Inicio · Legal

Política de Tratamiento de Datos Personales

Documento del servicio catalogoapp.org, operado por MAGNA COSMETICS S.A.S., NIT 901.497.746-7, domiciliado en Bogotá D.C., Colombia.
Vigente desde 20/08/2026. Última actualización del texto: 20 de agosto de 2026.

1. Quién responde por esta política

MAGNA COSMETICS S.A.S., NIT 901.497.746-7, con domicilio y dirección de notificaciones en Carrera 50 #74-35 Piso 8, Bogotá, Colombia, Bogotá D.C., Colombia, correo electrónico [email protected] y teléfono 317 635 8438 (en adelante, el Operador), adopta esta política en cumplimiento de la Ley 1581 de 2012, del Decreto 1377 de 2013 —compilado en el Decreto 1074 de 2015— y demás normas concordantes sobre protección de datos personales en Colombia.

Esta política aplica a la plataforma de software catalogoapp.org (la Plataforma): la página pública, los catálogos de cada tienda y el panel privado.

Área responsable de la atención. El Operador designa a su área de Servicio al Cliente y Protección de Datos para atender las peticiones, consultas y reclamos relacionados con datos personales. Su canal es el correo [email protected], y su procedimiento está en la cláusula 9.

2. Los dos roles: cuándo somos Responsable y cuándo Encargado

En la Plataforma conviven dos grupos de datos personales muy distintos, y el papel del Operador cambia según el grupo. Esta distinción es la base de todo el documento:

Dicho en simple: las clientas de una tienda son clientas de esa tienda, no nuestras. El Operador no las contacta, no les hace publicidad, no las suma a ninguna lista propia y no cruza la información de una tienda con la de otra. Cada tienda ve solo lo suyo.

Cuando una Clienta Final quiera ejercer sus derechos (conocer, actualizar, rectificar o suprimir sus datos), debe dirigirse a la tienda donde dejó su información, cuyo nombre y contacto aparecen en el catálogo. Si la solicitud llega al Operador, este la trasladará a la Titular correspondiente dentro de los dos (2) días hábiles siguientes, le informará a quien la presentó que lo hizo, y acompañará su atención, sin decidir por su cuenta sobre datos que no le pertenecen.

3. Definiciones

Estas palabras significan lo mismo en los tres documentos legales de la Plataforma (esta política, los Términos y Condiciones y el Aviso de Privacidad):

• Plataforma: el servicio de software disponible en catalogoapp.org, con su página pública, los catálogos y el panel privado.
• Operador: quien presta el servicio de software, identificado en la cláusula 1.
• Titular de la Tienda (o Titular): la persona natural o jurídica que tiene una cuenta, publica un catálogo y administra su negocio a través de la Plataforma.
• Clienta Final: la persona que consulta el catálogo publicado por una Titular y, eventualmente, le solicita productos.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Titular del dato: la persona natural cuyos datos personales son objeto de tratamiento.
• Responsable del Tratamiento: quien decide sobre la base de datos y el tratamiento de los datos.
• Encargado del Tratamiento: quien realiza el tratamiento por cuenta del Responsable.
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación o supresión.
• Autorización: consentimiento previo, expreso e informado del Titular del dato.
• Aviso de privacidad: comunicación breve que informa el tratamiento y dónde consultar esta política.
• Transmisión: envío de datos a un Encargado, dentro o fuera de Colombia, para que los trate por cuenta del Responsable.
• Transferencia: envío de datos a un receptor que actúa como Responsable, dentro o fuera de Colombia.

Nota sobre las palabras: en este documento «Titular de la Tienda» es la dueña de la cuenta, y «Titular del dato» es la persona a quien pertenece un dato personal, en el sentido de la Ley 1581 de 2012.

4. Qué datos tratamos

4.1 De las Titulares de Tienda (somos Responsable)

• Identificación y contacto: nombre, correo electrónico, número de celular, ciudad.
• Datos de la tienda: nombre comercial, logo, redes sociales, nombre de la responsable del contenido.
• Datos de acceso: contraseña cifrada —que nadie, ni siquiera el Operador, puede leer—, fecha del último ingreso e intentos fallidos, con fines de seguridad.
• Datos de facturación y de pago del plan, cuando corresponda.
• Registros técnicos de uso: fecha y hora de acceso, dirección IP y tipo de navegador, con fines de seguridad y diagnóstico.

4.2 De quien pide acceso por el formulario de contacto (somos Responsable)

El acceso a la Plataforma se otorga por invitación (cláusulas 4 y 19 de los Términos y Condiciones). Quien lo solicita a través del formulario de contacto del sitio nos entrega su nombre, el nombre de su negocio, su ciudad, su número de celular y, si quiere, su correo y un mensaje. Nada de eso se publica en ninguna página.

4.3 De las Clientas Finales (somos Encargado)

• Nombre, número de celular y ciudad.
• Las notas que la clienta escriba en su pedido (por ejemplo, un punto de referencia para la entrega).
• La dirección de entrega, únicamente cuando la propia tienda la registra en su panel.
• Historial de pedidos hechos a esa tienda: productos, cantidades y totales.

La Plataforma no solicita ni requiere número de documento, datos bancarios, números de tarjeta ni información financiera de las Clientas Finales, porque no procesa pagos.

5. Para qué los usamos

Las finalidades que siguen son taxativas: fuera de ellas, y de las obligaciones legales que puedan imponerse al Operador, no se da a los datos ningún otro uso.

5.1 Datos de las Titulares de Tienda

• Crear y administrar la cuenta, y permitir el ingreso seguro al panel.
• Prestar las funciones del servicio: catálogo, pedidos, inventario y reportes.
• Enviar comunicaciones necesarias del servicio: avisos de seguridad, cambios en las condiciones, mantenimientos y soporte.
• Acordar, facturar y gestionar el cobro del plan.
• Prevenir fraudes y usos abusivos, y atender requerimientos de autoridad competente.
• Mejorar la Plataforma con base en estadísticas agregadas, que no identifican a nadie.

El envío de comunicaciones comerciales sobre otros servicios del Operador requiere autorización expresa y puede revocarse en cualquier momento, sin que ello afecte la prestación del servicio.

5.2 Datos de quien pide acceso

• Contactarla por WhatsApp, llamada o correo para explicarle el servicio y coordinar la invitación.
• Llevar el registro interno de esa solicitud y de si ya fue atendida.

Si la persona no queda vinculada, sus datos se conservan por el plazo de la cláusula 15 y luego se eliminan. Puede pedir su eliminación antes, en cualquier momento, por el canal de la cláusula 9.

5.3 Datos de las Clientas Finales

El Operador los trata únicamente para: almacenarlos de forma segura, mostrárselos a la Titular en su panel, permitirle gestionar el pedido y permitirle exportarlos. Nada más.

Las finalidades propias frente a la Clienta Final —contactarla, despachar, cobrar, fidelizar o hacerle publicidad— las define y responde la Titular de la Tienda, no el Operador.

6. Autorización: cómo se obtiene y cómo se prueba

La Titular de la Tienda autoriza el tratamiento de sus datos de forma previa, expresa e informada al enviar el formulario de contacto, al crear su cuenta y al aceptar esta política junto con los Términos y Condiciones. El Operador conserva prueba de esa autorización: la fecha y hora del envío y la versión del documento aceptado.

Respecto de las Clientas Finales, es la Titular de la Tienda quien debe obtener su autorización antes de recolectar sus datos, e informarle quién es la Responsable y para qué se usarán. Para facilitárselo, la Plataforma:

• exige marcar una casilla de autorización en el formulario del pedido, que se valida en el servidor: sin ella el pedido no se guarda;
• enlaza junto a esa casilla el aviso de privacidad de la tienda, que identifica a la Responsable; y
• guarda la fecha y hora en que se dio esa autorización, para que la Titular pueda probarla.

Aun así, la obligación legal de contar con la autorización y de conservar su prueba es de la Titular, como Responsable.

Revocatoria. Cualquier Titular del dato puede revocar su autorización, total o parcialmente, por el canal de la cláusula 9. La revocatoria y la supresión no proceden cuando exista un deber legal o contractual de conservar la información; en ese caso se informará el motivo y la norma que lo sustenta.

7. Datos sensibles y de niñas, niños y adolescentes

La Plataforma no está diseñada para tratar datos sensibles (salud, origen racial o étnico, orientación política, convicciones religiosas, vida sexual, datos biométricos) y no los solicita en ningún formulario. Nadie está obligado a suministrar datos sensibles, y su tratamiento solo procede en los casos del artículo 6 de la Ley 1581 de 2012.

Conforme al artículo 7 de la Ley 1581 de 2012, está proscrito el tratamiento de datos personales de niñas, niños y adolescentes, salvo aquellos de naturaleza pública y los que respondan a su interés superior y respeten sus derechos fundamentales. La Plataforma no está dirigida a menores de edad ni les ofrece servicios: la cuenta la abre una persona mayor de edad.

Las Titulares de Tienda se obligan a no cargar datos sensibles ni datos de menores en campos libres como las notas del pedido o las descripciones de producto. Si el Operador detecta datos de esa naturaleza, podrá solicitar su eliminación y, si el riesgo lo amerita, suprimirlos informando a la Titular.

8. Tus derechos

Toda persona cuyos datos sean tratados tiene, conforme al artículo 8 de la Ley 1581 de 2012, derecho a:

• Conocer sus datos y solicitar prueba de la autorización otorgada, salvo cuando la ley exceptúe ese deber.
• Actualizar y rectificar datos inexactos, incompletos, parciales, fraccionados o que induzcan a error.
• Solicitar la supresión de sus datos cuando el tratamiento no respete la ley, o revocar la autorización.
• Ser informada, previa solicitud, sobre el uso que se les ha dado.
• Acceder de forma gratuita a sus datos, al menos una vez cada mes calendario y cada vez que haya cambios sustanciales en esta política.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.

Estos derechos los puede ejercer el Titular del dato, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro. El Operador verificará esa calidad antes de responder, para no entregarle datos personales a quien no le corresponden.

9. Cómo ejercerlos: canal, requisitos y plazos

Canal único para radicar consultas y reclamos: el correo [email protected], atendido por el área señalada en la cláusula 1. También se reciben comunicaciones escritas en la dirección física de la cláusula 1. El teléfono de la cláusula 1 sirve para orientar sobre el trámite, pero las solicitudes se radican por escrito, para que quede constancia de su fecha y de su contenido.

La solicitud debe indicar el nombre y el documento de quien la presenta, un dato de contacto para responderle, la descripción de los hechos y lo que pide, y acompañar los documentos que quiera hacer valer. Es una petición de habeas data: no se cobra por tramitarla.

• Consultas (artículo 14 de la Ley 1581 de 2012): se atienden en un término máximo de diez (10) días hábiles contados desde su recibo. Si no es posible atenderlas dentro de ese término, se informará al interesado el motivo y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
• Reclamos (artículo 15 de la Ley 1581 de 2012): se atienden en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no es posible atenderlos dentro de ese término, se informará al interesado el motivo y la fecha en que se atenderá, que en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer plazo. Si el reclamo está incompleto, se le pedirá completarlo dentro de los cinco (5) días siguientes a su recibo; si pasan dos (2) meses sin que aporte lo pedido, se entenderá que desistió. Si quien recibe el reclamo no es competente, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de ello al interesado.

Mientras el reclamo esté en trámite, el dato objeto de discusión se marca con la leyenda «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles.

Si eres clienta de una tienda: escríbele directamente a la tienda donde dejaste tus datos, porque ella es la Responsable. Su nombre y su contacto están en el catálogo donde hiciste el pedido. Si nos escribes a nosotros, trasladaremos tu solicitud a esa tienda y te lo confirmaremos.

Antes de presentar una queja ante la Superintendencia de Industria y Comercio, la ley exige haber agotado el trámite de reclamo ante el Responsable (artículo 16 de la Ley 1581 de 2012).

10. La Titular de la Tienda como Responsable, y nuestro encargo

10.1 Deberes de la Titular

Al usar la Plataforma para recoger datos de sus Clientas Finales, la Titular de la Tienda asume, como Responsable del Tratamiento, entre otros, los siguientes deberes:

• Obtener la autorización previa, expresa e informada de sus clientas y conservar su prueba.
• Informarles quién es la Responsable, para qué usará sus datos y cómo pueden ejercer sus derechos.
• Usar los datos únicamente para las finalidades informadas: no venderlos, no cederlos y no usarlos para publicidad no autorizada.
• Mantener la información veraz y actualizada, y atender las consultas y reclamos que reciba, en los plazos de la cláusula 9.
• Mantener visible en su catálogo un canal de contacto real por donde sus clientas puedan ejercer sus derechos.
• Cuidar sus credenciales de acceso y no compartir su cuenta.
• Cumplir las demás obligaciones de la Ley 1581 de 2012, incluido el registro de sus bases de datos cuando le sea exigible.

10.2 El encargo: qué autoriza la Titular y con qué alcance

Esta cláusula, junto con los Términos y Condiciones, constituye el acuerdo de tratamiento por encargo entre la Titular (Responsable) y el Operador (Encargado), y hace las veces del contrato de transmisión de datos personales previsto en el Decreto 1377 de 2013. Su contenido es el siguiente:

• Alcance y finalidad: el Operador trata los datos de las Clientas Finales solo para alojar, mostrar, organizar, respaldar y permitir exportar la información de la tienda, según la cláusula 5.3.
• Actividades autorizadas: almacenamiento, consulta, actualización, copia de respaldo, supresión y exportación, ejecutadas a través de las funciones de la Plataforma.
• Duración: mientras esté vigente la cuenta, más el plazo de conservación de la cláusula 15.
• Instrucciones: las que la Titular imparte al usar el panel y las que envíe por el canal de la cláusula 9. El Operador no trata esos datos para fines propios.
• Subencargados: la Titular autoriza al Operador a apoyarse en los proveedores de infraestructura de la cláusula 11, incluidos los ubicados fuera de Colombia (cláusula 12), obligados por contrato a los mismos deberes.

10.3 Deberes del Operador como Encargado

Conforme al artículo 18 de la Ley 1581 de 2012, el Operador se obliga a: garantizar el acceso de la Titular a los datos; conservarlos con la seguridad necesaria para impedir su adulteración, pérdida, consulta o uso no autorizado; actualizar y rectificar oportunamente lo que la Titular le indique; tramitar las consultas y reclamos que reciba; guardar reserva sobre la información, aun después de terminada la relación; informar a la Titular cualquier incidente de seguridad que afecte esos datos; abstenerse de circularlos con terceros no autorizados; y devolverlos o suprimirlos cuando termine el encargo.

11. A quién le entregamos datos

El Operador no vende ni comercializa datos personales. Solo los comparte con:

• Proveedores de infraestructura tecnológica, que actúan como encargados bajo contrato, con obligación de confidencialidad y únicamente para prestar el servicio. Hoy son tres categorías: (i) alojamiento en la nube, base de datos y copias de respaldo; (ii) red de entrega y protección del sitio (DNS, certificados y filtrado de ataques); (iii) envío de correo transaccional interno.
• Autoridades competentes, cuando exista una solicitud legítima en ejercicio de sus funciones, y en los términos y con los límites que fija la ley.
• Asesores externos (contables, jurídicos o de auditoría), sujetos a reserva profesional, cuando sea necesario para atender una obligación legal o defender un derecho.

El Operador no comparte datos de una tienda con otra tienda. Tampoco entrega a fabricantes, marcas, distribuidores ni proveedores de mercancía ningún dato de las Clientas Finales: sus nombres, celulares, ciudades y pedidos nunca salen de la tienda donde compraron.

Conexión con tu proveedor, solo cuando tú la pides

La Plataforma incluye una función opcional para traer al inventario un pedido que la Titular ya le compró a su proveedor de mercancía. Si —y solo si— la Titular la usa, el Operador le envía a ese proveedor dos datos: el número del pedido y el celular o correo que la propia Titular escribe en el formulario, para que el proveedor pueda verificar que ese pedido es suyo antes de responder qué venía dentro. Esa consulta:

• La dispara la Titular, una por una. El Operador nunca consulta por su cuenta.
• Es de solo lectura y alcanza a un solo pedido: no permite listar pedidos, clientes ni precios del proveedor.
• No incluye ningún dato de las Clientas Finales.
• No implica que el Operador guarde claves, usuarios ni accesos a los sistemas del proveedor: no los tiene ni los pide.

Frente a ese proveedor, la Titular actúa por su cuenta y bajo su propia relación comercial; el Operador solo transporta la consulta. Si la Titular no usa esa función, no se envía nada a ningún proveedor de mercancía. Puede dejar de usarla en cualquier momento, sin que eso afecte el resto del servicio.

12. Transmisión y transferencia internacional de datos

Sí hay datos fuera de Colombia, y así se informa. La Plataforma funciona sobre infraestructura de nube contratada por el Operador: la base de datos, los archivos y las copias de respaldo se almacenan y procesan en centros de datos ubicados en los Estados Unidos de América (región del norte de Virginia) del proveedor Amazon Web Services. La entrega del sitio, los certificados y el filtrado de ataques se apoyan en la red de Cloudflare, con presencia también en los Estados Unidos de América. Ambos actúan como encargados del Operador, no como destinatarios que puedan usar la información para fines propios.

Cómo se califica y en qué se sustenta ese flujo:

• Datos de las Titulares de Tienda. El Operador es Responsable y el proveedor de nube es Encargado: la operación es una transmisión internacional, amparada en el contrato de transmisión suscrito con ese proveedor —que le impone tratar los datos solo conforme a las instrucciones del Operador, guardar reserva y aplicar medidas de seguridad— y en la autorización que la Titular otorga al aceptar esta política.
• Datos de las Clientas Finales. La Responsable es la Titular de la Tienda; el Operador es Encargado y el proveedor de nube, subencargado. La Titular autoriza expresamente esa transmisión al aceptar los Términos y Condiciones y esta política (cláusula 10.2), y debe informarla a sus clientas, como lo hace el aviso de privacidad de su catálogo.
• Si la operación llegara a calificarse como transferencia en los términos del artículo 26 de la Ley 1581 de 2012, se sustenta, de manera independiente, en: (i) que el país de destino esté incluido en la lista de países con un nivel adecuado de protección declarada por la Superintendencia de Industria y Comercio, que el Operador verifica periódicamente; (ii) la autorización expresa e inequívoca del Titular del dato, prevista en el literal a) de esa norma; y (iii) la necesidad de la transferencia para la ejecución del contrato entre el Titular y el Responsable, prevista en el literal e).

El Operador no transfiere datos personales al exterior con fines publicitarios, de perfilamiento comercial ni de venta a terceros. Si en el futuro cambia de proveedor o de país de alojamiento, actualizará esta cláusula y lo comunicará conforme a la cláusula 19 antes de que el cambio entre en vigencia.

13. Medidas de seguridad

El Operador aplica medidas técnicas, humanas y administrativas razonables para proteger la información contra pérdida, acceso no autorizado, uso indebido o alteración. Entre otras, y sin describir detalles que faciliten un ataque:

• Transmisión cifrada entre el navegador y los servidores.
• Contraseñas guardadas con funciones de cifrado de un solo sentido: no se almacenan en texto plano y no se pueden recuperar.
• Separación estricta de la información de cada tienda: toda consulta está limitada a la cuenta que la hace.
• Enlaces de catálogo con identificadores aleatorios: no aparecen en el mapa del sitio, están excluidos en robots.txt y se sirven con instrucciones de no indexación para los buscadores. Aun así, si alguien publica su enlace por fuera (en una red social o un foro), el Operador no puede impedir que un tercero lo visite; la Titular puede cambiar su enlace cuando quiera desde su panel.
• Control de intentos de ingreso y bloqueo temporal ante intentos repetidos.
• Protección de los formularios frente a peticiones falsificadas desde otros sitios.
• Acceso del personal limitado a lo estrictamente necesario, sujeto a reserva y registrado.
• Copias de respaldo periódicas.

14. Incidentes de seguridad

Ningún sistema es infalible. Si ocurre un incidente que afecte datos personales, el Operador lo contendrá, evaluará su alcance y lo informará: a la Titular de la Tienda afectada por el correo registrado, y a la Superintendencia de Industria y Comercio en los términos y plazos que exige la ley. Cuando el incidente afecte datos de Clientas Finales, la Responsable de comunicarlo a esas personas es la Titular de la Tienda, y el Operador le entregará la información que necesite para hacerlo.

15. Cuánto tiempo conservamos la información

• Mientras la cuenta esté activa, la información se conserva para prestar el servicio.
• Cerrada la cuenta, se conserva por un plazo máximo de mientras la cuenta esté activa y hasta dos (2) años después de su cierre; los soportes de pedidos, hasta cinco (5) años por exigencias contables y tributarias para permitir su descarga y atender obligaciones legales, contables o de defensa; vencido ese plazo se elimina o se anonimiza.
• Las solicitudes del formulario de contacto que no terminan en una cuenta se conservan por ese mismo plazo máximo, contado desde la última comunicación.
• Los registros técnicos de seguridad se conservan por el tiempo necesario para investigar incidentes.
• La Titular de la Tienda puede solicitar en cualquier momento la supresión de datos concretos de sus Clientas Finales, y el Operador la ejecutará salvo obligación legal en contrario.

Las copias de respaldo se sobrescriben en los ciclos ordinarios, de manera que un dato suprimido desaparece también de ellas al completarse el ciclo.

16. Cookies

La Plataforma usa únicamente cookies necesarias para su funcionamiento: mantener la sesión iniciada y proteger los formularios frente a peticiones falsificadas. No se usan cookies de publicidad, de perfilamiento ni de seguimiento de terceros, y no se comparte la navegación con redes publicitarias. El catálogo público puede guardar el carrito en el propio navegador de la clienta, sin enviarlo a terceros.

17. Registro Nacional de Bases de Datos

El Registro Nacional de Bases de Datos (RNBD) que administra la Superintendencia de Industria y Comercio no es exigible a todos los Responsables. Según el régimen vigente, la obligación recae sobre las sociedades y entidades sin ánimo de lucro que superen el umbral de activos totales fijado por la norma —cien mil (100.000) unidades de valor tributario (UVT)— y sobre las personas jurídicas de naturaleza pública.

El Operador evalúa cada año si le resulta exigible y, cuando lo sea, registra sus bases de datos y mantiene la información actualizada dentro de los plazos legales. Cada Titular de Tienda debe hacer la misma evaluación respecto de las bases de datos de sus Clientas Finales, de las que ella es Responsable: si es persona natural, hoy el registro no le es exigible.

18. Autoridad de vigilancia

La autoridad de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales. Ante ella puede presentarse queja cuando el Responsable o el Encargado incumplan la ley, una vez agotado el trámite de reclamo descrito en la cláusula 9.

19. Vigencia y cambios

Esta política rige desde 20/08/2026. Su texto fue actualizado por última vez el 20 de agosto de 2026. Las bases de datos se mantendrán vigentes mientras sea necesario para cumplir las finalidades descritas en la cláusula 5 y las obligaciones legales del Operador.

Cualquier cambio sustancial se comunicará al correo registrado o mediante aviso visible en la Plataforma, antes de su entrada en vigencia. Cuando el cambio se refiera a la finalidad del tratamiento, se solicitará nuevamente la autorización del Titular del dato. La versión vigente es siempre la publicada en esta página.

Contacto

Para cualquier asunto relacionado con este documento escribe a [email protected], llama al 317 635 8438, o dirígete a Carrera 50 #74-35 Piso 8, Bogotá, Colombia, Bogotá D.C., Colombia.

Otros documentos: Términos y Condiciones · Política de Tratamiento de Datos · Aviso de Privacidad