Política de tratamiento de datos personales

Compostela Asociados S.A.S., denominada en adelante como "PrizmaPay" o la "Sociedad Responsable", en virtud de lo establecido en la Ley 1581 de 2012, su Decreto Reglamentario 1377 de 2013, la Ley 1266 de 2008, las demás normas que los modifiquen o adicionen y considerando sus actividades comerciales, las cuales consisten principalmente en la puesta a disposición y funcionamiento de una herramienta tecnológica de servicios financieros o "Banking as a Service" (Banca como Servicio), ha implementado la presente Política de Tratamiento de Datos Personales, la cual está compuesta por:

1. Definiciones

Obrando de conformidad con la transparencia y el debido tratamiento a los datos personales, optando siempre por el cumplimiento de las normas, con el fin de brindar un mayor entendimiento al contenido de la presente, se han extractado de la ley 1581 de 2012 y de la Ley 1266 de 2008, las siguientes definiciones:

1.1. Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de datos personales.

1.2. Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.

1.3. Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables; sin perjuicio de lo anterior, PrizmaPay tratará los datos de las personas jurídicas bajo los mismos lineamientos y políticas de seguridad con que trata los Datos Personales.

1.4. Dato Público: Es el dato que no sea semiprivado, privado o sensible. Son considerados Datos Públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público.

1.5. Dato semiprivado: Es semiprivado el dato que no tiene naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su Titular sino a cierto sector o grupo de personas o a la sociedad en general, como el dato financiero y crediticio de actividad comercial o de servicios.

1.6. Información financiera, crediticia, comercial, de servicios: Es aquella referida al nacimiento, ejecución y extinción de obligaciones dinerarias, independientemente de la naturaleza del contrato que les dé origen.

1.7. Datos Sensibles: Se entiende por Datos Sensibles aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y biométricos.

1.8. Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la Base de Datos y/o el tratamiento de los Datos Personales.

1.9. Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de Datos Personales por cuenta del responsable del tratamiento.

1.10. Titular: Persona natural cuyos Datos Personales sean objeto de tratamiento.

1.11. Fuente de información: Es la persona, entidad u organización que recibe o conoce datos personales de los Titulares de la información, en virtud de una relación comercial o de servicio o de cualquier otra índole y que, en razón de autorización legal o del Titular, suministra esos datos a un Operador de información.

1.12. Operador de información: Es la persona, entidad u organización que recibe de la Fuente datos personales sobre varios Titulares de la información, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la ley.

1.13. Usuario: Es la persona natural o jurídica que puede acceder a información personal de uno o varios Titulares de la información suministrada por el Operador o por la Fuente, o directamente por el Titular de la información.

1.14. Transferencia: La Transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de Datos Personales, ubicado en Colombia, envía la información o los Datos Personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.

1.15. Transmisión: Tratamiento de Datos Personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el Encargado por cuenta del Responsable.

1.16. Tratamiento: Cualquier operación o conjunto de operaciones sobre Datos Personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

1.17. Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable del Tratamiento, dirigida al Titular para el Tratamiento de sus Datos Personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los Datos Personales.

1.18. Beneficiario de Dispersión: Persona natural o jurídica designada por un cliente de PrizmaPay para recibir pagos, transferencias o dispersiones de recursos a través de los servicios de la Sociedad Responsable. Los Beneficiarios de Dispersión son Titulares de datos personales cuyos datos son tratados por PrizmaPay en virtud de instrucciones impartidas por el cliente que ordena la dispersión.

1.19. Contrato de Transmisión de Datos: Acuerdo celebrado entre el Responsable del Tratamiento y el Encargado del Tratamiento, conforme al artículo 25 del Decreto 1377 de 2013, que regula las condiciones bajo las cuales se comunican datos personales para su tratamiento por cuenta del Responsable.

1.20. Listas Restrictivas: Bases de datos públicas o privadas, nacionales o internacionales, que contienen información sobre personas naturales o jurídicas reportadas o sancionadas por actividades relacionadas con lavado de activos, financiación del terrorismo, proliferación de armas de destrucción masiva, corrupción u otras actividades ilícitas. Incluyen, entre otras, las listas de la OFAC (Office of Foreign Assets Control), ONU, INTERPOL, y las listas de Personas Expuestas Políticamente (PEPs).

2. Derechos del Titular de la Información

El Titular de los Datos Personales tendrá los siguientes derechos:

2.1. Derecho a conocer: El Titular podrá en cualquier tiempo, de forma gratuita, solicitar información acerca de cuáles de sus datos personales reposan dentro de las Bases de Datos de la Sociedad Responsable y cuál es el uso que se le da a la misma.

2.2. Derecho a actualizar: El Titular podrá en cualquier tiempo y de forma gratuita, solicitar a PrizmaPay, que se actualicen sus Datos Personales.

2.3. Derecho a rectificar: Si el Titular considera que los datos que tiene PrizmaPay, dentro de su Base de Datos, son inexactos o incompletos podrá solicitarle en cualquier momento y en forma gratuita, que se corrija tal información.

2.4. Derecho a suprimir: El Titular podrá solicitar a PrizmaPay que elimine los datos que a bien considere necesario. La solicitud de supresión de la información no procederá cuando el Titular tenga un deber legal o contractual de permanecer en la Base de Datos.

2.5. Derecho a revocar su autorización: El Titular estará en la capacidad de revocar la autorización otorgada a PrizmaPay para el Tratamiento de sus Datos Personales, siempre y cuando no tenga un deber legal o contractual en virtud del cual deba mantener vigente dicha autorización.

2.6. Derecho a solicitar prueba de la autorización: El Titular podrá solicitar a PrizmaPay acreditar la existencia de la Autorización impartida en los casos en que por ley la misma era necesaria para el Tratamiento de sus datos.

2.7. Derecho a presentar quejas ante la Superintendencia de Industria y Comercio: El Titular estará facultado a presentar quejas y reclamos ante la Superintendencia de Industria y Comercio si considera que se ha presentado alguna infracción a las normas que regulan la protección de sus Datos Personales.

3. Finalidad del Tratamiento de los Datos Personales

PrizmaPay recolecta, almacena, usa, procesa, suprime y circula Datos Personales entre los cuales se encuentran, pero sin limitarse a, nombres, apellidos, teléfonos, domicilios, direcciones de contacto, correos electrónicos, documentos de identidad, con ocasión del desarrollo de su objeto social.

En virtud de lo anterior, los Datos Personales son tratados, de forma general, para las siguientes finalidades:
 

• Contactar a los Titulares en virtud de la relación comercial, civil o laboral existente.

• Identificar y mantener un registro y control de los proveedores, clientes, potenciales clientes, accionistas, acreedores, empleados y exempleados de PrizmaPay.

• Proveer los servicios requeridos por sus clientes y acceder los servicios ofertados por sus proveedores.

• Enviar comunicaciones referentes a la relación comercial, civil o laboral existente.

• Enviar mensajes con fines comerciales, publicitarios, educativos y/o de atención a los Titulares.

• Informar sobre nuevos servicios y/o sobre cambios en los mismos.

• Cumplir con la normativa vigente en materia laboral y de seguridad social, civil, comercial, administrativa, penal y demás existente.

• La identificación de fraudes y prevención de lavado de activos, financiación del terrorismo y otras actividades delictivas.

• Evaluar, tramitar y contestar las solicitudes, peticiones, reclamaciones y quejas de los Titulares.

• Efectuar, actualizar y consultar reportes ante las distintas autoridades administrativas de control y vigilancia.

• Consultar, solicitar o verificar la información y Datos Personales del Titular en las bases de datos de entidades públicas o privadas.

• Transmitir y/o transferir los Datos Personales del Titular, en Colombia y al exterior, a terceros, según sea requerido.
   

Finalidades específicas para el Servicio de Dispersión de Pagos:
 

• Procesar y ejecutar dispersiones, transferencias y pagos a Beneficiarios de Dispersión por instrucción de los clientes de PrizmaPay.

• Validar la identidad e información de los Beneficiarios de Dispersión para garantizar la correcta ejecución de los pagos ordenados.

• Consultar y validar la información de los Beneficiarios de Dispersión en Listas Restrictivas nacionales e internacionales, incluyendo pero no limitado a OFAC, ONU, INTERPOL, listas de PEPs y otras bases de datos públicas o privadas relevantes para la prevención del lavado de activos y financiación del terrorismo.

• Almacenar y conservar los datos de los Beneficiarios de Dispersión y los resultados de las validaciones en listas restrictivas, conforme a las obligaciones legales de conservación documental y para efectos de trazabilidad de las operaciones.

• Reportar a las autoridades competentes las operaciones que se consideren sospechosas o que superen los umbrales establecidos por la normativa aplicable.
   

Adicional a las finalidades generales, la base de datos de los empleados de PrizmaPay se tratará con las finalidades establecidas en la normativa laboral vigente.

3.1. Tratamiento de Datos Personales de Beneficiarios de Dispersión

PrizmaPay, en el marco de sus servicios de dispersión de pagos, recibe datos personales de Beneficiarios de Dispersión que son comunicados por sus clientes (personas naturales o jurídicas que contratan los servicios de dispersión). Para estos efectos, se establecen las siguientes reglas:

3.1.1. Calidad de PrizmaPay en el Tratamiento:

Cuando PrizmaPay recibe datos personales de Beneficiarios de Dispersión por transmisión de sus clientes, actúa como ENCARGADO del Tratamiento conforme al artículo 3 de la Ley 1581 de 2012 y el artículo 25 del Decreto 1377 de 2013. En tal calidad, PrizmaPay realiza el tratamiento de dichos datos por cuenta y siguiendo las instrucciones del cliente, quien actúa como RESPONSABLE del Tratamiento.

3.1.2. Obligaciones del Cliente como Responsable:

El cliente que contrata los servicios de dispersión de PrizmaPay es el Responsable del Tratamiento de los datos personales de los Beneficiarios de Dispersión y, en tal calidad, está obligado a:
 

1. Obtener la autorización previa, expresa e informada de cada Beneficiario de Dispersión para el tratamiento de sus datos personales, incluyendo expresamente la autorización para: (a) la comunicación de sus datos a PrizmaPay para la ejecución de dispersiones; (b) la validación de sus datos en Listas Restrictivas nacionales e internacionales; y (c) el almacenamiento de sus datos y del resultado de dichas validaciones.
    

2. Informar a los Beneficiarios de Dispersión sobre la identidad de PrizmaPay como Encargado del Tratamiento, las finalidades del tratamiento, y los derechos que les asisten como Titulares.
    

3. Garantizar que los datos personales de los Beneficiarios de Dispersión comunicados a PrizmaPay son veraces, completos, exactos, actualizados y comprobables.
    

4. Conservar prueba de las autorizaciones otorgadas por los Beneficiarios de Dispersión y suministrarlas a PrizmaPay cuando le sean requeridas.
    

3.1.3. Contrato de Transmisión:

La comunicación de datos personales de Beneficiarios de Dispersión entre el cliente y PrizmaPay se rige por las disposiciones del contrato de prestación de servicios suscrito entre las partes, el cual incluye las cláusulas de transmisión de datos personales conforme al artículo 25 del Decreto 1377 de 2013. Dicho contrato establece: (a) los alcances del tratamiento; (b) las actividades que realizará PrizmaPay como Encargado; (c) las obligaciones de PrizmaPay hacia los Titulares y el cliente; y (d) las medidas de seguridad aplicables.

3.1.4. Base Legal para la Validación en Listas Restrictivas:

La consulta de datos personales de Beneficiarios de Dispersión en Listas Restrictivas públicas (OFAC, ONU, INTERPOL, entre otras) se realiza con fundamento en: (a) la autorización otorgada por el Titular al Responsable del Tratamiento; y (b) el cumplimiento de las obligaciones legales de PrizmaPay en materia de prevención de lavado de activos y financiación del terrorismo, conforme a la normativa colombiana aplicable.

El almacenamiento del resultado de las validaciones en listas restrictivas se realiza con fundamento en: (a) la autorización expresa del Titular obtenida por el Responsable; (b) las obligaciones legales de trazabilidad y conservación documental; y (c) el interés legítimo de PrizmaPay en la gestión de riesgos de LA/FT/FPADM.

3.2. Transmisión de Datos Personales

De conformidad con el artículo 25 del Decreto 1377 de 2013, la Transmisión de Datos Personales a PrizmaPay en su calidad de Encargado del Tratamiento no requiere autorización adicional del Titular cuando:
 

• El Responsable del Tratamiento ha obtenido la autorización del Titular para el tratamiento de sus datos personales, incluyendo la comunicación a terceros encargados.

• Existe un contrato de transmisión de datos personales entre el Responsable y PrizmaPay que garantiza el cumplimiento de las obligaciones del Encargado frente al Titular y al Responsable.

PrizmaPay, como Encargado del Tratamiento, se compromete a:

• Dar tratamiento a los datos personales conforme a los principios de la Ley 1581 de 2012 y las instrucciones del Responsable.

• No utilizar los datos personales para finalidades distintas a las autorizadas por el Responsable.

• Implementar las medidas de seguridad apropiadas para proteger los datos personales.

• Garantizar el ejercicio de los derechos de los Titulares, actuando en coordinación con el Responsable.

• Guardar confidencialidad respecto de los datos personales tratados.

• Abstenerse de comunicar los datos a terceros sin autorización del Responsable, salvo cuando exista una obligación legal.
   

4. Tratamiento de Datos Sensibles

PrizmaPay restringirá estrictamente el tratamiento de Datos Personales Sensibles a los indispensables para realizar su objeto social o para cumplir con requerimientos normativos o contractuales, e informará a los Titulares de forma explícita y previa cuales son los Datos Sensibles y la finalidad de su Tratamiento.

PrizmaPay solo dará tratamiento a Datos Sensibles sin el consentimiento previo cuando se trate de emergencia vital que requiera de una acción inmediata para evitar un daño grave o irreversible. Por otro lado, de acuerdo con el artículo 6 de la Ley 1581 de 2012, PrizmaPay podrá darle Tratamiento a Datos Sensibles para "una finalidad histórica, estadística o científica", siempre y cuando adopte "las medidas conducentes a la supresión de identidad de los Titulares".

5. Procedimientos de Acceso, Consulta y Reclamación sobre Datos Personales

PrizmaPay garantiza que los Titulares de los Datos Personales a los que se les da Tratamiento, tendrán acceso a éstos y serán informados sobre todas las modificaciones, actualizaciones o supresiones que de ellos se haga, siempre y cuando soliciten dicha información y estén debidamente identificados.

PrizmaPay pone a disposición de los Titulares el siguiente correo: info@prizmapay.com al cual podrá escribir el Titular o los legitimados según la Ley 1581 de 2012 y la Ley 1266 de 2008, para tener acceso a su información personal, para acreditar el Tratamiento que se les está dando a sus Datos Personales, para presentar reclamos o solicitar su actualización, rectificación o supresión.

Cuando se trate de consultas, PrizmaPay tendrá un plazo de 10 días hábiles para dar respuesta, contados a partir de la fecha de recibo de las mismas. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los 5 días hábiles siguientes al vencimiento del primer término.

El término máximo para atender reclamos será de 15 días hábiles, contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los 8 días hábiles siguientes al vencimiento del primer término.

5.1. Procedimiento Especial para Beneficiarios de Dispersión

Los Beneficiarios de Dispersión, como Titulares de datos personales tratados por PrizmaPay en calidad de Encargado, tienen los mismos derechos que cualquier Titular. No obstante, dado que PrizmaPay actúa como Encargado y no como Responsable del Tratamiento de sus datos, se establece el siguiente procedimiento especial:
 

1. El Beneficiario de Dispersión podrá ejercer sus derechos de conocer, actualizar, rectificar, suprimir y revocar la autorización directamente ante el Responsable del Tratamiento (el cliente de PrizmaPay que ordenó la dispersión).

2. Si el Beneficiario de Dispersión presenta una solicitud directamente ante PrizmaPay, esta dará traslado de la solicitud al Responsable del Tratamiento dentro de los dos (2) días hábiles siguientes, informando al Titular sobre dicho traslado.

3. PrizmaPay atenderá las instrucciones del Responsable del Tratamiento respecto del ejercicio de los derechos del Titular.

4. En caso de que el Beneficiario de Dispersión no pueda identificar al Responsable del Tratamiento, PrizmaPay le brindará la información necesaria para que pueda ejercer sus derechos ante dicha persona.
    

6. Mecanismos de Seguridad

Obrando en concordancia con el principio de seguridad desarrollado por la ley 1581 de 2012, su Decreto reglamentario 1377 de 2013, la Ley 1266 de 2008 y las demás normas que los adicionen, PrizmaPay dispondrá de todos los medios técnicos, humanos y/o administrativos necesarios, con el fin de evitar la pérdida, acceso, uso, consulta, alteración por terceras personas no autorizadas, de la información suministrada por el Titular.

7. Vigencia

La presente Política de Datos Personales entra en vigencia a partir del 30 de enero del 2026 y la misma puede ser modificada por PrizmaPay en cualquier tiempo. Cualquier modificación de la presente Política, será informada a través de la página web www.prizmapay.com, donde se pondrá a disposición de los Titulares, la última versión de la misma, indicando la fecha de entrada en vigencia de la correspondiente modificación.