Personal Data Processing PolicyPolítica de Tratamiento de Datos Personales

Chapter I

General details of Strategic Points S.A.S. as Data Controller

Chapter II

Objective

The purpose of this Personal Data Processing Policy is to establish the principles, guidelines, responsibilities and mechanisms by which Strategic Points S.A.S. ensures the appropriate, secure, transparent and lawful management of the Personal Data it processes in the conduct of its activities.

This document gives effect to the constitutional right of all persons to know, update and rectify the information held about them in databases or files, in accordance with Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and its Decreto Reglamentario 1377 de 2013 (implementing decree).

In addition, Strategic Points S.A.S., as an entity that administers financial data and/or data used for payment processing, undertakes to comply with the security standards defined by the Payment Card Industry Data Security Standard (PCI DSS), integrating them as part of this framework for the Processing and protection of Personal Data. The company adopts enhanced security practices designed to protect financial data, prevent fraud, ensure the secure storage of sensitive information and maintain continuous access, encryption, monitoring and response controls.

This objective therefore encompasses three strategic lines of action:

1. To guarantee the rights of Data Subjects and strict compliance with Colombian Personal Data protection rules.
2. To integrate international security standards, in particular PCI DSS, into the administration of personal and financial data.
3. To promote a culture of security and privacy, ensuring that all employees, suppliers and third parties involved in the Processing comply with the controls and obligations described in this Policy.

This policy essentially seeks to ensure an environment of privacy, security and trust in all corporate processes involving Personal Data, including those relating to financial services, e-commerce, transactions and payment processing.

Chapter III

Scope

This policy applies to:

• Employees, former employees and candidates.
• Customers, users and holders of financial information.
• Suppliers, contractors, strategic partners and third parties.
• Visitors and any natural person whose data is processed.
• All physical premises, technological systems, processes, channels and media used for the Processing of Personal Data.

It includes all databases administered by the company, as well as those managed by Data Processors under a contractual relationship.

Chapter IV

Regulatory framework

This policy is founded on:

• Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) – General Personal Data Protection Regime.
• Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012) – Partial regulation of Ley 1581.
• Rulings and guidelines of the Superintendencia de Industria y Comercio (SIC, Colombia's data protection authority).
• Registro Nacional de Bases de Datos (RNBD, Colombia's National Database Registry), where applicable.
• PCI DSS, applicable to organisations that process, transmit or store payment card data.

Chapter V

Definitions

The definitions of Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and its Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012) are adopted, including:

1. Privacy Notice: The verbal or written communication generated by the Data Controller and addressed to the Data Subject of the Personal Data, by which the Data Subject is informed clearly and expressly of the existence of the information Processing policies, how to access them and the specific purposes for which the data will be processed.
2. Data Subject: A natural person whose Personal Data is subject to Processing by the organisation, entitled to know, update, rectify and delete such information in accordance with Ley 1581 de 2012.
3. Personal Data: Any information linked to, or that may be associated with, one or more determined or determinable natural persons.
4. Public Data: Data that is not Semi-private, Private or Sensitive. It corresponds, among others, to marital status, profession or occupation, or status as a merchant or public servant.
5. Private Data: Information that, by reason of its intimate or restricted nature, is relevant only to the Data Subject.
6. Semi-private Data: Information that is not of an intimate, restricted or public nature, knowledge of which may be of interest to the Data Subject and to certain sectors or groups.
7. Sensitive Data: Data affecting the privacy of the Data Subject or the improper use of which may give rise to discrimination. Examples: racial origin, sexual orientation, biometric data, health.
8. Financial or Transactional Data: Information relating to payment methods, cards, purchase histories or electronic transactions protected by PCI DSS standards.
9. Data Controller: A natural or legal person who decides on the database and/or the Processing.
10. Data Processor: A natural or legal person who processes data on behalf of the Data Controller.
11. Authorisation: The prior, express and informed consent of the Data Subject to the Processing.
12. Processing: Any operation on Personal Data: collection, storage, use, circulation or deletion.
13. Database: An organised set of Personal Data subject to Processing.
14. Data Transfer: The movement of data to another Data Controller, within or outside the country.
15. Data Transmission: The Processing of data by a Data Processor in order to carry out the instructions of the Data Controller.
16. RNBD (Registro Nacional de Bases de Datos, Colombia's National Database Registry): A public directory administered by the SIC (Colombia's data protection authority) in which databases meeting the legal criteria must be registered.

Chapter VI

Principles governing the Processing

The principles defined in this Chapter constitute the fundamental framework under which Strategic Points S.A.S. carries out the Processing of Personal Data:

1. Legality principle: The Processing of Personal Data is a regulated activity and shall be carried out solely as permitted by law. No Personal Data may be processed without observing the provisions of Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and the rules implementing it.
2. Purpose principle: The Processing shall pursue a legitimate, explicit and informed purpose that is consistent with the Constitution and the law. Every purpose shall be communicated to the Data Subject in advance by means of an Authorisation, a Privacy Notice or equivalent mechanisms.
3. Freedom principle: The Processing may only be carried out with the prior, express and informed Authorisation of the Data Subject, save for statutory exceptions. The use of deceptive or fraudulent means to obtain the Authorisation is not permitted.
4. Accuracy or Quality principle: Data shall be truthful, complete, exact, up to date, verifiable and comprehensible. The Processing of partial, fragmented or potentially misleading data shall be avoided.
5. Transparency principle: The Data Subject shall be guaranteed the right to obtain information on the existence and use of their data, at any time and without restrictions.
6. Restricted Access and Circulation principle: The Processing may only be carried out by authorised persons, and Personal Data may not be made available on the internet or in mass media, unless access is controlled and authorised by the Data Subject.
7. Security principle: The Data Controller and the Data Processors shall implement technical, human and administrative measures to protect data against loss, unauthorised access, alteration, improper use or fraud. This principle is reinforced in the case of financial data, with the PCI DSS controls being applied as part of the protection model.
8. Confidentiality principle: Every person involved in the Processing of data shall respect the confidentiality of the information, including after the termination of their contractual or employment relationship.
9. Demonstrated Accountability principle: Deriving from Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012), the Data Controller shall be able to demonstrate, by means of documentary evidence, that it implements good practices, controls and compliance measures in data protection. This includes policies, audits, procedures, monitoring and continuous training.
10. Necessity and Proportionality principle: Only the data strictly necessary to fulfil the purposes notified shall be processed. The collection of excessive data, or of data unrelated to the activity or service offered, is prohibited.
11. Time Limitation and Retention principle: Personal Data shall be retained only for such time as is necessary to fulfil the purposes of the Processing or legal, contractual or regulatory requirements. Where the data is no longer necessary, it shall be deleted or anonymised.

Chapter VII

Purposes of the Processing

Chapter VIII

Authorisation of the Data Subject

In compliance with the provisions of Ley 1581 de 2012 (Colombia's General Personal Data Protection Law), which establishes that the Processing of Personal Data may only be carried out with the prior, express and informed Authorisation of the Data Subject, save for the applicable legal exceptions, and in accordance with the provisions of Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012), which regulates the minimum requirements that such Authorisation must contain, Strategic Points S.A.S. informs that the Processing of Personal Data collected in the course of its activities shall only be carried out once the Data Subject has given consent in an unequivocal, verifiable and demonstrable manner.

The Authorisation constitutes free, prior, specific, informed and express consent, granted by the Data Subject in favour of Strategic Points S.A.S., through written, electronic, digital or verbal means or any mechanism that ensures its retention and subsequent consultation. Such Authorisation entitles the entity to collect, store, consult, use, circulate, process, transmit, transfer and delete Personal Data in accordance with the purposes defined in this Policy, in full compliance with the principles of legality, purpose, freedom, accuracy, transparency, security, restricted access and confidentiality established by the applicable regulations.

Strategic Points S.A.S. guarantees that, when requesting the Authorisation, it informs the Data Subject in a clear and comprehensible manner about:

• The identity and contact details of the Data Controller.
• The mandatory or optional nature of the data requested.
• The specific purposes of the Processing, including operational, contractual, commercial, administrative, employment, security and regulatory compliance purposes and those arising from legal obligations.
• The rights to which the Data Subject is entitled, in particular the rights to know, update, rectify and delete the information, to withdraw the Authorisation and to file complaints with the Superintendencia de Industria y Comercio (SIC, Colombia's data protection authority).
• The sensitive, public, private or semi-private nature of the data collected, where applicable.
• The national or international Data Transfers and Data Transmissions that may be carried out, on the terms permitted by law.
• The existence and location of this Policy and the channels made available for enquiries and complaints.

The Authorisation is retained for as long as it is necessary for the purposes of the Processing or for as long as a contractual, commercial, employment or any other type of relationship subsists between the Data Subject and the company. Following the termination of that relationship, the data shall be Processed solely for legal, regulatory or contractual purposes requiring its retention, or shall be deleted, anonymised or archived under enhanced security measures.

Where the Processing involves financial or transactional data or any information associated with payment methods, the Authorisation granted by the Data Subject covers the use of the information under the standards established by the Payment Card Industry Data Security Standard (PCI DSS), which sets out mandatory security controls for the protection of card data, including encryption, tokenisation, monitoring and storage restrictions, in order to prevent fraud, improper access and breaches of confidentiality.

The company advises that the Data Subject may at any time request the total or partial withdrawal of the Authorisation, provided that no legal or contractual duty prevents such withdrawal. Requests relating to the exercise of Habeas Data rights shall be handled in accordance with the procedures described in this Policy and within the time limits established by the applicable legal regime.

With this Authorisation, Strategic Points S.A.S. reaffirms its commitment to carrying out lawful, proportionate, secure and transparent Processing aimed at the comprehensive protection of the Personal Data entrusted by its Data Subjects.

Chapter IX

Personal Data Processing

This Personal Data Processing Policy establishes the guidelines and obligations that Strategic Points S.A.S. shall observe in order to guarantee lawful, transparent and secure processing of the personal information it administers, in compliance with Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and its Decreto Reglamentario 1377 de 2013 (implementing decree).

It is mandatory for all employees, contractors, suppliers and third parties who have access to Personal Data in the course of their functions or activities, and it applies to all systems, processes, channels and physical or digital media in which personal information is processed, including environments in which financial information is managed under the PCI DSS standards.

This policy defines the principles that guide processing, the applicable purposes, the rights of Data Subjects, the procedures for the exercise thereof, internal responsibilities and the security measures implemented. Compliance with it guarantees the protection of information, regulatory compliance and the preservation of the trust placed by Data Subjects.

As an exception to the foregoing, Strategic Points S.A.S. may retain Personal Data where this is required in order to comply with a legal or contractual obligation.

Where Strategic Points S.A.S. must handle Sensitive Data, that is, information that may affect the Data Subject's privacy or that, if misused, may give rise to some form of discrimination, such data shall be protected in accordance with the provisions and restrictions established by law. The company undertakes to comply with the physical and digital security measures defined herein, which have been designed to guarantee the protection of this type of data.

I. Habeas Data

The Data Subject shall at all times have the right to exercise the powers conferred by Habeas Data, in accordance with the provisions of the Constitución Política de Colombia (Colombian Constitution), Ley 1581 de 2012, Decreto 1377 de 2013 and any other provisions governing the matter.

By virtue of this right, the Data Subject may access, know, update, rectify, delete their Personal Data, as well as withdraw the Authorisation granted for the Processing thereof, where this is appropriate under the applicable regulations. Strategic Points S.A.S. shall guarantee the full and effective exercise of such rights through the internal procedures established for handling enquiries and complaints relating to the Processing of personal information.

II. Processing of personal data of minors

General rule: The processing of minors' data shall be carried out only where it responds to and respects their best interests and ensures respect for their fundamental rights.

Mandatory internal rules:

1. Reinforced and minimum purpose: collect only what is strictly necessary for the legitimate purpose.
2. Authorisation: obtain the Authorisation of the legal representative (father/mother/guardian) and, where appropriate, take into account the minor's opinion according to their maturity.
3. Clear information: explain in plain language the use of the data (for the representative and, if applicable, for the minor).
4. Prohibition of unnecessary uses: do not use minors' data for ancillary purposes (e.g. marketing) except following a legal assessment and reinforced express Authorisation.
5. Reinforced security: access controls, activity logs and restricted retention.

III. Video surveillance

Strategic Points S.A.S. may carry out video surveillance at its facilities for legitimate purposes such as the security of persons and property, evidence of incidents, access control and support for internal/external investigations, applying the purpose, proportionality and restricted circulation principles.

1. Information to the Data Subject (monitored area notices)

• Visible signage indicating the existence of video surveillance shall be installed in areas with cameras.

2. Access to recordings

• Access restricted to authorised personnel.
• Delivery to the competent authorities only upon a valid request.
• Copies solely for the purposes described and with traceability.

3. Retention

• Retention period: 90 days.
• Extension: where there is an incident, investigation or legal requirement, the recordings shall be retained until closure of the case.

IV. Policies of the Personal Data Processor

DATA PROCESSOR means the party that carries out the Processing of Personal Data on behalf of Strategic Points S.A.S., that is, the party to which Strategic Points S.A.S. entrusts the handling of a compendium of Personal Data, whether delivered directly by the Data Subjects or by third parties to Strategic Points S.A.S. In this regard, the Personal Data delivered by Strategic Points S.A.S. shall be used solely for the assignment entrusted and in accordance with the guidelines established.

Rules for the Data Processor

The Data Processor shall:

1. Process data only in accordance with the instructions of the Data Controller and for the authorised purposes.
2. Implement technical, human and administrative measures for security and confidentiality.
3. Not subcontract without the prior written authorisation of the Data Controller (or without an enabling clause).
4. Support the handling of the Data Subject's enquiries/complaints and the management of incidents.
5. Maintain records and evidence of compliance.

By virtue of the foregoing, THE DATA PROCESSOR undertakes to Strategic Points S.A.S. to verify the delivery status of the Personal Data, as well as to provide the security measures necessary to safeguard the security of the data in accordance with the measures set out in this Security Policy. It is the duty of THE DATA PROCESSOR to exercise the utmost diligence in the performance of its work with respect to the protection and security of Personal Data, in both digital and physical databases.

Chapter X

Withdrawal and/or deletion of data

Data Subjects have the right to request at any time the withdrawal of the Authorisation granted for the Processing of their Personal Data or the deletion of the information, in accordance with Ley 1581 de 2012 (Colombia's General Personal Data Protection Law). This right applies where the Data Subject considers that the applicable principles, rights or legal safeguards are not being respected.

The withdrawal may be total, where the Data Subject wishes all processing to cease, or partial, where the Data Subject only wishes to limit certain purposes such as commercial communications or non-essential uses. In any event, the request shall be handled through the complaints procedure regulated by Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012).

The deletion of data entails the total or partial elimination of the information, provided that this is technically and legally possible. It applies where the data are no longer necessary for the purposes for which they were collected or where the Data Subject decides to exercise this right, unless there is a legal obligation preventing the elimination.

Requests shall be submitted through the official channels defined by Strategic Points S.A.S. and shall include identification of the Data Subject, a clear description of the request and documents evidencing standing. The organisation shall respond within the time limits established for complaints by Decreto 1377 de 2013.

Once the request has been received, Strategic Points S.A.S. shall verify the identity of the applicant, assess its legal admissibility and determine whether there are obligations requiring the information to be retained. Where the request is admissible, the technical and administrative actions necessary to cease the Processing or delete the data shall be carried out.

Finally, the organisation shall inform the Data Subject of the decision adopted and shall confirm the execution of the withdrawal or deletion. It shall also notify the Data Processors of the obligation to carry out the same actions, in accordance with the provisions of Decreto 1377.

Chapter XI

Rights of Data Subjects

Data Subjects, in accordance with Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and its implementing rules, have the following rights:

1. To know, update and rectify their Personal Data, ensuring that the information is truthful, complete, accurate and up to date.
2. To request proof of the Authorisation granted for the Processing of their Personal Data, except where the law does not require an Authorisation.
3. To be informed of the use that Strategic Points S.A.S. has made of their Personal Data, upon request.
4. To submit enquiries and complaints relating to their data, which shall be handled within the terms and time limits established by Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012).
5. To request the deletion of their data where the legal principles, rights or guarantees are not respected, or where the data are no longer necessary for the purpose for which they were collected, subject to the exceptions provided by law.
6. To withdraw the Authorisation granted for the Processing of their Personal Data, in whole or in part, provided that no legal or contractual obligation requires their retention.
7. To access their Personal Data free of charge, at least once a month or whenever substantial amendments are made to the Processing policy.

The channels available at Strategic Points S.A.S. for the exercise of the rights of Data Subjects are set out in Chapter XII of this Policy.

Chapter XII

Procedure for enquiries and complaints

Strategic Points S.A.S. shall guarantee Data Subjects the exercise of their rights through accessible and timely procedures aligned with Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012).

1. Available channels

Data Subjects may submit enquiries and complaints through the official channels defined by Strategic Points S.A.S., which are made available to them as follows:

• Through the e-mail address: notificaciones@linextravel.com
• Physical premises of Strategic Points S.A.S.: Carrera 43A No. 1A Sur – 69, Oficina 101, Medellín, Antioquia, Colombia

2. Enquiries

• Data Subjects or their successors in interest may consult the Data Subject's personal information stored in the Databases of Strategic Points S.A.S.
• In its capacity as Data Controller, Strategic Points S.A.S. shall provide Data Subjects or their successors in interest with all the information recorded in their individual file or associated with their identification.
• Enquiry requests shall be made through the channels enabled by Strategic Points S.A.S. for that purpose, which are described in Section 1 of this Chapter.
• Strategic Points S.A.S. shall answer the enquiry within a maximum period of ten (10) business days counted from the date on which it is received.
• If Strategic Points S.A.S. is unable to issue a response within the initial period, it shall inform the applicant of the reasons for the delay and shall indicate the new response date, which may not exceed five (5) additional business days following expiry of the original term.

3. Complaints

Data Subjects or their successors in interest who consider that the information contained in the Databases of Strategic Points S.A.S. requires correction, updating or deletion, or who identify a possible breach of the obligations established by law, may file a complaint with Strategic Points S.A.S., in its capacity as Data Controller. Such complaint shall be handled in accordance with the following rules:

• The complaint shall be filed by means of a written request addressed to Strategic Points S.A.S., including the identification of the Data Subject, a detailed description of the facts giving rise to the complaint, the contact address and any documents to be submitted in support.
• The request shall be accompanied by a copy of the identification document of the Data Subject.
• The complaint shall be filed through the channels enabled by Strategic Points S.A.S. for this purpose, described in Section 1 of this Chapter.
• If the complaint is incomplete, Strategic Points S.A.S. shall request the interested party, within five (5) business days following its receipt, to remedy the missing information.
• If two (2) months elapse from the request without the applicant providing the information requested, Strategic Points S.A.S. shall understand that the complaint has been withdrawn.
• Where the person receiving the complaint is not competent to resolve it, they shall refer it to the appropriate body within a maximum period of two (2) business days and shall inform the interested party accordingly.
• Once Strategic Points S.A.S. receives the complete complaint, it shall record in the Database a legend indicating “complaint in progress” and the reason for it, within a period of two (2) business days. This annotation shall remain until the complaint is resolved.
• The maximum period for Strategic Points S.A.S. to handle the complaint shall be fifteen (15) business days counted from the day following its receipt.
• If Strategic Points S.A.S. is unable to issue the response within the established term, it shall inform the interested party of the reasons for the delay and shall indicate the new response date, which may not exceed eight (8) additional business days after expiry of the initial period.

Chapter XIII

Duties of the Data Controller

Strategic Points S.A.S. declares that it acts as Data Controller of the Personal Data of those included in its Databases, and where it acts as Data Processor it shall state so expressly.

Strategic Points S.A.S., in its capacity as Data Controller of Personal Data, shall comply with the following duties established by Ley 1581 de 2012 (Colombia's General Personal Data Protection Law) and its implementing regulations:

1. To guarantee the Data Subject the full and effective exercise of their rights, such as knowing, updating and rectifying the personal information held in the Databases under its administration.
2. To request and retain a copy of the Authorisation granted by the Data Subject for the Processing of the data, where required by law, in accordance with the procedures set out in Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012).
3. To inform the Data Subject clearly, sufficiently and in advance of the purpose of the Processing and of the rights to which they are entitled, complying with the duty to inform established in the General Data Protection Regime.
4. To keep the information under secure conditions, implementing the technical, human and administrative measures necessary to prevent unauthorised alteration, loss, unauthorised consultation, use or access, in accordance with the security principle.
5. To update the information where necessary and to notify the Data Processors in a timely manner of any changes arising in respect of the data previously supplied.
6. To rectify incorrect information and to handle complaints submitted by Data Subjects in a timely manner within the legal time limits established by Decreto 1377 de 2013.
7. To require Data Processors to comply with the security and privacy conditions applicable to the information, including compliance with the data transmission agreement and with the obligations established by Ley 1581.
8. To inform the Data Subject, upon request, of the use made of their Personal Data, ensuring transparency and traceability of the Processing carried out.
9. To report to the Superintendencia de Industria y Comercio (SIC, Colombia's data protection authority) relevant situations concerning security incidents or Personal Data protection breaches, where so required by the applicable regulations.
10. To comply with the instructions and requirements issued by the Superintendencia de Industria y Comercio in its capacity as the national Personal Data protection authority.
11. To adopt and keep up to date the Personal Data Processing Policy, and to ensure its permanent availability to Data Subjects through the established institutional channels.
12. To ensure the quality of the data, endeavouring to ensure that the information is truthful, complete, accurate, up to date, verifiable and comprehensible, in compliance with the Accuracy or Quality principle.

Chapter XIV

Use of cookies and digital media

1. Purpose of the use of cookies

Strategic Points S.A.S. uses cookies and similar technologies on its websites, applications and digital platforms in order to improve the user experience, optimise navigation, enable the proper functioning of the site, analyse usage patterns and offer relevant content. These practices are based on the information and transparency principle governing the Processing of Personal Data in Colombia.

2. Types of cookies used

The organisation may use essential cookies for the technical functioning of the site; functional cookies that facilitate navigation; performance cookies to analyse behaviour and use of the site; and marketing cookies intended to personalise content. Each category responds to a specific purpose and respects the principles of necessity and proportionality.

3. Authorisation and configuration by the Data Subject

Upon accessing the digital media of Strategic Points S.A.S., the user shall be informed of the use of cookies by means of a visible notice enabling the user to accept, reject or configure the types of cookies authorised, except for those strictly necessary for the functioning of the site, in accordance with the duty to inform established in Ley 1581 de 2012 (Colombia's General Personal Data Protection Law).

4. Processing of data collected through cookies

Data collected through cookies shall be processed in accordance with the purposes described in this Policy, applying security measures to prevent unauthorised access, unauthorised alteration or loss, in compliance with the security principle and the Data Controller's duty of protection.

5. Use of digital media, analytics and third-party providers

The organisation uses web analytics tools, content management platforms or third-party services that implement their own cookies or tracking technologies. In such cases, Strategic Points S.A.S. shall verify that such providers act as Data Processors and comply with the protection measures provided for in the regulations and in the data transmission agreements.

6. Rights of the Data Subject with respect to the use of cookies

Data Subjects may request information on the use of tracking technologies, exercise their rights of update, rectification, deletion or withdrawal, and submit enquiries or complaints through the organisation's official channels, in accordance with the procedure described in this Policy and with the provisions of Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012).

7. Updates to the cookie notice

Strategic Points S.A.S. shall update its cookie notice whenever the categories used, the purposes or the technology providers involved are modified. Such changes shall be communicated through the institutional digital media, ensuring transparency towards Data Subjects.

Chapter XV

Transfer and transmission of Personal Data

Strategic Points S.A.S. may transfer or transmit Personal Data to third parties where necessary for the fulfilment of its purposes and in accordance with Ley 1581 de 2012 (Colombia's General Personal Data Protection Law). A transfer entails sending data to another Data Controller, whereas a transmission corresponds to sending data to a Data Processor acting on the instructions of the Data Controller.

Every Data Transmission shall be carried out by means of a data transmission agreement, which shall include security, confidentiality and use-limitation obligations, as established in Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012). The Data Processor shall process the data solely in accordance with the instructions issued by Strategic Points S.A.S.

National and international transfers shall be carried out only where the Data Subject's prior Authorisation or a legal basis exists, and where the recipient guarantees an adequate level of protection. In all cases, the circulation of data shall be strictly limited to the purposes informed and authorised by the Data Subjects.

Chapter XVI

Amendment of the Personal Data Processing Policy

Strategic Points S.A.S. may at any time amend, update or supplement this Personal Data Processing Policy, in order to align it with regulatory, legal or technological changes or with new internal practices relating to the handling of information. Such amendments shall be made in compliance with the duty to inform provided for in Ley 1581 de 2012 (Colombia's General Personal Data Protection Law), which requires transparency with respect to the Processing of Personal Data.

Where the amendments entail substantial changes to the purposes of the Processing, to the rights of Data Subjects or to the service channels, the organisation shall inform Data Subjects in a timely manner through the official channels, including digital media, public notices or direct communications. This procedure is based on Decreto 1377 de 2013 (implementing regulation of Ley 1581 de 2012), which establishes the obligation to disclose changes and to keep Data Subjects duly informed.

The updated version of the Policy shall at all times be available for consultation through the institutional channels defined by Strategic Points S.A.S., ensuring its permanent accessibility and the full exercise of the rights of Data Subjects.

Chapter XVII

General protocol in the event of a personal data breach

In the event of a breach or incident compromising Personal Data, Strategic Points S.A.S. shall apply the general protocol, which is governed by GSI-PR-002 Procedimiento de Gestión de Incidentes (Incident Management Procedure).

Chapter XVIII

Preliminary Privacy Impact Assessment (PIA)

For the purpose of strengthening the management of risks associated with the Processing of Personal Data and ensuring compliance with the applicable regulatory framework, the Preliminary Privacy Impact Assessment (PIA, by its English acronym) is adopted as an essential preventive tool. This assessment makes it possible to identify in advance the potential privacy risks arising from new projects, initiatives or processes involving the use of Personal Data.

The application of the PIA shall be mandatory in the following cases:

• Where a new system, practice, tool or device that collects and processes Personal Data is designed.
• Where a system, practice, tool or device involving the collection and use of Personal Data is acquired from a third party.

The corresponding PIA form is available in Microsoft Forms and shall be completed before commencing any internal development involving the Processing of Personal Data within the framework of a new project or initiative.

Chapter XIX

Processing of personal data through Artificial Intelligence systems and agents

Scope of application

STRATEGIC POINTS S.A.S., which operates under the brands Linex Travel, Linex Loyalty, Linex Trip and Linex GO (hereinafter, indistinctly, STRATEGIC POINTS S.A.S.), may use systems, models, tools, functionalities and agents based on artificial intelligence, machine learning, advanced analytics and other automated technologies (hereinafter, jointly, the “Artificial Intelligence Systems” or “AI Systems”) for the development and provision of its services, the servicing of users and customers, the optimisation of its internal processes and other legitimate purposes previously notified to the Data Subject.

This Chapter governs the Processing of Personal Data carried out by STRATEGIC POINTS S.A.S., directly or through Data Processors, by means of AI Systems, and supplements the other provisions of this Policy.

The Processing of Personal Data by means of AI Systems shall be carried out in accordance with the Constitución Política (Colombian Constitution), Ley 1581 de 2012 (Colombia's General Personal Data Protection Law), its implementing decrees and any other rules amending, supplementing or replacing them, as well as with the instructions and guidelines issued by the Superintendencia de Industria y Comercio (SIC, Colombia's data protection authority) and other competent authorities.

In particular, STRATEGIC POINTS S.A.S. follows the guidelines of Circular Externa 002 de 2024 (SIC guidance on Personal Data in AI systems) of the Superintendencia de Industria y Comercio on the Processing of Personal Data in artificial intelligence systems. Where the Data Subject resides in, or the service is provided in, a jurisdiction other than Colombia, Processing by means of AI Systems shall additionally be subject to the applicable local legislation and to the conditions agreed with the Data Controller of that jurisdiction; the agents' notices are presented in the language of the service and state the applicable rule and authority.

STRATEGIC POINTS S.A.S. shall seek to ensure that the design, implementation and use of AI Systems involving Personal Data comply with criteria of suitability, necessity, reasonableness and proportionality in relation to the purpose pursued, as well as with the principles of privacy by design and by default, security, transparency, demonstrated accountability and effective protection of the rights of Data Subjects.

An “AI agent” is understood to be the AI System that interacts with individuals in natural language or that performs actions on their behalf within the services of STRATEGIC POINTS S.A.S. The AI agents of STRATEGIC POINTS S.A.S. are entered in the company's corporate register of AI Systems and Agents, identified as GSI-MT-008.

The rules on the governance, authorisation, classification and control of AI Systems are set out in GSI-PO-022 Política de Gobierno y Uso de Inteligencia Artificial (Artificial Intelligence Governance and Use Policy). This Chapter governs exclusively the Processing of Personal Data carried out by means of such Systems.

Interaction with Artificial Intelligence agents and Systems

In the course of the activities of STRATEGIC POINTS S.A.S., Data Subjects may interact with conversational agents, virtual assistants, automated tools or other AI Systems made available directly by STRATEGIC POINTS S.A.S. or by authorised third parties.

At the beginning of the interaction, and in a clear and visible manner, STRATEGIC POINTS S.A.S. shall inform the Data Subject that they are interacting with an AI System or that such system is materially involved in the provision of the service.

AI Systems may, depending on the functionalities enabled and the purposes previously notified, carry out, among other activities:

1. Handling questions, applications, enquiries or requests;
2. Processing and analysing information supplied by the Data Subject;
3. Generating responses, content, recommendations, summaries, classifications or predictions;
4. Facilitating, managing or automating operational processes;
5. Supporting customer care and service processes;
6. Personalising functionalities or experiences in accordance with the preferences, characteristics or interactions of the Data Subject, where this has been authorised;
7. Detecting errors, anomalies, security risks, fraud or improper use;
8. Facilitating internal, administrative, commercial, technological or support processes;
9. Performing actions previously requested or authorised by the Data Subject, where the corresponding functionality so permits; and
10. Fulfilling the other purposes notified in this Policy, in the Privacy Notices, Authorisations or particular conditions applicable to the service.

The AI Systems of STRATEGIC POINTS S.A.S. may invoke other AI Systems or tools of the same company in order to handle a request. These interactions take place within the infrastructure of STRATEGIC POINTS S.A.S. or of its Data Processors, with the user's delegated authorisation, limited to the scope to which the user consented and to the permissions the user already holds, and are logged for audit purposes.

Personal Data processed through AI Systems

Depending on the service used and on the Data Subject's interaction, AI Systems may process the categories of Personal Data provided for in this Policy and, in particular:

1. Identification and contact data;
2. Information supplied by the Data Subject through instructions, enquiries or prompts;
3. Conversations, chats and messages exchanged with agents or assistants;
4. Documents, photographs, images, files or other content that the Data Subject decides to supply;
5. Voice recordings and their corresponding transcriptions, where this functionality is enabled;
6. Information relating to requests, operations, transactions, bookings, services or processes managed through the AI Systems;
7. Technical data, activity logs, logs, metadata, device information and data associated with the use of the platform or service;
8. Information generated as a result of the interaction with the AI System; and
9. Such other Personal Data as are necessary and relevant for the fulfilment of the purposes previously notified to the Data Subject.

STRATEGIC POINTS S.A.S. shall apply minimisation criteria and shall seek to ensure that the Personal Data processed are adequate, relevant and necessary in relation to the purposes for which they are used.

Payment method data

The AI Systems of STRATEGIC POINTS S.A.S. do not request, capture, store or process the full number of payment cards, their expiry dates or their security codes. Payments are made exclusively through gateways and providers certified under the PCI DSS (Payment Card Industry Data Security Standard) standard, by means of secure forms or links external to the conversation. Should a Data Subject enter card data in a conversation, such data are automatically masked before being stored and are not retained in the agent's records. Agents may report the status of a transaction (approved, pending, declined) and the last four digits of the payment method where this is necessary in order to handle the request.

Purposes of Processing by means of AI Systems

Personal Data processed by means of AI Systems may be used exclusively for the purposes authorised by the Data Subject or permitted by the applicable legislation, including, as applicable:

1. To provide, operate and administer the services requested;
2. To manage the interactions between Data Subjects and AI agents or AI Systems;
3. To handle enquiries, requests, grievances, complaints and demands;
4. To generate responses, recommendations, analyses or content related to the service;
5. To process and execute requests or transactions expressly initiated or authorised by the Data Subject;
6. To verify information and validate transactions;
7. To prevent and detect fraud, unauthorised access, security incidents and anomalous behaviour;
8. To carry out technical monitoring, diagnosis, support, maintenance and error resolution;
9. To assess the operation, quality, security, performance and reliability of the AI Systems;
10. To improve the user experience and the functionalities of the services;
11. To comply with legal, regulatory and contractual obligations and with requirements of the competent authorities; and
12. To pursue such other purposes as are expressly disclosed and authorised in accordance with the Personal Data protection regime.

Personal Data shall not be used for purposes incompatible with those disclosed to the Data Subject, unless a new legal basis exists or the corresponding Authorisation is obtained where such Authorisation is necessary.

Processing for the operation, monitoring and improvement of the AI Systems

STRATEGIC POINTS S.A.S. may process information derived from the use of its AI Systems for the purpose of ensuring their proper operation, security, support, monitoring, performance assessment, detection and correction of errors and technical improvement of the services.

Where reasonably possible, these activities shall use aggregated, anonymised or pseudonymised data, or data subjected to other techniques that reduce the risks to Data Subjects.

The purpose of anonymisation shall be to reasonably prevent the information from being associated again with an identified or identifiable natural person.

The use of Personal Data for the operation, monitoring or technical improvement of a service shall not automatically imply Authorisation for the training of Artificial Intelligence models for different purposes. The training, retraining or fine-tuning of models with Personal Data shall be subject to the rules set out in the following section.

Training, validation and fine-tuning of Artificial Intelligence models

STRATEGIC POINTS S.A.S. does not train, retrain or fine-tune Artificial Intelligence models with Personal Data of Data Subjects. The AI Systems use models supplied by technology providers under enterprise contractual conditions that prohibit the use of the information of STRATEGIC POINTS S.A.S. and of its Data Subjects to train the provider's models.

Should STRATEGIC POINTS S.A.S. in the future intend to use Personal Data to train, retrain, validate, fine-tune or develop Artificial Intelligence models, it shall first assess the purpose, necessity, proportionality and legal basis of the Processing.

In such cases:

1. Preference shall be given, where technically and reasonably feasible, to the use of anonymised, aggregated, pseudonymised or synthetic data;
2. The Processing shall correspond to a legitimate, specific and disclosed purpose;
3. Where the Data Subject's Authorisation is legally required, it shall cover the corresponding purpose;
4. Sensitive Data and Personal Data of children and adolescents shall not be used for model training, unless a sufficient legal basis exists, the purpose is legitimate and necessary and the enhanced safeguards required by the applicable legislation are implemented;
5. STRATEGIC POINTS S.A.S. shall endeavor to maintain reasonable traceability of the sources and categories of information used and of the protection measures adopted; and
6. Measures shall be established to prevent incompatible uses, unauthorised access, improper re-identification and disproportionate impacts on the rights of Data Subjects.

STRATEGIC POINTS S.A.S. shall not consider that the mere fact that a Data Subject uses an AI agent or tool constitutes, in and of itself, Authorisation to use their Personal Data to train general models for purposes other than the provision of the service.

Sensitive Data and information concerning children and adolescents

The Data Subject shall refrain from voluntarily supplying, through AI agents or AI Systems, Sensitive Data that are not necessary for the provision of the service.

Where the Processing of Sensitive Data is necessary, STRATEGIC POINTS S.A.S. shall apply the special rules and guarantees provided for under Colombian legislation, including informing the Data Subject that the supply of such data is optional and obtaining the corresponding Authorisation where this is required.

Where the provision of a travel service requires data relating to the health or special assistance needs of the Data Subject or of their companions (reduced mobility, medical conditions relevant to the journey, dietary requirements), the agent shall state that the supply of such data is optional, shall request explicit Authorisation for that specific purpose and shall limit its use to the handling of that request, without using it for profiling or for commercial communications.

The AI Systems may process Personal Data of children and adolescents only where such data is necessary to provide the service requested by their legal representative (for example, as passengers or beneficiaries of a booking), with the latter's Authorisation and in accordance with the best interests of the child under Colombian legislation. The AI Systems are not directed at minors, do not build profiles of them or send commercial communications directed at them, and do not use their data for the training of models.

Decisions, recommendations and profiling by means of AI Systems

STRATEGIC POINTS S.A.S. may use AI Systems to generate analyses, classifications, profiles, scores, predictions or recommendations that support the provision of its services or the adoption of certain decisions, always within the purposes legitimately authorised.

Where an AI System plays a material role in a decision liable to produce legal consequences or significantly adverse effects for the Data Subject, STRATEGIC POINTS S.A.S. shall adopt reasonable and proportionate measures aimed at ensuring transparency, information quality and appropriate review mechanisms in accordance with the nature and risk level of the decision.

As applicable, such measures may include:

1. Informing the Data Subject of the material use of automated mechanisms;
2. Providing comprehensible information on the main criteria taken into account, provided that this does not entail disclosing trade secrets, intellectual property, information that would compromise the security of the system or other legitimately protected rights;
3. Implementing human oversight or intervention mechanisms where the nature, materiality or risk level of the decision so warrants;
4. Allowing the Data Subject to submit additional information, request the review of an outcome or file a complaint through the channels established by STRATEGIC POINTS S.A.S.;
5. Adopting reasonable measures to prevent discriminatory outcomes or outcomes derived from manifestly inaccurate or out-of-date information; and
6. Periodically assessing, where relevant, the quality and reliability of the systems used.

Where the AI System merely generates recommendations or guidance and the final decision rests with a person or with an independent transactional system, STRATEGIC POINTS S.A.S. may inform the Data Subject thereof where this is relevant to understanding how the service operates.

Commercial offers and communications generated with the support of AI Systems are directed only at Data Subjects who have authorised Processing for marketing purposes, are identified as commercial communications and offer a simple mechanism to stop receiving them. Segmentation is carried out preferably on aggregated or pseudonymised data.

Actions executed by Artificial Intelligence agents

Certain AI agents may be technically enabled to execute actions relating to the services of STRATEGIC POINTS S.A.S., such as consulting information, handling requests, performing searches, completing information, generating communications, making modifications or initiating or completing authorised operations.

No AI agent executes an action having economic, contractual or employment effects on a Data Subject, nor modifies an existing operation, without the explicit confirmation of the authorised person within that same interaction. Actions are executed under the identity and within the permissions of the user requesting them, never with privileges of the agent itself, and are recorded with the date, user, agent and outcome. Where the nature of the action so requires, STRATEGIC POINTS S.A.S. shall additionally implement authentication, validation and escalation to human assistance mechanisms. STRATEGIC POINTS S.A.S. classifies each agent within an autonomy level (observer, proposer or limited executor) and records that level in its corporate register of AI Systems.

Operations requiring official, definitive or transactional information shall be validated, where applicable, against the systems, databases, APIs, platforms or authorised sources constituting the official source for that operation.

Human oversight and escalation

STRATEGIC POINTS S.A.S. may establish human intervention or escalation mechanisms where, taking into account the nature of the service and the risk level:

1. The Data Subject requests human assistance;
2. The AI System is unable to reasonably handle a request;
3. There is an authentication or validation failure;
4. An inconsistency or possible error capable of materially affecting the Data Subject is detected;
5. The operation may give rise to legal, financial or similarly material consequences warranting additional validation; or
6. There is a complaint, security incident or significant risk to the rights of the Data Subject.

The existence of an AI System shall not prevent the Data Subject from using the assistance, enquiry and complaint channels provided for in this Policy.

Nature of the outcomes generated by Artificial Intelligence

STRATEGIC POINTS S.A.S. informs that certain AI Systems use models of a probabilistic nature and that, consequently, their outcomes may contain variations, inaccuracies, inconsistencies or omissions.

STRATEGIC POINTS S.A.S. shall adopt reasonable and proportionate measures to seek to ensure the quality and reliability of the AI Systems used, in accordance with their purpose and risk level.

Where the information must come from an official, contractual, transactional or legally authorized source, STRATEGIC POINTS S.A.S. shall seek to ensure that the AI System validates such information against the corresponding source before presenting it as definitive.

This provision does not entail any exclusion or limitation of the rights vested in Data Subjects in relation to the protection of Personal Data or, where applicable, of the rights afforded to consumers under Colombian legislation.

Technology providers and Data Processors

For the operation of the AI Systems, STRATEGIC POINTS S.A.S. may engage technology providers, infrastructure providers, cloud services, Artificial Intelligence models, APIs, processing, storage, security or analytics tools or other third parties which may act as Data Processors or sub-processors, as applicable.

Where such third parties Process Personal Data on behalf of STRATEGIC POINTS S.A.S., the latter shall adopt measures to contractually require obligations relating to:

1. Processing of the Personal Data in accordance with the applicable purposes and instructions;
2. Confidentiality and security;
3. Restriction of unauthorised uses;
4. Management and reporting of security incidents;
5. Retention, return or deletion of information, as applicable;
6. Compliance with the applicable legislation on the protection of Personal Data; and
7. Such other obligations as may correspond in accordance with their involvement in the Processing.

Where applicable, STRATEGIC POINTS S.A.S. shall establish restrictions on the use of Personal Data for the training of the general models of technology providers, unless a legitimate purpose and the corresponding legal basis exist.

National and international transfer and transmission of Personal Data

The use of AI Systems may entail that certain Personal Data are stored, hosted, processed or accessed by means of technological infrastructure located within or outside Colombia.

The AI Systems are hosted and operated mainly on the infrastructure of cloud providers and Artificial Intelligence model providers located in the United States of America, a country which the Superintendencia de Industria y Comercio considers to have an adequate level of protection (Circulares Externas 005 and 008 of 2017 and 002 of 2018, SIC rulings on countries with an adequate level of protection). These providers act as Data Processors under data transmission agreements which include the obligations described in this Policy. STRATEGIC POINTS S.A.S. maintains, and makes available to the Data Subject upon request, an up-to-date list of the categories of providers and the countries of Processing.

National and international transfers and transmissions of Personal Data shall be carried out in accordance with Ley 1581 de 2012, its implementing rules and the instructions of the Superintendencia de Industria y Comercio.

Where a provider Processes information on behalf of STRATEGIC POINTS S.A.S. in its capacity as Data Processor, the applicable contractual mechanisms and measures shall be adopted in order to govern the transmission and adequately protect the Personal Data.

Retention of conversations, records and logs

Conversations, instructions, files, transcripts, logs, activity logs and other information associated with the use of AI Systems may be retained for the period reasonably necessary in order to:

1. Provide and support the service;
2. Maintain the context of the interaction where applicable;
3. Resolve enquiries, requests, complaints or disputes;
4. Carry out monitoring, auditing and security controls;
5. Detect and manage incidents;
6. Comply with legal, regulatory or contractual obligations; and
7. Fulfil such other legitimately authorised purposes.

Once the purpose has been fulfilled and the applicable legal or contractual retention periods have expired, STRATEGIC POINTS S.A.S. shall proceed with their deletion, anonymisation or processing in accordance with the retention rules established in this Policy.

The specific retention periods by type of record (operational conversations, quality assessments, technical and security records, audit records) are determined in accordance with the retention rules laid down in this Policy and with the retention criteria that STRATEGIC POINTS S.A.S. defines for AI Systems, which are reviewed at least once a year. Where an audit record must be retained in full for legal or security reasons, the exercise of the right to deletion is addressed through the pseudonymisation of the Data Subject's identity in that record.

Security, privacy and segregation of information

STRATEGIC POINTS S.A.S. shall implement administrative, technical and organisational measures that are reasonable and proportionate to the nature of the Personal Data, the characteristics of the AI System and the risks associated with the Processing.

These measures may comprise, as applicable, access controls, authentication, permission management, segregation of information, activity logs, encryption, monitoring, vulnerability management, retention controls, mechanisms to prevent unauthorised disclosure and incident response procedures.

The use of AI Systems shall be incorporated into the privacy and security risk management processes of STRATEGIC POINTS S.A.S.

Impact assessment and demonstrated accountability

Before implementing AI Systems that involve Processing liable to generate material risks to the rights of Data Subjects, STRATEGIC POINTS S.A.S. shall reasonably assess the risks associated with the Processing and the measures necessary to manage them.

In accordance with the nature, scope, context and purpose of the Processing, the assessment may consider, among others:

1. The categories and nature of the Personal Data;
2. The number or category of Data Subjects potentially affected;
3. The purposes of the Processing;
4. The degree of automation;
5. The possible effects on Data Subjects;
6. The risks of discrimination, inaccuracy, loss of confidentiality or use for incompatible purposes;
7. The involvement of third parties;
8. The potential international circulation of information;
9. The mechanisms for oversight, monitoring and handling of complaints; and
10. The security and mitigation measures available.

STRATEGIC POINTS S.A.S. shall retain, where applicable, reasonable evidence of the assessments, decisions, controls and measures adopted as part of its duty of demonstrated accountability.

Rights of Data Subjects in relation to Processing by means of Artificial Intelligence

The use of AI Systems does not limit or modify the rights afforded to Data Subjects under Colombian legislation or those provided for in this Policy.

Consequently, Data Subjects may, as applicable:

1. Know, update and rectify their Personal Data;
2. Request proof of the Authorisation granted, except where it is not legally required;
3. Be informed, upon request, of the use made of their Personal Data;
4. Submit enquiries and complaints;
5. Request the deletion of their Personal Data or withdraw the Authorisation in the cases in which this is legally admissible;
6. Access their Personal Data subject to Processing free of charge; and
7. Submit requests relating to the Processing of their Personal Data carried out by means of AI Systems through the channels established in this Policy.

Where an automated outcome may produce a material effect on the Data Subject, the latter may request its review through the service channels established by STRATEGIC POINTS S.A.S., in accordance with the nature of the service and the applicable legislation.

Quality and prevention of discrimination

STRATEGIC POINTS S.A.S. shall adopt reasonable measures aimed at ensuring that the Personal Data used by the AI Systems are adequate, relevant and, where applicable, sufficiently accurate and up to date for the purpose of the Processing.

Likewise, where the AI Systems are used to generate classifications, profiles, recommendations or decisions with a material impact on individuals, STRATEGIC POINTS S.A.S. shall endeavor to implement proportionate controls intended to identify and mitigate the risks of unjustifiably discriminatory outcomes arising from the Processing of Personal Data.

Governance of Artificial Intelligence Systems

The governance of the AI Systems of STRATEGIC POINTS S.A.S., their registration, authorisation, classification by risk level, permitted levels of automation, allocation of responsible owners, risk assessment, criteria for the engagement of technology providers, training, incident management and rules on the internal use of tools by employees and contractors is governed by GSI-PO-022 Política de Gobierno y Uso de Inteligencia Artificial (Artificial Intelligence Governance and Use Policy), which applies jointly with this Chapter.

Every AI System that Processes Personal Data is entered in the corporate register of AI Systems and Agents provided for in that policy, GSI-MT-008 Registro de Sistemas y Agentes de Inteligencia Artificial (Register of Artificial Intelligence Systems and Agents), identifying its responsible owner, the categories of information it Processes and its risk classification. No AI System Processes Personal Data of Data Subjects without prior authorisation and registration.

Employees, contractors and other persons authorised by STRATEGIC POINTS S.A.S. may use, for the Processing of Personal Data, only the AI tools approved by the company, in accordance with the restrictions established in GSI-PO-022, including the obligation to refrain from unnecessarily entering Sensitive Data, Personal Data of children and adolescents, credentials or information subject to legal or contractual confidentiality.

Processing on behalf of partners and white-label programmes

Where the AI Systems are made available to Data Subjects within programmes, portals or channels of business partners of STRATEGIC POINTS S.A.S. (including financial institutions, payment method franchises, loyalty programmes and tourist destinations), the partner acts as Data Controller and STRATEGIC POINTS S.A.S. as Data Processor, in accordance with the data transmission agreement or processing agreement entered into with the partner. In these cases: (i) the notice presented by the agent identifies the partner as Data Controller and STRATEGIC POINTS S.A.S. as technology operator; (ii) the purposes, the retention periods and the channels for the exercise of rights are those defined by the partner in its own policy, and STRATEGIC POINTS S.A.S. handles Data Subjects' requests in coordination with the partner; and (iii) STRATEGIC POINTS S.A.S. maintains logical segregation of information between partners and does not use one partner's data for the benefit of another or for its own purposes other than the operation, security and technical improvement of the service.

Processing of data of employees, contractors, candidates and corporate client personnel

STRATEGIC POINTS S.A.S. may use AI Systems to support the management of the capacity and allocation of its teams, talent planning, the assessment of the quality of the service provided by its advisers and the operation of its internal processes. In these cases: (i) employees and contractors are informed, within the framework of the employment or contractual relationship, of the AI Systems that process their data, of the purposes and of the criteria used; (ii) no decision with effects on a person's remuneration, continued employment, promotion or disciplinary regime is adopted on a solely automated basis: the outputs of the AI Systems are inputs that are reviewed and decided upon by a person with competence to do so; and (iii) the assessment of the quality of conversations is carried out for service improvement and training purposes, on samples or criteria defined in advance, and its results are retained for the time necessary for those purposes. Client and partner personnel who use consoles or assistants of STRATEGIC POINTS S.A.S. are Data Subjects of their account data and exercise their rights through the channels of this Policy or of the relevant Data Controller.

Updating and technological evolution

Taking into account the ongoing evolution of Artificial Intelligence technologies, STRATEGIC POINTS S.A.S. may update its controls, procedures and governance mechanisms in order to adapt them to technological, regulatory or case-law changes or to changes arising from the instructions of the competent authorities.

Where such changes entail a substantial modification of the purposes of the Processing or require a new Authorization in accordance with the applicable legislation, STRATEGIC POINTS S.A.S. shall adopt the measures necessary to inform the Data Subject and to obtain such Authorization where appropriate.

Chapter XX

Change control

Capítulo I

Datos generales de Strategic Points S.A.S. como Responsable del Tratamiento

Capítulo II

Objetivo

El propósito de esta Política de Tratamiento de Datos Personales es establecer los principios, lineamientos, responsabilidades y mecanismos mediante los cuales Strategic Points S.A.S. garantiza la gestión adecuada, segura, transparente y lícita de los Datos Personales que trata en el desarrollo de sus actividades.

Este documento da cumplimiento al derecho constitucional de todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, de conformidad con la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y su Decreto Reglamentario 1377 de 2013.

Adicionalmente, Strategic Points S.A.S., como entidad que administra datos financieros y/o datos utilizados para el procesamiento de pagos, se compromete a cumplir los estándares de seguridad definidos por el Payment Card Industry Data Security Standard (PCI DSS), integrándolos como parte de este marco para el Tratamiento y la protección de los Datos Personales. La compañía adopta prácticas de seguridad reforzadas orientadas a proteger los datos financieros, prevenir el fraude, garantizar el almacenamiento seguro de la información sensible y mantener controles continuos de acceso, cifrado, monitoreo y respuesta.

Este objetivo comprende, por tanto, tres líneas estratégicas de acción:

1. Garantizar los derechos de los Titulares y el estricto cumplimiento de la normativa colombiana de protección de Datos Personales.
2. Integrar estándares internacionales de seguridad, en particular PCI DSS, en la administración de datos personales y financieros.
3. Promover una cultura de seguridad y privacidad, asegurando que todos los empleados, proveedores y terceros que intervienen en el Tratamiento cumplan los controles y obligaciones descritos en esta Política.

Esta política busca, en esencia, asegurar un entorno de privacidad, seguridad y confianza en todos los procesos corporativos que involucren Datos Personales, incluidos los relativos a servicios financieros, comercio electrónico, transacciones y procesamiento de pagos.

Capítulo III

Alcance

Esta política se aplica a:

• Empleados, extrabajadores y candidatos.
• Clientes, usuarios y titulares de información financiera.
• Proveedores, contratistas, aliados estratégicos y terceros.
• Visitantes y cualquier persona natural cuyos datos sean tratados.
• Todas las instalaciones físicas, sistemas tecnológicos, procesos, canales y medios utilizados para el Tratamiento de Datos Personales.

Incluye todas las bases de datos administradas por la compañía, así como las gestionadas por Encargados del Tratamiento en virtud de una relación contractual.

Capítulo IV

Marco normativo

Esta política se fundamenta en:

• Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia).
• Decreto 1377 de 2013 (reglamentario de la Ley 1581 de 2012) – Reglamentación parcial de la Ley 1581.
• Pronunciamientos y lineamientos de la Superintendencia de Industria y Comercio (SIC, autoridad de protección de datos de Colombia).
• Registro Nacional de Bases de Datos (RNBD), cuando aplique.
• PCI DSS, aplicable a las organizaciones que procesan, transmiten o almacenan datos de tarjetas de pago.

Capítulo V

Definiciones

Se adoptan las definiciones de la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y de su Decreto 1377 de 2013, incluyendo:

1. Aviso de Privacidad: Comunicación verbal o escrita generada por el Responsable del Tratamiento, dirigida al Titular de los Datos Personales, mediante la cual se le informa de manera clara y expresa sobre la existencia de las políticas de Tratamiento de la información, la forma de acceder a ellas y las finalidades específicas para las que se tratarán los datos.
2. Titular: Persona natural cuyos Datos Personales son objeto de Tratamiento por parte de la organización, con derecho a conocer, actualizar, rectificar y suprimir dicha información de conformidad con la Ley 1581 de 2012.
3. Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
4. Dato Público: Dato que no es semiprivado, privado o sensible. Corresponde, entre otros, al estado civil, la profesión u oficio o la calidad de comerciante o de servidor público.
5. Dato Privado: Información que, por su naturaleza íntima o reservada, solo es relevante para el Titular.
6. Dato Semiprivado: Información que no es de naturaleza íntima, reservada ni pública, y cuyo conocimiento puede interesar al Titular y a cierto sector o grupo de personas.
7. Dato Sensible: Dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación. Ejemplos: origen racial, orientación sexual, datos biométricos, salud.
8. Dato Financiero o Transaccional: Información relativa a medios de pago, tarjetas, historiales de compra o transacciones electrónicas protegida por los estándares PCI DSS.
9. Responsable del Tratamiento: Persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento.
10. Encargado del Tratamiento: Persona natural o jurídica que realiza el Tratamiento de datos por cuenta del Responsable del Tratamiento.
11. Autorización: Consentimiento previo, expreso e informado del Titular para el Tratamiento.
12. Tratamiento: Cualquier operación sobre Datos Personales: recolección, almacenamiento, uso, circulación o supresión.
13. Base de Datos: Conjunto organizado de Datos Personales objeto de Tratamiento.
14. Transferencia de Datos: Envío de datos a otro Responsable del Tratamiento, dentro o fuera del país.
15. Transmisión de Datos: Tratamiento de datos por un Encargado del Tratamiento con el fin de ejecutar las instrucciones del Responsable del Tratamiento.
16. RNBD (Registro Nacional de Bases de Datos): Directorio público administrado por la SIC (autoridad de protección de datos de Colombia) en el que deben inscribirse las bases de datos que cumplan los criterios legales.

Capítulo VI

Principios que rigen el Tratamiento

Los principios definidos en este Capítulo constituyen el marco fundamental bajo el cual Strategic Points S.A.S. realiza el Tratamiento de Datos Personales:

1. Principio de legalidad: El Tratamiento de Datos Personales es una actividad regulada y solo puede realizarse en la forma permitida por la ley. Ningún Dato Personal puede ser tratado sin observar lo dispuesto en la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y las normas que la desarrollan.
2. Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima, explícita e informada, conforme a la Constitución y a la ley. Toda finalidad debe comunicarse previamente al Titular mediante una Autorización, un Aviso de Privacidad o mecanismos equivalentes.
3. Principio de libertad: El Tratamiento solo puede ejercerse con la Autorización previa, expresa e informada del Titular, salvo excepciones legales. No se permite el uso de medios engañosos o fraudulentos para obtener la Autorización.
4. Principio de veracidad o calidad: Los datos deben ser veraces, completos, exactos, actualizados, comprobables y comprensibles. Debe evitarse el Tratamiento de datos parciales, fraccionados o que induzcan a error.
5. Principio de transparencia: Debe garantizarse al Titular el derecho de obtener información sobre la existencia y el uso de sus datos, en cualquier momento y sin restricciones.
6. Principio de acceso y circulación restringida: El Tratamiento solo puede ser realizado por personas autorizadas, y los Datos Personales no pueden estar disponibles en internet ni en medios masivos de comunicación, salvo que el acceso sea controlado y autorizado por el Titular.
7. Principio de seguridad: El Responsable y los Encargados del Tratamiento deben adoptar medidas técnicas, humanas y administrativas para proteger los datos contra pérdida, acceso no autorizado, alteración, uso indebido o fraude. Este principio se refuerza en el caso de los datos financieros, aplicando los controles PCI DSS como parte del modelo de protección.
8. Principio de confidencialidad: Toda persona que intervenga en el Tratamiento de datos debe respetar la confidencialidad de la información, incluso después de terminada su relación contractual o laboral.
9. Principio de responsabilidad demostrada: Derivado del Decreto 1377 de 2013, el Responsable del Tratamiento debe poder demostrar, mediante evidencia documental, que implementa buenas prácticas, controles y medidas de cumplimiento en protección de datos. Esto incluye políticas, auditorías, procedimientos, monitoreo y formación continua.
10. Principio de necesidad y proporcionalidad: Solo se tratarán los datos estrictamente necesarios para cumplir las finalidades informadas. Está prohibida la recolección de datos excesivos o ajenos a la actividad o al servicio ofrecido.
11. Principio de temporalidad y conservación: Los Datos Personales solo se conservarán durante el tiempo necesario para cumplir las finalidades del Tratamiento o los requerimientos legales, contractuales o regulatorios. Cuando los datos dejen de ser necesarios, se suprimirán o anonimizarán.

Capítulo VII

Finalidades del Tratamiento

Capítulo VIII

Autorización del Titular

En cumplimiento de lo dispuesto en la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia), que establece que el Tratamiento de Datos Personales solo puede realizarse con la Autorización previa, expresa e informada del Titular, salvo las excepciones legales aplicables, y de conformidad con lo previsto en el Decreto 1377 de 2013, que regula los requisitos mínimos que debe contener dicha Autorización, Strategic Points S.A.S. informa que el Tratamiento de los Datos Personales recolectados en el desarrollo de sus actividades solo se realizará una vez que el Titular haya otorgado su consentimiento de manera inequívoca, verificable y demostrable.

La Autorización constituye un consentimiento libre, previo, específico, informado y expreso, otorgado por el Titular a favor de Strategic Points S.A.S., por medios escritos, electrónicos, digitales o verbales, o por cualquier mecanismo que asegure su conservación y posterior consulta. Dicha Autorización faculta a la entidad para recolectar, almacenar, consultar, usar, circular, procesar, transmitir, transferir y suprimir Datos Personales conforme a las finalidades definidas en esta Política, con pleno cumplimiento de los principios de legalidad, finalidad, libertad, veracidad, transparencia, seguridad, acceso restringido y confidencialidad establecidos por la normativa aplicable.

Strategic Points S.A.S. garantiza que, al solicitar la Autorización, informa al Titular de manera clara y comprensible sobre:

• La identidad y los datos de contacto del Responsable del Tratamiento.
• El carácter obligatorio o facultativo de los datos solicitados.
• Las finalidades específicas del Tratamiento, incluidas las operativas, contractuales, comerciales, administrativas, laborales, de seguridad, de cumplimiento regulatorio y las derivadas de obligaciones legales.
• Los derechos que le asisten al Titular, en particular los derechos a conocer, actualizar, rectificar y suprimir la información, a revocar la Autorización y a presentar quejas ante la Superintendencia de Industria y Comercio (SIC, autoridad de protección de datos de Colombia).
• La naturaleza sensible, pública, privada o semiprivada de los datos recolectados, cuando aplique.
• Las Transferencias y Transmisiones de Datos nacionales o internacionales que puedan realizarse, en los términos permitidos por la ley.
• La existencia y ubicación de esta Política y los canales dispuestos para consultas y reclamos.

La Autorización se conserva durante el tiempo que sea necesario para las finalidades del Tratamiento o mientras subsista una relación contractual, comercial, laboral o de cualquier otra índole entre el Titular y la compañía. Terminada dicha relación, los datos solo serán objeto de Tratamiento para fines legales, regulatorios o contractuales que exijan su conservación, o serán suprimidos, anonimizados o archivados bajo medidas de seguridad reforzadas.

Cuando el Tratamiento involucre datos financieros o transaccionales o cualquier información asociada a medios de pago, la Autorización otorgada por el Titular cubre el uso de la información conforme a los estándares establecidos por el Payment Card Industry Data Security Standard (PCI DSS), que fija controles de seguridad obligatorios para la protección de los datos de tarjetas, incluyendo cifrado, tokenización, monitoreo y restricciones de almacenamiento, con el fin de prevenir el fraude, el acceso indebido y las violaciones de confidencialidad.

La compañía advierte que el Titular puede solicitar en cualquier momento la revocatoria total o parcial de la Autorización, siempre que no exista un deber legal o contractual que lo impida. Las solicitudes relativas al ejercicio de los derechos de Habeas Data se tramitarán conforme a los procedimientos descritos en esta Política y dentro de los plazos establecidos por el régimen legal aplicable.

Con esta Autorización, Strategic Points S.A.S. reafirma su compromiso de realizar un Tratamiento lícito, proporcional, seguro y transparente, orientado a la protección integral de los Datos Personales confiados por sus Titulares.

Capítulo IX

Tratamiento de Datos Personales

Esta Política de Tratamiento de Datos Personales establece los lineamientos y obligaciones que Strategic Points S.A.S. debe observar para garantizar un tratamiento lícito, transparente y seguro de la información personal que administra, en cumplimiento de la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y su Decreto Reglamentario 1377 de 2013.

Es de obligatorio cumplimiento para todos los empleados, contratistas, proveedores y terceros que tengan acceso a Datos Personales en el ejercicio de sus funciones o actividades, y se aplica a todos los sistemas, procesos, canales y medios físicos o digitales en los que se trate información personal, incluidos los entornos en los que se gestiona información financiera bajo los estándares PCI DSS.

Esta política define los principios que orientan el tratamiento, las finalidades aplicables, los derechos de los Titulares, los procedimientos para su ejercicio, las responsabilidades internas y las medidas de seguridad implementadas. Su cumplimiento garantiza la protección de la información, el cumplimiento normativo y la preservación de la confianza depositada por los Titulares.

Como excepción a lo anterior, Strategic Points S.A.S. podrá conservar Datos Personales cuando ello sea necesario para cumplir una obligación legal o contractual.

Cuando Strategic Points S.A.S. deba tratar Datos Sensibles, es decir, información que pueda afectar la intimidad del Titular o que, de ser usada indebidamente, pueda generar algún tipo de discriminación, dichos datos serán protegidos conforme a las disposiciones y restricciones establecidas por la ley. La compañía se compromete a cumplir las medidas de seguridad físicas y digitales aquí definidas, diseñadas para garantizar la protección de este tipo de datos.

I. Habeas Data

El Titular tendrá en todo momento el derecho de ejercer las facultades conferidas por el Habeas Data, de conformidad con lo dispuesto en la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto 1377 de 2013 y las demás disposiciones que regulen la materia.

En virtud de este derecho, el Titular podrá acceder, conocer, actualizar, rectificar y suprimir sus Datos Personales, así como revocar la Autorización otorgada para su Tratamiento, cuando ello proceda conforme a la normativa aplicable. Strategic Points S.A.S. garantizará el ejercicio pleno y efectivo de tales derechos mediante los procedimientos internos establecidos para la atención de consultas y reclamos relativos al Tratamiento de información personal.

II. Tratamiento de datos personales de menores

Regla general: El tratamiento de datos de menores se realizará únicamente cuando responda y respete su interés superior y asegure el respeto de sus derechos fundamentales.

Reglas internas obligatorias:

1. Finalidad reforzada y mínima: recolectar solo lo estrictamente necesario para la finalidad legítima.
2. Autorización: obtener la Autorización del representante legal (padre, madre o tutor) y, cuando corresponda, tener en cuenta la opinión del menor según su madurez.
3. Información clara: explicar en lenguaje sencillo el uso de los datos (al representante y, si aplica, al menor).
4. Prohibición de usos innecesarios: no usar datos de menores para fines accesorios (por ejemplo, mercadeo) salvo previa evaluación legal y Autorización expresa reforzada.
5. Seguridad reforzada: controles de acceso, registros de actividad y conservación restringida.

III. Videovigilancia

Strategic Points S.A.S. podrá realizar videovigilancia en sus instalaciones con fines legítimos como la seguridad de personas y bienes, la evidencia de incidentes, el control de acceso y el apoyo a investigaciones internas o externas, aplicando los principios de finalidad, proporcionalidad y circulación restringida.

1. Información al Titular (avisos de zona vigilada)

• Se instalarán avisos visibles que indiquen la existencia de videovigilancia en las áreas con cámaras.

2. Acceso a las grabaciones

• Acceso restringido a personal autorizado.
• Entrega a las autoridades competentes únicamente ante requerimiento válido.
• Copias solo para las finalidades descritas y con trazabilidad.

3. Conservación

• Plazo de conservación: 90 días.
• Ampliación: cuando exista un incidente, una investigación o un requerimiento legal, las grabaciones se conservarán hasta el cierre del caso.

IV. Políticas del Encargado del Tratamiento de Datos Personales

ENCARGADO DEL TRATAMIENTO es quien realiza el Tratamiento de Datos Personales por cuenta de Strategic Points S.A.S., es decir, aquel a quien Strategic Points S.A.S. confía el manejo de un conjunto de Datos Personales, ya sea que le sean entregados directamente por los Titulares o por terceros a Strategic Points S.A.S. En tal sentido, los Datos Personales entregados por Strategic Points S.A.S. se utilizarán únicamente para el encargo confiado y de acuerdo con los lineamientos establecidos.

Reglas para el Encargado del Tratamiento

El Encargado del Tratamiento deberá:

1. Tratar los datos únicamente conforme a las instrucciones del Responsable del Tratamiento y para las finalidades autorizadas.
2. Implementar medidas técnicas, humanas y administrativas de seguridad y confidencialidad.
3. No subcontratar sin la autorización previa y escrita del Responsable del Tratamiento (o sin una cláusula habilitante).
4. Apoyar la atención de las consultas y reclamos de los Titulares y la gestión de incidentes.
5. Mantener registros y evidencia de cumplimiento.

En virtud de lo anterior, EL ENCARGADO DEL TRATAMIENTO se obliga con Strategic Points S.A.S. a verificar el estado de entrega de los Datos Personales, así como a proveer las medidas de seguridad necesarias para salvaguardar la seguridad de los datos conforme a las medidas establecidas en esta Política de Seguridad. Es deber de EL ENCARGADO DEL TRATAMIENTO ejercer la máxima diligencia en el desempeño de su labor respecto de la protección y seguridad de los Datos Personales, tanto en bases de datos digitales como físicas.

Capítulo X

Revocatoria y/o supresión de datos

Los Titulares tienen derecho a solicitar en cualquier momento la revocatoria de la Autorización otorgada para el Tratamiento de sus Datos Personales o la supresión de la información, de conformidad con la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia). Este derecho aplica cuando el Titular considere que no se respetan los principios, derechos o garantías legales aplicables.

La revocatoria puede ser total, cuando el Titular desee que cese todo tratamiento, o parcial, cuando el Titular solo desee limitar ciertas finalidades como las comunicaciones comerciales o los usos no esenciales. En todo caso, la solicitud se tramitará mediante el procedimiento de reclamos regulado por el Decreto 1377 de 2013.

La supresión de datos implica la eliminación total o parcial de la información, siempre que sea técnica y legalmente posible. Aplica cuando los datos ya no sean necesarios para las finalidades para las que fueron recolectados o cuando el Titular decida ejercer este derecho, salvo que exista una obligación legal que impida la eliminación.

Las solicitudes deberán presentarse a través de los canales oficiales definidos por Strategic Points S.A.S. e incluir la identificación del Titular, una descripción clara de la solicitud y los documentos que acrediten su legitimación. La organización responderá dentro de los plazos establecidos para los reclamos por el Decreto 1377 de 2013.

Una vez recibida la solicitud, Strategic Points S.A.S. verificará la identidad del solicitante, evaluará su procedencia legal y determinará si existen obligaciones que exijan conservar la información. Cuando la solicitud sea procedente, se ejecutarán las acciones técnicas y administrativas necesarias para cesar el Tratamiento o suprimir los datos.

Finalmente, la organización informará al Titular la decisión adoptada y confirmará la ejecución de la revocatoria o la supresión. También notificará a los Encargados del Tratamiento la obligación de realizar las mismas acciones, conforme a lo dispuesto en el Decreto 1377.

Capítulo XI

Derechos de los Titulares

Los Titulares, de conformidad con la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y sus normas reglamentarias, tienen los siguientes derechos:

1. Conocer, actualizar y rectificar sus Datos Personales, procurando que la información sea veraz, completa, exacta y actualizada.
2. Solicitar prueba de la Autorización otorgada para el Tratamiento de sus Datos Personales, salvo cuando la ley no exija Autorización.
3. Ser informados sobre el uso que Strategic Points S.A.S. ha dado a sus Datos Personales, previa solicitud.
4. Presentar consultas y reclamos relacionados con sus datos, los cuales serán atendidos dentro de los términos y plazos establecidos por el Decreto 1377 de 2013.
5. Solicitar la supresión de sus datos cuando no se respeten los principios, derechos o garantías legales, o cuando los datos ya no sean necesarios para la finalidad para la que fueron recolectados, con las excepciones previstas por la ley.
6. Revocar la Autorización otorgada para el Tratamiento de sus Datos Personales, total o parcialmente, siempre que ninguna obligación legal o contractual exija su conservación.
7. Acceder de forma gratuita a sus Datos Personales, al menos una vez al mes o cada vez que haya modificaciones sustanciales de la política de Tratamiento.

Los canales disponibles en Strategic Points S.A.S. para el ejercicio de los derechos de los Titulares se describen en el Capítulo XII de esta Política.

Capítulo XII

Procedimiento para consultas y reclamos

Strategic Points S.A.S. garantizará a los Titulares el ejercicio de sus derechos mediante procedimientos accesibles y oportunos, alineados con la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y el Decreto 1377 de 2013.

1. Canales disponibles

Los Titulares podrán presentar consultas y reclamos a través de los canales oficiales definidos por Strategic Points S.A.S., que se ponen a su disposición de la siguiente manera:

• A través del correo electrónico: notificaciones@linextravel.com
• Instalaciones físicas de Strategic Points S.A.S.: Carrera 43A No. 1A Sur – 69, Oficina 101, Medellín, Antioquia, Colombia

2. Consultas

• Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en las Bases de Datos de Strategic Points S.A.S.
• En su calidad de Responsable del Tratamiento, Strategic Points S.A.S. suministrará a los Titulares o a sus causahabientes toda la información contenida en su registro individual o vinculada con su identificación.
• Las consultas se formularán a través de los canales habilitados por Strategic Points S.A.S. para tal fin, descritos en el numeral 1 de este Capítulo.
• Strategic Points S.A.S. responderá la consulta en un plazo máximo de diez (10) días hábiles contados a partir de la fecha de su recibo.
• Si Strategic Points S.A.S. no pudiera emitir respuesta dentro del plazo inicial, informará al solicitante los motivos de la demora y señalará la nueva fecha de respuesta, que no podrá superar los cinco (5) días hábiles adicionales al vencimiento del plazo original.

3. Reclamos

Los Titulares o sus causahabientes que consideren que la información contenida en las Bases de Datos de Strategic Points S.A.S. debe ser objeto de corrección, actualización o supresión, o que adviertan un presunto incumplimiento de las obligaciones establecidas por la ley, podrán presentar un reclamo ante Strategic Points S.A.S., en su calidad de Responsable del Tratamiento. Dicho reclamo se tramitará conforme a las siguientes reglas:

• El reclamo se presentará mediante solicitud escrita dirigida a Strategic Points S.A.S., con la identificación del Titular, la descripción detallada de los hechos que dan lugar al reclamo, la dirección de contacto y los documentos que se quieran hacer valer.
• La solicitud deberá acompañarse de copia del documento de identidad del Titular.
• El reclamo se presentará a través de los canales habilitados por Strategic Points S.A.S. para tal fin, descritos en el numeral 1 de este Capítulo.
• Si el reclamo resulta incompleto, Strategic Points S.A.S. requerirá al interesado, dentro de los cinco (5) días hábiles siguientes a su recepción, para que subsane las fallas.
• Si transcurren dos (2) meses desde el requerimiento sin que el solicitante presente la información requerida, Strategic Points S.A.S. entenderá que ha desistido del reclamo.
• Si quien recibe el reclamo no es competente para resolverlo, lo trasladará a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
• Una vez recibido el reclamo completo, Strategic Points S.A.S. incluirá en la Base de Datos una leyenda que diga “reclamo en trámite” y el motivo de este, en un término de dos (2) días hábiles. Dicha anotación se mantendrá hasta que el reclamo sea decidido.
• El término máximo para que Strategic Points S.A.S. atienda el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
• Si Strategic Points S.A.S. no pudiera emitir la respuesta dentro del término establecido, informará al interesado los motivos de la demora y señalará la nueva fecha de respuesta, que no podrá superar los ocho (8) días hábiles adicionales al vencimiento del plazo inicial.

Capítulo XIII

Deberes del Responsable del Tratamiento

Strategic Points S.A.S. declara que actúa como Responsable del Tratamiento de los Datos Personales de quienes están incluidos en sus Bases de Datos, y que cuando actúe como Encargado del Tratamiento lo manifestará expresamente.

Strategic Points S.A.S., en su calidad de Responsable del Tratamiento de Datos Personales, cumplirá los siguientes deberes establecidos por la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia) y su normativa reglamentaria:

1. Garantizar al Titular el ejercicio pleno y efectivo de sus derechos, tales como conocer, actualizar y rectificar la información personal contenida en las Bases de Datos bajo su administración.
2. Solicitar y conservar copia de la Autorización otorgada por el Titular para el Tratamiento de los datos, cuando la ley lo exija, conforme a los procedimientos previstos en el Decreto 1377 de 2013.
3. Informar al Titular de manera clara, suficiente y previa sobre la finalidad del Tratamiento y los derechos que le asisten, cumpliendo el deber de información establecido en el Régimen General de Protección de Datos.
4. Conservar la información bajo condiciones de seguridad, implementando las medidas técnicas, humanas y administrativas necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado, conforme al principio de seguridad.
5. Actualizar la información cuando sea necesario y comunicar oportunamente a los Encargados del Tratamiento las novedades respecto de los datos previamente suministrados.
6. Rectificar la información incorrecta y tramitar oportunamente los reclamos presentados por los Titulares dentro de los plazos legales establecidos por el Decreto 1377 de 2013.
7. Exigir a los Encargados del Tratamiento el cumplimiento de las condiciones de seguridad y privacidad aplicables a la información, incluido el cumplimiento del contrato de transmisión de datos y de las obligaciones establecidas por la Ley 1581.
8. Informar al Titular, a su solicitud, sobre el uso dado a sus Datos Personales, garantizando la transparencia y la trazabilidad del Tratamiento realizado.
9. Informar a la Superintendencia de Industria y Comercio (SIC, autoridad de protección de datos de Colombia) las situaciones relevantes relacionadas con incidentes de seguridad o violaciones a la protección de Datos Personales, cuando así lo exija la normativa aplicable.
10. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio en su calidad de autoridad nacional de protección de Datos Personales.
11. Adoptar y mantener actualizada la Política de Tratamiento de Datos Personales, y asegurar su disponibilidad permanente para los Titulares a través de los canales institucionales establecidos.
12. Velar por la calidad de los datos, procurando que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible, en cumplimiento del principio de veracidad o calidad.

Capítulo XIV

Uso de cookies y medios digitales

1. Finalidad del uso de cookies

Strategic Points S.A.S. utiliza cookies y tecnologías similares en sus sitios web, aplicaciones y plataformas digitales con el fin de mejorar la experiencia del usuario, optimizar la navegación, permitir el correcto funcionamiento del sitio, analizar los patrones de uso y ofrecer contenido relevante. Estas prácticas se fundamentan en el principio de información y transparencia que rige el Tratamiento de Datos Personales en Colombia.

2. Tipos de cookies utilizadas

La organización podrá utilizar cookies esenciales para el funcionamiento técnico del sitio; cookies funcionales que facilitan la navegación; cookies de rendimiento para analizar el comportamiento y el uso del sitio; y cookies de mercadeo destinadas a personalizar el contenido. Cada categoría responde a una finalidad específica y respeta los principios de necesidad y proporcionalidad.

3. Autorización y configuración por parte del Titular

Al acceder a los medios digitales de Strategic Points S.A.S., se informará al usuario sobre el uso de cookies mediante un aviso visible que le permita aceptar, rechazar o configurar los tipos de cookies autorizadas, salvo las estrictamente necesarias para el funcionamiento del sitio, conforme al deber de información establecido en la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia).

4. Tratamiento de los datos recolectados mediante cookies

Los datos recolectados mediante cookies se tratarán conforme a las finalidades descritas en esta Política, aplicando medidas de seguridad para evitar el acceso no autorizado, la alteración o la pérdida, en cumplimiento del principio de seguridad y del deber de protección del Responsable del Tratamiento.

5. Uso de medios digitales, analítica y proveedores terceros

La organización utiliza herramientas de analítica web, plataformas de gestión de contenidos o servicios de terceros que implementan sus propias cookies o tecnologías de rastreo. En tales casos, Strategic Points S.A.S. verificará que dichos proveedores actúen como Encargados del Tratamiento y cumplan las medidas de protección previstas en la normativa y en los contratos de transmisión de datos.

6. Derechos del Titular respecto del uso de cookies

Los Titulares podrán solicitar información sobre el uso de tecnologías de rastreo, ejercer sus derechos de actualización, rectificación, supresión o revocatoria, y presentar consultas o reclamos a través de los canales oficiales de la organización, conforme al procedimiento descrito en esta Política y a lo dispuesto en el Decreto 1377 de 2013.

7. Actualizaciones del aviso de cookies

Strategic Points S.A.S. actualizará su aviso de cookies cada vez que se modifiquen las categorías utilizadas, las finalidades o los proveedores tecnológicos involucrados. Dichos cambios se comunicarán a través de los medios digitales institucionales, garantizando la transparencia frente a los Titulares.

Capítulo XV

Transferencia y transmisión de Datos Personales

Strategic Points S.A.S. podrá transferir o transmitir Datos Personales a terceros cuando sea necesario para el cumplimiento de sus finalidades y conforme a la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia). La transferencia implica el envío de datos a otro Responsable del Tratamiento, mientras que la transmisión corresponde al envío de datos a un Encargado del Tratamiento que actúa siguiendo las instrucciones del Responsable.

Toda Transmisión de Datos se realizará mediante un contrato de transmisión de datos, que incluirá obligaciones de seguridad, confidencialidad y limitación de uso, conforme a lo establecido en el Decreto 1377 de 2013. El Encargado del Tratamiento tratará los datos únicamente conforme a las instrucciones impartidas por Strategic Points S.A.S.

Las transferencias nacionales e internacionales solo se realizarán cuando exista Autorización previa del Titular o una base legal, y cuando el receptor garantice un nivel adecuado de protección. En todos los casos, la circulación de los datos se limitará estrictamente a las finalidades informadas y autorizadas por los Titulares.

Capítulo XVI

Modificación de la Política de Tratamiento de Datos Personales

Strategic Points S.A.S. podrá en cualquier momento modificar, actualizar o complementar esta Política de Tratamiento de Datos Personales, con el fin de alinearla con cambios regulatorios, legales o tecnológicos o con nuevas prácticas internas relativas al manejo de la información. Dichas modificaciones se realizarán cumpliendo el deber de información previsto en la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia), que exige transparencia respecto del Tratamiento de Datos Personales.

Cuando las modificaciones impliquen cambios sustanciales en las finalidades del Tratamiento, en los derechos de los Titulares o en los canales de atención, la organización informará oportunamente a los Titulares a través de los canales oficiales, incluidos los medios digitales, avisos públicos o comunicaciones directas. Este procedimiento se fundamenta en el Decreto 1377 de 2013, que establece la obligación de divulgar los cambios y mantener debidamente informados a los Titulares.

La versión actualizada de la Política estará disponible en todo momento para consulta a través de los canales institucionales definidos por Strategic Points S.A.S., garantizando su accesibilidad permanente y el pleno ejercicio de los derechos de los Titulares.

Capítulo XVII

Protocolo general en caso de violación de datos personales

En caso de una violación o incidente que comprometa Datos Personales, Strategic Points S.A.S. aplicará el protocolo general, regido por el GSI-PR-002 Procedimiento de Gestión de Incidentes.

Capítulo XVIII

Evaluación Preliminar de Impacto de Privacidad (PIA)

Con el propósito de fortalecer la gestión de los riesgos asociados al Tratamiento de Datos Personales y asegurar el cumplimiento del marco normativo aplicable, se adopta la Evaluación Preliminar de Impacto de Privacidad (PIA, por sus siglas en inglés) como herramienta preventiva esencial. Esta evaluación permite identificar con antelación los posibles riesgos de privacidad derivados de nuevos proyectos, iniciativas o procesos que involucren el uso de Datos Personales.

La aplicación de la PIA será obligatoria en los siguientes casos:

• Cuando se diseñe un nuevo sistema, práctica, herramienta o dispositivo que recolecte y trate Datos Personales.
• Cuando se adquiera de un tercero un sistema, práctica, herramienta o dispositivo que implique la recolección y el uso de Datos Personales.

El formulario de PIA correspondiente está disponible en Microsoft Forms y deberá diligenciarse antes de iniciar cualquier desarrollo interno que involucre el Tratamiento de Datos Personales en el marco de un nuevo proyecto o iniciativa.

Capítulo XIX

Tratamiento de datos personales mediante sistemas y agentes de Inteligencia Artificial

Ámbito de aplicación

STRATEGIC POINTS S.A.S., que opera bajo las marcas Linex Travel, Linex Loyalty, Linex Trip y Linex GO (en adelante, indistintamente, STRATEGIC POINTS S.A.S.), podrá utilizar sistemas, modelos, herramientas, funcionalidades y agentes basados en inteligencia artificial, aprendizaje automático, analítica avanzada y otras tecnologías automatizadas (en adelante, conjuntamente, los “Sistemas de Inteligencia Artificial” o “Sistemas de IA”) para el desarrollo y la prestación de sus servicios, la atención de usuarios y clientes, la optimización de sus procesos internos y otras finalidades legítimas informadas previamente al Titular.

Este Capítulo regula el Tratamiento de Datos Personales realizado por STRATEGIC POINTS S.A.S., directamente o a través de Encargados del Tratamiento, mediante Sistemas de IA, y complementa las demás disposiciones de esta Política.

El Tratamiento de Datos Personales mediante Sistemas de IA se realizará de conformidad con la Constitución Política, la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia), sus decretos reglamentarios y las demás normas que las modifiquen, complementen o sustituyan, así como con las instrucciones y lineamientos de la Superintendencia de Industria y Comercio (SIC, autoridad de protección de datos de Colombia) y de otras autoridades competentes.

En particular, STRATEGIC POINTS S.A.S. sigue los lineamientos de la Circular Externa 002 de 2024 (orientación de la SIC sobre Datos Personales en sistemas de IA) de la Superintendencia de Industria y Comercio sobre el Tratamiento de Datos Personales en sistemas de inteligencia artificial. Cuando el Titular resida en una jurisdicción distinta de Colombia, o el servicio se preste en ella, el Tratamiento mediante Sistemas de IA estará además sujeto a la legislación local aplicable y a las condiciones pactadas con el Responsable del Tratamiento de dicha jurisdicción; los avisos de los agentes se presentan en el idioma del servicio e indican la norma y la autoridad aplicables.

STRATEGIC POINTS S.A.S. procurará que el diseño, la implementación y el uso de Sistemas de IA que involucren Datos Personales cumplan criterios de idoneidad, necesidad, razonabilidad y proporcionalidad en relación con la finalidad perseguida, así como los principios de privacidad desde el diseño y por defecto, seguridad, transparencia, responsabilidad demostrada y protección efectiva de los derechos de los Titulares.

Se entiende por “agente de IA” el Sistema de IA que interactúa con las personas en lenguaje natural o que ejecuta acciones en su nombre dentro de los servicios de STRATEGIC POINTS S.A.S. Los agentes de IA de STRATEGIC POINTS S.A.S. se inscriben en el registro corporativo de Sistemas y Agentes de IA de la compañía, identificado como GSI-MT-008.

Las reglas sobre gobierno, autorización, clasificación y control de los Sistemas de IA se establecen en la GSI-PO-022 Política de Gobierno y Uso de Inteligencia Artificial. Este Capítulo regula exclusivamente el Tratamiento de Datos Personales realizado mediante dichos Sistemas.

Interacción con agentes y Sistemas de Inteligencia Artificial

En el desarrollo de las actividades de STRATEGIC POINTS S.A.S., los Titulares podrán interactuar con agentes conversacionales, asistentes virtuales, herramientas automatizadas u otros Sistemas de IA dispuestos directamente por STRATEGIC POINTS S.A.S. o por terceros autorizados.

Al inicio de la interacción, y de manera clara y visible, STRATEGIC POINTS S.A.S. informará al Titular que está interactuando con un Sistema de IA o que dicho sistema interviene de manera material en la prestación del servicio.

Los Sistemas de IA podrán, según las funcionalidades habilitadas y las finalidades previamente informadas, realizar, entre otras, las siguientes actividades:

1. Atender preguntas, solicitudes, consultas o requerimientos;
2. Procesar y analizar información suministrada por el Titular;
3. Generar respuestas, contenidos, recomendaciones, resúmenes, clasificaciones o predicciones;
4. Facilitar, gestionar o automatizar procesos operativos;
5. Apoyar los procesos de atención al cliente y de servicio;
6. Personalizar funcionalidades o experiencias de acuerdo con las preferencias, características o interacciones del Titular, cuando ello haya sido autorizado;
7. Detectar errores, anomalías, riesgos de seguridad, fraude o usos indebidos;
8. Facilitar procesos internos, administrativos, comerciales, tecnológicos o de soporte;
9. Ejecutar acciones previamente solicitadas o autorizadas por el Titular, cuando la funcionalidad correspondiente lo permita; y
10. Cumplir las demás finalidades informadas en esta Política, en los Avisos de Privacidad, Autorizaciones o condiciones particulares aplicables al servicio.

Los Sistemas de IA de STRATEGIC POINTS S.A.S. podrán invocar otros Sistemas de IA o herramientas de la misma compañía para atender una solicitud. Estas interacciones se realizan dentro de la infraestructura de STRATEGIC POINTS S.A.S. o de sus Encargados del Tratamiento, con la autorización delegada del usuario, limitadas al alcance al que el usuario consintió y a los permisos que ya posee, y quedan registradas para fines de auditoría.

Datos Personales tratados mediante Sistemas de IA

Según el servicio utilizado y la interacción del Titular, los Sistemas de IA podrán tratar las categorías de Datos Personales previstas en esta Política y, en particular:

1. Datos de identificación y contacto;
2. Información suministrada por el Titular mediante instrucciones, consultas o prompts;
3. Conversaciones, chats y mensajes intercambiados con agentes o asistentes;
4. Documentos, fotografías, imágenes, archivos u otros contenidos que el Titular decida suministrar;
5. Grabaciones de voz y sus correspondientes transcripciones, cuando esta funcionalidad esté habilitada;
6. Información relativa a solicitudes, operaciones, transacciones, reservas, servicios o procesos gestionados mediante los Sistemas de IA;
7. Datos técnicos, registros de actividad, logs, metadatos, información del dispositivo y datos asociados al uso de la plataforma o del servicio;
8. Información generada como resultado de la interacción con el Sistema de IA; y
9. Los demás Datos Personales que sean necesarios y pertinentes para el cumplimiento de las finalidades previamente informadas al Titular.

STRATEGIC POINTS S.A.S. aplicará criterios de minimización y procurará que los Datos Personales tratados sean adecuados, pertinentes y necesarios en relación con las finalidades para las que se utilizan.

Datos de medios de pago

Los Sistemas de IA de STRATEGIC POINTS S.A.S. no solicitan, capturan, almacenan ni procesan el número completo de las tarjetas de pago, sus fechas de vencimiento ni sus códigos de seguridad. Los pagos se realizan exclusivamente a través de pasarelas y proveedores certificados bajo el estándar PCI DSS (Payment Card Industry Data Security Standard), mediante formularios o enlaces seguros externos a la conversación. Si un Titular ingresara datos de tarjeta en una conversación, dichos datos se enmascaran automáticamente antes de ser almacenados y no se conservan en los registros del agente. Los agentes podrán informar el estado de una transacción (aprobada, pendiente, rechazada) y los últimos cuatro dígitos del medio de pago cuando sea necesario para atender la solicitud.

Finalidades del Tratamiento mediante Sistemas de IA

Los Datos Personales tratados mediante Sistemas de IA podrán utilizarse exclusivamente para las finalidades autorizadas por el Titular o permitidas por la legislación aplicable, incluyendo, según corresponda:

1. Prestar, operar y administrar los servicios solicitados;
2. Gestionar las interacciones entre los Titulares y los agentes o Sistemas de IA;
3. Atender consultas, solicitudes, quejas, reclamos y requerimientos;
4. Generar respuestas, recomendaciones, análisis o contenidos relacionados con el servicio;
5. Procesar y ejecutar solicitudes o transacciones iniciadas o autorizadas expresamente por el Titular;
6. Verificar información y validar transacciones;
7. Prevenir y detectar fraude, accesos no autorizados, incidentes de seguridad y comportamientos anómalos;
8. Realizar monitoreo técnico, diagnóstico, soporte, mantenimiento y resolución de errores;
9. Evaluar el funcionamiento, la calidad, la seguridad, el desempeño y la confiabilidad de los Sistemas de IA;
10. Mejorar la experiencia de usuario y las funcionalidades de los servicios;
11. Cumplir obligaciones legales, regulatorias y contractuales y los requerimientos de las autoridades competentes; y
12. Perseguir las demás finalidades que se informen y autoricen expresamente conforme al régimen de protección de Datos Personales.

Los Datos Personales no se utilizarán para finalidades incompatibles con las informadas al Titular, salvo que exista una nueva base legal o se obtenga la Autorización correspondiente cuando esta sea necesaria.

Tratamiento para la operación, el monitoreo y la mejora de los Sistemas de IA

STRATEGIC POINTS S.A.S. podrá tratar información derivada del uso de sus Sistemas de IA con el fin de asegurar su correcto funcionamiento, seguridad, soporte, monitoreo, evaluación de desempeño, detección y corrección de errores y mejora técnica de los servicios.

Cuando sea razonablemente posible, estas actividades utilizarán datos agregados, anonimizados o seudonimizados, o datos sometidos a otras técnicas que reduzcan los riesgos para los Titulares.

La anonimización tendrá por objeto impedir razonablemente que la información vuelva a asociarse con una persona natural identificada o identificable.

El uso de Datos Personales para la operación, el monitoreo o la mejora técnica de un servicio no implicará automáticamente Autorización para el entrenamiento de modelos de Inteligencia Artificial con fines distintos. El entrenamiento, reentrenamiento o ajuste fino de modelos con Datos Personales estará sujeto a las reglas de la sección siguiente.

Entrenamiento, validación y ajuste fino de modelos de Inteligencia Artificial

STRATEGIC POINTS S.A.S. no entrena, reentrena ni ajusta modelos de Inteligencia Artificial con Datos Personales de los Titulares. Los Sistemas de IA utilizan modelos suministrados por proveedores tecnológicos bajo condiciones contractuales empresariales que prohíben utilizar la información de STRATEGIC POINTS S.A.S. y de sus Titulares para entrenar los modelos del proveedor.

Si en el futuro STRATEGIC POINTS S.A.S. pretendiera utilizar Datos Personales para entrenar, reentrenar, validar, ajustar o desarrollar modelos de Inteligencia Artificial, evaluará previamente la finalidad, la necesidad, la proporcionalidad y la base legal del Tratamiento.

En tales casos:

1. Se dará preferencia, cuando sea técnica y razonablemente viable, al uso de datos anonimizados, agregados, seudonimizados o sintéticos;
2. El Tratamiento responderá a una finalidad legítima, específica e informada;
3. Cuando la ley exija la Autorización del Titular, esta cubrirá la finalidad correspondiente;
4. No se utilizarán Datos Sensibles ni Datos Personales de niños, niñas y adolescentes para el entrenamiento de modelos, salvo que exista una base legal suficiente, la finalidad sea legítima y necesaria y se implementen las salvaguardas reforzadas que exija la legislación aplicable;
5. STRATEGIC POINTS S.A.S. procurará mantener una trazabilidad razonable de las fuentes y categorías de información utilizadas y de las medidas de protección adoptadas; y
6. Se establecerán medidas para prevenir usos incompatibles, accesos no autorizados, reidentificaciones indebidas e impactos desproporcionados sobre los derechos de los Titulares.

STRATEGIC POINTS S.A.S. no considerará que el simple hecho de que un Titular utilice un agente o herramienta de IA constituya, por sí mismo, Autorización para usar sus Datos Personales en el entrenamiento de modelos generales con fines distintos de la prestación del servicio.

Datos Sensibles e información de niños, niñas y adolescentes

El Titular se abstendrá de suministrar voluntariamente, a través de agentes o Sistemas de IA, Datos Sensibles que no sean necesarios para la prestación del servicio.

Cuando sea necesario tratar Datos Sensibles, STRATEGIC POINTS S.A.S. aplicará las reglas y garantías especiales previstas en la legislación colombiana, incluyendo informar al Titular que el suministro de tales datos es facultativo y obtener la Autorización correspondiente cuando se requiera.

Cuando la prestación de un servicio de viaje requiera datos relativos a la salud o a necesidades especiales de asistencia del Titular o de sus acompañantes (movilidad reducida, condiciones médicas relevantes para el viaje, requerimientos alimentarios), el agente indicará que el suministro de tales datos es facultativo, solicitará Autorización explícita para esa finalidad específica y limitará su uso a la atención de dicha solicitud, sin emplearlos para elaborar perfiles ni para comunicaciones comerciales.

Los Sistemas de IA solo podrán tratar Datos Personales de niños, niñas y adolescentes cuando tales datos sean necesarios para prestar el servicio solicitado por su representante legal (por ejemplo, como pasajeros o beneficiarios de una reserva), con la Autorización de este y conforme al interés superior del menor según la legislación colombiana. Los Sistemas de IA no están dirigidos a menores, no elaboran perfiles de ellos ni les envían comunicaciones comerciales, y no utilizan sus datos para el entrenamiento de modelos.

Decisiones, recomendaciones y elaboración de perfiles mediante Sistemas de IA

STRATEGIC POINTS S.A.S. podrá utilizar Sistemas de IA para generar análisis, clasificaciones, perfiles, puntajes, predicciones o recomendaciones que apoyen la prestación de sus servicios o la adopción de ciertas decisiones, siempre dentro de las finalidades legítimamente autorizadas.

Cuando un Sistema de IA tenga un papel material en una decisión susceptible de producir consecuencias jurídicas o efectos significativamente adversos para el Titular, STRATEGIC POINTS S.A.S. adoptará medidas razonables y proporcionadas orientadas a asegurar la transparencia, la calidad de la información y mecanismos de revisión adecuados conforme a la naturaleza y el nivel de riesgo de la decisión.

Según corresponda, tales medidas podrán incluir:

1. Informar al Titular sobre el uso material de mecanismos automatizados;
2. Proporcionar información comprensible sobre los principales criterios tenidos en cuenta, siempre que ello no implique revelar secretos empresariales, propiedad intelectual, información que comprometa la seguridad del sistema u otros derechos legítimamente protegidos;
3. Implementar mecanismos de supervisión o intervención humana cuando la naturaleza, la materialidad o el nivel de riesgo de la decisión lo justifiquen;
4. Permitir al Titular aportar información adicional, solicitar la revisión de un resultado o presentar un reclamo a través de los canales establecidos por STRATEGIC POINTS S.A.S.;
5. Adoptar medidas razonables para prevenir resultados discriminatorios o derivados de información manifiestamente inexacta o desactualizada; y
6. Evaluar periódicamente, cuando sea pertinente, la calidad y la confiabilidad de los sistemas utilizados.

Cuando el Sistema de IA se limite a generar recomendaciones u orientaciones y la decisión final corresponda a una persona o a un sistema transaccional independiente, STRATEGIC POINTS S.A.S. podrá informarlo al Titular cuando ello sea relevante para comprender cómo opera el servicio.

Las ofertas y comunicaciones comerciales generadas con apoyo de Sistemas de IA se dirigen únicamente a los Titulares que hayan autorizado el Tratamiento con fines de mercadeo, se identifican como comunicaciones comerciales y ofrecen un mecanismo sencillo para dejar de recibirlas. La segmentación se realiza preferiblemente sobre datos agregados o seudonimizados.

Acciones ejecutadas por agentes de Inteligencia Artificial

Ciertos agentes de IA podrán estar habilitados técnicamente para ejecutar acciones relacionadas con los servicios de STRATEGIC POINTS S.A.S., tales como consultar información, tramitar solicitudes, realizar búsquedas, completar información, generar comunicaciones, realizar modificaciones o iniciar o completar operaciones autorizadas.

Ningún agente de IA ejecuta una acción con efectos económicos, contractuales o laborales sobre un Titular, ni modifica una operación existente, sin la confirmación explícita de la persona autorizada dentro de esa misma interacción. Las acciones se ejecutan bajo la identidad y dentro de los permisos del usuario que las solicita, nunca con privilegios propios del agente, y se registran con la fecha, el usuario, el agente y el resultado. Cuando la naturaleza de la acción lo requiera, STRATEGIC POINTS S.A.S. implementará adicionalmente mecanismos de autenticación, validación y escalamiento a atención humana. STRATEGIC POINTS S.A.S. clasifica cada agente dentro de un nivel de autonomía (observador, proponente o ejecutor limitado) y registra dicho nivel en su registro corporativo de Sistemas de IA.

Las operaciones que requieran información oficial, definitiva o transaccional se validarán, cuando corresponda, contra los sistemas, bases de datos, APIs, plataformas o fuentes autorizadas que constituyan la fuente oficial de esa operación.

Supervisión humana y escalamiento

STRATEGIC POINTS S.A.S. podrá establecer mecanismos de intervención humana o escalamiento cuando, atendiendo a la naturaleza del servicio y al nivel de riesgo:

1. El Titular solicite atención humana;
2. El Sistema de IA no pueda atender razonablemente una solicitud;
3. Exista una falla de autenticación o de validación;
4. Se detecte una inconsistencia o un posible error capaz de afectar materialmente al Titular;
5. La operación pueda generar consecuencias legales, financieras o igualmente materiales que justifiquen una validación adicional; o
6. Exista un reclamo, un incidente de seguridad o un riesgo significativo para los derechos del Titular.

La existencia de un Sistema de IA no impedirá que el Titular utilice los canales de atención, consulta y reclamo previstos en esta Política.

Naturaleza de los resultados generados por Inteligencia Artificial

STRATEGIC POINTS S.A.S. informa que ciertos Sistemas de IA utilizan modelos de naturaleza probabilística y que, en consecuencia, sus resultados pueden contener variaciones, imprecisiones, inconsistencias u omisiones.

STRATEGIC POINTS S.A.S. adoptará medidas razonables y proporcionadas para procurar la calidad y la confiabilidad de los Sistemas de IA utilizados, de acuerdo con su finalidad y nivel de riesgo.

Cuando la información deba provenir de una fuente oficial, contractual, transaccional o legalmente autorizada, STRATEGIC POINTS S.A.S. procurará que el Sistema de IA valide dicha información contra la fuente correspondiente antes de presentarla como definitiva.

Esta disposición no implica exclusión ni limitación alguna de los derechos que asisten a los Titulares en relación con la protección de Datos Personales ni, cuando corresponda, de los derechos reconocidos a los consumidores bajo la legislación colombiana.

Proveedores tecnológicos y Encargados del Tratamiento

Para la operación de los Sistemas de IA, STRATEGIC POINTS S.A.S. podrá contratar proveedores tecnológicos, proveedores de infraestructura, servicios en la nube, modelos de Inteligencia Artificial, APIs, herramientas de procesamiento, almacenamiento, seguridad o analítica u otros terceros que puedan actuar como Encargados del Tratamiento o subencargados, según corresponda.

Cuando tales terceros traten Datos Personales por cuenta de STRATEGIC POINTS S.A.S., esta adoptará medidas para exigir contractualmente obligaciones relativas a:

1. El Tratamiento de los Datos Personales conforme a las finalidades e instrucciones aplicables;
2. La confidencialidad y la seguridad;
3. La restricción de usos no autorizados;
4. La gestión y el reporte de incidentes de seguridad;
5. La conservación, devolución o supresión de la información, según corresponda;
6. El cumplimiento de la legislación aplicable sobre protección de Datos Personales; y
7. Las demás obligaciones que correspondan según su intervención en el Tratamiento.

Cuando corresponda, STRATEGIC POINTS S.A.S. establecerá restricciones al uso de Datos Personales para el entrenamiento de los modelos generales de los proveedores tecnológicos, salvo que exista una finalidad legítima y la base legal correspondiente.

Transferencia y transmisión nacional e internacional de Datos Personales

El uso de Sistemas de IA puede implicar que ciertos Datos Personales sean almacenados, alojados, procesados o consultados mediante infraestructura tecnológica ubicada dentro o fuera de Colombia.

Los Sistemas de IA se alojan y operan principalmente en la infraestructura de proveedores de nube y de modelos de Inteligencia Artificial ubicados en los Estados Unidos de América, país que la Superintendencia de Industria y Comercio considera con un nivel adecuado de protección (Circulares Externas 005 y 008 de 2017 y 002 de 2018, pronunciamientos de la SIC sobre países con nivel adecuado de protección). Estos proveedores actúan como Encargados del Tratamiento en virtud de contratos de transmisión de datos que incluyen las obligaciones descritas en esta Política. STRATEGIC POINTS S.A.S. mantiene, y pone a disposición del Titular a su solicitud, una lista actualizada de las categorías de proveedores y de los países de Tratamiento.

Las transferencias y transmisiones nacionales e internacionales de Datos Personales se realizarán conforme a la Ley 1581 de 2012, sus normas reglamentarias y las instrucciones de la Superintendencia de Industria y Comercio.

Cuando un proveedor trate información por cuenta de STRATEGIC POINTS S.A.S. en su calidad de Encargado del Tratamiento, se adoptarán los mecanismos contractuales y las medidas aplicables para regular la transmisión y proteger adecuadamente los Datos Personales.

Conservación de conversaciones, registros y logs

Las conversaciones, instrucciones, archivos, transcripciones, logs, registros de actividad y demás información asociada al uso de Sistemas de IA podrán conservarse durante el período razonablemente necesario para:

1. Prestar y soportar el servicio;
2. Mantener el contexto de la interacción cuando corresponda;
3. Resolver consultas, solicitudes, reclamos o controversias;
4. Realizar controles de monitoreo, auditoría y seguridad;
5. Detectar y gestionar incidentes;
6. Cumplir obligaciones legales, regulatorias o contractuales; y
7. Cumplir las demás finalidades legítimamente autorizadas.

Cumplida la finalidad y vencidos los plazos legales o contractuales de conservación aplicables, STRATEGIC POINTS S.A.S. procederá a su supresión, anonimización o tratamiento conforme a las reglas de conservación establecidas en esta Política.

Los plazos específicos de conservación por tipo de registro (conversaciones operativas, evaluaciones de calidad, registros técnicos y de seguridad, registros de auditoría) se determinan conforme a las reglas de conservación de esta Política y a los criterios de retención que STRATEGIC POINTS S.A.S. define para los Sistemas de IA, los cuales se revisan al menos una vez al año. Cuando un registro de auditoría deba conservarse íntegro por razones legales o de seguridad, el ejercicio del derecho de supresión se atiende mediante la seudonimización de la identidad del Titular en ese registro.

Seguridad, privacidad y segregación de la información

STRATEGIC POINTS S.A.S. implementará medidas administrativas, técnicas y organizacionales razonables y proporcionadas a la naturaleza de los Datos Personales, a las características del Sistema de IA y a los riesgos asociados al Tratamiento.

Estas medidas podrán comprender, según corresponda, controles de acceso, autenticación, gestión de permisos, segregación de la información, registros de actividad, cifrado, monitoreo, gestión de vulnerabilidades, controles de retención, mecanismos para evitar la divulgación no autorizada y procedimientos de respuesta a incidentes.

El uso de Sistemas de IA se incorporará a los procesos de gestión de riesgos de privacidad y seguridad de STRATEGIC POINTS S.A.S.

Evaluación de impacto y responsabilidad demostrada

Antes de implementar Sistemas de IA que impliquen un Tratamiento susceptible de generar riesgos materiales para los derechos de los Titulares, STRATEGIC POINTS S.A.S. evaluará razonablemente los riesgos asociados al Tratamiento y las medidas necesarias para gestionarlos.

De acuerdo con la naturaleza, el alcance, el contexto y la finalidad del Tratamiento, la evaluación podrá considerar, entre otros:

1. Las categorías y la naturaleza de los Datos Personales;
2. El número o la categoría de Titulares potencialmente afectados;
3. Las finalidades del Tratamiento;
4. El grado de automatización;
5. Los posibles efectos sobre los Titulares;
6. Los riesgos de discriminación, inexactitud, pérdida de confidencialidad o uso para finalidades incompatibles;
7. La intervención de terceros;
8. La eventual circulación internacional de la información;
9. Los mecanismos de supervisión, monitoreo y atención de reclamos; y
10. Las medidas de seguridad y mitigación disponibles.

STRATEGIC POINTS S.A.S. conservará, cuando corresponda, evidencia razonable de las evaluaciones, decisiones, controles y medidas adoptadas en el marco de su deber de responsabilidad demostrada.

Derechos de los Titulares en relación con el Tratamiento mediante Inteligencia Artificial

El uso de Sistemas de IA no limita ni modifica los derechos que asisten a los Titulares conforme a la legislación colombiana ni los previstos en esta Política.

En consecuencia, los Titulares podrán, según corresponda:

1. Conocer, actualizar y rectificar sus Datos Personales;
2. Solicitar prueba de la Autorización otorgada, salvo cuando no sea legalmente exigible;
3. Ser informados, previa solicitud, sobre el uso dado a sus Datos Personales;
4. Presentar consultas y reclamos;
5. Solicitar la supresión de sus Datos Personales o revocar la Autorización en los casos en que ello sea legalmente procedente;
6. Acceder de forma gratuita a sus Datos Personales objeto de Tratamiento; y
7. Presentar solicitudes relativas al Tratamiento de sus Datos Personales realizado mediante Sistemas de IA a través de los canales establecidos en esta Política.

Cuando un resultado automatizado pueda producir un efecto material sobre el Titular, este podrá solicitar su revisión a través de los canales de servicio establecidos por STRATEGIC POINTS S.A.S., conforme a la naturaleza del servicio y a la legislación aplicable.

Calidad y prevención de la discriminación

STRATEGIC POINTS S.A.S. adoptará medidas razonables orientadas a asegurar que los Datos Personales utilizados por los Sistemas de IA sean adecuados, pertinentes y, cuando corresponda, suficientemente exactos y actualizados para la finalidad del Tratamiento.

Asimismo, cuando los Sistemas de IA se utilicen para generar clasificaciones, perfiles, recomendaciones o decisiones con impacto material sobre las personas, STRATEGIC POINTS S.A.S. procurará implementar controles proporcionales orientados a identificar y mitigar los riesgos de resultados injustificadamente discriminatorios derivados del Tratamiento de Datos Personales.

Gobierno de los Sistemas de Inteligencia Artificial

El gobierno de los Sistemas de IA de STRATEGIC POINTS S.A.S., su registro, autorización, clasificación por nivel de riesgo, niveles de automatización permitidos, asignación de responsables, evaluación de riesgos, criterios para la contratación de proveedores tecnológicos, formación, gestión de incidentes y reglas sobre el uso interno de herramientas por parte de empleados y contratistas se rige por la GSI-PO-022 Política de Gobierno y Uso de Inteligencia Artificial, que se aplica conjuntamente con este Capítulo.

Todo Sistema de IA que trate Datos Personales se inscribe en el registro corporativo de Sistemas y Agentes de IA previsto en dicha política, GSI-MT-008 Registro de Sistemas y Agentes de Inteligencia Artificial, identificando a su responsable, las categorías de información que trata y su clasificación de riesgo. Ningún Sistema de IA trata Datos Personales de los Titulares sin autorización y registro previos.

Los empleados, contratistas y demás personas autorizadas por STRATEGIC POINTS S.A.S. solo podrán utilizar, para el Tratamiento de Datos Personales, las herramientas de IA aprobadas por la compañía, conforme a las restricciones establecidas en la GSI-PO-022, incluida la obligación de abstenerse de ingresar innecesariamente Datos Sensibles, Datos Personales de niños, niñas y adolescentes, credenciales o información sujeta a confidencialidad legal o contractual.

Tratamiento por cuenta de aliados y programas de marca blanca

Cuando los Sistemas de IA se pongan a disposición de los Titulares dentro de programas, portales o canales de aliados de negocio de STRATEGIC POINTS S.A.S. (incluidas entidades financieras, franquicias de medios de pago, programas de lealtad y destinos turísticos), el aliado actúa como Responsable del Tratamiento y STRATEGIC POINTS S.A.S. como Encargado del Tratamiento, conforme al contrato de transmisión de datos o de encargo celebrado con el aliado. En estos casos: (i) el aviso presentado por el agente identifica al aliado como Responsable del Tratamiento y a STRATEGIC POINTS S.A.S. como operador tecnológico; (ii) las finalidades, los plazos de conservación y los canales para el ejercicio de derechos son los definidos por el aliado en su propia política, y STRATEGIC POINTS S.A.S. atiende las solicitudes de los Titulares en coordinación con el aliado; y (iii) STRATEGIC POINTS S.A.S. mantiene segregación lógica de la información entre aliados y no utiliza los datos de un aliado en beneficio de otro ni para fines propios distintos de la operación, la seguridad y la mejora técnica del servicio.

Tratamiento de datos de empleados, contratistas, candidatos y personal de clientes corporativos

STRATEGIC POINTS S.A.S. podrá utilizar Sistemas de IA para apoyar la gestión de la capacidad y la asignación de sus equipos, la planeación del talento, la evaluación de la calidad del servicio prestado por sus asesores y la operación de sus procesos internos. En estos casos: (i) los empleados y contratistas son informados, en el marco de la relación laboral o contractual, de los Sistemas de IA que tratan sus datos, de las finalidades y de los criterios utilizados; (ii) no se adopta una decisión con efectos sobre la remuneración, la continuidad laboral, la promoción o el régimen disciplinario de una persona con base únicamente en un tratamiento automatizado: los resultados de los Sistemas de IA son insumos que revisa y decide una persona con competencia para ello; y (iii) la evaluación de la calidad de las conversaciones se realiza con fines de mejora del servicio y de formación, sobre muestras o criterios definidos previamente, y sus resultados se conservan durante el tiempo necesario para esos fines. El personal de clientes y aliados que utilice consolas o asistentes de STRATEGIC POINTS S.A.S. es Titular de los datos de su cuenta y ejerce sus derechos a través de los canales de esta Política o del Responsable del Tratamiento correspondiente.

Actualización y evolución tecnológica

Teniendo en cuenta la evolución permanente de las tecnologías de Inteligencia Artificial, STRATEGIC POINTS S.A.S. podrá actualizar sus controles, procedimientos y mecanismos de gobierno para adaptarlos a cambios tecnológicos, regulatorios o jurisprudenciales o a cambios derivados de las instrucciones de las autoridades competentes.

Cuando tales cambios impliquen una modificación sustancial de las finalidades del Tratamiento o requieran una nueva Autorización conforme a la legislación aplicable, STRATEGIC POINTS S.A.S. adoptará las medidas necesarias para informar al Titular y obtener dicha Autorización cuando corresponda.

Capítulo XX

Control de cambios