Política de
Tratamiento de Datos

NIAGARA COLLECTIVE GAMES, sociedad identificada con NIT 901877176, con domicilio principal en Bogotá D.C., Colombia, titular de la marca comercial GAMORA y operadora de la plataforma GAMORA.FUN, en adelante "GAMORA", es una plataforma tecnológica SaaS de gamificación, experiencias interactivas, entretenimiento digital y generación de prospectos (leads) para marcas y mipymes.

La presente Política de Tratamiento de Datos Personales establece los lineamientos bajo los cuales GAMORA realiza el tratamiento de los datos personales respecto de los cuales actúa como Responsable del Tratamiento y establece las condiciones bajo las cuales actúa como Encargado del Tratamiento por cuenta de las marcas suscriptoras que utilizan sus servicios tecnológicos.

GAMORA adopta esta Política de estricta conformidad con:

• La Constitución Política de Colombia (artículo 15 — derecho fundamental al habeas data).
• La Ley Estatutaria 1581 de 2012 ("Por la cual se dictan disposiciones generales para la protección de datos personales").
• El Decreto 1377 de 2013 (incorporado al Decreto Único Reglamentario 1074 de 2015 del Sector Comercio, Industria y Turismo).
• Las normas, circulares y directrices aplicables expedidas por la Superintendencia de Industria y Comercio (SIC).

Esta Política informa a los Titulares de datos personales sobre:

1. La forma en que GAMORA recolecta, almacena, utiliza, consulta, procesa, actualiza, transmite, conserva y suprime información personal.
2. Las finalidades para las cuales se realiza el tratamiento.
3. Los derechos de los Titulares y los canales para su ejercicio efectivo.
4. La delimitación técnica y jurídica entre los tratamientos realizados por GAMORA como Responsable y aquellos ejecutados como Encargado tecnológico por cuenta de una marca cliente.
5. Las medidas técnicas, humanas y administrativas de seguridad implementadas.

Para los efectos de esta Política, se adoptan las siguientes definiciones:

• 3.1 Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos.
• 3.2 Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del Responsable.
• 3.3 Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
• 3.4 Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales (recolección, almacenamiento, uso, circulación, supresión).
• 3.5 Marca (Cliente Suscriptor): Persona natural o jurídica que contrata los servicios tecnológicos de GAMORA para crear, administrar y operar experiencias gamificadas y captar prospectos.
• 3.6 Jugador o Participante: Persona natural que participa en una experiencia o minijuego desplegado mediante la infraestructura de GAMORA.
• 3.7 Datos Anonimizados: Información sometida a procesos técnicos irreversibles que impiden razonablemente identificar directa o indirectamente al Titular.
• 3.8 Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera de Colombia cuando tenga por objeto la realización de un tratamiento por el Encargado por cuenta del Responsable.

4.1 GAMORA como Responsable del Tratamiento

GAMORA es Responsable respecto de los datos personales sobre los cuales determina directamente las finalidades y medios:

• Datos de contacto y registro de los representantes y colaboradores de las marcas clientes en el panel de control (app.gamora.fun).
• Información de facturación, transacciones y medios de pago tokenizados.
• Datos de navegación y analítica de la landing comercial propia (gamora.fun).
• Registros de seguridad, prevención de fraude informático y auditoría de la plataforma.

4.2 GAMORA como Encargado del Tratamiento

Cuando una marca utiliza GAMORA para operar una campaña gamificada y capturar datos de jugadores:

• La Marca es el Responsable del Tratamiento: Determina qué campos solicitar, qué finalidades perseguir y cómo gestionar comercialmente a los participantes.
• GAMORA actúa exclusivamente como Encargado Tecnológico: Provee la infraestructura de software, la lógica de validación de puntajes (anti-fraude HMAC) y la custodia en bases de datos aisladas (tenant-{slug}).
• GAMORA procesa los datos siguiendo las instrucciones de la marca, no los utiliza para fines comerciales propios, no los vende ni los cruza entre marcas.

Toda marca que utilice GAMORA garantiza y asume la obligación de:

1. Disponer de su propia Política de Tratamiento de Datos Personales o acogerse a la plantilla genérica de autorización provista por GAMORA.
2. Definir finalidades legítimas, explícitas e informadas para los datos recolectados.
3. Atender oportunamente las consultas y reclamos de habeas data presentados por los jugadores.
4. Cumplir con la obligación de inscripción en el Registro Nacional de Bases de Datos (RNBD) de la SIC cuando resulte aplicable conforme a sus activos totales.
5. Declaración de no asesoría: La marca reconoce que la plantilla legal provista por GAMORA es una herramienta técnica estandarizada y que GAMORA no presta asesoría jurídica. La marca es la única responsable de verificar la idoneidad legal de las autorizaciones utilizadas.

GAMORA incluye en todos sus planes una plantilla estandarizada de autorización de tratamiento de datos personales para las campañas de las marcas, estructurada en dos niveles:

• Finalidades Esenciales (Obligatorias): Registro, identificación del jugador, administración de puntajes en el ranking privado, validación de mejores marcas, gestión de entrega de incentivos y prevención de fraude.
• Finalidades Facultativas (Opcionales e Independientes): Marketing por correo electrónico, contacto por WhatsApp/llamadas, SMS, perfilamiento comercial y cesión a aliados específicamente individualizados.

1. Casillas Separadas y No Premarcadas: Cada finalidad comercial opcional se presenta con una casilla de selección independiente.
2. Libertad de Selección: La negativa del jugador a autorizar finalidades publicitarias o de perfilamiento no impide su participación en el juego ni el registro de su puntaje para las finalidades esenciales.
3. Evidencia Forense: Se almacena un registro inmutable (ConsentRecord) con la IP truncada al /24, timestamp ISO 8601, user agent y hash SHA-256 del texto exacto visualizado al otorgar la autorización.

De conformidad con el artículo 8 de la Ley 1581 de 2012, todo Titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento.
2. Solicitar prueba de la autorización otorgada.
3. Ser informado sobre el uso que se ha dado a sus datos personales.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
5. Revocar la autorización y/o solicitar la supresión del dato cuando legalmente proceda.
6. Acceder de forma gratuita a sus datos personales objeto de tratamiento.

9.1 Canales de Atención

• Para datos recolectados por una marca en un juego: El Titular debe dirigirse directamente a los canales de contacto de dicha marca (indicados en la autorización de la campaña). GAMORA facilitará la transmisión de la solicitud a la marca correspondiente.
• Para datos tratados por GAMORA como Responsable: Enviar comunicación escrita a infodatos@gamora.fun.

9.2 Términos de Respuesta

• Consultas: Serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo.
• Reclamos: Serán atendidos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

GAMORA trata los datos de sus clientes y prospectos para:

1. Proveer, operar, mantener y facturar los servicios de la plataforma SaaS.
2. Validar métodos de pago y gestionar suscripciones recurrentes a través de pasarelas autorizadas (TumiPay).
3. Emitir correos transaccionales automáticos de confirmación de participación.
4. Proteger la integridad de la plataforma, mitigar ataques de denegación de servicio (DoS) y prevenir fraudes.
5. Cumplir con obligaciones legales, contables, tributarias y regulatorias colombianas.

GAMORA mantiene estricta confidencialidad y aislamiento sobre las bases de datos de las marcas (tenant-{slug}):

• Queda prohibido el uso de los datos de jugadores de una marca para finalidades comerciales propias de GAMORA o de terceros.
• GAMORA no cruza perfiles ni correlaciona huellas de dispositivos entre marcas distintas.

GAMORA no vende, no alquila, no cede ni comercializa bajo ningún concepto las bases de datos personales de sus clientes o de los participantes de las campañas con terceros.

Al suscribirse a GAMORA o configurar una campaña, el Cliente otorga a GAMORA.FUN una licencia limitada, no exclusiva, mundial, revocable y libre de regalías sobre sus signos distintivos (nombre comercial, logotipo, isotipo y paleta de colores) exclusivamente para:

1. Renderizado funcional in-game: Estampar y mostrar los signos distintivos de la marca dentro de los minijuegos en los slots declarados durante las partidas.
2. Sección "Nuestros Clientes": Mencionar el nombre comercial y exhibir el logotipo del Cliente en gamora.fun, presentaciones comerciales y materiales de difusión de la plataforma para acreditar la trayectoria del SaaS.
3. Vigencia: Durante la suscripción activa y hasta por veinticuatro (24) meses posteriores para archivo histórico de casos de éxito.
4. Derecho de exclusión (Opt-Out): El Cliente puede solicitar la remoción de su marca de la sección "Nuestros Clientes" en cualquier momento con treinta (30) días de antelación mediante comunicación a infodatos@gamora.fun.
5. Alcance: Este uso no constituye patrocinio ni endoso recíproco y se sujeta a la Decisión Andina 486 de 2000 y la Ley 256 de 1996.

Para la prestación del servicio, GAMORA utiliza infraestructura de proveedores de primer nivel mundial:

• Google Cloud Platform (GCP) / Firebase: Alojamiento de bases de datos Firestore, Cloud Functions y almacenamiento Cloud Storage en la región nam5 (Estados Unidos).
• Amazon Web Services (AWS SES): Servicio de correo transaccional para confirmación de puntajes.
• TumiPay (Tumipay S.A.S., topup.com.co): Pasarela de pagos para el cobro de suscripciones por PSE, tarjeta y transferencia.

Todos los proveedores cuentan con estrictos estándares de seguridad y acuerdos de protección de datos.

El almacenamiento de información en la infraestructura de Google Cloud Platform y AWS implica la transmisión internacional de datos hacia servidores ubicados en los Estados Unidos de América. Dicha transmisión se realiza al amparo de las excepciones legales previstas en el artículo 26 de la Ley 1581 de 2012 y con contratos de transmisión que garantizan niveles adecuados de seguridad y confidencialidad.

GAMORA genera métricas agregadas y estadísticas de rendimiento general (volumen de partidas, horas pico de tráfico, tasa promedio de conversión) utilizando datos estrictamente anonimizados y desasociados de cualquier dato personal identificable.

GAMORA implementa controles de seguridad por diseño y por defecto:

• Cifrado obligatorio en tránsito (TLS/HTTPS 1.3).
• Cifrado en reposo (AES-256 en Firestore y Cloud Storage).
• Aislamiento físico de bases de datos nombradas por marca (tenant-{slug}).
• Firma criptográfica HMAC-SHA256 para validación de puntajes.
• Truncado de direcciones IP (/24 en IPv4 y /48 en IPv6).
• Reglas de seguridad estrictas con denegación por defecto (deny by default).

Todo el personal, contratistas y colaboradores de GAMORA están sujetos a acuerdos de confidencialidad reforzados que subsisten incluso después de finalizada la relación contractual.

En caso de detectarse una brecha de seguridad que comprometa datos personales, GAMORA activará su protocolo de respuesta técnica, mitigará el impacto y notificará a los Responsables afectados y a la Superintendencia de Industria y Comercio dentro de los plazos normativos.

1. Eventos crudos de juego: Se conservan por 90 días para resolución de disputas de puntaje.
2. Leads y registros de participación: Se conservan mientras la suscripción de la marca permanezca activa.
3. Data Lockbox post-trial: Si la suscripción expira sin conversión, los leads se conservan congelados bajo bloqueo de acceso por 180 días. Cumplidos 210 días sin reactivación, se ejecuta el borrado seguro en cascada.
4. Registros contables y de pago: Se conservan por 5 años en cumplimiento de la normativa comercial y tributaria.

GAMORA no diseña campañas dirigidas a menores de edad sin previa configuración de la marca. Cuando una marca habilite la participación de menores, deberá exigir la autorización expresa e informada de los padres o representantes legales, velando por el respeto a los derechos prevalentes de niños, niñas y adolescentes.

GAMORA no solicita ni almacena datos sensibles (origen racial, convicciones religiosas, orientación política, datos biométricos o de salud) en sus formularios estándar. Queda prohibido a las marcas solicitar datos sensibles a través del formulario configurable sin autorización previa y justificación legal expresa.

GAMORA mantiene registros de auditoría, bitácoras inmutables de consentimiento (ConsentRecord), evaluaciones de impacto y políticas de privacidad por diseño que acreditan el cumplimiento efectivo de la normativa colombiana de protección de datos.

Para cualquier asunto relacionado con la protección de datos personales y el ejercicio de derechos de habeas data:

• Responsable / Encargado: NIAGARA COLLECTIVE GAMES — NIT 901877176 — marca comercial GAMORA
• Portal Web: gamora.fun/politica-de-datos
• Correo Electrónico Oficial: infodatos@gamora.fun
• Ubicación: Bogotá D.C., Colombia.

La presente Política rige a partir del 17 de agosto de 2026. Cualquier cambio sustancial en las finalidades o tratamientos será publicado en gamora.fun/politica-de-datos con indicación de la nueva versión y fecha de actualización.