Política de Tratamiento de Datos Personales (Habeas Data)

1. Objeto

Esta política establece los principios, finalidades y procedimientos que CARROPAGO S.A.S. (en adelante "Mandapayá" o "la Empresa") aplica al tratamiento de datos personales recolectados en el desarrollo de sus actividades comerciales, en cumplimiento de la Ley 1581 de 2012 y sus decretos reglamentarios.

2. Alcance

Esta política aplica al tratamiento de datos personales de:

• Usuarios: toda persona natural que se registre o interactúe con la plataforma.
• Clientes: usuarios que realicen al menos una transacción.
• Beneficiarios: personas naturales designadas como destinatarias de pagos móviles o gift cards.
• Aliados comerciales: embajadores, referidores y partners que actúen como canal de comercialización.
• Colaboradores: empleados y contratistas de CARROPAGO S.A.S.

Cubre los datos recolectados a través de todos los canales: aplicación web, WhatsApp, integraciones de pago (PSE, Nequi, Daviplata, Efecty, AAVANCE, MERU) y atención al cliente.

3. Marco Normativo

4. Datos Personales Recolectados

4.1. Datos de identificación

4.2. Datos de contacto

4.3. Datos transaccionales

4.4. Datos técnicos

4.5. Datos sensibles

5. Finalidad del Tratamiento

5.1. Finalidades principales (necesarias para la prestación del servicio)

• Prestación del servicio: procesar transacciones de compra de gift cards y envío de pagos móviles.
• Validación de identidad (KYC): verificar la identidad del usuario en el proceso de Conocimiento del Cliente.
• Prevención de fraude y LA/FT: alimentar el SARLAFT para prevenir lavado de activos y financiación del terrorismo.
• Cumplimiento legal: obligaciones legales, tributarias y regulatorias.
• Facturación electrónica: emitir y reportar facturas ante la DIAN.
• Atención al usuario: responder solicitudes, quejas y reclamos.
• Seguridad de la plataforma: proteger la cuenta del usuario y prevenir accesos no autorizados.

5.2. Finalidades secundarias (opcionales, con autorización)

• Mejora del servicio: analizar patrones de uso para mejorar la experiencia.
• Comunicaciones comerciales: informar sobre nuevos productos, promociones o actualizaciones.

El usuario puede revocar su autorización para las finalidades secundarias sin afectar la prestación del servicio principal.

6. Datos Sensibles

6.1. Qué datos sensibles recolecta Mandapayá

Mandapayá recolecta un único dato sensible: la imagen de selfie con documento de identidad, utilizada exclusivamente como mecanismo de validación visual dentro del proceso KYC.

6.2. Características del tratamiento

• La selfie consiste en una fotografía del usuario sosteniendo su documento de identidad (CC, CE o pasaporte).
• La validación es visual y manual: un funcionario autorizado (Oficial de Cumplimiento) compara la imagen con los datos registrados.
• No se utilizan sistemas biométricos avanzados, reconocimiento facial automatizado ni IA para procesar la imagen.
• La imagen no se utiliza para perfilamiento, publicidad ni ninguna finalidad distinta a la verificación de identidad.

6.3. Consentimiento reforzado

Dado que las imágenes con documento constituyen datos sensibles conforme a la Ley 1581 de 2012, su recolección requiere autorización expresa, previa e informada. El titular:

• Es informado de la naturaleza sensible del dato antes de la captura.
• Autoriza de forma explícita el uso para fines de verificación de identidad.
• Puede negarse a proporcionar la imagen: no se bloquearán sus operaciones, pero su perfil de riesgo podrá verse afectado conforme al SARLAFT.

6.4. Almacenamiento de imágenes

• Se almacenan en sistemas de archivos seguros con acceso restringido.
• Solo el Oficial de Cumplimiento y personal autorizado acceden a las imágenes.
• Se procesan automáticamente (compresión, redimensión) sin alterar su contenido.
• Las URLs de acceso no son públicas ni predecibles.

7. Derechos del Titular

Limitaciones

Los derechos de supresión y revocatoria pueden estar limitados cuando:

• Exista una obligación legal o contractual que exija la conservación de los datos (ej. obligaciones tributarias ante la DIAN o conservación por 5 años conforme al SARLAFT).
• Los datos sean necesarios para el cumplimiento de un contrato del que el titular sea parte.
• Los datos sean requeridos por una autoridad competente en ejercicio de sus funciones.

8. Procedimiento para Ejercer Derechos

8.1. Canal de atención

Toda solicitud debe dirigirse a: soporte@mandapaya.app
Asunto sugerido: "Protección de Datos — [tipo de solicitud]"

8.2. Contenido de la solicitud

• Nombre completo del titular.
• Número de documento de identidad.
• Descripción clara de la solicitud (acceso, actualización, rectificación, supresión o revocatoria).
• Datos de contacto para respuesta.
• Documentos de soporte, si aplica.

8.3. Tiempos de respuesta

8.4. Proceso

• El titular envía la solicitud al correo indicado.
• Mandapayá acusa recibo dentro de los 2 días hábiles siguientes.
• Se verifica la identidad del solicitante para evitar accesos no autorizados.
• Se procesa la solicitud dentro de los plazos establecidos.
• Se comunica la respuesta por el medio indicado.

Si la solicitud está incompleta, se pedirá al titular que la complemente dentro de los 5 días hábiles siguientes. De no hacerlo, se entenderá desistida.

9. Autorización del Titular

9.1. Consentimiento previo

Mandapayá obtiene la autorización del titular antes de recolectar y tratar sus datos, de manera expresa, informada y previa.

9.2. Registro de autorización

9.3. Autorización para datos sensibles (KYC)

Cuando el usuario sube una imagen de selfie con documento, se solicita una autorización específica y reforzada que incluye: descripción clara del dato, finalidad específica (verificación de identidad), indicación de que el dato es sensible, confirmación de que la entrega es voluntaria y aclaración de que la negativa no impide el uso básico de la plataforma.

9.4. Revocatoria

El titular puede revocar su autorización en cualquier momento enviando una solicitud a soporte@mandapaya.app. Se procesa dentro de los 15 días hábiles siguientes. Puede implicar la imposibilidad de continuar prestando el servicio cuando los datos sean necesarios para la operación, y no aplica cuando exista una obligación legal de conservación.

10. Transferencia y Transmisión de Datos

10.1. Definiciones

10.2. Terceros con quienes se comparten datos

10.3. Transferencia internacional

• Se verifica que el país receptor cuente con niveles adecuados de protección, conforme al Decreto 1377 de 2013.
• Se aplican medidas contractuales y técnicas para proteger la confidencialidad e integridad.
• Los proveedores cumplen con estándares internacionales (SOC 2, ISO 27001 o equivalentes).

10.4. Restricciones

• Los datos personales no se venden, alquilan ni comercializan a terceros.
• Los datos no se comparten con fines publicitarios de terceros.
• Los datos se comparten únicamente cuando es necesario para la prestación del servicio o el cumplimiento de obligaciones legales.

11. Seguridad de la Información

11.1. Medidas técnicas

11.2. Medidas organizacionales

• Política de acceso mínimo: cada colaborador accede solo a lo necesario para su función.
• Capacitación periódica en protección de datos y seguridad de la información.
• Procedimiento documentado para gestión de incidentes de seguridad.
• Acuerdos de confidencialidad con colaboradores y contratistas.

11.3. Manejo de imágenes

• Se almacenan en sistemas de archivos privados, no accesibles desde internet sin autenticación.
• Se optimizan automáticamente para reducir el riesgo de exposición.
• Solo el Oficial de Cumplimiento y personal autorizado acceden a ellas.
• No se indexan ni se incluyen en motores de búsqueda.

11.4. Incidentes de seguridad

• Se identifica y contiene el incidente.
• Se evalúa el alcance y los datos afectados.
• Se notifica a los titulares afectados cuando el incidente represente un riesgo significativo.
• Se notifica a la Superintendencia de Industria y Comercio (SIC) cuando corresponda.
• Se documenta el incidente y las acciones correctivas adoptadas.

12. Conservación de Datos

12.1. Plazo de conservación

12.2. Eliminación

Cumplido el plazo y si no hay obligación legal que lo impida, los datos se eliminan de forma segura de todas las bases de datos, las imágenes KYC se eliminan del sistema de archivos y se conserva un registro anonimizado de la eliminación.

13. Modificaciones a la Política

CARROPAGO S.A.S. se reserva el derecho de modificar esta política. Cuando se realicen cambios sustanciales:

• Se actualizará la fecha de "última actualización" en el encabezado.
• Se notificará a los usuarios por correo electrónico o notificación en la plataforma.
• Se publicará la nueva versión en el sitio web y en la aplicación.
• Se solicitará nueva autorización cuando los cambios afecten las finalidades o involucren datos sensibles.

El uso continuado de la plataforma después de la publicación de los cambios constituye la aceptación de la nueva política, salvo que se requiera autorización expresa.

14. Vigencia

Esta política entra en vigor el 7 de abril de 2026 y permanece vigente mientras CARROPAGO S.A.S. realice tratamiento de datos personales conforme a las finalidades aquí descritas.

15. Contacto

Si el titular no recibe respuesta satisfactoria dentro de los plazos establecidos, puede acudir ante la Superintendencia de Industria y Comercio (SIC) como autoridad de protección de datos en Colombia:

• Sitio web: www.sic.gov.co
• Línea telefónica: (601) 587 0000