestación de los servicios de restaurante y eventos solicitados.
Envío de encuestas de satisfacción (NPS) posteriores a la visita.
Comunicaciones comerciales sobre servicios, menús, eventos y promociones, previa autorización.
Administración del programa de fidelización: acumulación y redención de beneficios.
Elaboración de estadísticas de consumo y análisis interno de calidad.
Prevención del fraude y cumplimiento de obligaciones legales.

8.2 Empleados y ex empleados

Ejecución del contrato laboral y pago de nómina.
Afiliación y reporte al sistema de seguridad social.
Gestión de seguridad y salud en el trabajo.
Evaluaciones de desempeño y desarrollo profesional.
Gestión de procesos disciplinarios bajo debido proceso y confidencialidad.
Cumplimiento de obligaciones tributarias y contables.

8.3 Candidatos a empleo

Evaluación de idoneidad para el cargo.
Verificación de referencias, antecedentes y documentos aportados.
Archivo de hoja de vida por hasta dos (2) años para futuros procesos afines.

8.4 Proveedores y contratistas

Gestión contractual, facturación y pagos.
Cumplimiento de obligaciones tributarias y contables.

8.5 Usuarios del sitio web y la aplicación móvil

Creación y gestión de cuenta de usuario.
Personalización de la experiencia en la plataforma.
Administración del programa de lealtad: puntos, beneficios y recompensas.
Envío de notificaciones push y comunicaciones sobre el programa, previa autorización.
Analítica de uso para mejora continua de la plataforma.
Integración con servicios de terceros autorizados por el usuario.

9. DATOS SENSIBLES

La Compañía podrá recolectar datos sensibles en los siguientes casos y con las garantías correspondientes:

Datos de salud de empleados: en la medida exigida por la normativa de seguridad y salud en el trabajo. El titular no estará obligado a suministrarlos salvo cuando así lo exija la ley.
Datos biométricos para control de acceso a instalaciones: su recolección requerirá autorización expresa e independiente del titular, informando el fin específico.
Restricciones alimentarias de comensales: se tratarán exclusivamente para garantizar la prestación adecuada del servicio solicitado.
Demás oportunidades en las que la ley y el titular de la información lo permitan.

Ningún dato sensible será utilizado con fines distintos a los aquí declarados ni compartido con terceros sin autorización expresa del titular o mandato legal.

10. AUTORIZACIÓN

El tratamiento de datos personales requiere autorización previa, expresa e informada del titular, salvo los casos exceptuados por la ley. La autorización podrá obtenerse:

Por escrito, mediante formularios físicos o electrónicos.
A través de la aceptación de esta Política al momento del registro en plataformas digitales o la aplicación móvil.
Mediante conductas inequívocas del titular que permitan inferir su consentimiento de forma razonable.

Para datos sensibles, la autorización deberá ser siempre expresa y no podrá inferirse de conductas inequívocas. El titular será informado del carácter sensible del dato antes de otorgar su consentimiento.
Las autorizaciones para fines de marketing y comunicaciones comerciales son independientes de las autorizaciones para la ejecución del servicio contratado. El titular podrá revocar la autorización de marketing sin que ello afecte la prestación del servicio.

11. DERECHOS DE LOS TITULARES

Conforme al artículo 8 de la Ley 1581 de 2012, los titulares tienen los siguientes derechos:

Conocer los datos personales que reposan en las bases de datos de la Compañía.
Solicitar la actualización o rectificación de datos inexactos, incompletos o desactualizados.
Solicitar la supresión de sus datos cuando no sean necesarios para la finalidad que motivó su recolección, o cuando haya vencido el período de conservación, salvo obligación legal o contractual de conservarlos.
Revocar la autorización para el tratamiento, especialmente la de comunicaciones comerciales.
Acceder de forma gratuita a sus datos objeto de tratamiento.
Solicitar prueba de la autorización otorgada.
Ser informado sobre el uso dado a sus datos.
Abstenerse de responder preguntas sobre datos sensibles.
Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) cuando sus derechos no hayan sido atendidos oportunamente.

Podrán ejercer estos derechos: el titular, sus causahabientes debidamente acreditados, y su representante legal o apoderado con poder autenticado. Los derechos de niños, niñas y adolescentes serán ejercidos por su representante legal.

12. PROCEDIMIENTO PARA CONSULTAS Y RECLAMOS

12.1 Canal de contacto

El titular podrá ejercer sus derechos dirigiéndose al Responsable Interno de Protección de Datos:

Correo electrónico: legal@elcielococinacreativa.com
Dirección física: Carrera 30 No. 4A-45, Edificio Forever W&L, Oficina 406, El Poblado, Medellín, Colombia.

12.2 Consultas

El titular podrá consultar los datos que reposan en las bases de datos de la Compañía. La consulta será atendida en un plazo máximo de diez (10) días hábiles contados desde su recepción. Si no fuere posible atenderla en dicho plazo, se informará al titular dentro del mismo término, indicando la fecha en que será respondida, sin que esta supere cinco (5) días hábiles adicionales.

12.3 Reclamos, actualización y supresión de datos.

Cuando el titular considere que sus datos deben ser corregidos, actualizados o suprimidos, o que se ha incumplido alguno de los deberes legales, podrá presentar un reclamo al canal de contacto presentado. La solicitud deberá contener:

Nombre completo e identificación del titular o su representante acreditado.
Descripción clara de los datos objeto del reclamo y de los hechos que lo motivan.
Documentos de soporte, si los hubiere.
Medio de respuesta preferido.

Si el reclamo está incompleto, la Compañía notificará al titular dentro de los cinco (5) días hábiles siguientes para que subsane las omisiones. Si no lo hace dentro de los dos (2) meses siguientes, se entenderá desistido. Una vez completo, el reclamo será resuelto en un plazo máximo de quince (15) días hábiles, prorrogable por ocho (8) días hábiles adicionales con justificación motivada.

12.4 Eliminación de cuenta y datos en la aplicación móvil

El usuario registrado en la aplicación móvil El Cielo podrá eliminar su cuenta y suprimir sus datos personales asociados, a través de la opción habilitada en la misma aplicación (el debe ingresar a su perfil, usar la opción de eliminar cuenta y aceptar) o mediante solicitud escrita enviada a legal@elcielococinacreativa.com.
El usuario reconoce y acepta expresamente que la eliminación de su cuenta produce los siguientes efectos de manera inmediata e irreversible:

La supresión definitiva de todos sus datos personales almacenados en la plataforma, en los términos del artículo 8 literal e) de la Ley 1581 de 2012.
La pérdida total e irrecuperable de todas las estrellas, puntos, beneficios, recompensas y canjes pendientes que el usuario haya acumulado en el marco del programa de fidelización, sin que haya lugar a compensación, reembolso o reconocimiento de ningún tipo.
La cancelación de su participación en todas las promociones activas en las que estuviera inscrito a través de la aplicación.

El Restaurante no podrá recuperar los datos ni los beneficios una vez ejecutada la eliminación. Se recomienda al usuario redimir los beneficios disponibles antes de proceder con la solicitud de eliminación.

13. TRANSMISIÓN Y TRANSFERENCIA DE DATOS

13.1 Transmisión a Encargados del Tratamiento

La Compañía podrá transmitir datos personales a terceros que actúen como Encargados del Tratamiento, incluyendo proveedores de servicios tecnológicos (plataformas de reservas, CRM, analítica web, envío de comunicaciones, procesadores de pago), bajo contrato que garantice obligaciones equivalentes a las de esta Política.
Los Encargados actuales incluyen, sin limitarse a:

Plataformas de gestión de reservas (terceros especializados en hospitalidad).
Herramientas de analítica y marketing digital.
Sistema de gestión de relaciones con clientes (CRM).
Plataformas de envío de comunicaciones comerciales.
Sistema de encuestas NPS.

13.2 Transmisión intragrupo

La Compañía podrá transmitir datos personales a Hoteles de Lujo S.A.S. en la medida que sea necesario para la prestación de servicios y conforme a las finalidades declaradas en esta Política. Dicha transmisión debe garantizar los derechos de los titulares.

13.3 Transferencia internacional

Los datos personales de titulares colombianos podrán ser transferidos a proveedores con servidores ubicados fuera de Colombia únicamente cuando:

El titular haya autorizado expresamente la transferencia internacional.
El país receptor cuente con nivel adecuado de protección conforme a los estándares de la SIC; o
Se hayan suscrito los instrumentos contractuales que garanticen un nivel de protección equivalente al de la legislación colombiana.

La Compañía adoptará las medidas necesarias para cumplir las Circulares SIC 005 y 008 de 2017 en toda transferencia internacional.

14. TEMPORALIDAD Y CONSERVACIÓN DE DATOS

Categoría	Período de conservación
Clientes / comensales (datos de servicio y reserva)	5 años desde la última transacción
Clientes (datos de marketing, si autorizaron)	Hasta revocación de la autorización o 3 años de inactividad
Empleados activos	Durante la vigencia del vínculo laboral
Empleados retirados (datos laborales generales)	10 años desde la terminación del vínculo
Candidatos no seleccionados	2 años desde el cierre del proceso
Proveedores y contratistas	5 años desde la terminación del contrato
Usuarios web / app (cuenta activa)	Durante la vigencia de la cuenta
Usuarios web / app (cuenta inactiva)	2 años desde la última sesión, luego eliminación o anonimización

15. SEGURIDAD DE LA INFORMACIÓN

La Compañía adoptará las medidas técnicas, humanas y administrativas necesarias para proteger los datos personales contra acceso no autorizado, pérdida, alteración, divulgación o destrucción. Estas medidas incluyen, sin limitarse a:

Control de acceso basado en roles para los sistemas que contienen datos personales.
Cifrado de datos en tránsito y en reposo para información sensible.
Procedimientos de gestión de incidentes de seguridad.
Capacitación periódica del personal con acceso a datos personales.
Evaluación de las medidas de seguridad de los Encargados del Tratamiento.

En caso de incidente de seguridad que afecte datos personales, la Compañía notificará a la Superintendencia de Industria y Comercio conforme a los términos y plazos establecidos en la normativa vigente, y a los titulares afectados cuando el incidente implique un riesgo significativo para sus derechos.

16. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

La Compañía reconoce que los datos de niños, niñas y adolescentes tienen carácter sensible y gozan de protección preferente. Sus derechos serán ejercidos por su representante legal, garantizando siempre el interés superior del menor.
En los casos en que sea necesario el tratamiento de datos de menores (por ejemplo, reservas en las que participen menores de edad), se solicitará la autorización del representante legal, se informará de forma comprensible la finalidad del tratamiento y se limitará la recolección a los datos estrictamente necesarios para la prestación del servicio.

17. APLICACIÓN MÓVIL DE FIDELIZACIÓN

La Compañía cuenta con una aplicación móvil de fidelización de clientes. Esta Política regulará el tratamiento de datos en dicha aplicación desde su lanzamiento. Las funcionalidades previstas incluyen:

Creación y gestión de cuenta de usuario.
Programa de lealtad: acumulación y redención de beneficios y recompensas.
Comunicaciones personalizadas y notificaciones push (requieren autorización expresa del usuario).
Analítica de uso para mejora de la experiencia.
Geolocalización (únicamente con autorización expresa y posibilidad de desactivación en cualquier momento).
Integraciones con servicios del grupo empresarial.

Los usuarios aceptan que al hacer uso de la aplicación se acogen a esta política de datos, así como a los términos y condiciones desarrollados en la misma.

18. MODIFICACIONES A ESTA POLÍTICA

La Compañía se reserva el derecho de modificar esta Política en cualquier momento para atender cambios legislativos, nuevas funcionalidades o evolución de las prácticas del negocio. Toda modificación será publicada en www.elcielo.com.co con al menos quince (15) días de antelación a su entrada en vigor, salvo que la modificación sea requerida de forma inmediata por disposición legal. Cuando la modificación implique un cambio sustancial en las finalidades del tratamiento, se solicitará nueva autorización a los titulares afectados.

19. VIGENCIA

Esta Política permanecerá vigente mientras la Compañía realice tratamiento de datos personales. Las bases de datos mantendrán vigencia de acuerdo con los períodos de conservación establecidos en el numeral 14 de este documento.