POLÍTICA DE TRATAMIENTO Y PROTECCIÓN DE DATOS PERSONALES

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

MAXIMIZA S.A.S., sociedad comercial identificada con NIT 900.490.382-4, que opera bajo el nombre comercial Mawá, es la persona jurídica responsable del tratamiento de los datos personales recolectados a través de sus canales físicos y digitales.

2. MARCO LEGAL

La presente política se rige por la normatividad colombiana vigente en materia de protección de datos personales, principalmente:

• Artículo 15 de la Constitución Política de Colombia (derecho al habeas data).
• Ley Estatutaria 1581 de 2012 (Régimen General de Protección de Datos Personales).
• Decreto Reglamentario 1377 de 2013 (compilado en el Decreto Único 1074 de 2015).
• Decreto 886 de 2014 (Registro Nacional de Bases de Datos).
• Decreto 090 de 2018 (modificación del ámbito de aplicación del RNBD).
• Sentencias de la Corte Constitucional y circulares de la Superintendencia de Industria y Comercio (SIC) aplicables.
• Guía sobre Protección de Datos Personales en Sistemas de Videovigilancia, expedida por la SIC.

3. DEFINICIONES

Para efectos de la presente política, se adoptan las siguientes definiciones conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013:

• Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: Dato que la ley o la Constitución han determinado como público y cuya recopilación no requiere autorización del titular (por ejemplo, nombre, profesión, estado civil).
• Dato semiprivado: Dato que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento interesa no solo al titular sino a cierto sector o grupo (por ejemplo, información financiera y crediticia).
• Dato privado: Dato que por su naturaleza íntima o reservada solo es relevante para el titular (por ejemplo, dirección de residencia, teléfono personal).
• Dato sensible: Dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (por ejemplo, origen racial, convicciones religiosas, datos de salud, orientacion sexual, datos biométricos).
• Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
• Responsable del tratamiento: Persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos. Para efectos de esta política, MAXIMIZA S.A.S.
• Encargado del tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
• Aviso de privacidad: Comunicación verbal o escrita dirigida al titular para informarle sobre la existencia de las políticas de tratamiento que le serán aplicables y la forma de acceder a ellas.
• Base de datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
• Transferencia: Envío de datos personales por el responsable a un tercero (otro responsable) dentro o fuera de Colombia.
• Transmisión: Comunicación de datos personales por el responsable al encargado, dentro o fuera de Colombia, para que este realice el tratamiento por cuenta del responsable.

4. PRINCIPIOS RECTORES DEL TRATAMIENTO

MAXIMIZA S.A.S. aplicará los siguientes principios en el tratamiento de datos personales, conforme al artículo 4 de la Ley 1581 de 2012:

• Principio de legalidad: El tratamiento es una actividad reglada que debe sujetarse a la ley y demás disposiciones que la desarrollen.
• Principio de finalidad: El tratamiento debe obedecer a una finalidad legítima, la cual debe ser informada al titular.
• Principio de libertad: El tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del titular.
• Principio de veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada y comprobable.
• Principio de transparencia: En el tratamiento debe garantizarse el derecho del titular a obtener información acerca de la existencia de datos que le conciernan.
• Principio de acceso y circulación restringida: El tratamiento solo podrá hacerse por las personas autorizadas por el titular y/o por las previstas en la ley.
• Principio de seguridad: La información sujeta a tratamiento se deberá manejar con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros.
• Principio de confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales están obligadas a garantizar la reserva de la información.

5. TRATAMIENTO Y FINALIDADES

MAXIMIZA S.A.S., a través de su establecimiento comercial Mawá (www.mawa.com.co), recolecta y trata datos personales para las siguientes finalidades, según el tipo de titular:

5.1. Clientes y usuarios

• Gestionar reservas de alojamiento en el hotel, mesas en el restaurante y actividades de recreación.
• Procesar compras de servicios realizadas a través del sitio web www.mawa.com.co o de forma presencial.
• Realizar el proceso de facturación, cobro y envío de comprobantes electrónicos.
• Enviar confirmaciones, recordatorios y comunicaciones relacionadas con los servicios contratados.
• Enviar información comercial, promociones, ofertas y novedades de los servicios de Mawá, previa autorización específica del titular.
• Realizar encuestas de satisfacción y estudios de mercado.
• Atender peticiones, consultas, quejas y reclamos.
• Cumplir obligaciones legales y regulatorias (tributarias, contables, de seguridad, migratorias, entre otras).
• Garantizar la seguridad de los huéspedes y usuarios dentro de las instalaciones del establecimiento, incluyendo el monitoreo a través del sistema de circuito cerrado de televisión (CCTV).
• Gestionar programas de fidelización, en caso de que se implementen.

5.2. Proveedores y aliados comerciales

• Gestionar la relación contractual y comercial.
• Realizar pagos y cumplir obligaciones tributarias.
• Evaluar la calidad de los productos y servicios suministrados.

5.3. Empleados y colaboradores

• Ejecutar el contrato laboral o de prestación de servicios.
• Cumplir obligaciones legales en materia laboral, de seguridad social y salud ocupacional.
• Gestionar procesos de selección, capacitación y evaluación del desempeño.

6. DATOS PERSONALES QUE SE RECOLECTAN

Dependiendo de la relación con el titular, MAXIMIZA S.A.S. podrá recolectar los siguientes tipos de datos personales:

6.1. Datos de identificación

Nombres y apellidos, tipo y número de documento de identidad, fecha de nacimiento, nacionalidad, sexo, estado civil, firma.

6.2. Datos de contacto

Dirección de residencia o domicilio, correo electrónico, número(s) de teléfono fijo y/o celular.

6.3. Datos de transacciones comerciales

Historial de reservas y compras, preferencias de servicio, método de pago utilizado (sin almacenar datos completos de tarjeta de crédito, los cuales son gestionados exclusivamente por la pasarela de pago certificada).

6.4. Datos de navegación web

Dirección IP, tipo de navegador, cookies, datos de sesión y comportamiento de navegación en el sitio www.mawa.com.co, conforme a la política de cookies publicada en el sitio.

6.5. Datos sensibles (cuando aplique)

MAXIMIZA S.A.S. podrá recolectar datos sensibles únicamente cuando sea estrictamente necesario para la prestación de sus servicios y con autorización expresa del titular. Estos pueden incluir:

• Restricciones alimentarias o alergias (para servicios de restaurante).
• Condiciones médicas relevantes para la participación en actividades de recreación.
• Datos biométricos: imágenes faciales y corporales captadas por el sistema de videovigilancia (CCTV) del establecimiento.

En ningún caso se condicionará la prestación de servicios a que el titular suministre datos sensibles. Se informará al titular, de manera expresa y previa, que no esta obligado a autorizar el tratamiento de estos datos y se le explicará cuales datos sensibles serán tratados y con que finalidad.

6.6. Datos de menores de edad

MAXIMIZA S.A.S. podrá tratar datos de menores de edad únicamente con la autorización previa del representante legal, respetando el interés superior del menor y su derecho a ser escuchado. El tratamiento se limitará a lo estrictamente necesario para la prestación de los servicios contratados (por ejemplo, actividades de recreación).

7. AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS PERSONALES

MAXIMIZA S.A.S. obtendrá la autorización previa, expresa e informada del titular para el tratamiento de sus datos personales. Esta autorización podrá ser otorgada a través de:

• Aceptación electrónica mediante checkbox en el sitio web www.mawa.com.co al momento de registro, reserva o compra.
• Formato físico de autorización firmado por el titular en las instalaciones del establecimiento.
• Manifestación verbal registrada y documentada por medios verificables.
• Conducta inequívoca del titular que permita concluir razonablemente que otorgó la autorización, conforme al artículo 7 del Decreto 1377 de 2013.

MAXIMIZA S.A.S. conservará prueba de la autorización otorgada por el titular (fecha, hora, medio de obtención y texto aceptado) y la pondrá a disposición del titular cuando este la solicite.

7.1. Autorización para comunicaciones comerciales

El envío de información comercial, promociones u ofertas requerirá una autorización específica y separada del titular. Esta autorización podrá ser revocada en cualquier momento a través de los canales dispuestos para tal fin.

7.2. Casos en que no se requiere autorización

De conformidad con el artículo 10 de la Ley 1581 de 2012, no se requerirá autorización del titular en los siguientes casos:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las personas.

8. DERECHOS DE LOS TITULARES

De conformidad con el artículo 8 de la Ley 1581 de 2012, los titulares de los datos personales tienen los siguientes derechos:

• Conocer, actualizar y rectificar sus datos personales frente a MAXIMIZA S.A.S. Este derecho se podrá ejercer frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento este expresamente prohibido o no haya sido autorizado.
• Solicitar prueba de la autorización otorgada para el tratamiento de sus datos personales.
• Ser informado por MAXIMIZA S.A.S., previa solicitud, respecto del uso que le ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

9. PROCEDIMIENTO PARA EJERCER LOS DERECHOS

Los titulares podrán ejercer sus derechos de consulta, reclamo, actualización, rectificación, revocatoria y supresión de datos a través de los siguientes canales:

• Correo electrónico: contacto@mawa.com.co
• Correo físico: Calle 24B No 6 - 95
• Presencialmente en las instalaciones de Mawá.

9.1. Consultas

El titular o sus causahabientes podrán consultar la información personal que repose en las bases de datos de MAXIMIZA S.A.S. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresándole los motivos de la demora y señalando la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

9.2. Reclamos

El titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrán presentar un reclamo que contenga como mínimo:

• Identificación del titular (nombre completo y número de documento).
• Descripción de los hechos que dan lugar al reclamo.
• Dirección física o electrónica para recibir respuesta.
• Documentos que desee hacer valer como prueba.

Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes a la recepción para que subsane las fallas. Si transcurridos dos (2) meses desde la fecha del requerimiento el solicitante no presenta la información requerida, se entenderá que ha desistido del reclamo.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

10. DEBERES DE MAXIMIZA S.A.S. COMO RESPONSABLE DEL TRATAMIENTO

En su calidad de responsable del tratamiento, MAXIMIZA S.A.S. se compromete a:

• Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de habeas data.
• Solicitar y conservar copia de la autorización otorgada por el titular.
• Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten.
• Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Actualizar la información cuando sea necesario.
• Rectificar la información cuando sea incorrecta y comunicar lo pertinente al encargado del tratamiento.
• Tramitar las consultas y reclamos formulados en los términos de ley.
• Informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.
• Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

11. MEDIDAS DE SEGURIDAD

MAXIMIZA S.A.S. adoptará las medidas técnicas, humanas y administrativas necesarias para garantizar la seguridad de los datos personales, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado. Entre las medidas implementadas se encuentran:

• Cifrado SSL/TLS (protocolo HTTPS) en el sitio web www.mawa.com.co para proteger la transmisión de datos.
• Uso de pasarelas de pago certificadas bajo estándares PCI-DSS para el procesamiento de transacciones con tarjeta de crédito o débito. MAXIMIZA S.A.S. no almacena datos completos de tarjetas de pago en sus servidores.
• Control de acceso basado en roles para limitar el acceso a los datos personales al personal estrictamente autorizado.
• Almacenamiento seguro de bases de datos con mecanismos de cifrado y copias de respaldo periódicas.
• Acuerdos de confidencialidad con empleados y contratistas que tengan acceso a datos personales.
• Capacitación periódica al personal en materia de protección de datos personales.
• Plan de respuesta ante incidentes de seguridad de la información.
• Revisión y actualización periódica de las medidas de seguridad implementadas.

12. TRANSFERENCIA Y TRANSMISIÓN DE DATOS A TERCEROS

MAXIMIZA S.A.S. podrá transmitir datos personales a terceros encargados del tratamiento que le presten servicios necesarios para el desarrollo de su objeto social, tales como:

• Pasarelas de pago y entidades financieras para el procesamiento de transacciones.
• Plataformas de correo electrónico y comunicaciones para el envío de confirmaciones y comunicaciones.
• Proveedores de servicios de hosting y almacenamiento en la nube.
• Proveedores de herramientas de gestión de clientes (CRM) y analítica.
• Entidades gubernamentales que lo requieran en ejercicio de sus funciones legales.

En todos los casos, MAXIMIZA S.A.S. suscribirá contratos de transmisión de datos personales con los encargados, exigiendo el cumplimiento de la presente política y de la Ley 1581 de 2012. Se prohibe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección, salvo las excepciones previstas en el artículo 26 de la Ley 1581 de 2012, incluyendo la autorización expresa del titular.

13. POLÍTICA DE COOKIES

El sitio web www.mawa.com.co utiliza cookies y tecnologías similares para mejorar la experiencia del usuario, analizar el tráfico web y personalizar el contenido. Al navegar en el sitio, el usuario podrá aceptar o rechazar el uso de cookies no esenciales mediante el banner de cookies desplegado en su primera visita.

Los tipos de cookies utilizados incluyen:

• Cookies esenciales: necesarias para el funcionamiento básico del sitio web (sesión, carrito de compras, seguridad).
• Cookies analíticas: permiten analizar el comportamiento de los usuarios en el sitio para mejorar su funcionalidad.
• Cookies de marketing: utilizadas para mostrar contenido relevante y medir la efectividad de las campañas publicitarias.

El usuario podrá gestionar sus preferencias de cookies en cualquier momento a través de la configuración de su navegador o del enlace de configuración de cookies disponible en el sitio web.

14. SISTEMA DE VIDEOVIGILANCIA (CIRCUITO CERRADO DE TELEVISIÓN)

MAXIMIZA S.A.S. opera un sistema de videovigilancia mediante circuito cerrado de televisión (CCTV) en las instalaciones de Mawá con el propósito de garantizar la seguridad de las personas, los bienes y las instalaciones del establecimiento. Las imágenes captadas a través de este sistema constituyen datos personales de naturaleza biométrica y, en consecuencia, su tratamiento se rige por la Ley 1581 de 2012, el Decreto 1377 de 2013 y la Guía sobre Protección de Datos Personales en Sistemas de Videovigilancia expedida por la Superintendencia de Industria y Comercio.

14.1. Finalidad del sistema de videovigilancia

El sistema de CCTV tiene como finalidad exclusiva:

• Garantizar la seguridad de los huéspedes, comensales, visitantes, empleados y demás personas que ingresen a las instalaciones de Mawá.
• Proteger los bienes muebles e inmuebles del establecimiento.
• Prevenir, disuadir y, en su caso, aportar elementos probatorios en investigaciones relacionadas con conductas delictivas o contrarias a las normas internas del establecimiento.
• Ejercer control de acceso a las áreas del hotel y zonas restringidas.

14.2. Áreas monitoreadas

Las cámaras de videovigilancia se encuentran ubicadas en las áreas comunes y de acceso público del establecimiento, tales como:

• Accesos principales y secundarios (entradas, salidas, recepción).
• Pasillos y áreas de circulación común.
• Zonas de parqueadero.
• Áreas del restaurante y zonas sociales.
• Perímetro exterior de las instalaciones.
• Zonas de recreación y esparcimiento.

En ningún caso se instalaran cámaras de videovigilancia en áreas que afecten la intimidad de las personas, tales como habitaciones del hotel, baños, vestuarios o cualquier otro espacio de carácter íntimo o privado.

14.3. Señalización e información al titular

MAXIMIZA S.A.S. situará avisos informativos visibles en los accesos y áreas monitoreadas que informen a las personas sobre la existencia del sistema de videovigilancia. Dichos avisos contendrán, como mínimo:

• Un símbolo o pictograma que indique claramente que la zona se encuentra videovigilada.
• La identidad del responsable del tratamiento (MAXIMIZA S.A.S.).
• La finalidad del tratamiento (seguridad).
• La referencia a la política de tratamiento de datos personales y los medios para consultarla.

La permanencia voluntaria del titular en las zonas videovigiladas, debidamente señalizadas, se entenderá como autorización para el tratamiento de sus imágenes conforme a la finalidad de seguridad informada, de acuerdo con las directrices de la Superintendencia de Industria y Comercio.

14.4. Almacenamiento y plazo de conservación

Las imágenes captadas por el sistema de CCTV serán almacenadas en sistemas de grabación con acceso restringido por un plazo máximo de treinta (30) días calendario, salvo que las imágenes sean requeridas como soporte o prueba en una investigación, reclamación, proceso judicial, administrativo o disciplinario, caso en el cual serán conservadas hasta la resolución definitiva del asunto. Cumplido el plazo de conservación sin que se haya presentado alguna de estas circunstancias, las grabaciones serán eliminadas de forma segura mediante sobreescritura automática del sistema.

14.5. Acceso a las grabaciones

El acceso a las imágenes del sistema de videovigilancia estará restringido únicamente a:

• El personal de seguridad y administración de MAXIMIZA S.A.S. debidamente autorizado.
• Las autoridades judiciales, administrativas o de policia que las requieran en ejercicio de sus funciones legales.
• El titular de los datos, cuando solicite el acceso a las imágenes que lo involucren, conforme al procedimiento establecido en la presente política.

Las imágenes captadas por el sistema de videovigilancia no serán difundidas, publicadas ni compartidas con terceros no autorizados. Todo el personal con acceso a las grabaciones estará sujeto a acuerdos de confidencialidad y a las obligaciones previstas en la presente política.

14.6. Seguridad del sistema

MAXIMIZA S.A.S. implementará medidas técnicas y administrativas para proteger las grabaciones del sistema de CCTV contra acceso no autorizado, manipulacion, pérdida o destrucción, incluyendo:

• Ubicación segura de los equipos de grabación en áreas de acceso restringido.
• Protección con contraseña de los sistemas de grabación y visualización.
• Registro de accesos a las grabaciones (log de auditoria).
• Mantenimiento preventivo periódico del sistema.

14.7. Servicios de seguridad privada (terceros)

En caso de que MAXIMIZA S.A.S. contrate servicios de seguridad privada o de monitoreo a través de terceros, se celebraran los correspondientes contratos de transmisión de datos personales, exigiendo al encargado el cumplimiento de la Ley 1581 de 2012 y de la presente política de tratamiento de datos personales.

15. VIGENCIA DE LAS BASES DE DATOS Y RETENCIÓN DE DATOS

Los datos personales serán tratados por MAXIMIZA S.A.S. durante el tiempo que sea razonablemente necesario para cumplir con las finalidades que justificaron su recolección, conforme a las disposiciones legales aplicables. En particular:

• Los datos de clientes se conservarán durante la vigencia de la relación comercial y por el plazo adicional que exija la legislacion tributaria y comercial colombiana (actualmente un mínimo de diez años para documentos contables y tributarios).
• Los datos de empleados se conservarán durante la vigencia de la relación laboral y por el plazo de prescripción de las obligaciones laborales conforme a la ley.
• Los datos para fines de mercadeo se conservarán hasta que el titular revoque su autorización.
• Las imágenes del sistema de videovigilancia se conservarán por un máximo de treinta (30) días calendario, conforme a lo establecido en la sección 14 de la presente política.

Una vez cumplida la finalidad del tratamiento y vencido el plazo legal de retención, los datos serán suprimidos de las bases de datos de MAXIMIZA S.A.S.

16. MODIFICACIONES A LA POLÍTICA

MAXIMIZA S.A.S. se reserva el derecho de modificar la presente política en cualquier momento. Cualquier cambio sustancial será comunicado oportunamente a los titulares mediante publicación en el sitio web www.mawa.com.co y, cuando sea necesario, a través de los medios de contacto suministrados por los titulares.

La versión vigente de esta política estará siempre disponible para consulta en el sitio web www.mawa.com.co.

17. VIGENCIA

La presente política de tratamiento de datos personales fue aprobada y entra en vigencia a partir de su publicación en el sitio web www.mawa.com.co en el mes de febrero de 2026.