Política de Tratamiento de Datos Personales

Política de Tratamiento de Datos Personales — MICAPI S.A.S.

Versión: 1.5 Fecha de entrada en vigencia: A partir de su publicación en la Plataforma.

---

1. Identificación del Responsable del Tratamiento

Razón social: MICAPI S.A.S. NIT: 902.078.834-3 Domicilio: Carrera 26 # 45-30, Villavicencio, Departamento del Meta, República de Colombia. Teléfono: +57 310 300 3668 Correo electrónico de contacto (habeas data): privacidad@micapi.com Representante Legal: William Andrés Rodríguez Mora

---

2. Marco Legal

Esta Política se rige por:

• Ley 1581 de 2012 — Régimen general de protección de datos personales.
• Decreto 1377 de 2013 — Reglamentación parcial de la Ley 1581/2012.
• Decreto Único Reglamentario 1074 de 2015 (Libro 2, Parte 2, Título 3).
• Ley 1266 de 2008 — Habeas data financiero.
• Resolución UIAF 314 de 2021 — Obligaciones de reporte a la UIAF de los proveedores de servicios de activos virtuales (operaciones sospechosas, transacciones y clientes) a través del SIREL.
• Resolución DIAN 000240 de 2025 (CARF) — Reporte de activos virtuales.
• GAFI Recomendación 16 — Travel Rule para transferencias entre PSAVs.

---

3. Ámbito de Aplicación

Esta Política aplica a todos los datos personales recopilados, almacenados, usados, circulados o suprimidos por MICAPI S.A.S. en el ejercicio de su objeto social, incluyendo:

• Usuarios de la Plataforma MiCapi (personas naturales y jurídicas).
• Contratistas y colaboradores externos.
• Prospectos y visitantes que interactúen con canales digitales de MiCapi.

---

4. Definiciones

---

5. Datos Personales que se Recopilan

5.1 Persona Natural — Usuario de la Plataforma

Datos de identidad:

• Nombre completo.
• Número de cédula de ciudadanía (o pasaporte / documento de identificación extranjero).
• Fecha y lugar de expedición del documento.
• Fecha de nacimiento.
• Género (cuando sea requerido por el proveedor de verificación biométrica).
• Selfie biométrico vinculado al documento (prueba de vida + match facial) — dato sensible de naturaleza biométrica (ver §5.3 y §7).

Datos de contacto:

• Correo electrónico (verificado por OTP).
• Número de teléfono celular (verificado por OTP).
• Dirección de residencia (calle/carrera, número, ciudad, departamento, código postal).

Datos financieros y tributarios:

• Ocupación / actividad económica declarada.
• Número de cuenta bancaria y entidad financiera (para cash-in / cash-out).
• Número de NIT o identificación tributaria en jurisdicciones de residencia fiscal (para CARF).
• País(es) de residencia fiscal.
• Condición de Persona Expuesta Políticamente (PEP) y su calidad.
• Origen declarado de los fondos.

Datos de la Plataforma:

• Dirección(es) de wallet externa(s) registradas para retiro.
• Historial de transacciones (compraventa de activos virtuales, swaps, retiros, depósitos).
• Dirección IP, user-agent y metadatos técnicos de cada sesión.
• Registro de aceptación de Términos y Condiciones y de esta Política (timestamp, IP, user-agent).

5.2 Persona Jurídica — Usuario Empresarial

Adicionalmente a los datos del representante legal y los beneficiarios finales (como personas naturales):

• Razón social y NIT.
• Certificado de existencia y representación legal.
• Acta(s) de asamblea o junta relevantes.
• Composición accionaria (hasta identificar beneficiario(s) final(es) con ≥ 25 % de participación).
• Dirección registrada y comercial.
• Teléfono empresarial.
• Estados financieros recientes (para clientes de alto riesgo o debida diligencia ampliada).

5.3 Datos Sensibles: qué SÍ se trata y qué NO se recopila

MiCapi sí trata una categoría de datos sensibles: los datos biométricos capturados durante la verificación de identidad (selfie, prueba de vida y comparación facial contra el documento de identidad). La Ley 1581 de 2012 (art. 5) califica los datos biométricos como datos sensibles. Su tratamiento se realiza únicamente con la autorización previa, expresa e informada del Titular y con las finalidades exclusivas de verificación de identidad, prevención de fraude y prevención de LA/FT descritas en el §7.

Fuera de los datos biométricos, MiCapi no recopila ninguna otra categoría de datos sensibles (origen racial o étnico, salud, vida u orientación sexual, convicciones religiosas o filosóficas, afiliación política o sindical), salvo que una norma legal lo exija expresamente. Tampoco recopila datos de menores de 18 años — la Plataforma no está habilitada para menores — ni datos de terceros que el Usuario no esté autorizado a compartir.

---

6. Finalidades del Tratamiento

---

7. Tratamiento de Datos Sensibles (biométricos)

MiCapi trata datos sensibles de naturaleza biométrica: la fotografía tipo selfie, la prueba de vida (liveness) y los resultados de la comparación facial contra el documento de identidad. Conforme al artículo 5 de la Ley 1581 de 2012, los datos biométricos son datos sensibles, y su tratamiento se sujeta a las condiciones reforzadas del artículo 6 de la Ley 1581 de 2012 y del artículo 6 del Decreto 1377 de 2013. Condiciones de este tratamiento:

• Autorización previa, expresa e informada del Titular (Ley 1581/2012, art. 6; Decreto 1377/2013, art. 6), solicitada de manera diferenciada en el flujo de verificación de identidad, informando de forma explícita y previa cuáles datos son sensibles, la finalidad del tratamiento y el carácter facultativo de la autorización.
• Carácter facultativo de la autorización y fundamento de su exigencia. El Titular no está obligado a autorizar el tratamiento de sus datos sensibles y puede negarse a hacerlo. No obstante, la verificación de identidad con componente biométrico es un requisito de debida diligencia del régimen de prevención de LA/FT aplicable a las PSAV —estándar GAFI para proveedores de activos virtuales, cuyas obligaciones de reporte a la UIAF, en particular el reporte de clientes (Resolución 314 de 2021, art. 6) y de operaciones sospechosas (art. 2), presuponen la identificación y el conocimiento del cliente— como condición para vincular a un Usuario: MiCapi, conforme al régimen de prevención de LA/FT que le es aplicable (estándar GAFI y su implementación en el régimen SAGRILAFT que MiCapi tiene adoptado), no puede vincular ni prestar el servicio a un Usuario cuya identidad no haya sido verificada conforme a dicho estándar. Por ello, la consecuencia de no autorizar —la imposibilidad de completar la vinculación— no deriva de una imposición comercial de MiCapi, sino del deber legal de identificación que precede a la prestación del servicio. El tratamiento biométrico es, además, necesario y proporcional a esa finalidad: se limita a lo estrictamente indispensable para verificar la identidad de forma remota con el nivel de certeza que exige el régimen antilavado, y no existe un medio alternativo menos invasivo que ofrezca un grado equivalente de seguridad frente al fraude de identidad y la suplantación. MiCapi no condiciona a la autorización biométrica el acceso a beneficios ajenos a esta finalidad de verificación.
• Finalidades exclusivas: verificación de identidad, prevención de fraude y cumplimiento de las obligaciones de prevención de LA/FT. Los datos biométricos no se usan para ninguna otra finalidad, no se comercializan y no se comparten con terceros distintos del encargado de verificación (§9.1) y de las autoridades competentes cuando exista obligación legal.
• Tratamiento a través de encargado: la captura y comparación biométrica se realiza únicamente a través del proveedor de KYC (§9.1), bajo contrato de transmisión de datos.
• Conservación: conforme a los plazos del §10 (mínimo 5 años — régimen de prevención de LA/FT, estándar GAFI Rec. 11, y régimen SAGRILAFT).

---

8. Autorización del Titular

La autorización para el tratamiento de datos personales se obtiene de forma previa, expresa e informada mediante:

• Marcación de casilla o botón de aceptación al momento del registro en la Plataforma.
• Aceptación de los Términos y Condiciones, que incorporan esta Política por referencia (§11 de los T&C).

Para los datos sensibles biométricos, la autorización se solicita de manera expresa y diferenciada en el flujo de verificación de identidad, informando al Titular —conforme al artículo 6 del Decreto 1377 de 2013— cuáles datos tienen carácter sensible, la finalidad del tratamiento y el carácter facultativo de la autorización (§7).

MiCapi conserva el registro de la autorización (timestamp, IP, user-agent, versión de la Política aceptada) como parte del expediente del Usuario.

---

9. Transferencia y Transmisión de Datos

9.1 Encargados del Tratamiento (Transmisión)

MiCapi puede transmitir datos personales a los siguientes encargados, bajo contratos de confidencialidad y tratamiento de datos:

9.2 Transferencias a Terceros Responsables

MiCapi transfiere datos a terceros responsables únicamente en los siguientes casos:

• UIAF: reportes de operaciones sospechosas (ROS), reportes de umbral y Travel Rule — obligación legal.
• DIAN: reporte CARF (Resolución 000240/2025) — obligación legal.
• Otras PSAVs: datos del originador/beneficiario para cumplir el Travel Rule en transferencias entre plataformas — obligación legal / autorización del Titular.
• Entidades financieras: para verificación y procesamiento de transacciones en COP — ejecución del contrato.
• Autoridades competentes (Fiscalía, SIC, Supersociedades, Policía Judicial): cuando medie orden judicial o requerimiento legal formal.
• Sucesor o cesionario de MiCapi: en caso de fusión, escisión, adquisición u otra reorganización empresarial, o de cesión de la posición contractual en los términos del §17.6 de los Términos y Condiciones, las bases de datos se transfieren al sucesor o cesionario, que queda subrogado como Responsable del tratamiento con las mismas finalidades y garantías de esta Política. La transferencia se comunica previamente al Titular, quien conserva íntegros sus derechos y puede terminar la relación.

Las transferencias internacionales de datos se amparan en las bases del artículo 26 de la Ley 1581 de 2012: (i) la autorización expresa e inequívoca del Titular (literal a); (ii) el envío a países que la Superintendencia de Industria y Comercio ha declarado con un nivel adecuado de protección (Circular Externa SIC 005 de 2017); y (iii) las transferencias necesarias para la ejecución del contrato con el Titular o legalmente exigidas —como las derivadas de la Travel Rule o de los reportes a la UIAF y la DIAN— (literales e y f). Para las transmisiones a Encargados del Tratamiento, MiCapi suscribe los contratos de transmisión exigidos por los artículos 24 y 25 del Decreto 1377 de 2013, en cuyo caso no se requiere autorización adicional del Titular.

---

10. Conservación de Datos

Vencidos los plazos y cuando no exista obligación legal de conservación, los datos serán suprimidos o anonimizados de forma irreversible.

---

11. Medidas de Seguridad

MiCapi adopta medidas técnicas, humanas y administrativas para proteger los datos personales contra acceso no autorizado, pérdida, alteración o destrucción, incluyendo:

• Cifrado en tránsito (TLS) y en reposo.
• Control de acceso basado en roles (solo personal autorizado accede a datos personales).
• Registro de auditoría de accesos a datos sensibles.
• Contratos de confidencialidad con todos los encargados y contratistas.
• Plan de respuesta ante incidentes de seguridad (ver §11.1).

11.1 Protocolo ante incidentes de seguridad

MiCapi trata datos sensibles biométricos: una brecha es el escenario que más daño puede causarle al Titular, y por eso el procedimiento está escrito y no se improvisa. Ante un incidente que comprometa la seguridad de los datos personales, MiCapi:

1. Contiene y evalúa el incidente apenas lo detecta, y deja registro de la detección, el alcance y las medidas adoptadas.
2. Notifica a la Superintendencia de Industria y Comercio las violaciones a los códigos de seguridad y los riesgos en la administración de la información (Ley 1581 de 2012, artículos 17 lit. n y 18 lit. k), por el canal que la SIC disponga, dentro de los quince (15) días hábiles siguientes a la detección.
3. Comunica al Titular afectado, por el correo registrado y por la Plataforma, cuando el incidente comprometa datos sensibles —incluidos los biométricos— o datos financieros, o cuando pueda generarle un riesgo o un perjuicio. La comunicación indicará qué datos se vieron comprometidos, las medidas adoptadas y las recomendaciones para el Titular.
4. Adopta las medidas correctivas necesarias para impedir que el incidente se repita.

Los plazos señalados son el estándar operativo que MiCapi se fija a sí misma; en todo caso se aplicarán las instrucciones que imparta la SIC.

---

12. Derechos del Titular

Conforme a la Ley 1581 de 2012, el Titular tiene derecho a:

• Conocer los datos personales que MiCapi tiene sobre él.
• Actualizar sus datos cuando sean inexactos, incompletos o desactualizados.
• Rectificar datos que no correspondan a la realidad.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
• Solicitar prueba de la autorización otorgada a MiCapi, salvo cuando la ley exceptúe la autorización como base del tratamiento.
• Ser informado, previa solicitud, respecto del uso que MiCapi ha dado a sus datos personales.
• Suprimir sus datos cuando no exista obligación legal de conservarlos (derecho al olvido). Nota: la supresión puede no ser posible durante la vigencia de obligaciones UIAF/DIAN.
• Revocar la autorización para finalidades no obligatorias por ley (p. ej., comunicaciones comerciales), sin que esto afecte la prestación del servicio donde el tratamiento sea necesario.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) si considera que MiCapi ha vulnerado la normativa de protección de datos.

---

13. Procedimiento para Ejercer los Derechos

El Titular o su representante puede elevar consultas o reclamos mediante:

• Correo electrónico: privacidad@micapi.com (o el correo oficial habilitado)
• Canal en la Plataforma: sección "Privacidad y datos" dentro de la aplicación.

Plazos de respuesta:

• Consultas: 10 días hábiles; prorrogables 5 días hábiles adicionales con comunicación al Titular.
• Reclamos: 15 días hábiles; prorrogables 8 días hábiles adicionales con comunicación al Titular.

Si el reclamo resulta incompleto, MiCapi requerirá al Titular para que subsane las fallas dentro de los cinco (5) días hábiles siguientes a la recepción del reclamo. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el Titular presente la información requerida, se entenderá que ha desistido del reclamo (Ley 1581 de 2012, art. 15). Este desistimiento es una figura distinta del derecho de retracto del Estatuto del Consumidor, regulado en los Términos y Condiciones (§6.8).

Cuando MiCapi reciba un reclamo respecto del cual no sea el responsable competente para resolverlo, dará traslado al competente dentro de los dos (2) días hábiles siguientes e informará de ello al Titular. Recibido un reclamo completo, MiCapi incluirá en su base de datos, dentro de los dos (2) días hábiles siguientes, una leyenda que diga «reclamo en trámite» y el motivo del mismo, la cual se mantendrá hasta que el reclamo sea decidido (Ley 1581 de 2012, art. 15).

---

14. Datos de Menores de Edad

La Plataforma MiCapi no está dirigida a menores de 18 años y no recopila ni trata datos de menores de forma intencionada. Si MiCapi detecta que ha recopilado datos de un menor de edad, procederá a suprimirlos de inmediato, con independencia de cualquier autorización, salvo los datos que MiCapi esté legalmente obligada a conservar (sección 10), los cuales serán bloqueados y no se usarán para ninguna otra finalidad.

---

15. Cambios en la Política

MiCapi puede actualizar esta Política en cualquier momento. Los cambios sustanciales serán comunicados al Titular con al menos 30 días de anticipación a su entrada en vigencia, mediante correo electrónico o notificación en la Plataforma. El uso continuado de la Plataforma después de la fecha de vigencia del cambio implica la aceptación de la nueva versión. Si el Titular no acepta los cambios, puede solicitar la supresión de su cuenta y datos (sujeto a los plazos de conservación legal).

---

16. Vigencia

Esta Política rige a partir de su publicación en la Plataforma y permanecerá vigente hasta que sea reemplazada por una versión posterior.

Vigencia de las bases de datos. Las bases de datos de MiCapi permanecen vigentes mientras subsista la relación con el Titular y, terminada esta, durante los plazos de conservación de la sección 10, que responden a deberes legales de orden tributario y de prevención de LA/FT. Cumplidos esos plazos, los datos se suprimen o se anonimizan.

---

17. Contacto

Para cualquier asunto relacionado con el tratamiento de datos personales:

MICAPI S.A.S. Carrera 26 # 45-30, Villavicencio, Meta, Colombia. Web: https://micapi.com | Tel: +57 310 300 3668 Correo habeas data: privacidad@micapi.com Correo legal: legal@micapi.com Canal del Oficial de Cumplimiento: privacidad@micapi.com

---

Versión 1.5 — Actualizada el 2026-08-05. Cambios de la v1.5 (minimización de datos personales de terceros, sin efecto sobre los derechos ni las finalidades del Titular): se retira el número de cédula del representante legal y el nombre de la Oficial de Cumplimiento —ninguno de los dos lo exige el Decreto 1377 art. 13— dejando el canal privacidad@micapi.com como vía de contacto; se actualiza el teléfono del Responsable a uno corporativo; y se agrega el teléfono en §1, que el art. 13.1 exige y que la v1.4 omitía. Versión 1.4 — Actualizada el 2026-07-13 (v1.0 elaborada el 2026-05-08). Cambios de la v1.4: se detalla el protocolo ante incidentes de seguridad (§11.1) con plazos, criterio de comunicación al Titular y medidas correctivas; se declara la vigencia de las bases de datos (§16, Decreto 1377 art. 13.6); y se divulga la transferencia de las bases de datos a un sucesor o cesionario de MiCapi en caso de reorganización empresarial (§9.2), en espejo con la cláusula de cesión de los Términos y Condiciones. Cambios previos de la v1.3: catálogo completo de derechos del artículo 8, base correcta de las transferencias internacionales (artículo 26), piezas faltantes del artículo 15, y reencuadre de la base SAGRILAFT (la Resolución UIAF 314 de 2021 impone obligaciones de reporte, no de debida diligencia). Registro Nacional de Bases de Datos (RNBD): MICAPI S.A.S. no está obligada a inscribirse por no superar el umbral de activos del Decreto 090 de 2018; la obligación se reevalúa en cada cierre contable anual.