Política Integral de Tratamiento y Protección de Datos Personales

POLÍTICA INTEGRAL DE TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES — UNIVERSO NXUM

NEXT HUMAN LAB S.A.S. — NXUM · Colombia · Versión NXUM-PTDP-CO-5.1 · 4 de noviembre de 2026 · reemplaza la versión 5.0 del 3 de noviembre de 2026

1. Objeto de la Política

NEXT HUMAN LAB S.A.S. (en adelante, «NXUM») adopta esta Política para informar las condiciones bajo las cuales recolecta, organiza, almacena, consulta, analiza, utiliza, comunica, transmite, transfiere, actualiza, conserva y suprime datos personales, en calidad de responsable o encargado del tratamiento, según cada actividad. Su finalidad es permitir la prestación segura de servicios y la mejora de la experiencia de las personas, con respeto a los principios de finalidad, libertad, calidad, transparencia, circulación restringida, seguridad y confidencialidad.

Esta Política describe expresamente la memoria de preferencias del Universo NXUM, por medio de la cual los servicios de NXUM pueden reconocer a una persona y, previa habilitación legal, generar recomendaciones de atención contextual en establecimientos con los cuales ella tenga relación. No confiere por sí sola autorización para ninguna finalidad: cada tratamiento que la requiera se apoyará en la autorización previa, expresa, informada y verificable correspondiente.

2. Cobertura del Universo NXUM

El «Universo NXUM» comprende los servicios digitales, aplicaciones, portales, asistentes y módulos tecnológicos desarrollados, operados o integrados por NXUM y los establecimientos empresariales que los utilicen, actualmente o en el futuro, en la medida en que queden identificados y se comuniquen al titular las finalidades pertinentes.

Podrán incluir restaurantes, cafeterías, bares, servicios de alimentos y bebidas, hoteles, comercios minoristas (retail), establecimientos de bienestar y spa, centros deportivos y de pádel, eventos, experiencias, reservas de servicios y otros emprendimientos afiliados.

Entre los productos y componentes que podrán intervenir, según sus funciones efectivamente habilitadas, se encuentran PLEXI, SOMA, OH YEAH!, CRM Brain, CORTEX, X-CARE, MenuVerso, ORBIT, VITA, Blue, GLIA, People, NXUM CORE y otros módulos compatibles. La mención de una categoría o producto no implica que esté disponible, ni habilita automáticamente el intercambio de todo tipo de información entre verticales.

Esta Política se aplica a titulares clientes, visitantes, usuarios digitales y, en los apartados pertinentes, trabajadores, candidatos, representantes, proveedores y contactos empresariales. Los datos derivados de servicios sanitarios, tratamientos de spa con información clínica, biometría, relaciones laborales y operaciones financieras se regirán además por los avisos y condiciones específicos que correspondan.

Las afinidades y recomendaciones derivadas solo se pondrán a disposición de un establecimiento cuando guarden relación con la actividad que este presta al titular. En particular, las preferencias gastronómicas no se comunicarán a establecimientos que no ofrezcan alimentos o bebidas, y las preferencias derivadas de servicios de bienestar, spa, salud o deporte no se comunicarán a establecimientos de otros sectores.

3. Definiciones y naturaleza de los datos

Se entiende por titular la persona natural identificada o identificable; responsable, quien determina las finalidades y medios esenciales del tratamiento; encargado, quien trata datos por cuenta de un responsable; establecimiento, el operador independiente que atiende al titular y utiliza servicios NXUM; y preferencia derivada, la inferencia o característica general producida a partir de interacciones válidamente tratadas, por ejemplo, afinidad con determinadas cocinas, productos, horarios o modalidades de servicio.

Una preferencia, recomendación, clasificación o predicción asociada a una persona identificada o identificable es un dato personal, aun si no incluye el nombre, la transacción de origen o el establecimiento donde se produjo. Los datos seudonimizados siguen estando sujetos a esta Política mientras exista posibilidad razonable de reidentificación. Solo se tratarán como anonimizados los resultados respecto de los cuales la identificación o reidentificación de titulares no sea razonablemente posible.

4. Responsabilidad de NXUM y de los establecimientos

NXUM será responsable cuando determine las finalidades de su propia gestión de cuentas, identidad, seguridad, atención de titulares y, cuando exista habilitación válida, memoria de preferencias transversal y modelos de experiencia del Universo NXUM. Actuará como encargado al prestar servicios de infraestructura y administración de registros por instrucciones del establecimiento responsable, incluidos sus sistemas de reservas, punto de venta, CRM local, encuestas, recursos humanos, inventarios y contabilidad.

Cada establecimiento conservará el control de los registros de su operación propia y podrá consultar, para la atención legítima de sus clientes, reservas, visitas, compras, consumos, preferencias, incidencias y demás datos generados en su relación con ellos, dentro de sus facultades legales y contractuales. Ningún establecimiento obtiene, por usar NXUM, acceso general al historial individual de otro negocio o a las bases de datos de terceros.

El uso por NXUM de información originalmente recibida como encargado para finalidades propias, incluyendo la memoria transversal o el desarrollo de estadísticas y modelos, requerirá el fundamento jurídico aplicable al titular, así como instrucciones, licencias, acuerdos y asignación de roles apropiados con el establecimiento de origen. La disponibilidad técnica de la información no sustituye tales requisitos.

Los establecimientos que utilicen NXUM aceptarán, en sus condiciones contractuales con NEXT HUMAN LAB S.A.S., (i) que NXUM trate como encargado los datos de su operación y su CRM local según sus instrucciones, y (ii) que, respecto de los titulares que hayan otorgado la autorización de personalización transversal, NXUM pueda incorporar las señales pertinentes de esa operación a la memoria de preferencias del Universo NXUM, como responsable de esta última finalidad. Sin dicha autorización del titular, los datos del establecimiento no se incorporarán a la memoria transversal.

5. Origen y categorías de información

La información podrá provenir del titular, sus reservas y operaciones, formularios, canales de atención, encuestas, sistemas de establecimientos participantes e integraciones debidamente autorizadas. Según el servicio podrán tratarse las siguientes categorías:

• Identificación y contacto: nombre, teléfono, correo, identificadores de cuenta y medios de autenticación.

• Reservas y visitas: establecimiento elegido, fechas, horarios, tamaño del grupo, estado de asistencia, duración de la visita y solicitudes de atención.

• Consumo y preferencias: productos y servicios solicitados, categorías de pedidos, gustos declarados, experiencias de compra, frecuencia de visita, ocasiones y preferencias de atención.

• Relación de servicio: comentarios, encuestas, reclamos, solicitudes, recomendaciones aceptadas o rechazadas y gestión de incidencias.

• Datos técnicos: registros de acceso, seguridad, dispositivo, interacción, consentimiento y actividad necesarios para operar la plataforma.

• Información regulada: datos de pagos, trabajadores, facturación, biometría o salud, únicamente si son pertinentes para el servicio y conforme a sus regímenes específicos.

NXUM limitará la recopilación a los datos adecuados, pertinentes y necesarios. No presumirá que un teléfono reportado por un tercero o una compra registrada en un POS equivalen por sí solos a autorización para crear una identidad universal ni a consentimiento para personalización transversal.

6. Finalidades operativas y de atención

NXUM y, cuando corresponda, el establecimiento elegido podrán tratar los datos necesarios para: (i) registrar, confirmar, modificar y cancelar reservas o solicitudes; (ii) coordinar la llegada, la asignación de recursos o mesas y la prestación del servicio; (iii) elaborar pedidos, comprobantes y registros operativos; (iv) dar seguimiento a solicitudes, experiencias, reclamaciones y satisfacción; (v) asegurar la disponibilidad, integridad y continuidad de los sistemas; (vi) prevenir suplantaciones, incidentes y fraudes; y (vii) atender derechos y obligaciones legales.

El establecimiento elegido tendrá acceso a la información propia necesaria para atender la relación concreta. La confirmación de una reserva no habilita la exposición de transacciones identificables de otros establecimientos. Las comunicaciones estrictamente operativas no se confundirán con mensajes comerciales no esenciales.

7. Memoria de preferencias y experiencia transversal

Cuando el titular autorice voluntaria y específicamente la personalización dentro del Universo NXUM, NXUM podrá consolidar señales pertinentes de interacciones autorizadas en distintos establecimientos y servicios para construir una memoria de preferencias no sensibles. Esta memoria podrá incluir afinidad con tipos de cocina, alimentos, bebidas y servicios; secuencias de consumo; estilos de atención; intereses de ocio; horarios habituales; duración aproximada de visitas; y preferencias expresamente declaradas.

Con ocasión de una reserva, visita, compra o servicio vigente, el establecimiento receptor podrá conocer exclusivamente recomendaciones contextuales o atributos derivados pertinentes a la atención, por ejemplo, mayor afinidad con una categoría de platos disponible en su carta, preferencia de bebidas, sugerencia de aperitivos, previsión aproximada de tiempo de permanencia o modalidad de servicio preferida. Esa información podrá utilizarse para adaptar el servicio y formular recomendaciones presenciales de productos o experiencias compatibles, con intervención del personal responsable.

No se comunicarán a otros establecimientos el detalle de pedidos, valores pagados, fechas, tickets, identidad del establecimiento de origen, reclamos íntegros, conversaciones ni registros identificables que originaron las inferencias, salvo autorización distinta y fundamento válido. No se permitirá que un establecimiento navegue el historial de otro mediante el teléfono, nombre o identificador del cliente.

Las inferencias deberán mantenerse con criterios de actualidad, pertinencia y calidad; podrán modificarse mediante la conducta reciente del titular y corregirse a solicitud suya. No representan hechos definitivos ni garantizan que el cliente mantenga invariablemente sus preferencias.

La previsión del tiempo aproximado de permanencia se empleará exclusivamente para planear la disponibilidad y ofrecer al titular una experiencia sin interrupciones. No se utilizará para negar, acortar o condicionar reservas, cobrar valores adicionales ni dar un trato diferenciado desfavorable, y la decisión sobre la asignación de mesas o recursos corresponderá siempre al personal del establecimiento.

7A. Ejemplo ilustrativo de la memoria de preferencias

Con fines de transparencia, NXUM describe el funcionamiento esperado de la memoria de preferencias. Si un titular que autorizó la personalización transversal visita varios establecimientos del Universo NXUM y en ellos consume con frecuencia pastas, vino tinto, un aperitivo al inicio y café al final, y permanece en promedio cerca de dos horas, NXUM podrá inferir una afinidad general con la cocina italiana, con el vino tinto y con esa secuencia de consumo. Cuando el titular tenga una reserva o visita vigente en otro establecimiento participante, el personal de este podrá recibir sugerencias como «mayor afinidad con pastas de su carta», «podría ofrecerle un aperitivo al inicio» o «suele permanecer cerca de dos horas». El establecimiento receptor no conocerá en qué negocios se originaron estas inferencias, qué pidió el titular en ellos, cuánto pagó ni cuándo los visitó. Las sugerencias se limitarán a productos y servicios disponibles en el establecimiento receptor y serán decididas y ofrecidas por su personal.

8. CRM local y CRM Brain: funciones complementarias

Cada establecimiento podrá utilizar su CRM local para gestionar información surgida de su propia relación con el cliente, tales como número de visitas, compras, ticket promedio, preferencias, observaciones relevantes y nivel de satisfacción. Cuando exista consentimiento transversal válido, CRM Brain podrá complementar ese conocimiento local con afinidades generales calculadas por NXUM, sin revelar la procedencia de las experiencias individuales de otros negocios.

La información presentada al personal se limitará a aquello que resulte útil y proporcional para la atención en curso. Se evitará mostrar datos no relacionados con la visita o procedentes de sectores particularmente sensibles. El personal no podrá copiar, exportar, utilizar para campañas independientes ni agregar esos atributos al historial propio más allá de la finalidad habilitada y el plazo aplicable.

9. Identificación y reconocimiento mediante teléfono

Con la autorización pertinente, NXUM podrá utilizar el número de teléfono facilitado por el titular para recuperar su cuenta, reconocerlo en el Universo NXUM y vincular correctamente sus experiencias cuando interactúe con establecimientos participantes. Antes de habilitar consultas transversales por teléfono, NXUM implementará verificación adecuada de posesión y/o identidad, controles contra suplantación, números reasignados y coincidencias erróneas.

La mera digitación, recepción o búsqueda de un número de teléfono no autoriza a un establecimiento a consultar el perfil transversal. Tal acceso requerirá autorización vigente del titular y una relación operacional legítima, como una reserva, visita o servicio, verificada en el sistema. Las búsquedas masivas, exploratorias o sin finalidad de atención estarán prohibidas y serán objeto de controles y trazabilidad.

10. Satisfacción, observaciones y prevención de discriminación

Las opiniones, incidencias y reclamaciones podrán ser utilizadas para resolver solicitudes, prevenir reiteración de fallas y mejorar el servicio, con acceso limitado al establecimiento responsable y al personal de NXUM facultado para tal propósito. Los sistemas podrán derivar indicaciones neutrales y accionables, tales como preferencia por atención ágil, comunicación clara o seguimiento oportuno, cuando existan datos suficientes, fundamento válido y pertinencia para la visita.

NXUM no generará ni compartirá entre establecimientos etiquetas estigmatizantes, listas negras, «clientes difíciles», riesgos de comportamiento o puntajes negativos basados de manera exclusiva en quejas, reclamaciones legítimas o valoraciones subjetivas. Tampoco permitirá denegaciones automáticas, trato discriminatorio, penalizaciones o decisiones adversas sin fundamento comprobable y revisión humana. Las observaciones relevantes podrán ser cuestionadas y rectificadas por el titular.

Entre establecimientos distintos solo podrán compartirse indicaciones de atención neutras y orientadas al servicio, tales como preferencia por atención ágil, interés en que se le informen los tiempos de preparación o preferencia por un trato más reservado. Estas indicaciones no revelarán la existencia, el contenido ni el número de quejas o reclamaciones, ni el establecimiento donde se presentaron.

11. Alergias alimentarias y seguridad del cliente

Las alergias alimentarias y condiciones médicas relacionadas se considerarán datos sensibles de salud. Cuando el titular decida informarlas, NXUM podrá habilitar una memoria específica de seguridad alimentaria y alertas entre establecimientos que ofrezcan alimentos o bebidas, solo mediante autorización explícita, específica y facultativa obtenida al registrar dicha información. El rechazo de esa autorización no impedirá realizar reservas ordinarias ni usar los servicios generales.

La autorización de alergias podrá conservarse para futuras visitas hasta su revocatoria, sin tener que solicitarse nuevamente en cada reserva, siempre que no cambien sustancialmente las finalidades ni los destinatarios informados. La información solo se pondrá a disposición del personal que necesite conocerla para preparar o servir alimentos o bebidas en un establecimiento donde exista una relación activa con el titular.

Las alertas indicarán que la información debe confirmarse con el cliente antes de cada servicio y no sustituyen controles de ingredientes, prevención de contaminación cruzada ni protocolos de seguridad alimentaria. El titular podrá actualizar o eliminar sus declaraciones. Las alergias no se emplearán para afinidades comerciales, puntuación de clientes, entrenamiento de modelos generales, publicidad o cruce indiscriminado con servicios de otros sectores.

12. Servicios de bienestar, spas, deporte, salud y menores

En servicios de pádel, ocio, spa o bienestar podrán tratarse reservas, horarios, preferencias generales de actividad y recurrencia bajo finalidades autorizadas. Si la información revela tratamientos médicos, diagnósticos, historial sanitario, discapacidad, datos biométricos u otras categorías sensibles, se exigirá una autorización explícita y salvaguardias reforzadas cuando corresponda, sin incorporar esos datos al perfil comercial o de afinidades generales del Universo NXUM.

En VITA, atención clínica u otros servicios sanitarios, los datos de salud se utilizarán únicamente para finalidades asistenciales, de agendamiento o legalmente habilitadas, sin divulgarse transversalmente a restaurantes, retail u otros establecimientos por la simple pertenencia al Universo NXUM. Los datos de trabajadores y candidatos de People tampoco podrán incorporarse a perfiles de consumidores.

El tratamiento de datos de niños, niñas y adolescentes observará su interés superior, sus derechos prevalentes, el deber de informar y, cuando proceda, la autorización de sus representantes y el derecho del menor a ser escuchado.

No se activará perfilamiento transversal de menores por defecto.

La personalización transversal del Universo NXUM solo se ofrecerá a personas mayores de dieciocho (18) años. Respecto de niños, niñas y adolescentes, únicamente podrá activarse con la autorización de su representante legal y en atención a su interés superior.

13. CORTEX, analítica y modelos estadísticos

NXUM podrá emplear CORTEX y sus herramientas de analítica para estudiar tendencias de demanda, preferencias agregadas, patrones de visitas, tiempos de servicio, categorías de consumo, satisfacción, rendimiento de funciones y calidad de experiencia, así como desarrollar, evaluar, ajustar y mejorar modelos estadísticos y de inteligencia artificial. Para la investigación y el aprendizaje general del producto se priorizarán datos agregados y verdaderamente anonimizados, con técnicas razonables para impedir la identificación o reidentificación de titulares.

La transformación de datos personales de origen en resultados anonimizados deberá apoyarse en un tratamiento previamente legítimo y, cuando la información proceda de un establecimiento responsable, en las instrucciones, acuerdos o facultades pertinentes. La anonimización no equivale a reemplazar nombres por códigos reversibles.

NXUM establecerá controles frente a grupos pequeños, combinaciones identificables, cruces entre fuentes y eventuales intentos de reconstrucción.

Los resultados estadísticos o modelos generales no deberán permitir conocer las transacciones individuales de clientes ni revelar información comercial confidencial de establecimientos de origen. El uso de información empresarial de cada establecimiento para métricas comparativas, benchmarking o entrenamiento se sujetará adicionalmente a sus contratos y a las limitaciones de confidencialidad aplicables.

Cuando se empleen datos personales identificables para crear perfiles individualizados o para otras funciones de IA, se verificará una autorización o habilitación específica, minimización, controles de seguridad, evaluación de riesgos y respeto de los derechos del titular. Esta Política no constituye autorización general para entrenar sistemas externos con registros nominales de clientes.

14. Inteligencia artificial, transparencia y decisiones

NXUM podrá utilizar sistemas automatizados para calcular afinidades, ordenar recomendaciones, estimar duración de reservas y asistir al personal de atención, con base en información pertinente y de calidad. Se aplicarán criterios de idoneidad, necesidad, razonabilidad y proporcionalidad, controles de sesgo y seguridad, y evaluaciones de impacto cuando los riesgos lo requieran, conforme a las instrucciones vigentes de la Superintendencia de Industria y Comercio.

Las predicciones no reemplazarán el criterio del establecimiento ni justificarán decisiones jurídicas o significativamente adversas basadas exclusivamente en perfiles automatizados. El titular podrá solicitar información sobre el uso de sus datos, corregir preferencias inexactas y desactivar la memoria transversal futura, sin perjuicio de la información que deba conservarse legalmente.

15. Consentimiento y posibilidad de reservar sin memoria

La autorización para tratar datos indispensables en la gestión de una reserva se solicitará con información previa, clara y verificable. La memoria de preferencias entre establecimientos y sectores es una finalidad adicional y voluntaria; podrá ofrecerse mediante un único control afirmativo visible para esa finalidad, sin que la negativa impida confirmar una reserva o recibir servicios que puedan prestarse sin dicha memoria.

El titular podrá aceptar la personalización transversal una vez y mantenerla en sus futuras interacciones mientras la autorización continúe vigente y no se alteren sustancialmente los fines informados. Podrá también revocarla o desactivarla a través de los canales disponibles. La autorización para datos sensibles de salud, incluidas alergias, se obtendrá explícitamente cuando esos datos se soliciten; una casilla general de reserva no la sustituye.

Las autorizaciones deberán poder demostrarse, incluyendo identidad o identificador del titular, texto y versión aceptados, finalidad, momento, fuente, establecimiento o canal de captura, evidencia de aceptación y revocatorias.

El silencio, las casillas premarcadas o la sola presencia en un establecimiento no se presumirán consentimiento.

Cada texto breve de autorización presentado en reservas, puntos de venta o aplicaciones tendrá un identificador de versión propio vinculado a esta Política, y el registro de cada autorización indicará la versión del texto que el titular aceptó. Quien haya otorgado la autorización de memoria transversal no deberá otorgarla de nuevo en cada reserva mientras siga vigente; quien la haya negado o retirado podrá encontrarla nuevamente como opción desmarcada, sin que se le insista ni se condicione su reserva.

16. Destinatarios y circulación restringida

Los datos personales podrán ser conocidos por: (i) personal autorizado de NXUM según su función; (ii) establecimientos con los que exista relación del titular y finalidad legítima de acceso; (iii) proveedores encargados de alojamiento, infraestructura, notificaciones, autenticación, soporte, pagos o análisis cuando resulte necesario; y (iv) autoridades u otros sujetos legitimados conforme a la ley.

Los establecimientos recibirán sus registros operativos propios y, cuando estén autorizados, atributos generales de personalización relevantes para la atención. NXUM implementará segregación por organización, sede y rol; restricciones por finalidad; controles de consulta y auditoría. Los proveedores deberán observar obligaciones contractuales de confidencialidad, seguridad, limitación de uso y gestión de incidentes.

17. Transferencias, transmisiones y proveedores internacionales

La operación tecnológica podrá involucrar proveedores de infraestructura o procesamiento con servidores o personal ubicados fuera de Colombia. NXUM diferenciará la transmisión internacional a encargados que actúan bajo instrucciones y contrato de la transferencia internacional a responsables que deciden sobre el tratamiento, y cumplirá los requisitos del artículo 26 de la Ley 1581 de 2012 y las normas reglamentarias pertinentes.

Los contratos con proveedores deberán definir alcances, finalidades, medidas de seguridad, confidencialidad, subencargados, retorno o eliminación de información y mecanismos de asistencia ante solicitudes de titulares e incidentes. Cuando la ubicación o naturaleza del destinatario exija medidas o autorizaciones especiales, se adoptarán antes de habilitar el flujo. La existencia de proveedores cloud o de IA no autoriza por sí misma un uso ilimitado de los datos.

18. Comunicaciones y usos ajenos a la atención

Los mensajes indispensables para confirmar, modificar o coordinar una reserva o servicio podrán enviarse por los canales informados y jurídicamente habilitados. Las campañas publicitarias, comunicaciones comerciales masivas, ofertas promocionales remitidas fuera del contexto de atención y otras finalidades no necesarias deberán contar con el permiso independiente y con las condiciones legales aplicables. La memoria de preferencias no constituye, por sí sola, autorización para dichas campañas.

Las recomendaciones contextuales ofrecidas durante una atención autorizada se limitarán a productos o servicios disponibles, pertinentes y no discriminatorios, sin divulgar historias ajenas ni utilizar información sensible con finalidad comercial.

19. Seguridad, acceso y confidencialidad

NXUM aplicará medidas administrativas, técnicas y contractuales razonables conforme al riesgo, entre ellas autenticación robusta, gestión de permisos, controles de acceso por rol y establecimiento, cifrado en tránsito y en reposo cuando corresponda, registro de consultas, segregación de datos, gestión de credenciales, prevención de extracción masiva, copias de seguridad, pruebas de vulnerabilidades y procedimientos de respuesta a incidentes.

La consulta de preferencias transversales dependerá de una relación legítima vigente con el titular, consentimiento válido y finalidad de servicio. Los accesos injustificados o las búsquedas basadas únicamente en conocer el número de teléfono estarán prohibidos. El personal y los terceros autorizados estarán sujetos a reserva y capacitación. Ante incidentes, NXUM y los establecimientos atenderán los deberes legales de evaluación, documentación, contención y notificación que correspondan.

20. Conservación, anonimización y supresión

Los datos personales se conservarán únicamente durante el tiempo necesario para las finalidades autorizadas, la operación legítima y los deberes de conservación que resulten aplicables. NXUM administrará plazos por categoría y uso y no interpretará la aceptación de esta Política como consentimiento indefinido. Los registros de autorizaciones se mantendrán el tiempo razonablemente necesario para acreditar su obtención y atender obligaciones de cumplimiento.

Vencido el plazo aplicable o atendida una solicitud procedente, se eliminarán, bloquearán o anonimizarán efectivamente los datos, salvo información que deba preservarse por obligación legal, reclamación o defensa de derechos. El cierre de una cuenta no implica eliminar registros legales que corresponda retener a establecimientos responsables; sí obliga a cesar usos futuros que carezcan de fundamento, incluida la personalización transversal revocada.

21. Derechos del titular

El titular podrá conocer y acceder gratuitamente a sus datos; actualizarlos o rectificarlos; solicitar prueba de su autorización; conocer su uso; formular consultas o reclamos; solicitar supresión o revocatoria cuando proceda; y presentar queja ante la Superintendencia de Industria y Comercio después de agotar el procedimiento correspondiente. Podrá además pedir revisión de preferencias inferidas, corregir asociaciones por teléfono y retirar la autorización para memoria transversal, sin afectar reservas que puedan gestionarse por separado.

Los derechos podrán ejercerse por el titular, sus causahabientes, representantes o personas legitimadas de conformidad con la ley, previa verificación razonable de identidad o representación. NXUM no exigirá información excesiva para atender la solicitud.

22. Canales y procedimiento para consultas y reclamos

La unidad encargada de atender consultas y reclamos de protección de datos es el Área de Privacidad y Atención de Titulares de NEXT HUMAN LAB S.A.S. Los titulares podrán presentar solicitudes en info@nxum.app, a través de los medios habilitados en las aplicaciones o en la dirección Avenida Carrera 45 No. 114-44, Bogotá D. C., Colombia; línea de contacto +57 316 334 5920. La solicitud deberá describir el asunto y aportar información razonable que permita identificar al solicitante.

Las consultas serán atendidas dentro de los diez (10) días hábiles contados desde su recepción, con la prórroga legal de hasta cinco (5) días hábiles adicionales cuando proceda y previa información al interesado. Los reclamos serán resueltos dentro de quince (15) días hábiles contados desde el día siguiente a su recepción completa, con prórroga legal máxima de ocho (8) días hábiles adicionales cuando corresponda. Si la petición está incompleta o la debe resolver otro responsable, se seguirá el procedimiento establecido en la Ley 1581 de 2012.

23. Cambios de finalidad, actualizaciones y vigencia

NXUM podrá actualizar esta Política por cambios legales, tecnológicos u operativos, informando las modificaciones sustanciales por mecanismos adecuados. Las nuevas finalidades, la incorporación de categorías sensibles o la ampliación material de destinatarios o tipos de tratamiento no quedarán autorizadas retroactivamente por la mera publicación de una versión modificada; cuando sea exigible se solicitará nueva autorización.

La presente versión se identifica como NXUM-PTDP-CO-5.1, con fecha documental 4 de noviembre de 2026, y entrará en vigor desde su aprobación y publicación efectiva en los canales institucionales del responsable y las interfaces pertinentes. La fecha de entrada en vigencia y la versión aplicable estarán disponibles en los canales oficiales de información de NXUM.

24. Normativa aplicable

La presente Política se interpreta conforme a la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones aplicables de la Superintendencia de Industria y Comercio, incluida la Circular Externa 002 del 21 de agosto de 2024 sobre tratamiento de datos personales en sistemas de inteligencia artificial y las disposiciones vigentes sobre transferencias y transmisiones de información. En materias especiales se aplicarán, además, las normas sectoriales pertinentes.

NEXT HUMAN LAB S.A.S. inscribirá y actualizará sus bases de datos en el Registro Nacional de Bases de Datos administrado por la Superintendencia de Industria y Comercio cuando le resulte exigible.

Anexo A — Textos breves de autorización vigentes

TXT-RES-1.0 (informativo, debajo del botón de confirmar): «Al confirmar, autorizas a NXUM y a [Establecimiento] a usar tus datos para gestionar tu reserva. [Política de privacidad]»

TXT-MEM-1.0 (casilla opcional, nunca premarcada): «Quiero que NXUM recuerde mis gustos y preferencias para personalizar mi experiencia en este y otros negocios del Universo NXUM. Puedo retirarlo cuando quiera.»

TXT-ALG-1.0 (casilla opcional, solo al registrar una alergia, nunca premarcada): «Autorizo usar esta alergia (dato de salud, opcional) solo para cuidar mi seguridad en los negocios de comida del Universo NXUM.»

NEXT HUMAN LAB S.A.S. · NIT 902.055.072-9 · Bogotá D. C., Colombia · info@nxum.app · Versión NXUM-PTDP-CO-5.1