Política de tratamiento de datos personales

Spa Mediterráneo S.A.S., NIT 901.852.551-0. Carrera 15 n.º 93-75, oficina 510, Bogotá D.C. WhatsApp 320 358 1250. Correo [email protected].

• Política de tratamiento de datos
• Términos y condiciones
• Autorización de datos
• Eliminar mis datos

Versión 1.1 · Vigente desde el 5 de noviembre de 2026.

1. Base legal y alcance

Esta política se expide en cumplimiento de los artículos 15 y 20 de la Constitución Política de Colombia; la Ley Estatutaria 1581 de 2012; el Decreto 1074 de 2015, que compila el Decreto 1377 de 2013; el Decreto 886 de 2014; y el Título V de la Circular Única de la Superintendencia de Industria y Comercio (SIC).

Aplica a todos los datos personales registrados en las bases de datos de Spa Mediterráneo S.A.S. (en adelante, «el Spa») que sean objeto de tratamiento, sin importar el canal por el que se recolecten: presencial, sitio web, redes sociales (Instagram y Facebook), Messenger, WhatsApp, formularios, asistente virtual o integraciones con plataformas de terceros.

2. Responsable del tratamiento

• Razón social: Spa Mediterráneo S.A.S.
• NIT: 901.852.551-0
• Dirección: Carrera 15 n.º 93-75, oficina 510, barrio Chicó, Bogotá D.C. (código postal 110221), Colombia.
• Correo electrónico: [email protected]
• Teléfono y WhatsApp: 320 358 1250
• Sitio web: www.spamediterraneo.com
• Responsable de la atención de consultas y reclamos sobre datos personales: Ignacio Pérez de Gracia Benítez, en [email protected].

3. Definiciones

Se adoptan las definiciones del artículo 3 de la Ley 1581 de 2012 y del Decreto 1074 de 2015:

• Autorización: consentimiento previo, expreso e informado del titular.
• Base de datos: conjunto organizado de datos personales objeto de tratamiento.
• Dato personal: información vinculada o asociable a una o varias personas naturales determinadas o determinables.
• Dato público, semiprivado y privado: clasificación según el grado de acceso y reserva del dato.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los datos de salud, origen étnico o racial, orientación política, convicciones religiosas o filosóficas, vida sexual y datos biométricos.
• Encargado del tratamiento: quien trata datos personales por cuenta del responsable.
• Responsable del tratamiento: quien decide sobre la base de datos y el tratamiento de los datos.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Transferencia: envío de datos a otro responsable del tratamiento, dentro o fuera de Colombia.
• Transmisión: comunicación de datos a un encargado que los trata por cuenta del responsable, dentro o fuera de Colombia.
• Aviso de privacidad: comunicación dirigida al titular que informa la existencia de esta política, cómo acceder a ella y las finalidades del tratamiento.
• Asistente virtual: herramienta de software basada en inteligencia artificial que atiende, por cuenta del Spa, las primeras conversaciones en los canales de mensajería.

4. Principios

El Spa aplica de manera armónica e integral los principios del artículo 4 de la Ley 1581 de 2012:

• Legalidad: el tratamiento es una actividad reglada que se sujeta a la ley y sus reglamentos.
• Finalidad: responde a propósitos legítimos que se informan al titular.
• Libertad: solo se trata con consentimiento previo, expreso e informado, salvo mandato legal o judicial.
• Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: el titular puede obtener, en cualquier momento y sin restricciones, información sobre los datos que le conciernen.
• Acceso y circulación restringida: solo acceden a los datos las personas autorizadas; no se publican en internet salvo que el acceso sea técnicamente controlable.
• Seguridad: los datos se protegen con medidas técnicas, humanas y administrativas.
• Confidencialidad: quienes intervienen en el tratamiento deben guardar reserva, incluso después de terminada su relación con el Spa.

5. Autorización

El tratamiento requiere la autorización previa del titular, que se obtiene por medios escritos, orales o electrónicos (casilla de aceptación, formulario, mensaje de datos o conducta inequívoca). En los canales de mensajería (Instagram, Messenger y WhatsApp), la autorización se solicita al inicio de la conversación y se entiende otorgada cuando el titular responde afirmativamente al mensaje de autorización, cuyo texto figura en el Anexo A.5. También puede otorgarse en recepción o en la página Autorización de datos. El Spa conserva prueba de la autorización mediante mecanismos físicos o digitales que permitan su consulta posterior (registros, fecha y hora, canal, texto mostrado, formularios y versión de la política aceptada).

No se requiere autorización cuando se trate de: información solicitada por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el registro civil de las personas.

6. Datos que se tratan

• Identificación y contacto: nombre, documento de identidad, correo electrónico, teléfono, dirección y fecha de nacimiento.
• Reservas y consumo: citas, servicios, paquetes, bonos, preferencias e historial de atención.
• Facturación y pago: datos necesarios para facturar y recaudar, incluidos los comprobantes de transferencia que el titular envíe. Los datos de tarjetas son procesados por pasarelas de pago autorizadas; el Spa no los almacena ni los solicita por chat.
• Comunicaciones y navegación: mensajes enviados por WhatsApp, Instagram, Messenger, correo o formularios; nombre de usuario e identificador de la cuenta en la red social; dirección IP, cookies y datos técnicos del sitio web.
• Imágenes: videovigilancia en las instalaciones y fotografías o videos únicamente con autorización específica.
• Datos sensibles de salud: alergias, lesiones, embarazo o lactancia, implantes o marcapasos, condiciones médicas, procedimientos estéticos recientes (como toxina botulínica, rellenos o hilos) o contraindicaciones, solo cuando sean necesarios para prestar el servicio de forma segura (numeral 8).

7. Finalidades del tratamiento

7.1. Finalidades necesarias

• Identificar al titular y gestionar su registro, reservas, citas y compras.
• Prestar los servicios contratados y comunicar confirmaciones, cambios, recordatorios y novedades de la reserva.
• Comunicarnos con el titular por WhatsApp, Instagram, Messenger y otros canales de mensajería sobre sus consultas, reservas, pagos y servicios, incluida la atención inicial mediante el asistente virtual (numeral 10.3).
• Verificar, antes de reservar, que el tratamiento estético solicitado sea seguro para el titular.
• Facturar, recaudar y cumplir obligaciones contables, tributarias y comerciales.
• Atender peticiones, consultas, quejas, reclamos y solicitudes de soporte.
• Adaptar los servicios a las condiciones de salud o preferencias informadas por el titular, para su seguridad y bienestar.
• Prevenir fraudes y garantizar la seguridad de las personas, instalaciones y transacciones, incluida la videovigilancia.
• Compartir datos con aliados y proveedores tecnológicos, dentro o fuera de Colombia, cuando sea necesario para ejecutar los servicios (numeral 10).
• Realizar pruebas, validaciones y monitoreo de los sistemas y herramientas del Spa, incluida la revisión de las conversaciones atendidas por el asistente virtual, para garantizar su funcionamiento, calidad y seguridad.
• Cumplir requerimientos de autoridades judiciales o administrativas.

7.2. Finalidades accesorias

El titular puede negarse a estas finalidades sin que ello afecte la prestación del servicio:

• Enviar promociones, publicidad, programas de fidelización y novedades por correo electrónico, teléfono, SMS, WhatsApp o redes sociales.
• Elaborar estudios estadísticos sobre gustos y preferencias para mejorar la oferta de servicios.
• Medir el nivel de satisfacción mediante encuestas.
• Usar fotografías o videos en comunicación comercial, solo con autorización específica.

8. Datos sensibles y datos de niños, niñas y adolescentes

Datos sensibles. El titular no está obligado a suministrarlos. Solo se tratan con su autorización explícita y para las finalidades descritas. El Spa informa cuáles datos son sensibles y para qué se usarán. El servicio no se condiciona a su entrega, salvo cuando sean indispensables para prestarlo con seguridad (por ejemplo, ciertos tratamientos con contraindicaciones).

Los datos de salud se recogen principalmente en la ficha de ingreso presencial. Además, antes de reservar un tratamiento con aparatología, el Spa puede hacer por los canales de mensajería, directamente o mediante el asistente virtual, un número mínimo de preguntas de seguridad: si la persona está embarazada o lactando, si tiene marcapasos o implantes metálicos en la zona, si tiene cáncer en tratamiento, enfermedad del corazón o trombosis, y si se ha realizado recientemente procedimientos como toxina botulínica, rellenos, hilos o cirugía. Antes de preguntar, se informa al titular que se trata de datos de salud, que responder es voluntario y que la única finalidad es verificar que el tratamiento sea seguro. Estas respuestas no se usan para fines comerciales, se conservan con acceso restringido al personal que atiende la reserva y no se piden diagnósticos, historias clínicas ni documentos médicos por chat.

Niños, niñas y adolescentes. Su tratamiento está prohibido salvo que respete su interés superior y sus derechos fundamentales, y cuente con la autorización de su representante legal, previa escucha de la opinión del menor según su madurez y capacidad de entender el asunto. El Spa solo trata estos datos cuando es necesario para prestar un servicio al menor.

9. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012 y al Decreto 1074 de 2015, los derechos pueden ser ejercidos por el titular, sus causahabientes, su representante o apoderado, o por estipulación a favor de otro. Los derechos de los menores se ejercen por quienes estén facultados para representarlos. El titular tiene derecho a:

• Acceso o consulta: conocer, de forma gratuita, los datos que el Spa tiene sobre él, al menos una vez al mes calendario y cada vez que haya cambios sustanciales en esta política.
• Corrección: que se actualicen, rectifiquen o modifiquen los datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• Supresión: que se supriman los datos cuando no respeten los principios, derechos y garantías constitucionales y legales, salvo deber legal o contractual de conservarlos. Las instrucciones están en Eliminar mis datos.
• Revocación: dejar sin efecto la autorización otorgada.
• Reclamo por infracción: solicitar que se subsane el incumplimiento de la normativa de protección de datos.
• Prueba de la autorización: solicitar copia de la autorización otorgada, salvo los casos exceptuados por la ley.
• Información sobre el uso que se ha dado a sus datos.
• Atención humana: pedir en cualquier momento que su conversación sea atendida por una persona del Spa y no por el asistente virtual.
• Quejas ante la SIC: presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite de consulta o reclamo ante el Spa.

10. Transmisión, transferencia y plataformas de terceros (APIs)

Para prestar sus servicios, el Spa utiliza plataformas tecnológicas de terceros, conectadas mediante interfaces de programación (APIs), que pueden tratar datos personales por cuenta del Spa (transmisión) o como responsables propios (transferencia). Actualmente son:

• WhatsApp Business Platform, de Meta Platforms, Inc., para comunicarnos con los titulares por WhatsApp (numeral 10.1).
• Instagram y Messenger, de Meta Platforms, Inc., para recibir y responder los mensajes que los titulares envían a las cuentas del Spa (numeral 10.2).
• Anthropic, PBC, proveedor del modelo de inteligencia artificial que usa el asistente virtual del Spa para redactar las respuestas (numeral 10.3).
• Google LLC (Google Workspace: Google Calendar, Google Sheets, Google Drive y Google Apps Script), para administrar la agenda de citas, registrar las conversaciones y autorizaciones y operar las integraciones del Spa.
• Starbot (starbotverse.com), plataforma de gestión de mensajes de WhatsApp, para administrar conversaciones, confirmaciones y envíos programados.
• Aliaddo, software de facturación electrónica, para emitir las facturas y cumplir las obligaciones ante la DIAN.
• Cloudflare, Inc., para alojar y proteger el sitio web www.spamediterraneo.com.

Estos proveedores pueden estar ubicados fuera de Colombia, principalmente en Estados Unidos. En ese caso, el Spa verifica que el receptor ofrezca niveles adecuados de protección de datos personales o adopta las medidas necesarias, conforme a la normativa colombiana. Con los encargados se suscriben contratos o se aceptan condiciones de transmisión que exigen seguridad, confidencialidad y tratamiento de los datos solo bajo instrucciones del Spa.

La transferencia a otros responsables (entidades financieras, redes de pago, aliados comerciales y autoridades) se realiza solo cuando es necesaria para la relación contractual, la prestación del servicio o el cumplimiento de obligaciones legales.

Si en el futuro el Spa integra nuevas plataformas o APIs, actualizará esta lista en www.spamediterraneo.com/politica. Cuando el cambio implique nuevas finalidades o modifique sustancialmente las autorizadas, lo comunicará a los titulares y, cuando la ley lo exija, solicitará una nueva autorización. La información recibida mediante APIs de terceros se usa solo para las finalidades de esta política, no se vende y no se comparte con terceros para fines ajenos al servicio.

Datos recibidos de las APIs de Google. El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. Esa información no se usa para publicidad, no se vende y solo la ve el personal autorizado cuando es necesario para prestar el servicio, por seguridad o por obligación legal.

10.1. Comunicaciones por WhatsApp

El Spa se comunica con los titulares por WhatsApp a través de la plataforma WhatsApp Business de Meta. Para ello trata su número de teléfono, nombre de perfil, el contenido de los mensajes y datos técnicos del envío (fecha, hora y estado de entrega).

• Finalidades: confirmar, modificar y recordar reservas; enviar información de pagos y facturación; atender consultas y soporte; y, solo si el titular lo autoriza de forma separada, enviar promociones y novedades.
• Autorización (opt-in): el Spa solo envía mensajes iniciados por el negocio a quienes han suministrado su número y han autorizado expresamente recibirlos de Spa Mediterráneo S.A.S. por WhatsApp. El Spa conserva prueba de esta autorización (fecha, hora, canal y texto mostrado).
• Cancelación (opt-out): el titular puede dejar de recibir mensajes en cualquier momento respondiendo «STOP» o «BAJA», usando el botón de cancelación incluido en los mensajes promocionales, o escribiendo a [email protected]. El Spa atenderá la solicitud de forma inmediata.
• Meta como tercero: Meta Platforms, Inc. procesa los mensajes para operar el servicio y puede tratar algunos datos conforme a sus propias políticas, disponibles en los sitios de WhatsApp y Meta. El Spa no controla ese tratamiento.
• Datos de salud: por WhatsApp el Spa solo puede hacer las preguntas mínimas de seguridad descritas en el numeral 8, con la información previa allí prevista. Cualquier otra información de salud se recoge únicamente en la ficha de ingreso presencial o por el canal seguro que el Spa indique.

10.2. Comunicaciones por Instagram y Messenger

Cuando el titular escribe a las cuentas del Spa en Instagram o Facebook Messenger, el Spa recibe, mediante la API de Meta, su nombre de usuario, su nombre de perfil, el identificador de su cuenta y el contenido de los mensajes, imágenes o archivos que envíe, con su fecha y hora. Estos datos se usan para responder su consulta, recomendarle servicios, gestionar su reserva y, cuando sea necesario, entregar la conversación a una asesora. El Spa no usa estos datos para publicidad dirigida ni los comparte con terceros ajenos al servicio. El titular puede pedir en cualquier momento que se eliminen sus mensajes de los registros del Spa siguiendo las instrucciones de Eliminar mis datos o en la misma conversación. Meta trata además estos datos conforme a sus propias políticas, que el Spa no controla.

10.3. Asistente virtual con inteligencia artificial

La atención inicial de los mensajes que llegan por Instagram, Messenger y, cuando se active, WhatsApp puede estar a cargo de un asistente virtual del Spa. Este asistente usa un modelo de inteligencia artificial provisto por Anthropic, PBC, al que se envía el contenido de la conversación para generar cada respuesta. Su funcionamiento se rige por estas reglas:

• Se identifica como asistente virtual y nunca se presenta como una persona.
• Solicita la autorización de tratamiento de datos al inicio de la conversación.
• Informa sobre servicios, precios y promociones, hace las preguntas de seguridad del numeral 8 y ayuda a reservar, pero no confirma horarios, no diagnostica, no recomienda medicamentos y no toma decisiones que produzcan efectos jurídicos sobre el titular.
• Entrega la conversación a una asesora cuando el titular lo pide, cuando hay una queja o reclamo, cuando menciona una condición de salud o cuando la consulta excede lo que puede resolver.
• Las conversaciones se registran para que el personal autorizado del Spa pueda darles continuidad y revisar la calidad de la atención.

Según las condiciones comerciales de Anthropic para clientes empresariales, los datos enviados a través de su API no se usan para entrenar sus modelos. El titular puede pedir en cualquier momento ser atendido solo por una persona.

11. Atención de consultas y reclamos

Canales: correo electrónico a [email protected], o comunicación escrita dirigida a Spa Mediterráneo S.A.S., Carrera 15 n.º 93-75, oficina 510, Bogotá D.C. Asunto sugerido: «Ejercicio de derechos – Datos personales». Las solicitudes que el titular formule por los canales de mensajería se remiten al responsable de datos personales para su trámite.

La solicitud debe contener: nombre y apellidos del titular; copia de su documento de identidad (y, en su caso, del de su representante y el documento que acredite la representación); la petición concreta; dirección de notificación, fecha y firma del solicitante; y los documentos que se quieran hacer valer.

Consultas: se resuelven en un máximo de diez (10) días hábiles contados desde su recibo. Si no es posible, se informan al interesado los motivos de la demora y la fecha en que se atenderá, que no podrá superar cinco (5) días hábiles adicionales.

Reclamos: se resuelven en un máximo de quince (15) días hábiles contados desde su recibo. Si no es posible, se informan los motivos y la nueva fecha, que no podrá superar ocho (8) días hábiles adicionales. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para que lo subsane; transcurridos dos (2) meses sin que presente la información, se entenderá que desistió. Recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» en un término máximo de dos (2) días hábiles, que se mantendrá hasta que se decida.

12. Medidas de seguridad

El Spa ha adoptado las medidas técnicas, humanas y administrativas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos, entre ellas: control de acceso por roles, uso de protocolos seguros de comunicación, credenciales de acceso a las APIs guardadas fuera de los canales de conversación, copias de respaldo, compromisos de confidencialidad con empleados y encargados, y custodia de archivos físicos. Estos lineamientos pueden actualizarse para ajustarse a nuevas normas y riesgos.

13. Incidentes de seguridad

Quien conozca una pérdida, hurto, acceso no autorizado o cualquier incidente que afecte o pueda afectar la confidencialidad, disponibilidad o integridad de los datos debe comunicarlo de inmediato al responsable de datos personales, indicando qué ocurrió, cuándo, quiénes intervinieron y qué efectos tuvo. El Spa registra el incidente, aplica medidas correctivas y recupera la información cuando proceda. Los incidentes de seguridad se reportan a la SIC dentro de los quince (15) días hábiles siguientes a su detección, por el medio que esta disponga, y se informa a los titulares cuando puedan verse afectados de manera significativa.

14. Entrega de datos a autoridades

Cuando una entidad pública o administrativa, en ejercicio de sus funciones legales, o una orden judicial solicite acceso o entrega de datos personales, el Spa verificará la legalidad de la petición y la pertinencia de los datos solicitados frente a la finalidad expresada, y dejará constancia de la entrega, recordando a la autoridad su deber de garantizar los derechos del titular.

15. Cookies y tecnologías similares

El sitio web www.spamediterraneo.com usa las cookies técnicas necesarias para funcionar. Las cookies de analítica y publicidad de terceros (como las de Google o el píxel de Meta) solo se activan si el visitante las acepta en el aviso de cookies; si elige «Solo necesarias», no se cargan. El titular puede además rechazarlas o eliminarlas desde la configuración de su navegador.

16. Conservación, RNBD y vigencia

Los datos se conservan durante el tiempo razonable y necesario para cumplir las finalidades autorizadas y las obligaciones legales, contables y contractuales aplicables. Después se suprimen o anonimizan. Las bases de datos del Spa se inscribirán en el Registro Nacional de Bases de Datos (RNBD) cuando la ley lo exija, dentro de los plazos que fije la SIC.

Esta política puede modificarse. Los cambios sustanciales se comunicarán por los canales habituales del Spa y se publicarán en www.spamediterraneo.com/politica.

Al aceptar esta política o suministrar sus datos, el titular autoriza de manera expresa, previa e informada el tratamiento de sus datos personales en los términos aquí descritos.

Anexo A. Textos de autorización

Las casillas se presentan sin marcar por defecto, separadas de los términos generales, y nombran al Spa de forma clara.

A.1. Autorización de comunicaciones por WhatsApp (operativa)

A.2. Autorización de comunicaciones comerciales (opcional)

A.3. Autorización de tratamiento de datos de salud (ficha de ingreso)

A.4. Autorización de uso de imagen (opcional)

A.5. Autorización en los canales de mensajería (Instagram, Messenger y WhatsApp)

Mensaje que el Spa o su asistente virtual envían al inicio de cada conversación nueva:

La respuesta afirmativa del titular, con su fecha, hora y canal, queda registrada como prueba de la autorización.

A.6. Aviso previo a las preguntas de seguridad por chat

Texto que acompaña las preguntas mínimas de salud descritas en el numeral 8: