Política de privacidad

CORAX PROJECT

Origin Farm & Processing



Política de Tratamiento y Protección

de Datos Personales

Ley 1581 de 2012 · Decreto 1074 de 2015 · República de Colombia

Documento bilingüe — Español / English

Versión 1.0 · Fecha de entrada en vigencia: 7 de septiembre de 2026

Última actualización: 7 de septiembre de 2026

coraxproject.com


CONTENIDO

1. Identificación del responsable del tratamiento

2. Objeto y ámbito de aplicación

3. Marco legal

4. Definiciones

5. Principios rectores

6. Datos personales que recolectamos

7. Finalidades del tratamiento

8. Datos sensibles y datos de niñas, niños y adolescentes

9. Autorización del titular

10. Derechos del titular

11. Deberes del responsable

12. Área responsable y canales de atención

13. Procedimiento para consultas

14. Procedimiento para reclamos

15. Encargados del tratamiento y terceros

16. Transferencia y transmisión internacional de datos

17. Titulares ubicados fuera de Colombia

18. Cookies y tecnologías similares

19. Medidas de seguridad

20. Conservación y vigencia de las bases de datos

21. Modificaciones a la política

22. Vigencia

Anexo A. Textos de autorización

Anexo B. Aviso de privacidad resumido

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

En cumplimiento de lo dispuesto en el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, se identifica al responsable del tratamiento de los datos personales en los siguientes términos:

Campo

Información

Responsable del tratamiento

CORAX PROJECT — Origin Farm & Processing, nombre comercial de persona natural comerciante

Actividad

Procesamiento y comercialización de café de especialidad

Domicilio

Armenia, Quindío, Colombia

Dirección de notificaciones

Calle 50 #51-80, Armenia, Quindío, Colombia

Correo electrónico

coraxprojectcoffee@gmail.com

Sitio web

https://coraxproject.com



2. OBJETO Y ÁMBITO DE APLICACIÓN

La presente política establece los criterios, principios, finalidades, derechos, procedimientos y medidas de seguridad que CORAX PROJECT aplica a la recolección, almacenamiento, uso, circulación, transferencia, transmisión y supresión de los datos personales que trata en desarrollo de su actividad comercial.

Esta política se aplica a los datos personales recolectados a través de cualquiera de los siguientes canales:

  • El sitio web de CORAX PROJECT, en el que se exhibe el catálogo de productos y se invita a agendar una cita, incluidos sus formularios de contacto y de suscripción.

  • Los perfiles de la marca en redes sociales y los canales directos de contacto: mensajería instantánea, correo electrónico y llamada telefónica, por los que se agendan las citas y se coordinan los pedidos.

  • Ferias, catas, ruedas de negocio, visitas a finca y demás actividades comerciales presenciales.

  • La relación contractual con proveedores, caficultores, transportadores y aliados.



Son titulares de datos cubiertos por esta política:

  • Visitantes y clientes, es decir, quienes agendan una cita, solicitan información o concretan un pedido por los canales directos de la marca, en Colombia y en el exterior.

  • Suscriptores, leads y comunidad, es decir, quienes se registran en la lista de correo o dejan sus datos en formularios y campañas.

  • Clientes mayoristas, importadores y aliados comerciales, incluidos sus contactos y representantes.

  • Proveedores, caficultores y prestadores de servicios, incluidos sus equipos de trabajo.



Esta política vincula a toda persona que, por cuenta de CORAX PROJECT, acceda a datos personales: contratistas, colaboradores, agencias y prestadores de servicios. En el momento en que CORAX PROJECT vincule personal bajo contrato laboral, se incorporará a esta política un capítulo específico sobre el tratamiento de datos de trabajadores y candidatos.

3. MARCO LEGAL

Esta política se fundamenta en las siguientes normas de la República de Colombia:

  • Constitución Política, artículos 15 y 20.

  • Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.

  • Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25.

  • Ley 1266 de 2008, en lo pertinente a datos de contenido financiero y crediticio.

  • Ley 527 de 1999 sobre comercio electrónico y Ley 1480 de 2011, Estatuto del Consumidor.

  • Sentencia C-748 de 2011 de la Corte Constitucional y las circulares e instrucciones de la Superintendencia de Industria y Comercio, en especial la Circular Externa 005 de 2017 sobre transferencias internacionales.

4. DEFINICIONES

Para efectos de esta política se adoptan las definiciones de la Ley 1581 de 2012 y su decreto reglamentario:

  • Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.

  • Aviso de privacidad: comunicación verbal o escrita dirigida al titular, mediante la cual se le informa sobre la existencia de esta política, la forma de acceder a ella y las finalidades del tratamiento.

  • Base de datos: conjunto organizado de datos personales objeto de tratamiento.

  • Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

  • Dato público: el que no es semiprivado, privado o sensible; por ejemplo, los relativos al estado civil, a la profesión u oficio y a la calidad de comerciante.

  • Dato privado: el que por su naturaleza íntima o reservada solo es relevante para el titular.

  • Dato semiprivado: el que no es de naturaleza íntima ni pública y cuyo conocimiento interesa al titular y a un determinado sector o grupo de personas.

  • Datos sensibles: aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales, datos de salud, de la vida sexual y datos biométricos.

  • Encargado del tratamiento: persona natural o jurídica que, por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del responsable.

  • Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos y el tratamiento de los datos.

  • Titular: persona natural cuyos datos personales son objeto de tratamiento.

  • Tratamiento: cualquier operación sobre datos personales, tales como la recolección, el almacenamiento, el uso, la circulación o la supresión.

  • Transferencia: envío de datos personales a un receptor que, a su vez, es responsable del tratamiento y se encuentra dentro o fuera del país.

  • Transmisión: comunicación de datos personales a un encargado, dentro o fuera del territorio nacional, para que este realice el tratamiento por cuenta del responsable.

5. PRINCIPIOS RECTORES

Todo tratamiento realizado por CORAX PROJECT se sujeta a los siguientes principios:

  • Legalidad: el tratamiento es una actividad reglada que se sujeta a la ley y a sus disposiciones reglamentarias.

  • Finalidad: el tratamiento obedece a finalidades legítimas, informadas al titular de manera previa.

  • Libertad: el tratamiento solo se ejerce con el consentimiento previo, expreso e informado del titular, salvo mandato legal o judicial.

  • Veracidad o calidad: la información es veraz, completa, exacta, actualizada, comprobable y comprensible.

  • Transparencia: se garantiza al titular el derecho a obtener información sobre la existencia de datos que le conciernan.

  • Acceso y circulación restringida: los datos no están disponibles en internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable.

  • Seguridad: se adoptan las medidas técnicas, humanas y administrativas necesarias para evitar adulteración, pérdida, consulta, uso o acceso no autorizado.

  • Confidencialidad: quienes intervienen en el tratamiento están obligados a guardar reserva sobre la información, incluso después de terminado su vínculo.

6. DATOS PERSONALES QUE RECOLECTAMOS

CORAX PROJECT recolecta únicamente los datos necesarios para las finalidades descritas en el numeral 7. Las categorías de datos son las siguientes:

Categoría

Datos

Identificación

Nombres y apellidos; tipo y número de documento de identidad; en clientes internacionales, el número de identificación fiscal cuando la aduana de destino lo exige.

Contacto

Correo electrónico, teléfono o WhatsApp, país, ciudad e idioma de preferencia.

Agendamiento de citas

Fecha y hora solicitadas, tipo de cita —visita a finca, cata, asesoría comercial—, número de asistentes y las observaciones que el interesado incluya en su solicitud.

Envío y facturación

Cuando el pedido se concreta por los canales directos: dirección de despacho y de facturación, código postal, indicaciones de entrega y los datos que exijan la transportadora, la DIAN y las autoridades aduaneras del país de destino.

Pedidos

Historial de pedidos, productos adquiridos, cantidades, valores acordados, moneda y estado del envío.

Navegación

Dirección IP, tipo de dispositivo y navegador, páginas visitadas, tiempo de permanencia, origen del tráfico e identificadores de cookies y píxeles.

Comerciales (B2B)

Razón social, identificación tributaria, nombre y cargo del contacto, volúmenes de interés, perfiles de taza y condiciones comerciales.

Proveedores y caficultores

Nombre e identificación, ubicación y nombre de la finca, altitud, variedad y datos del lote, información de contacto e información bancaria necesaria para efectuar los pagos.

Imagen y voz

Fotografías, videos, testimonios y grabaciones captados en finca, planta o eventos, únicamente cuando el titular lo autoriza de forma expresa y separada.



Sobre los pagos. El sitio web de CORAX PROJECT no cuenta con pasarela de pagos ni con proceso de compra en línea: su función es exhibir el catálogo de productos y permitir que el interesado agende una cita o solicite información. En consecuencia, CORAX PROJECT no recolecta ni almacena a través del sitio números de tarjeta, códigos de verificación ni credenciales bancarias. Cuando el pedido se concreta por los canales directos, el pago se acuerda por medios externos —transferencia bancaria o pago presencial— y CORAX PROJECT conserva únicamente el comprobante que soporta la operación contable. Si en el futuro se habilita el pago en línea, esta política será actualizada antes de su puesta en funcionamiento.

7. FINALIDADES DEL TRATAMIENTO

7.1 Visitantes del sitio, citas y pedidos

  • Atender solicitudes de información sobre el catálogo, los perfiles de taza, la disponibilidad y las condiciones comerciales.

  • Agendar, confirmar, reprogramar y hacer seguimiento a las citas solicitadas a través del sitio web, la mensajería instantánea o el correo electrónico.

  • Coordinar el pedido acordado por los canales directos y preparar, despachar y hacer seguimiento al envío, nacional o internacional, incluida la entrega de la información exigida por transportadoras y autoridades aduaneras.

  • Emitir facturas y cumplir las obligaciones tributarias, contables y comerciales aplicables.

  • Atender solicitudes de servicio al cliente, garantías, cambios, devoluciones y reclamaciones de consumo.

  • Enviar comunicaciones sobre el estado de la cita y del pedido.

  • Conocer preferencias de compra y perfiles de taza para recomendar productos y mejorar la oferta.

7.2 Suscriptores, leads y comunidad

  • Enviar boletines, contenido editorial, información sobre lotes, procesos, lanzamientos, promociones y eventos.

  • Gestionar listas de espera, preventas y programas de comunidad.

  • Segmentar las comunicaciones según intereses, idioma, país e historial de interacción.

  • Medir la efectividad de las campañas mediante métricas de apertura y clic.

  • Realizar encuestas, catas y actividades de participación voluntaria.

7.3 Clientes mayoristas, importadores y aliados comerciales

  • Atender solicitudes de cotización, muestras y fichas técnicas.

  • Estructurar, negociar, ejecutar y liquidar contratos de compraventa y exportación.

  • Adelantar la debida diligencia comercial y la verificación en listas restrictivas cuando la operación lo requiera.

  • Gestionar la documentación de exportación, certificados de origen y trámites aduaneros.

  • Mantener la relación comercial y compartir información técnica y de trazabilidad.

7.4 Proveedores, caficultores y prestadores de servicios

  • Evaluar, seleccionar y vincular proveedores y productores.

  • Ejecutar la relación contractual, realizar pagos y llevar el registro contable.

  • Documentar la trazabilidad del café: finca, lote, variedad, proceso y fecha, incluido el nombre del productor cuando este lo autoriza.

  • Comunicar la historia del origen en el sitio web, empaques y contenidos de marca, previa autorización expresa cuando se usen nombre e imagen.

7.5 Finalidades transversales

  • Cumplir obligaciones legales, contables, tributarias y de exportación, y atender requerimientos de autoridades competentes.

  • Elaborar estadísticas, analítica y estudios internos de mercado, preferentemente sobre datos agregados o disociados.

  • Realizar publicidad segmentada en plataformas digitales, incluidos públicos personalizados construidos a partir de listas de correo o de la actividad en el sitio web.

  • Proteger la seguridad de la información, prevenir el fraude y ejercer o defender derechos en sede administrativa o judicial.

  • Transferir y transmitir datos a los encargados y terceros indicados en los numerales 15 y 16.



CORAX PROJECT no vende, arrienda ni comercializa bases de datos personales con terceros para fines publicitarios propios de esos terceros.

8. DATOS SENSIBLES Y DATOS DE NIÑAS, NIÑOS Y ADOLESCENTES

Como regla general, CORAX PROJECT no recolecta datos sensibles. La única categoría que puede tener este carácter es la imagen y la voz captadas en fotografías, videos y testimonios, en la medida en que puedan revelar rasgos biométricos u otros aspectos protegidos.

Cuando se recolecten datos de esta naturaleza:

  • Se solicitará autorización expresa, previa, informada y separada de la autorización general.

  • Se informará al titular que no está obligado a autorizar su tratamiento y que la negativa no afecta la relación comercial.

  • Se informará cuáles datos son sensibles y con qué finalidad se tratarán.



El sitio web de CORAX PROJECT está dirigido exclusivamente a mayores de dieciocho (18) años y no recolecta deliberadamente datos de menores de edad. Cuando de manera excepcional se traten datos de niñas, niños o adolescentes —por ejemplo, en contenidos audiovisuales grabados en finca— se requerirá la autorización previa del representante legal, se escuchará la opinión del menor y el tratamiento respetará su interés superior y sus derechos fundamentales. Si se detecta que se han recolectado datos de un menor sin dicha autorización, se procederá a su supresión.

9. AUTORIZACIÓN DEL TITULAR

El tratamiento de datos personales requiere la autorización previa, expresa e informada del titular. CORAX PROJECT obtiene esta autorización, entre otros, por los siguientes medios:

  • Casilla de verificación no premarcada en el formulario de agendamiento de citas, en los formularios de contacto y en el formulario de suscripción.

  • Confirmación por doble aceptación (doble opt-in) para la lista de correo.

  • Documentos físicos o electrónicos firmados por proveedores, caficultores y aliados comerciales.

  • Mensajes por correo electrónico o mensajería instantánea en los que el titular manifiesta su voluntad de manera inequívoca.

  • Conductas inequívocas del titular que permitan concluir de forma razonable que otorgó su autorización.



Prueba de la autorización. CORAX PROJECT conserva evidencia de cada autorización, incluyendo la fecha y hora, el canal, la dirección IP cuando aplica y el texto exacto que el titular aceptó. Esta evidencia se conserva mientras dure el tratamiento y durante los términos legales posteriores.

Casos en que no se requiere autorización. Conforme al artículo 10 de la Ley 1581 de 2012, no se requiere autorización cuando se trate de:

  • Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial.

  • Datos de naturaleza pública.

  • Casos de urgencia médica o sanitaria.

  • Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos.

  • Datos relacionados con el Registro Civil de las Personas.



Revocatoria. El titular puede revocar su autorización en cualquier momento, de forma total o parcial, escribiendo al canal indicado en el numeral 12 o usando el enlace de cancelación incluido en cada comunicación comercial. La revocatoria no procede cuando existe un deber legal o contractual que obligue a conservar los datos.

10. DERECHOS DEL TITULAR

De acuerdo con el artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

  • Conocer, actualizar y rectificar sus datos personales frente a CORAX PROJECT, en especial cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.

  • Solicitar prueba de la autorización otorgada, salvo cuando la ley disponga que no es necesaria.

  • Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.

  • Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante CORAX PROJECT.

  • Revocar la autorización o solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales.

  • Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento. La consulta será gratuita al menos una vez cada mes calendario.



Estos derechos pueden ser ejercidos por el titular, por sus causahabientes, por su representante o apoderado, y por quien actúe por estipulación a favor de otro.

11. DEBERES DEL RESPONSABLE

CORAX PROJECT, en su calidad de responsable, se obliga a:

  • Garantizar al titular el pleno y efectivo ejercicio del derecho de hábeas data.

  • Solicitar y conservar copia de la autorización otorgada por el titular.

  • Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten.

  • Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

  • Garantizar que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible.

  • Actualizar, rectificar o suprimir la información cuando corresponda, y comunicarlo a los encargados.

  • Tramitar las consultas y los reclamos en los términos señalados en esta política.

  • Informar al encargado cuando determinada información se encuentre en discusión por parte del titular.

  • Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares.

  • Cumplir las instrucciones y requerimientos que imparta la autoridad de protección de datos.

12. ÁREA RESPONSABLE Y CANALES DE ATENCIÓN

El área responsable de atender las peticiones, consultas y reclamos relacionados con datos personales es la Coordinación de Protección de Datos de CORAX PROJECT, que puede ser contactada por los siguientes canales:

Área responsable

Coordinación de Protección de Datos de CORAX PROJECT

Correo electrónico

coraxprojectcoffee@gmail.com

Dirección física

Calle 50 #51-80, Armenia, Quindío, Colombia



Toda solicitud debe indicar de forma clara el nombre del titular, un canal de respuesta y el objeto de la petición.

13. PROCEDIMIENTO PARA CONSULTAS

El titular, sus causahabientes o sus representantes podrán consultar la información personal que repose en las bases de datos de CORAX PROJECT. La solicitud debe presentarse por los canales del numeral 12, indicando el nombre completo, el documento de identidad, el canal de respuesta y una descripción de la información consultada.

La consulta será atendida en un término máximo de diez (10) días hábiles contados desde la fecha de su recibo. Cuando no sea posible atenderla dentro de ese término, se informará al interesado antes del vencimiento, expresando los motivos de la demora y la fecha en que se atenderá, que en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo. En consecuencia, el término máximo total para atender una consulta, incluida la prórroga, es de quince (15) días hábiles.

14. PROCEDIMIENTO PARA RECLAMOS

El titular que considere que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o que advierta un presunto incumplimiento de los deberes legales, podrá presentar un reclamo, que se tramitará así:

  • Presentación. El reclamo se formula mediante solicitud dirigida a los canales del numeral 12, con la identificación del titular, la descripción precisa de los hechos que dan lugar al reclamo, la dirección de notificación y los documentos que se quieran hacer valer.

  • Subsanación. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

  • Traslado por falta de competencia. Si CORAX PROJECT no es competente para resolver el reclamo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

  • Anotación. Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.

  • Decisión. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no sea posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, que en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.



Los términos aplicables se resumen así:

Trámite

Plazo inicial

Prórroga máxima

Límite total

Consulta

10 días hábiles

5 días hábiles

15 días hábiles

Reclamo

15 días hábiles

8 días hábiles

23 días hábiles



La prórroga no opera de forma automática: para poder usarla es indispensable informar al interesado, antes de que venza el plazo inicial, los motivos de la demora y la fecha en que se dará respuesta.

Requisito de procedibilidad. El titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante CORAX PROJECT.

15. ENCARGADOS DEL TRATAMIENTO Y TERCEROS

Para operar el sitio web y cumplir las finalidades descritas, CORAX PROJECT se apoya en proveedores tecnológicos y de servicios que actúan como encargados del tratamiento o, según el caso, como responsables independientes. Con ellos se verifican condiciones contractuales que garantizan la seguridad, la confidencialidad y el uso de los datos únicamente para las finalidades autorizadas.

Categoría

Finalidad

Proveedor

Plataforma web y alojamiento

Publicación del catálogo, formularios y operación del sitio

Shopify Inc.

Mensajería y correo

Agendamiento de citas y coordinación de pedidos por canal directo

WhatsApp (Meta Platforms) y el proveedor de correo electrónico

Transporte y logística

Entrega de pedidos nacionales e internacionales y trámites aduaneros

Operadores logísticos y agentes de carga contratados

Correo y automatización de marketing

Envío de boletines y comunicaciones comerciales

Plataforma de email marketing contratada

Publicidad y analítica

Medición de audiencias, atribución y publicidad segmentada

Meta Platforms, Google LLC, TikTok

Servicios profesionales

Contabilidad, asesoría tributaria, jurídica y comercio exterior

Asesores externos contratados

Autoridades

Cumplimiento de obligaciones legales, tributarias y aduaneras

DIAN, autoridades aduaneras y judiciales



La lista de proveedores puede variar. La versión actualizada estará siempre disponible en la última versión de esta política publicada en el sitio web.

16. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS

Dado que CORAX PROJECT opera un sitio web con alcance internacional y se apoya en proveedores tecnológicos ubicados fuera de Colombia, los datos personales pueden ser transferidos o transmitidos a otros países, entre ellos los Estados Unidos, Canadá y países de la Unión Europea.

El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección, salvo que se configure alguna de las excepciones legales, entre ellas: que el titular haya otorgado su autorización expresa e inequívoca para la transferencia; que la transferencia sea necesaria para la ejecución de un contrato entre el titular y el responsable, o para la ejecución de medidas precontractuales, siempre que se cuente con la autorización del titular; y las transferencias legalmente exigidas para la salvaguardia del interés público.

En consecuencia, al aceptar esta política y otorgar su autorización, el titular:

  • Autoriza de manera expresa e inequívoca la transferencia y la transmisión internacional de sus datos personales a los encargados y terceros señalados en el numeral 15, con las finalidades allí descritas.

  • Reconoce que dicha transferencia es necesaria para el alojamiento del sitio web, la gestión de las comunicaciones y de las citas y, cuando corresponda, para la ejecución y la entrega del pedido acordado.



CORAX PROJECT verifica que sus encargados ofrezcan garantías suficientes de seguridad y confidencialidad, y consultará la lista de países declarados con nivel adecuado de protección por la Superintendencia de Industria y Comercio, conforme a la Circular Externa 005 de 2017. Cuando la operación lo exija, se suscribirán los contratos de transmisión de datos personales previstos en la normativa.

17. TITULARES UBICADOS FUERA DE COLOMBIA

CORAX PROJECT atiende compradores en distintos países. Sin perjuicio de la aplicación de la ley colombiana, se reconocen los siguientes derechos adicionales a los titulares que se encuentren en las jurisdicciones indicadas:

Unión Europea, Espacio Económico Europeo y Reino Unido

Los titulares podrán ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como retirar su consentimiento en cualquier momento. Las bases de legitimación aplicables son el consentimiento del titular para el agendamiento de citas y las comunicaciones comerciales, la ejecución del contrato o de medidas precontractuales cuando se concreta un pedido, y el interés legítimo para la seguridad y la analítica. Las solicitudes se atienden por el canal indicado en el numeral 12. El titular podrá presentar reclamación ante la autoridad de control de su país de residencia.

Estados Unidos

Los residentes de estados con legislación específica de privacidad del consumidor, como California, podrán solicitar información sobre las categorías de datos recolectados, solicitar su eliminación y oponerse a la venta o divulgación de su información. CORAX PROJECT no vende información personal en el sentido de dichas normas.

18. COOKIES Y TECNOLOGÍAS SIMILARES

El sitio web de CORAX PROJECT utiliza cookies y tecnologías similares —píxeles, etiquetas y almacenamiento local— para permitir el funcionamiento del sitio, recordar preferencias, medir el comportamiento de navegación y mostrar publicidad relevante.

Categoría

Función

Necesarias

Permiten la navegación, el funcionamiento de los formularios y la seguridad del sitio. Sin ellas el sitio no funciona, por lo que no requieren consentimiento.

Preferencias

Recuerdan el idioma, el país, la moneda y otras configuraciones elegidas por el visitante.

Estadísticas

Permiten entender de forma agregada cómo se usa el sitio: páginas más visitadas, origen del tráfico y comportamiento de compra.

Marketing

Permiten medir campañas, construir públicos y mostrar publicidad en plataformas de terceros como Meta, Google y TikTok.



Al ingresar al sitio se presenta un aviso que permite aceptar, rechazar o configurar el uso de cookies no necesarias. El visitante puede además eliminarlas o bloquearlas desde la configuración de su navegador; en tal caso, algunas funcionalidades del sitio pueden verse afectadas.

19. MEDIDAS DE SEGURIDAD

CORAX PROJECT adopta medidas técnicas, humanas y administrativas razonables y proporcionales al tamaño de su operación:

  • Cifrado del sitio web mediante certificado TLS y uso de plataformas que cumplen estándares de seguridad reconocidos.

  • Control de acceso bajo el principio de mínimo privilegio: cada persona accede únicamente a los datos que necesita para su función.

  • Contraseñas robustas y autenticación en dos pasos en las plataformas que administran datos personales.

  • Copias de respaldo periódicas de la información.

  • Acuerdos de confidencialidad con colaboradores, contratistas y agencias.

  • Revisión periódica de los permisos, de los proveedores y de los canales de recolección.



En caso de un incidente de seguridad que comprometa datos personales, CORAX PROJECT informará a la Superintendencia de Industria y Comercio en los términos previstos en la ley y comunicará a los titulares afectados cuando el incidente represente un riesgo para sus derechos. Ninguna medida de seguridad garantiza de forma absoluta la inviolabilidad de la información; CORAX PROJECT se compromete a aplicar la diligencia debida y a mejorar continuamente sus controles.

20. CONSERVACIÓN Y VIGENCIA DE LAS BASES DE DATOS

Los datos personales se conservarán durante el tiempo que resulte necesario para cumplir las finalidades que justificaron su recolección y, en todo caso, durante los términos que impongan las obligaciones legales aplicables:

  • Información contable, comercial y tributaria: por el término de diez (10) años, conforme al Código de Comercio y a las normas tributarias vigentes.

  • Información de clientes y transacciones: mientras subsista la relación comercial y durante los términos de prescripción de las acciones derivadas de ella.

  • Datos de suscriptores y comunidad: hasta que el titular revoque su autorización o solicite la supresión.

  • Autorizaciones y pruebas del consentimiento: durante toda la vigencia del tratamiento y por el término legal posterior.



Las bases de datos tendrán una vigencia igual al período en que se mantenga la finalidad del tratamiento y, en todo caso, no superior a veinte (20) años contados desde la última interacción con el titular, salvo obligación legal que imponga un término mayor. Cumplido el término o la finalidad, los datos serán suprimidos, anonimizados o bloqueados.

21. MODIFICACIONES A LA POLÍTICA

CORAX PROJECT podrá modificar esta política en cualquier momento. Cualquier cambio sustancial —en especial el que se refiera a la identificación del responsable o a la finalidad del tratamiento— se comunicará a los titulares antes de su implementación, a través del sitio web y de los canales de contacto habituales. Cuando el cambio implique una finalidad distinta y no compatible con la informada inicialmente, se solicitará una nueva autorización.

22. VIGENCIA

Esta política rige a partir del 7 de septiembre de 2026 y deja sin efecto cualquier versión anterior. Versión 1.0.


ANEXO A. TEXTOS DE AUTORIZACIÓN

Los siguientes textos están redactados para insertarse directamente en el sitio web y en los documentos comerciales. Cada uno debe presentarse con una casilla de verificación no premarcada.

A.1 Agendamiento de cita y solicitud de información

Autorizo de manera previa, expresa e informada a CORAX PROJECT para recolectar, almacenar, usar, circular, transferir y transmitir, incluso fuera de Colombia, mis datos personales, con el fin de agendar y confirmar mi cita, atender mi solicitud de información, gestionar el pedido que llegue a acordarse y su entrega, emitir la factura y cumplir obligaciones legales, en los términos de la Política de Tratamiento de Datos Personales, que declaro haber leído.

A.2 Suscripción a la lista de correo

Autorizo a CORAX PROJECT para tratar mis datos personales con el fin de enviarme boletines, información sobre lotes, lanzamientos, promociones y eventos, y para segmentar dichas comunicaciones según mis intereses. Puedo revocar esta autorización en cualquier momento desde el enlace incluido en cada correo o escribiendo al canal de atención publicado en la Política de Tratamiento de Datos Personales.

A.3 Proveedores, caficultores y aliados

Autorizo a CORAX PROJECT para tratar mis datos personales y los de mi finca con el fin de evaluar y ejecutar la relación comercial, efectuar pagos, documentar la trazabilidad del café y cumplir obligaciones legales y contables, en los términos de su Política de Tratamiento de Datos Personales.

A.4 Uso de imagen y voz (autorización separada)

De forma libre y facultativa, autorizo a CORAX PROJECT para captar, almacenar y publicar mi imagen, voz y testimonio en piezas de comunicación, empaques, sitio web y redes sociales de la marca, con fines de divulgación de la historia del origen y del proceso. Entiendo que estos datos pueden tener carácter sensible, que no estoy obligado a autorizar su tratamiento y que puedo revocar esta autorización en cualquier momento.

ANEXO B. AVISO DE PRIVACIDAD RESUMIDO

Texto breve para pie de formularios, correos, empaques y códigos QR, conforme al artículo 2.2.2.25.3.2 del Decreto 1074 de 2015.

CORAX PROJECT, con domicilio en la Calle 50 #51-80, Armenia, Quindío, Colombia, es responsable del tratamiento de sus datos personales. Los utiliza para agendar y confirmar sus citas, atender sus solicitudes, gestionar sus pedidos, envíos y facturación y, cuando usted lo autoriza, enviarle comunicaciones comerciales. Usted puede conocer, actualizar, rectificar y suprimir sus datos, así como revocar la autorización, escribiendo a coraxprojectcoffee@gmail.com. Consulte la Política de Tratamiento de Datos Personales completa en coraxproject.com.


CORAX PROJECT

Origin Farm & Processing



Personal Data Protection

and Processing Policy

This is a courtesy translation of the Spanish original. In the event of any discrepancy, the Spanish version prevails, as it is the version governed by Colombian Law 1581 of 2012 and Decree 1074 of 2015.

1. DATA CONTROLLER

Pursuant to article 2.2.2.25.3.1 of Colombian Decree 1074 of 2015, the data controller is identified as follows:

Field

Information

Data controller

CORAX PROJECT — Origin Farm & Processing, trade name of a sole trader

Registered address

Calle 50 #51-80, Armenia, Quindío, Colombia

Email

coraxprojectcoffee@gmail.com

Website

https://coraxproject.com



2. PURPOSE AND SCOPE

This policy sets out how CORAX PROJECT collects, stores, uses, circulates, transfers and deletes personal data. It applies to data collected through our website — where we display our product catalogue and invite visitors to book an appointment — and through our contact and subscription forms, social media, direct channels such as messaging, email and telephone, trade events and farm visits, and our commercial relationships.

It covers website visitors and customers who book an appointment, request information or place an order through our direct channels, in Colombia and abroad; newsletter subscribers and leads; wholesale customers, importers and commercial partners; and suppliers, coffee growers and service providers.

3. LEGAL FRAMEWORK

Articles 15 and 20 of the Colombian Constitution; Statutory Law 1581 of 2012; Decree 1377 of 2013, consolidated into Sole Regulatory Decree 1074 of 2015; Law 1266 of 2008 where applicable; Law 527 of 1999 on electronic commerce; Law 1480 of 2011 (Consumer Statute); and the circulars issued by the Superintendency of Industry and Commerce (SIC), in particular External Circular 005 of 2017 on international transfers.

4. DEFINITIONS

This policy uses the definitions set out in Law 1581 of 2012:

  • Authorization: the data subject's prior, express and informed consent to the processing of their personal data.

  • Privacy notice: a written or verbal communication informing the data subject of the existence of this policy, how to access it, and the purposes of processing.

  • Database: an organized set of personal data subject to processing.

  • Personal data: any information linked to or that can be associated with one or more identified or identifiable natural persons.

  • Sensitive data: data affecting the data subject's privacy or whose misuse may lead to discrimination, such as racial or ethnic origin, political opinions, religious or philosophical beliefs, trade union membership, health data, data concerning sexual life and biometric data.

  • Data processor: a natural or legal person that processes personal data on behalf of the controller.

  • Data controller: a natural or legal person that decides on the database and on the processing of the data.

  • Data subject: the natural person whose personal data is processed.

  • Processing: any operation on personal data, such as collection, storage, use, circulation or deletion.

  • Transfer: sending personal data to a recipient that is itself a controller, inside or outside Colombia.

  • Transmission: communicating personal data to a processor, inside or outside Colombia, so that it processes the data on the controller's behalf.

5. PRINCIPLES

All processing is subject to the principles of legality, purpose limitation, freedom, accuracy, transparency, restricted access and circulation, security and confidentiality, as defined in article 4 of Law 1581 of 2012.

6. PERSONAL DATA WE COLLECT

Category

Data

Identification

Full name; type and number of identity document; tax identification number where required by the customs authority of the destination country.

Contact

Email address, phone or WhatsApp number, country, city and preferred language.

Appointment bookings

Requested date and time, type of appointment — farm visit, cupping, commercial consultation —, number of attendees and any notes included in the request.

Shipping and billing

Where an order is agreed through our direct channels: delivery and billing address, postal code, delivery instructions, and the data required by carriers, the Colombian tax authority (DIAN) and destination customs authorities.

Orders

Order history, products purchased, quantities, agreed amounts, currency and shipping status.

Browsing

IP address, device and browser type, pages visited, time on site, traffic source, and cookie and pixel identifiers.

Commercial (B2B)

Company name, tax identification, contact name and role, volumes of interest, cup profiles and commercial terms.

Suppliers and growers

Name and identification, farm name and location, altitude, variety and lot data, contact details and banking information required to make payments.

Image and voice

Photographs, video, testimonials and recordings taken at the farm, the mill or events, only where the data subject has given separate express authorization.



Payments. Our website has no payment gateway and no online checkout: its purpose is to display the product catalogue and let visitors book an appointment or request information. CORAX PROJECT therefore does not collect or store card numbers, verification codes or banking credentials through the site. Where an order is agreed through our direct channels, payment is arranged by external means — bank transfer or in-person payment — and we retain only the receipt supporting the accounting record. Should online payment be enabled in the future, this policy will be updated before it goes live.

7. PURPOSES OF PROCESSING

7.1 Website visitors, appointments and orders

  • Answering requests for information about our catalogue, cup profiles, availability and commercial terms.

  • Booking, confirming, rescheduling and following up on appointments requested through the website, messaging or email.

  • Coordinating orders agreed through our direct channels and preparing, shipping and tracking domestic and international deliveries, including providing the information required by carriers and customs authorities.

  • Issuing invoices and complying with tax, accounting and commercial obligations.

  • Handling customer service requests, warranties, exchanges, returns and consumer claims.

  • Sending communications about appointment and order status, and understanding purchase preferences to improve our offer.

7.2 Subscribers, leads and community

  • Sending newsletters, editorial content, lot information, launches, promotions and event invitations.

  • Managing waitlists, pre-sales and community programs.

  • Segmenting communications by interest, language, country and interaction history, and measuring campaign performance.

7.3 Wholesale customers, importers and partners

  • Handling quotation, sample and technical sheet requests.

  • Negotiating and performing sale and export contracts, including due diligence and restrictive list screening where required.

  • Managing export documentation, certificates of origin and customs procedures.

7.4 Suppliers, growers and service providers

  • Evaluating, selecting and onboarding suppliers and producers, executing contracts, making payments and keeping accounting records.

  • Documenting coffee traceability — farm, lot, variety, process and date — including the producer's name where authorized.

  • Telling the story of origin on our website, packaging and brand content, subject to prior express authorization where name and image are used.

7.5 Cross-cutting purposes

  • Complying with legal, accounting, tax and export obligations and responding to requests from competent authorities.

  • Producing statistics, analytics and internal market studies, preferably on aggregated or anonymized data.

  • Running targeted advertising on digital platforms, including custom audiences built from mailing lists or website activity.

  • Protecting information security, preventing fraud, and exercising or defending legal rights.



CORAX PROJECT does not sell, rent or trade personal databases with third parties for those third parties' own advertising purposes.

8. SENSITIVE DATA AND CHILDREN'S DATA

As a general rule CORAX PROJECT does not collect sensitive data. Where image and voice are captured, separate express authorization is requested and the data subject is informed that providing it is optional and that refusal does not affect the commercial relationship. Our website is intended for adults aged eighteen (18) or over and does not knowingly collect children's data. Where children's data is exceptionally processed, prior authorization from their legal representative is required and processing respects the child's best interest.

9. AUTHORIZATION

Processing requires the data subject's prior, express and informed authorization, obtained through unticked checkboxes in our appointment booking, contact and subscription forms, double opt-in for the mailing list, signed physical or electronic documents for suppliers and partners, or unequivocal conduct. Evidence of each authorization is retained, including date, time, channel, IP address where applicable and the exact wording accepted.

Under article 10 of Law 1581 of 2012, authorization is not required for information requested by a public authority acting within its legal powers or by court order, public data, medical or health emergencies, processing authorized by law for historical, statistical or scientific purposes, and data relating to the Civil Registry.

Authorization may be revoked at any time, in whole or in part, through the channel indicated in section 12 or the unsubscribe link included in every commercial communication, except where a legal or contractual duty requires the data to be retained.

10. DATA SUBJECT RIGHTS

  • Access, update and rectify personal data, particularly where it is partial, inaccurate, incomplete or misleading, or where its processing is prohibited or unauthorized.

  • Request proof of the authorization granted, except where the law provides that it is not required.

  • Be informed, upon request, about how their personal data has been used.

  • File a complaint with the Superintendency of Industry and Commerce once the request or claim procedure before CORAX PROJECT has been exhausted.

  • Revoke the authorization or request deletion where processing does not respect constitutional and legal principles, rights and guarantees.

  • Access their personal data free of charge, at least once every calendar month.

11. CONTROLLER OBLIGATIONS

CORAX PROJECT undertakes to guarantee the effective exercise of the right of habeas data; to request and retain a copy of each authorization; to inform data subjects of the purposes of collection and of their rights; to keep information under adequate security conditions; to keep information accurate and up to date; to process requests and claims within the terms set out in this policy; to notify the Superintendency of Industry and Commerce of security breaches that create risks for data subjects; and to comply with the instructions issued by the data protection authority.

12. CONTACT CHANNELS

Requests, questions and claims relating to personal data are handled by the Data Protection Coordination of CORAX PROJECT:

Responsible area

Data Protection Coordination of CORAX PROJECT

Email

coraxprojectcoffee@gmail.com

Address

Calle 50 #51-80, Armenia, Quindío, Colombia



13. REQUESTS AND CLAIMS PROCEDURE

Requests (consultas). Answered within a maximum of ten (10) business days from receipt. Where this is not possible, the data subject is informed before that term expires, with the reasons for the delay and the date on which the request will be answered, which may not exceed five (5) further business days.

Claims (reclamos). A claim must state the data subject's identity, a precise description of the facts, a notification address and any supporting documents. Incomplete claims are returned for correction within five (5) days of receipt; if two (2) months pass without a response, the claim is deemed withdrawn. If CORAX PROJECT is not competent to resolve the claim, it is forwarded within two (2) business days and the data subject is informed. Once complete, the database is flagged “claim under review” within two (2) business days. The claim is resolved within fifteen (15) business days of receipt, extendable by up to eight (8) further business days with prior notice.

Procedure

Initial term

Maximum extension

Overall limit

Request

10 business days

5 business days

15 business days

Claim

15 business days

8 business days

23 business days



Extensions are not automatic: to rely on one, the data subject must be informed of the reasons for the delay and of the date of reply before the initial term expires.

A complaint may only be filed with the Superintendency of Industry and Commerce once this internal procedure has been exhausted.

14. PROCESSORS AND THIRD PARTIES

To operate the website and fulfil the purposes described above, CORAX PROJECT relies on technology and service providers acting as processors or, where applicable, as independent controllers: the website and hosting platform (Shopify Inc.), messaging and email providers used to book appointments and coordinate orders, carriers and logistics operators, email marketing platforms, advertising and analytics providers (Meta Platforms, Google LLC, TikTok), professional advisers, and tax and customs authorities. Contractual conditions guaranteeing security, confidentiality and purpose limitation are verified with each of them.

15. INTERNATIONAL TRANSFERS

Because CORAX PROJECT operates a website with international reach and relies on providers located outside Colombia, personal data may be transferred or transmitted to other countries, including the United States, Canada and countries of the European Union.

Article 26 of Law 1581 of 2012 prohibits transfers to countries that do not provide adequate levels of protection, save for the statutory exceptions, including the data subject's express and unequivocal authorization and transfers necessary for the performance of a contract between the data subject and the controller. By accepting this policy and granting their authorization, the data subject expressly and unequivocally authorizes the international transfer and transmission of their personal data to the providers listed in section 14, for the purposes described, and acknowledges that such transfer is necessary to host the website, manage communications and appointments and, where applicable, to perform and deliver the order agreed.

16. DATA SUBJECTS OUTSIDE COLOMBIA

European Union, EEA and United Kingdom. Data subjects may exercise the rights of access, rectification, erasure, restriction of processing, portability and objection, and may withdraw consent at any time. The legal bases relied on are consent for appointment booking and commercial communications, performance of a contract or pre-contractual measures where an order is agreed, and legitimate interest for security and analytics. Requests are handled through the channel in section 12, and data subjects may lodge a complaint with the supervisory authority of their country of residence.

United States. Residents of states with specific consumer privacy legislation, such as California, may request information about the categories of data collected, request deletion, and opt out of the sale or sharing of their information. CORAX PROJECT does not sell personal information within the meaning of those laws.

17. COOKIES

Our website uses cookies and similar technologies — pixels, tags and local storage — in four categories: necessary cookies, which enable navigation, our forms and site security and do not require consent; preference cookies, which remember language, country and currency; statistics cookies, which show in aggregate how the site is used; and marketing cookies, which measure campaigns, build audiences and display advertising on third-party platforms. A banner on entry allows visitors to accept, reject or configure non-necessary cookies, which may also be deleted or blocked from the browser settings.

18. SECURITY MEASURES

CORAX PROJECT applies technical, human and administrative measures proportionate to the size of its operation: TLS encryption on the website, platforms meeting recognized security standards, least-privilege access control, strong passwords and two-factor authentication, periodic backups, confidentiality agreements with collaborators and agencies, and periodic review of permissions, providers and collection channels. In the event of a security incident affecting personal data, the Superintendency of Industry and Commerce will be notified as required by law and affected data subjects will be informed where the incident poses a risk to their rights.

19. RETENTION AND VALIDITY OF DATABASES

Personal data is retained for as long as necessary to fulfil the purposes for which it was collected and for the terms imposed by law: ten (10) years for accounting, commercial and tax records; for the duration of the commercial relationship and applicable limitation periods for customer and transaction data; until authorization is revoked for subscriber data; and for the duration of processing plus the subsequent statutory term for authorization records. Databases remain valid while the purpose of processing subsists and in no case for more than twenty (20) years from the last interaction with the data subject, unless a longer term is legally required. Thereafter data is deleted, anonymized or blocked.

20. AMENDMENTS AND EFFECTIVE DATE

CORAX PROJECT may amend this policy at any time. Substantial changes — in particular those affecting the identity of the controller or the purposes of processing — will be communicated to data subjects before they take effect, through the website and the usual contact channels. Where a change involves a purpose that is different from and incompatible with the one originally notified, new authorization will be requested. This policy is effective as of 7 September 2026. Version 1.0.