Política de Privacidad y Tratamiento de Datos Personales

1. Identificación y contacto del responsable

La presente Política de Privacidad y Tratamiento de Datos Personales describe cómo ESTUDIOS ALCANOX S.A.S., que opera comercialmente bajo el nombre AlcaNox, trata datos personales en el contexto de su sitio web, comunicaciones comerciales y prestación de servicios de ciberseguridad.

2. Objeto y alcance

Esta política se aplica a los datos personales que AlcaNox trate en relación con las visitas al sitio web, consultas, solicitudes de cotización, propuestas comerciales, relaciones con clientes y proveedores, administración contractual, comunicaciones y atención de solicitudes de privacidad.

Esta política no reemplaza los contratos de prestación de servicios, acuerdos de confidencialidad, Statement of Work (SOW), documentos de alcance técnico ni Rules of Engagement (ROE). En evaluaciones de seguridad, esos documentos deberán definir, según corresponda, los activos autorizados, el alcance, las reglas de ejecución, los accesos, el manejo de evidencias, la conservación y la eliminación de información del cliente.

La aplicación de las normas de cada país depende de las circunstancias y del tratamiento concreto. Esta política distingue los requisitos de Colombia y Chile sin afirmar que todas las disposiciones de ambos países sean idénticas.

3. Datos personales tratados

Según la interacción y los servicios contratados, AlcaNox puede tratar las siguientes categorías de datos, únicamente cuando sean necesarios para la finalidad correspondiente:

• Identificación y contacto: nombre, apellidos, cargo, empresa, correo electrónico, teléfono y país.
• Información comercial y contractual: consultas, cotizaciones, propuestas, órdenes, contratos, facturación y antecedentes necesarios para administrar la relación comercial.
• Comunicaciones: mensajes y correos enviados a AlcaNox y las respuestas relacionadas con la consulta o el servicio.
• Datos técnicos del sitio web: dirección IP, fecha y hora de acceso, registros de errores y datos técnicos que genere la infraestructura utilizada, cuando efectivamente se recopilen.
• Información técnica de una evaluación de seguridad: dominios, direcciones IP, configuraciones, registros y evidencias de hallazgos. Estos datos pueden o no ser datos personales, según su contenido y contexto.

AlcaNox no pretende recopilar datos sensibles como práctica habitual para sus actividades comerciales. Si un tratamiento concreto requiere datos sensibles, deberá evaluarse previamente su necesidad, fundamento jurídico, medidas de protección y, cuando corresponda, la obtención de autorización o consentimiento exigidos por la legislación aplicable. No envíe datos sensibles a AlcaNox salvo que sean estrictamente necesarios y se haya acordado un canal seguro y apropiado para su transmisión.

4. Finalidades del tratamiento

Cuando corresponda y exista una base jurídica válida, AlcaNox podrá tratar datos personales para:

• Responder consultas y solicitudes de información.
• Preparar y enviar cotizaciones y propuestas comerciales solicitadas.
• Gestionar relaciones con clientes, proveedores y contactos profesionales.
• Preparar, celebrar, ejecutar y administrar contratos.
• Coordinar y prestar servicios de ciberseguridad dentro del alcance autorizado.
• Gestionar facturación, contabilidad y obligaciones legales.
• Atender solicitudes relacionadas con los derechos de los titulares.
• Proteger la seguridad de los sistemas de AlcaNox y gestionar incidentes cuando sea necesario y lícito.
• Ejercer o defender derechos en procedimientos administrativos o judiciales, cuando corresponda.
• Realizar investigación técnica y desarrollar o mejorar sistemas de defensa, incluyendo reglas de detección, firmas, filtros, configuraciones de firewall y controles de seguridad, siempre que se haga de forma anonimizada o agregada, o cuando el cliente lo haya autorizado expresamente en el contrato, SOW o ROE aplicable.

El envío de comunicaciones comerciales no solicitadas no se presume autorizado por la sola visita al sitio web. Cuando se requiera consentimiento, AlcaNox lo solicitará de forma separada y registrará la autorización de acuerdo con la normativa aplicable.

5. Bases jurídicas y autorización

AlcaNox determinará la base jurídica aplicable a cada tratamiento atendiendo a la jurisdicción, finalidad, tipo de dato y relación con el titular.

Colombia

La regla general establecida en la Ley 1581 de 2012 es la autorización previa, expresa e informada, salvo las excepciones legales. Esta política por sí sola no constituye dicha autorización. Cuando el tratamiento se funde en una autorización, se informará al titular sobre la finalidad y sus derechos, y se conservará evidencia de la autorización según los términos legales aplicables.

Chile

El tratamiento en Chile se ajusta a la Ley N° 19.628 vigente hasta el 30 de noviembre de 2026 y, desde el 1 de diciembre de 2026, a las disposiciones de la Ley N° 21.719. El tratamiento será lícito cuando cuente con el consentimiento libre, expreso e informado del titular, o cuando concurra cualquiera de las demás causas de licitud previstas en la normativa aplicable.

6. Tratamiento de información durante servicios de ciberseguridad

Una evaluación de seguridad puede implicar acceso a información técnica o a datos personales presentes en los sistemas evaluados. AlcaNox limitará el acceso y uso de la información al alcance autorizado por escrito y a las finalidades acordadas con el cliente.

El contrato, SOW, alcance técnico y ROE deberán definir, según el servicio, las condiciones de acceso, uso, almacenamiento, transmisión, entrega, conservación y eliminación de evidencias. El cliente y AlcaNox deberán aclarar sus respectivos roles respecto de los datos personales antes de iniciar el tratamiento cuando sea necesario.

6.1 Uso de hallazgos, vulnerabilidades y malware con fines de investigación y desarrollo de defensas

AlcaNox podrá utilizar los hallazgos técnicos, vulnerabilidades identificadas, muestras de malware, indicadores de compromiso (IoC), patrones de ataque y demás evidencias obtenidas durante las evaluaciones de seguridad, exclusivamente para las siguientes finalidades legítimas:

• Investigación técnica: análisis, estudio y documentación de técnicas de ataque, vulnerabilidades y comportamientos maliciosos, con el objeto de mejorar el conocimiento interno y la capacidad de respuesta de AlcaNox.
• Desarrollo y mejora de sistemas de defensa: creación, actualización o perfeccionamiento de controles de seguridad propios o de sus clientes, tales como reglas de detección, firmas de malware, filtros, listas de bloqueo, configuraciones de firewall, sistemas de prevención de intrusiones y otras medidas de protección.

Este uso se realizará preferentemente de forma anonimizada o agregada, de modo que no sea posible identificar al cliente ni a titulares de datos personales. Cuando el uso de información no anonimizada sea necesario, se realizará únicamente si existe base jurídica válida y se ha informado o acordado expresamente en el contrato, SOW o ROE correspondiente.

AlcaNox no utilizará datos o evidencias obtenidos durante una evaluación para fines ajenos al servicio ni para actividades maliciosas o no autorizadas. En ningún caso se reutilizará información del cliente de manera que permita su identificación sin el consentimiento o acuerdo previo que corresponda.

7. Derechos y ejercicio de solicitudes

Las personas pueden ejercer los derechos que les reconozca la legislación aplicable a su situación. Para iniciar una solicitud, escriba al correo que corresponda según su país, describa el derecho que desea ejercer e incluya los datos suficientes para localizar su información. AlcaNox podrá solicitar información adicional razonable para verificar su identidad, evitando recopilar datos innecesarios.

7.1 Colombia

De acuerdo con la Ley 1581 de 2012, los titulares pueden:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización cuando proceda.
• Conocer el uso que se ha dado a sus datos.
• Presentar consultas y reclamos.
• Solicitar la revocación de la autorización o la supresión de sus datos cuando sea procedente.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) una vez agotado el trámite previo exigido por la ley.

Plazos de respuesta:

• Consultas: diez (10) días hábiles desde recibida la solicitud. Podrá extenderse hasta cinco (5) días hábiles adicionales cuando no sea posible responder dentro del plazo inicial; se informará el motivo de la demora dentro del plazo original.
• Reclamos: quince (15) días hábiles desde recibida la solicitud, con la extensión prevista legalmente cuando corresponda.

Correo de contacto: privacidad@alcanox.com
Autoridad de control: Superintendencia de Industria y Comercio — sic.gov.co

7.2 Chile

Régimen legal aplicable

Hasta el 30 de noviembre de 2026 rige la Ley N° 19.628, sobre Protección de la Vida Privada. Desde el 1 de diciembre de 2026, se aplican las disposiciones de la Ley N° 21.719, que regula el Tratamiento de Datos Personales y crea la Agencia de Protección de Datos Personales.

Derechos de las personas hasta el 30 de noviembre de 2026 — Ley 19.628:

• Información: conocer si sus datos están siendo tratados y el contenido de los mismos.
• Modificación: solicitar la corrección de datos inexactos o incompletos.
• Eliminación y bloqueo: solicitar la supresión o bloqueo de sus datos cuando corresponda.
• Oposición: oponerse al tratamiento por motivos fundados.

Derechos de las personas desde el 1 de diciembre de 2026 — Ley 21.719:

• Acceso: confirmar si se tratan sus datos y obtener copia, su origen, finalidad y destinatarios.
• Rectificación: corregir datos inexactos, desactualizados o incompletos.
• Supresión: solicitar la eliminación de sus datos cuando proceda.
• Oposición: oponerse al tratamiento por motivos relacionados con su situación particular.
• Portabilidad: recibir sus datos en formato estructurado y de uso común, o solicitar su transmisión a otro responsable cuando corresponda.
• Bloqueo temporal: solicitar la suspensión del tratamiento mientras se evalúa una solicitud de rectificación, supresión u oposición.

Plazos de respuesta

Autoridad y vías de reclamo

Hasta el 30 de noviembre de 2026: si no recibe respuesta en el plazo legal o la respuesta no satisface su solicitud, puede recurrir ante el Juez de Letras en lo Civil del domicilio del responsable del tratamiento, conforme al Artículo 16 de la Ley 19.628. En asuntos relacionados con consumo, también puede acudir al Servicio Nacional del Consumidor — SERNAC.

Desde el 1 de diciembre de 2026: la autoridad de fiscalización es la Agencia de Protección de Datos Personales. Dispondrá de 30 días hábiles contados desde el vencimiento del plazo de respuesta o desde la notificación de la respuesta para presentar reclamo ante la Agencia. Fuente oficial de la normativa: bcn.cl/leychile.

Correo de contacto para Chile: privacidad@chile.alcanox.com

8. Aviso de privacidad para la recolección

Cuando AlcaNox solicite directamente datos personales, facilitará la información exigida por la legislación aplicable en el momento de la recolección, incluida la identidad del responsable, las finalidades, los derechos del titular, los canales de consulta y el enlace a esta política. Cuando se requiera autorización o consentimiento, se obtendrá mediante un mecanismo separado, previo e informado que permita conservar evidencia del mismo.

• Colombia: este documento no sustituye el Aviso de Privacidad que deba facilitarse en el punto de recolección, según lo establecido en la Ley 1581 de 2012 y sus decretos reglamentarios.
• Chile: la información que se proporcione en el momento de recabar los datos personales contendrá los requisitos señalados en el Artículo 4° de la Ley 19.628 y las disposiciones de la Ley 21.719 que resulten aplicables.

9. Comunicación a proveedores y terceros

AlcaNox podrá permitir el acceso o comunicar datos personales a proveedores tecnológicos, servicios de alojamiento, correo y comunicaciones, asesores profesionales o autoridades públicas, cuando sea necesario para prestar los servicios, administrar la relación comercial, cumplir una obligación legal o ejercer o defender derechos, según corresponda.

El acceso de proveedores se limitará estrictamente a lo necesario y quedará sujeto a obligaciones contractuales de confidencialidad y protección de datos apropiadas. Los datos solo podrán ser tratados por el proveedor conforme a las instrucciones del responsable y para los fines acordados.

10. Transferencias y tratamientos internacionales

Debido a que AlcaNox está constituida en Colombia y puede prestar servicios a clientes en Colombia y Chile, algunos datos podrían ser tratados o almacenados fuera del país del titular, dependiendo de la ubicación de los proveedores y de la infraestructura realmente utilizada.

Las transferencias o transmisiones internacionales solo se realizarán cuando exista base jurídica válida y se cumplan los requisitos, restricciones y garantías que correspondan en cada jurisdicción:

• Colombia: se ajustará a los requisitos del Artículo 26 de la Ley 1581 de 2012 y las disposiciones de la Superintendencia de Industria y Comercio.
• Chile: se ajustará a lo establecido en el Artículo 13 de la Ley 19.628 y las normas que la complementen o reemplacen.

Las transferencias internacionales solo se efectuarán al país o territorio que ofrezca un nivel adecuado de protección, o en su defecto, con las garantías contractuales o instrumentos autorizados por la autoridad competente.

Esta política no afirma que todos los países o proveedores utilizados ofrezcan automáticamente un nivel adecuado de protección. Antes de efectuar transferencias, identifique los países de destino, las categorías de datos y los mecanismos de garantía aplicables. Si no se producen transferencias internacionales en un flujo concreto, no debe afirmarse lo contrario.

11. Conservación y eliminación

AlcaNox conservará los datos personales durante el tiempo necesario para cumplir las finalidades informadas, gestionar la relación contractual, atender obligaciones legales y ejercer o defender derechos. La duración dependerá de la categoría de datos, la finalidad y las obligaciones aplicables en cada país:

• Colombia: según lo establecido en la Ley 1581 de 2012 y normativa complementaria, mientras subsista la finalidad que justificó su tratamiento y durante los plazos de prescripción de obligaciones legales.
• Chile: conforme al Artículo 4° bis de la Ley 19.628, los datos se conservarán únicamente durante el tiempo necesario para cumplir la finalidad para la cual fueron recopilados; una vez cumplida, deberán eliminarse o anonimizarse salvo disposición legal en contrario.

La información obtenida durante evaluaciones de seguridad se conservará según lo definido en el contrato, SOW y ROE aplicables, considerando las obligaciones legales y las necesidades de documentación del servicio. Cuando los datos ya no sean necesarios y no exista una obligación legítima de conservación, se eliminarán o anonimizarán mediante medidas seguras que impidan su recuperación.

12. Seguridad y gestión de incidentes

AlcaNox aplicará medidas técnicas, organizativas y administrativas apropiadas a la naturaleza de los datos, los fines del tratamiento y los riesgos identificados, para reducir el riesgo de acceso, uso, alteración, pérdida o divulgación no autorizados. Se consideran las mejores prácticas de la industria y los requisitos legales aplicables en cada jurisdicción.

Ninguna medida de seguridad puede describirse como garantía absoluta. Si ocurre una violación de seguridad que afecte datos personales, AlcaNox la gestionará conforme a la normativa vigente:

• Colombia: se comunicará a la Superintendencia de Industria y Comercio y, cuando corresponda, a los titulares afectados, conforme al artículo 17 literal n) de la Ley 1581 de 2012 y las instrucciones de la Circular Única de la SIC / Registro Nacional de Bases de Datos, dentro del plazo de quince (15) días hábiles desde la detección del incidente.
• Chile: hasta el 30 de noviembre de 2026, se evaluará conforme a los principios de seguridad y confidencialidad de la Ley 19.628. Desde el 1 de diciembre de 2026, se aplicarán los plazos y obligaciones de notificación que establezca la Ley 21.719, incluyendo la comunicación a la autoridad y a los titulares cuando el riesgo para sus derechos sea probable y específico.

Las medidas concretas, el procedimiento interno de gestión de incidentes y los responsables designados están documentados internamente y son coherentes con los compromisos de esta política.

13. Cookies y registros técnicos

El uso de cookies, registros del servidor y tecnologías similares dependerá de la configuración real del sitio web y de los servicios integrados. AlcaNox informará de forma clara sobre las tecnologías que efectivamente utilice, distinguiendo entre cookies necesarias, analíticas y de terceros, y solicitará el consentimiento cuando lo exija la normativa aplicable:

• Colombia: se ajustará a los principios de transparencia y finalidad de la Ley 1581 de 2012.
• Chile: se ajustará a lo dispuesto en la Ley 19.628 y, cuando corresponda, a las normas sobre tratamiento de datos por medio de dispositivos digitales. El consentimiento deberá obtenerse antes de activar cookies que no sean estrictamente necesarias para la prestación del servicio solicitado.

14. Menores de edad

Los servicios de AlcaNox están dirigidos principalmente a empresas, organizaciones y profesionales. AlcaNox no busca recopilar deliberadamente datos personales de menores de edad para sus actividades comerciales. Si se identifica que se han recopilado datos de un menor sin autorización del titular de la patria potestad o guarda, se procederá a su eliminación inmediata salvo que exista obligación legal de conservarlos. Si usted considera que hemos recopilado datos de un menor, comuníquese de inmediato a privacidad@alcanox.com para gestionar su supresión.

15. Enlaces a sitios de terceros

El sitio web de AlcaNox puede incluir enlaces a sitios, aplicaciones o contenidos de terceros para su conveniencia o información. AlcaNox no controla ni asume responsabilidad por las prácticas de privacidad, el contenido o las políticas de esos terceros. Le recomendamos que, antes de facilitar sus datos personales en sitios externos, consulte las políticas de privacidad de cada proveedor. La presencia de un enlace no constituye aprobación o respaldo por parte de AlcaNox.

16. Actualizaciones y cambios a esta política

AlcaNox podrá actualizar esta política para reflejar cambios en sus prácticas de tratamiento de datos, en los servicios que ofrece o en requisitos legales aplicables. La versión publicada en el sitio web indicará claramente su fecha de actualización y su fecha de entrada en vigor.

Si los cambios afectan de forma sustancial las finalidades, las bases jurídicas o el alcance del tratamiento, y se requiere una nueva autorización por parte del titular, AlcaNox procederá conforme a la legislación aplicable y comunicará los cambios con antelación razonable antes de su entrada en vigor.

17. Legislación aplicable y autoridades de control

18. Contacto

Si tiene consultas, comentarios o solicitudes relacionadas con esta Política de Privacidad o el tratamiento de sus datos personales, puede contactarnos a:

El responsable del tratamiento es ESTUDIOS ALCANOX S.A.S. — AlcaNox, identificada con NIT 901.991.327-2, con domicilio en la dirección arriba indicada.