1. Tratamiento De Datos Personales

PISTIS GROUP S.A.S., en su calidad de responsable del tratamiento de datos personales, ha establecido la presente Política de Tratamiento de Datos Personales (la "Política"), en cumplimiento de la Ley 1581 de 2012, sus decretos reglamentarios (Decreto 1377 de 2013 y Decreto 1074 de 2015) y las directrices de la Superintendencia de Industria y Comercio (SIC).

A través de esta Política, PISTIS informa a los usuarios, clientes, aliados y demás titulares sobre el tratamiento, las finalidades, los procedimientos y los derechos que les asisten respecto de las bases de datos bajo su responsabilidad, incluyendo los datos recolectados a través de la aplicación móvil PISTIS y su ecosistema tecnológico asociado (módulos de Carpooling, Pistis Beneficios y movilidad en motocicleta operada por tercero).

Esta Política refleja el compromiso de la empresa con el principio de responsabilidad demostrada (accountability), implementando medidas verificables técnicas, jurídicas y organizacionales para asegurar un tratamiento lícito, seguro, transparente y auditable.

2. Identificación Del Responsable Del Tratamiento

Razón social: PISTIS GROUP S.A.S.

NIT: 901.994.960-9

Naturaleza jurídica: Sociedad por Acciones Simplificada, constituida conforme a las leyes de Colombia.

Domicilio principal: Santiago de Cali, Valle del Cauca, República de Colombia.

Correo electrónico oficial: gerencia@pistisgroup.co

Teléfono de contacto: (+57) 302 719 0431

Sitio web oficial: www.pistisgroup.co

PISTIS GROUP S.A.S. decide sobre la finalidad, el alcance y los medios del tratamiento de la información recolectada. Todas las solicitudes, consultas o reclamos relacionados con protección de datos deberán dirigirse a gerencia@pistisgroup.co, único canal oficial habilitado.

3. Definiciones Y Principios Rectores

Conforme a la Ley 1581 de 2012, se adoptan las siguientes definiciones:

• Dato personal: Información que permite identificar o hacer identificable a una persona natural.

• Dato sensible: Información que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (datos biométricos, ubicación precisa, hábitos de desplazamiento, imagen del rostro).

• Tratamiento: Cualquier operación sobre datos personales (recolección, almacenamiento, uso, circulación, transmisión, transferencia o supresión).

• Autorización: Consentimiento previo, expreso e informado del titular.

• Responsable del tratamiento: Quien decide sobre la finalidad y los medios. En este caso, PISTIS GROUP S.A.S.

• Encargado del tratamiento: Quien trata datos por cuenta del responsable.

• Transmisión: Comunicación de datos a un encargado, dentro o fuera del país, para tratamiento por cuenta del responsable.

• Transferencia: Envío de datos a otro responsable ubicado dentro o fuera del país.

• Anonimización: Proceso por el cual un dato pierde la posibilidad de asociarse a un titular determinado o determinable.

El tratamiento se rige por los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad, confidencialidad, proporcionalidad y minimización.

4. Finalidades Del Tratamiento

Los datos personales podrán ser recolectados, almacenados, usados, procesados, circulados, transmitidos, transferidos, actualizados, anonimizados y suprimidos, de manera manual o automatizada, dentro o fuera del territorio nacional, para las siguientes finalidades:

1. Registrar, autenticar y administrar las cuentas de los Usuarios, garantizando su identificación y acceso seguro.

2. Verificar la pertenencia a comunidades cerradas mediante validación de correos con dominio institucional.

3. Facilitar el uso de los servicios digitales de la App, incluyendo el módulo de Carpooling.

4. Coordinar la comunicación entre Usuarios (notificaciones, chat interno, actualizaciones de trayectos o reservas).

5. Administrar el sistema de calificaciones, reputación y comportamiento dentro de la comunidad.

6. Gestionar los pagos por compra de Cupones y por el servicio de movilidad a través de la pasarela Wompi S.A.S., bajo sus propias políticas de seguridad.

7. Emitir facturación electrónica, comprobantes y comunicaciones relacionadas con operaciones económicas.

8. Cumplir obligaciones legales, contables, tributarias y contractuales.

9. Atender consultas, solicitudes, quejas, reclamos y reportes de comportamiento.

10. Adoptar medidas de verificación, prevención y control frente a fraudes, suplantaciones o accesos no autorizados.

11. Realizar mantenimiento, actualizaciones y pruebas técnicas de la Plataforma.

12. Contactar al Usuario por medios electrónicos para fines operativos, contractuales o de servicio.

13. Enviar información, encuestas y comunicaciones comerciales, previa autorización del Usuario.

14. Elaborar métricas, indicadores y análisis estadísticos de uso para la mejora continua.

15. Ejecutar auditorías internas y controles de cumplimiento normativo y seguridad digital.

16. Cumplir requerimientos de autoridades judiciales, administrativas o de control.

17. Generar estadísticas y estudios de movilidad, impacto ambiental y eficiencia en desplazamientos.

18. Desarrollar modelos analíticos y reportes internos o para terceros, con fines de innovación o investigación.

19. Comercializar información estadística agregada o anonimizada de forma irreversible, que no permita identificar, directa o indirectamente, a los Usuarios.

20. Promover, de manera general y sin individualizar Usuarios, la actividad de la comunidad.

21. Transmitir al Operador de Movilidad los datos necesarios para la prestación del servicio de motocicleta, y transmitir/poner a disposición de las Marcas Aliadas la información estrictamente necesaria para la aplicación de beneficios, conforme a la Sección 5 de esta Política.

PISTIS garantizará que toda operación de análisis, procesamiento o cesión de información anonimizada cumpla con los principios de transparencia, proporcionalidad, minimización y seguridad, conforme a los lineamientos de la SIC.

5. Transmisión Y Transferencia De Datos A Terceros

El Usuario, al aceptar esta Política, AUTORIZA DE MANERA PREVIA, EXPRESA E INFORMADA la comunicación de sus datos personales a los terceros que se indican a continuación, exclusivamente para las finalidades y en la medida aquí descritas.

5.1. Pasarela De Pagos (Wompi S.A.S.)

Los datos transaccionales necesarios para procesar los pagos por compra de Cupones y por el servicio de movilidad son tratados por Wompi S.A.S. (subsidiaria de Bancolombia S.A., vigilada por la Superintendencia Financiera de Colombia), bajo sus propios términos y políticas de seguridad (estándar PCI DSS). PISTIS no accede, almacena ni administra datos financieros sensibles (números completos de tarjeta, claves), actuando únicamente como integrador tecnológico.

5.2. Operador De Movilidad (Comercializadora Fenixcol S.A.S.)

Para hacer posible la prestación del servicio de movilidad en motocicleta, PISTIS TRANSMITIRÁ a COMERCIALIZADORA FENIXCOL S.A.S. (NIT 901.915.956-1, comercializado como "Neos Ride") los datos personales estrictamente necesarios para ejecutar el servicio solicitado, a saber, de manera enunciativa: nombre e identificación de contacto del Usuario, número de teléfono, punto de recogida, destino y datos de la solicitud del trayecto.

EL USUARIO RECONOCE Y ACEPTA QUE:

• A partir del momento de la transmisión, y para lo relativo a la ejecución material del servicio, COMERCIALIZADORA FENIXCOL S.A.S. actúa como RESPONSABLE AUTÓNOMO E INDEPENDIENTE del tratamiento de dichos datos, y responde por su uso conforme a la Ley 1581 de 2012 y a su propia política de tratamiento.

• PISTIS NO RESPONDE POR EL TRATAMIENTO QUE EL OPERADOR REALICE POR FUERA DEL ECOSISTEMA DE PISTIS, ni por los datos que el Usuario suministre directamente al Operador o a su conductor durante la prestación del servicio.

• La transmisión se limita al principio de minimización: solo se comunican los datos indispensables para ejecutar el servicio solicitado.

5.3. Marcas Aliadas (Módulo Pistis Beneficios)

En el módulo Pistis Beneficios, PISTIS actúa como vitrina tecnológica. Cuando la aplicación de un beneficio así lo requiera, PISTIS podrá poner a disposición de la Marca Aliada la información estrictamente necesaria para validar la elegibilidad del Usuario o aplicar el descuento (por ejemplo, confirmación de pertenencia a la comunidad o un código de validación). En ningún caso PISTIS transmite a las Marcas Aliadas datos sensibles del Usuario sin autorización específica y separada.

Si el Usuario decide adquirir productos o servicios de una Marca Aliada, los datos que suministre directamente a esta (para la compra, entrega, garantía o facturación) son tratados por la Marca Aliada como responsable autónomo, bajo su propia política, y PISTIS no responde por dicho tratamiento.

5.4. Encargados Tecnológicos

PISTIS podrá transmitir datos a proveedores de infraestructura tecnológica que actúan como encargados del tratamiento por cuenta de PISTIS (almacenamiento en la nube, mensajería, geolocalización, analítica), quienes están obligados contractualmente a tratar los datos únicamente conforme a las instrucciones de PISTIS y bajo estrictos deberes de confidencialidad y seguridad.

5.5. Transferencia Internacional

Cuando el tratamiento involucre servidores o proveedores ubicados fuera de Colombia, la transferencia o transmisión internacional se realizará observando las garantías exigidas por la Ley 1581 de 2012 y las directrices de la SIC sobre transferencia internacional de datos, asegurando un nivel adecuado de protección.

6. Tratamiento De Datos Sensibles Y De Menores

6.1. Datos Sensibles

PISTIS podrá tratar datos sensibles (imagen, voz, ubicación geográfica, hábitos de desplazamiento) únicamente cuando sea estrictamente necesario para las finalidades descritas y con autorización previa, expresa e informada del titular. La ubicación geográfica se tratará solo mientras sea necesaria para la funcionalidad solicitada (por ejemplo, coordinar un trayecto o una recogida). PISTIS informará al titular que no está obligado a autorizar el tratamiento de datos sensibles, solicitará consentimiento explícito y separado, e implementará protocolos de seguridad reforzada.

6.2. Datos De Niñas, Niños Y Adolescentes

PISTIS no presta servicios dirigidos a menores de edad y prohíbe el registro de usuarios menores de 18 años. Si excepcionalmente se recolectara información de adolescentes mayores de 14 años, el tratamiento cumplirá los más altos estándares, con autorización del representante legal, respondiendo al interés superior del menor, limitando la recolección a lo estrictamente necesario e impidiendo la publicación de datos que permitan identificar, localizar o contactar directamente al menor.

7. Derechos De Los Titulares Y Procedimientos

El titular tiene derecho a: (i) conocer, acceder y consultar sus datos; (ii) actualizarlos y rectificarlos; (iii) solicitar prueba de la autorización; (iv) ser informado sobre su uso; (v) revocar la autorización y/o solicitar la supresión cuando el tratamiento no respete la ley; (vi) presentar quejas ante la SIC; (vii) abstenerse de responder sobre datos sensibles o de menores; y (viii) acceder gratuitamente a sus datos.

7.1. Consultas

Podrán presentarse al correo gerencia@pistisgroup.co o mediante el formulario de la App (sección "Protección de Datos"). Serán atendidas en un plazo máximo de diez (10) días hábiles, prorrogable hasta por cinco (5) días hábiles adicionales, informando los motivos de la demora.

7.2. Reclamos

Podrán presentarse por los canales oficiales, incluyendo: identificación del titular, descripción de los hechos, documentos de soporte y dirección de notificación. Si el reclamo está incompleto, PISTIS requerirá al interesado dentro de los cinco (5) días hábiles siguientes; transcurridos dos (2) meses sin subsanar, se entenderá desistido. Recibido el reclamo completo, se incluirá la leyenda "Reclamo en trámite" dentro de dos (2) días hábiles. El plazo máximo de atención será de quince (15) días hábiles, prorrogable hasta por ocho (8) días hábiles adicionales.

La revocatoria o supresión no procederá cuando exista deber legal o contractual de permanecer en la base de datos, o cuando la información sea necesaria para cumplir una obligación legal, preservar derechos, ejercer la defensa en un proceso, cumplir obligaciones fiscales o atender requerimientos de autoridad.

8. Medidas De Seguridad Y Gestión De Incidentes

PISTIS implementa medidas razonables, proporcionales y progresivas para proteger la información contra acceso no autorizado, pérdida, uso indebido, alteración o divulgación indebida, incluyendo: conexiones cifradas (SSL/TLS), autenticación mediante credenciales personales y validación de correos institucionales, almacenamiento en entornos protegidos con restricciones de acceso, monitoreo de actividad y bloqueo preventivo de accesos sospechosos, y eliminación o anonimización de información cuando deja de ser necesaria.

Gestión de incidentes. Ante un incidente que comprometa la seguridad, PISTIS activará un protocolo de evaluación, contención y registro, y cuando pueda afectar significativamente los derechos de los titulares, notificará a los usuarios afectados y a la SIC dentro de los plazos normativos.

Limitación de responsabilidad. PISTIS adopta medidas de seguridad conforme a su capacidad técnica y operativa, pero no puede garantizar la invulnerabilidad absoluta de sus sistemas. No será responsable por incidentes atribuibles a fallas de servicios de terceros, fuerza mayor o hechos fuera de su control razonable. El uso de la Plataforma implica la aceptación de los riesgos inherentes a la transmisión digital de información.

9. Conservación, Actualización Y Supresión

PISTIS conservará la información durante el tiempo razonable y necesario para cumplir las finalidades y atender obligaciones legales, contables, fiscales, contractuales o de seguridad. Los datos se mantendrán mientras el Usuario conserve su cuenta y por un periodo adicional máximo de cinco (5) años desde la desactivación, para atender reclamaciones, auditorías, requerimientos de autoridad y trazabilidad. Vencido dicho plazo, la información será eliminada, anonimizada o bloqueada según su naturaleza y las obligaciones legales vigentes.

El Usuario podrá actualizar, corregir o complementar su información en cualquier momento. PISTIS podrá verificar periódicamente la veracidad de los datos y suspender temporalmente cuentas con información inexacta o no validable.

10. Vigencia, Modificaciones Y Publicación

Vigencia. Esta Política entra en vigencia desde su publicación y permanece vigente mientras se mantengan las finalidades del tratamiento o exista relación con los titulares.

Modificaciones. PISTIS podrá modificarla en cualquier momento, publicando la fecha de la última actualización. Cuando los cambios afecten sustancialmente las condiciones del tratamiento, PISTIS podrá solicitar nuevamente la autorización expresa de los titulares.

Publicación y acceso. La Política estará disponible de forma permanente y gratuita en la sección de Privacidad de la App y en www.pistisgroup.co. Los titulares podrán consultarla, descargarla o solicitar copia a gerencia@pistisgroup.co.

Aviso De Privacidad — PISTIS GROUP S.A.S.

PISTIS GROUP S.A.S. (NIT 901.994.960-9, domicilio en Santiago de Cali, correo gerencia@pistisgroup.co) es responsable del tratamiento de los datos personales recolectados a través de la App PISTIS.

Usamos tu información para: crear y administrar tu cuenta; verificar tu pertenencia a comunidades verificadas; coordinar trayectos, beneficios, calificaciones y pagos dentro de la App; transmitir a nuestro operador aliado (Comercializadora Fenixcol S.A.S.) los datos necesarios para prestarte el servicio de motocicleta cuando lo solicites; poner a disposición de las marcas aliadas la información mínima para aplicar tus beneficios; mejorar el servicio y garantizar su seguridad; cumplir obligaciones legales; y enviarte comunicaciones, previa autorización.

Puedes acceder, actualizar, rectificar o eliminar tus datos, revocar tu autorización o presentar quejas ante la Superintendencia de Industria y Comercio (SIC). Escríbenos a gerencia@pistisgroup.co (asunto: "Consulta o Reclamo Protección de Datos Personales"). Consulta la Política completa en www.pistisgroup.co.

Versión: 2.1 — Fecha de entrada en vigor: 2 de agosto de 2026 — PISTIS GROUP S.A.S. — Santiago de Cali, Colombia. Sustituye cualquier versión anterior. © 2026 Pistis Group S.A.S. Todos los derechos reservados.