Política de Privacidad

Pago Digital Colombia S.A.S (Pago Digital), del Grupo PayRetailers, con domicilio en Calle 104 # 18ª-52, en la ciudad de Bogotá, Colombia es la responsable del uso y protección de sus datos personales, y de conformidad con las Disposiciones Generales para la Protección de Datos Personales (Ley Nº 1581 de 2012) le informamos lo siguiente:
Cuando usted actúe en representación de una entidad comercial, nos referiremos a usted como representante.

Cuando usted realice actividades comerciales con una entidad comercial, pero no realiza actividades directamente con Pago digital, nos referimos a usted como cliente final.

Cuando usted actúe como proveedor de servicios de Pago digital, nos referiremos a usted como proveedor.

Consentimiento

Al momento de aceptar la presente política de privacidad estas consintiendo expresamente la utilización de tus datos personales, para los fines exclusivos que se definen en este documento.

En el uso de tus datos suministrados, se incluye el almacenamiento, entendiéndose éste como la conservación en un registro o en un banco de datos, por medios propios o suministrados por terceros; y el tratamiento, entendiéndose este como cualquier operación de carácter automatizado o no que permitan recolectar, almacenar, grabar, organizar, elaborar, seleccionar, extraer, confrontar, interconectar, disociar, comunicar, ceder, transferir, transmitir o cancelar datos de carácter personal.

Declaración

Se hace presente que, con la finalidad de dar cumplimiento a la presente política de privacidad, al momento de aceptar la misma debes ser mayor de edad y que los datos suministrados son correctos y veraces. En caso de solicitar una modificación, te pedimos que nos informes a la brevedad de conformidad al procedimiento que se expone más adelante.

En ningún lugar del sitio web recogemos conscientemente datos personales o información de personas menores de 18 años.

¿Qué datos personales utilizaremos, cómo los obtenemos y para qué fines?

1. Representante

Pago digital en su calidad de responsable del tratamiento de datos, recogerá mediante el sitio web de Pago digital, por correo electrónico y por cualquier otro medio que pongamos a su disposición, la siguiente información:

• Datos personales de identificación y contacto:

• Nombre completo, nacionalidad, correo electrónico, cédula de identidad, teléfono, datos laborales, registro único tributario entre otros de la misma categoría.

• No se recogerán datos personales sensibles

Los datos personales que recogemos de usted, los utilizaremos para las siguientes finalidades primarias, que son necesarias para el servicio que solicita:

• i) Verificar y confirmar su identidad;
• ii) Creación de cuenta en el sitio web de Pago digital;
• iii) Proceso de onboarding, incluyendo la revisión y aprobación del área de Compliance con base en las políticas internas de Pago digital;
• iv) Generar la documentación necesaria para concretar la relación comercial;
• v) Proveerle los servicios contratados;
• vi) Realizar gestiones para mantener actualizados sus datos personales y documentación legal de su empresa;
• vii) Realizar aclaraciones y monitoreo automatizado para prevención de blanqueo de capitales, detectar fraudes, ilícitos o actividades inusuales en contra de su persona o de Pago digital;
• viii) Realizar revisiones legales y debidas diligencias de la entidad comercial;
• ix) Comunicarnos con usted con el fin de cumplir con nuestras obligaciones de acuerdo con los términos del servicio;
• x) Gestionar y evaluar todo tipo de riesgos que puedan afectar a su persona o a Pago digital;
• xi) Realizar todo tipo de análisis para mejorar los servicios ofrecidos por Pago digital;
• xii) Fines mercadológicos, publicitarios o de prospección comercial respecto de los servicios que ofrecemos, propios o de terceros;
• xiii) Realizar encuestas de servicio, con el objetivo de evaluar y mejorar la calidad de los productos y servicios que ofrecemos, y
• xiv) Dar cumplimiento a las obligaciones legales a cargo de Pago digital.

2. Cliente final

Pago digital presta sus servicios a entidades comerciales, que directa o indirectamente nos proporcionan datos personales de clientes finales en relación con las propias actividades comerciales de las entidades. Cuando actuamos como encargado del tratamiento de datos, tratamos los datos personales de acuerdo con los términos y condiciones de nuestro acuerdo con dicha entidad.

Las entidades comerciales son responsables de garantizar los derechos de privacidad de sus clientes finales, lo que incluye garantizar la divulgación adecuada de la recogida y el tratamiento de los datos que se produce en relación con los servicios. Si usted es un cliente final, consulte la política de privacidad de la entidad comercial para obtener información sobre el tratamiento de sus datos.

Los datos personales que la entidad comercial nos proporciona de manera directa o indirecta de usted, a través de nuestra interfaz de programación, correo electrónico o por el medio que la entidad comercial designa, incluyen lo siguiente:

• Datos personales de identificación:

• Nombre completo, correo electrónico, teléfono, domicilio, número de cédula de identidad, ciudad de residencia, entre otros de la misma categoría.

• • Datos de la transacción: fecha, monto, método de pago, país donde se realizó, estatus, número y valor de cuotas, número de tarjeta (enmascarado) con la que realiza la transacción, entre otros de la misma categoría.

• No se remiten datos personales sensibles.

Los datos personales que nos sean remitidos en nuestra calidad de encargado del tratamiento de datos serán utilizados para las siguientes finalidades:

• i) Verificar y confirmar su identidad;
• ii) Procesamiento de la transacción;
• iii) Realizar aclaraciones para prevención de blanqueo de capitales, detectar fraudes o ilícitos en contra de su persona o de Pago Digital;
• iv) Atender quejas, reclamaciones y sugerencias remitidas a Pago digital por usted o por autoridad competente; y
• v) Dar cumplimiento a las obligaciones legales a cargo de Pago digital.

No remitiremos comunicaciones comerciales sin su consentimiento.

3. Proveedor

Pago digital recogerá mediante el sitio web de Pago digital, por correo electrónico y por cualquier otro medio que pongamos a su disposición, la siguiente información:

• Datos personales de identificación y contacto:

• Nombre completo, nacionalidad, correo electrónico, cédula de identidad, teléfono, datos laborales, registro único tributario entre otros de la misma categoría.

• No se recogerán datos personales sensibles

Los datos personales que recogemos de usted, los utilizaremos para las siguientes finalidades primarias, que son necesarias para formalizar la relación contractual:

• i) Verificar y confirmar su identidad;
• ii) Proceso de onboarding, incluyendo la revisión y aprobación del área de Compliance con base en las políticas internas de Pago digital;
• iii) Generar la documentación necesaria para concretar la relación comercial;
• iv) Gestionar los pagos correspondientes;
• v) Realizar revisiones legales y debidas diligencias;
• vi) Dar cumplimiento a las obligaciones legales a cargo de Pago digital.

Grabación de llamadas

Pago digital puede monitorear, grabar y conservar llamadas telefónicas o cualquier otra comunicación electrónica sostenidas con Usted, en su calidad de representante de una entidad comercial, de usuario final o cualquier otra, con el objetivo de garantizar que sus instrucciones sean atendidas correctamente, los niveles adecuados de servicio, para resolver quejas, reclamaciones y controversias.
Los registros de llamadas y comunicaciones electrónicas están protegidos con arreglo a este Política y serán destruidos de acuerdo con los períodos de retención establecidos por Pago Digital.

Base legal del tratamiento

Para el tratamiento de los datos personales, Pago digital parte de las siguientes bases legales:

a. Relaciones comerciales contractuales y precontractuales. Tratamos los datos personales con el fin de formalizar relaciones comerciales con posibles entidades comerciales y para cumplir con las respectivas obligaciones contractuales que tenemos con dichas entidades.
b. Intereses comerciales legítimos. De conformidad con la legislación aplicable, tratamos los datos para efectos de dar cumplimiento a las obligaciones legales de Pago digital, como la prevención y aclaración de fraudes, así como la prestación de nuestros servicios a dichas entidades.
c. Consentimiento. Basados en el consentimiento que usted nos proporciona para tratar sus datos personales en calidad de representante de una entidad comercial.

¿Cuánto tiempo almacenamos sus datos personales?

Conservaremos sus datos únicamente durante el período estrictamente necesario para los respectivos fines del tratamiento o durante el período legal, en su caso.

¿A quién transferimos sus datos?

Pago digital comparte sus datos con otras entidades del grupo corporativo al que pertenece Pago digital que operan bajo los mismos estándares, procesos y/o políticas internas bajo los que opera Pago digital, para el integral cumplimiento de los servicios que ofrecemos.

Asimismo, Pago digital comparte sus datos, a través de remisiones, a personas que tengan el carácter de encargados del tratamiento, como pueden ser prestadores de servicios o socios de negocios con los que Pago digital tenga una relación jurídica. Pago Digital verifica que tales prestadores de servicios o socios de negocios cumplan con los mismos estándares de protección de datos que Pago Digital

Le informamos que Pago digital no realiza transferencias de datos a terceros, salvo los supuestos de excepción y que no requieren de su consentimiento, previstos en la legislación aplicable, tal es el caso de aquellas necesarias o legalmente exigidas para la salvaguarda de un interés público, o para la procuración o administración de justicia.

Transferencia internacional de datos
Sus datos personales pueden ser almacenados fuera de Colombia por nuestros proveedores o prestadores de servicios o por empresas del Grupo PayRetailers para los fines descritos en esta política de privacidad.

Sus datos personales eventualmente transferidos a otros países serán tratados con el mismo nivel de protección, en cumplimiento con las garantías requeridas por la legislación aplicable y bajo las políticas de seguridad de Pago digital.

¿Cómo puede ejercer sus derechos relativos a la privacidad?

Usted como representante tiene derecho a conocer qué datos personales tenemos de usted, para qué los utilizamos y las condiciones del uso que les damos (Acceso). Asimismo, es su derecho solicitar la corrección de su información personal en caso de que esté desactualizada, sea inexacta o incompleta (Rectificación); que la eliminemos de nuestros registros o bases de datos cuando considere que la misma no está siendo utilizada adecuadamente (Cancelación); así como oponerse al uso de sus datos personales para fines específicos (Oposición).

Asimismo, usted puede revocar el consentimiento que, en su caso, nos haya otorgado para el tratamiento de sus datos personales. Usted deberá considerar que, para ciertos fines, la revocación de su consentimiento implicará que no le podamos seguir prestando el servicio que nos solicitó, o la conclusión de su relación con Pago digital.

Para el ejercicio de cualquiera de los derechos antes mencionados, usted deberá enviar una solicitud a la dirección de correo privacy@payretailers.com, que deberá cumplir con los siguientes requisitos y documentos:

1. Nombre completo del Titular;
2. Copia del documento que acrediten su identidad por ambos lados;
3. En caso de que el Titular comparezca por medio de representante legal, éste último deberá también exhibir, por la misma vía, los documentos que acrediten la representación legal (i.e. carta poder simple firmada por el Titular, el apoderado y dos testigos, acompañada de una copia de las identificaciones del apoderado y los dos testigos);
4. Descripción clara y precisa de los datos personales respecto de los que se busca ejercer alguno de los derechos.

Seguridad de los datos personales

Pago digital mantiene implementadas medidas de seguridad técnicas y organizativas para evitar la pérdida, robo, modificación y/o acceso no autorizado a sus datos personales, tales como controles de acceso, minimización del número de personas que acceden a los datos, implementación de herramientas de ciberseguridad como firewalls, antivirus, entre otras.

¿Cómo puede conocer los cambios en esta Política de privacidad?

La presente política de privacidad puede sufrir modificaciones, cambios o actualizaciones derivadas de nuevos requerimientos legales; de nuestras propias necesidades por los productos o servicios que ofrecemos; de nuestras prácticas de privacidad; de cambios en nuestro modelo de negocio, o por otras causas.

El procedimiento a través del cual se llevarán a cabo las notificaciones sobre cambios o actualizaciones será mediante una nota informativa en nuestro sitio web, mediante correo electrónico o cualquier otro medio tecnológico disponible en el momento.

Última actualización: marzo 2023

Este acuerdo de procesamiento de datos forma parte de los términos y condiciones del servicio y entrará en vigor a partir del momento de la aceptación de los términos y condiciones del servicio.
El presente acuerdo se aplicará a los datos personales que El Procesador procese en su nombre.
En lo sucesivo, al Comercio se le denominará «Controlador de datos», y a El Procesador, como «Procesador de datos«.

1. Obligaciones del Procesador de datos

El Controlador de datos proporcionará al Procesador de datos acceso a todos los datos personales que sean necesarios para la ejecución de este acuerdo y la realización de las tareas asignadas.

Los datos personales siempre se procesarán según las instrucciones del Controlador de datos y se utilizarán solo para los fines establecidos en este acuerdo, a menos que se acuerde expresamente lo contrario por escrito por el Controlador de datos.

El Procesador de datos no compartirá, transferirá, enviará ni permitirá el acceso a terceros de los datos personales.

Además, el Procesador de datos documentará todos los datos procesados en nombre del Controlador de datos. En particular, el Procesador de datos debe mantener un registro que contenga todas las categorías de datos personales procesados, que incluyen:

• • 1. Identificación del Procesador y del Controlador de datos, información de contacto de ambos o, en su defecto, Delegados de Protección de Datos.
  • 2. Las categorías de todas las actividades de tratamiento de protección de datos realizadas.
  • 3. La transferencia de datos personales a un país tercero u organizaciones internacionales, incluida la identificación de dicho país tercero u organizaciones internacionales.
  • 4. Descripción general de las medidas de seguridad técnicas y organizativas relacionadas con:
    • a) Seudonimización y cifrado de datos personales.
    • b) La capacidad de garantizar la confidencialidad permanente, integridad, disponibilidad y resiliencia relevantes para los sistemas y servicios de procesamiento de datos.
    • c) La capacidad de recuperar rápidamente la disponibilidad y el acceso a los datos personales, en caso de una incidencia física o técnica.
    • d) El proceso de verificación, evaluación y evaluación periódicas de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del procesamiento de datos.

2. Personal autorizado.

El Procesador designará a aquellos miembros de su fuerza laboral (en adelante, el «personal autorizado«) que participarán en la prestación de los servicios, asegurando que dichas personas serán las únicas autorizadas para acceder a los datos personales objeto del proceso a petición del Controlador de datos.

El Procesador de datos garantiza que el personal autorizado reconoce las obligaciones de seguridad y confidencialidad derivadas de la ley de privacidad aplicable que debe cumplir y que ha proporcionado todas las instrucciones necesarias para dicho cumplimiento.

El Procesador de datos deberá, siempre, monitorear el cumplimiento de todas las instrucciones proporcionadas por el Controlador de datos en relación con el procesamiento de datos personales, y verificará el cumplimiento de los procedimientos establecidos por el personal autorizado para garantizar la calidad, actualización y seguridad de los datos personales, así como el cumplimiento de la normativa aplicable.

3. Detalles y finalidad del tratamiento de los datos personales.

El propósito del procesamiento de datos personales por parte del procesador de datos es facilitar las transacciones de pago en nombre y bajo la dirección del controlador de datos.

Si el Procesador de datos considera que el objeto del procesamiento de datos personales del presente o las instrucciones proporcionadas por el Controlador de datos violan de alguna manera las disposiciones establecidas por la legislación vigente sobre tales asuntos, informará inmediatamente al Controlador de datos.

Los medios utilizados por el Procesador de datos para llevar a cabo el procesamiento solicitado por el Controlador de datos serán los siguientes:

Para el desempeño del presente documento, el Controlador de datos proporcionará acceso a la siguiente información al Procesador de datos:

Categorías de los interesados
– Personas que utilizan los servicios de pago proporcionados por el Procesador de datos.

Tipos de datos tratados
– Datos de identificación (nombre, apellidos, correo electrónico de contacto, domicilio)
– Lugar de residencia
– Fecha de nacimiento
– Nacionalidad

La información aquí descrita puede y debe, de vez en cuando, adaptarse a la realidad del Procesamiento de Datos. Cualquier modificación del tratamiento requerirá siempre un acuerdo previo por escrito entre las partes.

4. Medidas de seguridad.

El Procesador de datos tomará todas las medidas de seguridad y organizativas necesarias para garantizar la protección de los datos personales de los que es responsable el Controlador de datos.

El Procesador de datos adoptará mecanismos para:

• • • a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes relevantes para los sistemas y servicios de procesamiento de datos personales.
    • b) Recuperar rápidamente la disponibilidad y el acceso a los datos personales, en caso de incidente físico o técnico.
    • c) Verificar y evaluar regularmente la eficacia de las medidas técnicas y organizativas adoptadas para garantizar la seguridad del procesamiento de datos personales.
    • d) Seudonimizar y cifrar los datos personales, siempre que sea posible y apropiado.

5. Transferencias internacionales.

El Controlador de datos acepta que el Procesador de datos puede transferir datos personales a cualquier país, siempre que todas las transferencias de datos personales por parte del Procesador de datos se realicen a través de las garantías apropiadas y de acuerdo con la ley de privacidad aplicable, como:

• • • a) Cláusulas contractuales aprobadas por la autoridad de control competente.
    • b) Códigos de conducta u otros mecanismos de certificación aprobados por la autoridad de control competente.
    • c) Normas Corporativas Vinculantes aprobadas por una autoridad de control competente.

6. Subcontratación

El Controlador de datos otorga al Procesador de datos una autorización específica para designar a los Sub-procesadores enumerados en el Anexo I, en relación con la prestación de los servicios por parte del Procesador de datos.

El Controlador de datos otorga al Procesador de datos autorización general para designar Sub-procesadores adicionales o de reemplazo para el desempeño adecuado de los servicios, siempre que el Procesador de datos notifique con anticipación su intención de nombrar a cada Subprocesador.

En caso de subcontratación autorizada, el Procesador de datos deberá:

• • • a) Tomar todas las medidas necesarias para verificar y asegurar al Controlador de datos que el Sub-procesador es capaz de prestar el servicio con las máximas garantías, ofreciendo un nivel de protección a los datos personales igual al ofrecido por el Procesador de datos.
    • b) Asegurar la ejecución de un contrato entre el Procesador de datos y el Sub-procesador, con las mismas garantías que para el objeto del procesamiento del presente acuerdo.
    • c) En caso de incertidumbre sobre las medidas de seguridad adoptadas por el Sub-procesador con relación al tratamiento de datos, el Procesador de datos lo comunicará al Controlador de datos para verificar si dichas medidas se ajustan a los requisitos mínimos exigidos.
    • d) Prohibir explícitamente al Sub-procesador subcontratar el servicio solicitado, ya sea total o parcialmente, sin la autorización previa por escrito del Controlador de datos.

7. Comunicaciones.

A los efectos de facilitar el cumplimiento de las obligaciones derivadas de estos términos, las partes proporcionan sus datos de contacto establecidos en los Términos y Condiciones del servicio.

8. Información y colaboración.

El Procesador de datos almacenará, y pondrá a disposición del Controlador de datos, toda la información necesaria para acreditar el cumplimiento de sus obligaciones, y para la realización de las auditorías o inspecciones que el Controlador de datos u otro auditor autorizado por el mismo pueda llevar a cabo.

9. Derechos de los interesados.

El Procesador de datos comunicará al Controlador de datos cuando los interesados ejerciten sus derechos de acceso, rectificación, cancelación/supresión, oposición, limitación del tratamiento o portabilidad.

A la luz de lo anterior, el Procesador de datos deberá:

• • • a) Informar con prontitud y en ningún caso a más tardar cuarenta y ocho (48) horas después de la recepción de cualquier solicitud de ejercicio de derechos por parte de cualquier parte interesada, así como cualquier queja o queja relevante para el procesamiento de datos personales.
    • b) Proporcionar asistencia completa en relación con dicho ejercicio de todos los derechos, quejas o quejas, para que el Controlador de datos pueda abordarlos con la diligencia y precisión necesarias.
    • c) Cerciorarse de que ningún miembro de la plantilla, o en ningún caso, ningún Sub-procesador, responde al interesado sin previa notificación expresa y por escrito por parte del Controlador de datos, y en su caso, siguiendo las instrucciones aquí establecidas. Cuando sea obligatorio para el Procesador de datos, de conformidad con la legislación aplicable, responder a la solicitud de la parte interesada, comunicará al Controlador de datos dicha obligación legal antes de proporcionar cualquier respuesta, excepto si dicha legislación lo impide.
    • d) Llevar un registro de todas las quejas o solicitudes de ejercicio de derechos por parte de los interesados, incluyendo una copia de la solicitud, las medidas adoptadas para responder a dicha solicitud y cualquier otra comunicación mantenida con el interesado en relación con la solicitud aludida.

10. Violaciones de seguridad.

El Procesador de datos informará inmediatamente al Controlador de datos sobre cualquier violación de seguridad que afecte o pueda afectar de alguna manera los datos personales bajo la responsabilidad del Controlador de datos.

Esta notificación incluirá, en cualquier caso, la información pertinente para identificar:

• • • a) La naturaleza o tipo de violación de seguridad sufrida, así como la forma en que puede haber afectado a los datos personales del Controlador de datos.
    • b) Los detalles de las medidas adoptadas por el Procesador de datos, o sus propuestas de medidas a adoptar, con el fin de evitar que dicha violación de seguridad se repita y para evitar cualquier otro tipo de violación, ya sea similar o no, siempre que sea posible.
    • c) Una propuesta de medidas a adoptar por el Controlador de datos, en la medida de lo posible, para mitigar los efectos de la violación de la seguridad sufrida por el Procesador de datos, así como, en su caso, aquellas medidas técnicas u organizativas que el Controlador pueda adoptar para evitar futuras violaciones de seguridad.

Además, el Procesador de datos colaborará con el Controlador de datos para ayudarle en la investigación y reparación de cualquier violación de seguridad.

11. Colaboración con la obligación de cumplimiento del Controlador de datos.

El Procesador de datos colaborará con el Controlador de datos para garantizar y demostrar el cumplimiento de la legislación vigente sobre protección de datos personales por parte del Controlador de datos, y especialmente, pero no limitado a:

• • • a) Asistir en la respuesta al ejercicio de los derechos solicitados por los interesados.
    • b) Colaborar en el mantenimiento del registro de actividades de tratamiento en poder del Controlador de datos, en su caso.
    • c) Participar activamente y proporcionar tanta ayuda o información como sea necesario para determinar las causas, riesgos, consecuencias e impacto relacionados con cualquier violación de seguridad, colaborando cuando sea necesario con la autoridad de control competente.
    • d) Elaborar o colaborar en la realización de todas las evaluaciones de impacto necesarias en relación con el procesamiento de datos personales relacionados con los servicios.
    • e) Proporcionar al Controlador de datos todo el apoyo necesario para el cumplimiento de cualquier código de conducta relevante para los servicios, así como, cuando corresponda, para obtener todas las certificaciones apropiadas que el Controlador de datos pueda tener interés en obtener.

12. Derechos de auditoría.

El Procesador de datos pondrá a disposición del Controlador de datos toda la información necesaria o relevante en relación con el procesamiento de datos personales solicitados, para permitir que el Controlador de datos demuestre el cumplimiento de sus obligaciones legales.

13. Terminación del Acuerdo.

Una vez finalizada la prestación de los servicios, los datos personales se destruirán o devolverán al Controlador de datos, a su discreción, y el Procesador de datos no conservará ninguna copia de dichos datos, salvo para dar cumplimiento a obligaciones legales contraídas en virtud de la prestación de los servicios.

Si el Controlador de datos seleccionó la devolución, los datos se restaurarán a través de sistemas que pueden incluir protocolos para garantizar la confidencialidad de los datos (FTPS / SSL o equivalente) y en un formato de uso generalizado o ejecutable con software estándar. En el caso de sistemas de archivo no automatizados, el Procesador de datos garantizará la confidencialidad de la cadena de custodia o entrega.

Si el Controlador de datos opta por la destrucción de los datos, el Procesador de datos se asegurará de que este proceso se lleve a cabo de manera confidencial y que dichos datos, una vez destruidos, sean irrecuperables, asumiendo la responsabilidad de emitir todos los certificados pertinentes para probar la destrucción confidencial de dichos datos.

ANEXO I – LISTA DE SUB-PROCESADORES

Terceros sub-procesadores

Sub-procesadores del Grupo PayRetailers

Última actualización: febrero 2023