Legal

Política de tratamiento de datos personales

Versión 2026-11-07 · Vigente desde el 30 de septiembre de 2026

En pocas palabras

Usamos tus datos para venderte, cobrarte y enviarte tu pedido, para tu cuenta y tus Puntos Sfumato.
No los vendemos. No usamos píxeles ni publicidad de terceros.
Contamos las visitas con una herramienta propia, sin cookies y sin guardar tu IP.
La publicidad por correo es opcional y la quitas cuando quieras.
No vemos ni guardamos tu tarjeta: el pago lo procesa Wompi.
Para conocer, corregir o borrar tus datos, escribe a csfumato@gmail.com.

1. Quién es la responsable

Sfumato es una tienda en línea de maquillaje. La responsable del tratamiento de tus datos es una persona natural:

Nombre: María Camila Arango
Identificación: cédula de ciudadanía 1.013.256.978 · NIT 1013256978-5
Domicilio: Bogotá D.C., Colombia
Dirección de notificación: Carrera 28 # 83-22, Bogotá D.C.
Correo para datos personales: csfumato@gmail.com
Correo de atención: hola@sfumatoo.com
Teléfono y WhatsApp: +57 333 403 0404
Sitio web: sfumatoo.com

Ella misma atiende las consultas y reclamos sobre datos personales (es el área responsable de que trata el Decreto 1377 de 2013).

2. Normas y definiciones

Aplicamos la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único 1074 de 2015) y lo que dijo la Corte Constitucional en la sentencia C-748 de 2011. La Ley 1266 de 2008 (datos financieros y de crédito) no aplica: no damos crédito ni reportamos a centrales de riesgo.

Dato personal: información que te identifica o te puede identificar.
Titular: tú, la persona a quien se refieren los datos.
Tratamiento: recoger, guardar, usar, circular o suprimir datos.
Responsable: quien decide sobre la base de datos y su tratamiento.
Encargado: quien trata datos por cuenta de la responsable (por ejemplo, el servidor o el proveedor de correo).
Autorización: tu consentimiento previo, expreso e informado.
Transmisión: enviar datos a un encargado para que los trate por nuestra cuenta, dentro o fuera de Colombia.
Transferencia: enviar datos a otro responsable, que los trata por su cuenta.

Tratamos tus datos con los principios de la ley: legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

3. Qué datos tratamos y para qué

Solo pedimos lo que hace falta para cada cosa. Nada más.

Tu cuenta

Datos: nombre, apellido, correo, celular, contraseña (guardada cifrada: nadie en Sfumato puede verla) y las direcciones que guardes. Si entras con Google, Google nos entrega tu nombre, tu correo y, si la tienes, tu foto de perfil; la foto no la usamos.

Para qué: crear y administrar tu cuenta, dejarte entrar, llenar el pago con tus datos guardados y mostrarte tus pedidos.

Tus pedidos

Datos: correo, nombre, celular, departamento, ciudad, dirección y sus detalles, productos y tonos, montos, forma de entrega, y del pago solo el estado, el tipo de medio (tarjeta, PSE, Nequi…) y la referencia que nos informa Wompi.

Para qué: procesar, cobrar, despachar y entregar tu pedido; avisarte cómo va; atender cambios, garantías y reclamos; llevar la contabilidad del negocio y prevenir fraudes.

No vemos ni guardamos el número de tu tarjeta ni tus claves bancarias: los escribes directamente en Wompi. Los tonos que eliges solo sirven para despachar tu pedido; no los usamos para deducir nada sobre ti.

Puntos Sfumato

Datos: los movimientos de tus puntos (compras, canjes y ajustes) y, si compraste sin cuenta, el correo de ese pedido y si ya confirmaste que es tuyo.

Para qué: llevar tu saldo, dejarte canjear y pasar a tu cuenta los puntos que ganaste sin ella cuando confirmes tu correo.

Favoritos

Datos: los productos que marcas con el corazón: en tu cuenta si entraste, o en una cookie de tu navegador si no.

Para qué: mostrártelos cuando vuelvas.

Avisos de reposición (“Avísame”)

Datos: tu correo (el que escribes o el de tu cuenta), el producto y el tono que te interesan.

Para qué: escribirte cuando vuelva ese producto y saber qué productos traer: contamos cuántas personas piden cada uno. No te sumamos a ninguna lista de publicidad por pedir un aviso.

Cuando nos escribes

Datos: tu número de WhatsApp o tu correo y lo que nos cuentes.

Para qué: responderte, tomar pedidos por WhatsApp y atender tus solicitudes.

Peticiones, quejas y reclamos (PQR)

Datos: tu nombre, tu correo, tu celular y el número de pedido si los das, el tipo de solicitud, lo que nos cuentas, la fecha y hora, la IP y, si tenías sesión, tu cuenta.

Para qué: darte un número de radicado, responderte y llevar constancia de la respuesta.

“¿Qué pasó con tu pedido?”

Datos: si un pedido contra entrega no se quedó contigo y respondes la encuesta: el motivo que eliges y el comentario que escribas, ligados a ese pedido.

Para qué: entender por qué no se recibió y mejorar el servicio. Responder es voluntario.

Publicidad (solo si la aceptas)

Datos: tu correo y tu nombre.

Para qué: contarte novedades, lanzamientos y descuentos. Ver la sección 7.

Prueba de tus autorizaciones

Datos: qué aceptaste o retiraste (términos, esta política, publicidad), la versión del texto, la fecha y hora, dónde lo hiciste (registro, pago, Google, aviso, tu cuenta, el formulario de PQR, el enlace de baja de un correo o una baja que nos avisó Brevo), cómo confirmaste la publicidad (con tu cuenta o con el correo de confirmación), la IP y el navegador.

Para qué: demostrar que nos diste la autorización, como exige la ley (art. 9 de la Ley 1581 y art. 8 del Decreto 1377).

Datos técnicos

Datos: la IP, la fecha y la página pedida, en los registros del servidor, y las cookies descritas en la política de cookies.

Para qué: mantener la tienda segura, frenar abusos (por ejemplo, demasiados intentos seguidos) y que el carrito y la sesión funcionen.

Estadísticas de visitas

Datos: las páginas que ves, de dónde llegas (por ejemplo Instagram, WhatsApp o Google), los pasos de la compra (ver un producto, agregarlo, pagar), el tipo de aparato, el navegador, el idioma y el país y la ciudad aproximados. Nunca tu nombre, tu correo, tu teléfono, tu dirección ni tu pedido.

Para qué: saber cuántas personas entran, qué les gusta y en qué paso se quedan, para mejorar la tienda.

Lo hacemos con Umami, instalado en nuestro propio servidor: los datos no salen de ahí ni se comparten con nadie. No usa cookies ni guarda tu IP; la usa solo en el momento para saber el país y la ciudad y, para no contar dos veces la misma visita, la mezcla con tu navegador en un código que cambia cada mes y no dice quién eres.

Lo que no hacemos: no vendemos ni alquilamos tus datos, no usamos analítica de terceros ni píxeles de redes sociales, no mostramos publicidad de terceros y no tomamos decisiones automáticas que te afecten.

4. Datos sensibles

No te pedimos datos sensibles: nada sobre tu salud, origen racial o étnico, orientación sexual, creencias, opiniones políticas ni datos biométricos. Si alguna vez nos los cuentas por tu cuenta (por ejemplo, una alergia al preguntar por un producto), solo los usamos para responderte, no los guardamos en la tienda y no estás obligada ni obligado a darlos.

5. Niñas, niños y adolescentes

La tienda está pensada para personas mayores de 18 años. Si eres menor de edad, usa la tienda con tu madre, padre o representante legal: son ellos quienes autorizan el tratamiento de tus datos, después de escuchar tu opinión, como piden el artículo 7 de la Ley 1581 y la sentencia C-748 de 2011. Solo tratamos los datos de un menor respetando su interés superior y sus derechos fundamentales. Si descubrimos que recibimos datos de un menor sin esa autorización, los suprimimos.

6. Tu autorización

Nos das tu autorización de forma expresa al marcar la casilla de aceptación cuando creas tu cuenta o pagas un pedido, al continuar con Google después de leer el aviso junto al botón, o al tocar “Avísame” con el aviso a la vista. Guardamos la prueba de cada una (sección 3).

Sin los datos del pedido no podemos venderte ni enviarte nada: por eso son necesarios para comprar. La publicidad, en cambio, tiene su propia casilla, opcional y desmarcada, y no aceptarla no cambia nada de tu compra.

Puedes retirar tu autorización cuando quieras (sección 8). No procede cuando tenemos un deber legal o contractual de conservar el dato, por ejemplo los pedidos que la ley obliga a guardar.

7. Publicidad

Solo te escribimos publicidad si la aceptaste aparte. Llega por correo, nunca por llamadas, y respetando lo que dice la Ley 2300 de 2023 sobre canales y horarios. Si la pides sin haber confirmado que el correo es tuyo, te mandamos un correo para confirmarla, y hasta que no toques "Confirmar" no te escribimos publicidad: así nadie puede apuntar un correo ajeno. Puedes quitarla cuando quieras en Mi cuenta → Privacidad y datos, con el enlace de baja de cada correo (no hace falta entrar a tu cuenta) o escribiendo a csfumato@gmail.com. Si te das de baja desde un correo enviado con Brevo, Brevo nos avisa y la retiramos. Aunque la quites, te siguen llegando los correos de tus pedidos, de tu cuenta y de los avisos que pediste, porque no son publicidad.

8. Tus derechos

Según el artículo 8 de la Ley 1581 de 2012, tienes derecho a:

Conocer, actualizar y rectificar tus datos, también si están incompletos, son inexactos o inducen a error.
Pedir la prueba de la autorización que nos diste.
Que te contemos para qué usamos tus datos.
Retirar tu autorización o pedir que suprimamos tus datos, salvo que la ley nos obligue a conservarlos.
Consultar gratis tus datos, al menos una vez por mes calendario y cada vez que esta política cambie de fondo (art. 21 del Decreto 1377).
Quejarte ante la Superintendencia de Industria y Comercio (SIC, www.sic.gov.co), después de haber hecho tu consulta o reclamo con nosotros (art. 16 de la Ley 1581).

Pueden ejercerlos tú, tus causahabientes, tu representante o apoderado, o quien tenga una estipulación a tu favor, acreditando su calidad. Tu nombre, tu celular y tus direcciones también los puedes cambiar tú en Mi cuenta.

9. Consultas y reclamos

Escríbenos a csfumato@gmail.com. También recibimos solicitudes en hola@sfumatoo.com, en el formulario de PQR (te da un número de radicado) y por WhatsApp al +57 333 403 0404, pero te pediremos pasarlas al correo o al formulario para que quede constancia. Si escribes desde un correo distinto al de tu cuenta, te pediremos confirmar que eres tú antes de entregar o cambiar datos.

Consultas (art. 14 de la Ley 1581)

Para saber qué datos tuyos tenemos y cómo los usamos. Respondemos en máximo 10 días hábiles desde que la recibimos. Si no alcanzamos, te decimos por qué antes de que venza ese plazo y respondemos en máximo 5 días hábiles más.

Reclamos (art. 15 de la Ley 1581)

Para corregir, actualizar o suprimir datos, retirar tu autorización o avisar que no cumplimos esta política. Incluye tu nombre e identificación, qué pides y por qué, cómo contactarte y los documentos que quieras aportar.

Si falta algo, te lo pedimos dentro de los 5 días siguientes. Si pasan 2 meses sin respuesta, se entiende que desististe.
En máximo 2 días hábiles marcamos tus datos con la leyenda “reclamo en trámite”.
Resolvemos en máximo 15 días hábiles desde que el reclamo está completo. Si no alcanzamos, te decimos por qué y resolvemos en máximo 8 días hábiles más.

10. Con quién los compartimos

Solo con quienes necesitamos para que la tienda funcione, y solo lo que cada uno necesita:

Proveedor del servidor
OVH (Canadá) · encargado
Aloja la tienda, la base de datos, las estadísticas de visitas y sus copias de seguridad.
Brevo (Sendinblue SAS)
Francia, servidores en la Unión Europea · encargado
Envía nuestros correos: restablecer contraseña, confirmar tu correo o tu publicidad, avisos, el acuse de tus PQR y, si la aceptaste, publicidad. Recibe tu correo y el contenido del mensaje, y nos avisa si te das de baja desde uno de sus correos.
Cloudflare, Inc.
Estados Unidos · encargado
Administra el dominio y reenvía a nuestro buzón los correos que escribes a hola@sfumatoo.com.
Google LLC
Estados Unidos
Si eliges entrar con Google, Google te identifica y nos entrega tu nombre y tu correo; tu cuenta de Google se rige por la política de Google. Además, nuestro buzón de correo está en Gmail (encargado).
Wompi (Bancolombia)
Colombia · responsable de los datos de pago
Procesa tu pago. Le enviamos tu nombre, correo, celular, dirección y el monto; los datos de tu tarjeta o cuenta los recibe directamente y los trata según su propia política.
Transportadoras
Colombia
Llevan tu pedido. Reciben tu nombre, celular, dirección, ciudad, el valor declarado y, si pagas contra entrega, el valor a cobrar.
WhatsApp (Meta)
Estados Unidos
Si nos escribes por WhatsApp, la conversación pasa por WhatsApp Business y se rige también por las condiciones de WhatsApp.

También entregamos datos a autoridades cuando una ley o una orden judicial nos lo exige (art. 13 de la Ley 1581).

11. Datos fuera de Colombia

Algunos de estos proveedores están fuera de Colombia, así que tus datos pueden guardarse o procesarse en la Unión Europea, en Estados Unidos y en el país del servidor. Cuando un proveedor trata datos por nuestra cuenta (una transmisión), lo hace bajo sus condiciones de tratamiento de datos, que le obligan a usarlos solo para el servicio que nos presta y a protegerlos (arts. 24 y 25 del Decreto 1377). Con tu autorización aceptas además esas transmisiones. Los países de destino están entre los que la SIC reconoce con un nivel adecuado de protección (art. 26 de la Ley 1581).

12. Seguridad

Toda la tienda va por HTTPS.
Las contraseñas se guardan cifradas con un algoritmo de una sola vía: nadie puede leerlas.
Tu sesión viaja en una cookie que el navegador no deja leer a otros sitios ni a ningún código de la página.
La base de datos no está abierta a internet, y el panel de administración exige usuario y contraseña.
Los pagos no pasan por nuestro servidor: se hacen en Wompi.
Hacemos copias de seguridad diarias, que se borran solas a los 14 días.

Si ocurre un incidente que ponga en riesgo tus datos, lo informamos a la SIC y te avisamos, como exige el artículo 17, literal n, de la Ley 1581.

13. Cuánto tiempo los guardamos

Solo mientras hagan falta para lo que te contamos, o mientras la ley nos obligue:

Cuenta, favoritos y puntos: Mientras tengas la cuenta. Si pasan 36 meses sin que entres ni compres, te escribimos; si no entras en los 30 días siguientes, la suprimimos (y con ella tus puntos).
Puntos ganados sin cuenta: Hasta 24 meses esperando a que crees tu cuenta y confirmes tu correo.
Pedidos y pagos: 10 años, porque la ley obliga a los comerciantes a conservar sus libros y soportes (art. 28 de la Ley 962 de 2005) y para atender garantías y reclamos (Ley 1480 de 2011). En ese tiempo no los usamos para nada más.
Avisos de reposición: Tu correo, hasta 30 días después de avisarte, y como máximo 12 meses si el producto no vuelve. Después lo borramos y solo queda, sin saber de quién, qué producto se pidió y cuándo.
Carritos sin terminar: Hasta 6 meses.
Publicidad: Hasta que la retires.
Mensajes de WhatsApp y correo: 2 años desde el último mensaje, salvo que hagan parte de un pedido o un reclamo.
Peticiones, quejas y reclamos: 3 años desde que la respondemos.
Respuestas a “¿Qué pasó con tu pedido?”: 24 meses desde que respondes. Después borramos tu comentario y la respuesta deja de estar ligada a tu pedido: queda solo el motivo, para estadística.
Prueba de autorizaciones: Mientras tratemos tus datos y 5 años más, para poder demostrarla ante la SIC o un juez.
Registros técnicos del servidor: Máximo 90 días.
Estadísticas de visitas: Máximo 24 meses.
Copias de seguridad: 14 días: lo que suprimimos desaparece de ellas en ese plazo.

Cuando suprimimos datos que la ley nos obliga a conservar, los dejamos bloqueados y los borramos al vencer el plazo legal.

14. Cookies

Usamos solo cookies propias y necesarias: para tu carrito, tu sesión y tus favoritos. No usamos cookies de analítica, de publicidad ni de seguimiento entre sitios: las visitas las contamos sin cookies (sección 3). El detalle está en la política de cookies.

15. Registro Nacional de Bases de Datos

La obligación de inscribir las bases de datos en el Registro Nacional de Bases de Datos de la SIC la tienen las sociedades y entidades sin ánimo de lucro con activos totales de más de 100.000 UVT y las personas jurídicas de naturaleza pública (Decreto 1074 de 2015, art. 2.2.2.26.1.2, modificado por el Decreto 090 de 2018). La responsable de Sfumato es una persona natural, así que hoy no está obligada a inscribirlas. Esto no cambia ninguno de tus derechos ni de nuestros deberes.

16. Cambios y vigencia

Si cambiamos esta política de fondo, te lo contamos por correo o en la tienda antes de aplicar el cambio. Si el cambio es sobre para qué usamos tus datos, te pediremos una autorización nueva. Cada versión lleva su fecha, y guardamos cuál aceptaste.

Esta versión (2026-11-07) rige desde el 30 de septiembre de 2026. Las bases de datos estarán vigentes mientras duren las finalidades descritas.