Borrador — pendiente de revisión legal. Reemplazar los campos entre [corchetes] antes de publicar.

Política de Tratamiento de Datos Personales

Última actualización: [FECHA DE PUBLICACIÓN] · Versión [1.0]

SOCIEDAD ADMINISTRADORA DE XENOMONEDA Y BALANCES ADQUIRIDOS NACIONALES, identificada con NIT 901.952.128-7, con domicilio en Bogotá D.C., Colombia, en adelante “SaxBan”, en su calidad de Responsable del Tratamiento y en cumplimiento del artículo 15 de la Constitución Política, la Ley 1581 de 2012, el Decreto Único Reglamentario 1074 de 2015, la Ley 1266 de 2008 y demás normas concordantes, adopta la presente Política de Tratamiento de Datos Personales (la “Política”).

1. Responsable del tratamiento y área de atención

• Responsable: SOCIEDAD ADMINISTRADORA DE XENOMONEDA Y BALANCES ADQUIRIDOS NACIONALES – NIT 901.952.128-7
• Domicilio: Bogotá D.C., Colombia
• Correo de protección de datos: atencion@saxban.com
• Teléfono / canal de atención: [TELÉFONO / WHATSAPP]
• Área responsable de peticiones, consultas y reclamos: Área de Protección de Datos de SaxBan, a través del correo indicado.

2. Definiciones

Para efectos de esta Política, se adoptan las definiciones de la Ley 1581 de 2012 y del Decreto 1074 de 2015, entre otras:

• Titular: persona natural cuyos datos personales son objeto de Tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (p. ej. datos biométricos).
• Autorización: consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento.
• Responsable: quien decide sobre la base de datos y el Tratamiento (SaxBan).
• Encargado: quien realiza el Tratamiento por cuenta del Responsable.
• Transferencia: envío de datos a un receptor que es a su vez Responsable, dentro o fuera del país.
• Transmisión: comunicación de datos a un Encargado, dentro o fuera del país, para que realice el Tratamiento por cuenta del Responsable.
• Aviso de privacidad: comunicación que se pone a disposición del Titular para informarle sobre el Tratamiento y la existencia de esta Política.

3. Principios

El Tratamiento de datos por parte de SaxBan se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, en los términos del artículo 4 de la Ley 1581 de 2012.

4. Marco legal

Esta Política se rige por: la Constitución Política (art. 15 – Habeas Data); la Ley 1581 de 2012 y el Decreto 1074 de 2015 (protección de datos personales); la Ley 1266 de 2008 (Habeas Data financiero – centrales de información); y las instrucciones de la Superintendencia de Industria y Comercio (SIC) y de la Superintendencia Financiera de Colombia (SFC) que resulten aplicables.

5. Datos que recolectamos

• Identificación: nombres, apellidos, tipo y número de documento, fecha y lugar de expedición, fecha de nacimiento, sexo, nacionalidad.
• Contacto: correo electrónico, número de celular, dirección.
• Datos biométricos y del documento (sensibles): fotografía del documento de identidad (frente y reverso), selfie y prueba de vida, obtenidos durante la verificación de identidad (KYC).
• Datos financieros y de comportamiento: información de vinculación, capacidad de pago, historial y consultas en centrales de riesgo, información de las transacciones y del uso del producto.
• Datos técnicos: identificador de dispositivo, dirección IP, datos de geolocalización aproximada cuando aplique y registros de acceso, para seguridad y auditoría.

6. Finalidades del tratamiento

Los datos se tratan para:

1. Adelantar el proceso de vinculación y verificación de identidad (KYC), incluyendo el contraste con fuentes oficiales (p. ej. Registraduría Nacional del Estado Civil).
2. Cumplir las obligaciones de prevención de lavado de activos y financiación del terrorismo (SARLAFT/LA-FT): verificación en listas restrictivas, PEP y monitoreo transaccional.
3. Evaluar el riesgo crediticio y determinar el cupo, incluida la consulta y reporte a centrales de información financiera (ver sección 9).
4. Gestionar, emitir y operar el producto de tarjeta de crédito y los servicios asociados, incluidos pagos, avances y adelantos.
5. Enviar comunicaciones transaccionales y de seguridad (p. ej. alertas de inicio de sesión y de estado del producto).
6. Realizar analítica interna, prevención de fraude y mejora del servicio.
7. Atender requerimientos de autoridades y dar cumplimiento a obligaciones legales, contables y tributarias.
8. Cuando el Titular lo autorice de forma separada, enviar comunicaciones comerciales y de mercadeo sobre productos y beneficios (finalidad opcional; ver sección 8).

7. Datos sensibles y biométricos

El Tratamiento de datos sensibles (biométricos y del documento) es facultativo y se realiza únicamente con la autorización previa, expresa e informada del Titular, otorgada durante el registro. El Titular no está obligado a autorizarlos; sin embargo, al ser indispensables para verificar la identidad y prevenir el fraude y el LA/FT, sin ellos no es posible completar la vinculación ni otorgar el producto. Estos datos se tratan con medidas de seguridad reforzadas y para las finalidades de identidad y prevención del fraude aquí descritas.

8. Autorización del Titular

El Tratamiento requiere la autorización previa, expresa e informada del Titular, que se obtiene por medios electrónicos al momento del registro y queda almacenada como prueba. La autorización para fines comerciales y de mercadeo es separable y opcional: el Titular puede negarla o revocarla sin que ello afecte la vinculación ni el uso del producto. No se requiere autorización en los casos del artículo 10 de la Ley 1581 de 2012 (entre otros, datos requeridos por una entidad pública en ejercicio de sus funciones, o datos de naturaleza pública).

9. Habeas Data financiero – centrales de riesgo (Ley 1266 de 2008)

Al aceptar esta Política y otorgar la autorización correspondiente, el Titular autoriza de manera libre, previa, expresa e informada a SaxBan (y a quien represente sus derechos u ostente en el futuro la calidad de acreedor) para:

1. Consultar, reportar, procesar y divulgar a las centrales de información financiera, crediticia y comercial (p. ej. TransUnion/CIFIN y Datacrédito–Experian) toda la información referente a su comportamiento crediticio, financiero y comercial.
2. Que dicha información se mantenga, actualice y reporte conforme a la Ley 1266 de 2008, tanto sobre el cumplimiento como sobre el incumplimiento de obligaciones.
3. Usar la información obtenida para el análisis y la toma de decisiones de vinculación, otorgamiento y seguimiento del crédito.

El Titular declara conocer que puede consultar de forma gratuita su información en las centrales y ejercer los derechos que la Ley 1266 le confiere (conocer, actualizar y rectificar). En caso de reporte negativo, se le comunicará previamente para que pueda controvertirlo o ponerse al día, en los términos de ley.

10. Encargados, transferencias y transmisiones

Para prestar el servicio, SaxBan comparte datos con Encargados y aliados que actúan bajo instrucciones y estándares de seguridad, tales como: el banco/entidad patrocinadora (BaaS) que soporta la emisión y el procesamiento de las tarjetas; el procesador de pagos; el proveedor de verificación de identidad y KYC; los proveedores de validación de fuentes oficiales, listas restrictivas y antecedentes; las centrales de riesgo; los proveedores de infraestructura tecnológica en la nube; y la matriz del grupo.

Algunos Encargados están ubicados fuera de Colombia, por lo que puede haber transferencias y transmisiones internacionales hacia países como [PAÍSES — p. ej. Estados Unidos y Unión Europea]. Dichas operaciones se realizan conforme a los artículos 26 y 27 de la Ley 1581 de 2012, ya sea hacia países con nivel adecuado de protección, mediante cláusulas contractuales que garanticen los estándares aplicables, o con la autorización del Titular. Con los Encargados se suscriben contratos de transmisión de datos que imponen los deberes de seguridad y confidencialidad.

11. Derechos del titular (Habeas Data)

Como Titular, usted tiene derecho a: conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización otorgada; ser informado sobre el uso dado a sus datos; presentar quejas ante la SIC por infracciones; revocar la autorización y/o solicitar la supresión del dato cuando no exista un deber legal o contractual que lo impida; y acceder gratuitamente a sus datos.

12. Procedimiento para ejercer sus derechos (consultas y reclamos)

Puede ejercer sus derechos escribiendo a atencion@saxban.com, indicando su nombre, número de documento, la solicitud concreta y datos de contacto.

• Consultas: se atienden en un término máximo de diez (10) días hábiles; si no es posible, se informa al Titular y se resuelve dentro de los cinco (5) días hábiles siguientes.
• Reclamos: se resuelven en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recibo; si no es posible, se informa el motivo y la fecha de respuesta, que no superará los ocho (8) días hábiles siguientes. Si el reclamo está incompleto, se solicita completarlo dentro de los cinco (5) días siguientes; el reclamo se marca con la leyenda “reclamo en trámite” dentro de los dos (2) días hábiles siguientes a su recibo.

El Titular podrá acudir a la SIC solo una vez agotado el trámite de consulta o reclamo ante SaxBan.

13. Deber de veracidad y actualización

El Titular garantiza la veracidad de la información suministrada y se obliga a mantenerla actualizada, informando cualquier cambio a través de los canales dispuestos.

14. Seguridad de la información

SaxBan aplica medidas técnicas, humanas y administrativas para proteger los datos y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. La información sensible se cifra y su acceso se restringe según el principio de necesidad de conocer, con registro y auditoría de accesos.

15. Incidentes de seguridad

En caso de violaciones a los códigos de seguridad o de riesgos en la administración de la información, SaxBan reportará el incidente a la Superintendencia de Industria y Comercio y, cuando corresponda, informará a los Titulares afectados, adoptando las medidas de contención y remediación aplicables.

16. Cookies y tecnologías en el sitio web

El sitio web de SaxBan puede utilizar cookies y tecnologías similares para su funcionamiento, seguridad y analítica. El usuario puede configurar su navegador para gestionarlas; deshabilitar algunas puede afectar el funcionamiento del sitio.

17. Menores de edad

Los productos de SaxBan están dirigidos exclusivamente a personas naturales mayores de edad. SaxBan no recolecta de forma intencional datos de menores de edad para la prestación de sus servicios.

18. Registro Nacional de Bases de Datos (RNBD)

Cuando resulte obligatorio conforme a la normativa vigente, SaxBan inscribe sus bases de datos en el Registro Nacional de Bases de Datos administrado por la SIC. [Confirmar aplicabilidad y estado del registro con el oficial de cumplimiento.]

19. Vigencia de la Política y de las bases de datos

Esta Política rige desde [FECHA DE PUBLICACIÓN]. Los datos se conservarán durante la vigencia de la relación con el Titular y por los términos adicionales que exijan las obligaciones legales (entre otras, las de SARLAFT y las de la Ley 1266), luego de lo cual serán suprimidos o anonimizados. Las bases de datos permanecerán vigentes mientras sea necesario para cumplir las finalidades descritas.

20. Modificaciones

SaxBan podrá actualizar esta Política. Los cambios sustanciales se informarán a través de los canales oficiales y regirán desde su publicación.

21. Contacto

SOCIEDAD ADMINISTRADORA DE XENOMONEDA Y BALANCES ADQUIRIDOS NACIONALES – NIT 901.952.128-7 · Bogotá D.C., Colombia · atencion@saxban.com · [TELÉFONO].