Política de Tratamiento de Datos Personales

Onus Technology S.A.S. (en adelante "Onus" o "el Responsable"), identificada con NIT 9019980138-1, domiciliada en Bogotá D.C., Colombia, dirección CR 5 A NO. 19 07 SUR, en cumplimiento de lo dispuesto en la Ley 1581 de 2012, el Decreto 1377 de 2013, la Ley 2300 de 2023 y demás normas concordantes sobre protección de datos personales, adopta la presente Política de Tratamiento de Datos Personales (en adelante "PTDP").

1. Identificación del Responsable del Tratamiento

Razón social	Onus Technology S.A.S.
NIT	9019980138-1
Domicilio	CR 5 A NO. 19 07 SUR, Bogotá D.C., Colombia
Representante Legal	Cuervo Rayo Fernando Augusto
Correo DPO / Habeas Data	habeasdata@onus-tech.com
Teléfono de contacto DPO	+57 304 478 8952
Sitio web	https://onus-tech.com

2. Marco Normativo Aplicable

• Constitución Política de Colombia, artículos 15 y 20.
• Ley 1581 de 2012 — Protección de Datos Personales (Habeas Data).
• Decreto 1377 de 2013 — Reglamentación parcial de la Ley 1581.
• Ley 2300 de 2023 — Actualización al régimen de protección de datos personales.
• Decreto 1074 de 2015 (Capítulo 25) — Reglamentario único del sector comercio, industria y turismo.
• Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio (SIC) — Lineamientos sobre cookies.
• Ley 527 de 1999 — Firma electrónica y comercio electrónico.
• Ley 1480 de 2011 — Estatuto del Consumidor.

3. Definiciones

Para efectos de la presente política, se adoptan las siguientes definiciones:

• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus Datos Personales.
• Base de Datos: conjunto organizado de Datos Personales que son objeto de Tratamiento.
• Dato Personal: cualquier información vinculada o que pueda asociarse a una persona natural identificada o identificable.
• Dato Sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (origen racial, orientación política, convicciones religiosas, datos de salud, biométricos, etc.).
• Encargado del Tratamiento: persona natural o jurídica que realiza el Tratamiento por cuenta del Responsable.
• Responsable del Tratamiento: persona natural o jurídica, pública o privada, que decide sobre la base de datos y/o el Tratamiento de los datos.
• Titular: persona natural cuyos Datos Personales son objeto de Tratamiento.
• Tratamiento: cualquier operación o conjunto de operaciones sobre Datos Personales, tales como recolección, almacenamiento, uso, circulación o supresión.

4. Datos Personales que Recolectamos

Onus recolecta las siguientes categorías de Datos Personales a través de los canales habilitados en su sitio web y plataformas:

4.1. Datos de navegación y técnicos

• Dirección IP, tipo de navegador, sistema operativo, resolución de pantalla.
• Páginas visitadas, tiempo de permanencia, referrer URL.
• Identificadores de sesión y de dispositivo (cookies técnicas).

4.2. Datos de interacción

• Mensajes enviados a través del chatbot Onus IA.
• Consultas realizadas vía formularios de contacto o correo electrónico.
• Preferencias de tema (claro/oscuro) e idioma.

4.3. Datos de clientes potenciales

• Nombre, correo electrónico, cargo, organización, país, teléfono (cuando el usuario los proporciona voluntariamente para solicitar una demo o cotización).

4.4. Datos de clientes

• Información necesaria para la prestación de los servicios contratados (SaaS multi-tenant para servicios públicos, aviación, OCR e IA).
• Datos transaccionales relacionados con la facturación electrónica y el cumplimiento tributario colombiano.

4.5. Datos sensibles

Onus NO recolecta Datos Sensibles a través de sus sitios web públicos. En caso de requerirse en el marco de un servicio específico, se solicitará Autorización expresa conforme al artículo 6 de la Ley 1581 de 2012.

5. Finalidades del Tratamiento

Los Datos Personales serán tratados para las siguientes finalidades:

1. Atención al cliente y soporte técnico: responder consultas, solicitudes de demo, cotizaciones y soporte operativo.
2. Mejora continua del servicio: análisis agregados y anonimizados de uso para optimizar rendimiento, seguridad y experiencia de usuario.
3. Comunicaciones comerciales y de mercadeo: envío de información sobre nuevos productos, actualizaciones y eventos, únicamente cuando el Titular haya otorgado Autorización expresa.
4. Cumplimiento de obligaciones legales y contractuales: facturación electrónica (DIAN), retención de información por plazos legales, auditoría y respuesta a requerimientos de autoridades competentes.
5. Seguridad de la información: detección y prevención de fraude, accesos no autorizados, ataques cibernéticos y otros incidentes.
6. Gestión contable, fiscal y administrativa: gestión de cobros, pagos, conciliaciones y reportes internos.

6. Derechos de los Titulares (ARCO + Adicionales)

De conformidad con la Ley 1581 de 2012 y la Ley 2300 de 2023, los Titulares de los Datos Personales tienen los siguientes derechos:

6.1. Derechos ARCO

• Acceso: conocer los Datos Personales que son objeto de Tratamiento.
• Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Cancelación (Supresión): solicitar la eliminación de los datos cuando considere que no son tratados conforme a los principios, derechos y garantías legales.
• Oposición: oponerse al Tratamiento de sus datos para fines específicos.

6.2. Derechos adicionales (Ley 2300 de 2023)

• Revocatoria de la Autorización: retirar el consentimiento previamente otorgado, en cualquier momento y sin efectos retroactivos.
• Derecho al olvido: solicitar la supresión definitiva de los datos cuando el Tratamiento no se ajuste a la ley o haya finalizado la finalidad para la cual fueron recolectados.
• Portabilidad: obtener copia de sus datos en un formato estructurado y de uso común, cuando sea técnicamente posible.
• Información sobre tratamiento: ser informado del Tratamiento dado a sus Datos Personales.

7. Canal para Ejercer sus Derechos

El Titular puede ejercer sus derechos mediante solicitud escrita enviada a:

• Correo electrónico: habeasdata@onus-tech.com
• Asunto sugerido: "Solicitud Habeas Data — [Tipo de derecho]"

La solicitud debe contener como mínimo:

1. Nombre completo del Titular y documento de identidad.
2. Descripción clara y precisa de la solicitud.
3. Dirección física o electrónica para recibir respuesta.
4. Documentos que soporten la petición (si aplica).

Plazo de respuesta: quince (15) días hábiles contados a partir del día siguiente a la recepción de la solicitud completa, conforme al artículo 14 de la Ley 1581 de 2012. Si por la complejidad de la solicitud no es posible responder en dicho plazo, se informará al Titular los motivos de la demora antes del vencimiento, señalándose un nuevo plazo que no podrá exceder los cinco (5) días hábiles adicionales.

8. Transferencias Internacionales

Algunos de los servicios utilizados por Onus implican Tratamiento de Datos Personales fuera del territorio colombiano. Los Titulares autorizan expresamente las siguientes transferencias:

• Cloudflare, Inc. (Estados Unidos) — infraestructura de red y chatbot (Cloudflare Workers) bajo cláusulas contractuales tipo (Standard Contractual Clauses). Más información en cloudflare.com.
• Google LLC / Firebase (Estados Unidos) — plataforma Onus Aviation Maintenance & SMS. Más información en firebase.google.com.

Onus procura suscribir con estos proveedores acuerdos que incluyan cláusulas modelo de protección de datos y mecanismos de garantía equivalentes a los exigidos por la normatividad colombiana.

9. Política de Cookies

Onus utiliza cookies y tecnologías similares en su sitio web. Las cookies se clasifican en las siguientes categorías:

Categoría	Finalidad	¿Requieren consentimiento?
Esenciales	Sesión del usuario, preferencias (tema/idioma), seguridad.	No (necesarias para el funcionamiento)
Analíticas	Métricas agregadas y anonimizadas de uso.	Sí — opt-in
Marketing	Segmentación publicitaria y remarketing.	Sí — opt-in

El Titular puede configurar, rechazar o cambiar sus preferencias de cookies en cualquier momento mediante el enlace "Configurar cookies" disponible en el pie de página del sitio web.

10. Plazos de Conservación de los Datos

• Datos de navegación: máximo 12 meses.
• Datos de clientes potenciales: 3 años desde la última interacción, salvo solicitud de supresión previa.
• Datos de clientes: durante la vigencia del contrato y hasta 10 años posteriores para efectos fiscales y contables conforme al Estatuto Tributario.
• Registros de consentimientos: mientras subsista la relación y hasta 5 años adicionales.

11. Medidas de Seguridad

Onus implementa medidas técnicas, humanas y administrativas razonables para proteger los Datos Personales contra acceso no autorizado, pérdida accidental, destrucción, uso indebido o divulgación. Entre estas medidas se encuentran:

• Cifrado en reposo (AES-256) y en tránsito (TLS 1.3).
• Arquitectura Zero-Trust con validación continua de identidad.
• Aislamiento multi-inquilino (multi-tenant) estricto.
• Registros de auditoría inmutables.
• Pruebas periódicas de penetración.
• Capacitación al personal en manejo de datos personales.

12. Datos de Menores de Edad

Onus no dirige sus servicios a menores de 18 años. En caso de requerirse el Tratamiento de datos de menores, se solicitará Autorización expresa de los representantes legales conforme al artículo 7 de la Ley 1581 de 2012.

13. Modificaciones a esta Política

Onus se reserva el derecho de modificar la presente PTDP para reflejar cambios legales, técnicos o de operación. Las modificaciones serán publicadas en este mismo sitio web y, cuando impliquen cambios sustanciales en el Tratamiento, serán notificadas a los Titulares por los canales de contacto registrados.

14. Marco Aplicable y Jurisdicción

La presente PTDP se rige por las leyes de la República de Colombia, en especial por la Ley 1581 de 2012 y sus normas complementarias. Cualquier controversia será resuelta por la jurisdicción ordinaria colombiana o por la Superintendencia de Industria y Comercio (SIC) cuando corresponda.

15. Vigencia

La presente PTDP entra en vigencia a partir del 23 de agosto de 2026.

Personal Data Processing Policy

Onus Technology S.A.S. (hereinafter "Onus" or "the Data Controller"), a Colombian commercial company identified with Tax ID 9019980138-1, domiciled in Bogotá D.C., Colombia, address CR 5 A NO. 19 07 SUR, in compliance with Law 1581 of 2012, Decree 1377 of 2013, Law 2300 of 2023 and other applicable Colombian regulations on personal data protection, adopts this Personal Data Processing Policy (hereinafter "PDPP").

Note: This English version is provided for convenience only. The legally binding version is the Spanish one, governed by Colombian law.

1. Data Controller Identification

Legal name	Onus Technology S.A.S.
Tax ID (NIT)	9019980138-1
Domicile	CR 5 A NO. 19 07 SUR, Bogotá D.C., Colombia
Legal Representative	Cuervo Rayo Fernando Augusto
DPO / Habeas Data email	habeasdata@onus-tech.com
DPO Contact Phone	+57 304 478 8952
Website	https://onus-tech.com

2. Applicable Legal Framework

• Colombian Political Constitution, articles 15 and 20.
• Law 1581 of 2012 — Personal Data Protection (Habeas Data).
• Decree 1377 of 2013 — Partial regulation of Law 1581.
• Law 2300 of 2023 — Updates to personal data protection regime.
• Decree 1074 of 2015 (Chapter 25) — Single regulatory decree for trade, industry and tourism.
• SIC External Circular 005 of 2017 — Cookie guidelines.
• Law 527 of 1999 — Electronic signatures and e-commerce.
• Law 1480 of 2011 — Consumer Statute.

3. Definitions

For the purposes of this policy:

• Authorization: prior, express and informed consent from the Data Subject for the Processing of their Personal Data.
• Database: an organized set of Personal Data subject to Processing.
• Personal Data: any information linked or that can be associated with an identified or identifiable natural person.
• Sensitive Data: data affecting the Data Subject's intimacy or whose misuse may generate discrimination.
• Data Processor: the natural or legal person that Processes data on behalf of the Data Controller.
• Data Controller: the natural or legal person that decides on the database and/or Processing.
• Data Subject: the natural person whose Personal Data is subject to Processing.
• Processing: any operation or set of operations on Personal Data, including collection, storage, use, circulation or suppression.

4. Personal Data We Collect

4.1. Browsing and technical data

• IP address, browser type, operating system, screen resolution.
• Visited pages, time on site, referrer URL.
• Session and device identifiers (technical cookies).

4.2. Interaction data

• Messages sent through the Onus IA chatbot.
• Inquiries through contact forms or email.
• Theme (light/dark) and language preferences.

4.3. Lead data

• Name, email, role, organization, country, phone (when voluntarily provided for demo or quote requests).

4.4. Customer data

• Information required for the provision of contracted services (multi-tenant SaaS for utilities, aviation, OCR and AI).
• Transactional data for electronic invoicing and Colombian tax compliance.

4.5. Sensitive data

Onus does NOT collect Sensitive Data through its public websites. If required for a specific service, express Authorization will be requested per article 6 of Law 1581 of 2012.

5. Processing Purposes

1. Customer service and technical support: respond to inquiries, demo requests, quotes and operational support.
2. Continuous service improvement: aggregated and anonymized usage analysis.
3. Commercial and marketing communications: only when the Data Subject has granted express Authorization.
4. Legal and contractual compliance: electronic invoicing (DIAN), statutory retention, audits and responses to competent authorities.
5. Information security: detection and prevention of fraud, unauthorized access, cyberattacks.
6. Accounting, tax and administrative management: collections, payments, reconciliations and internal reporting.

6. Data Subject Rights (ARCO + Additional)

6.1. ARCO Rights

• Access: know the Personal Data being Processed.
• Rectification: request correction of inaccurate, incomplete or outdated data.
• Cancellation (Suppression): request deletion when Processing does not comply with legal principles.
• Opposition: oppose Processing for specific purposes.

6.2. Additional Rights (Law 2300 of 2023)

• Revocation of Authorization: withdraw consent at any time.
• Right to be forgotten: request definitive deletion.
• Portability: obtain a copy of data in a structured format.
• Right to information: be informed about the Processing.

7. Channel to Exercise Your Rights

Data Subjects may exercise their rights via written request sent to:

• Email: habeasdata@onus-tech.com

The request must contain at minimum:

1. Full name and identity document.
2. Clear and precise description of the request.
3. Physical or electronic address for response.
4. Supporting documents (if applicable).

Response deadline: fifteen (15) business days from receipt of a complete request, per article 14 of Law 1581 of 2012.

8. International Transfers

Some Onus services involve Processing of Personal Data outside Colombia:

• Cloudflare, Inc. (United States) — network infrastructure and chatbot under Standard Contractual Clauses.
• Google LLC / Firebase (United States) — Onus Aviation Maintenance & SMS platform.

9. Cookies Policy

Category	Purpose	Requires consent?
Essential	Session, preferences, security.	No
Analytics	Aggregated anonymized usage metrics.	Yes — opt-in
Marketing	Ad targeting and remarketing.	Yes — opt-in

You may configure, reject or change cookie preferences at any time via the "Configure cookies" link in the site footer.

10. Data Retention Periods

• Browsing data: max 12 months.
• Lead data: 3 years from last interaction.
• Customer data: during contract and up to 10 years after for tax purposes.
• Consent records: while relationship subsists plus 5 years.

11. Security Measures

• Encryption at rest (AES-256) and in transit (TLS 1.3).
• Zero-Trust architecture with continuous identity validation.
• Strict multi-tenant isolation.
• Immutable audit logs.
• Periodic penetration testing.
• Staff training in personal data handling.

12. Minors' Data

Onus services are not directed to minors under 18. Where data Processing of minors is required, express Authorization from legal representatives will be requested per article 7 of Law 1581 of 2012.

13. Changes to this Policy

Onus reserves the right to modify this PDPP. Changes will be published on this website and, where they involve substantial changes to Processing, notified to Data Subjects via registered contact channels.

14. Applicable Law and Jurisdiction

This PDPP is governed by the laws of the Republic of Colombia, particularly Law 1581 of 2012 and complementary regulations. Any dispute shall be resolved by ordinary Colombian courts or by the Superintendencia de Industria y Comercio (SIC) where applicable.

15. Effective Date

This PDPP takes effect on August 23, 2026.