Esta Política es de acceso público, motivo por el cual cualquier persona que desee conocer los estándares y procedimientos establecidos por CIRKULAR ORIGIN, en relación con el Tratamiento de Datos Personales y la protección de la información contenida en sus Bases de Datos, podrá acceder a ella y consultarla de manera permanente en cirkularorigin.com.

Con el objeto de garantizar los derechos de los Titulares de la información, esta Política deberá ser cumplida por todos los trabajadores vinculados a CIRKULAR ORIGIN. Igualmente, será aplicada respecto de todos los empleados, directivos, agentes, representantes, asesores, contratistas, proveedores y personas que actúen en nombre y representación de esta sociedad, que realicen algún tipo de tratamiento de datos personales.

Autorización: Es el consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de Datos Personales, de acuerdo con las finalidades y en los términos de esta Política de Privacidad y de Protección de Datos Personales.

Aviso de privacidad: Es la comunicación verbal o escrita que informa al Titular que existe esta Política, cómo acceder a ella y las finalidades del Tratamiento de sus datos.

Base de datos: Es el conjunto organizado de Datos Personales en medio digital, electrónico o físico, objeto de Tratamiento.

Dato Personal: Es la información que identifica a una persona, o información vinculada que pueda asociarse a una o varias personas naturales determinadas o determinables. Incluye, entre otros, la imagen, la voz y la ubicación de una persona o de su predio cuando permiten identificarla.

Dato Personal Privado: Es la información que solo le concierne al Titular, que tiene una naturaleza reservada.

Dato Personal Sensible: Son los datos personales que afectan la intimidad del Titular, cuyo uso indebido puede generar su discriminación, como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de Derechos Humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos, como la huella dactilar o el rostro cuando permiten identificar a la persona.

Dato Público: Son los datos que no son privados, semiprivados o sensibles. Son considerados datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas, boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.

Encargado del Tratamiento: Es la persona, natural o jurídica, que por sí misma o en asocio con otros, realiza el Tratamiento de los Datos Personales por cuenta de CIRKULAR ORIGIN.

Personal de CIRKULAR ORIGIN: Todas las personas vinculadas a CIRKULAR ORIGIN que se encargan del tratamiento de datos personales, y que deberán cumplir esta Política de Protección de Datos Personales.

Responsable del Tratamiento: Es CIRKULAR ORIGIN cuando por sí misma o en asocio con otros, decida sobre las finalidades y el tratamiento de los Datos Personales que estén contenidos en sus Bases de Datos.

Titular: Persona natural cuyos Datos Personales sean objeto de Tratamiento.

Transferencia: Es el envío de Datos Personales que realiza un responsable y/o Encargado del Tratamiento de Datos Personales ubicado en Colombia a un responsable del Tratamiento que se encuentra dentro o fuera del país.

Transmisión: Es el Tratamiento de Datos Personales que implica la comunicación de aquellos, dentro o fuera del territorio de Colombia, realizada por el Encargado por cuenta del responsable.

Tratamiento: Es cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

Para el Tratamiento de los Datos Personales, CIRKULAR ORIGIN tendrá en cuenta los siguientes principios:

Principio de Legalidad en Materia de Tratamiento de Datos: el Tratamiento de los Datos Personales se sujetará a lo establecido en las leyes aplicables en la materia para Colombia y en las demás disposiciones que desarrollen estas leyes.

Principio de Finalidad: el Tratamiento obedecerá a una finalidad legítima de acuerdo con la Constitución y la Ley de Colombia, la cual será informada al Titular de los Datos Personales.

Principio de Libertad: el Tratamiento solo podrá ejercerse con el consentimiento, previo, expreso e informado del Titular. Los Datos Personales no serán obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.

Principio de Veracidad o Calidad: la información sujeta a Tratamiento será veraz, completa, exacta, actualizada, comprobable y comprensible.

Principio de Transparencia: se garantizará el derecho del Titular a obtener información sobre sus Datos Personales en cualquier momento y sin restricciones, por parte de CIRKULAR ORIGIN o del Encargado del Tratamiento de los Datos Personales.

Principio de Acceso y Circulación Restringida: el Tratamiento se sujetará a los límites que se derivan de la naturaleza de los Datos Personales, de las disposiciones de las leyes aplicables para la materia y, de manera particular, de esta Política. Es decir, los Datos Personales, salvo la información pública, no estarán disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados.

Principio de Seguridad: los Datos Personales sujetos al Tratamiento de CIRKULAR ORIGIN o al de su(s) Encargado(s) atenderán a las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los Datos Personales evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Principio de Confidencialidad: todo el Personal de CIRKULAR ORIGIN que intervenga en el Tratamiento de Datos Personales estará obligado a garantizar la reserva de estos, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de Datos Personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley.

Obtención y Tratamiento al cual serán sometidos los Datos Personales. CIRKULAR ORIGIN garantiza que solo realiza el Tratamiento de los Datos Personales de las personas que de manera previa y expresa han autorizado dicho Tratamiento. CIRKULAR ORIGIN conservará copia de la autorización para que el Titular de los Datos Personales, en el momento que lo desee, y siempre y cuando sea procedente, revoque su autorización y solicite la supresión de su información.

En la solicitud de autorización, CIRKULAR ORIGIN entregará toda la información relacionada con el Tratamiento al cual serán sometidos los Datos Personales de cada Titular, incluyendo, cuando aplique, información relacionada con la transmisión o transferencia de los Datos Personales a terceros.

Cuando la obtención de los Datos Personales se derive de la celebración de un contrato, los términos y condiciones particulares del Tratamiento de estos se encontrarán documentados en los contratos suscritos con los Titulares. Por lo anterior, cuando un productor, proveedor, trabajador o cliente firme el correspondiente contrato, se dará por entendido que está dando su consentimiento, expreso e informado, para que CIRKULAR ORIGIN realice el Tratamiento de su información en relación con la ejecución de ese contrato. Los usos que no son necesarios para ejecutar el contrato, como el uso de la imagen, la voz y los testimonios de una persona, se autorizan aparte, uno por uno, y el silencio no se entiende como autorización.

Asimismo, cuando los Titulares de los Datos Personales entreguen su información a CIRKULAR ORIGIN de manera voluntaria y unilateral, como al escribir por la página web, se entenderá que dieron su autorización expresa para el Tratamiento de estos datos con las finalidades informadas en ese momento. Los datos que el productor entrega en la Cirkular App se tratan con la autorización que otorga en su contrato y en la autorización de tratamiento de datos personales.

Quien refiere a otra persona en la Cirkular App declara que esa persona le permitió compartir sus datos de contacto. CIRKULAR ORIGIN le pide a la persona referida su autorización en el primer contacto y, si no la da, suprime sus datos.

CIRKULAR ORIGIN no estará obligada a solicitar la autorización del Titular de los Datos Personales, en los siguientes casos: i) para información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; ii) cuando se trate de datos de naturaleza pública; iii) en los casos de urgencia médica o sanitaria; iv) cuando el Tratamiento sea autorizado por la ley para fines históricos, estadísticos o científicos; y, v) cuando se trate de datos relacionados con el Registro Civil de las Personas.

La información almacenada en las Bases de Datos de CIRKULAR ORIGIN podrá ser compartida internamente a los trabajadores encargados de realizar el Tratamiento de los Datos Personales de conformidad con las finalidades mencionadas en esta Política y/o en la solicitud de autorización para el Tratamiento otorgada por el Titular.

CIRKULAR ORIGIN no compartirá o entregará Datos Personales almacenados en sus Bases de Datos con terceras personas no relacionadas con esta sociedad. Sin embargo, y cuando la finalidad así lo requiera, los Datos Personales podrán ser legítimamente transmitidos o transferidos a aliados comerciales o proveedores de servicios de CIRKULAR ORIGIN, para cumplir con objetivos contractuales o comerciales específicos. En caso de que CIRKULAR ORIGIN considere que es necesario realizar una transferencia de Datos Personales, solamente se realizará en estricto cumplimiento de los requerimientos legales.

Por la naturaleza de sus proyectos de carbono, CIRKULAR ORIGIN comparte datos de los productores con los siguientes destinatarios, solo para las finalidades de la sección 6: los estándares de certificación del proyecto y sus registros (Francia y Suiza); el organismo verificador independiente; los laboratorios que analizan las muestras; los auditores; las casas calificadoras que evalúan la calidad de los créditos (Reino Unido y otros países); las entidades que financian o invierten en el proyecto; los compradores y posibles compradores de créditos de carbono; su sociedad matriz, Cirkular Agro Fintech LLC (Estados Unidos); y la sociedad del grupo que reciba por cesión un contrato con el Titular.

Lo que recibe cada uno depende del uso:

• Estándares, registros y verificador: el nombre del productor y las coordenadas de su finca y de cada aplicación, porque los exigen para emitir los créditos.
• Auditorías y revisiones de debida diligencia de auditores, casas calificadoras, financiadores, inversionistas y compradores o posibles compradores: datos con el nombre del productor, como su contrato, sus soportes de pago, las fotografías de monitoreo y la ubicación de su finca. Se entrega solo lo que la revisión necesita, el número de cédula solo cuando la revisión lo exige, y quien los recibe se obliga por escrito a guardar reserva y a no usarlos para otra cosa.
• Tableros, reportes, informes de impacto y material comercial: datos agregados o sin el nombre ni la cédula de los Titulares. Las fotografías en que se reconoce a una persona, solo con su autorización.

En cualquiera de estos eventos, CIRKULAR ORIGIN se compromete a tomar todas las medidas pertinentes para garantizar que el Tratamiento de la información por parte sus Encargados y/o de sus aliados comerciales o proveedores de servicios se realice en estricto cumplimiento de esta Política.

Sin perjuicio de lo señalado en la solicitud de autorización o contrato correspondiente, el Tratamiento de los Datos Personales realizado por CIRKULAR ORIGIN tiene como finalidad de manera general, cualquiera de las siguientes:

1. Realizar todas las actividades necesarias para el desarrollo del objeto social de CIRKULAR ORIGIN.
2. Creación de la cuenta para el acceso a los servicios de la Cirkular App.
3. Completar la información del perfil para acceder a la Cirkular App o a la plataforma o back office de CIRKULAR ORIGIN, incluida la información necesaria para hacerle pagos al Titular.
4. Recepción de la información que el Titular entrega en la Cirkular App, como respuestas a encuestas, documentos e información sobre sus actividades, y de la información acerca de sus actividades que CIRKULAR ORIGIN reciba de sus aliados. Prestar adecuadamente los servicios contratados, así como mantener a los Titulares informados sobre los avances, estados y demás temas relacionados con la actividad contratada.
5. Vincular a los productores a los programas de remoción de carbono de CIRKULAR ORIGIN, como el programa de biochar a partir de la zoca de café, y ejecutar los contratos con ellos: registro de la producción y de la aplicación al suelo en la aplicación de monitoreo, propia o de un tercero, con fotografías fechadas y geolocalizadas, pagos y acompañamiento técnico.
6. Cumplir los requisitos de los estándares de certificación de carbono, de sus registros y de la verificación independiente, lo que incluye entregarles el nombre del productor y las coordenadas de su finca y de cada aplicación como prueba de que el biochar quedó en el suelo.
7. Atender las auditorías y las revisiones de debida diligencia de auditores, casas calificadoras, financiadores, inversionistas y compradores o posibles compradores de créditos de carbono, para demostrar que los proyectos cumplen y de dónde vienen los créditos, en los términos de la sección 5.
8. Realizar todas las actividades necesarias para ejecutar adecuadamente los contratos existentes con productores, proveedores, clientes y otros contactos comerciales.
9. Mantener una eficiente comunicación de la información que sea de utilidad para el desarrollo y cumplimiento de los contratos existentes con productores, trabajadores, proveedores, clientes y otros contactos comerciales.
10. Realizar las gestiones administrativas asociadas al desarrollo del objeto social de CIRKULAR ORIGIN.
11. Enviar información comercial sobre las actividades que realiza CIRKULAR ORIGIN y sobre el lanzamiento de nuevos productos o servicios, incluido su boletín, a quienes lo hayan autorizado.
12. Enviar comunicaciones por correo físico, electrónico, dispositivo móvil, mensaje de texto, o a través de cualquier otro medio análogo y/o digital de comunicación con información comercial, publicitaria o promocional sobre los servicios, eventos, promociones, campañas y/o concursos de carácter comercial o publicitario, adelantados por CIRKULAR ORIGIN, a quienes lo hayan autorizado. Cada envío trae la forma de darse de baja.
13. Responder las solicitudes que llegan por la página web y gestionar en el gestor de contactos de CIRKULAR ORIGIN las relaciones con clientes, posibles compradores, aliados, inversionistas y financiadores.
14. Contactar a los Titulares en caso de quejas, reclamos o sugerencias sobre las actividades de CIRKULAR ORIGIN, incluidos los reclamos de los productores.
15. Realizar campañas de satisfacción, hacer seguimiento de la prestación de sus servicios y evaluar la calidad de los servicios prestados por los trabajadores y del acompañamiento a los productores.
16. Usar la imagen, la voz, el nombre y los testimonios de los productores y de otras personas en las comunicaciones de CIRKULAR ORIGIN y compartirlos con aliados, compradores de créditos, miembros del programa de biochar de CIRKULAR ORIGIN y empresas de la cadena del café para sus informes y comunicaciones, solo en los usos que cada persona autorice uno por uno.
17. Dar cumplimiento a las obligaciones contraídas con los trabajadores de CIRKULAR ORIGIN en relación con el pago de salarios, prestaciones sociales y demás que se desprenden de la relación de trabajo.
18. Contactar y contratar a proveedores de productos o servicios que CIRKULAR ORIGIN requiera para el desarrollo de sus actividades y la dotación natural de sus instalaciones u oficinas; verificarlos en listas restrictivas nacionales e internacionales para prevenir el lavado de activos y la financiación del terrorismo; así como realizar solicitudes necesarias para reportar la información tributaria relacionada con aquellos.
19. Presentar información a autoridades de control y vigilancia y soportar procesos de auditoría interna o externa, incluidas las auditorías y verificaciones de los estándares de certificación.
20. Ofrecer contenido educativo en la Cirkular App y recopilar los servicios que utilizan los Titulares y la forma en que hacen uso de estos.
21. Recibir los datos de contacto de las personas que un Titular refiere en la Cirkular App y contactarlas para presentarles los programas de CIRKULAR ORIGIN, en los términos de la sección 4.
22. Análisis de la información personal por parte de CIRKULAR ORIGIN, sus accionistas, su matriz Cirkular Agro Fintech LLC y demás vinculadas, y terceros contratados para el desarrollo y promoción de la venta de los servicios y de los créditos de carbono de CIRKULAR ORIGIN y para la consecución de capital.
23. Analizar la información de los productores, como su producción, sus prácticas, sus respuestas a encuestas, el uso de la Cirkular App y sus pagos, para mejorar los programas y medir su impacto, y preparar tableros, reportes, informes de impacto y material comercial para CIRKULAR ORIGIN, sus aliados, inversionistas, financiadores y compradores de créditos, con datos agregados o sin el nombre ni la cédula de los Titulares.
24. Grabar y transcribir reuniones virtuales para dejar registro de lo acordado, previo aviso a los asistentes.
25. Facturación y demás efectos tributarios, en cuyo caso será compartida con la autoridad competente de cada país, encargadas de desarrollar dicha labor.
26. Realizar estudios estadísticos o procesos contables.

La ubicación de las fincas. En el registro público del estándar solo se publica la ubicación del grupo de productores, no el nombre del productor ni la ubicación exacta de su finca. La ubicación exacta se entrega a los estándares y al verificador, y en las auditorías y revisiones de debida diligencia de la sección 5, bajo reserva. Los productores no se verifican en listas restrictivas, y CIRKULAR ORIGIN no consulta ni reporta a ningún Titular en centrales de información financiera.

CIRKULAR ORIGIN está comprometida con la confidencialidad y privacidad de los Datos Personales que se encuentran almacenados en sus Bases de Datos, bajo restricciones de acceso y de disponibilidad, impidiendo su consulta por parte de terceros no autorizados.

Con base en lo anterior, CIRKULAR ORIGIN garantiza a los Titulares de los Datos Personales la conservación de estos bajo condiciones estándar de seguridad típicas en la industria, que impidan su adulteración, pérdida, robo, consulta pública, uso o acceso no autorizado o fraudulento, así como la implementación de prácticas internas que contribuyan a un ambiente seguro de la información. Si ocurre un incidente que comprometa Datos Personales, CIRKULAR ORIGIN lo informa a la Superintendencia de Industria y Comercio y avisa a los Titulares afectados. CIRKULAR ORIGIN aplica esta Política también a las herramientas tecnológicas y de inteligencia artificial que usa, y una persona revisa toda respuesta sobre el ejercicio de los derechos de los Titulares.

7.1. Tratamiento de los Datos Personales de niños, niñas y adolescentes

CIRKULAR ORIGIN solo trata Datos Personales de niños, niñas y adolescentes cuando el tratamiento responde a su interés superior y respeta sus derechos fundamentales, con la autorización de su representante legal y después de escuchar la opinión del menor según su madurez.

CIRKULAR ORIGIN puede usar fotografías y videos en que aparezca un niño, niña o adolescente con su familia, tomados en el marco de sus programas, en su página web, sus redes sociales, sus informes y su material de comunicación y comercial, solo si se cumplen todas estas condiciones:

1) su madre, padre o representante legal lo autoriza por escrito, uso por uso, en el formato de autorización de imagen de menores, después de escuchar la opinión del menor; si el menor no quiere aparecer, su imagen no se usa;

2) el menor aparece con su familia, nunca solo ni como protagonista de una pieza;

3) la pieza no lleva su nombre, su documento de identidad, su colegio, la vereda, la finca ni ningún otro dato que permita identificarlo o ubicarlo, y antes de publicar se borran los datos de ubicación del archivo;

4) el menor no aparece en la operación de un horno ni en ninguna actividad de producción o de trabajo, ni en situaciones que afecten su dignidad o su intimidad;

5) la autorización se puede revocar en cualquier momento; CIRKULAR ORIGIN deja de usar la imagen en piezas nuevas y la retira de sus medios digitales en un plazo máximo de quince (15) días hábiles; y

6) quien reciba la imagen de CIRKULAR ORIGIN se obliga a las mismas condiciones.

En este caso, CIRKULAR ORIGIN hará su mejor esfuerzo para verificar que quien actúe como representante legal del niño, niña o adolescente efectivamente tenga esta calidad. No obstante, CIRKULAR ORIGIN partirá de la buena fe de quien otorgue la autorización para el tratamiento de los datos personales del niño, niña o adolescente y señale que tiene la calidad de representante legal.

CIRKULAR ORIGIN se compromete a evitar el Tratamiento de Datos Sensibles. Sin embargo, cuando estos sean absolutamente necesarios, se hará cargo del Tratamiento de Datos Sensibles (según las finalidades listadas con anterioridad) y se compromete a:

1) Informar al Titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de todos los Datos Personales, que los datos que serán objeto de Tratamiento son sensibles y la finalidad específica del Tratamiento de estos Datos Personales Sensibles.

2) Informar al Titular que, por tratarse de Datos Personales Sensibles, no está obligado a autorizar su Tratamiento.

En particular: la huella dactilar solo se pide cuando un productor no puede firmar y otra persona firma a su ruego ante dos testigos, porque así lo exige el artículo 826 del Código de Comercio, y se usa solo como prueba de esa firma; las fotografías y videos en que se reconoce a una persona solo se usan con su autorización; y las respuestas de las encuestas sobre datos sensibles, como la salud o el origen étnico, son voluntarias.

Sin perjuicio de lo anterior, CIRKULAR ORIGIN agradece la prudencia y discreción de los Titulares en la revelación de los Datos Sensibles y solicita que en ninguna circunstancia sean revelados a CIRKULAR ORIGIN sin haber otorgado su consentimiento previo, libre e informado. En caso de tener dudas respecto de la necesidad de entregar Datos Sensibles, por favor comuníquese con nosotros previa entrega de estos.

En caso de que CIRKULAR ORIGIN no cuente con la capacidad técnica para el desarrollo de ciertas actividades que impliquen el Tratamiento de Datos Personales, podrá transmitir los Datos Personales o las Bases de Datos Personales que considere pertinentes a terceros Encargados del Tratamiento, como los proveedores de la Cirkular App, de la aplicación de monitoreo, del almacenamiento en la nube, del alojamiento de la página web, del sistema contable, de los pagos, del correo, del gestor de contactos y de las herramientas de inteligencia artificial. Varios de ellos están fuera de Colombia.

En estos casos, CIRKULAR ORIGIN garantizará que el Encargado cumple con los términos establecidos en esta Política de Privacidad y Tratamiento de Datos Personales y que cumple con los mismos estándares de protección, seguridad de la información y garantías para los Titulares.

CIRKULAR ORIGIN solo transfiere Datos Personales fuera de Colombia en uno de estos casos: (a) el país figura en la lista de países con nivel adecuado de protección de la Superintendencia de Industria y Comercio; (b) el Titular lo autorizó de forma expresa e inequívoca, como lo hace el productor en su contrato; o (c) se da otro caso del artículo 26 de la Ley 1581 de 2012. Si no se da ninguno de esos casos, CIRKULAR ORIGIN no transfiere los datos sin una declaración de conformidad de la Superintendencia. CIRKULAR ORIGIN no vende ni alquila bases de datos.

CIRKULAR ORIGIN conservará un registro de la información relacionada con productores, trabajadores, proveedores y/o clientes durante y después de terminar la relación contractual. Estos registros pueden incluir Datos Personales, los cuales, después de la terminación contractual, serán conservados hasta que la información allí contenida no sea requerida para dar cumplimiento a requerimientos legales, administrativos, de auditoría o regulatorios, así:

• Los registros de los proyectos de carbono (producción, aplicación, coordenadas y fotografías de monitoreo): cinco (5) años después del último periodo de monitoreo del proyecto, o más si una ley o el estándar lo exigen.
• Los contratos firmados y los soportes contables y tributarios, incluidos los pagos: diez (10) años.
• La imagen, la voz y los testimonios de los productores: mientras esté vigente su contrato y cinco (5) años después, salvo que el Titular retire antes su autorización.
• La imagen de niños, niñas y adolescentes: mientras esté vigente la autorización de su representante, por un máximo de cinco (5) años, y no después de que cumpla dieciocho (18) años, salvo que él mismo la autorice.
• Los datos de la cuenta en la Cirkular App: mientras esté activa y hasta dos (2) años después de cerrarla, salvo los que deban conservarse por los plazos anteriores.
• Los datos de quienes escriben por la página web o se suscriben al boletín: hasta que pidan su supresión o se den de baja, y en todo caso no más de dos (2) años sin interacción.

Asimismo, CIRKULAR ORIGIN después de terminada su relación contractual, conservará información de contacto de Titulares para el envío de noticias, actualización de información, e invitaciones a eventos realizados o patrocinados por CIRKULAR ORIGIN. Lo anterior, salvo solicitud de revocatoria para el Tratamiento de Datos Personales, caso en el cual, la información será eliminada para los fines mencionados.

Por último, CIRKULAR ORIGIN almacenará y Tratará los Datos Personales que sean necesarios para cumplir con sus obligaciones legales. Cumplidos los plazos, suprime los datos o los anonimiza.

Los Titulares son libres para prohibir o no autorizar el Tratamiento de sus Datos Personales por parte de CIRKULAR ORIGIN, salvo en ocasiones que por requerimientos legal o contractual sea necesaria la conservación de estos datos. No obstante, en caso de que algunos productores, clientes, proveedores, trabajadores actuales o desvinculados no autoricen el uso de sus Datos Personales o soliciten la revocatoria de la autorización para el Tratamiento de sus Datos Personales, es posible que CIRKULAR ORIGIN no pueda continuar con la relación comercial o no pueda continuar prestando servicios por no contar con la información necesaria para estos fines.

La revocatoria puede ser total o solo para una finalidad, como el uso de la imagen o el envío del boletín, y revocar una autorización que no es necesaria para el contrato no afecta ese contrato ni los pagos.

Los Titulares de Datos Personales almacenados en las Bases de Datos de CIRKULAR ORIGIN tienen los siguientes derechos:

Conocer, actualizar y rectificar sus Datos Personales: los Titulares de Datos Personales podrán ejercer este derecho frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error. En cumplimiento de los principios que deben regir el Tratamiento de Datos Personales, CIRKULAR ORIGIN se compromete a realizar su mejor esfuerzo por que la información contenida en sus Bases de Datos sea exacta, completa y actualizada. Con este fin, CIRKULAR ORIGIN podrá solicitar a sus productores, clientes, proveedores y trabajadores que los actualicen de manera permanente.

Derecho a solicitar prueba de la autorización: los Titulares de los Datos Personales podrán solicitar prueba de la autorización otorgada para el Tratamiento de sus datos, salvo en los casos señalados en esta Política.

Derecho a ser informado frente al uso que se le ha dado a sus Datos Personales: los Titulares de Datos Personales tienen derecho a conocer en cualquier momento el uso que se les ha dado a sus Datos Personales, previa solicitud dirigida a CIRKULAR ORIGIN o a su Encargado.

Derecho a revocar la autorización y/o a solicitar la supresión del dato personal: los Titulares de Datos Personales podrán en todo momento revocar la autorización otorgada a CIRKULAR ORIGIN para el Tratamiento de sus Datos Personales y/o solicitar su supresión, salvo cuando tengan un deber legal o contractual de permanecer en la Base de Datos.

Derecho a acceder a sus Datos Personales: los Titulares de Datos Personales objeto de Tratamiento podrán acceder de forma gratuita a los mismos, al menos una vez cada mes calendario y cada vez que esta Política cambie de forma sustancial.

Derecho a presentar quejas: los Titulares de Datos Personales podrán presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la normatividad vigente, una vez hayan agotado el trámite de consulta o reclamo ante CIRKULAR ORIGIN.

Derecho a abstenerse de responder preguntas sobre datos sensibles: los Titulares de Datos Personales objeto de Tratamiento podrán abstenerse de responder preguntas sobre datos sensibles. Tendrán carácter facultativo las respuestas que versen sobre datos sensibles o sobre datos de las niñas, niños y adolescentes.

La consulta o petición deberá dirigirse al correo electrónico: info@cirkularorigin.com, o por escrito a la dirección de la sección 16. La atiende la Gerencia General de CIRKULAR ORIGIN. Un productor que no pueda escribir puede pedir a su extensionista o a la persona que elija que la escriba por él.

En el correo electrónico, el Titular deberá identificarse plenamente y describir de manera clara su petición o consulta. En caso de que no se esté actuando como Titular, por favor indicar la calidad en la que se actúa y adjuntar el documento que lo faculta para realizar la petición o consulta, bien sea poder, registro civil, entre otros.

CIRKULAR ORIGIN atenderá su petición o consulta en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la consulta.

Cuando no fuere posible atender la consulta dentro del término mencionado, CIRKULAR ORIGIN informará al interesado expresando los motivos de la demora y señalando el nuevo término para atender su petición o consulta, el cual no superará cinco (5) días hábiles, contados a partir del vencimiento del término en el anterior punto.

La solicitud de corrección, actualización o supresión de Datos Personales deberá dirigirse al correo electrónico: info@cirkularorigin.com, o por escrito a la dirección de la sección 16.

En el correo electrónico, el Titular deberá identificarse plenamente. En caso de que no se esté actuando como Titular, por favor indicar la calidad en la que se actúa y adjuntar el documento que lo faculta para realizar la petición o consulta, bien sea poder, registro civil, entre otros.

En caso de que el reclamo tenga relación con un posible incumplimiento de cualquiera de los deberes de CIRKULAR ORIGIN, se deberá indicar de manera detallada la razón del incumplimiento.

En caso de que el reclamo resulte incompleto, CIRKULAR ORIGIN requerirá al interesado dentro de los cinco (5) días hábiles siguientes al recibo de este para que lo subsane respecto de sus imprecisiones. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, CIRKULAR ORIGIN entenderá que se ha desistido del reclamo.

En caso de que CIRKULAR ORIGIN reciba un reclamo del que no sea competente para resolver, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

Una vez recibido el reclamo completo, CIRKULAR ORIGIN incluirá en la Base de Datos correspondiente una leyenda que diga "reclamo en trámite" y el motivo de este, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.

CIRKULAR ORIGIN atenderá el reclamo en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

Cuando no fuere posible atender el reclamo dentro de dicho término, CIRKULAR ORIGIN informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Para todos los efectos, CIRKULAR ORIGIN solo podrá entregar información contenida en sus Bases de Datos a:

1. Los Titulares, sus causahabientes o sus representantes legales.
2. Las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial.
3. Los terceros autorizados por el Titular o por la ley.

CIRKULAR ORIGIN se reserva el derecho de solicitar documentación adicional a fin de verificar la calidad de la persona que solicita la información.

Razón social: CIRKULAR AGRO FINTECH S.A.S. (CIRKULAR ORIGIN)

NIT: 901.514.369-7

Domicilio: Bogotá, Bogotá D.C., Colombia

Dirección: Calle 98 No. 7A-72

Teléfono: 311 482 7167

Correo electrónico: info@cirkularorigin.com

Página Web: https://cirkularorigin.com

CIRKULAR ORIGIN se reserva el derecho de modificar en cualquier momento la presente Política, mediante la publicación de la modificación correspondiente en su página web. Si el cambio es sustancial, como un nuevo responsable, una finalidad nueva o un nuevo tipo de destinatario, CIRKULAR ORIGIN lo comunicará a los Titulares antes de aplicarlo y, si el cambio es de finalidad, pedirá una nueva autorización.

Esta Política rige desde el 1 de enero de 2026 y sustituye cualquier versión anterior. Las Bases de Datos de CIRKULAR ORIGIN estarán vigentes mientras se mantengan las finalidades de la sección 6 y los plazos de la sección 10. La Política se publica en español y en inglés; si las versiones difieren, manda la española.

This Policy is publicly accessible, which is why anyone who wishes to know the standards and procedures established by CIRKULAR ORIGIN in relation to the Processing of Personal Data and the protection of the information contained in its Databases may access it and consult it at any time at cirkularorigin.com.

In order to guarantee the rights of the Data Subjects of the information, this Policy must be complied with by all workers linked to CIRKULAR ORIGIN. Likewise, it will apply to all employees, directors, agents, representatives, advisers, contractors, suppliers, and persons acting in the name and on behalf of this company who carry out any type of processing of personal data.

Authorisation: The prior, express, and informed consent of the Data Subject to carry out the Processing of Personal Data, in accordance with the purposes and on the terms of this Privacy and Personal Data Protection Policy.

Privacy notice: The verbal or written communication that informs the Data Subject that this Policy exists, how to access it, and the purposes of the Processing of their data.

Database: The organised set of Personal Data, in digital, electronic, or physical media, that is subject to Processing.

Personal Data: Information that identifies a person, or linked information that can be associated with one or more specific or identifiable natural persons. It includes, among others, the image, the voice, and the location of a person or of their property when they make it possible to identify that person.

Private Personal Data: Information that concerns only the Data Subject and is confidential in nature.

Sensitive Personal Data: Personal data that affect the privacy of the Data Subject and whose improper use may lead to their discrimination, such as data that reveal racial or ethnic origin, political orientation, religious or philosophical convictions, membership of trade unions, social organisations, or human rights organisations, or that promote the interests of any political party or that guarantee the rights and guarantees of opposition political parties, as well as data relating to health and sex life, and biometric data, such as the fingerprint or the face when they make it possible to identify the person.

Public Data: Data that are not private, semi-private, or sensitive. Public data include, among others, data relating to the marital status of persons, to their profession or trade, and to their status as a merchant or public servant. By their nature, public data may be contained, among others, in public registers, public documents, gazettes, official bulletins, and final court judgments that are not subject to confidentiality.

Data Processor: The natural or legal person who, by itself or jointly with others, carries out the Processing of Personal Data on behalf of CIRKULAR ORIGIN.

CIRKULAR ORIGIN Personnel: All persons linked to CIRKULAR ORIGIN who are in charge of processing personal data, and who must comply with this Personal Data Protection Policy.

Data Controller: CIRKULAR ORIGIN when, by itself or jointly with others, it decides on the purposes and the processing of the Personal Data contained in its Databases.

Data Subject: The natural person whose Personal Data are subject to Processing.

Transfer: The sending of Personal Data by a Data Controller and/or Data Processor of Personal Data located in Colombia to a Data Controller located within or outside the country.

Transmission: The Processing of Personal Data that involves communicating them, within or outside the territory of Colombia, carried out by the Data Processor on behalf of the Data Controller.

Processing: Any operation or set of operations on Personal Data, such as collection, storage, use, circulation, or deletion.

For the Processing of Personal Data, CIRKULAR ORIGIN will take into account the following principles:

Principle of Legality in Data Processing: the Processing of Personal Data will be subject to the provisions of the laws applicable in this field in Colombia and of the other provisions that implement those laws.

Principle of Purpose: the Processing will serve a legitimate purpose in accordance with the Constitution and the law of Colombia, which will be disclosed to the Data Subject of the Personal Data.

Principle of Freedom: the Processing may only be carried out with the prior, express, and informed consent of the Data Subject. Personal Data will not be obtained or disclosed without prior authorisation, or in the absence of a legal or judicial mandate that dispenses with consent.

Principle of Truthfulness or Quality: the information subject to Processing will be truthful, complete, accurate, up to date, verifiable, and understandable.

Principle of Transparency: the right of the Data Subject to obtain information about their Personal Data at any time and without restrictions, from CIRKULAR ORIGIN or from the Data Processor, will be guaranteed.

Principle of Restricted Access and Circulation: the Processing will be subject to the limits that derive from the nature of the Personal Data, from the provisions of the laws applicable in this field and, in particular, from this Policy. That is, Personal Data, except public information, will not be available on the internet or other means of mass disclosure or communication, unless access is technically controllable so as to provide knowledge restricted only to the Data Subjects or authorised third parties.

Principle of Security: the Personal Data subject to Processing by CIRKULAR ORIGIN or by its Data Processor(s) will be protected by the technical, human, and administrative measures necessary to provide security to the Personal Data, preventing their alteration, loss, consultation, use, or unauthorised or fraudulent access.

Principle of Confidentiality: all CIRKULAR ORIGIN Personnel who take part in the Processing of Personal Data will be obliged to guarantee their confidentiality, even after their relationship with any of the tasks that the Processing comprises has ended, and may only supply or communicate Personal Data when this corresponds to the performance of the activities authorised by law.

Collection of the Personal Data and the Processing to which they will be subject. CIRKULAR ORIGIN guarantees that it only processes the Personal Data of persons who have previously and expressly authorised that Processing. CIRKULAR ORIGIN will keep a copy of the authorisation so that the Data Subject of the Personal Data, whenever they wish and provided that it is appropriate, may revoke their authorisation and request the deletion of their information.

In the request for authorisation, CIRKULAR ORIGIN will provide all the information related to the Processing to which each Data Subject's Personal Data will be subject, including, where applicable, information related to the transmission or transfer of the Personal Data to third parties.

When the Personal Data are obtained as a result of entering into a contract, the particular terms and conditions of their Processing will be documented in the contracts signed with the Data Subjects. Therefore, when a producer, supplier, worker, or client signs the corresponding contract, they will be understood to be giving their express and informed consent for CIRKULAR ORIGIN to process their information in relation to the performance of that contract. Uses that are not necessary to perform the contract, such as the use of a person's image, voice, and testimonials, are authorised separately, one by one, and silence is not understood as authorisation.

Likewise, when the Data Subjects of the Personal Data provide their information to CIRKULAR ORIGIN voluntarily and unilaterally, such as when writing through the website, they will be understood to have given their express authorisation for the Processing of those data for the purposes disclosed at that time. The data that producers provide in the Cirkular App are processed under the authorisation they give in their contract and in the authorisation for the processing of personal data.

Whoever refers another person in the Cirkular App declares that that person allowed them to share their contact details. CIRKULAR ORIGIN asks the referred person for their authorisation at the first contact and, if they do not give it, deletes their data.

CIRKULAR ORIGIN will not be obliged to request the authorisation of the Data Subject of the Personal Data in the following cases: i) for information required by a public or administrative entity in the exercise of its legal functions or by court order; ii) when the data are public in nature; iii) in cases of medical or health emergency; iv) when the Processing is authorised by law for historical, statistical, or scientific purposes; and, v) when the data relate to the Registro Civil de las Personas (the Colombian civil registry).

The information stored in CIRKULAR ORIGIN's Databases may be shared internally with the workers in charge of the Processing of Personal Data in accordance with the purposes mentioned in this Policy and/or in the request for authorisation for the Processing granted by the Data Subject.

CIRKULAR ORIGIN will not share or deliver Personal Data stored in its Databases to third parties not related to this company. However, and when the purpose so requires, the Personal Data may be legitimately transmitted or transferred to commercial partners or service providers of CIRKULAR ORIGIN, in order to fulfil specific contractual or commercial objectives. If CIRKULAR ORIGIN considers that it is necessary to make a transfer of Personal Data, it will only be made in strict compliance with the legal requirements.

Because of the nature of its carbon projects, CIRKULAR ORIGIN shares producers' data with the following recipients, only for the purposes in section 6: the project's certification standards and their registries (France and Switzerland); the independent verification body; the laboratories that analyse the samples; the auditors; the rating agencies that assess the quality of the credits (United Kingdom and other countries); the entities that fund or invest in the project; the buyers and prospective buyers of carbon credits; its parent company, Cirkular Agro Fintech LLC (United States); and the group company that receives by assignment a contract with the Data Subject.

What each one receives depends on the use:

• Standards, registries, and verifier: the producer's name and the coordinates of their farm and of each application, because they require them to issue the credits.
• Audits and due diligence reviews by auditors, rating agencies, funders, investors, and buyers or prospective buyers: data bearing the producer's name, such as their contract, their payment records, the monitoring photographs, and the location of their farm. Only what the review needs is provided, the cédula (national identity card) number only when the review requires it, and whoever receives them undertakes in writing to keep them confidential and not to use them for any other purpose.
• Dashboards, reports, impact reports, and commercial material: aggregated data or data without the names or cédulas of the Data Subjects. Photographs in which a person can be recognised, only with their authorisation.

In any of these events, CIRKULAR ORIGIN undertakes to take all relevant measures to guarantee that the Processing of the information by its Data Processors and/or by its commercial partners or service providers is carried out in strict compliance with this Policy.

Without prejudice to what is stated in the corresponding request for authorisation or contract, the Processing of Personal Data carried out by CIRKULAR ORIGIN has, in general, any of the following purposes:

1. To carry out all the activities necessary for the pursuit of CIRKULAR ORIGIN's corporate purpose.
2. Creation of the account for access to the services of the Cirkular App.
3. To complete the profile information for access to the Cirkular App or to CIRKULAR ORIGIN's platform or back office, including the information needed to make payments to the Data Subject.
4. Receipt of the information that the Data Subject provides in the Cirkular App, such as answers to surveys, documents, and information about their activities, and the information about their activities that CIRKULAR ORIGIN receives from its partners. To properly provide the contracted services, and to keep the Data Subjects informed about the progress, status, and other matters related to the contracted activity.
5. To enrol producers in CIRKULAR ORIGIN's carbon removal programmes, such as the biochar programme made from coffee zoca (the woody stems cut back when coffee plantations are renewed), and to perform the contracts with them: recording production and application to the soil in the monitoring application, its own or a third party's, with dated and geolocated photographs, payments, and technical support.
6. To meet the requirements of the carbon certification standards, of their registries, and of the independent verification, which includes providing them with the producer's name and the coordinates of their farm and of each application as proof that the biochar remained in the soil.
7. To respond to the audits and due diligence reviews of auditors, rating agencies, funders, investors, and buyers or prospective buyers of carbon credits, to demonstrate that the projects comply and where the credits come from, on the terms of section 5.
8. To carry out all the activities necessary to properly perform the existing contracts with producers, suppliers, clients, and other commercial contacts.
9. To maintain efficient communication of the information that is useful for the performance and fulfilment of the existing contracts with producers, workers, suppliers, clients, and other commercial contacts.
10. To carry out the administrative tasks associated with the pursuit of CIRKULAR ORIGIN's corporate purpose.
11. To send commercial information about the activities that CIRKULAR ORIGIN carries out and about the launch of new products or services, including its newsletter, to those who have authorised it.
12. To send communications by post, email, mobile device, text message, or any other analogue and/or digital means of communication with commercial, advertising, or promotional information about the services, events, promotions, campaigns, and/or contests of a commercial or advertising nature carried out by CIRKULAR ORIGIN, to those who have authorised it. Each mailing includes the way to unsubscribe.
13. To respond to requests that arrive through the website and to manage, in CIRKULAR ORIGIN's contact manager, the relationships with clients, prospective buyers, partners, investors, and funders.
14. To contact the Data Subjects in the event of complaints, claims, or suggestions about the activities of CIRKULAR ORIGIN, including complaints from producers.
15. To carry out satisfaction campaigns, monitor the provision of its services, and assess the quality of the services provided by the workers and of the support given to the producers.
16. To use the image, voice, name, and testimonials of producers and of other persons in CIRKULAR ORIGIN's communications and to share them with partners, buyers of credits, members of the CIRKULAR ORIGIN biochar programme, and companies in the coffee supply chain for their reports and communications, only in the uses that each person authorises one by one.
17. To fulfil the obligations undertaken with CIRKULAR ORIGIN's workers in relation to the payment of salaries, social benefits, and other obligations arising from the employment relationship.
18. To contact and engage suppliers of products or services that CIRKULAR ORIGIN requires for the performance of its activities and the ordinary furnishing of its premises or offices; to check them against national and international restrictive lists to prevent money laundering and terrorist financing; and to make the requests necessary to report the tax information related to them.
19. To submit information to control and supervisory authorities and to support internal or external audit processes, including the audits and verifications of the certification standards.
20. To offer educational content in the Cirkular App and to collect the services that the Data Subjects use and the way in which they use them.
21. To receive the contact details of the persons that a Data Subject refers in the Cirkular App and to contact them to present CIRKULAR ORIGIN's programmes to them, on the terms of section 4.
22. Analysis of personal information by CIRKULAR ORIGIN, its shareholders, its parent company Cirkular Agro Fintech LLC and other related companies, and third parties engaged for the development and promotion of the sale of CIRKULAR ORIGIN's services and carbon credits and for raising capital.
23. To analyse the producers' information, such as their production, their practices, their answers to surveys, their use of the Cirkular App, and their payments, to improve the programmes and measure their impact, and to prepare dashboards, reports, impact reports, and commercial material for CIRKULAR ORIGIN, its partners, investors, funders, and buyers of credits, with aggregated data or without the names or cédulas of the Data Subjects.
24. To record and transcribe virtual meetings to keep a record of what was agreed, with prior notice to the attendees.
25. Invoicing and other tax purposes, in which case the information will be shared with the competent authority of each country responsible for carrying out that task.
26. To carry out statistical studies or accounting processes.

The location of the farms. In the public registry of the standard, only the location of the group of producers is published, not the producer's name or the exact location of their farm. The exact location is provided to the standards and the verifier, and in the audits and due diligence reviews of section 5, under confidentiality. Producers are not checked against restrictive lists, and CIRKULAR ORIGIN does not consult or report any Data Subject to credit bureaus (centrales de información financiera).

CIRKULAR ORIGIN is committed to the confidentiality and privacy of the Personal Data stored in its Databases, under access and availability restrictions, preventing their consultation by unauthorised third parties.

On that basis, CIRKULAR ORIGIN guarantees to the Data Subjects of the Personal Data that they will be kept under standard security conditions typical of the industry, which prevent their alteration, loss, theft, public consultation, use, or unauthorised or fraudulent access, as well as the implementation of internal practices that contribute to a secure information environment. If an incident occurs that compromises Personal Data, CIRKULAR ORIGIN reports it to the Superintendencia de Industria y Comercio (SIC, the Colombian data protection authority) and notifies the affected Data Subjects. CIRKULAR ORIGIN also applies this Policy to the technology and artificial intelligence tools it uses, and a person reviews every response on the exercise of the Data Subjects' rights.

7.1. Processing of the Personal Data of children and adolescents

CIRKULAR ORIGIN only processes Personal Data of children and adolescents when the processing serves their best interests and respects their fundamental rights, with the authorisation of their legal representative and after hearing the minor's opinion according to their maturity.

CIRKULAR ORIGIN may use photographs and videos in which a child or adolescent appears with their family, taken within its programmes, on its website, its social media, its reports and its communication and commercial material, only if all of these conditions are met:

1) their mother, father or legal representative authorises it in writing, use by use, on the minor's image authorisation form, after hearing the minor's opinion; if the minor does not want to appear, their image is not used;

2) the minor appears with their family, never alone or as the main subject of a piece;

3) the piece does not carry their name, their identity document, their school, the rural district, the farm or any other data that would allow them to be identified or located, and location data is removed from the file before publication;

4) the minor does not appear operating a kiln or in any production or work activity, nor in situations that affect their dignity or privacy;

5) the authorisation may be revoked at any time; CIRKULAR ORIGIN stops using the image in new pieces and removes it from its digital media within a maximum of fifteen (15) business days; and

6) whoever receives the image from CIRKULAR ORIGIN undertakes to meet the same conditions.

In this case, CIRKULAR ORIGIN will make its best efforts to verify that whoever acts as the legal representative of the child or adolescent actually holds that status. However, CIRKULAR ORIGIN will rely on the good faith of whoever grants the authorisation for the processing of the personal data of the child or adolescent and states that they hold the status of legal representative.

CIRKULAR ORIGIN undertakes to avoid the Processing of Sensitive Data. However, when they are absolutely necessary, it will take charge of the Processing of Sensitive Data (according to the purposes listed above) and undertakes to:

1) Inform the Data Subject explicitly and in advance, in addition to the general requirements of the authorisation for the collection of all Personal Data, that the data to be Processed are sensitive and of the specific purpose of the Processing of those Sensitive Personal Data.

2) Inform the Data Subject that, because they are Sensitive Personal Data, they are not obliged to authorise their Processing.

In particular: the fingerprint is only requested when a producer cannot sign and another person signs at their request before two witnesses, because article 826 of the Código de Comercio (the Colombian Commercial Code) requires it, and it is used only as proof of that signature; photographs and videos in which a person can be recognised are only used with their authorisation; and answers to survey questions about sensitive data, such as health or ethnic origin, are voluntary.

Without prejudice to the above, CIRKULAR ORIGIN appreciates the prudence and discretion of the Data Subjects in disclosing Sensitive Data and requests that under no circumstances they be disclosed to CIRKULAR ORIGIN without having granted their prior, free, and informed consent. If you have doubts about the need to provide Sensitive Data, please contact us before providing them.

If CIRKULAR ORIGIN does not have the technical capacity to carry out certain activities that involve the Processing of Personal Data, it may transmit the Personal Data or the Personal Databases it considers relevant to third-party Data Processors, such as the providers of the Cirkular App, the monitoring application, cloud storage, website hosting, the accounting system, payments, email, the contact manager, and artificial intelligence tools. Several of them are outside Colombia.

In these cases, CIRKULAR ORIGIN will guarantee that the Data Processor complies with the terms established in this Privacy and Personal Data Processing Policy and that it meets the same standards of protection, information security, and guarantees for the Data Subjects.

CIRKULAR ORIGIN only transfers Personal Data outside Colombia in one of these cases: (a) the country appears on the Superintendencia de Industria y Comercio's list of countries with an adequate level of protection; (b) the Data Subject authorised it expressly and unequivocally, as the producer does in their contract; or (c) another case of article 26 of Ley 1581 de 2012 applies. If none of those cases applies, CIRKULAR ORIGIN does not transfer the data without a declaración de conformidad (declaration of conformity) from the Superintendencia. CIRKULAR ORIGIN does not sell or rent databases.

CIRKULAR ORIGIN will keep a record of the information related to producers, workers, suppliers, and/or clients during and after the end of the contractual relationship. These records may include Personal Data, which, after the contract ends, will be kept until the information they contain is no longer needed to comply with legal, administrative, audit, or regulatory requirements, as follows:

• The records of the carbon projects (production, application, coordinates, and monitoring photographs): five (5) years after the project's last monitoring period, or longer if a law or the standard requires it.
• The signed contracts and the accounting and tax supporting documents, including payments: ten (10) years.
• The image, voice, and testimonials of the producers: while their contract is in force and five (5) years afterwards, unless the Data Subject withdraws their authorisation earlier.
• The image of children and adolescents: while their representative's authorisation is in force, for a maximum of five (5) years, and not after they turn eighteen (18), unless they authorise it themselves.
• The data of the account in the Cirkular App: while it is active and up to two (2) years after it is closed, except those that must be kept for the periods above.
• The data of those who write through the website or subscribe to the newsletter: until they request their deletion or unsubscribe, and in any case no more than two (2) years without interaction.

Likewise, after its contractual relationship has ended, CIRKULAR ORIGIN will keep contact information of Data Subjects for sending news, updating information, and invitations to events held or sponsored by CIRKULAR ORIGIN. The above applies unless a request is made to revoke the authorisation for the Processing of Personal Data, in which case the information will be deleted for the purposes mentioned.

Finally, CIRKULAR ORIGIN will store and Process the Personal Data that are necessary to comply with its legal obligations. Once the periods have ended, it deletes or anonymises the data.

Data Subjects are free to prohibit or not authorise the Processing of their Personal Data by CIRKULAR ORIGIN, except on occasions when, due to legal or contractual requirements, it is necessary to keep these data. However, if some producers, clients, suppliers, or current or former workers do not authorise the use of their Personal Data or request the revocation of the authorisation for the Processing of their Personal Data, CIRKULAR ORIGIN may not be able to continue the commercial relationship or continue providing services because it does not have the information necessary for these purposes.

Revocation may be total or for a single purpose only, such as the use of the image or the sending of the newsletter, and revoking an authorisation that is not necessary for the contract does not affect that contract or the payments.

The Data Subjects of Personal Data stored in CIRKULAR ORIGIN's Databases have the following rights:

To know, update, and rectify their Personal Data: Data Subjects may exercise this right in relation to data that are partial, inaccurate, incomplete, fragmented, or misleading. In compliance with the principles that must govern the Processing of Personal Data, CIRKULAR ORIGIN undertakes to make its best efforts to ensure that the information contained in its Databases is accurate, complete, and up to date. To this end, CIRKULAR ORIGIN may ask its producers, clients, suppliers, and workers to keep them permanently up to date.

Right to request proof of the authorisation: Data Subjects may request proof of the authorisation granted for the Processing of their data, except in the cases indicated in this Policy.

Right to be informed of the use that has been made of their Personal Data: Data Subjects have the right to know at any time the use that has been made of their Personal Data, upon a request addressed to CIRKULAR ORIGIN or to its Data Processor.

Right to revoke the authorisation and/or to request the deletion of the personal data: Data Subjects may at any time revoke the authorisation granted to CIRKULAR ORIGIN for the Processing of their Personal Data and/or request their deletion, except when they have a legal or contractual duty to remain in the Database.

Right to access their Personal Data: Data Subjects whose Personal Data are subject to Processing may access them free of charge at least once every calendar month and each time this Policy changes substantially.

Right to file complaints: Data Subjects may file complaints with the Superintendencia de Industria y Comercio for breaches of the provisions of the regulations in force, once they have exhausted the enquiry or complaint procedure with CIRKULAR ORIGIN.

Right to refrain from answering questions about sensitive data: Data Subjects whose Personal Data are subject to Processing may refrain from answering questions about sensitive data. Answers concerning sensitive data or data of children and adolescents will be optional.

The enquiry or request must be addressed to the email address info@cirkularorigin.com, or in writing to the address in section 16. It is handled by CIRKULAR ORIGIN's General Management. A producer who cannot write may ask their extension worker or a person of their choice to write it for them.

In the email, the Data Subject must fully identify themselves and clearly describe their request or enquiry. If the person is not acting as the Data Subject, please state the capacity in which they are acting and attach the document that empowers them to make the request or enquiry, such as a power of attorney or a registro civil (civil registry record), among others.

CIRKULAR ORIGIN will handle the request or enquiry within a maximum period of ten (10) business days from the date of receipt of the enquiry.

When it is not possible to handle the enquiry within that period, CIRKULAR ORIGIN will inform the interested party, stating the reasons for the delay and indicating the new period for handling their request or enquiry, which will not exceed five (5) business days from the expiry of the period in the previous paragraph.

The request for correction, updating, or deletion of Personal Data must be addressed to the email address info@cirkularorigin.com, or in writing to the address in section 16.

In the email, the Data Subject must fully identify themselves. If the person is not acting as the Data Subject, please state the capacity in which they are acting and attach the document that empowers them to make the request or enquiry, such as a power of attorney or a civil registry record, among others.

If the complaint relates to a possible breach of any of CIRKULAR ORIGIN's duties, the reason for the breach must be stated in detail.

If the complaint is incomplete, CIRKULAR ORIGIN will ask the interested party, within the five (5) business days following its receipt, to correct its inaccuracies. If two (2) months pass from the date of that request without the applicant submitting the required information, CIRKULAR ORIGIN will understand that the complaint has been withdrawn.

If CIRKULAR ORIGIN receives a complaint that it is not competent to resolve, it will forward it to whoever is competent within a maximum period of two (2) business days and will inform the interested party of the situation.

Once the complete complaint has been received, CIRKULAR ORIGIN will include in the corresponding Database a legend reading "reclamo en trámite" (complaint in progress) and its reason, within a period not exceeding two (2) business days. That legend will remain until the complaint is decided.

CIRKULAR ORIGIN will handle the complaint within a maximum period of fifteen (15) business days counted from the day following the date of its receipt.

When it is not possible to handle the complaint within that period, CIRKULAR ORIGIN will inform the interested party of the reasons for the delay and the date on which their complaint will be handled, which may in no case exceed eight (8) business days following the expiry of the first period.

For all purposes, CIRKULAR ORIGIN may only provide information contained in its Databases to:

1. The Data Subjects, their successors in title, or their legal representatives.
2. Public or administrative entities in the exercise of their legal functions or by court order.
3. Third parties authorised by the Data Subject or by law.

CIRKULAR ORIGIN reserves the right to request additional documentation in order to verify the standing of the person requesting the information.

Company name: CIRKULAR AGRO FINTECH S.A.S. (CIRKULAR ORIGIN)

NIT (Colombian tax identification number): 901.514.369-7

Domicile: Bogotá, Bogotá D.C., Colombia

Address: Calle 98 No. 7A-72

Telephone: 311 482 7167

Email: info@cirkularorigin.com

Website: https://cirkularorigin.com

CIRKULAR ORIGIN reserves the right to amend this Policy at any time by publishing the corresponding amendment on its website. If the change is substantial, such as a new controller, a new purpose, or a new type of recipient, CIRKULAR ORIGIN will communicate it to the Data Subjects before applying it and, if the change concerns a purpose, it will request a new authorisation.

This Policy is in force from January 1, 2026 and replaces any previous version. CIRKULAR ORIGIN's Databases will remain in force for as long as the purposes in section 6 and the periods in section 10 continue to apply. The Policy is published in Spanish and English; if the versions differ, the Spanish version prevails.