Código: PO-DP-00

Versión: 1.0      Fecha: Octubre 2026     

Elaboró: Legal
Revisa: Coordinación Legal

Aprueba: Board de Kiki Logistics Inc. y Representación Legal de cada Sociedad Adherente     

Política matriz del Sistema de Protección de Datos Personales del Grupo Kiki. Documento de publicación externa. Se desarrolla mediante las políticas jurisdiccionales PO-DP-01 (Colombia), PO-DP-02 (México) y PO-DP-03 (Perú) y el Anexo PO-DP-01-A1 (Transferencia Internacional de Datos Personales y Tratamiento con Fines Comerciales).

1. Identificación del Grupo Kiki y de las Sociedades Adherentes

El Grupo Kiki (EL GRUPO) es un operador logístico 5PL de comercio transfronterizo que, según la línea de negocio de que se trate, presta servicios de coordinación logística, importación, última milla, recaudo y pagos, y actúa, cuando así se pacta, como Merchant of Record (MOR) e Importer of Record (IOR) en América Latina y Estados Unidos. EL GRUPO está integrado por las sociedades que se identifican a continuación (las SOCIEDADES ADHERENTES), cada una de las cuales es responsable del tratamiento de los datos personales que recaba en su jurisdicción y, en virtud de la presente Política Corporativa (LA POLÍTICA MATRIZ), se obliga a observar el estándar común que aquí se establece.

Las sociedades que se incorporen a EL GRUPO con posterioridad a la adopción de LA POLÍTICA MATRIZ, por constitución, adquisición o cualquier otra forma de vinculación bajo control común, quedarán sujetas a ella desde la fecha de su adhesión conforme al numeral 20, sin perjuicio de la expedición de la política jurisdiccional que corresponda.

Canal único de atención en materia de datos personales para todo EL GRUPO: legalsupport@kikilatam.com. Función responsable: Coordinación Jurídica LATAM, con sede en Kiki Logistics S.A.S., que actúa como Oficial de Protección de Datos Personales de EL GRUPO en los términos del numeral 7.

2. Objeto, Naturaleza y Ámbito de Aplicación

LA POLÍTICA MATRIZ fija el estándar común, obligatorio y mínimo que las SOCIEDADES ADHERENTES aplican a toda operación o conjunto de operaciones sobre datos personales —recolección, almacenamiento, uso, circulación, transferencia, transmisión, bloqueo y supresión— con independencia de la jurisdicción en que se efectúe, del rol en que actúe la sociedad respectiva y del medio, capa o repositorio tecnológico en que los datos reposen. Su finalidad es que un mismo dato reciba un mismo nivel de protección a lo largo de toda la cadena logística, de pagos y aduanera de EL GRUPO, cualquiera que sea la sociedad que lo trate o el país en que se encuentre.

LA POLÍTICA MATRIZ es, a la vez, un instrumento de gobierno corporativo y un documento de publicación externa. En su dimensión interna vincula a los administradores, trabajadores, aprendices, contratistas y encargados de las SOCIEDADES ADHERENTES; en su dimensión externa informa a los titulares sobre las reglas comunes de EL GRUPO y constituye, junto con las políticas jurisdiccionales, el instrumento mediante el cual EL GRUPO acredita la existencia de normas corporativas vinculantes para sus flujos intragrupo de datos personales, en los términos que cada legislación admita.^[1]

LA POLÍTICA MATRIZ no sustituye las políticas jurisdiccionales ni el aviso de privacidad que cada sociedad deba poner a disposición de los titulares conforme a su legislación. Cuando una legislación exija requisitos adicionales a los aquí previstos, la sociedad respectiva los cumplirá conforme a su política jurisdiccional; cuando una legislación exija menos, la sociedad aplicará en todo caso el estándar de LA POLÍTICA MATRIZ.

3. Estructura del Sistema de Protección de Datos Personales y Reglas de Prevalencia

El Sistema de Protección de Datos Personales de EL GRUPO se compone delos siguientes niveles normativos, ordenados jerárquicamente:

a) Nivel 1 – LA POLÍTICA MATRIZ (PO-DP-00). Establece el estándar común, el modelo de gobierno, el catálogo común de titulares, datos y finalidades, y las reglas de los flujos intragrupo.

b) Nivel 2 – Políticas jurisdiccionales. PO-DP-01 (República de Colombia), PO-DP-02 (Estados Unidos Mexicanos), PO-DP-03 (República del Perú) y el aviso de privacidad para Estados Unidos (PO-DP-04). Desarrollan LA POLÍTICA MATRIZ conforme a la legislación de cada país y contienen la identificación del responsable local, las bases de legitimación, los derechos y procedimientos y los registros exigidos por la autoridad de cada jurisdicción.

c) Nivel 3 – Anexos de alcance grupal. En particular el Anexo PO-DP-01-A1, Transferencia Internacional de Datos Personales y Tratamiento con Fines Comerciales, que regula los flujos transfronterizos entre las SOCIEDADES ADHERENTES y el tratamiento con fines comerciales, promocionales y de mercadeo, y que se aplica a todas ellas con independencia de la política jurisdiccional a la que se encuentre anexado.

d) Nivel 4 – Procedimientos, manuales, contratos y formatos. Contrato marco intragrupo de servicios y de transferencia y transmisión de datos personales; contratos de transmisión o encargo con proveedores; cronograma de retención; protocolo de gestión de incidentes; formatos de autorización y avisos de privacidad; matrices de evaluación de impacto.

En caso de contradicción entre instrumentos del Sistema se aplican las siguientes reglas: (i) la norma legal imperativa de la jurisdicción en que se efectúa el tratamiento prevalece sobre cualquier instrumento interno; (ii) entre instrumentos internos, prevalece el de nivel superior, salvo que el de nivel inferior establezca una protección mayor para el titular, caso en el cual se aplica este último; (iii) en materia de flujos transfronterizos y de tratamiento con fines comerciales prevalece el Anexo PO-DP-01-A1; (iv) en caso de discrepancia entre LA POLÍTICA MATRIZ o una política jurisdiccional y el aviso de privacidad puesto a disposición del titular, se aplica el contenido más favorable a este.

Consulta de las Políticas Jurisdiccionales y Documentos Complementarios

Con el propósito de garantizar la transparencia y facilitar el acceso a la información relacionada con el tratamiento de datos personales, EL GRUPO pone a disposición de los titulares, clientes, proveedores, trabajadores y demás interesados las políticas jurisdiccionales y los documentos complementarios que desarrollaran LA POLÍTICA MATRIZ.

Los documentos podrán ser consultados a través de los siguientes enlaces:

    •   Colombia: Política de Tratamiento de Datos Personales – PO-DP-01. [Consultar Política]

    •    México: Política de Tratamiento de Datos Personales – PO-DP-02. [Consultar Política]

    •    Perú: Política de Tratamiento de Datos Personales – PO-DP-03. [Consultar Política]

    •    Estados Unidos: Aviso de Privacidad – PO-DP-04. [Consultar Aviso]

    •    Anexo de alcance grupal: Transferencia Internacional de Datos Personales y Tratamiento con Fines Comerciales – PO- DP-01-A1 [Consultar Anexo]

4. Marco Normativo de Referencia

Las SOCIEDADES ADHERENTES se sujetan, cada una en su jurisdicción, a las normas que se indican, cuyo desarrollo se encuentra en la política jurisdiccional respectiva:

•    República de Colombia. Artículos 15 y 20 de la Constitución Política; Ley Estatutaria 1581 de 2012; Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015; Ley Estatutaria 1266 de 2008 en materia de dato financiero, crediticio y comercial; Decreto 090 de 2018 sobre Registro Nacional de Bases de Datos; Ley 2300 de 2023 sobre contacto con fines comerciales; Circular Única de la Superintendencia de Industria y Comercio, incluidas la Circular Externa 005 de 2017 sobre transferencias internacionales, la Circular Externa 002 de 2024 sobre tratamiento de datos personales en sistemas de inteligencia artificial y la Circular Externa 002 de 2025 sobre tratamiento de datos personales en procesos de transferencia de tecnología.^[2]

•    Estados Unidos Mexicanos. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y en vigor desde el 21 de marzo de 2025, con la reforma publicada el 14 de noviembre de 2025; las disposiciones reglamentarias y lineamientos en lo que no se opongan a ella, y las determinaciones de la Secretaría Anticorrupción y Buen Gobierno como autoridad en la materia.^[3]

•    República del Perú. Artículo 2, inciso 6, de la Constitución Política; Ley N.º 29733, Ley de Protección de Datos Personales, y su Reglamento aprobado mediante Decreto Supremo N.º 016-2024-JUS, vigente desde el 30 de marzo de 2025, así como las directivas y opiniones de la Autoridad Nacional de Protección de Datos Personales.^[4]

•    Estados Unidos de América. Sección 5 de la Federal Trade Commission Act, en cuanto prohíbe prácticas comerciales desleales o engañosas en materia de privacidad; las leyes estatales de notificación de incidentes de seguridad, en particular la Florida Information Protection Act; las leyes de mercadeo electrónico y telefónico (CAN-SPAM Act y Telephone Consumer Protection Act), y las leyes estatales integrales de privacidad del consumidor —entre ellas la California Consumer Privacy Act— en la medida en que la sociedad respectiva alcance los umbrales de aplicación que cada una establece.^[5]

Cuando una SOCIEDAD ADHERENTE trate datos de titulares residentes en una jurisdicción distinta de la de su domicilio, aplicará la legislación de la residencia del titular en lo que esta resulte imperativa, además del estándar de LA POLÍTICA MATRIZ.

5. Definiciones Comunes

Para efectos de todo el Sistema se aplican las definiciones legales de cada jurisdicción. Con el fin de asegurar un lenguaje común, EL GRUPO adopta las siguientes equivalencias y criterios, que las políticas jurisdiccionales desarrollan en los términos de su legislación:

•   Responsable del tratamiento. La sociedad que decide sobre las finalidades y los medios esenciales del tratamiento. Equivale al “responsable" de la legislación colombiana y mexicana y al “titular del banco de datos personales" de la legislación peruana.^[6]

•  Encargado del tratamiento. Quien trata datos personales por cuenta del responsable y bajo sus instrucciones documentadas. Equivale al “encargado" colombiano y mexicano y al “encargado de tratamiento" peruano. Las “transmisiones" (Colombia), “remisiones" (México) y “encargos" (Perú) a estos sujetos reciben en LA POLÍTICA MATRIZ la denominación común de transmisión.

•   Transferencia. Comunicación de datos personales a un tercero distinto del responsable y del encargado, que decide sobre finalidades propias. Comprende los flujos entre SOCIEDADES ADHERENTES cuando la receptora actúa como responsable.

•     Autorización o consentimiento. Manifestación de voluntad del titular mediante la cual acepta el tratamiento. LA POLÍTICA MATRIZ emplea ambos términos como equivalentes, con el estándar único definido en el numeral 10.

•    Dato de geolocalización de entrega. EL GRUPO clasifica como dato personal la coordenada precisa del punto de entrega de un envío, por cuanto, cruzada con otra información disponible —en particular la fecha del envío—, permite hacer identificable al titular al corresponder, en la práctica, a la dirección de su vivienda o lugar habitual, sin que se requiera que venga acompañada del nombre. Este criterio, que constituye interpretación de EL GRUPO en aplicación directa de la definición legal de dato personal de cada jurisdicción, somete dicho dato al régimen íntegro del Sistema, incluidas las reglas de minimización, acceso restringido y conservación limitada.^[7]

•    Anonimización, seudonimización, sistema de inteligencia artificial y proveedor tecnológico. En los términos definidos en el numeral 4 de la política PO-DP-01, que se aplican a todas las SOCIEDADES ADHERENTES.

•    Plataforma de datos. Conjunto de repositorios, capas, vistas e interfaces de EL GRUPO en que reposan y circulan los datos personales, cuya titularidad corresponde a Kiki Logistics Inc. y cuya operación se rige por el numeral 13.

6. Principios Comunes del Grupo

Las SOCIEDADES ADHERENTES observan, como estándar mínimo, los principios de legalidad o licitud; finalidad; libertad o consentimiento; veracidad o calidad; transparencia e información; acceso y circulación restringida; proporcionalidad y minimización; lealtad; seguridad; confidencialidad; nivel de protección adecuado en los flujos transfronterizos, y responsabilidad demostrada. Cada principio se entiende en el sentido que le atribuye la legislación de la jurisdicción en que se efectúa el tratamiento y, en lo no regulado por esta, en el sentido más protector de los reconocidos por las legislaciones de las demás jurisdicciones de EL GRUPO.^[8]

En desarrollo de los principios de acceso y circulación restringida y de minimización, el dato personal solo circula dentro de EL GRUPO a través de vistas o interfaces autorizadas que declaran expresamente los campos que exponen, y el acceso directo a los repositorios de base se restringe al personal estrictamente necesario para operar los flujos de datos. Los campos que la operación no requiere se excluyen desde la replicación de origen. En desarrollo del principio de responsabilidad demostrada, EL GRUPO adopta medidas apropiadas, efectivas y verificables para cumplir las normas de protección de datos de cada jurisdicción, conserva evidencia de las medidas implementadas y promueve mecanismos de prevención, gestión, seguimiento y mejora continua, atendiendo a la naturaleza de los datos, las finalidades, los riesgos para los titulares y el tamaño y características de cada sociedad.^[9]

7. Gobierno de la Protección de Datos Personales: Órganos, Roles y Responsabilidades

EL GRUPO organiza la función de protección de datos personales bajo un modelo de gobierno centralizado en la definición de estándares y descentralizado en la responsabilidad legal, en los siguientes términos:

a) Board de Kiki Logistics Inc. Aprueba LA POLÍTICA MATRIZ y sus modificaciones sustanciales, conoce el informe anual de cumplimiento y aprueba la asignación de recursos para el Sistema.

b) Representante legal de cada SOCIEDAD ADHERENTE. Adopta la política jurisdiccional, responde ante la autoridad de su país por el cumplimiento de la legislación local, suscribe los registros, avisos e instrumentos contractuales que esta exija y rinde cuentas al Board a través de la Coordinación Jurídica LATAM.

c) Coordinación Jurídica LATAM – Oficial de Protección de Datos Personales de EL GRUPO. Diseña, interpreta y actualiza el Sistema; administra el canal único de atención a titulares; coordina la respuesta a incidentes y a requerimientos de autoridades; aprueba los contratos de transmisión y transferencia; emite concepto previo sobre nuevos tratamientos, nuevos consumidores de datos y nuevos proveedores tecnológicos; conduce las evaluaciones de impacto, y presenta el informe anual al Board. EL GRUPO designa un único Oficial para todas las SOCIEDADES ADHERENTES, accesible desde cada una de ellas, y comunica dicha designación a las autoridades que así lo exijan.^[10]

d) Comité de Compliance de EL GRUPO, o el órgano que haga sus veces. Supervisa el cumplimiento del Sistema, conoce los incidentes de seguridad de impacto significativo y las evaluaciones de impacto de alto riesgo, y recomienda al Board las modificaciones a LA POLÍTICA MATRIZ.

e) Área de Tecnología y Datos. Custodia la plataforma de datos; implementa y documenta los controles técnicos del numeral 16; mantiene el inventario de administradores, el registro de vistas con contrato de exposición y la trazabilidad de accesos, y ejecuta el cronograma de retención.

f) Área de Personas (People). Responsable operativo del tratamiento de datos de aspirantes, trabajadores, aprendices y contratistas, de la recolección de sus autorizaciones y de la capacitación periódica en protección de datos.

g) Áreas comerciales, de operaciones y de cumplimiento. Responsables operativos de los tratamientos de clientes, aliados, proveedores y destinatarios en el ámbito de su gestión, de la recolección de las autorizaciones que les correspondan y de la aplicación de los procedimientos del Sistema.

Todo trabajador, aprendiz, contratista y encargado de EL GRUPO está obligado a conocer y cumplir el Sistema, a guardar confidencialidad sobre los datos personales a los que acceda, inclusive después de terminada su vinculación, y a reportar de inmediato por el canal interno dispuesto cualquier incidente o sospecha de incidente de seguridad. El incumplimiento constituye falta grave conforme a los reglamentos internos de trabajo y a los instrumentos contractuales aplicables.

8. Roles en el Tratamiento: Responsable y Encargado; Operación Logística, MOR e IOR

La calidad de responsable o de encargado se determina respecto de cada actividad de tratamiento, según las finalidades y los medios esenciales que la sociedad respectiva decida directamente, y se documenta en el inventario de tratamientos de EL GRUPO. Una misma operación puede comprender ambos roles, debidamente diferenciados, y una misma sociedad puede ser responsable de unos tratamientos y encargada de otros respecto de los mismos datos.

a) Línea de oordinación logística y comercio transfronterizo B2C. Cuando EL GRUPO coordina la logística de una venta directa entre su cliente corporativo y el consumidor final, sin actuar como vendedor ni como importador, la sociedad que ejecuta la operación actúa como encargada de los datos del destinatario por cuenta del cliente responsable, limitada a sus instrucciones y al contrato de transmisión correspondiente, y es responsable únicamente de los datos que trata para fines propios —facturación al cliente, cumplimiento normativo, seguridad de la operación y trazabilidad—. 

b) Línea Merchant of Record e Importer of Record. Cuando la sociedad respectiva celebra directamente la transacción con el consumidor final o figura como importadora de la mercancía, es responsable de los datos necesarios para la celebración, ejecución, facturación, cobro, gestión aduanera y posventa de la transacción, y de los que deba reportar a las autoridades aduaneras y tributarias.

c) Línea de pagos y recaudo (KikiPay, COD, BNPL). Cuando EL GRUPO recauda, dispersa o facilita pagos, la sociedad que presta el servicio es responsable de los datos de la transacción que trata para fines propios y encargada de los que trata por cuenta del cliente corporativo o de la entidad financiera, pasarela o financiador que determine autónomamente las finalidades y medios de su tratamiento.

La utilización de proveedores tecnológicos, de operadores logísticos de última milla, de agentes de aduana o de proveedores de servicios de pago no implica, por sí misma, la transferencia de la calidad de responsable ni habilita al proveedor para utilizar los datos para finalidades propias, salvo que exista una base jurídica independiente que legitime dicho tratamiento y se informe al titular cuando legalmente corresponda.^[11]

Entre SOCIEDADES ADHERENTES, la sociedad que recibe datos de otra para prestarle un servicio —soporte de plataforma, atención al cliente, servicios compartidos, analítica— actúa como encargada de esta última; la sociedad que recibe datos para tratarlos con finalidades propias actúa como responsable y el flujo constituye una transferencia intragrupo regida por el numeral 11.

9. Catálogo Común de Titulares, Datos y Finalidades

Las SOCIEDADES ADHERENTES tratan datos personales de las categorías de titulares, con los datos y para las finalidades que se indican a continuación. Este catálogo constituye el inventario común de tratamientos de EL GRUPO; cada política jurisdiccional lo reproduce y lo detalla conforme a las exigencias de información de su legislación, y ningún tratamiento ajeno a él puede iniciarse sin concepto previo de la Coordinación Jurídica LATAM y la consiguiente actualización del catálogo.

•    Destinatarios y consumidores finales. Nombre, dirección, teléfono, correo electrónico, documento de identidad, código postal, ciudad, departamento, estado o región y geolocalización de entrega. Finalidades: gestión, coordinación, ejecución y seguimiento de pedidos, despachos, entregas, recogidas, devoluciones y zonificación de órdenes; creación de guías, etiquetas y soportes; contacto para coordinar o confirmar entregas y novedades; gestión de incidencias, reclamaciones, garantías y devoluciones; trámites aduaneros, de importación y exportación; facturación, recaudo, conciliación, devolución de recursos y atención posventa cuando la sociedad actúa como MOR; cumplimiento de obligaciones legales, regulatorias, contables, tributarias, aduaneras y judiciales; prevención y gestión del fraude, la suplantación y el uso indebido de los servicios, y elaboración de información estadística e indicadores sobre datos agregados, anonimizados o seudonimizados.

•    Usuarios y titulares vinculados a operaciones de pago, recaudo, COD, BNPL o MOR. Datos de identificación y contacto, información de la transacción, orden o compra, pagos, recaudos, saldos, devoluciones, estado de la operación y, cuando resulte aplicable, información financiera, crediticia, comercial o de servicios necesaria para la ejecución de la operación. Finalidades: gestión de las operaciones de pago, recaudo, desembolso, conciliación, reembolso y reversión; validación de identidad; evaluación, aprobación, ejecución o seguimiento de operaciones de financiación cuando exista habilitación legal o autorización del titular; prevención del fraude y de operaciones inusuales; gestión de contracargos y controversias, y cumplimiento normativo. La información sometida al régimen especial del dato financiero y crediticio de cada jurisdicción se trata conforme a dicho régimen.

•    Clientes, aliados comerciales y proveedores. Datos de identificación y contacto de lapersona jurídica y de sus representantes, beneficiarios finales, empleados y puntos de contacto; cuando el cliente es un comercio independiente o una persona natural, su nombre se trata como dato personal. Finalidades: vinculación, registro, conocimiento y actualización de contrapartes;verificación de identidad y de la información suministrada; debida diligencia, conocimiento de contraparte y consulta de listas restrictivas, vinculantes y de control conforme al sistema de autocontrol y gestión del riesgo de lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva y corrupción de EL GRUPO; negociación, celebración, ejecución y terminación de contratos; facturación, pagos, recaudos, conciliaciones y cartera; administración de accesos a instalaciones y plataformas; prevención y gestión de riesgos legales, financieros, operativos y reputacionales; cumplimiento normativo, y conservación de evidencia y trazabilidad de la relación.

•    Aspirantes. Hoja de vida, datos de contacto, información académica, profesional y laboral, referencias y demás información suministrada por el titular o legítimamente obtenida durante el proceso de selección. Finalidades: gestión de postulaciones, verificación de requisitos, entrevistas, evaluaciones, decisiones del proceso de selección y, cuando corresponda, actuaciones para la vinculación; conservación para futuras oportunidades únicamente con autorización expresa del titular.

•    Personal interno (trabajadores, aprendices y contratistas). Datos de identificación, contacto, domicilio, información académica y profesional, contractual, laboral, de nómina o planilla, bancaria para efectos de pagos, de seguridad social, contactos de emergencia, y el nombre y correo registrados en los sistemas operativos. Finalidades: vinculación, ejecución, administración y terminación de la relación laboral o contractual; nómina, pagos, compensaciones, beneficios, licencias, incapacidades y prestaciones; afiliaciones y reportes a los sistemas de seguridad social y de seguridad y salud en el trabajo; administración de accesos, cuentas, herramientas y activos; capacitación, bienestar, evaluación y desarrollo; actuaciones laborales, disciplinarias, de convivencia e investigaciones internas; atención de requerimientos de autoridades; controles de seguridad de la información, auditoría y trazabilidad operativa —en particular la distinción entre operación humana y automática y la trazabilidad de asignaciones—, y conservación de la documentación laboral por el término legal de cada jurisdicción.

Los procesos analíticos, de inteligencia de negocios y de asignación automática de órdenes de EL GRUPO no consumen datos identificativos de destinatarios finales: operan sobre datos agregados o seudonimizados por diseño —código postal, cobertura por ciudad y región y capacidad de operador—, en aplicación de los principios de necesidad, proporcionalidad y minimización.

El tratamiento con fines comerciales, promocionales y de mercadeo constituye en todas las jurisdicciones una finalidad secundaria, separada de la transacción y sometida al Anexo PO-DP-01-A1 y al numeral 10.

10. Base de Legitimación: Autorización y Consentimiento

EL GRUPO adopta como estándar único, aplicable en todas las jurisdicciones, la autorización previa, expresa e informada del titular, obtenida por cualquier medio que permita su consulta posterior y conservada como prueba, salvo las excepciones que la legislación de la jurisdicción del tratamiento establezca. Este estándar satisface simultáneamente la exigencia colombiana de autorización previa, expresa e informada, la exigencia peruana de consentimiento libre, previo, expreso, informado e inequívoco y la regla mexicana, que admite el consentimiento tácito pero exige el expreso para datos financieros o patrimoniales y el expreso y por escrito para datos sensibles; en consecuencia, ninguna SOCIEDAD ADHERENTE se ampara en el consentimiento tácito como base ordinaria de legitimación, sin perjuicio de que pueda invocarlo en su jurisdicción como base subsidiaria cuando la ley lo permita.^[12]

Al momento de recabar la autorización se informa al titular, cuando menos: la identidad y domicilio del responsable; los datos que se recaban; las finalidades, distinguiendo las necesarias para la relación de las secundarias o voluntarias; las transferencias y transmisiones, nacionales e internacionales, incluidas las intragrupo; el carácter facultativo de responder preguntas sobre datos sensibles o de menores; los derechos del titular y los medios para ejercerlos y para revocar la autorización, y los mecanismos para comunicar cambios al aviso. El aviso de privacidad o la autorización se presentan en el idioma del titular y en formato accesible desde el medio —físico, electrónico o automatizado— por el que se recaban los datos.

Sin perjuicio de la autorización, las SOCIEDADES ADHERENTES pueden invocar, en la jurisdicción en que la ley lo prevea, las bases alternativas de legitimación que esta reconozca: la necesidad del tratamiento para la preparación, celebración y ejecución de una relación contractual en la que el titular sea parte; el cumplimiento de una obligación legal; el requerimiento de autoridad competente en ejercicio de sus funciones; los datos de naturaleza pública o provenientes de fuentes de acceso público; las situaciones de urgencia médica o sanitaria, y los tratamientos con fines históricos, estadísticos o científicos autorizados por la ley. La invocación de una base alternativa se documenta en el inventario de tratamientos.^[13]

El tratamiento con fines comerciales, promocionales y de mercadeo exige, en todas las jurisdicciones, autorización separada e independiente de la necesaria para la transacción, cuya negativa no condiciona la compra ni la entrega del producto; el titular puede oponerse o revocarla en cualquier momento por el mismo medio por el que recibe las comunicaciones. En Estados Unidos, las comunicaciones comerciales electrónicas y telefónicas observan además las reglas de identificación del remitente, de exclusión (opt-out) y de consentimiento previo para mensajes automatizados que establecen las leyes federales aplicables.^[14]

11. Flujos Intragrupo e Internacionales de Datos Personales

La operación de EL GRUPO supone la circulación permanente de datos personales entre las SOCIEDADES ADHERENTES y hacia proveedores situados en Colombia, México, Perú, Estados Unidos y otras jurisdicciones: datos de destinatarios para la creación de guías, la nacionalización y la entrega; datos de trabajadores para la administración centralizada del talento y de los sistemas; datos de clientes para la facturación, el conocimiento de contraparte y el soporte de plataforma. Todo flujo de esta naturaleza se sujeta a las siguientes reglas comunes, que el Anexo PO-DP-01-A1 desarrolla y que prevalecen en caso de duda:

a) Instrumento. Toda transferencia o transmisión entre SOCIEDADES ADHERENTES se ampara en el contrato marco intragrupo de servicios y de transferencia y transmisión de datos personales, que fija las finalidades, las categorías de datos, los roles, las medidas de seguridad, las obligaciones de confidencialidad, el deber de asistencia para la atención de titulares e incidentes, la prohibición de usos distintos y el régimen de subencargo. Las SOCIEDADES ADHERENTES reconocen en dicho contrato, en LA POLÍTICA MATRIZ y en las políticas jurisdiccionales las normas corporativas vinculantes de EL GRUPO. 

b) Nivel de protección. La sociedad exportadora verifica, antes del primer flujo, que el país receptor ofrezca un nivel adecuado de protección conforme a los criterios de su autoridad —en Colombia, los países declarados adecuados por la Superintendencia de Industria y Comercio, entre ellos México, Perú y Estados Unidos— o, en su defecto, que el flujo se ampare en el contrato intragrupo, en la autorización expresa e inequívoca del titular, en la ejecución de un contrato en interés del titular o en otra de las excepciones que su legislación prevea.^[15]

c) Información al titular. Las transferencias intragrupo se informan al titular en la autorización o aviso de privacidad, con identificación de los países de destino de las finalidades. 

d) Registro. Cada flujo transfronterizo se documenta en el inventario de tratamientos y, cuando la legislación lo exija, se comunica o inscribe ante la autoridad de la sociedad exportadora.

e) Minimización. Solo circulan los campos que la finalidad del flujo requiere; los datos identificativos de destinatarios no se replican hacia repositorios analíticos o de inteligencia de negocios de otra sociedad.

Las transmisiones a encargados situados fuera de la jurisdicción de la sociedad responsable —operadores de última milla, proveedores de infraestructura en la nube, pasarelas de pago, agentes de aduana— se rigen por el numeral 12 y, en cuanto flujos internacionales, por este numeral y por el Anexo PO-DP-01-A1.

12. Encargados, Proveedores Tecnológicos y Contratación

Ninguna SOCIEDAD ADHERENTE transmite datos personales a un encargado sin contrato previo escrito que, como mínimo, establezca: el objeto, la duración, la naturaleza y la finalidad del tratamiento; las categorías de datos y de titulares; la obligación de tratar los datos únicamente conforme a las instrucciones documentadas del responsable; el deber de confidencialidad del personal del encargado; las medidas de seguridad exigidas; el régimen de autorización previa para subencargos y la responsabilidad solidaria del encargado por sus subencargados; el deber de asistir al responsable en la atención de derechos de los titulares, de evaluaciones de impacto y de requerimientos de autoridad; el deber de notificar los incidentes de seguridad dentro de las veinticuatro (24) horas siguientes a su conocimiento; la devolución o supresión de los datos al término del contrato, con certificación, y el sometimiento a auditorías del responsable.^[16]

La contratación de proveedores tecnológicos que impliquen tratamiento de datos personales —en particular proveedores de infraestructura, software, analítica, inteligencia artificial o transferencia de tecnología— exige, además, concepto previo de la Coordinación Jurídica LATAM, la verificación de la ubicación de los servidores y de los subencargados, la evaluación de impacto cuando corresponda conforme al numeral 19 y la verificación de que el proveedor no utilizará los datos para entrenar modelos o para finalidades propias, salvo base jurídica independiente informada al titular.^[17]

EL GRUPO mantiene un registro centralizado de encargados y proveedores tecnológicos, con indicación de la sociedad contratante, el contrato que ampara la transmisión, las categorías de datos, los países de tratamiento y la fecha de la última verificación de cumplimiento.

13. Plataforma de Datos, Analítica e Inteligencia Artificial

La plataforma de datos de EL GRUPO se estructura en capas segregadas. El negocio accede a los datos exclusivamente a través de vistas o interfaces autorizadas con contrato de exposición, que declaran los campos que exponen y excluyen, por diseño, los datos identificativos de destinatarios finales. El acceso directo a los repositorios de base se restringe al personal de operación de datos estrictamente necesario, con inventario documentado de administradores como evidencia de auditoría. La exposición de cualquier dato personal a nuevos consumidores internos o externos —incluidas las SOCIEDADES ADHERENTES distintas de la responsable— exige revisión previa de la Coordinación Jurídica LATAM.

La analítica descriptiva, la inteligencia de negocios y el tratamiento asistido por sistemas de inteligencia artificial se desarrollan exclusivamente sobre los conjuntos de datos de acceso general curados conforme al inciso anterior. En estos tratamientos EL GRUPO aplica, en todas las jurisdicciones, los criterios de idoneidad, necesidad, razonabilidad y proporcionalidad en sentido estricto; el principio de precaución ante la falta de certeza sobre potenciales daños; la administración de los riesgos asociados al tratamiento, y estrategias demostrables para garantizar los derechos de los titulares, en los términos de los lineamientos de la Superintendencia de Industria y Comercio sobre tratamiento de datos personales en sistemas de inteligencia artificial, que EL GRUPO adopta como estándar corporativo.^[18]

Ningún sistema de inteligencia artificial de EL GRUPO adopta decisiones con efectos jurídicos sobre los titulares, o que los afecten significativamente, basadas únicamente en el tratamiento automatizado de sus datos identificativos. La zonificación y asignación automática de órdenes que emplea geolocalización se ejecuta por proceso automático con intervención humana ante fallas, bajo el régimen del numeral 5, y el titular puede oponerse a decisiones automatizadas en los términos que su legislación reconozca.^[19]

La incorporación de nuevas herramientas de inteligencia artificial, la modificación de los conjuntos de datos sobre los que operan o la habilitación de modelos de terceros sobre datos de EL GRUPO exige evaluación de impacto previa conforme al numeral 19.

14. Derechos de los Titulares: Canal Único y Estándar de Atención

Los titulares de todas las jurisdicciones pueden ejercer ante la sociedad responsable, a través del canal único legalsupport@kikilatam.com o de los canales adicionales que cada política jurisdiccional disponga, los derechos de información, acceso, consulta, rectificación, actualización, inclusión, cancelación, supresión, oposición, revocación de la autorización, limitación de uso o divulgación, prueba de la autorización, conocimiento del uso dado a sus datos y de los accesos efectuados a ellos, y presentación de quejas ante la autoridad competente, en los términos y con el alcance que su legislación reconozca.^[20]

Como estándar corporativo, las SOCIEDADES ADHERENTES atienden toda solicitud de titular dentro de los diez (10) días hábiles siguientes a su recibo y toda reclamación dentro de los quince (15) días hábiles siguientes al recibo de la reclamación completa, prorrogables por una sola vez previa comunicación al titular; en ningún caso el plazo de atención excede el término máximo que la legislación de la jurisdicción del titular establece. Este estándar se adopta porque los plazos colombianos son los más breves de EL GRUPO y, aplicados de manera uniforme, satisfacen los términos de veinte días para comunicar la determinación y quince para hacerla efectiva de la legislación mexicana y los plazos del Reglamento peruano.^[21]

La solicitud puede presentarse por el titular, sus causahabientes, su representante o apoderado o, tratándose de niños, niñas y adolescentes, por quien ejerza la patria potestad, tutela o representación legal, previa acreditación de la identidad o de la calidad invocada por medios razonables y proporcionales. Cuando la sociedad que recibe la solicitud actúe como encargada, la remite al responsable dentro de los dos (2) días hábiles siguientes y le presta la asistencia necesaria; cuando el responsable sea otra SOCIEDAD ADHERENTE, la Coordinación Jurídica LATAM coordina la respuesta única.

La cancelación o supresión procede, previa etapa de bloqueo cuando la legislación lo exija, respecto de todos los archivos, registros, expedientes y sistemas de EL GRUPO, salvo que exista deber legal o contractual de conservación, caso en el cual se informa al titular el fundamento y el plazo de conservación. La Coordinación Jurídica LATAM lleva registro de todas las solicitudes, de su trámite y de su respuesta como evidencia de responsabilidad demostrada.

15. Conservación, Caducidad y Supresión

Los datos personales se conservan únicamente por el tiempo razonable y necesario para cumplir las finalidades del tratamiento y las obligaciones legales, contables, tributarias, aduaneras, laborales y contractuales aplicables en la jurisdicción de la sociedad responsable. Todo conjunto de datos de la plataforma cuenta con un plazo de caducidad definido en el cronograma de retención de EL GRUPO, que fija, para cada categoría de titulares y de datos, el plazo de conservación activa, el plazo de bloqueo cuando la legislación lo exija y la fecha de supresión o anonimización; los conjuntos de trabajo tienen caducidad por defecto.^[22]

Vencida la finalidad y los plazos legales, los datos se suprimen o anonimizan de manera segura e irreversible en todas las SOCIEDADES ADHERENTES y en todos los encargados que los hubieren recibido, con constancia de la operación. Los datos anonimizados o disociados pueden conservarse con fines estadísticos o históricos. Cuando los plazos de conservación difieran entre jurisdicciones respecto de un mismo conjunto de datos tratado por más de una sociedad, cada sociedad aplica el plazo de su legislación y la sociedad exportadora no conserva los datos recibidos de otra por un término superior al de la legislación de esta última, salvo deber legal propio.

16. Seguridad de la Información y Gestión de Incidentes

Las SOCIEDADES ADHERENTES adoptan medidas técnicas, humanas, administrativas y físicas, proporcionales a la naturaleza y sensibilidad de los datos, las finalidades, el volumen, los sistemas involucrados y los riesgos razonablemente previsibles, para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Como mínimo común, EL GRUPO implementa:^[23]

•    Segregación de los repositorios de datos por capas, con acceso del negocio exclusivamente a través de vistas autorizadas con contrato de exposición.

•    Restricción del acceso directo a los repositorios de base al personal estrictamente necesario, con inventario documentado de administradores y revisión periódica de privilegios.

•    Caracterización periódica de los campos de texto libre para verificar la presencia de datos personales no estructurados y aplicarles el régimen correspondiente.

•    Trazabilidad de accesos sobre los repositorios que contienen datos de titulares, con capacidad de informar al titular quién ha accedido a sus datos.

•    Cifrado en tránsito y, cuando la sensibilidad lo exija, en reposo; autenticación multifactor para accesos administrativos; controles de acceso conforme a los instrumentos contractuales con receptores y encargados.

•    Copias de respaldo, planes de continuidad y pruebas periódicas de seguridad sobre la plataforma.

EL GRUPO gestiona los incidentes de seguridad que afecten datos personales conforme a un protocolo único, con los siguientes hitos mínimos: (i) reporte interno a la Coordinación Jurídica LATAM y al Área de Tecnología y Datos dentro de las veinticuatro (24) horas siguientes a la detección por cualquier trabajador, contratista o encargado; (ii) contención, evaluación del alcance y de los titulares y jurisdicciones afectados y calificación del riesgo dentro de las cuarenta y ocho (48) horas siguientes; (iii) notificación a las autoridades y a los titulares en los plazos y condiciones de cada jurisdicción afectada, a saber: en el Perú, a la Autoridad Nacional de Protección de Datos Personales dentro de las cuarenta y ocho (48) horas siguientes al conocimiento del incidente y a los titulares sin dilación indebida; en Colombia, reporte a la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos dentro de los quince (15) días hábiles siguientes a su detección, cuando la sociedad se encuentre obligada a dicho registro; en México, información a los titulares sin dilación cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales; en Estados Unidos, notificación a los residentes afectados y, cuando corresponda, a la autoridad estatal, dentro de los plazos de la ley estatal aplicable; (iv) documentación del incidente, de las medidas correctivas y de las lecciones aprendidas en el registro de incidentes de EL GRUPO, e (v) informe al Comité de Compliance cuando el incidente sea de impacto significativo.^[24]

Dado que un mismo incidente sobre la plataforma puede afectar simultáneamente titulares de varias jurisdicciones, la evaluación del numeral (ii) identifica siempre la ley de cada titular afectado y el plazo más breve de notificación aplicable, que gobierna la programación de todas las notificaciones.

17. Datos Sensibles y Datos de Niños, Niñas y Adolescentes

EL GRUPO no recaba datos sensibles en su operación ordinaria y ningún proceso condiciona sus servicios al suministro de datos sensibles. Cuando excepcionalmente se requiera tratarlos —por ejemplo, datos de salud del personal interno para fines de seguridad social y de seguridad y salud en el trabajo, o datos biométricos para el control de accesos—, el tratamiento se sujeta a autorización explícita y por escrito, a la información previa sobre su carácter facultativo, a finalidades legítimas, concretas y acordes con la actividad de la sociedad, a medidas de seguridad reforzadas y a evaluación de impacto previa.^[25]

El tratamiento de datos de niños, niñas y adolescentes se limita a los datos de naturaleza pública o a los tratamientos que respondan a su interés superior y aseguren el respeto de sus derechos prevalentes; la autorización se recaba de quien ejerza la patria potestad, tutela o representación legal, y se atiende la opinión del menor conforme a su madurez y autonomía. EL GRUPO no dirige comunicaciones comerciales a menores de edad.^[26]

18. Registros ante Autoridades

Cada SOCIEDAD ADHERENTE cumple los deberes de registro de su jurisdicción, con base en el inventario común de tratamientos de EL GRUPO, que declara, para cada base o banco de datos, la sociedad responsable, las categorías de titulares y de datos, las finalidades, los encargados, los flujos transfronterizos, las medidas de seguridad y los plazos de conservación:

a) Kiki Logistics S.A.S. inscribe y actualiza sus bases de datos en el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio cuando se encuentre dentro de los supuestos subjetivos del Decreto 090 de 2018,
y reporta por ese medio los incidentes de seguridad y las reclamaciones de titulares en los términos de la Circular Única.^[27]

b) Kiki Latam S.A.C. inscribe ante el Registro Nacional de Protección de Datos Personales los  Bancos de datos de su titularidad, sus modificaciones y cancelaciones, y comunica, cuando corresponda, los flujos transfronterizos y la designación del Oficial de Protección de Datos Personales.^[28]

c) KIKI LOGISTICS MX, S.A.P.I. de C.V. mantiene a disposición de los titulares el aviso de privacidad en sus modalidades integral, simplificada y corta y conserva la evidencia de su puesta a disposición, sin que la legislación mexicana exija
registro de bases de datos ante la autoridad.

d) Kiki Logistics Inc. y Kiki Latam LLC publican el aviso de privacidad para Estados Unidos en la plataforma y cumplen las obligaciones de registro o notificación que las leyes estatales establezcan cuando alcancen sus umbrales de aplicación.

19. Responsabilidad Demostrada: Capacitación, Evaluación de Impacto y Auditoría

En desarrollo del principio de responsabilidad demostrada, EL GRUPO implementa un programa integral de gestión de datos personales que comprende, como mínimo:

a) Inventario de tratamientos, actualizado por la Coordinación Jurídica LATAM a partir del catálogo del numeral 9 y de los reportes de las áreas operativas, que constituye la fuente de los registros del numeral 18.

b) Evaluación de impacto en la protección de datos, previa y documentada, para todo tratamiento nuevo o modificado que involucre datos sensibles, datos de menores, geolocalización, decisiones automatizadas, sistemas de inteligencia artificial, nuevos flujos transfronterizos, nuevos proveedores tecnológicos o tratamientos a gran escala, con identificación de riesgos, medidas de mitigación y decisión motivada de la Coordinación Jurídica LATAM.^[29]

c) Capacitación inicial al ingreso y periódica, al menos anual, de todo el personal, con énfasis en las áreas que tratan datos de destinatarios, de pagos y de personal, y con registro de asistencia como evidencia.

d) Auditoría interna anual del Sistema, cuyo resultado se presenta al Comité de Compliance y al Board junto con el informe anual de cumplimiento, y auditorías a encargados conforme a los contratos de transmisión.

e) Gestión de requerimientos de autoridades, centralizada en la Coordinación Jurídica LATAM, con registro de cada requerimiento, de la respuesta y de los datos entregados.

f) Mejora continua, mediante la revisión de LA POLÍTICA MATRIZ y de sus instrumentos de desarrollo ante cambios normativos, tecnológicos, de procesos o de riesgos, y al menos cada dos (2) años.

20. Adopción, Adhesión, Vigencia y Actualización

LA POLÍTICA MATRIZ es aprobada por el Board de Kiki Logistics Inc. y adoptada por cada SOCIEDAD ADHERENTE mediante decisión de su representante legal u órgano competente, de la cual se deja constancia en el acta o documento de adhesión correspondiente. La adhesión implica la aceptación íntegra del Sistema y la obligación de expedir o actualizar la política jurisdiccional respectiva dentro de los sesenta (60) días siguientes.

LA POLÍTICA MATRIZ rige a partir de su publicación en los canales oficiales de EL GRUPO y sustituye las disposiciones internas que le sean contrarias; las políticas jurisdiccionales PO-DP-01, PO-DP-02 y PO-DP-03 y el Anexo PO-DP-01-A1 conservan su vigencia y se entienden incorporadas al Sistema como instrumentos de desarrollo. Las bases de datos tendrán una vigencia igual al término de las finalidades del tratamiento y de las obligaciones legales de conservación.

Cualquier cambio sustancial será aprobado conforme al numeral 7, informado a los titulares por los canales oficiales antes de su implementación y reflejado, cuando corresponda, en los avisos de privacidad y en los registros ante las autoridades. La versión vigente de LA POLÍTICA MATRIZ y de las políticas jurisdiccionales se publica en la plataforma de EL GRUPO y se mantiene a disposición de los titulares por el canal único de atención.

21. Tabla de Correspondencia con las Políticas Jurisdiccionales

La siguiente tabla identifica el numeral de cada política jurisdiccional que desarrolla las reglas de LA POLÍTICA MATRIZ, a efectos de facilitar su consulta conjunta y la verificación de consistencia del Sistema.

GRUPO KIKI

Kiki Logistics Inc. · Kiki Latam LLC · KIKI LOGISTICS MX, S.A.P.I. de C.V. · Kiki Logistics S.A.S. · Kiki Latam S.A.C.

Estados Unidos de América – Estados Unidos Mexicanos – República de Colombia – República del Perú