DECLARACIONES, ÁMBITO DE APLICACIÓN Y RESPONSABLES DEL TRATAMIENTO

Comfirme, con domicilio en la República de Colombia (en adelante, "Comfirme"), adopta la presente Política de Privacidad y Uso de Cookies en estricto cumplimiento de la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013 y demás normas que regulan la protección de datos personales y el derecho fundamental de Habeas Data en Colombia.

La presente Política rige el tratamiento de datos personales recibido y gestionado a través del sitio web comfirme.com, la plataforma Comfirme, sus paneles de usuario, interfaces de conexión API y herramientas de automatización tecnológica.

Principio de Independencia Jurídica y Ausencia de Convenio Bilateral: Comfirme es un desarrollador y proveedor de software independiente. Comfirme y las plataformas o infraestructuras de terceros con las que su software interactúa e interoperabiliza —en particular PHI COLOMBIA S.A.S. (sociedad comercial identificada con el NIT 901.130.547-2, titular de la marca mixta registrada COINSENDA ante la SIC, junto con su licenciataria Rise Holding S.A.S.) y MONO (junto a sus entidades emisoras independientes)— son personas jurídicas y entidades comerciales autónomas, diferenciadas y plenamente individualizadas. Entre Comfirme y PHI COLOMBIA S.A.S. / Rise Holding S.A.S. no media contrato de agencia comercial, representación institucional, vinculación societaria, régimen de filial o subordinación, co-propiedad, consorcio ni convenio de asociación empresarial bilateral.

Uso Nominativo y Descriptivo de Signos Distintivos (Marcas de Terceros): Toda mención a los signos distintivos, marcas o nombres comerciales "Coinsenda", "DCOP", "Mono", "Visa" o redes bancarias se efectúa bajo el régimen de uso nominativo, legítimo y descriptivo (conforme al Artículo 157 de la Decisión 486 de la Comisión de la Comunidad Andina). Su único objeto es informar de manera veraz al Usuario sobre la procedencia técnica de los servicios de infraestructura y la compatibilidad operativa de la plataforma de software. Dicha mención no constituye ni podrá interpretarse como patrocinio, aval, endoso institucional, mandato representativo de Comfirme respecto a dichos terceros, ni vinculación asociativa entre las partes.

Principio de No Custodia y Tratamiento Técnico de Instrucciones Transaccionales: Comfirme no guarda, no custodia ni retiene el dinero, los fondos dinerarios ni los saldos en DCOP del Usuario. Comfirme actúa de forma exclusiva como un facilitador de software y mandatario técnico que transmite y ejecuta única y estrictamente las órdenes transaccionales emitidas directamente por el titular en tiempo real (mediante la previa digitación de su PIN personal scrypt) o aquellas órdenes e instrucciones que el Usuario haya configurado y autorizado con antelación en la Plataforma (tales como el enrutamiento automático de cobros a bolsillos de apartado o el pago de la suscripción periódica convenida). Comfirme carece de facultades discrecionales de disposición sobre los fondos del usuario.

Diferenciación de Responsables del Tratamiento: Cuando el Usuario, bajo su exclusiva autonomía y en virtud del mandato de asistencia tecnológica conferido a Comfirme, solicita la apertura o vinculación de cuentas ante la infraestructura de Coinsenda o tarjetas ante MONO, la relación de apertura de cuenta, custodia de bienes virtuales (DCOP) y cumplimiento SAGRLAFT se entabla de forma directa y vinculante entre el Usuario titular y PHI COLOMBIA S.A.S. (o la respectiva entidad emisora). En consecuencia:

• Responsable de la Capa de Software Comfirme: Comfirme actúa como Responsable independiente y exclusivo del tratamiento respecto de los datos personales tratados en comfirme.com, cuentas de usuario, buzones técnicos seguros, logs de automatización y modelos algorítmicos anti-fraude. Canal de atención: [email protected].
• Responsable de la Infraestructura Transaccional y de Cuentas (Coinsenda): PHI COLOMBIA S.A.S. (NIT 901.130.547-2) actúa como Responsable autónomo del tratamiento de los datos personales requeridos para la apertura de cuenta, validación KYC/SAGRLAFT y custodia de DCOP en su infraestructura transaccional propia (www.coinsenda.com), rigiéndose dicho tratamiento por su propia Política de Privacidad disponible en https://coinsenda.com/legal/privacidad. Canales: [email protected] o [email protected].

1. AVISO DE PRIVACIDAD

En Comfirme agradecemos la confianza depositada en nuestra solución tecnológica para automatizar la confirmación de pagos digitales, optimizar recaudos e interoperabilizar con la infraestructura de Activos y Bienes Virtuales (DCOP).

La información comercial, operativa y técnica recibida de nuestros usuarios será tratada bajo las más rigurosas condiciones de confidencialidad, integridad y seguridad, para evitar su alteración, pérdida, fuga o acceso no autorizado por parte de terceros, dando cabal cumplimiento a las normas legales sobre protección de datos personales vigentes en la República de Colombia.

El tratamiento de datos personales comprende su recolección, almacenamiento, uso, transmisión técnica autorizada y oportuna supresión, respetando las normas legales vigentes y los alcances funcionales del servicio autorizado por cada usuario.

BASES DE DATOS Y SUS FINALIDADES

La finalidad del tratamiento de datos personales, según la clase de base de datos gestionada y administrada, tiene finalidades legítimas, las cuales se detallan a continuación:

Bases de datos de Clientes (Negocios y Usuarios). Finalidad:

• Mantener un relacionamiento con los clientes del sitio web y plataforma destinado para la confirmación de transacciones en tiempo real, registro de llaves Bre-B, recaudos, dispersiones y la compra, venta e intercambio de bienes virtuales.
• Verificar el cumplimiento de los compromisos adquiridos por los clientes y con los clientes.
• Realizar encuestas de satisfacción con los clientes y métricas de calidad del servicio.
• Promocionar otros bienes, funcionalidades y servicios de la compañía.
• Actualizar los datos de los clientes.
• Mantener una relación comercial estable, transparente y duradera con los clientes.
• Enviar información con fines comerciales, de avisos operativos en tiempo real o de atención al cliente.
• Brindar un adecuado y efectivo servicio de soporte transaccional y técnico.
• Cumplir con las obligaciones contractuales y regulatorias.
• Enviar información sobre actualizaciones o modificaciones al contrato, términos y condiciones o políticas de privacidad.
• Consultar en listas restrictivas y bases de datos públicas de carácter nacional e internacional, que incluyen, pero no se limitan, a las siguientes:
  1. OFAC (Office of Foreign Assets Control de los Estados Unidos).
  2. Comité de Sanciones del Consejo de Seguridad de las Naciones Unidas.
  3. Lista de los más buscados del FBI.
  4. Interpol.
  5. DEA.
  6. Policía Nacional de Colombia.
  7. Contraloría General de la República (Boletín de Responsables Fiscales).
  8. Procuraduría General de la Nación (SIRI).
  9. Todas aquellas que sean requeridas para el cumplimiento de las Políticas de prevención de lavado de activos, financiación del terrorismo y mitigación de fraude (SAGRLAFT / SARLAFT) aplicables a las plataformas de infraestructura transaccional y a los esquemas de mitigación de riesgo de Comfirme.

Base de datos de Proveedores. Finalidad:

• Solicitar el abastecimiento de bienes, licencias, conectividad y servicios necesarios para el desarrollo del objeto social.
• Realizar los pagos por la venta de bienes o la prestación de servicios.
• Gestionar los certificados tributarios por las retenciones tributarias practicadas.
• Actualizar los datos de los proveedores.
• Mantener una relación comercial estable y duradera con los proveedores.
• Consultar en listas restrictivas y bases de datos públicas de carácter nacional e internacional, que incluyen, pero no se limitan, a: OFAC, Comité de Sanciones de la ONU, FBI, Interpol, DEA, Policía Nacional de Colombia, Contraloría General de la República, Procuraduría General de la Nación y todas aquellas requeridas para el cumplimiento del SAGRLAFT/SARLAFT y políticas anti-soborno.

Base de datos de Trabajadores. Finalidad:

• Realizar pagos de nómina y honorarios.
• Realizar pagos de prestaciones sociales, seguridad social integral y parafiscales.
• Conceder permisos y licencias.
• Conceder y liquidar vacaciones.
• Actualizar los datos de trabajadores y beneficiarios.
• Enviar información sobre actualizaciones o modificaciones al contrato o reglamentos internos.
• Programar y ejecutar capacitaciones y bienestar.
• Realización de evaluaciones periódicas de desempeño.
• Ejecución de procesos disciplinarios conforme al reglamento interno.
• Contactar a familiares en casos de emergencia médica o laboral.
• Consultar en listas restrictivas y bases de datos públicas de carácter nacional e internacional en cumplimiento de las políticas de prevención de riesgos (SAGRLAFT / SARLAFT).

Base de datos de Candidatos. Finalidad:

• Establecer contacto dentro del proceso de selección y reclutamiento.
• Enviar información de los avances de las etapas del proceso de selección.
• Enviar información sobre la contratación, oferta económica o demás obligaciones a las que haya lugar.
• Realización de pruebas técnicas, psicotécnicas y de seguridad.
• Consultar en listas restrictivas y bases de datos públicas de carácter nacional e internacional (OFAC, ONU, FBI, Interpol, DEA, Policía Nacional, Contraloría, Procuraduría y SAGRLAFT).

VIGENCIA DE LAS BASES DE DATOS

La vigencia de las bases de datos se encuentra determinada por el tiempo en que su existencia sea razonablemente necesaria para realizar el Tratamiento de Datos Personales o por el tiempo que se determine en la normatividad legal, fiscal, contable y financiera aplicable a cada una de ellas (habitualmente entre cinco (5) y diez (10) años conforme a las normas mercantiles y de prevención de lavado de activos de la República de Colombia).

CATEGORÍAS ESPECIALES DE DATOS (DATOS SENSIBLES)

Datos sensibles: Los Datos Sensibles son entendidos como aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.

El Tratamiento sobre Datos Sensibles se encuentra prohibido, salvo en los siguientes casos taxativos contemplados en el artículo 6 de la Ley 1581 de 2012:

1. El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.
2. El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.
3. El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.
4. El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
5. El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

Comfirme obtendrá de los Titulares una autorización previa, explícita e informada para el Tratamiento de Datos Sensibles cuando sea estrictamente indispensable, informando de manera clara que no están obligados a otorgar tal autorización.

En el marco del mandato de enrolamiento e integración tecnológica asistida para la apertura de cuentas ante la plataforma independiente de Coinsenda (PHI COLOMBIA S.A.S.), los datos biométricos faciales (prueba de vida y cotejo fotográfico) y copias de documentos de identidad son transmitidos de forma cifrada para dar cumplimiento a los deberes de debida diligencia y conocimiento del cliente con base en las Políticas de prevención, detección, monitoreo y control de lavado de activos y financiamiento del terrorismo (SAGRLAFT) propias de dicha entidad receptora. Comfirme preserva dichos recaudos documentales únicamente en memoria caché volátil y temporal durante el lapso de verificación, eliminándolos de manera automática e irreversible una vez concluido el trámite.

ARQUITECTURA DE TRATAMIENTO, MANDATO TECNOLÓGICO, CACHÉ TEMPORAL E INTELIGENCIA ARTIFICIAL

1. Mandato de Enrolamiento y Asistencia Tecnológica ante Coinsenda (PHI COLOMBIA S.A.S.):

El registro de personas naturales y la habilitación de cuentas para dispersiones, recaudos y llaves de acceso se procesan a través de la infraestructura técnica de Coinsenda (operada por PHI COLOMBIA S.A.S. · NIT 901.130.547-2 y Rise Holding S.A.S., conforme a sus Términos y Condiciones en https://coinsenda.com/legal/terminos). El usuario otorga a Comfirme un mandato expreso de asistencia tecnológica para diligenciar y remitir en su nombre la solicitud de apertura de cuenta y los recaudos documentales KYC requeridos, reconociendo en todo momento que la titularidad jurídica y patrimonial de la cuenta es exclusiva e intransferible del usuario, y que los saldos y unidades de cuenta operan en DCOP (Capital Operativo de la Plataforma, bien virtual con paridad 1:1 frente al peso colombiano).

2. Identificadores Técnicos de Comunicación, Canal de Enrutamiento y Buzón Seguro:

Para garantizar la continuidad técnica, la recepción ininterrumpida de notificaciones transaccionales vía webhooks y el aislamiento de riesgos, Comfirme asocia a la integración un identificador técnico de enrutamiento y buzón seguro de comunicaciones vinculado unívocamente al Titular. Dicho canal opera exclusivamente para la orquestación técnica de eventos transaccionales, consultas de estado y confirmaciones de pago.

3. Generación y Custodia Cifrada de Tokens API bajo Mínimo Privilegio (Zero-Withdrawal Scope) y KMS/HSM:

Las credenciales técnicas de comunicación, tokens de sesión y llaves de acceso API necesarias para la interoperabilidad del software se generan bajo estándares criptográficos avanzados y se almacenan cifradas en reposo y en tránsito (TLS 1.3 / AES-256-GCM) utilizando módulos de seguridad en hardware (Cloud KMS / HSM certificados bajo el estándar FIPS 140-2 Nivel 3). Dichas credenciales cuentan con permisos segregados y estrictamente limitados a lectura de transacciones y generación de llaves de cobro Bre-B, careciendo técnicamente de privilegios para efectuar retiros, dispersiones o salidas de fondos. Comfirme no almacena contraseñas en texto plano ni realiza actuaciones discrecionales sobre los recursos del usuario.

4. Almacenamiento Temporal en Caché y Eliminación Automática:

Comfirme únicamente guarda una copia temporal en memoria caché de los datos del usuario mientras Coinsenda lleva a cabo el proceso de verificación y validación KYC de la información. Una vez confirmada o rechazada la verificación por parte de Coinsenda, dicha copia temporal es eliminada de manera inmediata e irreversible de los servidores de Comfirme. Comfirme no mantiene bases de datos persistentes con documentos de identidad ni llaves privadas de custodia.

5. Control del Usuario Mediante PIN Personal, Cifrado scrypt y No Custodia de Fondos:

Comfirme no custodia, no almacena ni retiene el dinero ni los saldos en DCOP de los usuarios. Toda orden de dispersión, recarga, traslado o salida de fondos exige de manera inexorable la autorización explícita del titular mediante la digitación de su PIN de seguridad personal scrypt en tiempo real, o responde a reglas e instrucciones operativas que el usuario configuró y autorizó previamente en la Plataforma (tales como la distribución automática de cobros a bolsillos de apartado o el pago periódico de la suscripción convenida). Comfirme almacena exclusivamente la huella criptográfica del PIN utilizando algoritmos de derivación scrypt con sal, asegurando que ningún funcionario, sistema automatizado ni tercero pueda efectuar transferencias sin la instrucción del titular.

6. Tarjetas VISA, Estructura de Crédito por Mutuo y Gestión con Coinsenda y MONO:

Las tarjetas comerciales, virtuales o físicas bajo la franquicia VISA son emitidas y administradas por Coinsenda (PHI COLOMBIA S.A.S.) a través de entidades emisoras especializadas (como MONO y sus aliados regulados), operando jurídicamente como un contrato de crédito por mutuo respaldado en Activos Virtuales (DCOP). Los datos financieros de consumos nacionales (con 0% de comisión operativa), compras internacionales (con 1.2% de comisión oficial) y microcargos o preautorizaciones de seguridad de plataformas web (como retenciones de prueba del orden de 70 DCOP) son procesados directamente por la infraestructura del emisor y la red VISA. Comfirme no almacena números completos de tarjeta (PAN) ni códigos de seguridad (CVV/CVC) en texto plano.

7. Bolsillos de Apartado y Enrutamiento Lógico de Saldos:

La funcionalidad de bolsillos de apartado permite al usuario crear hasta veinte (20) subcuentas contables lógicas para proteger y organizar sus fondos en DCOP (con costo de 0 DCOP y blindaje frente a consumos ordinarios). Los datos de parametrización y asignación de llaves Bre-B a bolsillos se procesan exclusivamente para ejecutar las instrucciones automáticas de enrutamiento preautorizadas por el usuario.

8. Modelos de Inteligencia Artificial para Detección y Prevención de Fraude:

Comfirme emplea modelos avanzados de inteligencia artificial y machine learning exclusivamente para el análisis en tiempo real de transacciones, prevención de fraudes, análisis de comprobantes y validación de autenticidad criptográfica o patrones sospechosos. Ningún dato personal es vendido, alquilado ni utilizado para entrenar modelos públicos o comerciales de terceros.

9. Transmisión Cifrada y Medidas de Seguridad:

Toda comunicación entre el dispositivo del usuario, los servidores de Comfirme y las APIs de Coinsenda (PHI COLOMBIA S.A.S.) y MONO viaja mediante canales cifrados de alto estándar (TLS 1.3 / AES-256). Se aplican controles de acceso restringido, principios de mínimo privilegio y monitoreo continuo de seguridad.

DERECHOS DE LOS TITULARES DE DATOS PERSONALES

Son derechos de los titulares de los datos personales sobre los cuales se realice tratamiento los siguientes:

• Conocer, actualizar y rectificar: Dirigirse a Comfirme (a través de [email protected]) respecto de la información gestionada en la plataforma de software, o directamente a PHI COLOMBIA S.A.S. (a través de [email protected]) para datos de su cuenta transaccional independiente, con el fin de conocer, actualizar y rectificar sus datos personales. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
• Solicitar prueba de la autorización: Solicitar prueba de la autorización otorgada al respectivo Responsable del tratamiento, salvo cuando, de acuerdo con la Ley, el Tratamiento no lo requiera.
• Ser informado del uso: Ser informado, previa solicitud efectuada a través de los canales dispuestos, respecto del uso que se les ha dado a sus datos personales.
• Portabilidad y Desvinculación Soberana: Solicitar la exportación de sus historiales de transacciones y conciliaciones en formatos estándar legibles por máquina (CSV/JSON), así como la desvinculación técnica del software de Comfirme respecto a su cuenta en Coinsenda en cualquier momento, sin penalizaciones ni retención de datos.
• Quejas ante la SIC: Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a la Ley General 1581 de 2012 y sus decretos reglamentarios.
• Revocatoria y supresión: Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, siempre y cuando no medie un deber legal o contractual que impida su eliminación.
• Acceso gratuito: Acceder en forma gratuita, a través de los canales dispuestos, a sus datos personales que hayan sido objeto de tratamiento.

2. POLÍTICA DE USO DE COOKIES

2.1 Definición de cookie

Una cookie o galleta informática es un archivo que almacena información de navegación del usuario, insertada en un sitio o página web. Comfirme no permitirá el uso de cookies maliciosas o invasivas de sitios no autorizados.

Se podrán usar cookies propias y de terceros para mejorar la experiencia del Cliente y/o Usuario en el uso del Sitio Web y la Plataforma Comfirme, por ejemplo, para recordar las preferencias de navegación, los datos de usuario y sesión o suministrar información relevante debido a la ubicación geográfica del usuario.

La información personal, comercial o técnica que reciba Comfirme de sus Clientes y/o Usuarios por el uso del Sitio Web comfirme.com será tratada con la más estricta confidencialidad, atendiendo las mejores prácticas en materia de protección de datos personales y solamente será revelada por las causales taxativas establecidas en la ley o por solicitud motivada de las autoridades judiciales o administrativas competentes.

2.2 Cookies utilizadas

2.2.1 Cookies propias:

• a. Cookies de sesión: Con ellas se almacenan datos de los usuarios cuando se encuentran navegando en el Sitio Web. Estas cookies se desactivan y eliminan una vez el usuario sale de la plataforma o cierra el navegador.
• b. Cookies permanentes: Con ellas se almacenan datos de los Clientes para recordar la información de acceso seguro y de este modo hacer más fácil y rápido su ingreso a las funcionalidades del panel de Comfirme y sus herramientas integradas.
• c. Cookies necesarias: Son utilizadas para asegurar el correcto funcionamiento técnico, la seguridad y la entrega de servicios en el Sitio Web. Con ellas no se almacena información personal sensible del usuario y/o Cliente.
• d. Cookies de preferencias o personalización: Permiten recordar información que se ajuste al usuario y/o cliente de manera particular en aspectos como el idioma, tipo de navegador, configuración regional y preferencias de interfaz.

2.2.2 Cookies de terceros:

• a. Cookies de Google: Son propias de Google para la aplicación de algunas de sus funcionalidades esenciales de seguridad tales como Google reCAPTCHA y herramientas de análisis técnico. Puede consultarse la política oficial de tipos de cookies de Google en el siguiente enlace: https://policies.google.com/technologies/types?hl=es.

2.3 Desactivación y gestión de cookies

Si el Usuario y/o Cliente desea cambiar la configuración, desactivar o eliminar las cookies, podrá hacerlo directamente desde su navegador, en cualquier momento.

A continuación se presentan los instructivos oficiales para la desactivación y administración de cookies en los diferentes navegadores:

• Google Chrome: https://support.google.com/chrome/answer/95647?co=GENIE.Platform%3DDesktop&hl=es-419
• Apple Safari: https://support.apple.com/es-co/guide/safari/sfri11471/mac
• Mozilla Firefox: https://support.mozilla.org/es/kb/Deshabilitar%20cookies%20de%20terceros
• Microsoft Edge: https://support.microsoft.com/es-es/help/4027947/microsoft-edge-delete-cookies
• Internet Explorer: https://support.microsoft.com/es-co/help/17442/windows-internet-explorer-delete-manage-cookies

CANALES DE ATENCIÓN Y CONTACTO

Para cualquier consulta, petición, queja, reclamo (PQR) o ejercicio de los derechos de Habeas Data relativos a la plataforma, servicios o software de Comfirme, puede comunicarse directamente al correo electrónico: [email protected].

Para consultas o solicitudes relativas al tratamiento de datos personales en la infraestructura transaccional de cuentas en DCOP administradas de forma independiente por PHI COLOMBIA S.A.S. (Coinsenda), los canales de atención dispuestos por dicha entidad son: [email protected] e [email protected] (Cra 9 # 115-06/30, Bogotá D.C., Colombia).

Para presentar quejas ante la autoridad de protección de datos personales en Colombia, puede acudir ante la Superintendencia de Industria y Comercio (SIC): https://sedeelectronica.sic.gov.co/.

Consulta los Términos y Condiciones generales de Coinsenda en: https://coinsenda.com/legal/terminos.