Política de Privacidad y Tratamiento de Datos Personales — Biber Taller

Última actualización y fecha de entrada en vigencia: 25 de julio de 2026

1. Quiénes somos

Lehreer S.A.S. (en adelante, "Lehreer", "nosotros") es una sociedad constituida bajo las leyes de la República de Colombia, identificada con NIT 901.865.478, con domicilio en Transversal 65 # 59-21 Sur, Bogotá D.C., Colombia, correo electrónico de contacto support@lehreer.com y teléfono +57 302 341 0592. Biber Labs es nuestro laboratorio de producto y Biber Taller (en inglés, Biber Workshop) es nuestra plataforma de gestión para talleres mecánicos automotrices (en adelante, el "Servicio"), disponible vía web y aplicación móvil.

La presente política describe qué datos personales tratamos cuando usted usa Biber Taller, las finalidades de ese tratamiento, las medidas con que los protegemos y los derechos que le asisten como titular.

2. A quién aplica esta política

Esta política aplica a:

Los talleres que contratan el Servicio (nuestros clientes) y las personas que lo usan en su nombre: dueños, administradores, asesores y mecánicos (los "Usuarios").
Los clientes finales de cada taller (los dueños de los vehículos), cuyos datos el taller registra en la plataforma.
Los visitantes de nuestro sitio web y las personas que nos contactan.

Biber Taller es un servicio para empresas (B2B). No está dirigido a consumidores ni a menores de edad.

3. Qué datos recogemos

3.1 Datos de la cuenta del taller y sus empleados

Nombre y apellido, documento de identidad (cédula), correo electrónico, teléfono y cargo de los Usuarios.
Nombre comercial, datos de contacto y datos de facturación del taller.
Credenciales de acceso. Las contraseñas se almacenan cifradas y no resultan legibles para nuestro personal.

3.2 Datos de los clientes finales del taller

El taller registra en la plataforma datos de sus propios clientes para operar su negocio:

Nombre, documento de identidad (cédula), teléfono y correo electrónico.
Datos del vehículo: placa, VIN, marca, modelo y estado.
Fotos del vehículo tomadas durante la recepción y el servicio.
Firmas electrónicas manuscritas capturadas en pantalla (por ejemplo, al autorizar un trabajo).

3.3 Datos operativos

Recepciones, cotizaciones, órdenes de trabajo, repuestos, documentos PDF generados y demás registros que el taller crea al usar el Servicio.

3.4 Datos técnicos y de uso

Registros técnicos (logs), tipo de dispositivo y navegador, dirección IP y eventos de uso de la plataforma, con fines de seguridad, soporte y mejora del Servicio.

4. Datos sensibles

La firma manuscrita capturada en pantalla constituye un dato biométrico y, por lo tanto, un dato sensible en los términos del artículo 6 de la Ley 1581 de 2012 y del artículo 6 del Decreto 1377 de 2013. Por ello:

Su suministro es facultativo y el titular no está obligado a proporcionarla.
Su tratamiento requiere el consentimiento explícito del titular al momento de firmar.
La prestación de ningún servicio se condiciona a la entrega de datos sensibles.

El taller, como responsable del tratamiento frente a sus clientes finales (ver sección 7), debe informarles lo anterior antes de capturar su firma.

Las fotos de vehículos no son datos sensibles por regla general. Sin embargo, si captan personas identificables, constituyen datos personales y les aplican las mismas reglas de esta política.

5. Para qué usamos los datos (finalidades)

Prestar, operar y mantener el Servicio contratado por el taller.
Crear y administrar cuentas de Usuarios y autenticar el acceso.
Generar los documentos propios de la operación del taller (cotizaciones, órdenes, PDFs).
Facturar la suscripción y gestionar la relación comercial con el taller.
Enviar comunicaciones transaccionales (por ejemplo, correos de acceso, notificaciones del Servicio).
Prestar soporte técnico.
Garantizar la seguridad de la plataforma, prevenir fraudes y cumplir obligaciones legales.
Mejorar el Servicio con base en información de uso, de forma agregada y sin identificar personas cuando sea posible.
Atender las solicitudes de información o demostración recibidas a través de nuestra landing o sitio web.
Enviar comunicaciones comerciales sobre Biber Taller a quienes lo autoricen; esta autorización puede revocarse en cualquier momento.

No vendemos datos personales a terceros ni los usamos para publicidad de terceros.

5.1 Suministro de información en caso de controversias

El titular autoriza a Lehreer a suministrar información a las autoridades competentes y a los terceros involucrados cuando sea necesario en caso de quejas, reclamos, controversias o litigios relacionados con el uso del Servicio.

6. Base legal del tratamiento

Tratamos los datos personales con fundamento en:

La autorización del titular, conforme a la Ley 1581 de 2012 y sus decretos reglamentarios (en particular el Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015).
La ejecución del contrato de servicio celebrado con el taller.
El cumplimiento de obligaciones legales aplicables a Lehreer (por ejemplo, contables y tributarias).
Nuestro interés legítimo en operar el Servicio de forma segura, cuando este no vulnere los derechos del titular.

7. Nuestro rol: responsable y encargado del tratamiento

Conforme a la Ley 1581 de 2012, el responsable del tratamiento es quien decide sobre los datos y sus finalidades, mientras que el encargado los trata por cuenta de aquel. En Biber Taller estos roles se distribuyen así:

Respecto de los datos de la cuenta del taller y de sus Usuarios (nombres, correos, credenciales, facturación), Lehreer actúa como responsable del tratamiento: decide cómo se tratan para prestar el Servicio y responde directamente ante sus titulares.
Respecto de los datos de los clientes finales del taller (dueños de los vehículos, sus firmas, fotos y placas), el taller es el responsable y Lehreer actúa como encargado: el taller decide qué datos registra y con qué finalidad, y Lehreer los trata únicamente conforme a las instrucciones del taller y a las funcionalidades de la plataforma. El taller debe contar con la autorización de sus clientes para registrar sus datos, según lo exigen la ley y nuestros Términos y Condiciones.

Si usted es cliente final de un taller y quiere ejercer sus derechos sobre los datos que ese taller registró, la vía principal es contactar directamente al taller. Si se dirige a nosotros, le ayudaremos a canalizar la solicitud ante el taller correspondiente y colaboraremos con este en lo que resulte razonable.

8. Subprocesadores y proveedores

Para operar el Servicio usamos proveedores tecnológicos que procesan datos por cuenta nuestra ("subprocesadores"). Exigimos a estos proveedores compromisos de confidencialidad y seguridad, y limitamos su acceso a lo estrictamente necesario.

Categoría de proveedor	Función	Datos que puede procesar	Ubicación
Proveedor de base de datos, autenticación y almacenamiento en la nube	Base de datos, autenticación de usuarios y almacenamiento de archivos	Todos los datos del Servicio (cuentas, datos operativos, fotos, firmas, PDFs)	Estados Unidos
Proveedor de infraestructura de aplicación (hosting)	Servidores donde se ejecuta la plataforma	Datos en tránsito procesados por la plataforma	Estados Unidos
Proveedor de correo transaccional	Envío de correos del Servicio (accesos, notificaciones)	Nombre y correo electrónico de los destinatarios	Estados Unidos / internacional
Paddle.com Market Ltd — procesador de pagos y responsable de la venta (Merchant of Record)	Cobro de la suscripción del taller, facturación y recaudo de impuestos	Nombre, correo electrónico, país y datos de facturación de quien contrata. Los datos de la tarjeta los captura y custodia Paddle directamente; Lehreer S.A.S. no los recibe ni los almacena.	Reino Unido / Unión Europea
Proveedores de reporte de fallos y monitoreo	Detección de errores y caídas de la aplicación para poder corregirlos	Identificador de la cuenta, identificador del dispositivo, versión de la app y detalle técnico del fallo. No se envía información de clientes ni de vehículos	Estados Unidos

Sobre el cobro: la suscripción del taller la vende y factura Paddle por cuenta de Lehreer S.A.S., de modo que el cargo puede aparecer a nombre de Paddle en el extracto del medio de pago. El tratamiento que Paddle hace de esos datos se rige además por su propio aviso de privacidad, disponible en paddle.com/legal/privacy. Este cobro es entre Lehreer S.A.S. y el taller: los clientes finales del taller no pagan nada a través de la plataforma y sus datos no se comparten con Paddle.

El listado específico de los subencargados vigentes está a disposición de los talleres que lo soliciten a través del canal de contacto de esta política, y hace parte del Anexo de Tratamiento de Datos de los Términos y Condiciones. Podemos actualizar los proveedores cuando sea necesario; cuando el cambio sea relevante, lo informaremos a los talleres.

9. Seguridad de la información

Adoptamos medidas técnicas y organizativas razonables para la protección de los datos, entre ellas:

Cifrado en tránsito (TLS) en todas las comunicaciones con la plataforma.
Aislamiento por taller (multi-tenancy): los datos de cada taller están lógicamente separados, de modo que un taller no puede ver la información de otro.
Control de acceso por roles y credenciales individuales.
Contraseñas almacenadas de forma cifrada (hash).
Copias de seguridad y controles de acceso internos limitados al personal que lo necesita.

En todo caso, ningún sistema de información es infalible. Si se presenta un incidente de seguridad que afecte datos personales, lo gestionaremos conforme a la ley aplicable y notificaremos a los titulares afectados y a las autoridades cuando corresponda.

10. Retención y eliminación de datos

Conservamos los datos mientras la cuenta del taller esté activa y sean necesarios para prestar el Servicio.
Al terminar el contrato, el taller puede solicitar la exportación de sus datos operativos dentro de los treinta (30) días siguientes a la terminación (ver los Términos y Condiciones). Los datos operativos se eliminan o anonimizan dentro de los ciento ochenta (180) días siguientes a la terminación, salvo aquellos que debamos conservar por obligación legal (por ejemplo, información de facturación). Antes de la eliminación enviamos avisos al taller para que ejerza su derecho de exportación; mientras el plazo no se cumpla, el taller puede solicitar la reactivación de su cuenta con toda su información.
Las copias de seguridad se eliminan según sus ciclos técnicos de rotación.

11. Derechos del titular y cómo ejercerlos

Conforme a la Ley 1581 de 2012, usted tiene derecho a:

Conocer los datos personales que tratamos sobre usted y acceder a ellos gratuitamente.
Actualizar los datos que estén incompletos o desactualizados.
Rectificar los datos inexactos o que induzcan a error.
Suprimir sus datos cuando el tratamiento no sea necesario o no se ajuste a la ley, salvo que exista un deber legal o contractual de conservarlos.
Revocar la autorización otorgada para el tratamiento.
Solicitar prueba de la autorización otorgada.
Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) de Colombia por infracciones a la ley.

El área administrativa de Lehreer S.A.S., a través de support@lehreer.com y el teléfono +57 302 341 0592, es la encargada de la atención de peticiones, consultas y reclamos de los titulares.

Para ejercer estos derechos, escríbanos a support@lehreer.com. La solicitud debe contener:

Nombre e identificación del titular.
Descripción de los hechos y del derecho que desea ejercer.
Dirección o medio a través del cual desea recibir la respuesta.
Los documentos que soporten la solicitud, cuando aplique.

Atenderemos las consultas en un máximo de diez (10) días hábiles, prorrogables por cinco (5) días hábiles adicionales, y los reclamos en un máximo de quince (15) días hábiles, prorrogables por ocho (8) días hábiles adicionales; en ambos casos le informaremos el motivo de la prórroga. Si el reclamo está incompleto, le pediremos completarlo dentro de los cinco (5) días hábiles siguientes.

Si usted es cliente final de un taller, el responsable del tratamiento de sus datos es el taller (ver sección 7); aun así, puede escribirnos y le ayudaremos a canalizar su solicitud.

Si usted se encuentra fuera de Colombia, puede tener derechos equivalentes bajo la ley de protección de datos de su país (por ejemplo, México, Perú, Chile, Argentina, Ecuador o Brasil) y ejercerlos a través del mismo canal de contacto.

12. Transferencias internacionales

Nuestros proveedores de infraestructura (sección 8) pueden almacenar y procesar datos en servidores ubicados fuera de Colombia, principalmente en Estados Unidos y, en el caso del procesamiento de pagos de la suscripción del taller, en el Reino Unido y la Unión Europea. La Superintendencia de Industria y Comercio, mediante la Circular Externa 005 de 2017, incluyó a Estados Unidos en el listado de países que cuentan con un nivel adecuado de protección de datos personales, según la circular vigente. La misma circular reconoce nivel adecuado a los Estados miembros de la Unión Europea y al Reino Unido. Al usar el Servicio, y mediante la autorización correspondiente, el titular acepta esta transferencia y transmisión internacional. En todos los casos exigimos a los proveedores medidas de seguridad y confidencialidad acordes con esta política y con la ley colombiana.

13. Menores de edad

Biber Taller es una herramienta de trabajo para empresas y no está dirigida a menores de 18 años. No recolectamos intencionalmente datos de menores. Si detectamos que se registraron datos de un menor sin la autorización de su representante legal, los eliminaremos.

14. Vigencia

Esta política rige a partir del 25 de julio de 2026. Las bases de datos se conservarán mientras subsista la finalidad de su tratamiento y/o mientras exista un deber legal o contractual de conservación.

15. Cambios a esta política

Podemos actualizar esta política para reflejar cambios en el Servicio, en nuestros proveedores o en la ley. Publicaremos la versión vigente en nuestro sitio y actualizaremos la fecha de "Última actualización". Si el cambio es sustancial, lo notificaremos a los talleres por correo electrónico o dentro de la plataforma con antelación razonable.

16. Contacto

Lehreer S.A.S. NIT: 901.865.478 Dirección: Transversal 65 # 59-21 Sur, Bogotá D.C., Colombia Correo: support@lehreer.com Teléfono: +57 302 341 0592

Para cualquier consulta, solicitud o reclamo relacionado con sus datos personales, este es el canal dispuesto por Lehreer S.A.S. como responsable o encargado del tratamiento, según corresponda.

Privacy and Personal Data Processing Policy — Biber Workshop

Last updated and effective date: July 25, 2026

1. Who we are

Lehreer S.A.S. ("Lehreer", "we", "us") is a company incorporated under the laws of the Republic of Colombia, tax ID (NIT) 901.865.478, with its registered address at Transversal 65 # 59-21 Sur, Bogotá D.C., Colombia, contact email support@lehreer.com, and phone number +57 302 341 0592. Biber Labs is our product lab, and Biber Workshop (in Spanish, Biber Taller) is our management platform for automotive repair shops (the "Service"), available on the web and as a mobile app.

This policy describes the personal data we process when you use Biber Workshop, the purposes of that processing, the measures we use to protect it, and the rights you have as a data subject.

2. Who this policy applies to

This policy applies to:

The repair shops that subscribe to the Service (our customers) and the people who use it on their behalf: owners, managers, service advisors, and mechanics (the "Users").
Each shop's end customers (vehicle owners), whose data the shop records in the platform.
Visitors to our website and people who contact us.

Biber Workshop is a business-to-business (B2B) service. It is not directed at consumers or minors.

3. What data we collect

3.1 Shop account and employee data

First and last name, national ID number, email address, phone number, and job title of Users.
The shop's trade name, contact details, and billing information.
Access credentials. Passwords are stored encrypted and are not readable by our staff.

3.2 The shop's end-customer data

The shop records data about its own customers in the platform to run its business:

Name, national ID number, phone number, and email address.
Vehicle data: license plate, VIN, make, model, and condition.
Photos of the vehicle taken during check-in and service.
Handwritten electronic signatures captured on screen (for example, when authorizing a job).

3.3 Operational data

Check-ins, quotes, work orders, parts, generated PDF documents, and other records the shop creates while using the Service.

3.4 Technical and usage data

Technical logs, device and browser type, IP address, and platform usage events, for security, support, and Service improvement purposes.

4. Sensitive data

The handwritten signature captured on screen constitutes biometric data and, therefore, sensitive data under Article 6 of Law 1581 of 2012 and Article 6 of Decree 1377 of 2013. Accordingly:

Providing it is optional and the data subject is not required to provide it.
Its processing requires the data subject's explicit consent at the time of signing.
No service is conditioned on the provision of sensitive data.

The shop, as data controller vis-à-vis its end customers (see Section 7), must inform them of the above before capturing their signature.

Vehicle photos are not sensitive data as a general rule. However, if they capture identifiable persons, they constitute personal data and the same rules of this policy apply to them.

5. Why we use the data (purposes)

To provide, operate, and maintain the Service the shop has subscribed to.
To create and manage User accounts and authenticate access.
To generate the documents used in the shop's operations (quotes, work orders, PDFs).
To bill the subscription and manage the commercial relationship with the shop.
To send transactional communications (for example, login emails and Service notifications).
To provide technical support.
To keep the platform secure, prevent fraud, and comply with legal obligations.
To improve the Service based on usage information, in aggregated form and without identifying individuals where possible.
To handle requests for information or a demo received through our landing page or website.
To send commercial communications about Biber Workshop to those who authorize it; this authorization may be revoked at any time.

We do not sell personal data to third parties or use it for third-party advertising.

5.1 Disclosure of information in the event of disputes

The data subject authorizes Lehreer to provide information to competent authorities and to third parties involved where necessary in the event of complaints, claims, disputes, or litigation related to the use of the Service.

6. Legal basis for processing

We process personal data based on:

The data subject's authorization (consent), in accordance with Colombian Law 1581 of 2012 and its implementing decrees (in particular Decree 1377 of 2013, now compiled in Decree 1074 of 2015).
The performance of the service agreement entered into with the shop.
Compliance with legal obligations applicable to Lehreer (for example, accounting and tax obligations).
Our legitimate interest in operating the Service securely, where this does not override the data subject's rights.

7. Our role: data controller and data processor

Under Law 1581 of 2012, the data controller ("responsable") decides on the data and the purposes of its processing, while the data processor ("encargado") processes it on the controller's behalf. In Biber Workshop these roles are allocated as follows:

For shop account and User data (names, emails, credentials, billing), Lehreer acts as data controller: it decides how that data is processed in order to provide the Service and answers directly to the data subjects.
For the shop's end-customer data (vehicle owners, their signatures, photos, and plates), the shop is the controller and Lehreer acts as processor: the shop decides what data it records and for what purpose, and Lehreer processes it only in accordance with the shop's instructions and the platform's features. The shop must obtain its customers' authorization to record their data, as required by law and by our Terms and Conditions.

If you are a shop's end customer and want to exercise your rights over the data that shop recorded, the primary channel is to contact the shop directly. If you reach out to us, we will help route your request to the relevant shop and cooperate with it as reasonably needed.

8. Subprocessors and vendors

To operate the Service we use technology vendors that process data on our behalf ("subprocessors"). We require confidentiality and security commitments from these vendors and limit their access to what is strictly necessary.

Vendor category	Function	Data it may process	Location
Cloud database, authentication and storage provider	Database, user authentication, and file storage	All Service data (accounts, operational data, photos, signatures, PDFs)	United States
Application infrastructure (hosting) provider	Servers where the platform runs	Data in transit processed by the platform	United States
Transactional email provider	Sending Service emails (logins, notifications)	Recipients' names and email addresses	United States / international
Paddle.com Market Ltd — payment processor and Merchant of Record	Charging the shop's subscription, invoicing and tax collection	Name, email address, country and billing details of the subscriber. Card data is captured and held by Paddle directly; Lehreer S.A.S. neither receives nor stores it.	United Kingdom / European Union
Crash reporting and monitoring providers	Detecting application errors and crashes so they can be fixed	Account identifier, device identifier, app version and technical crash details. No customer or vehicle information is sent	United States

About billing: the shop's subscription is sold and invoiced by Paddle on behalf of Lehreer S.A.S., so the charge may appear under Paddle's name on the payment method statement. Paddle's processing of that data is also governed by its own privacy notice at paddle.com/legal/privacy. This billing is between Lehreer S.A.S. and the shop: the shop's own customers pay nothing through the platform and their data is not shared with Paddle.

The specific list of current subprocessors is available to workshops upon request through this policy's contact channel, and is part of the Data Processing Annex of the Terms and Conditions. We may update vendors when needed; where the change is material, we will notify the shops.

9. Information security

We adopt reasonable technical and organizational measures to protect the data, including:

Encryption in transit (TLS) for all communications with the platform.
Per-shop isolation (multi-tenancy): each shop's data is logically separated, so one shop cannot see another shop's information.
Role-based access control and individual credentials.
Passwords stored in hashed (encrypted) form.
Backups and internal access controls limited to personnel who need them.

In any event, no information system is infallible. If a security incident affecting personal data occurs, we will handle it in accordance with applicable law and notify the affected data subjects and the authorities where required.

10. Data retention and deletion

We retain data while the shop's account is active and the data is needed to provide the Service.
Upon termination of the agreement, the shop may request an export of its operational data within thirty (30) days following termination (see the Terms and Conditions). Operational data is deleted or anonymized within one hundred eighty (180) days following termination, except for data we must retain under a legal obligation (for example, billing information). Before deletion we send notices to the shop so it can exercise its export right; until that period elapses, the shop may request reactivation of its account with all of its information.
Backups are deleted according to their technical rotation cycles.

11. Data subject rights and how to exercise them

Under Colombian Law 1581 of 2012, you have the right to:

Know what personal data we process about you and access it free of charge.
Update data that is incomplete or out of date.
Rectify data that is inaccurate or misleading.
Delete your data when the processing is no longer necessary or does not comply with the law, unless there is a legal or contractual duty to retain it.
Revoke the authorization granted for processing.
Request proof of the authorization granted.
File complaints with Colombia's Superintendence of Industry and Commerce (SIC) for violations of the law.

The administrative area of Lehreer S.A.S., through support@lehreer.com and the phone number +57 302 341 0592, is in charge of handling data subjects' requests, inquiries, and claims.

To exercise these rights, write to us at support@lehreer.com. Your request must include:

The data subject's name and identification.
A description of the facts and of the right you wish to exercise.
An address or means through which you wish to receive the response.
The documents supporting the request, where applicable.

We will respond to inquiries within a maximum of ten (10) business days, extendable by five (5) additional business days, and to claims within a maximum of fifteen (15) business days, extendable by eight (8) additional business days; in either case we will inform you of the reason for the extension. If a claim is incomplete, we will ask you to complete it within the following five (5) business days.

If you are a shop's end customer, the shop is the controller of your data (see Section 7); you may still write to us and we will help route your request.

If you are located outside Colombia, you may have equivalent rights under your country's data protection law (for example, Mexico, Peru, Chile, Argentina, Ecuador, or Brazil) and may exercise them through the same contact channel.

12. International data transfers

Our infrastructure vendors (Section 8) may store and process data on servers located outside Colombia, mainly in the United States and, for processing the shop's subscription payments, in the United Kingdom and the European Union. Colombia's Superintendence of Industry and Commerce, through External Circular 005 of 2017, included the United States in the list of countries that provide an adequate level of personal data protection, per the circular in force. The same circular recognizes an adequate level for European Union member states and the United Kingdom. By using the Service, and through the corresponding authorization, the data subject accepts this international transfer and transmission. In all cases we require vendors to apply security and confidentiality measures consistent with this policy and Colombian law.

13. Minors

Biber Workshop is a business tool and is not directed at anyone under 18. We do not knowingly collect data from minors. If we detect that a minor's data was recorded without their legal guardian's authorization, we will delete it.

14. Term of this policy

This policy is effective as of July 25, 2026. The databases will be kept for as long as the purpose of their processing subsists and/or for as long as a legal or contractual duty of retention exists.

15. Changes to this policy

We may update this policy to reflect changes in the Service, our vendors, or the law. We will publish the current version on our site and update the "Last updated" date. If a change is material, we will notify the shops by email or in-app with reasonable advance notice.

16. Contact

Lehreer S.A.S. Tax ID (NIT): 901.865.478 Address: Transversal 65 # 59-21 Sur, Bogotá D.C., Colombia Email: support@lehreer.com Phone: +57 302 341 0592

For any inquiry, request, or claim related to your personal data, this is the channel provided by Lehreer S.A.S. as data controller or processor, as applicable.