Política de tratamiento de datos

POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES

HISTORIA DEL DOCUMENTO VERSIÓN DESCRIPCIÓN ELABORÓ REVISÓ APROBÓ FECHA 1 Versión inicial del documento. Gerencia de Auditoría & Cumplimiento Gerencia Legal Junta Directiva - 2 Actualización
Gerencia de Gestión de Riesgos y Cumplimiento Gerencia Legal Junta Directiva 26/08/2022 3 Actualización Analista de Riesgos y Cumplimiento Coordinadora de Riesgos y Cumplimiento Gerente de Riesgos y Cumplimiento

Gerente Legal Junta Directiva 3/08/2023 4 Actualización periódica Coordinador de Riesgos y Cumplimiento Gerente de Riesgos y Cumplimiento Junta Directiva 18/12/2025

Introducción PRIMAX COLOMBIA S.A. (en adelante La Compañía o Primax), comprometida con la protección del derecho fundamental que tienen todas las personas a la intimidad personal y familiar y el buen nombre, y en desarrollo de su responsabilidad social empresarial adopta la presente Política de Protección de Datos Personales, en cumplimiento de lo dispuesto en el artículo 15 de la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto Único 1074 de 2015, la Circular Externa 10 de 2011 (Circula Única Superintendencia de Industria y Comercio), y demás normas que regulan la materia, con el fin de proporcionar los lineamientos necesarios, claros y precisos para el cumplimiento de las obligaciones legales en materia de protección de datos personales, de conformidad a los principios y deberes definidos en la Ley. En ese sentido y con el principal objetivo de garantizar a todas sus contrapartes y demás titulares sus derechos en materia de protección y tratamiento de datos, Primax en su calidad de Responsable y/o Encargado del Tratamiento, ha establecido herramientas y mecanismos que permiten garantizar la confidencialidad, seguridad, integridad y adecuada circulación de la información personal que en el desarrollo de su objeto social recolecta, almacena, usa, transmite, suprime y en general trata de los titulares con los cuales se relaciona.
Objetivo La presente política tiene carácter obligatorio para todas las personas naturales o jurídicas que, actuando en nombre de la compañía o por encargo de esta, realicen tratamiento de datos personales contenidos en sus bases de datos, archivos físicos y digitales de sus contrapartes; y en ese sentido su propósito es establecer los principios, lineamientos, responsabilidades y buenas prácticas que orientan dicho tratamiento, asegurando el cumplimiento de las obligaciones normativas y la garantía de los derechos de los titulares de la información en el tratamiento de sus datos personales para las finalidades legitimas requeridas.
Alcance La presente política, aplica para todas las bases de datos y archivos que contengan Datos Personales, y que sean objeto de tratamiento por la compañía, ya sea en calidad de Responsable o como Encargada del tratamiento de datos personales actuando, dependiendo el escenario bajo las dos calidades; en ese sentido, este documento es vinculante para la compañía y de obligatorio cumplimiento para todos sus colaboradores, así como para cualquier tercero en Colombia o en el exterior que en el ejercicio de sus funciones o en el marco de una relación con la compañía, tengan acceso o realicen cualquier tipo de tratamiento de datos personales en nombre de esta. Así mismo, el alcance de esta política se extiende a cualquier operación de tratamiento que realice la compañía, y abarca a un amplio espectro de titulares, incluyendo a los colaboradores y su núcleo

familiar e hijos menores de edad cuando así corresponda, así como a participantes en eventos, Clientes, proveedores, consumidores, potenciales clientes, proveedores, contratistas, y visitantes. 4. Glosario • Acceso restringido: Nivel de acceso a la información limitado a parámetros previamente
definidos. • Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales. • Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable y dirigida al Titular para el tratamiento de sus Datos Personales, mediante la cual se le informa acerca de la existencia de la Políticas de Protección de Datos Personales que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales. • Base de Datos: Conjunto organizado de datos personales que sea objeto de Tratamiento. • Calidad del dato: El dato personal sometido a tratamiento deberá ser veraz, completo, exacto, actualizado, comprobable y comprensible. Deber de la compañía de abstenerse a someter a tratamiento, o de solicitar a su Titular la completitud o corrección de la información, cuando identifique que los datos personales son parciales, incompletos, fraccionados o que induzcan a error. • Conductas Inequívocas: Hace referencia a una de las formas de obtener el consentimiento de los titulares de los datos personales, al establecer que estas conductas se entienden como un consentimiento para el tratamiento siempre y cuando, de forma razonable, permitan concluir que el titular sí autoriza el tratamiento de sus datos personales y éstas no admitan duda o equivocación. • Circulación restringida: Los datos personales sólo serán tratados por aquel personal de la compañía o quienes esta designe como encargado para la realización de tales actividades. No podrán entregarse Datos Personales a quienes no cuenten con autorización o no hayan sido habilitados por la compañía, para tratarlos.
• Dato personal: Cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable, como, por ejemplo, nombres y apellidos, número de identificación, edad, número telefónico, correo electrónico, dirección de residencia etc.
• Dato privado: Es el dato que por su naturaleza íntima o reservada sólo es relevante para el titular, como sus claves o contraseñas. • Dato público: Es el dato que no sea semiprivado, privado o sensible. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.

• Dato semiprivado: Son datos que no son de naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular sino a cierto sector o grupo de personas o a la sociedad en general, como es el caso de los datos financieros, crediticios o actividades comerciales. • Datos sensibles: Aquellos datos personales que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, así como los datos relativos a la salud, vida sexual, datos biométricos, entre otros. • Declaración de conformidad: Certificación emitida por la Superintendencia de Industria y Comercio, como aval a la transferencia internacional de datos personales a países que no garanticen niveles adecuados de protección a la información personal, previa solicitud por parte de EL RESPONSABLE. • Encargado del Tratamiento: Persona natural o jurídica, que por sí misma o en asocio con otros, realice el Tratamiento de datos personales a partir de las instrucciones dadas por el Responsable del Tratamiento. • Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos. • Titular: Persona natural cuyos datos personales sean objeto de Tratamiento. • Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país. • Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable. • Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. Demás definiciones señaladas en la ley 1581 de 2012, el Decreto Único 1074 de 2015 y demás normas o conceptos de la normatividad aplicable concordantes y aplicables.
5. Responsable y Encargado del tratamiento de datos • Razón Social: PRIMAX COLOMBIA S.A. • NIT: 860.002.554-8. • Dirección Física: Calle 90 No.19C-32 Piso 3. Bogotá, Colombia. • Teléfono: +57 601-6283200. • Página Web: https://www.primax.com 6. Tratamiento De manera general, el tratamiento al que la compañía somete o someterá los Datos Personales de los titulares incluye la recolección, almacenamiento, uso, administración, procesamiento,

circulación, supresión de estos, etc.; actividades podrán ser desarrolladas de forma manual o automatizada en medios físicos (por ejemplo: documentos, formularios, fotos físicas, entre otros) o electrónicos (por ejemplo: sitios web, videos, sistemas de recolección de voz, correos electrónicos, medios extraíbles, teléfono, cookies, entre otros). Los datos personales que serán objeto de tratamiento podrán ser recolectados directamente o a través de terceros en representación y nombre de la compañía. Para el tratamiento de datos deberá obtenerse autorización previa e informada del titular (persona natural cuyos datos personales sean objeto de Tratamiento) o de quien se encuentre legitimado de conformidad con lo establecido en la normatividad aplicable, la cual podrá ser concedida por medio escrito u oral o mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización, y que pueda ser objeto de consulta posterior por su Titular o de quien se encuentre legitimado para ejercer los derechos del Titular conforme la ley. Los titulares deben contribuir para mantener sus datos en forma exacta, completa, actualizada, comprobable y comprensible, y notificar cualquier modificación de los mismos, mientras se mantenga relación, contacto, mandato legal o cuando así lo determine válidamente la compañía. Ningún colaborador, cliente, proveedor o tercero actuando en nombre de la compañía está autorizado a realizar tratamiento de los Datos Personales almacenados en las bases de datos de la compañía sin autorización por parte del titular cuando así se requiera, o sin respetar el alcance de las finalidades allí señaladas. 6.1. Tratamiento de datos sensibles El Tratamiento sobre datos sensibles, incluyendo los pertenecientes a niños, niñas y adolescentes está prohibido. No obstante, lo anterior, la compañía en virtud de la relación comercial, contractual o laboral que suscribe con sus contrapartes realiza el tratamiento de datos de este tipo en los siguientes casos, única y exclusivamente cuando media autorización previa y expresa de su titular cuando así se requiera, y se cumpla con la ley aplicable. Datos sensibles. La compañía realiza el tratamiento de datos sensibles autorizados por la normatividad aplicable, capturados de sus colaboradores y con fines únicos y exclusivos relacionados con el desarrollo de la relación laboral suscrita y para dar cumplimiento a las obligaciones legales derivadas de la misma, en vigencia y/o finalizada, tales como: datos biométricos, pertenencia a sindicatos y datos relativos a la salud; de sus consumidores, clientes, proveedores y contratistas, en virtud de las relaciones comerciales y contractuales con estos tales como: datos biométricos, el sexo, y los antecedentes judiciales (penales, disciplinarios, fiscales); en ese sentido los datos señalados serán tratados para las siguientes finalidades:
• Control de acceso y registro de ingresos y salidas a las instalaciones de la compañía, por razones de seguridad, tanto física, del personal y patrimonial.

• Identificación de personas dentro de las instalaciones para fines de seguridad, control de accesos, y evacuación, incluyendo a través de sistemas de videovigilancia. • Existencia de una obligación legal o contractual que justifique el tratamiento del dato (Ejmp, procesos de Debida Diligencia y conocimiento de contrapartes en virtud de la normatividad aplicable para la compañía en materia de prevención de los riesgos de Lavado de Activos, Financiación del Terrorismo, Corrupción y Soborno) • Administración de seguros de vida, salud y otros beneficios para el colaborador y su núcleo familiar. • Realizar, de forma periódica, exámenes médicos de control, con el fin de mantener actualizada la historia laboral y el estado de salud de los colaboradores. • Gestión de estadísticas internas. • Enfocar • Grabación de llamadas telefónicas realizadas al titular con el fin de monitorear la calidad de la atención en la misma, soporte y control interno, y cuando corresponda publicación de la llamada en redes sociales de la compañía para fines publicitarios.
Tratamiento de niños, niñas y adolescentes La Compañía puede recolectar datos personales de niños, niñas y adolescentes, hijos de los colaboradores, para lo cual dispone de medidas de seguridad eficaces para salvaguardar estos datos con especial cuidado, garantizando que en el tratamiento de sus datos se respete el interés superior de ellos, así como sus derechos fundamentales, y teniendo en cuenta su opinión o la de sus representantes legales, como titulares de sus datos personales.
El Tratamiento de este tipo de datos será permitido siempre y cuando se asegure la autorización por parte del representante legal del niño, niña o adolescente para la captura, almacenamiento, envío a terceros y uso de los datos con los fines señalados en el presente documento, previo ejercicio como se señaló del derecho del menor a ser escuchado. Dicho lo anterior, los datos señalados serán tratados para las siguientes finalidades:
• Otorgar obsequios en fechas especiales, y/o beneficios tales como subsidios de educación, salud, solicitudes de apoyo académico, actividades recreativas, deportivas, entre otras. • Participación en eventos institucionales, tales como, día de la familia, hallowen, día de los niños, navidad, etc., incluyendo la difusión en medios internos de la compañía a través de los canales informativos e interactivos habilitados por la misma y/o redes sociales, de fotografías o videos en donde registre el menor.
Frente al tratamiento de datos sensibles Primax deberá: a) Informar al Titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.

b) Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización de cualquier dato personal, cuáles de los datos que serán objeto de tratamiento son sensibles y la finalidad de este, así como obtener su consentimiento expreso.
c) No condicionar ninguna actividad al suministro de datos personales sensibles, salvo que esa información sea estrictamente necesaria para cumplir con las obligaciones legales de la compañía, y en caso de no obtener la autorización haría imposible la prestación del servicio o firma del contrato correspondiente. 7. Finalidades La Compañía, recolecta datos personales de diversas fuentes y para fines exclusivamente autorizados a través de la autorización respectiva, o de lo señalado en la presente política, debidamente informados, específicos y legítimos que atienden al tipo de vínculo con el titular en el marco del desarrollo de su objeto social, y el cumplimiento de sus obligaciones legales, contractuales y/o comerciales; y en estricto cumplimiento de la ley aplicable. A continuación, se detallan las principales categorías de titulares de datos y las finalidades asociadas al tratamiento de sus datos, lo anterior sin perjuicio de que el titular a través de una autorización especifica autorice finalidades adicionales y especificas a las descritas en la presente política.
Clientes y Potenciales Clientes. • Efectuar actividades y procesos administrativos pertinentes para el desarrollo de la etapa precontractual, contractual y post contractual, respecto de cualquiera de los productos o servicios ofrecidos por la compañía. • Enviar comunicaciones comerciales, publicitarias y promocionales sobre los productos Y servicios de la compañía o sus aliados comerciales vía correo electrónico, comunicación telefónica, mensajes de texto o vía Whatsapp.
• Enviar comunicaciones y notificaciones para efectos contractuales e informativos relacionados con la relación contractual y/o comercial suscrita.
• Análisis de prospectos con fines comerciales. • Adelantar gestión de cobro administrativo, pre - jurídico, jurídico y coactivo, con relación a los servicios y/o productos suministrados por la compañía, por cuenta propia o a través de proveedores debidamente contratados. • Realizar campañas, actividades de divulgación y capacitaciones de manera presencial y virtual. • Entrega de información a terceros encargados, en virtud de los procesos requeridos en el desarrollo de la relación contractual, legal o comercial establecida, y bajo el alcance de las finalidades señaladas en el presente numeral, incluyendo dar cumplimiento a los requisitos relacionados con el Sistema de Gestión de Seguridad y Salud en el Trabajo. • Enviar obsequios modestos y consistentes con prácticas empresariales razonables, bajo el contexto de fortalecer las relaciones comerciales.

• Atender peticiones, quejas, reclamos, solicitudes de información o denuncias recibidas por cualquiera de los canales habilitados por la compañía, incluyendo el ejercicio de los derechos asociados en materia de protección y tratamiento de datos personales. • Gestionar estadísticas internas. • Actividades de posicionamiento de la marca de la compañía, plan de incentivos y campañas de fidelización, publicidad y prospección comercial.
• • Respecto a los clientes dealers, d • Usos administrativos, comerciales, y demás actividades que se relacionen con el cumplimiento de la gestión y obligaciones contables y tributarias de Primax en virtud de la relación con sus clientes.
• • Convocar, patrocinar u organizar la participación de clientes actuales o potenciales en los eventos o actividades comerciales o de promoción de marcas y productos de Primax o sus aliados, conservando eventualmente el registro de los titulares asistentes mediante grabación, fotografía o cualquier otro medio físico o automatizado. • • Gestionar y adelantar procesos de debida diligencia y conocimiento de cliente, incluyendo llevar a cabo por cuenta propia o a través de aliados comerciales consulta en listas vinculantes, restrictivas y de control del riesgo de Lavado de Activos, Financiamiento del Terrorismo (LAFT), Corrupción (C), Soborno (S), o cualquiera de sus delitos fuentes, y el envío de comunicaciones a través de correo electrónico y/o contactabilidad a través llamadas telefónicas o plataformas de videoconferencia; en función de gestionar señales de alerta identificadas en el marco de los procesos de prevención del del riesgo LAFT/C/S. • Verificar la identidad del cliente para la prevención de fraude y la seguridad de las transacciones. • Mantener registro de los clientes inactivos, con el propósito de conservar la trazabilidad de la relación comercial y del cumplimiento de las obligaciones legales de la compañía.
• Atender requerimientos de auditoría externa, interna y de autoridades competentes. • Aplicar protocolos de atención que permitan mejorar y optimizar el proceso de atención y servicio al cliente, evaluando la calidad del servicio y midiendo la satisfacción del cliente. • Incorporar y analizar los datos personales en herramientas de inteligencia artificial debidamente licenciadas por la compañía, con el propósito de optimizar los procesos internos y asegurar el adecuado desarrollo de la relación comercial o contractual suscrita. La información será tratada bajo medidas de seguridad, garantizando la confidencialidad, disponibilidad e integridad de los datos personales, en cumplimiento de la normatividad vigente en materia de protección de datos. • Transmitir, transferir y suministrar, la información y datos personales a terceros en Colombia o en el extranjero, en aquellos casos en que la compañía participe en procesos de fusión,

integración, adquisición, escisión, desinversión, liquidación y/o enajenación de activos, o cualquier otro proceso de restructuración. • • • Análisis de riesgo crediticio. • Transmisión o transferencia de datos con quienes realice alianzas o contratos para fines comerciales relacionados con la ejecución de las actividades comprendidas dentro del objeto social de la compañía, y bajo el alcance y límites de las finalidades y de lo señalado al respecto en esta política. • Mantenimiento, administración y/o almacenamiento por sí mismo o a través de terceros de las bases de datos. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los titulares. Consumidores • Realizar actividades de mercadeo de todo tipo tales como, análisis de uso, perfilamiento de clientes, trazabilidad de marca, envío de beneficios, publicidad promocional de los productos o servicios de la compañía, gestión de ofertas, novedades, descuentos, programas de fidelización de clientes, publicidad propia, investigación y segmentación de mercado, generación de campañas y eventos y demás noticias de interés, entre otras.
• Realizar prospección comercial inteligencia de negocios, big data, presentación de ofertas a la medida, investigación y tendencias de mercado, entendimiento de perfiles como usuario/ consumidor, rutas de navegación, y seguimiento de marcas a través de correo electrónico, correspondencia física, mensajes de texto, vía Whatsapp, llamadas telefónicas, o a través de otras aplicaciones de mensajería instantánea al teléfono móvil o redes sociales. • Realizar publicaciones en nuestro sitio web o redes sociales. • • • • Establecer contacto, incluyendo el envío de comunicaciones y notificaciones comerciales a través de correo electrónico, correspondencia física, mensajes de texto, vía Whatsapp, llamadas telefónicas, o a través de otras aplicaciones de mensajería instantánea al teléfono móvil o redes sociales; frente a beneficios, publicidad promocional, incluyendo promociones u ofertas sobre productos y servicios de Primax y/o de marcas aliadas que generen beneficios a usuarios de la compañía.
• Almacenamiento de información en plataformas de integración creadas para facilitar la comunicación y la gestión de datos transaccionales respecto al volumen de consumo realizado

por los titulares, frente a los servicios suministrados por la compañía, con el propósito de mejorar la experiencia del consumidor final en las estaciones de servicio de la compañía.
• Convocar, patrocinar u organizar la participación de consumidores actuales o potenciales en los eventos o actividades comerciales o de promoción de marcas y productos de Primax o sus aliados, conservando eventualmente el registro de los titulares asistentes mediante grabación, fotografía o cualquier otro medio físico o automatizado. • Transmitir, transferir y suministrar, la información y datos personales a terceros en Colombia o en el extranjero, en aquellos casos en que la compañía participe en procesos de fusión, integración, adquisición, escisión, desinversión, liquidación y/o enajenación de activos, o cualquier otro proceso de restructuración. • Transmisión o transferencia de datos con quienes realice alianzas o contratos para fines comerciales relacionados con la ejecución de las actividades comprendidas dentro del objeto social de la compañía, y bajo el alcance y límites de las finalidades y de lo señalado al respecto en esta política. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los titulares. Proveedores y Contratistas (vinculados o potenciales): • Invitaciones a participar en procesos de selección, licitaciones y contratación de bienes y servicios. • Gestionar la relación contractual, incluyendo la evaluación, selección, registro, gestión de pedidos, pagos y facturación. • Evaluar los entregables, el desempeño y resultados de los proveedores para el fortalecimiento de los procedimientos de contratación o abastecimiento. • Cumplir con las obligaciones legales y regulatorias que la compañía asuma en virtud de las relaciones contractuales y comerciales con proveedores (ej. tributarias, contables, de seguridad y salud en el trabajo). • Gestionar y adelantar procesos de debida diligencia y conocimiento de cliente, incluyendo llevar a cabo por cuenta propia o a través de aliados comerciales consulta en listas vinculantes, restrictivas y de control del riesgo de Lavado de Activos, Financiamiento del Terrorismo (LAFT), Corrupción (C), Soborno (S), o cualquiera de sus delitos fuentes, y el envío de comunicaciones a través de correo electrónico y/o contactabilidad a través llamadas telefónicas o plataformas de videoconferencia; en función de gestionar señales de alerta identificadas en el marco de los procesos de prevención del del riesgo LAFT/C/S. • Mantener registro de los contratistas y/o proveedores inactivos, con el propósito de conservar la trazabilidad de la relación comercial y del cumplimiento de las obligaciones legales de la compañía.
• Atender requerimientos de auditoría externa, interna y de autoridades competentes. • Adelantar procesos de divulgación y capacitación frente a los servicios, lineamientos y políticas de la compañía, de manera presencial o virtual. • Transmitir, transferir y suministrar, la información y datos personales a terceros en Colombia o en el extranjero, en aquellos casos en que la compañía participe en procesos de fusión,

integración, adquisición, escisión, desinversión, liquidación y/o enajenación de activos, o cualquier otro proceso de restructuración. • Incorporar y analizar los datos personales en herramientas de inteligencia artificial debidamente licenciadas por la compañía, con el propósito de optimizar los procesos internos y asegurar el adecuado desarrollo de la relación comercial o contractual suscrita. La información será tratada bajo medidas de seguridad, garantizando la confidencialidad, disponibilidad e integridad de los datos personales, en cumplimiento de la normatividad vigente en materia de protección de datos. • Transmisión o transferencia de datos con quienes realice alianzas o contratos para fines comerciales relacionados con la ejecución de las actividades comprendidas dentro del objeto social de la compañía, y bajo el alcance y límites de las finalidades y de lo señalado al respecto en esta política. • Convocar, patrocinar u organizar la participación de proveedores en los eventos o actividades comerciales o de promoción de marcas y productos de la compañía o sus aliados, asociadas a la relación comercial o vínculo existente con Primax, conservando eventualmente el registro de los titulares asistentes mediante grabación de imágenes u otros datos biométricos, fotografía o cualquier otro medio físico o automatizado. • Atender peticiones, quejas, reclamos, solicitudes de información o denuncias recibidas por cualquiera de los canales habilitados por la compañía, incluyendo el ejercicio de los derechos asociados en materia de protección y tratamiento de datos personales. • • Llevar registro de los beneficiarios de las donaciones o patrocinios realizados o, los programas externos de responsabilidad social empresarial de la compañía. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los titulares. Colaboradores, excolaboradores y su Núcleo Familiar (incluyendo Hijos Menores de Edad): • Gestionar la relación laboral integral, a través de la realización de procesos orientados a la gestión de personal, incluyendo la administración de nóminas, remuneración, beneficios sociales, deducciones, procesos disciplinarios, movimientos de personal y promociones, evaluaciones de desempeño, planes de desarrollo profesional y formación. • Cumplir con todas las obligaciones laborales, tributarias y de seguridad social y salud en el trabajo que como empleador tiene la compañía con sus colaboradores. • Administración de seguros de vida, salud y otros beneficios para el colaborador y su núcleo familiar. • Realizar de forma periódica, exámenes médicos de control, con el fin de mantener actualizada la historia laboral y el estado de salud de los colaboradores. • Control de asistencia, horarios y gestión de permisos y licencias. • Gestión de comunicaciones internas y organización de actividades corporativas. • Auditar las actividades y operaciones para verificar el cumplimiento por parte de los

colaboradores frente a las políticas, guías y procedimientos de las compañías y la ley aplicable. • Gestionar y administrar el uso de los activos corporativos, tales como, oficinas, instalaciones, puestos de trabajo, computadoras, licencias de uso de software, aplicaciones comerciales, vehículos de la compañía, teléfonos de las oficinas, celulares, espacio en disco, etc. • Reunir y compartir datos personales para su inclusión en los planes de continuidad de los negocios y respuesta en caso de emergencia. • Gestionar los procesos de desarrollo profesional y gestión de recursos mediante la administración de las habilidades profesionales, los niveles de rendimiento, y las oportunidades de desarrollo laboral. • Administrar viajes de negocios. • Promover el desarrollo de actividades de bienestar y desarrollo integral del trabajador. • Preparar y llevar a cabo eventos corporativos. • Gestionar información para garantizar la integridad de la información, los sistemas y los recursos mediante verificación electrónica o control de las actividades realizadas por los colaboradores. • Gestionar el control del acceso físico a instalaciones incluyendo la captura de datos biométricos con el fin de garantizar la seguridad de estas, los bienes e información de la compañía y de las personas, así como el acceso a los sistemas y aplicaciones informáticos, y gestionar procesos de investigación frente a posibles infracciones a la seguridad. • Conservar un registro fotográfico y/o fílmico, de la permanencia del colaborador en las instalaciones de la compañía, para poder identificar al mismo ante cualquier revisión ó investigación que sea necesaria posteriormente. • Gestionar los procedimientos de desvinculación laboral. • Incorporar y analizar los datos personales en herramientas de inteligencia artificial debidamente licenciadas por la compañía, con el propósito de optimizar los procesos internos y asegurar el adecuado desarrollo de la relación laboral suscrita. La información será tratada bajo medidas de seguridad, garantizando la confidencialidad, disponibilidad e integridad de los datos personales, en cumplimiento de la normatividad vigente en materia de protección de datos. • Ofrecer capacitación a los titulares para el desarrollo profesional, académico, la obtención de certificaciones laborales y el cumplimiento de obligaciones legales, según corresponda. • Consulta por cuenta propia o a través de aliados comerciales en listas vinculantes, restrictivas y de control del riesgo de Lavado de Activos, Financiamiento del Terrorismo, Corrupción, Soborno, o cualquiera de sus delitos fuente. • La información de los familiares de los colaboradores, incluyendo los hijos de los mismos, es utilizada con el objetivo de otorgar obsequios y/o beneficios tales como subsidios de educación, salud, solicitudes de apoyo académico, actividades recreativas, deportivas, etc, y contactabilidad en casos de emergencia. • Realizar las actividades necesarias para dar cumplimiento a las obligaciones legales en relación con la custodia de información básica y sensible de excolaboradores. Candidatos a colaborador y practicantes: • Adelantar procesos de selección y reclutamiento, incluyendo análisis de hojas de vida y evaluación del perfil laboral y profesional del titular, y en virtud de ello, procesos de verificación

de identidad y estudios de seguridad, realizar entrevistas, aplicación de pruebas psicotécnicas, visitas domiciliarias, verificación de referencias y certificados laborales y académicos, y verificación de otros elementos socioeconómicos y sociodemográficos significativos del candidato. • Consulta por cuenta propia o a través de aliados comerciales en listas vinculantes, restrictivas y listas de control del riesgo de Lavado de Activos, Financiamiento del Terrorismo, Corrupción, Soborno, o cualquiera de sus delitos asociados. • Actividades de contratación y todas aquellas relacionadas con los procesos de selección de personal. • Incorporar y analizar los datos personales en herramientas de inteligencia artificial debidamente licenciadas por la compañía, con el propósito de optimizar los procesos internos y asegurar el adecuado desarrollo del proceso de selección y contratación correspondiente. La información será tratada bajo medidas de seguridad, garantizando la confidencialidad, disponibilidad e integridad de los datos personales, en cumplimiento de la normatividad vigente en materia de protección de datos. • Envío de mensajes con contenidos, notificaciones, y demás información relativa a los procesos de selección, a través de correo electrónico, mensajes de texto, vía Whatsapp o a través de otras aplicaciones de mensajería instantánea, así como de manera telefónica. • Formar parte de la base de datos de postulantes para futuras contrataciones. • Envío de comunicaciones frente a convocatorias y procesos de selección similares a aquellos en que el titular haya participado. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los titulares. Participantes en Eventos (Webinars, Conferencias, talleres, ferias universitarias, eventos BTL): • Gestionar la inscripción y participación en eventos organizados o patrocinados por la compañía. • Enviar información relevante sobre el evento, materiales, recordatorios y encuestas de satisfacción post-evento. • Enviar información vía correo electrónico, aplicaciones de mensajería instantánea o a través de contacto telefónico frente a campañas, promociones o eventos de la compañía, así como frente a información de posible interés para los titulares.
• Fines estadísticos y de mejora de futuros eventos. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los titulares. Visitantes a las Instalaciones de las Compañías: • Control de acceso y registro de ingresos y salidas a las instalaciones de la compañía, por razones de seguridad, tanto física, del personal y patrimonial. • Identificación de personas dentro de las instalaciones para fines de seguridad y evacuación.

• Conocer y adelantar las gestiones pertinentes para verificar que los visitantes, cuando aplique, cuenten con las afiliaciones relacionadas con riesgos laborales y de salud y seguridad en el trabajo. • Operar los sistemas de video vigilancia con los que cuenta Primax. • Gestionar y adelantar, cuando aplique, los procesos de investigación necesarios para el esclarecimiento de denuncias interpuestas con ocasión de la operación de sistemas de gestión del riesgo. • Conservar un registro fotográfico y/o fílmico, del visitante a las instalaciones de la compañía, para poder identificar al mismo ante cualquier revisión o investigación que sea necesaria posteriormente. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los titulares. Así mismo, Primax informa a sus titulares que una vez ingresen a nuestra página web utilizamos cookies propias o de terceros para (i) mejorar nuestros servicios y su funcionamiento, así como para distinguir a los consumidores, optimizando su experiencia; (ii) seguimiento de interacciones y comportamiento de los consumidores en el sitio web; (iii) análisis de uso del sitio web; (iv) mejorar el servicio al cliente, midiendo el uso y el rendimiento de la página para su optimización; y, (v) mantener el estado de la sesión. La información que en virtud de lo anterior puede recolectarse o guardarse corresponde a dispositivos, direcciones IP, preferencia, etc.
Cumplimiento de la ley 2300 de 2023. En desarrollo de las finalidades relacionadas con la gestión de cobranzas, servicio al cliente y el envío de información a titulares con contenido comercial, promocional o publicitario, la compañía realiza el tratamiento de los datos personales de las contrapartes directamente o a través de aliados comerciales en estricto cumplimiento de la Ley 2300 de 2023, denominada “Ley dejen de fregar”, y demás normas que la reglamenten o modifiquen. En virtud de lo anterior, la compañía garantiza que toda comunicación comercial, publicitaria o de cobranza se efectúa dentro de los horarios, canales y condiciones permitidas por la citada ley, respetando en todo momento el derecho de los titulares a no ser contactados cuando así lo soliciten; en ese mismo sentido, Primax directamente o a través de aliados comerciales con quien se ha encargado en los términos del presente documento el envío de dichas comunicaciones, realiza consultas periódicas al Registro de Números Excluidos (RNE) y conserva los registros que acreditan el cumplimiento de estas disposiciones, asegurando un tratamiento transparente, proporcional y respetuoso de los datos personales de sus contrapartes. 8. Transmisión y transferencia de datos personales. Eventualmente la compañía., como responsable de la información personal almacenada en sus bases de datos, podrá en desarrollo de sus operaciones y dentro del alcance de las finalidades descritas en el presente documento, y/o en las autorizaciones particulares suministradas por los titulares, realizar transferencia o transmisión nacional o internacional de datos, de acuerdo a las

disposiciones de la normatividad vigente y aplicable en la materia, siempre que exista un fundamento legal válido para ello, se garantice un nivel de protección adecuado, se cuente con el consentimiento del titular salvo las excepciones previstas en la ley aplicable, y se limiten a la finalidad que las justifique; dicha divulgación de información podrá realizarse a receptores externos, tales como: Proveedores de servicios / Aliados comerciales: Terceros que prestan servicios a la Compañía y que en virtud de ello realizan alguna operación de tratamiento de datos en virtud de la misma y/o requieren acceso directo a los datos personales para cumplir con las obligaciones pactadas (ej. servicios de tecnología de la información, hosting, marketing digital, mercadeo, outsourcing, consultoría, logística, gestión de pagos, servicios asociados a la seguridad y salud en el trabajo, etc). En estos casos, la Compañía celebrara con estos terceros contratos de transmisión o transferencia de datos personales que como mínimo contendrán lo siguiente:
• Alcance del tratamiento y las actividades que el encargado realizará por cuenta del responsable para el tratamiento. • Las obligaciones del Encargado o receptor de la información. • Las medidas de seguridad adecuadas para la protección de los datos. • Los tiempos de conservación.
• El compromiso de confidencialidad. Entidades financieras y bancarias: Procesamiento de los pagos por la prestación de los servicios y/o la comercialización de los productos de la compañía y, cualquier otro pago que deba realizar esta en virtud de las relaciones comerciales, laborales o contractuales que suscribe con los titulares. Participación de beneficios financieros con aliados comerciales y entidades financieras. Autoridades Públicas: En cumplimiento de obligaciones legales, requerimientos de autoridades judiciales o administrativas, o para atender procesos legales, los datos podrán ser compartidos con entidades gubernamentales o reguladoras competentes. Cuando se requiera realizar transmisión o transferencia de datos, la compañía tomará las medidas necesarias para que los terceros conozcan y se comprometan a observar esta Política, bajo el entendido que la información personal que reciban únicamente pueda ser utilizada para asuntos directamente relacionados con la compañía, y/o el servicio o alianza suscrita, conforme a las instrucciones impartida por esta, y no podrá ser usada o destinada para un propósito diferente. Con relación a las transmisiones internacionales de datos personales que efectúe Primax, no requerirán ser informadas al Titular ni contar con su consentimiento cuando medie un contrato de transmisión de datos personales de conformidad al artículo 2.2.2.25.5.1. del Decreto 1074 de 2015, y el país receptor proporcione niveles adecuados de protección de datos al cumplir con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia. En todo caso la compañía atenderá lo dispuesto en el artículo 26 de la ley 1581 de 2012, y en caso de que aplique gestionará la correspondiente declaración de conformidad, suscribiendo un contrato de transferencia u otro instrumento jurídico que garantice la protección de los datos personales objeto de transferencia.

Derechos de los titulares de datos personales y procedimientos para el ejercicio de estos La Compañía deberá garantizar y respetar los derechos que le asisten a los titulares conforme a la ley 1581 del 2012, el decreto único 1074 de 2015 y demás normas concordantes, y que corresponden a: a) Conocer, actualizar y rectificar sus datos personales frente a los Responsables o Encargados del tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado. b) Solicitar prueba de la autorización otorgada al Responsable del tratamiento salvo cuando expresamente se exceptúe como requisito para el tratamiento. c) Ser informado por el Responsable del tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que les ha dado a sus datos personales. d) Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la ley 1581 del 2012 y las demás normas que la modifiquen, adicionen, complementen o sustituyan. e) Revocar la autorización y/o solicitar la supresión del Dato Personal cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el tratamiento el Responsable o Encargado han incurrido en conductas contrarias a la ley y a la Constitución. f) Acceder en forma gratuita a sus Datos Personales que hayan sido objeto de tratamiento. Los procedimientos para el ejercicio de sus derechos serán los siguientes: 9.1. Consultas Los titulares, sus causahabientes, representantes o apoderados, o quien se determine por estipulación a favor de otro, y acrediten tal calidad, podrán consultar sobre su información personal que repose en las bases de datos de la compañía mediante los canales de contacto señalados en la presente política. Primax suministrará la información solicitada, previa verificación de la legitimación para presentar dicha solicitud. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro del citado término, se informarán los motivos de la demora, señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. 9.2. Peticiones, quejas o reclamos En el evento en que los titulares, sus causahabientes o las personas autorizadas consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización, supresión o soliciten la revocación de la autorización otorgada de manera total o parcial, o cuando se advierta

el presunto incumplimiento de cualquiera de los deberes contenidos en la normatividad aplicable, podrán presentar peticiones, quejas o reclamos ante la compañía, los cuales serán tramitados bajo las siguientes reglas:

Su reclamo deberá formularse mediante solicitud dirigida a la compañía, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección de correo electrónico o física para la recepción de respuesta, y acompañando los documentos que considere necesarios y se quieran hacer valer; a través de los canales de contacto suministrados en el numeral 4 de la presente Política. Si la peticiones, quejas o reclamos resultan incompletas, se requerirá al titular dentro de los cinco (5) días hábiles siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido de la petición, queja o reclamo.
En caso de que la compañía no sea competente para resolver la petición, queja o reclamo, esta dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará oportunamente al titular.
En caso de que la petición, queja o reclamo, sea procedente, una vez recibida de forma completa, se incluirá en la base de datos una leyenda que señale “reclamo en trámite” y el motivo de la solicitud, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.
El término máximo para atender la petición, queja o reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al titular los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
sus datos Los titulares de datos personales pueden ejercer sus derechos de conocer, actualizar, rectificar y suprimir personales privacidad.datos@primax.com enviando una solicitud al correo electrónico: En todo momento los titulares podrán revocar o limitar la autorización del tratamiento de sus datos personales, siempre y cuando no tengan obligaciones de tipo legal o contractual con la compañía, o medie el mandato de autoridad judicial competente, que requieran que esta mantenga los datos personales.
Área encargada de la atención de peticiones, quejas o reclamos La Compañía ha designado como área interna encargada de atender las peticiones, consultas y reclamos de los titulares para ejercer sus derechos a conocer, actualizar, rectificar, suprimir sus datos y revocar la autorización suministrada, a la Gerencia de Riesgos y Cumplimiento.
Vigencia del tratamiento de los datos personales Los datos personales suministrados permanecerán almacenados por el tiempo en que se mantengan las finalidades que justifican su tratamiento, o que sea indicado por la ley para el cumplimiento de los fines para los cuales fue incorporada, incluyendo cualquier deber legal de conservar la información.
Seguridad y confidencialidad de la información La Compañía se compromete a establecer herramientas, mecanismos, prácticas y/o procedimientos de seguridad, con el fin de proteger los datos personales tratados, y evitar su adulteración, pérdida, uso y acceso no autorizado, para ello, Primax de forma diligente ha implementado medidas de protección de la confidencialidad, disponibilidad e integridad de la información, humanas, administrativas y técnicas que razonablemente están a su alcance.
Los terceros que presten o realicen tratamiento de datos personales por cuenta de la compañía igualmente estarán obligados a adherirse a este lineamiento y deberán establecer iguales o mejores prácticas de control para dar cumplimiento a los principios rectores aplicables en materia de protección de datos personales conforme a la normatividad aplicable. Así mismo, todo contrato con terceros (contratistas, colaboradores, consultores externos, colaboradores temporales, etc.) que involucre el tratamiento de datos personales, deben incluir un acuerdo de confidencialidad que detalle el compromiso para la protección, cuidado, seguridad y preservación de la confidencialidad, integridad y privacidad de los mismos.
Modificaciones y vigencia de la política La presente Política rige a partir de la fecha de su publicación, con vigencia indefinida. La Compañía podrá modificar en cualquier momento los términos y condiciones de estas políticas, en todo caso, cualquier cambio sustancial, se comunicará de forma oportuna a los titulares de los datos a través de los medios habituales de contacto y/o a través del sitio web: https://www.primax.com.co/