Política de Tratamiento de Datos Personales

SURGIA es la marca comercial de SUR COMPANY S.A.S., una firma de arquitectura de identidad y crecimiento con inteligencia artificial. A través de este sitio web SURGIA ofrece un diagnóstico orientativo, contenido informativo sobre sus soluciones y canales de contacto para evaluar si existe encaje entre las necesidades de un negocio y los servicios de la firma.

Esta política explica, en lenguaje claro, qué datos personales recolecta SUR COMPANY S.A.S., con qué finalidades los trata, con quién se apoya para operarlos, cuánto tiempo los conserva y cómo cualquier titular puede ejercer sus derechos. Se adopta conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015 y los lineamientos de la Superintendencia de Industria y Comercio (SIC).

Aplica a:

• Visitantes y usuarios del sitio web de SURGIA.
• Personas que completan el Diagnóstico SURGIA o el formulario de contacto (“Hablemos”).
• Prospectos y clientes que se comunican por correo electrónico o WhatsApp.
• Cualquier otro titular cuyos datos sean tratados por SUR COMPANY S.A.S. en el marco de su operación comercial.

Esta política está disponible de forma permanente en esta dirección para consulta de cualquier titular. El envío de formularios que recolectan datos personales requiere la aceptación expresa de la autorización correspondiente, que se otorga mediante la casilla presente en cada formulario. La navegación general del sitio no constituye autorización para recibir comunicaciones comerciales: estas dependen de una casilla opcional e independiente.

• Responsable del tratamiento: SUR COMPANY S.A.S.
• NIT: 900202174-5.
• Domicilio: Calle 12 No. 79A-25, Bodega 18, Parque Industrial Alsacia, Bogotá D. C., Colombia.
• Correo para protección de datos, consultas y reclamos: asesor@surgia.com.
• Marca operada: SURGIA.

El área responsable de la función de protección de datos personales es la Dirección Administrativa de SUR COMPANY S.A.S., que recibe, gestiona y responde las consultas y reclamos de los titulares —incluidas solicitudes de conocer, actualizar, rectificar, suprimir y revocar la autorización— a través del correo asesor@surgia.com.

SUR COMPANY S.A.S. recolecta únicamente los datos necesarios para las finalidades descritas en esta política. No solicitamos datos sensibles ni datos de menores de edad, y no operamos cuentas de usuario, registros ni pagos dentro del sitio.

3.1 Datos suministrados en los formularios

Diagnóstico SURGIA: nombre, apellido (opcional), correo electrónico, número de WhatsApp, país, nombre de la empresa o proyecto, respuestas al cuestionario por pasos, y el registro de la autorización otorgada (y del consentimiento opcional para comunicaciones comerciales).

Hablemos / contacto: nombre, apellido (opcional), correo electrónico, número de WhatsApp, empresa, descripción libre del objetivo o problema a resolver, horizonte temporal, y el registro de la autorización otorgada (y del consentimiento opcional para comunicaciones comerciales).

El campo de texto libre es de diligenciamiento voluntario. Pedimos expresamente no incluir allí datos sensibles (salud, origen étnico, convicciones religiosas o políticas, datos biométricos, orientación sexual) ni datos personales de terceros. El tratamiento de datos de esa naturaleza recibidos sin solicitud se rige por lo previsto en el numeral 3.4.

3.2 Datos técnicos y de contexto

• Identificador de sesión del navegador, fecha y hora de inicio y finalización del diagnóstico, duración y último paso completado.
• Página de entrada, dirección de referencia y parámetros de campaña (utm_source, utm_medium, utm_campaign, utm_content, utm_term) cuando existen.
• Resultado del diagnóstico: puntajes, ruta recomendada y códigos internos de justificación.
• Versiones internas del diagnóstico y de esta política vigentes al momento del envío, junto con la fecha de aceptación.
• Un identificador técnico derivado de la dirección IP del envío, generado mediante un mecanismo criptográfico con clave de servidor (HMAC-SHA256) y truncado, sin conservar la dirección IP en texto claro. Se utiliza exclusivamente para seguridad, prevención de abuso y deduplicación de envíos, y no se emplea para perfilamiento ni para segmentar comunicaciones.

3.3 Información almacenada en el navegador del titular

Para que el diagnóstico pueda retomarse sin perder el avance, el sitio guarda en el almacenamiento local (localStorage) del propio dispositivo únicamente: el progreso y las respuestas no identificables del cuestionario, el resultado provisional, un identificador aleatorio de sesión con los parámetros de origen de la visita, y una marca de expiración técnica.

El navegador no almacena datos de contacto (nombre, correo, WhatsApp, empresa ni texto libre) ni copias de los formularios enviados. Los datos de contacto solo existen en memoria mientras el formulario está abierto y se envían directamente al servidor.

El progreso no enviado se elimina automáticamente a las 24 horas desde la última actividad, junto con el resultado provisional. El titular puede eliminar esta información en cualquier momento borrando los datos del sitio desde su navegador. El detalle de estas tecnologías se ampliará en la Política de Cookies y Tecnologías Similares.

3.4 Datos sensibles y datos de menores de edad

El sitio está dirigido a personas mayores de edad, en contextos empresariales o profesionales. SUR COMPANY S.A.S. no solicita datos sensibles ni datos de niñas, niños y adolescentes. Si se reciben datos sensibles o datos de menores sin haber sido solicitados, SUR COMPANY S.A.S. se abstendrá de utilizarlos para finalidades comerciales y adoptará medidas razonables para su eliminación, restricción o tratamiento conforme a la normativa aplicable.

Los datos personales se tratan exclusivamente para las siguientes finalidades:

• Procesar y entregar el resultado del Diagnóstico SURGIA solicitado por el titular.
• Evaluar la etapa del negocio y su afinidad con las soluciones y rutas que SURGIA describe en el sitio.
• Responder solicitudes, preguntas y mensajes enviados por formulario, correo electrónico o WhatsApp.
• Coordinar y sostener una conversación estratégica cuando el titular la solicita o cuando existe interés mutuo.
• Realizar el seguimiento directamente relacionado con la solicitud presentada por el titular, dentro del alcance de la autorización otorgada, incluyendo el envío de información directamente relacionada con ella.
• Enviar comunicaciones comerciales o de contenido únicamente cuando el titular haya marcado la casilla opcional destinada a ese fin.
• Registrar y conservar la prueba de la autorización otorgada, con su fecha y la versión de la política aceptada.
• Gestionar la relación precontractual y contractual cuando llegue a existir, incluyendo facturación y cumplimiento de obligaciones legales, comerciales y contables.
• Mantener la seguridad del sitio: prevenir envíos automatizados, duplicados, fraude y uso indebido de los formularios.
• Mejorar el sitio, el diagnóstico y su desempeño a partir de información agregada y estadística.

SUR COMPANY S.A.S. no vende, alquila ni cede datos personales a terceros con fines publicitarios, no realiza envíos masivos ajenos a la interacción del titular y no toma decisiones automatizadas con efectos jurídicos sobre las personas: el resultado del diagnóstico es orientativo y siempre es revisado por el equipo antes de cualquier recomendación.

De acuerdo con la Ley 1581 de 2012 y sus normas reglamentarias, el titular de los datos tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a SUR COMPANY S.A.S.
• Solicitar prueba de la autorización otorgada, salvo en los casos exceptuados por la ley.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Revocar la autorización y solicitar la supresión de sus datos cuando no exista un deber legal o contractual que obligue a conservarlos.
• Retirar en cualquier momento el consentimiento para recibir comunicaciones comerciales, sin que esto afecte la atención de su solicitud.
• Acceder de forma gratuita a sus datos objeto de tratamiento.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la normativa de protección de datos, una vez agotado el trámite de consulta o reclamo ante el responsable.

Canal único: correo electrónico a asesor@surgia.com con el asunto “Habeas Data”.

Información mínima que debe incluir la solicitud:

• Nombre completo del titular.
• Correo electrónico con el que se registró en el sitio.
• Descripción clara del derecho que desea ejercer (conocer, actualizar, rectificar, suprimir, revocar la autorización u otra).
• Correo o canal donde desea recibir la respuesta.

Verificación de identidad: la solicitud se atiende cuando proviene del mismo correo registrado. Si proviene de otro canal, o si la actúa un tercero, se solicitará un documento que acredite la identidad o la representación.

Plazos de referencia (conforme al régimen colombiano):

• SUR COMPANY S.A.S. procurará confirmar la recepción de la solicitud dentro de los dos días hábiles siguientes, sin perjuicio de los términos legales aplicables para resolverla.
• Consultas: respuesta dentro de los 10 días hábiles siguientes, prorrogables hasta 5 días hábiles más, informando el motivo.
• Reclamos: respuesta dentro de los 15 días hábiles siguientes, prorrogables hasta 8 días hábiles más, informando el motivo.
• Si el reclamo está incompleto, se solicitará su corrección dentro de los 5 días siguientes; si no se atiende en dos meses, se entenderá desistido.

Leyenda “reclamo en trámite”. Una vez recibido un reclamo completo, SUR COMPANY S.A.S. incorporará en el registro correspondiente del titular la leyenda “reclamo en trámite” y el motivo del mismo, dentro del término legal aplicable, y la mantendrá hasta que el reclamo sea decidido.

SUR COMPANY S.A.S. lleva un registro interno de las solicitudes recibidas, su tipo, la respuesta emitida y la fecha de cierre.

Para operar el sitio y su infraestructura, SUR COMPANY S.A.S. se apoya en proveedores tecnológicos que actúan como encargados del tratamiento o como prestadores de servicios técnicos. Estos proveedores solo pueden tratar los datos siguiendo las instrucciones del responsable y para las finalidades aquí descritas:

• Lovable — plataforma de construcción y alojamiento del sitio web; procesa datos en tránsito.
• Supabase — servicio de base de datos y backend donde se almacenan los registros de los formularios.
• Cloudflare — capa de entrega, disponibilidad y protección de red; procesa la dirección IP en tránsito.
• Google Fonts — servicio de tipografías del sitio; al cargarlas, el navegador del visitante se comunica con servidores de Google, que reciben su dirección IP.
• Proveedores de correo electrónico y WhatsApp — canales utilizados para responder y dar seguimiento a las solicitudes.

7.1 Transmisiones internacionales

Existe transmisión cuando los datos se envían a un encargado —dentro o fuera de Colombia— que los trata por cuenta y bajo las instrucciones de SUR COMPANY S.A.S., sin poder usarlos para finalidades propias. Es el caso de los proveedores de alojamiento, base de datos, red y correo mencionados arriba, varios de los cuales operan servidores fuera del país. Estas transmisiones se sujetan a los deberes de seguridad y confidencialidad exigidos por la Ley 1581 de 2012 y se documentan en los contratos o términos de servicio con cada encargado.

7.2 Transferencias internacionales

Existe transferencia cuando los datos se envían a un tercero que actúa como responsable y decide sobre su tratamiento. SUR COMPANY S.A.S. no realiza transferencias internacionales de los datos recolectados en los formularios. Si en el futuro llegara a requerirse alguna, se hará únicamente con la autorización previa, expresa e informada del titular, o al amparo de alguna de las excepciones legales, y verificando que el país destinatario cumpla estándares adecuados de protección conforme a los criterios de la Superintendencia de Industria y Comercio.

El sitio incluye enlaces a plataformas externas (entre ellas DANIA, Autopilots e ISMMA), que son terceros independientes de SUR COMPANY S.A.S. Al seguir esos enlaces, el titular abandona el dominio de SURGIA y quedan aplicables las políticas, términos y prácticas de datos de cada plataforma. SUR COMPANY S.A.S. no envía datos personales de los formularios a esas plataformas.

SUR COMPANY S.A.S. aplica medidas administrativas, técnicas y humanas razonables y proporcionales para proteger los datos personales frente a acceso no autorizado, alteración, pérdida, consulta o uso indebido. Entre otras:

• Transmisión cifrada de la información entre el navegador y los servidores.
• Acceso restringido a la base de datos: los registros no son legibles ni modificables desde el sitio público, y solo se acceden por vía administrativa autorizada.
• Validación de los datos recibidos, límites de tamaño, control de frecuencia de envíos y deduplicación para prevenir abuso.
• La dirección IP no se almacena: solo se conserva un identificador técnico derivado, generado con clave de servidor y truncado.
• Registro de la autorización otorgada, con fecha y versión de la política aceptada.

Ninguna medida de seguridad es infalible; SUR COMPANY S.A.S. se compromete a actuar con diligencia y a informar los incidentes que resulten relevantes conforme a la normativa aplicable.

Conservación. Los datos se conservan mientras sean necesarios para las finalidades autorizadas y para cumplir obligaciones legales. Como criterio general:

• Leads del diagnóstico sin respuesta ni relación comercial: hasta 12 meses desde el último contacto; luego se suprimen o anonimizan.
• Formularios de contacto sin relación posterior: hasta 12 meses desde el último contacto; luego se suprimen o anonimizan.
• Prospectos en conversación activa: hasta 24 meses desde la última interacción sustancial. El término podrá contarse nuevamente cuando exista una nueva comunicación iniciada por el titular o una actuación comercial individual y documentada dentro de una conversación activa. Las comunicaciones automáticas, generales o masivas no reinician este plazo.
• Clientes con relación contractual: durante la vigencia del contrato y el término legal aplicable a las obligaciones comerciales y contables derivadas.
• Registro de la autorización: por un término igual o superior al del dato asociado, como prueba del consentimiento.
• Metadatos técnicos (origen, sesión, identificador técnico derivado de la IP): hasta 12 meses.

La anonimización consiste en eliminar los datos que identifican al titular (nombre, correo, WhatsApp, empresa) conservando únicamente información agregada sin capacidad de identificación, con fines estadísticos. Estos plazos corresponden a la política de conservación vigente de SUR COMPANY S.A.S.; cualquier ajuste se reflejará en una nueva versión de este documento.

SUR COMPANY S.A.S. puede modificar esta política cuando cambien sus prácticas de tratamiento, sus proveedores, sus finalidades o la normativa aplicable. Cada actualización se identifica con una nueva versión y fecha visibles al inicio del documento y se publica en esta misma dirección.

Cuando el cambio sea sustancial y afecte las finalidades autorizadas, se informará por los canales de contacto disponibles y, si la ley lo exige, se solicitará una nueva autorización.

Vigencia de la política: rige desde su publicación, versión 2026-07-27.1, y permanece vigente hasta que sea reemplazada por una versión posterior.

Vigencia de las bases de datos: las bases de datos administradas por SUR COMPANY S.A.S. permanecerán vigentes mientras subsistan las finalidades descritas y la relación con los titulares, y hasta que se cumplan los plazos de conservación indicados en el numeral 8 o el titular solicite válidamente la supresión de sus datos.

10.1 Diagnóstico SURGIA

El diagnóstico es una herramienta orientativa. Sus respuestas se usan para calcular una ruta recomendada, entregar el resultado y permitir una conversación posterior con criterio. Completar el diagnóstico no implica contratación de ningún servicio, no genera obligaciones para el titular ni para SUR COMPANY S.A.S., y tampoco constituye asesoría legal, financiera, contable ni tributaria.

10.2 Formulario “Hablemos”

Los datos enviados en este formulario se usan para responder la solicitud, evaluar el encaje y coordinar una conversación estratégica. Si el titular llegó desde el diagnóstico, se conserva el contexto de su resultado para evitar repetir información. Solicitar una conversación no obliga a contratar y tampoco garantiza la aceptación del proyecto por parte de SURGIA.

10.3 Correo electrónico

Los mensajes recibidos en asesor@surgia.com se tratan para atender la solicitud y darle seguimiento. La información que el titular incluya voluntariamente en su mensaje se conserva bajo los mismos criterios de esta política.

10.4 WhatsApp

Cuando el titular autoriza expresamente el contacto por WhatsApp o selecciona este medio como canal de respuesta, SUR COMPANY S.A.S. podrá utilizar el número suministrado para atender su solicitud y realizar el seguimiento directamente relacionado con ella. Esta autorización no comprende comunicaciones comerciales, que requieren un consentimiento adicional, opcional e independiente. WhatsApp es un servicio de un tercero: el contenido de los mensajes se rige también por sus propias condiciones y políticas. El titular puede pedir en cualquier momento que el contacto se realice solo por correo electrónico, o que cese por completo.

10.5 Comunicaciones comerciales

El envío de contenido o comunicaciones comerciales no relacionadas directamente con la solicitud realizada requiere el consentimiento adicional y opcional que aparece en cada formulario. Ese consentimiento puede retirarse en cualquier momento escribiendo a asesor@surgia.com, sin afectar la atención de la solicitud original.

SUR COMPANY S.A.S. — NIT 900202174-5. Parque Industrial Alsacia, calle 12 #79A-25, bodega 18, Bogotá, Colombia. Para cualquier duda sobre esta política o sobre el tratamiento de datos personales, escribe a asesor@surgia.com.