ANEXO 1 — ACUERDO DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES

Filo · Un producto de Holding Tech MGR S.A.S.

Versión: 1.0 Vigente desde: 17 de octubre de 2026 Aplica a: todos los Establecimientos que usan Filo, incluidos los del programa cerrado por invitación. Forma parte de los Términos y Condiciones de Filo desde su publicación.

1. Partes y objeto

Este Anexo regula la relación entre:

• El Suscriptor, que actúa como Responsable del Tratamiento de los datos personales de sus Clientes finales y de los datos que él mismo registre sobre ellos en la Plataforma.
• Holding Tech MGR S.A.S. (NIT 902.085.448-2, Carrera 72A Bis A # 11A-83, Bogotá D.C., en adelante "Magnor"), que actúa como Encargado del Tratamiento de esos datos, por cuenta del Suscriptor y solo para prestar el Servicio.

El objeto de este Anexo es cumplir lo que exigen la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y la Ley 2300 de 2023 sobre la relación entre un Responsable y un Encargado.

En este Anexo, Establecimiento es el negocio de belleza que usa Filo; Suscriptor es la persona natural o jurídica dueña de ese negocio; Profesional es quien atiende citas en él; y Cliente final es la persona que reserva o recibe un servicio en el Establecimiento.

2. Qué datos cubre este Anexo

Este Anexo cubre los datos de los Clientes finales de cada Establecimiento:

• Nombre.
• Número de celular (WhatsApp).
• Fecha de cumpleaños, si el Cliente final la entrega.
• Historial de citas y servicios recibidos.
• Preferencias y notas que el Establecimiento registre.
• Precios especiales acordados con el Establecimiento.
• Constancia de las autorizaciones otorgadas (fecha, hora, texto aceptado y origen).
• Reseñas que el Cliente final publique.

Quedan fuera de este Anexo los datos de los Suscriptores y de los Profesionales (cuentas, contraseñas, pagos, uso de la Plataforma). Sobre esos datos Magnor actúa como Responsable y se rigen por la Política de Tratamiento de Datos Personales publicada en filo.lat/privacidad.

3. Para qué puede usar Magnor los datos (instrucciones del Responsable)

Al aceptar los Términos, el Suscriptor instruye a Magnor para tratar los datos de sus Clientes finales solo para:

1. Gestionar las citas: reservas, confirmaciones, recordatorios, reasignaciones y cancelaciones.
2. Enviar por WhatsApp, desde el número de Filo, los mensajes de servicio relacionados con esas citas.
3. Enviar por WhatsApp mensajes comerciales del Establecimiento (promociones, invitaciones a volver, cumpleaños, fidelización), solo a los Clientes finales que los autorizaron de forma expresa, y dentro de los horarios de la Ley 2300 de 2023.
4. Llevar el historial de visitas, el programa de fidelización y las reseñas del Establecimiento.
5. Mostrarle al Suscriptor y a sus Profesionales la información de sus Clientes finales dentro de la Plataforma.
6. Elaborar estadísticas agregadas y anonimizadas que no permitan identificar a ninguna persona.

Magnor no vende, alquila ni cede los datos de los Clientes finales, no los usa para sus propias campañas comerciales y no los comparte entre Establecimientos distintos.

4. Cómo se obtienen las autorizaciones

Cuando un Cliente final reserva en el perfil público del Establecimiento o escanea un código QR, la Plataforma le muestra dos casillas separadas, ninguna marcada de entrada:

• Casilla 1 — obligatoria para reservar: acepta la Política de Tratamiento de Datos Personales y autoriza el uso de sus datos para gestionar su cita.
• Casilla 2 — opcional: autoriza recibir mensajes comerciales del Establecimiento por WhatsApp.

Si el Cliente final no marca la casilla 2, igual puede reservar y recibe los mensajes de servicio de su cita.

Magnor guarda la constancia de cada autorización: el texto aceptado, la fecha, la hora, el Establecimiento y el origen (perfil público, QR o registro manual).

Cuando el Suscriptor o sus Profesionales registran a un Cliente final de forma manual (por ejemplo, una cita sin reserva previa o una importación), el Suscriptor declara que ya obtuvo la autorización de ese Cliente final por un medio que pueda probar.

5. Obligaciones del Suscriptor como Responsable

El Suscriptor se obliga a:

1. Obtener y conservar la autorización de sus Clientes finales cuando los registre por fuera de los mecanismos de la Plataforma.
2. No registrar datos sensibles (salud, origen étnico, orientación sexual, creencias, datos biométricos) salvo que el Cliente final lo autorice de forma expresa y sea necesario para el servicio, por ejemplo una alergia a un producto.
3. Menores de edad: solo registrar a un menor de edad cuando su padre, madre o representante legal haga la reserva o la autorice. La Plataforma no está dirigida a menores como usuarios directos.
4. Atender las consultas y reclamos de sus Clientes finales sobre sus datos, con el apoyo de Magnor (Sección 7.4).
5. No pedirle a Magnor tratamientos distintos de los de la Sección 3.

6. Personas autorizadas dentro de la Plataforma

Dentro de cada Establecimiento pueden ver los datos de los Clientes finales el Suscriptor y los Profesionales que él invite, según los permisos de la Plataforma. Cada Profesional ve lo necesario para atender sus citas.

Dentro de Magnor, solo acceden a esos datos las personas que lo necesitan para prestar el Servicio, dar soporte o atender un incidente, con deber de confidencialidad.

7. Obligaciones de Magnor como Encargado

7.1 Confidencialidad

Magnor trata los datos solo según las instrucciones de la Sección 3 y guarda reserva sobre ellos, también después de terminar el contrato.

7.2 Seguridad

Magnor aplica medidas técnicas y administrativas razonables, entre ellas: cifrado en tránsito y en reposo, separación de los datos de cada Establecimiento, accesos internos con mínimo privilegio, registros de acceso y copias de seguridad cifradas.

7.3 Baja de mensajes comerciales (opt-out global)

Cuando un Cliente final responde al número de WhatsApp de Filo con SALIR, STOP, BAJA o NO MÁS MENSAJES (sin importar mayúsculas ni tildes):

• Magnor deja de enviarle mensajes comerciales de todos los Establecimientos que usan Filo, aunque su número no esté vinculado a ninguno.
• Los mensajes de servicio de sus citas siguen llegando, porque son parte de la cita que él mismo reservó.
• Magnor le confirma la baja con un mensaje.
• Para volver a recibir mensajes comerciales de un Establecimiento, el Cliente final debe autorizarlo de nuevo con ese Establecimiento (por ejemplo, con su código QR o al reservar).

Magnor conserva el número en una lista de bajas mientras la Plataforma opere, solo para garantizar que la baja se respete.

7.4 Apoyo en solicitudes de los titulares

Si un Cliente final le pide a Magnor conocer, actualizar, rectificar o suprimir sus datos, o revocar su autorización:

1. Magnor confirma el recibo y le asigna un número de radicado.
2. Magnor avisa al Suscriptor del Establecimiento correspondiente.
3. Magnor ejecuta técnicamente lo que corresponda, por cuenta del Suscriptor.
4. La respuesta al titular se da dentro de los plazos legales: diez (10) días hábiles para consultas y quince (15) días hábiles para reclamos.

Las solicitudes pueden enviarse a soporte@magnor.tech o por el formulario de filo.lat/derechos-datos.

7.5 Incidentes de seguridad

Si ocurre un incidente que comprometa datos de Clientes finales, Magnor:

• Avisa al Suscriptor dentro de las setenta y dos (72) horas siguientes a su detección, con lo que se sepa del incidente y las medidas tomadas.
• Reporta el incidente a la Superintendencia de Industria y Comercio conforme a la normativa vigente.
• Colabora con el Suscriptor en los avisos que deban darse a los titulares.

8. Proveedores que apoyan a Magnor (subencargados)

El Suscriptor autoriza a Magnor a apoyarse en los siguientes proveedores. Cada uno trata los datos solo para la función indicada y bajo acuerdos de tratamiento de datos.

Magnor avisará al Suscriptor, por correo electrónico y con un aviso dentro de la Plataforma, con al menos quince (15) días de anticipación, antes de agregar o cambiar un proveedor que trate datos de Clientes finales. Si el Suscriptor no está de acuerdo, puede cancelar sin penalidad.

9. Datos fuera de Colombia

Algunos proveedores de la Sección 8 guardan o procesan datos en Estados Unidos o en Irlanda. Esa transmisión se hace solo para prestar el Servicio, bajo acuerdos de tratamiento de datos que exigen niveles de protección equivalentes a los de la ley colombiana. El Suscriptor autoriza estas transmisiones al aceptar los Términos.

10. Conservación y eliminación

• Mientras la Suscripción esté activa: los datos se conservan mientras el Suscriptor los mantenga en la Plataforma. El Suscriptor puede eliminar a un Cliente final en cualquier momento.
• Al terminar la Suscripción: del día 1 al 30 los datos se conservan intactos; del día 31 al 60 el Suscriptor puede pedir la exportación; desde el día 61 se eliminan de forma definitiva.
• Registros de mensajes de WhatsApp: se conservan doce (12) meses para demostrar el cumplimiento de la Ley 2300 de 2023 y luego se eliminan.
• Lista de bajas: se conserva conforme a la Sección 7.3.
• Los datos agregados y anonimizados pueden conservarse porque no identifican a ninguna persona.

Al terminar, Magnor no conserva copias de los datos de los Clientes finales, salvo lo indicado en esta Sección.

11. Información y verificación

El Suscriptor puede pedir a Magnor, por escrito a soporte@magnor.tech, información razonable sobre cómo cumple este Anexo. Magnor responde dentro de los quince (15) días hábiles siguientes.

12. Vigencia

Este Anexo rige mientras esté vigente la Suscripción y, en lo que se refiere a la confidencialidad, la eliminación y la lista de bajas, después de terminada.

Los cambios a este Anexo se avisan al Suscriptor por correo electrónico y dentro de la Plataforma con al menos quince (15) días de anticipación, y la versión anterior queda disponible para consulta.

Holding Tech MGR S.A.S. · NIT 902.085.448-2 · Bogotá D.C., Colombia filo.lat · magnor.tech Anexo 1 · Versión 1.0