Política de Tratamiento de Datos Personales

Política de Tratamiento de Datos Personales — MICAPI S.A.S.

Versión: 1.8 Fecha de entrada en vigencia: A partir de su publicación en la Plataforma.

---

1. Identificación del Responsable del Tratamiento

Razón social: MICAPI S.A.S. NIT: 902.078.834-3 Domicilio: Carrera 26 # 45-30, Villavicencio, Departamento del Meta, República de Colombia. Teléfono: +57 310 300 3668 Correo electrónico de contacto (habeas data): privacidad@micapi.com Representante Legal: William Andrés Rodríguez Mora

---

2. Marco Legal

Esta Política se rige por:

• Ley 1581 de 2012 — Régimen general de protección de datos personales.
• Decreto 1377 de 2013 — Reglamentación parcial de la Ley 1581/2012.
• Decreto Único Reglamentario 1074 de 2015 (Libro 2, Parte 2, Título 3).
• Ley 1266 de 2008 — Habeas data financiero.
• Resolución UIAF 314 de 2021 — Obligaciones de reporte a la UIAF de los proveedores de servicios de activos virtuales (operaciones sospechosas, transacciones y clientes) a través del SIREL.
• Resolución DIAN 000240 de 2025 (CARF) — Reporte de activos virtuales.
• GAFI Recomendación 16 — Travel Rule para transferencias entre PSAVs.

---

3. Ámbito de Aplicación

Esta Política aplica a todos los datos personales recopilados, almacenados, usados, circulados o suprimidos por MICAPI S.A.S. en el ejercicio de su objeto social, incluyendo:

• Usuarios de la Plataforma MiCapi (personas naturales y jurídicas).
• Contratistas y colaboradores externos.
• Prospectos y visitantes que interactúen con canales digitales de MiCapi.

---

4. Definiciones

---

5. Datos Personales que se Recopilan

5.1 Persona Natural — Usuario de la Plataforma

Datos de identidad:

• Nombre completo.
• Número de cédula de ciudadanía (o pasaporte / documento de identificación extranjero).
• Fecha y lugar de expedición del documento.
• Fecha de vencimiento del documento (solo cuando el documento la incorpore; la cédula de ciudadanía amarilla no vence).
• Fecha de nacimiento.
• Lugar de nacimiento (ciudad, departamento, país).
• Género (cuando sea requerido por el proveedor de verificación biométrica).
• Selfie biométrico vinculado al documento (prueba de vida + match facial) — dato sensible de naturaleza biométrica (ver §5.3 y §7).

Datos de contacto:

• Correo electrónico (verificado por OTP).
• Número de teléfono celular (verificado por OTP).
• Dirección de residencia (calle/carrera, número, ciudad, departamento, código postal).

Datos financieros y tributarios:

• Ocupación / actividad económica declarada.
• Número de cuenta bancaria y entidad financiera (para cash-in / cash-out).
• Número de NIT o identificación tributaria en jurisdicciones de residencia fiscal (para CARF).
• País(es) de residencia fiscal.
• Condición de Persona Expuesta Políticamente (PEP), su calidad —propia, por vínculo familiar o por asociación— y el cargo o función pública y la entidad correspondientes. Cuando la condición provenga de un vínculo, el cargo y la entidad son los de la persona vinculada; de esa persona no se recopilan el documento de identidad ni los datos de contacto.
• Origen declarado de los fondos.
• Rango de ingresos mensuales declarado por el Titular.
• Registro de las declaraciones bajo juramento del Titular —origen lícito de los fondos, actuación por cuenta propia y no inclusión en listas restrictivas— con la fecha y hora en que fueron otorgadas.

Datos de la Plataforma:

• Dirección(es) de wallet externa(s) registradas para retiro, junto con las declaraciones que el Titular otorga al registrarlas: que la dirección es de su titularidad exclusiva y si corresponde o no a un proveedor de servicios de activos virtuales.
• Historial de transacciones (compraventa de activos virtuales, swaps, retiros, depósitos).
• Dirección IP, user-agent y metadatos técnicos de cada sesión.
• Identificador del dispositivo para notificaciones (token de FCM/APNs) y plataforma del aparato, asociados a la cuenta del Titular para enviarle avisos de sus operaciones y de seguridad.
• Confirmación expresa de la operación y de su monto, que MiCapi le pide al Titular y registra cuando la operación supera el umbral de monto alto que MiCapi fija.
• Código de referido utilizado al registrarse y la relación de referencia resultante entre el Titular y el Usuario que lo refirió, cuando el registro se realice por esa vía.
• Contenido de las peticiones, quejas, reclamos y solicitudes de actualización que el Titular dirija a MiCapi, junto con los documentos que adjunte para sustentarlas.
• Registro de aceptación de Términos y Condiciones y de esta Política (timestamp, IP, user-agent).

5.2 Persona Jurídica — Usuario Empresarial

Adicionalmente a los datos del representante legal y los beneficiarios finales (como personas naturales):

• Razón social y NIT.
• Certificado de existencia y representación legal.
• Acta(s) de asamblea o junta relevantes.
• Composición accionaria (hasta identificar beneficiario(s) final(es) con ≥ 25 % de participación).
• Dirección registrada y comercial.
• Teléfono empresarial.
• Estados financieros recientes (para clientes de alto riesgo o debida diligencia ampliada).

5.3 Datos Sensibles: qué SÍ se trata y qué NO se recopila

MiCapi sí trata una categoría de datos sensibles: los datos biométricos capturados durante la verificación de identidad (selfie, prueba de vida y comparación facial contra el documento de identidad). La Ley 1581 de 2012 (art. 5) califica los datos biométricos como datos sensibles. Su tratamiento se realiza únicamente con la autorización previa, expresa e informada del Titular y con las finalidades exclusivas de verificación de identidad, prevención de fraude y prevención de LA/FT descritas en el §7.

Fuera de los datos biométricos, MiCapi no recopila ninguna otra categoría de datos sensibles (origen racial o étnico, salud, vida u orientación sexual, convicciones religiosas o filosóficas, afiliación política o sindical), salvo que una norma legal lo exija expresamente. Tampoco recopila datos de menores de 18 años — la Plataforma no está habilitada para menores — ni datos de terceros ajenos a la relación con el Usuario, con una única excepción. Cuando la condición de Persona Expuesta Políticamente del Usuario proviene de un vínculo familiar o de asociación, MiCapi le pide, como parte de su debida diligencia de prevención de LA/FT, el cargo o función pública y la entidad de la persona vinculada (§5.1). Solo se registran esos dos datos —no el documento de identidad ni los datos de contacto de esa persona—, se usan únicamente para prevenir el LA/FT y se conservan el mismo plazo que los datos de identidad del §10.

---

6. Finalidades del Tratamiento

---

7. Tratamiento de Datos Sensibles (biométricos)

MiCapi trata datos sensibles de naturaleza biométrica: la fotografía tipo selfie, la prueba de vida (liveness) y los resultados de la comparación facial contra el documento de identidad. Conforme al artículo 5 de la Ley 1581 de 2012, los datos biométricos son datos sensibles, y su tratamiento se sujeta a las condiciones reforzadas del artículo 6 de la Ley 1581 de 2012 y del artículo 6 del Decreto 1377 de 2013. Condiciones de este tratamiento:

• Autorización previa, expresa e informada del Titular (Ley 1581/2012, art. 6; Decreto 1377/2013, art. 6), solicitada de manera diferenciada en el flujo de verificación de identidad, informando de forma explícita y previa cuáles datos son sensibles, la finalidad del tratamiento y el carácter facultativo de la autorización.
• Carácter facultativo de la autorización y fundamento de su exigencia. El Titular no está obligado a autorizar el tratamiento de sus datos sensibles y puede negarse a hacerlo. No obstante, la verificación de identidad con componente biométrico es un requisito de debida diligencia del régimen de prevención de LA/FT aplicable a las PSAV —estándar GAFI para proveedores de activos virtuales, cuyas obligaciones de reporte a la UIAF, en particular el reporte de clientes (Resolución 314 de 2021, art. 6) y de operaciones sospechosas (art. 2), presuponen la identificación y el conocimiento del cliente— como condición para vincular a un Usuario: MiCapi, conforme al régimen de prevención de LA/FT que le es aplicable (estándar GAFI y su implementación en el régimen SAGRILAFT que MiCapi tiene adoptado), no puede vincular ni prestar el servicio a un Usuario cuya identidad no haya sido verificada conforme a dicho estándar. Por ello, la consecuencia de no autorizar —la imposibilidad de completar la vinculación— no deriva de una imposición comercial de MiCapi, sino del deber legal de identificación que precede a la prestación del servicio. El tratamiento biométrico es, además, necesario y proporcional a esa finalidad: se limita a lo estrictamente indispensable para verificar la identidad de forma remota con el nivel de certeza que exige el régimen antilavado, y no existe un medio alternativo menos invasivo que ofrezca un grado equivalente de seguridad frente al fraude de identidad y la suplantación. MiCapi no condiciona a la autorización biométrica el acceso a beneficios ajenos a esta finalidad de verificación.
• Finalidades exclusivas: verificación de identidad, prevención de fraude y cumplimiento de las obligaciones de prevención de LA/FT. Los datos biométricos no se usan para ninguna otra finalidad, no se comercializan y no se comparten con terceros distintos del encargado de verificación (§9.1) y de las autoridades competentes cuando exista obligación legal.
• Tratamiento a través de encargado: la captura y comparación biométrica se realiza únicamente a través del proveedor de KYC (§9.1), bajo contrato de transmisión de datos.
• Conservación: conforme a los plazos del §10 (mínimo 5 años — régimen de prevención de LA/FT, estándar GAFI Rec. 11, y régimen SAGRILAFT).

---

8. Autorización del Titular

La autorización para el tratamiento de datos personales se obtiene de forma previa, expresa e informada mediante:

• Marcación de casilla o botón de aceptación al momento del registro en la Plataforma.
• Aceptación de los Términos y Condiciones, que incorporan esta Política por referencia (§11 de los T&C).

Para los datos sensibles biométricos, la autorización se solicita de manera expresa y diferenciada en el flujo de verificación de identidad, informando al Titular —conforme al artículo 6 del Decreto 1377 de 2013— cuáles datos tienen carácter sensible, la finalidad del tratamiento y el carácter facultativo de la autorización (§7).

MiCapi conserva el registro de la autorización (timestamp, IP, user-agent, versión de la Política aceptada) como parte del expediente del Usuario.

Todas las finalidades que el §6 declara son necesarias para prestar el servicio o responden a un deber legal de MiCapi. MiCapi no realiza hoy ninguna finalidad accesoria: no envía comunicaciones comerciales, no manda encuestas ni novedades de la Plataforma, y no mide el uso de la Plataforma con fines de analítica de producto.

El día que MiCapi incorpore alguna de esas finalidades, la declarará en el §6 junto con su propio consentimiento, recogido por separado y nunca premarcado, y el Titular podrá negarse u oponerse en cualquier momento sin que ello afecte su acceso al servicio.

---

9. Transferencia y Transmisión de Datos

9.1 Encargados del Tratamiento (Transmisión)

MiCapi puede transmitir datos personales a los siguientes encargados, bajo contratos de confidencialidad y tratamiento de datos. Las filas o finalidades marcadas «cuando se active» o «cuando se contrate» corresponden a servicios previstos que todavía no están en uso: se enuncian aquí para que el Titular conozca de antemano el alcance del tratamiento, y solo reciben datos a partir del momento en que se activen.

Los Encargados pueden apoyarse en subencargados para prestar el servicio contratado —por ejemplo, la infraestructura en la que alojan los datos—, siempre bajo las mismas obligaciones de confidencialidad y seguridad que asumen frente a MiCapi, y con aviso a MiCapi de los cambios en ellos, en los términos de cada contrato.

9.2 Transferencias a Terceros Responsables

MiCapi transfiere datos a terceros responsables únicamente en los siguientes casos:

• UIAF: reportes de operaciones sospechosas (ROS), reportes de umbral y Travel Rule — obligación legal.
• DIAN: reporte CARF (Resolución 000240/2025) y facturación electrónica de las operaciones — obligación legal.
• Otras PSAVs: datos del originador/beneficiario para cumplir el Travel Rule en transferencias entre plataformas — obligación legal / autorización del Titular.
• Entidades financieras: para verificación y procesamiento de transacciones en COP — ejecución del contrato.
• Autoridades competentes (Fiscalía, SIC, Supersociedades, Policía Judicial): cuando medie orden judicial o requerimiento legal formal.
• Sucesor o cesionario de MiCapi: en caso de fusión, escisión, adquisición u otra reorganización empresarial, o de cesión de la posición contractual en los términos del §17.6 de los Términos y Condiciones, las bases de datos se transfieren al sucesor o cesionario, que queda subrogado como Responsable del tratamiento con las mismas finalidades y garantías de esta Política. La transferencia se comunica previamente al Titular, quien conserva íntegros sus derechos y puede terminar la relación.

Las transferencias internacionales de datos se amparan en las bases del artículo 26 de la Ley 1581 de 2012: (i) la autorización expresa e inequívoca del Titular (literal a); (ii) el envío a países que la Superintendencia de Industria y Comercio ha declarado con un nivel adecuado de protección (Circular Externa SIC 005 de 2017); y (iii) las transferencias necesarias para la ejecución del contrato con el Titular o legalmente exigidas —como las derivadas de la Travel Rule o de los reportes a la UIAF y la DIAN— (literales e y f). Para las transmisiones a Encargados del Tratamiento, MiCapi suscribe los contratos de transmisión exigidos por los artículos 24 y 25 del Decreto 1377 de 2013, en cuyo caso no se requiere autorización adicional del Titular.

---

10. Conservación de Datos

Los datos biométricos se conservan únicamente mientras subsista la obligación legal de conservación del régimen de prevención de LA/FT (cinco años desde el cierre de la cuenta) y no se usan para ninguna otra finalidad durante ese tiempo.

La captura biométrica se realiza a través del encargado de verificación de identidad (§9.1) y es él quien la custodia. Al vencer el plazo de conservación, MiCapi solicita su supresión al encargado conforme al contrato de transmisión de datos, y suprime de su propia infraestructura los datos asociados. El plazo de ejecución de la supresión del lado del encargado es el que fije ese contrato.

Vencidos los plazos y cuando no exista obligación legal de conservación, los datos serán suprimidos o anonimizados de forma irreversible.

---

11. Medidas de Seguridad

MiCapi adopta medidas técnicas, humanas y administrativas para proteger los datos personales contra acceso no autorizado, pérdida, alteración o destrucción, incluyendo:

• Cifrado en tránsito (TLS) y en reposo.
• Control de acceso basado en roles (solo personal autorizado accede a datos personales).
• Registro de auditoría de accesos a datos sensibles.
• Contratos de confidencialidad con todos los encargados y contratistas.
• Plan de respuesta ante incidentes de seguridad (ver §11.1).

11.1 Protocolo ante incidentes de seguridad

MiCapi trata datos sensibles biométricos: una brecha es el escenario que más daño puede causarle al Titular, y por eso el procedimiento está escrito y no se improvisa. Ante un incidente que comprometa la seguridad de los datos personales, MiCapi:

1. Contiene y evalúa el incidente apenas lo detecta, y deja registro de la detección, el alcance y las medidas adoptadas.
2. Notifica a la Superintendencia de Industria y Comercio las violaciones a los códigos de seguridad y los riesgos en la administración de la información (Ley 1581 de 2012, artículos 17 lit. n y 18 lit. k), por el canal que la SIC disponga, dentro de los quince (15) días hábiles siguientes a la detección.
3. Comunica al Titular afectado, por el correo registrado y por la Plataforma, cuando el incidente comprometa datos sensibles —incluidos los biométricos— o datos financieros, o cuando pueda generarle un riesgo o un perjuicio. La comunicación indicará qué datos se vieron comprometidos, las medidas adoptadas y las recomendaciones para el Titular.
4. Adopta las medidas correctivas necesarias para impedir que el incidente se repita.

Los plazos señalados son el estándar operativo que MiCapi se fija a sí misma; en todo caso se aplicarán las instrucciones que imparta la SIC.

---

12. Derechos del Titular

Conforme a la Ley 1581 de 2012, el Titular tiene derecho a:

• Conocer los datos personales que MiCapi tiene sobre él.
• Actualizar sus datos cuando sean inexactos, incompletos o desactualizados.
• Rectificar datos que no correspondan a la realidad.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
• Solicitar prueba de la autorización otorgada a MiCapi, salvo cuando la ley exceptúe la autorización como base del tratamiento.
• Ser informado, previa solicitud, respecto del uso que MiCapi ha dado a sus datos personales.
• Suprimir sus datos cuando no exista obligación legal de conservarlos (derecho al olvido). Nota: la supresión puede no ser posible durante la vigencia de obligaciones UIAF/DIAN.
• Revocar la autorización para finalidades no obligatorias por ley, sin que esto afecte la prestación del servicio donde el tratamiento sea necesario.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) si considera que MiCapi ha vulnerado la normativa de protección de datos.

12.1 Decisiones automatizadas

Algunas decisiones sobre la cuenta del Titular se toman de forma automatizada (verificación de identidad, señales de riesgo de LA/FT, límites operativos por segmento). Si una de ellas le resulta desfavorable, el Titular puede pedir por el canal del §13 una explicación de los criterios principales que la produjeron y solicitar que una persona la revise; MiCapi responde en los plazos del §13. Cuando la decisión se origine en el sistema de administración del riesgo LA/FT, la explicación se limita a los criterios generales: la normativa aplicable prohíbe revelar los análisis internos de prevención de lavado de activos.

---

13. Procedimiento para Ejercer los Derechos

El Titular o su representante puede elevar consultas o reclamos mediante:

• Correo electrónico: privacidad@micapi.com (o el correo oficial habilitado)
• Canal en la Plataforma: sección "Privacidad y datos" dentro de la aplicación.

Plazos de respuesta:

• Consultas: 10 días hábiles; prorrogables 5 días hábiles adicionales con comunicación al Titular.
• Reclamos: 15 días hábiles; prorrogables 8 días hábiles adicionales con comunicación al Titular.

Si el reclamo resulta incompleto, MiCapi requerirá al Titular para que subsane las fallas dentro de los cinco (5) días hábiles siguientes a la recepción del reclamo. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el Titular presente la información requerida, se entenderá que ha desistido del reclamo (Ley 1581 de 2012, art. 15). Este desistimiento es una figura distinta del derecho de retracto del Estatuto del Consumidor, regulado en los Términos y Condiciones (§6.8).

Cuando MiCapi reciba un reclamo respecto del cual no sea el responsable competente para resolverlo, dará traslado al competente dentro de los dos (2) días hábiles siguientes e informará de ello al Titular. Recibido un reclamo completo, MiCapi incluirá en su base de datos, dentro de los dos (2) días hábiles siguientes, una leyenda que diga «reclamo en trámite» y el motivo del mismo, la cual se mantendrá hasta que el reclamo sea decidido (Ley 1581 de 2012, art. 15).

---

14. Datos de Menores de Edad

La Plataforma MiCapi no está dirigida a menores de 18 años y no recopila ni trata datos de menores de forma intencionada. Si MiCapi detecta que ha recopilado datos de un menor de edad, procederá a suprimirlos de inmediato, con independencia de cualquier autorización, salvo los datos que MiCapi esté legalmente obligada a conservar (sección 10), los cuales serán bloqueados y no se usarán para ninguna otra finalidad.

---

15. Cambios en la Política

MiCapi puede actualizar esta Política en cualquier momento. Los cambios sustanciales serán comunicados al Titular con al menos 30 días de anticipación a su entrada en vigencia, mediante correo electrónico o notificación en la Plataforma. El uso continuado de la Plataforma después de la fecha de vigencia del cambio implica la aceptación de la nueva versión. Si el Titular no acepta los cambios, puede solicitar la supresión de su cuenta y datos (sujeto a los plazos de conservación legal).

---

16. Vigencia

Esta Política rige a partir de su publicación en la Plataforma y permanecerá vigente hasta que sea reemplazada por una versión posterior.

Vigencia de las bases de datos. Las bases de datos de MiCapi permanecen vigentes mientras subsista la relación con el Titular y, terminada esta, durante los plazos de conservación de la sección 10, que responden a deberes legales de orden tributario y de prevención de LA/FT. Cumplidos esos plazos, los datos se suprimen o se anonimizan.

---

17. Contacto

Para cualquier asunto relacionado con el tratamiento de datos personales:

MICAPI S.A.S. Carrera 26 # 45-30, Villavicencio, Meta, Colombia. Web: https://micapi.com | Tel: +57 310 300 3668 Correo habeas data: privacidad@micapi.com Correo legal: legal@micapi.com Canal del Oficial de Cumplimiento: privacidad@micapi.com

---

Versión 1.8 — Actualizada el 2026-09-08. Cambios de la v1.8 (sin cambio en los derechos del Titular, los plazos del §13 ni las bases legales de las finalidades preexistentes): (i) el §5.1 precisa que, cuando la condición de PEP proviene de un vínculo familiar o de asociación, se registran el cargo y la entidad de la persona vinculada —y solo esos dos datos—, y completa el catálogo con las declaraciones que acompañan al registro de una wallet externa, la afirmación exigida en operaciones de monto alto, el código y la relación de referido, y el contenido y los adjuntos de las solicitudes que el Titular dirige a MiCapi; (ii) el §5.3 acota con una excepción expresa la regla de no recopilar datos de terceros, que hasta esta versión contradecía al §5.1 en el caso del PEP vinculado; (iii) el §6 incorpora tres finalidades —diagnóstico técnico y corrección de fallos mediante reportes sin identificadores directos, prevención del fraude y del abuso durante el uso del servicio, y gestión del registro por código de referido— y corrige la finalidad de mejora del servicio, que decía «anonimizados» cuando el dato que se trata es seudonimizado; y RETIRA del §6 las dos finalidades accesorias que MiCapi no realiza —envío de comunicaciones comerciales y novedades, y medición del uso de la Plataforma—, con lo que el §8 deja de prometer una separación y un derecho de oposición sobre finalidades que no existen y el §9.1 deja de anunciar al proveedor de analítica; el día que alguna se incorpore volverá junto con su propio consentimiento, recogido por separado y nunca premarcado; (iv) el §9.1 declara a los proveedores de notificaciones push y de mensajería por WhatsApp, amplía las finalidades del proveedor de verificación de identidad —que también analiza el riesgo de las direcciones de criptoactivos— y del proveedor de infraestructura —que además presta el servicio de nombres de dominio y de correo—, enuncia con la marca «cuando se active» los servicios previstos que aún no reciben datos, y explica que los Encargados pueden apoyarse en subencargados bajo las mismas obligaciones. Versión 1.7 — Actualizada el 2026-09-05. Cambios de la v1.7 (sin cambio en las bases legales, los derechos del Titular ni los plazos del §13): (i) el §5.1 completa el catálogo con el rango de ingresos declarado, el registro de las declaraciones bajo juramento y el identificador del dispositivo para notificaciones; (ii) el §8 separa las finalidades necesarias de las accesorias y declara el derecho a oponerse a estas sin perder el servicio; (iii) el §9.1 precisa el país en que cada encargado trata los datos y que el proveedor de verificación también valida el número de teléfono; (iv) el §10 fija que los datos biométricos se conservan solo mientras subsista la obligación legal y, al vencer, MiCapi solicita su supresión al encargado que los custodia y suprime los datos asociados en su propia infraestructura; (v) el nuevo §12.1 explica las decisiones automatizadas y el derecho a pedir sus criterios y su revisión por una persona. Incorpora las instrucciones de la Circular Externa SIC 001 de 2025. Versión 1.6 — Actualizada el 2026-08-09. Cambios de la v1.6 (ampliación del catálogo de datos de identidad del §5.1, sin cambio en las finalidades, las bases legales, los encargados, los plazos de conservación ni los derechos del Titular): se declaran el lugar de nacimiento —dato que el régimen de prevención de LA/FT y el reporte CARF (Resolución DIAN 000240 de 2025) ya exigen y que el §5.1 omitía— y la fecha de vencimiento del documento de identidad, que el proveedor de verificación lee del documento presentado y que solo existe en los documentos que la incorporan: la cédula de ciudadanía amarilla no vence. Versión 1.5 — Actualizada el 2026-08-05. Cambios de la v1.5 (minimización de datos personales de terceros, sin efecto sobre los derechos ni las finalidades del Titular): se retira el número de cédula del representante legal y el nombre de la Oficial de Cumplimiento —ninguno de los dos lo exige el Decreto 1377 art. 13— dejando el canal privacidad@micapi.com como vía de contacto; se actualiza el teléfono del Responsable a uno corporativo; y se agrega el teléfono en §1, que el art. 13.1 exige junto al domicilio y el correo y que la v1.4 omitía. Versión 1.4 — Actualizada el 2026-07-13 (v1.0 elaborada el 2026-05-08). Cambios de la v1.4: se detalla el protocolo ante incidentes de seguridad (§11.1) con plazos, criterio de comunicación al Titular y medidas correctivas; se declara la vigencia de las bases de datos (§16, Decreto 1377 art. 13.6); y se divulga la transferencia de las bases de datos a un sucesor o cesionario de MiCapi en caso de reorganización empresarial (§9.2), en espejo con la cláusula de cesión de los Términos y Condiciones. Cambios previos de la v1.3: catálogo completo de derechos del artículo 8, base correcta de las transferencias internacionales (artículo 26), piezas faltantes del artículo 15, y reencuadre de la base SAGRILAFT (la Resolución UIAF 314 de 2021 impone obligaciones de reporte, no de debida diligencia). Registro Nacional de Bases de Datos (RNBD): MICAPI S.A.S. no está obligada a inscribirse por no superar el umbral de activos del Decreto 090 de 2018; la obligación se reevalúa en cada cierre contable anual.