Política de tratamiento de datos personales

1. Responsable del Tratamiento

LUKIO SAS, identificado con NIT 901.111.111, con domicilio en Madrid, Cundinamarca, Colombia, que opera la plataforma bajo el nombre comercial "Lukio" (en adelante, "Lukio", "nosotros", el "Responsable"). Canal de contacto para temas de datos personales: soporte@lukio.com.co.

2. Definiciones

Dato personal: información vinculada a una o varias personas naturales determinadas o determinables.

Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (origen racial, salud, orientación sexual, entre otros). Lukio no recolecta datos sensibles como parte del funcionamiento normal de la Plataforma.

Titular: persona natural cuyos datos son objeto de tratamiento.

Responsable del Tratamiento: quien decide sobre la base de datos y/o el tratamiento de los datos.

Encargado del Tratamiento: quien realiza el tratamiento de datos personales por cuenta del Responsable.

Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.

Autorización: consentimiento previo, expreso e informado del Titular para el tratamiento de sus datos personales.

3. ¿A quiénes aplica esta Política?

Esta Política aplica a tres grupos de titulares, con roles distintos de Lukio frente a cada uno:

Titular

Datos tratados

Rol de Lukio

Cliente (dueño/administrador del restaurante) y sus empleados con cuenta en la Plataforma (cajero, mesero, cocina)

Nombre, correo electrónico, rol asignado, nombre del restaurante, logo

Responsable del Tratamiento

Comensales / clientes finales del restaurante (pedidos a domicilio)

Nombre, teléfono, dirección de entrega

Encargado del Tratamiento (por instrucción del Cliente, que es el Responsable frente a estos titulares)

Proveedores del restaurante

Nombre de la empresa, nombre de contacto, teléfono, correo, condiciones comerciales

Encargado del Tratamiento (por instrucción del Cliente)

Cuando Lukio actúa como Encargado del Tratamiento, el Cliente (restaurante) es el Responsable frente a los comensales y proveedores, y debe contar con la autorización o base legal correspondiente frente a dichos titulares antes de registrarlos en la Plataforma, según se establece en los Términos y Condiciones de Lukio.

4. Datos que recolectamos

4.1 Datos de la cuenta y de los usuarios de la Plataforma

Nombre completo del Cliente y de cada empleado registrado (perfil).

Correo electrónico, usado para autenticación, recuperación de acceso y envío de reportes de turno.

Rol asignado dentro del sistema (administrador, cajero, mesero, cocina).

Nombre comercial y logo del restaurante.

Contraseña: no la almacenamos directamente; es gestionada de forma cifrada por nuestro proveedor de autenticación (Supabase Auth).

4.2 Datos ingresados por el Cliente sobre comensales (pedidos a domicilio)

Nombre del cliente final.

Número de teléfono.

Dirección de entrega.

4.3 Datos de proveedores

Nombre de la empresa y de la persona de contacto, teléfono, correo electrónico y condiciones comerciales (plazos de entrega, crédito) registradas por el Cliente.

4.4 Datos de pagos y facturación

La Plataforma únicamente registra el monto y el método de pago de cada venta (efectivo, tarjeta o transferencia) para efectos del cuadre de caja del restaurante. Lukio no recolecta ni almacena números de tarjeta, códigos de seguridad ni información bancaria de los comensales del restaurante.

Para el cobro de la suscripción del Cliente, los datos de pago (tarjeta, cuenta bancaria para PSE, etc.) son capturados y procesados directamente por la pasarela de pagos utilizada (por ejemplo, PSE o Wompi), bajo su propia política de privacidad y estándares de seguridad; Lukio no accede ni almacena esa información financiera.

4.5 Datos técnicos

Al usar la Plataforma se pueden generar registros técnicos (logs) asociados al uso del sistema, con fines de seguridad, soporte y prevención de fraude.

5. Finalidades del tratamiento

Lukio trata los datos personales descritos para las siguientes finalidades:

Crear y administrar la cuenta del Cliente y de sus empleados, incluyendo la autenticación y asignación de roles y permisos.

Prestar las funcionalidades de la Plataforma (toma de pedidos, cocina, inventario, caja, reportes).

Enviar el reporte de cierre de turno al correo electrónico designado por el Cliente.

Procesar la facturación y el cobro de la suscripción.

Brindar soporte técnico y atender solicitudes del Cliente.

Prevenir fraude, proteger la seguridad de la Plataforma y cumplir con las políticas de aislamiento entre restaurantes (multi-tenant).

Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

Enviar comunicaciones relacionadas con el servicio (cambios en los Términos, mantenimiento, nuevas funcionalidades).

Permitir al Cliente registrar y gestionar los datos de sus propios comensales (delivery) y proveedores, como Encargados del Tratamiento por cuenta e instrucción del Cliente.

6. Con quién compartimos tus datos

Lukio no vende ni comercializa datos personales con fines publicitarios de terceros. Solo compartimos datos personales en los siguientes casos, y únicamente en la medida necesaria:

Proveedores de infraestructura tecnológica que actúan como Encargados del Tratamiento por instrucción de Lukio: Supabase (base de datos, autenticación, almacenamiento de archivos y funciones en la nube) y Resend (envío del reporte de cierre de turno por correo electrónico).

La pasarela de pagos elegida por Lukio para cobrar la suscripción (por ejemplo, PSE o Wompi): el Cliente le entrega directamente sus datos de pago a dicho proveedor; Lukio no interviene en ese intercambio de información financiera ni la recibe.

Autoridades judiciales, administrativas o de control, cuando exista un requerimiento legal válido (por ejemplo, la Superintendencia de Industria y Comercio, la DIAN o un juez de la República).

Un eventual comprador o adquirente de Lukio, en caso de fusión, adquisición o venta de activos, sujeto a que dicho tercero asuma las obligaciones de esta Política frente a los Titulares.

En todos los casos, Lukio exige a los terceros involucrados el cumplimiento de estándares razonables de seguridad y confidencialidad sobre la información que reciben.

7. Autorización del Titular

La autorización para el tratamiento de datos de la cuenta (Cliente y empleados) se obtiene al momento del registro en la Plataforma, mediante la aceptación expresa de esta Política y de los Términos y Condiciones.

Respecto de los datos de comensales y proveedores, corresponde al Cliente (como Responsable frente a dichos titulares) obtener la autorización o contar con la base legal correspondiente antes de registrar dicha información en la Plataforma, e informarles sobre el tratamiento de sus datos conforme a la normativa vigente.

8. Derechos de los Titulares

De conformidad con la Ley 1581 de 2012, todo Titular tiene derecho a:

Conocer, actualizar y rectificar sus datos personales.

Solicitar prueba de la autorización otorgada, salvo que la ley exceptúe este requisito.

Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.

Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la normativa de protección de datos.

Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida eliminarlo.

Acceder de forma gratuita a sus datos personales tratados.

9. Procedimiento para ejercer los derechos, incluida la eliminación de datos

¿Quieres que eliminemos tus datos? Escríbenos a soporte@lukio.com.co con el asunto "Eliminar mis datos", indicando tu nombre completo y el correo con el que estás registrado. Atenderemos la solicitud dentro de los plazos legales indicados abajo. Si tus datos fueron ingresados por un restaurante que usa Lukio (por ejemplo, como comensal de un pedido a domicilio), te ayudaremos a identificar y contactar al restaurante responsable, que es quien debe atender la solicitud como Responsable del Tratamiento; Lukio, como Encargado, ejecutará la eliminación técnica una vez el restaurante la autorice o instruya.

Para cualquier otro derecho (conocer, actualizar, rectificar, revocar la autorización o presentar un reclamo), el Titular (o su causahabiente, o representante con poder) puede ejercerlo enviando una solicitud a soporte@lukio.com.co, indicando: (i) nombre completo e identificación; (ii) descripción clara de la solicitud (consulta, reclamo, actualización, supresión o revocatoria); y (iii) los documentos que acrediten la solicitud, cuando aplique.

Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo, prorrogable por cinco (5) días hábiles adicionales cuando no sea posible atenderla en dicho plazo, informando al Titular los motivos de la demora. Los reclamos serán atendidos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de recibo, pudiendo extenderse por ocho (8) días hábiles adicionales cuando sea necesario, previa comunicación al Titular.

Cuando la solicitud se refiera a datos de comensales o proveedores tratados por instrucción del Cliente, Lukio remitirá la solicitud al Cliente correspondiente (Responsable de esos datos) para que este la atienda, sin perjuicio de la colaboración técnica que Lukio pueda prestar como Encargado del Tratamiento.

10. Transferencia y transmisión internacional de datos

Como se explicó en la sección 6, para la prestación del Servicio Lukio utiliza proveedores de infraestructura tecnológica (Supabase y Resend) que pueden almacenar o procesar datos personales en servidores ubicados fuera de Colombia.

Al aceptar esta Política, el Titular autoriza expresamente estas transmisiones y transferencias internacionales de datos, necesarias para la prestación del Servicio, entendiendo que Lukio exige contractualmente a dichos proveedores estándares de seguridad y confidencialidad razonables. Lukio revisará periódicamente si dichas transferencias requieren mecanismos adicionales (como cláusulas contractuales) conforme a las guías de la Superintendencia de Industria y Comercio.

11. Seguridad de la información

Lukio implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra pérdida, acceso no autorizado, uso indebido, alteración o divulgación, entre ellas:

Comunicación cifrada mediante HTTPS/TLS entre la aplicación y los servidores.

Aislamiento de datos por restaurante mediante políticas de seguridad a nivel de base de datos (Row Level Security), de forma que un restaurante no puede acceder a los datos de otro.

Autenticación basada en tokens (JWT) gestionada por un proveedor especializado, con expiración y renovación controlada.

Gestión de contraseñas a cargo del proveedor de autenticación; Lukio nunca almacena contraseñas en texto plano.

Registro de auditoría para operaciones sensibles, como la cancelación de ítems de una orden.

Limitación conocida: para permitir el funcionamiento sin conexión a internet, la Plataforma guarda una copia temporal de cierta información (mesas, órdenes, productos, perfil) en el almacenamiento local del dispositivo, la cual actualmente no se encuentra cifrada. Por esta razón, recomendamos a los Clientes proteger físicamente los dispositivos usados para operar la Plataforma (bloqueo de pantalla, cuentas individuales por empleado) y reportar de inmediato cualquier pérdida o hurto a soporte@lukio.com.co.

Ningún sistema es enteramente inmune a riesgos de seguridad. En caso de una vulneración de la seguridad que afecte la confidencialidad, integridad o disponibilidad de datos personales, Lukio informará a la Superintendencia de Industria y Comercio y a los Titulares afectados, conforme a lo exigido por la normativa aplicable.

12. Conservación de los datos

Los plazos de conservación varían según el tipo de dato:

Datos de la cuenta, del Cliente y de sus empleados: se conservan mientras la suscripción esté activa. Si el Cliente cancela su cuenta, Lukio conserva la información hasta por treinta (30) días calendario adicionales para permitir su exportación (ver Cláusula 15 de los Términos y Condiciones), y luego la elimina o anonimiza, salvo que exista una obligación legal de conservarla por más tiempo.

Datos de comensales y proveedores (ingresados por el Cliente): se conservan mientras el Cliente los mantenga activos en su cuenta, o hasta que el Cliente los elimine directamente desde la Plataforma. Al terminar la relación contractual con Lukio, siguen la misma regla del punto anterior.

Registros de auditoría y de seguridad (por ejemplo, el log de cancelaciones de ítems): se conservan durante la vigencia de la cuenta y hasta doce (12) meses después de su cancelación, salvo que deban conservarse por más tiempo para investigar un incidente de seguridad o atender un requerimiento legal.

Lukio recuerda que, como comerciante, el Cliente puede estar obligado por el Código de Comercio colombiano a conservar sus propios libros y soportes contables (que pueden incluir ventas, gastos e inventario) por plazos legales más largos (hasta 10 años); esa obligación es del Cliente, no de Lukio, y puede requerir que el Cliente exporte y archive esa información antes de que Lukio la elimine de la Plataforma.

13. Menores de edad

La Plataforma está diseñada para el uso de negocios y de personas mayores de edad. Lukio no dirige la recolección de datos a menores de edad ni solicita conscientemente datos de comensales que sean menores como parte del flujo normal de pedidos a domicilio; en caso de que dicha información se registre, corresponde al Cliente contar con la autorización de los representantes legales del menor conforme a la ley.

14. Cambios en esta Política

Lukio podrá modificar esta Política para reflejar cambios normativos, operativos o tecnológicos. Los cambios sustanciales serán informados a los Clientes por correo electrónico o mediante aviso dentro de la Plataforma, indicando la fecha de la nueva versión.

15. Autoridad de control

La autoridad competente en materia de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales, ante quien los Titulares pueden presentar quejas relacionadas con el tratamiento de sus datos.

16. Contacto

Para preguntas, solicitudes o reclamos relacionados con el tratamiento de datos personales, escríbenos a soporte@lukio.com.co.