Política de Tratamiento de la Información y Protección de Datos Personales

La presente Política de Tratamiento de la Información (en adelante, la "Política") establece los lineamientos, principios y procedimientos bajo los cuales SALVAHUB S.A.S. (en adelante, la "Compañía") realiza el tratamiento de datos personales, en estricto cumplimiento de la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013 y demás normatividad aplicable en la República de Colombia.

Esta Política aplica a todas las bases de datos y archivos que contengan datos personales y que sean objeto de tratamiento por parte de la Compañía, en su calidad de Responsable o Encargada del tratamiento, abarcando la información de empleados, candidatos, contratistas, proveedores, clientes nacionales e internacionales, usuarios de plataformas digitales y terceros vinculados.

Así mismo, esta Política aplica a los terceros que actúen como Encargados del tratamiento en nombre de la Compañía, incluyendo proveedores de servicios tecnológicos, plataformas en la nube, herramientas de gestión y cualquier otro aliado que procese datos personales por cuenta de la Compañía, quienes deberán observar los mismos estándares de protección aquí establecidos.

This Information Processing Policy (hereinafter, the "Policy") establishes the guidelines, principles and procedures under which SALVAHUB S.A.S. (hereinafter, the "Company") processes personal data, in strict compliance with Colombian Statutory Law 1581 of 2012, Regulatory Decree 1377 of 2013 and other applicable regulations in the Republic of Colombia.

This Policy applies to all databases and files containing personal data processed by the Company, as Data Controller or Processor, covering information of employees, candidates, contractors, suppliers, national and international clients, digital platform users and related third parties.

This Policy also applies to third parties acting as Data Processors on behalf of the Company, including technology service providers, cloud platforms, management tools and any other partner processing personal data on behalf of the Company, who must observe the same protection standards established herein.

El tratamiento de datos personales por parte de la Compañía se regirá por los principios consagrados en la Ley 1581 de 2012:

• Legalidad: El tratamiento es una actividad reglada sujeta a lo establecido en la ley.
• Finalidad: El tratamiento obedece a una finalidad legítima informada al Titular.
• Libertad: El tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular, salvo las excepciones legales.
• Veracidad o calidad: La información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: Se garantiza el derecho del Titular a obtener información sobre la existencia de datos que le conciernan.
• Acceso y circulación restringida: El tratamiento se sujeta a los límites derivados de la naturaleza de los datos y de la ley.
• Seguridad: La información se manejará con las medidas técnicas, humanas y administrativas necesarias para proteger los registros.
• Confidencialidad: Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con la Compañía.

The processing of personal data by the Company shall be governed by the principles enshrined in Law 1581 of 2012:

• Legality: Processing is a regulated activity subject to applicable law.
• Purpose: Processing must serve a legitimate purpose communicated to the Data Subject.
• Freedom: Processing may only be carried out with the Data Subject's prior, express and informed consent, except for legal exceptions.
• Accuracy: Information must be truthful, complete, accurate, current, verifiable and understandable.
• Transparency: The Data Subject's right to obtain information about existing data concerning them is guaranteed.
• Restricted access and circulation: Processing is subject to limits arising from the nature of the data and the law.
• Security: Information shall be handled with the necessary technical, human and administrative measures to protect records.
• Confidentiality: All persons involved in processing are obliged to maintain confidentiality, even after the end of their relationship with the Company.

La Compañía recolecta, almacena, usa, circula, transmite y transfiere datos personales para las siguientes finalidades, según la naturaleza de la relación con el Titular:

4.1. Respecto de Empleados y Candidatos

• Gestión integral del proceso de selección, contratación y administración de la relación laboral.
• Administración de nómina, afiliaciones y aportes al Sistema de Seguridad Social Integral y pago de acreencias laborales.
• Desarrollo de programas de bienestar, capacitación y evaluación de desempeño.
• Ejecución del Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST), incluyendo evaluaciones médicas ocupacionales.
• Verificación de antecedentes, validación de idoneidad profesional y control de accesos a instalaciones y plataformas tecnológicas.
• Cumplimiento de requerimientos de autoridades administrativas, judiciales o de control.

4.2. Respecto de Clientes, Proveedores y Terceros

• Ejecución del objeto social de la Compañía y cumplimiento de obligaciones contractuales.
• Gestión administrativa, contable, fiscal y de facturación.
• Verificación de idoneidad financiera, comercial y legal.
• Prevención del lavado de activos y financiación del terrorismo (LA/FT).
• Comunicación sobre servicios, actualizaciones operativas y gestión de relaciones comerciales.
• Protección de los activos, la información y los intereses legítimos de la Compañía y de sus clientes, incluyendo aquellos de naturaleza internacional.

4.3. Respecto de Usuarios de Plataformas y Sitio Web

Cuando los Titulares accedan al sitio web o a las plataformas digitales de la Compañía, podrán recopilarse datos de navegación, dirección IP, tipo de dispositivo y preferencias de uso mediante cookies y tecnologías similares, con las siguientes finalidades:

• Garantizar el correcto funcionamiento técnico de las plataformas.
• Analizar patrones de uso para mejorar la experiencia del usuario.
• Cumplir con obligaciones de seguridad informática y trazabilidad.

The Company collects, stores, uses, circulates, transmits and transfers personal data for the following purposes, depending on the nature of the relationship with the Data Subject:

4.1. Employees and Candidates

• Full management of the selection, hiring and employment relationship administration process.
• Payroll administration, Social Security System affiliations and payment of labor credits.
• Development of welfare, training and performance evaluation programs.
• Execution of the Occupational Health and Safety Management System (SG-SST), including occupational medical evaluations.
• Background verification, professional suitability validation and access control to facilities and technology platforms.
• Compliance with requirements from administrative, judicial or oversight authorities.

4.2. Clients, Suppliers and Third Parties

• Execution of the Company's corporate purpose and fulfillment of contractual obligations.
• Administrative, accounting, tax and billing management.
• Verification of financial, commercial and legal suitability.
• Prevention of money laundering and terrorism financing (AML/CFT).
• Communication about services, operational updates and commercial relationship management.
• Protection of the Company's assets, information and legitimate interests, including those of an international nature.

4.3. Platform and Website Users

When Data Subjects access the Company's website or digital platforms, browsing data, IP addresses, device type and usage preferences may be collected through cookies and similar technologies, for the following purposes:

• Ensuring the correct technical operation of the platforms.
• Analyzing usage patterns to improve user experience.
• Complying with cybersecurity and traceability obligations.

5.1. Datos Sensibles

La Compañía restringe el tratamiento de datos sensibles (aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar discriminación, tales como datos biométricos o de salud). Su tratamiento solo procederá cuando:

• El Titular haya otorgado autorización explícita y específica.
• Sea necesario para salvaguardar el interés vital del Titular en casos de emergencia.
• Sea requerido para el cumplimiento de obligaciones legales, especialmente en materia de Seguridad y Salud en el Trabajo.

El suministro de datos sensibles por parte del Titular es de carácter estrictamente facultativo.

5.2. Datos de Niños, Niñas y Adolescentes

El tratamiento de datos personales de menores de edad está proscrito, excepto cuando se trate de datos de naturaleza pública o cuando el tratamiento responda y respete el interés superior de los menores y asegure el respeto de sus derechos fundamentales. En tales casos, se requerirá la autorización del representante legal del menor.

5.1. Sensitive Data

The Company restricts the processing of sensitive data (data affecting the Data Subject's privacy or whose improper use may generate discrimination, such as biometric or health data). Processing shall only proceed when:

• The Data Subject has given explicit and specific authorization.
• It is necessary to safeguard the Data Subject's vital interest in emergency cases.
• It is required for compliance with legal obligations, especially regarding Occupational Health and Safety.

The provision of sensitive data by the Data Subject is strictly voluntary.

5.2. Data of Children and Adolescents

Processing of personal data of minors is prohibited, except when dealing with public nature data or when processing responds to and respects the best interests of minors and ensures respect for their fundamental rights. In such cases, authorization from the minor's legal representative is required.

La Compañía podrá delegar el tratamiento de datos personales en terceros que actúen como Encargados, tales como proveedores de servicios en la nube, plataformas tecnológicas, empresas de nómina, servicios de salud ocupacional o cualquier otro aliado que procese datos por cuenta de la Compañía.

En todos los casos, la Compañía:

• Suscribirá con el Encargado un acuerdo de tratamiento de datos o cláusula contractual que garantice niveles de protección equivalentes a los exigidos por la ley colombiana.
• Verificará que el Encargado cuente con las medidas de seguridad técnicas y organizativas adecuadas.
• Se asegurará de que el Encargado no realice tratamientos adicionales no autorizados por la Compañía ni por el Titular.

La delegación en un Encargado no exime a la Compañía de su responsabilidad como Responsable del tratamiento frente a los Titulares y ante la SIC.

The Company may delegate personal data processing to third parties acting as Processors, such as cloud service providers, technology platforms, payroll companies, occupational health services or any other partner processing data on behalf of the Company.

In all cases, the Company shall:

• Sign with the Processor a data processing agreement or contractual clause guaranteeing protection levels equivalent to those required by Colombian law.
• Verify that the Processor has adequate technical and organizational security measures.
• Ensure that the Processor does not carry out additional processing not authorized by the Company or the Data Subject.

Delegation to a Processor does not exempt the Company from its responsibility as Data Controller toward Data Subjects and before the SIC.

Dada la naturaleza de las operaciones de la Compañía, los datos personales podrán ser objeto de transferencia y/o transmisión a terceros ubicados fuera del territorio colombiano, incluyendo matrices, filiales, clientes, proveedores o aliados estratégicos.

La Compañía garantiza que toda transferencia internacional se realizará únicamente hacia países que proporcionen niveles adecuados de protección de datos, conforme a los estándares de la Superintendencia de Industria y Comercio. En ausencia de dicha declaración de adecuación, la Compañía implementará mecanismos legales válidos, tales como cláusulas contractuales tipo o acuerdos de nivel de servicio con compromisos de protección equivalente, o requerirá la autorización expresa e inequívoca del Titular para dicha transferencia.

Given the nature of the Company's operations, personal data may be transferred and/or transmitted to third parties located outside Colombian territory, including parent companies, subsidiaries, clients, suppliers or strategic partners.

The Company guarantees that all international transfers will only be made to countries providing adequate data protection levels, per the standards of the Superintendencia de Industria y Comercio. In the absence of such an adequacy decision, the Company will implement valid legal mechanisms, such as standard contractual clauses or service level agreements with equivalent protection commitments, or will require the Data Subject's express and unequivocal authorization.

De conformidad con el artículo 8 de la Ley 1581 de 2012, los Titulares de la información gozan de los siguientes derechos:

• Conocer, actualizar y rectificar: Conocer, actualizar y rectificar sus datos personales frente a la Compañía, incluso sobre datos parciales, inexactos, incompletos o que induzcan a error.
• Prueba de autorización: Solicitar prueba de la autorización otorgada a la Compañía.
• Ser informado: Ser informado, previa solicitud, respecto del uso que se le ha dado a sus datos personales.
• Acceso gratuito: Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
• Revocar y solicitar supresión: Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. Esta solicitud no procederá cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos.
• Presentar quejas ante la SIC: Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la normativa vigente.

In accordance with Article 8 of Law 1581 of 2012, Data Subjects enjoy the following rights:

• Know, update and rectify: Know, update and rectify their personal data held by the Company, including partial, inaccurate, incomplete or misleading data.
• Proof of authorization: Request proof of the authorization granted to the Company.
• Be informed: Be informed, upon request, about the use given to their personal data.
• Free access: Access free of charge their personal data that has been processed.
• Revoke and request deletion: Revoke authorization and/or request deletion when constitutional and legal principles, rights and guarantees are not respected. This request shall not proceed when the Data Subject has a legal or contractual obligation to remain in the database.
• File complaints with the SIC: File complaints before the Superintendencia de Industria y Comercio for violations of applicable regulations.

Los Titulares podrán ejercer sus derechos mediante el siguiente procedimiento:

9.1. Canal de Atención

9.2. Requisitos de la Solicitud

La solicitud debe contener:

• Identificación completa del Titular (nombre y documento de identidad).
• Descripción clara y precisa de los hechos que dan lugar al reclamo o petición.
• Dirección electrónica para notificaciones.
• Documentos que se pretendan hacer valer, si aplica.

9.3. Tiempos de Respuesta

• Consultas: Serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Si no fuere posible atenderla en dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual no superará los cinco (5) días hábiles siguientes.
• Reclamos (actualización, rectificación, supresión): Serán atendidos en un término máximo de quince (15) días hábiles. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para que subsane. Si no fuere posible atender el reclamo en dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no superará los ocho (8) días hábiles siguientes.

Data Subjects may exercise their rights through the following procedure:

9.1. Contact Channel

9.2. Request Requirements

The request must include:

• Full identification of the Data Subject (name and ID document).
• Clear and precise description of the facts giving rise to the claim or request.
• Electronic address for notifications.
• Documents to be submitted, if applicable.

9.3. Response Times

• Inquiries: Maximum ten (10) business days from receipt. If not possible within that period, the interested party will be informed of the reasons and a new date not exceeding five (5) additional business days.
• Claims (update, rectification, deletion): Maximum fifteen (15) business days. If the claim is incomplete, the interested party will be notified within five (5) days to remedy it. If not possible within that period, the interested party will be informed with a new date not exceeding eight (8) additional business days.

La Compañía adopta medidas técnicas, humanas y administrativas para proteger los registros y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado. Estas medidas incluyen, entre otras:

• Controles de acceso físico y lógico a las bases de datos y sistemas de información.
• Acuerdos y actas de confidencialidad vinculantes con empleados, contratistas y proveedores.
• Protocolos de seguridad informática, cifrado y gestión de contraseñas.
• Auditorías periódicas de cumplimiento en materia de protección de datos.
• Planes de respuesta ante incidentes de seguridad de la información.

The Company adopts technical, human and administrative measures to protect records and prevent their alteration, loss, unauthorized consultation, use or access. These measures include, among others:

• Physical and logical access controls to databases and information systems.
• Binding confidentiality agreements with employees, contractors and suppliers.
• Cybersecurity protocols, encryption and password management.
• Periodic data protection compliance audits.
• Information security incident response plans.

Los datos personales se conservarán mientras se mantenga la relación contractual, comercial o laboral con el Titular, y posteriormente durante el tiempo necesario para cumplir con las obligaciones legales, fiscales, contables o de retención documental aplicables. Una vez cumplida la finalidad y los plazos legales, los datos serán suprimidos o anonimizados de forma segura.

Personal data shall be retained for as long as the contractual, commercial or employment relationship with the Data Subject is maintained, and subsequently for as long as necessary to comply with applicable legal, tax, accounting or document retention obligations. Once the purpose and legal deadlines have been fulfilled, the data shall be securely deleted or anonymized.

La presente Política rige a partir de su fecha de publicación. La Compañía se reserva el derecho de modificarla en cualquier momento. Cualquier cambio sustancial será comunicado a los Titulares a través de los canales institucionales o el sitio web de la Compañía, con anterioridad a su implementación. La versión vigente estará siempre disponible en: https://www.salvahub.com/politica-de-privacidad

Fecha de Aprobación: marzo de 2026

This Policy is effective from its publication date. The Company reserves the right to modify it at any time. Any substantial change will be communicated to Data Subjects through institutional channels or the Company's website prior to its implementation. The current version will always be available at: https://www.salvahub.com/politica-de-privacidad

Approval Date: March 2026