[PENDIENTE — Completar NIT, domicilio y dominio del sitio] Los presentes Términos y Condiciones (en adelante, los "Términos") regulan el acceso y uso de la funcionalidad "Virtual Try-On" (en adelante, el "Aplicativo"), puesto a disposición por CMX S.A.S., sociedad identificada con NIT [•], con domicilio en [•] (en adelante, "CMX" o la "Compañía"), a través del sitio web [www.dominio.com] (en adelante, el "Sitio"), como una herramienta de simulación visual asociada a su línea de productos cosméticos y de estética.

El acceso y uso del Aplicativo implica la aceptación plena e incondicional de estos Términos por parte del usuario (en adelante, el "Usuario" o el "Titular"). Si el Usuario no está de acuerdo con la totalidad de lo aquí dispuesto, deberá abstenerse de utilizar el Aplicativo, sin que ello le impida seguir navegando y consultando los productos de CMX por los demás canales del Sitio.

El Aplicativo es una herramienta tecnológica de simulación visual que permite al Usuario visualizar, de manera aproximada y no exacta, cómo podrían verse determinados productos cosméticos de la línea estética de CMX aplicados sobre su rostro, mediante el uso de tecnología de realidad aumentada y/o procesamiento de imagen.

El Aplicativo tiene una finalidad exclusivamente informativa, ilustrativa y de orientación de compra. En ningún caso constituye un servicio de asesoría dermatológica, médica o estética, ni sustituye la valoración profesional que el Usuario pueda requerir antes de adquirir o aplicarse cualquier producto.

Para utilizar el Aplicativo, el Usuario podrá, a su elección:

• Activar la cámara de su dispositivo para visualizar en tiempo real la simulación de los productos sobre su rostro.
• Cargar una fotografía previamente tomada para efectuar la simulación.
• Seleccionar entre los distintos productos y/o tonos disponibles para comparar resultados simulados.

El uso de cada una de estas modalidades requiere la aceptación previa de las autorizaciones específicas de tratamiento de datos personales descritas en la Sección 5, las cuales son independientes de la aceptación general de estos Términos.

El Usuario reconoce y acepta expresamente que la visualización generada por el Aplicativo es una simulación digital aproximada y no representa necesariamente el resultado real que el producto tendría sobre su piel o rostro. El resultado mostrado puede variar sustancialmente en función de, entre otros, los siguientes factores:

• Condiciones de iluminación del entorno.
• Calidad, resolución y calibración de color de la cámara o de la fotografía cargada.
• Características técnicas del dispositivo utilizado.
• Tono, textura y demás características individuales de la piel del Usuario.
• Condiciones de visualización de la pantalla del dispositivo.

En consecuencia, la simulación debe entenderse únicamente como una referencia orientativa, sin que constituya garantía, promesa u oferta vinculante sobre el resultado final del producto aplicado físicamente.

Para la prestación del servicio, el Aplicativo procesa la imagen del rostro del Usuario, ya sea captada en tiempo real mediante cámara o cargada como fotografía. La imagen del rostro del Usuario constituye información personal y, conforme al artículo 5 de la Ley 1581 de 2012 y al criterio actualmente acogido por la Corte Constitucional colombiana (Sentencia T-158 de 2026, según la cual la fotografía del rostro de una persona constituye un dato biométrico de naturaleza sensible), puede constituir dato biométrico de naturaleza sensible.

Por tratarse de datos sensibles, su tratamiento se encuentra sometido al régimen especial previsto en los artículos 5 y 6 de la Ley 1581 de 2012, conforme al cual dicho tratamiento está en principio prohibido, salvo que concurra alguna de las excepciones legales que lo permiten — entre ellas, que el Titular otorgue su autorización explícita, salvo en los eventos excepcionales en los que la propia ley permite prescindir de ella. En consecuencia, CMX deberá obtener del Titular autorización previa, expresa e informada para el tratamiento de su imagen facial, antes de activar la cámara o procesar cualquier fotografía cargada, en los términos descritos en la Sección 5, y dar cumplimiento al deber de información reforzado del artículo 6 del Decreto 1377 de 2013 (informar que se trata de un dato sensible, que no existe obligación de autorizar su tratamiento, cuáles datos son sensibles y la finalidad del tratamiento, obteniendo el consentimiento expreso correspondiente).

El Usuario será informado, de manera previa al tratamiento, de que: (i) no está obligado a autorizar el tratamiento de su imagen facial; (ii) el suministro de dicha información es voluntario; y (iii) puede continuar navegando y consultando los productos de CMX sin necesidad de utilizar el Aplicativo, en caso de no otorgar la autorización correspondiente.

Diligencia reforzada. La Circular Externa No. 001 de 2025 de la SIC está dirigida específicamente al sector fintech y no resulta directamente vinculante para CMX por razón de su ámbito sectorial; no obstante, constituye un referente interpretativo y de buena práctica útil para estructurar medidas reforzadas de cumplimiento en el tratamiento de datos biométricos. Tomando dicho referente como guía, se recomienda que CMX: (i) informe de forma explícita, clara y separada del resto del clausulado, que el dato objeto de tratamiento es un dato biométrico; (ii) no comparta, ceda ni transfiera la imagen facial del Usuario a terceros distintos del proveedor tecnológico estrictamente necesario para la prestación del servicio de simulación, salvo autorización adicional y específica del Titular; y (iii) no utilice la imagen facial capturada para entrenar modelos de inteligencia artificial, analítica de perfilamiento o fines publicitarios, salvo que medie una autorización específica, diferenciada y separada para dicha finalidad accesoria.

Prohibición de venta o lucro. En ningún caso CMX venderá, arrendará, comercializará o de cualquier otra forma obtendrá un beneficio económico directo a partir de la imagen facial o de los datos biométricos derivados del uso del Aplicativo. Esta prohibición, alineada con estándares internacionales de protección de datos biométricos, aplica también a sus proveedores y encargados del tratamiento.

De manera previa e independiente a la aceptación general de estos Términos, CMX solicitará al Usuario una autorización expresa (checkbox no premarcado o equivalente) que distinga entre tratamientos necesarios y tratamientos accesorios.

Tratamientos necesarios para la simulación (autorización única e indivisible, sin la cual el Aplicativo no puede prestarse):

• Activación y uso de la cámara del dispositivo en tiempo real, o carga de una fotografía por el Usuario (modalidades alternativas entre sí).
• Procesamiento de la imagen facial estrictamente necesario para generar la simulación visual solicitada.

Tratamientos accesorios (cada uno requiere autorización independiente, y su negativa no impide el uso del Aplicativo ni el acceso al Sitio o a los demás contenidos de CMX):

• Almacenamiento temporal o permanente de las imágenes más allá de la sesión, cuando aplique conforme a la Sección 6.
• Uso de la imagen para entrenamiento de modelos de inteligencia artificial, analítica de perfilamiento o fines publicitarios.
• Cualquier tratamiento adicional que, sobre la imagen capturada, pueda efectuar el proveedor tecnológico para fines propios distintos de la prestación del servicio (Sección 8).

CMX dejará registro de la fecha, hora y versión de cada autorización otorgada, para efectos de trazabilidad del consentimiento.

[PENDIENTE — Confirmar con el equipo técnico / proveedor del Aplicativo antes de publicar esta sección] Como regla general, el procesamiento de la imagen del Usuario se realiza de forma efímera y con el único propósito de generar la simulación visual solicitada, sin que las imágenes o fotografías capturadas sean almacenadas por CMX ni por sus proveedores tecnológicos una vez finalizada la sesión del Usuario.

En caso de que, por razones técnicas o de mejora del servicio, CMX requiera almacenar temporalmente las imágenes, se indicará expresamente al Usuario, previo a la captura: (i) el plazo de conservación; (ii) la(s) finalidad(es) específica(s) del almacenamiento (v. gr., soporte técnico, mejora del algoritmo de simulación, entrenamiento de modelos de inteligencia artificial, analítica o fines publicitarios); y (iii) el mecanismo y plazo de eliminación. Ninguna finalidad adicional de almacenamiento operará por defecto ni se entenderá autorizada por el silencio del Usuario.

Estándar técnico de minimización. Como buena práctica internacional (ISO/IEC 24745, Protección de la Información Biométrica), se recomienda que, cuando el Aplicativo requiera conservar algún dato derivado del rostro del Usuario más allá de la sesión, se procese mediante representaciones ("plantillas biométricas") irreversibles, no vinculables entre bases de datos y renovables/revocables, en lugar de almacenar la fotografía o el video original. En caso de conservarse la imagen original, deberá fijarse un plazo máximo de retención definido, verificable y no indefinido, revisado periódicamente conforme al principio de responsabilidad demostrada.

CMX habilitará un mecanismo de autoservicio, o en su defecto un canal expedito, para que el Usuario pueda solicitar en cualquier momento la eliminación de las imágenes que le conciernan, sin necesidad de justificar su solicitud. Esta práctica recoge, en un contexto de riesgo comparable, la recomendación de la FTC de habilitar la opción de desactivar la función y eliminar los datos ya recolectados, formulada originalmente para tecnologías de detección facial de bajo riesgo (Facing Facts, 2012).

De conformidad con los artículos 8 y 14 de la Ley 1581 de 2012 y demás normas concordantes, el Usuario, en calidad de Titular de los datos, podrá en cualquier momento:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida su eliminación.
• Acceder de forma gratuita a sus datos personales objeto de tratamiento.

[PENDIENTE — Completar canal de contacto] Estos derechos podrán ejercerse a través de [correo electrónico / formulario de contacto de protección de datos de CMX], conforme al procedimiento establecido en la Política de Tratamiento de Datos Personales de CMX.

[PENDIENTE — Completar según el proveedor efectivamente contratado] El rol jurídico del proveedor tecnológico del Aplicativo deberá determinarse de acuerdo con las finalidades y medios del tratamiento efectivamente asumidos en el contrato correspondiente, y no puede presumirse de antemano. Cuando el proveedor procese la imagen facial exclusivamente por cuenta y bajo las instrucciones de CMX, sin determinar finalidades propias, actuará como Encargado del Tratamiento, y su relación con CMX deberá regirse por un contrato de transmisión de datos personales que dé cumplimiento a lo dispuesto en el artículo 25 del Decreto 1377 de 2013. Si, en cambio, el proveedor determina finalidades propias sobre los datos —por ejemplo, conservar imágenes para entrenar sus propios modelos, mejorar sus sistemas, construir bases de datos (datasets) o realizar analítica propia—, su posición jurídica podrá corresponder a la de Responsable del Tratamiento respecto de esos usos, con las obligaciones propias de dicho rol. Si el proveedor procesa o almacena información fuera del territorio colombiano, CMX verificará el cumplimiento de los requisitos aplicables a la transferencia o transmisión internacional de datos personales antes de la puesta en marcha del Aplicativo.

Cuando la contratación, licencia, suministro o implementación del Aplicativo constituya un proceso comprendido dentro del ámbito de aplicación de la Circular Externa No. 002 de 2025 de la SIC sobre transferencia de tecnología que involucra datos personales —lo cual deberá analizarse según la forma en que se contrate la tecnología—, el contrato con el proveedor deberá incorporar, como mínimo: (i) garantías contractuales de responsabilidad y seguridad de la información; (ii) medidas de protección de datos desde el diseño y por defecto (privacy by design/default), incluyendo minimización, anonimización o seudonimización cuando sea técnicamente viable; (iii) mecanismos de auditoría y reporte de incidentes de seguridad; y (iv) cláusulas específicas para transferencias o transmisiones internacionales, cuando aplique.

CMX incluirá además, en dicho contrato, una prohibición expresa al proveedor de entrenar modelos propios o reutilizar las imágenes de los Usuarios para fines distintos de la prestación del servicio de simulación, salvo instrucción expresa de CMX y autorización jurídicamente válida del Titular, así como la identificación de los subencargados que intervengan en el tratamiento, cuando los haya.

[PENDIENTE — Verificación previa indispensable] La definición del Aplicativo como herramienta de "realidad aumentada y/o procesamiento de imagen" (Sección 1) no permite presumir automáticamente que constituya un sistema de inteligencia artificial para los efectos de la Circular Externa No. 002 de 2024 de la SIC. Existen soluciones de Virtual Try-On basadas en detección de puntos de referencia faciales (face landmarks) y procesamiento geométrico o de realidad aumentada sin componentes de aprendizaje automático, frente a otras que sí emplean modelos de machine learning, reconocimiento facial, generación de face embeddings o plantillas biométricas. Antes de determinar la aplicabilidad de la Circular 002 de 2024, CMX deberá obtener del proveedor tecnológico una descripción técnica escrita que indique, como mínimo, si el sistema utiliza inteligencia artificial o machine learning, si genera landmarks, face mesh, embeddings o plantillas biométricas, y si existe algún componente de identificación o autenticación del Usuario (ver cuestionario sugerido en el Anexo 3).

Si de dicha verificación resulta que el Aplicativo sí constituye un sistema de inteligencia artificial en los términos de la Circular Externa No. 002 de 2024, CMX deberá entonces determinar y documentar si el tratamiento entraña un alto riesgo de afectación para los Titulares, ponderando los siguientes cuatro criterios exigidos por la SIC:

• Idoneidad: que el tratamiento sea capaz de alcanzar la finalidad de simulación visual perseguida.
• Necesidad: que no exista una medida menos invasiva e igualmente eficaz para lograr dicha finalidad.
• Razonabilidad: que el tratamiento esté orientado a una finalidad constitucionalmente legítima.
• Proporcionalidad en sentido estricto: que las ventajas del tratamiento no sean superadas por el riesgo que representa para los derechos del Titular.

Únicamente en caso de que dicha evaluación arroje que el tratamiento entraña alto riesgo, CMX deberá efectuar y documentar, antes del diseño, desarrollo o despliegue correspondiente, el Estudio de Impacto de Privacidad previsto en la Circular Externa No. 002 de 2024. Con independencia de dicho resultado, y dado que se trata de datos sensibles derivados del rostro, se recomienda desde una óptica de cumplimiento (compliance) documentar igualmente las medidas de seguridad técnicas, humanas, administrativas y contractuales adoptadas, como parte del programa integral de gestión de datos personales de CMX conforme al principio de responsabilidad demostrada (accountability) desarrollado en los artículos 23 a 27 del Decreto 1377 de 2013 (compilados en el Decreto 1074 de 2015), disponible para acreditación ante la SIC en caso de requerimiento.

[PENDIENTE — Confirmar con CMX el público objetivo real del Sitio] Conforme al artículo 7 de la Ley 1581 de 2012, el tratamiento de datos personales de niños, niñas y adolescentes está en principio prohibido, salvo que se trate de datos de naturaleza pública. El artículo 12 del Decreto 1377 de 2013 desarrolla esta prohibición y establece que, cuando dicho tratamiento sea excepcionalmente posible, debe: (i) responder y respetar el interés superior del niño, niña o adolescente; (ii) asegurar el respeto de sus derechos fundamentales; y (iii) contar con la autorización de su representante legal, otorgada previo ejercicio del derecho del menor a ser escuchado, valorando su opinión según su madurez, autonomía y capacidad de comprensión.

Dada la especial protección de los datos de niños, niñas y adolescentes, CMX deberá definir previamente si el Aplicativo estará habilitado para su uso por menores de edad. Si decide no admitirlo, deberá implementar medidas razonables para restringir su acceso. Si decide admitirlo, deberá implementar un mecanismo que asegure el cumplimiento de los tres requisitos señalados en el párrafo anterior (interés superior, respeto de derechos fundamentales y autorización del representante legal con audiencia previa del menor). Esta obligación se complementa con el artículo 28 de la Ley 1480 de 2011 (derecho a la información de los niños, niñas y adolescentes en su calidad de consumidores) y con los lineamientos de la SIC sobre uso de inteligencia artificial en servicios al consumidor, que exigen especial atención a la protección de los derechos de los menores frente a estas tecnologías.

Conforme al artículo 3 de la Ley 1480 de 2011 (Estatuto del Consumidor), el Usuario tiene derecho a recibir información completa, veraz, transparente, oportuna, verificable, comprensible, precisa e idónea sobre el Aplicativo y su alcance real. En consecuencia:

• El aviso sobre la naturaleza aproximada del resultado (Sección 3) deberá mostrarse de forma clara, visible y comprensible en el punto de uso del Aplicativo —no únicamente dentro del texto de estos Términos— antes de que el Usuario visualice cualquier simulación.
• En atención al artículo 29 de la Ley 1480 de 2011 (fuerza vinculante de la publicidad), CMX se abstendrá de utilizar en su publicidad o mercadeo del Aplicativo expresiones que sugieran exactitud, garantía de resultado o equivalencia con el efecto real del producto sobre la piel, dado que dichas afirmaciones vincularían a CMX en los términos en que se anuncien.
• Conforme al artículo 30 de la Ley 1480 de 2011, está prohibida la publicidad engañosa; por tanto, ninguna pieza de comunicación (interna del Aplicativo o externa) podrá dar a entender que la simulación reemplaza una prueba física del producto o una valoración profesional.
• Se recomienda mantener disponible un canal de peticiones, quejas y reclamos (PQR) diferenciado para inquietudes relacionadas específicamente con el Aplicativo, sin perjuicio del canal general de protección al consumidor de CMX y del derecho del Usuario a acudir a la SIC.

El uso del Aplicativo es enteramente voluntario. El Usuario podrá navegar por el Sitio, consultar la información de los productos y realizar compras sin necesidad de utilizar la funcionalidad de Virtual Try-On ni de otorgar las autorizaciones descritas en la Sección 5.

CMX empleará esfuerzos razonables para que el Aplicativo funcione de manera adecuada; sin embargo, no garantiza la disponibilidad ininterrumpida del servicio ni la exactitud absoluta de las simulaciones generadas. CMX no será responsable por:

• Diferencias entre el resultado simulado y el resultado real del producto aplicado sobre la piel del Usuario.
• Errores o limitaciones técnicas derivadas de la cámara, el dispositivo, la fotografía cargada o las condiciones de iluminación.
• Indisponibilidad temporal del Aplicativo por mantenimiento, causas técnicas o hechos de terceros.

Lo anterior no exime a CMX de sus obligaciones como Responsable del Tratamiento en materia de protección de datos personales, respecto de las cuales conserva plena responsabilidad conforme a la Ley 1581 de 2012 y sus decretos reglamentarios.

Las anteriores limitaciones operarán únicamente en la medida permitida por la legislación aplicable y no implican exclusión ni limitación de los derechos irrenunciables del consumidor ni de las responsabilidades que legalmente correspondan a CMX. En particular, y conforme al artículo 43, numeral 1, de la Ley 1480 de 2011, es ineficaz de pleno derecho toda cláusula que limite la responsabilidad del productor o proveedor respecto de las obligaciones que por ley le correspondan.

El software, las interfaces, los algoritmos, las imágenes de productos, las marcas, los logotipos y demás elementos que componen el Aplicativo son de propiedad de CMX o de sus licenciantes, y se encuentran protegidos por la normativa de propiedad intelectual aplicable. Se prohíbe su reproducción, distribución o uso no autorizado por fuera de la finalidad prevista en estos Términos.

Conforme al artículo 38 de la Ley 1480 de 2011, en los contratos de adhesión no pueden incluirse cláusulas que permitan al productor o proveedor modificar unilateralmente el contrato. En consecuencia, CMX podrá actualizar estos Términos cuando resulte necesario por cambios legales, tecnológicos o funcionales. Las modificaciones que afecten derechos u obligaciones del Usuario serán informadas previamente en el Sitio, con indicación de su fecha de vigencia, y producirán efectos conforme a la normativa aplicable. Cuando la modificación implique nuevas finalidades o tratamientos de datos que requieran autorización, CMX solicitará una nueva autorización específica antes de iniciar dicho tratamiento, sin que el uso continuado del Aplicativo pueda entenderse como sustituto de dicha autorización.

Estos Términos se rigen por las leyes de la República de Colombia, en particular por la Ley 1581 de 2012, la Ley 1480 de 2011, el Decreto 1377 de 2013, el Decreto 1074 de 2015 y las Circulares Externas de la Superintendencia de Industria y Comercio que regulan la materia, así como por las demás normas que los modifiquen, adicionen o sustituyan.

[PENDIENTE — Completar canal de atención] Para consultas, solicitudes o ejercicio de derechos relacionados con el Aplicativo, el Usuario podrá comunicarse a través de [canal de atención / correo electrónico de CMX].