POLÍTICA DE TRATAMENTO E PROTEÇÃO DE DADOS PESSOAIS DA SMARTFASTPAY

SMARTFASTPAY TEC & SERVE S.A.S.

NIT: 901.547.645 – 7

Domicílio principal: Bogotá D.C.

Endereço eletrônico: leo@smartfastpay.com

Telefone: 3204540697.

Correio eletrônico para atendimento aos titulares: dpo@smartfastpay.com

Nome e cargo do Encarregado de Proteção de Dados Pessoais (OPD): Fernando Arenas Molinet – Country Manager Colômbia.

Esta Política será aplicada a todos os Dados Pessoais e/ou arquivos ou qualquer outro tipo de informação que seja utilizada ou esteja contida nas Bases de Dados da SmartFastPay e que sejam objeto de Tratamento por parte desta, na qualidade de Responsável pelo Tratamento de Dados Pessoais.

A Política garante o respeito aos critérios para a obtenção, coleta, uso, Tratamento, processamento, intercâmbio, Transferência e Transmissão de Dados Pessoais, e fixa as responsabilidades da SmartFastPay e de seus empregados no manejo e Tratamento dos Dados Pessoais que constem em suas Bases de Dados.

Entender-se-á que qualquer termo definido no singular também incluirá sua forma plural e vice-versa, a menos que o sentido do texto exija uma interpretação diferente.

3.1. Autorização: Consentimento prévio, expresso e informado do Titular para realizar o Tratamento de Dados Pessoais.

3.2. Autoridade de Proteção de Dados: É a Superintendência de Indústria e Comércio.

3.3. Aviso de Privacidade: É o documento físico, eletrônico ou em qualquer outro formato conhecido ou por conhecer, que é colocado à disposição do Titular com o fim de informar sobre o Tratamento de seus Dados Pessoais. No Aviso de Privacidade, comunica-se aos Titulares a informação relativa à existência das políticas de Tratamento de informação que serão aplicáveis, a forma de acessá-las e as características do Tratamento que se pretende dar aos Dados Pessoais.

3.4. Base de Dados: Conjunto organizado de Dados Pessoais que seja objeto de Tratamento.

3.5. Comércio: Pessoa jurídica com a qual a SmartFastPay mantém relação de associação comercial estabelecida.

3.6. Consentimento: é uma manifestação de vontade, informada, livre e inequívoca, por meio da qual o Titular dos dados de caráter pessoal aceita que um terceiro utilize sua informação.

3.7. Dado Pessoal: Qualquer informação vinculada ou que possa ser associada a uma ou várias pessoas naturais determinadas ou determináveis.

3.8. Dado sensível: São aqueles que afetam a intimidade do Titular ou cujo uso indevido pode gerar sua discriminação, tais como aqueles que revelem a origem racial ou étnica, a orientação política, as convicções religiosas ou filosóficas, a filiação a sindicatos, organizações sociais, de direitos humanos ou que promovam interesses de qualquer partido político ou que garantam os direitos e garantias de partidos políticos de oposição, assim como os dados relativos à saúde, à vida sexual e os dados biométricos.

3.9. Encarregado do Tratamento: Pessoa natural ou jurídica, pública ou privada, que por si mesma ou em associação com outros, realiza o Tratamento de Dados Pessoais por conta do Responsável pelo Tratamento.

3.10. Habeas Data: Direito que toda pessoa tem de conhecer, atualizar e retificar a informação que tenha sido coletada sobre ela em arquivos e bancos de dados de natureza pública ou privada.

3.11. Plataforma: Ferramenta desenvolvida e comercializada pela SmartFastPay.

3.12. Responsável pelo Tratamento: Pessoa natural ou jurídica, pública ou privada, que por si mesma ou em associação com outros, decida sobre a base de dados e/ou o Tratamento dos dados.

3.13. Titular: Pessoa natural cujos Dados Pessoais sejam objeto de Tratamento.

3.14. Transmissão: refere-se à comunicação de dados pessoais por parte do Responsável ao Encarregado, localizado dentro ou fora do território nacional, para que o Encarregado, por conta do Responsável, trate dados pessoais;

3.15. Transferência: refere-se ao ato do Responsável pelo Tratamento e/ou Encarregado do Tratamento, localizado na Colômbia, de enviar a informação ou os dados pessoais a um receptor que também é Responsável pelo Tratamento e se encontra dentro ou fora do país.

3.16. Tratamento: Qualquer operação ou conjunto de operações sobre Dados Pessoais, tais como coleta, armazenamento, uso, circulação ou supressão.

3.17. Usuários: É a pessoa natural, jurídica ou patrimônio autônomo, que utiliza os serviços da SmartFastPay para executar ordens de pagamento ou transferência de fundos.

3.18. Violação da segurança de Dados Pessoais: Toda violação da segurança que ocasione a destruição, perda ou alteração acidental ou ilícita dos Dados Pessoais conservados ou tratados, ou a comunicação ou o acesso não autorizado a tais dados.

3.19. Princípio de notificação: Os titulares serão informados oportunamente sobre qualquer alteração substancial na presente política antes de sua entrada em vigor, por meio dos canais habituais de comunicação e da página web da SmartFastPay.

4.1. Princípio da legalidade em matéria de Tratamento de dados: O Tratamento dos Dados Pessoais será efetuado dentro do marco legal vigente e de acordo com a Autorização concedida pelo Titular.

4.2. Princípio da finalidade: O Tratamento deve obedecer a uma finalidade legítima de acordo com a Constituição e a lei, a qual deve ser informada ao Titular.

4.3. Princípio da liberdade: O Tratamento só pode ser exercido com o Consentimento prévio, expresso e informado do Titular. Os Dados Pessoais não poderão ser obtidos ou divulgados sem Autorização prévia, ou na ausência de mandado legal ou judicial que dispense o Consentimento.

4.4. Princípio da veracidade ou qualidade: A informação sujeita a Tratamento deve ser veraz, completa, exata, atualizada, comprovável e compreensível. Fica proibido o Tratamento de dados parciais, incompletos, fracionados ou que induzam a erro.

4.5. Princípio da transparência: No Tratamento deve ser garantido o direito do Titular de obter do Responsável pelo Tratamento ou do Encarregado do Tratamento, a qualquer momento e sem restrições, informação acerca da existência de dados que lhe digam respeito.

4.6. Princípio de acesso e circulação restrita: O Tratamento está sujeito aos limites que derivam da natureza dos Dados Pessoais, das disposições da lei e da Constituição. Nesse sentido, o Tratamento só poderá ser feito por pessoas autorizadas pelo Titular e/ou pelas pessoas previstas em lei. Os Dados Pessoais, salvo a informação pública, não poderão estar disponíveis na Internet ou em outros meios de divulgação ou comunicação massiva, salvo se o acesso for tecnicamente controlável para proporcionar conhecimento restrito apenas aos Titulares ou terceiros autorizados conforme a lei.

4.7. Princípio da segurança: A informação sujeita a Tratamento pelo Responsável ou Encarregado do Tratamento deverá ser manejada com as medidas técnicas, humanas e administrativas necessárias para conceder segurança aos registros, evitando sua adulteração, perda, consulta, uso ou acesso não autorizado ou fraudulento.

4.8. Princípio da confidencialidade: Todas as pessoas que intervenham no Tratamento de Dados Pessoais que não tenham natureza pública estão obrigadas a garantir a reserva da informação, inclusive depois de finalizada sua relação com alguma das atividades que compreende o Tratamento, podendo apenas realizar fornecimento ou comunicação de Dados Pessoais quando isso corresponder ao desenvolvimento das atividades autorizadas em lei e nos termos desta.

4.9. Princípio da minimização de dados: O Tratamento dos Dados Pessoais será adequado, pertinente e limitado ao necessário em relação às finalidades para as quais são tratados.

4.10. Princípio da limitação do prazo de conservação: O Tratamento dos Dados Pessoais será efetuado durante o tempo que seja razoável e necessário, de acordo com as finalidades que justifiquem o Tratamento. Uma vez cumpridas as finalidades do Tratamento e sem prejuízo de normas legais que disponham em contrário, proceder-se-á à supressão dos Dados Pessoais fornecidos.

A Política é dirigida a todas as pessoas naturais cujos Dados Pessoais se encontrem incluídos nas Bases de Dados da SmartFastPay.

A SmartFastPay assume que a vontade do Titular de não fornecer informação de natureza indispensável responde à sua desistência da relação que tenha com a SmartFastPay.

Os Dados Pessoais fornecidos pelo Titular à SmartFastPay serão armazenados nas Bases de Dados da SmartFastPay, às quais ele autoriza expressamente, para que suas empresas vinculadas, afiliadas, matrizes, subordinadas e/ou aliadas estratégicas sejam as Encarregadas do Tratamento e cumpram uma ou várias das seguintes finalidades:

A. Confirmar a identidade dos Usuários para garantir a segurança e autenticidade das transações.

B. Melhorar a segurança das transações futuras, identificando preferências do Usuário, enviando notificações sobre o status de solicitações e emitindo conteúdo promocional relevante.

C. Transmitir os Dados Pessoais ao Encarregado do Tratamento para que os gerencie adequadamente.

D. Realizar estudos estatísticos sobre os gostos e as preferências do Usuário.

E. Prevenir a fraude e os riscos financeiros relativos à lavagem de ativos e ao financiamento do terrorismo.

F. Verificar informação financeira e de crédito em centrais de risco.

G. Corroborar os dados fornecidos pelos Usuários.

H. Informar às centrais de risco sobre o cumprimento das obrigações financeiras.

I. Cumprir com as obrigações surgidas ou relacionadas a requerimentos das autoridades judiciais ou administrativas.

J. Proteger os Usuários de crimes eletrônicos ao verificar a autenticidade das operações.

K. Facilitar a resolução de disputas ou reclamações relacionadas com as transações.

L. Conservar registros das transações para dar suporte a processos de auditoria interna e externa.

M. Proteger dados sensíveis.

N. Realizar os registros contábeis e tributários.

O. Efetuar reportes a autoridades de vigilância e controle.

P. Cumprir as obrigações assumidas com os Comercios.

Q. Enviar a informação a entidades governamentais ou judiciais mediante solicitação expressa destas.

R. Qualquer outra finalidade que resulte do desenvolvimento da transação ou da relação existente entre o Usuário e a SmartFastPay.

Em consequência, para realizar as finalidades descritas, a SmartFastPay poderá:

A. Conhecer, armazenar, gerenciar e processar toda a informação que os Titulares fornecerem.

B. Ordenar, catalogar, classificar, dividir ou separar a informação fornecida pelos Titulares de tal maneira que se possa obter um acesso ágil e uma melhor administração da informação.

C. Verificar, corroborar, comprovar, validar, investigar ou comparar a informação fornecida pelos Titulares.

D. Acessar, consultar, comparar e avaliar toda a informação sobre os titulares que se encontre armazenada nas bases de dados de qualquer central de risco creditício, financeiro, de antecedentes judiciais ou de segurança legitimamente constituída, de natureza estatal ou privada, nacional ou estrangeira.

Na tabela a seguir são apresentadas as categorias de informação pessoal que a SmartFastPay pode coletar:

Categorias de Informação

Inclui informação como:

Informação de identidade e contato

Nome completo, tipo e número de documento de identidade (cédula de cidadania, cédula de estrangeiro, passaporte), correio eletrônico, número de telefone, endereço de residência ou estabelecimento comercial.

Informação de transações e pagamentos.

Dados de transações processadas, valores, datas, informação bancária necessária para processamento de pagamentos, dados requeridos por provedores de serviços de pagamento.

Informação comercial. Endereços IP, logs de acesso à plataforma, informação técnica necessária para o funcionamento e segurança do sistema (quando aplicável).

Informação para cumprimento regulatório.

Dados necessários para prevenção de fraude, cumprimento de obrigações SARLAFT, verificação de identidade e reportes a autoridades competentes.

Dependendo da relação que o Titular tenha com a SmartFastPay (por exemplo, Comércio, Usuário, cliente, fornecedor ou parceiro comercial) e da forma como interaja com a empresa (por telefone, online ou por meio da plataforma), a SmartFastPay poderá coletar, usar, receber, armazenar, analisar, combinar, transferir, eliminar ou tratar de outra forma diferentes categorias de informação pessoal. Em consequência, a SmartFastPay armazenará os dados na base de dados correspondente no Google Cloud, dependendo do tipo de Tratamento.

a) Processo de vinculação de Comercios para o uso dos serviços de gateway de pagamentos.

A SmartFastPay poderá compartilhar informação pessoal com terceiros externos necessários para o funcionamento de sua plataforma e o cumprimento de suas obrigações legais, dentre os quais se encontram:

(i) Provedores de serviços de pagamento e outros processadores com os quais a SmartFastPay mantém relação contratual para facilitar as transações dos Usuários;

(ii) Provedores de infraestrutura tecnológica que forneçam serviços de armazenamento e processamento de dados com padrões de segurança apropriados;

(iii) Parceiros tecnológicos e comerciais com os quais a SmartFastPay mantém uma relação contratual, os quais só acessam a informação necessária para prestar os serviços encomendados e não podem utilizá-la para finalidades distintas das acordadas.

b) Divulgação de informação para cumprimento regulatório e prevenção de fraude.

A SmartFastPay poderá compartilhar dados pessoais com terceiros, sujeita às disposições legais aplicáveis à transmissão nacional e internacional de dados pessoais, nos seguintes casos:

(i) Entidades governamentais tais como autoridades administrativas, Superintendência Financeira da Colômbia, entidades fiscais, organismos de vigilância e controle e autoridades judiciais, quando for necessário para atender requerimentos legais, processos jurisdicionais ou cumprir obrigações SARLAFT;

(ii) Provedores de serviços de segurança localizados na Colômbia ou no exterior, que fornecem serviços de detecção e prevenção de fraude, análise de risco de transações e ferramentas antifraude;

(iii) Pessoal autorizado da SmartFastPay, desenvolvedores autorizados e pessoal diretivo, que têm acesso controlado mediante credenciais de segurança e sistemas de permissões restritas.

c) Medidas de proteção para a divulgação de informação.

Em todos os casos de transmissão de informação pessoal, a SmartFastPay:

(i) Verificará que os terceiros contem com medidas de segurança adequadas para a proteção dos Dados Pessoais;

(ii) Firmará contratos de confidencialidade quando corresponder;

(iii) Limitará o acesso à informação estritamente necessária para a prestação do serviço acordado;

(iv) Implementará controles para evitar o uso não autorizado da informação compartilhada.

d) Limitação de responsabilidade pelo tratamento por terceiros.

A SmartFastPay não exerce controle sobre sites de terceiros (incluindo comercios afiliados, provedores de serviços de pagamento e outras plataformas) e não assume nenhuma responsabilidade pelo tratamento que neles seja dado à informação pessoal dos Titulares. Cada terceiro é responsável por implementar suas próprias políticas de proteção de dados em conformidade com a regulamentação aplicável.

Em conformidade com o artigo 25 da Lei 1581 de 2012 e seus decretos regulamentares, a Smartfastpay registrará suas bases de dados junto com a presente Política no Registro Nacional de Bases de Dados administrado pela Superintendência de Indústria e Comércio, de acordo com o procedimento estabelecido para esse fim.

Em conformidade com o descrito no artigo 9 da Lei 1581 de 2012, a SmartFastPay, como Responsável pelo Tratamento, adotará procedimentos para solicitar, no mais tardar no momento da coleta dos Dados Pessoais, a Autorização para o tratamento destes e informará quais são os Dados Pessoais que serão coletados, bem como as finalidades específicas do Tratamento.

Tratando-se de Dados Pessoais que se encontrem em fontes de acesso público, independentemente do meio pelo qual se tenha acesso, considerar-se-á que estes poderão ser tratados pela SmartFastPay de maneira livre e autônoma, sempre que, por sua natureza, sejam dados de caráter público.

Para o Tratamento dos Dados Pessoais, a SmartFastPay informará previamente aos Titulares quais Dados Pessoais requer e o motivo pelo qual os solicita, entendendo que tal finalidade estará sempre relacionada com as atividades derivadas da relação vigente entre as partes e do desenvolvimento do objeto social da SmartFastPay, em conformidade com o estabelecido na Política.

No que corresponde ao modo de obter a Autorização, a SmartFastPay coletará a informação correspondente a Dados Pessoais de forma escrita, por meio dos formulários e textos que se estabeleçam para esse fim, seja de forma física ou por meios eletrônicos, assegurando em todo caso conservar a prova da Autorização para sua posterior consulta pelo Titular. Quando pertinente, a Autorização poderá ser incluída nos contratos a serem firmados com terceiros Titulares de Dados Pessoais aos quais se aplica a Política.

8.1. A Autorização deverá conter a seguinte informação:

8.1.1. A identificação do Responsável pelo Tratamento

8.1.2. O tipo de Dados Pessoais que serão objeto de Tratamento.

8.1.3. A finalidade para a qual os Dados Pessoais serão tratados.

8.1.4. Os direitos dos Titulares.

8.1.5. Os canais de comunicação pelos quais os Titulares poderão formular consultas e/ou reclamações perante o Responsável pelo Tratamento.

8.1.6. A identificação do Encarregado de Proteção de Dados Pessoais.

8.1.7. Redirecionamento para a Política.

8.1.8. Caso sejam coletados dados sensíveis, ficará esclarecido que o Titular não está obrigado a conceder a Autorização.

8.2. Eventos nos quais não é necessária a Autorização:

8.2.1. Informação requerida por uma entidade pública ou administrativa no exercício de suas funções legais ou por ordem judicial.

8.2.2. Dados de natureza pública.

8.2.3. Casos de urgência médica ou sanitária.

8.2.4. Tratamento de informação autorizado por lei para fins históricos, estatísticos ou científicos.

8.2.5. Dados relacionados com o registro civil das pessoas.

A SmartFastPay, na qualidade de Responsável pelo Tratamento, identificará os dados sensíveis que eventualmente venha a coletar ou processar para cumprir com os seguintes objetivos:

(i) implementar atenção especial e reforçar sua responsabilidade frente ao Tratamento desse tipo de dados, o que se traduz em uma exigência maior em termos de cumprimento dos princípios e deveres estabelecidos pela regulamentação vigente em matéria de proteção de dados;

(ii) estabelecer os níveis de segurança técnica, legal e administrativa para tratar essa informação de maneira adequada;

(iii) aumentar as restrições de acesso e uso por parte do pessoal da SmartFastPay na qualidade de empregadora e de terceiros contratados ou fornecedores desta;

(iv) proceder ao Tratamento desses dados unicamente sob os seguintes pressupostos:

A. Que o Titular tenha dado sua Autorização explícita para tal Tratamento, salvo nos casos em que, por lei, não seja exigida a concessão dessa Autorização.

B. Que o Tratamento seja necessário para salvaguardar o interesse vital do Titular e este se encontre física ou juridicamente incapacitado. Nesses eventos, os representantes legais deverão conceder sua Autorização.

C. Que o Tratamento seja efetuado no curso das atividades legítimas e com as devidas garantias por parte de uma fundação, ONG, associação ou qualquer outro organismo sem fins lucrativos, cuja finalidade seja política, filosófica, religiosa ou sindical, desde que se refira exclusivamente a seus membros ou às pessoas que mantenham contatos regulares em razão de sua finalidade. Nesses eventos, os dados não poderão ser fornecidos a terceiros sem a autorização do Titular.

D. Que o Tratamento se refira a dados que sejam necessários para o reconhecimento, exercício ou defesa de um direito em um processo judicial.

E. Que o Tratamento tenha finalidade histórica, estatística ou científica. Nesse caso, deverão ser adotadas as medidas que conduzam à supressão da identidade dos Titulares.

No Tratamento de dados sensíveis, quando tal Tratamento for possível conforme o estabelecido no Artigo 6° da Lei 1581 de 2012, a SmartFastPay deverá cumprir as seguintes obrigações:

A. Informar ao Titular que, por se tratar de dados sensíveis, ele não está obrigado a autorizar seu Tratamento.

B. Informar ao Titular de forma explícita e prévia, além dos requisitos gerais da Autorização para a coleta de qualquer tipo de Dado Pessoal, quais dos dados que serão objeto de Tratamento são sensíveis e a finalidade de seu Tratamento, e além disso obter seu consentimento expresso.

A SmartFastPay não realiza de forma direta o Tratamento de Dados Pessoais de menores de idade.

No entanto, de forma particular, a empresa coleta e trata os Dados Pessoais dos filhos menores de idade de seus empregados, com a única finalidade de cumprir as obrigações que a lei impõe aos empregadores em relação às afiliações ao sistema de seguridade social e parciais, e em particular para permitir o gozo dos direitos fundamentais das crianças à saúde e à recreação.

A SmartFastPay realizará o Tratamento dos Dados Pessoais de crianças e adolescentes respeitando sempre os seguintes requisitos:

10.1. Responder e respeitar o interesse superior das crianças e adolescentes.

10.2. Assegurar, por parte do Responsável pelo Tratamento, o respeito aos seus direitos fundamentais.

10.3. Garantir que o representante legal do menor conceda a Autorização, precedida do exercício, por parte deste, de seu direito de ser ouvido.

A SmartFastPay coletará, quando corresponder, a respectiva Autorização para seu Tratamento, tendo sempre presente o interesse superior do menor e o respeito aos direitos prevalentes das crianças e adolescentes.

Em todo caso, no âmbito das atividades realizadas pela SmartFastPay, o fornecimento dos Dados Pessoais de menores de idade é facultativo e deve ser realizado com a anuência dos pais ou representantes legais do menor. As Autorizações de Dados Pessoais de menores de idade serão concedidas de maneira conjunta pelos pais, responsáveis, representantes legais ou curadores. Por conseguinte, a assinatura dos pais constituirá a Autorização legal e a subscrição por parte do menor representará seu consentimento sobre a Autorização concedida pelos pais, responsáveis, representantes legais ou curadores.

Esse consentimento do menor de idade é importante porque sua opinião deverá ser avaliada no âmbito do exercício da Autorização e levada em conta na mesma proporção de maturidade, autonomia, capacidade e entendimento do tema.

A informação constante nas Bases de Dados da SmartFastPay é submetida a distintas formas de Tratamento, como coleta, intercâmbio, atualização, processamento, reprodução, compilação, armazenamento, uso, sistematização e organização, todos de forma parcial ou total em cumprimento das finalidades aqui estabelecidas. A informação poderá ser entregue, Transmitida ou Transferida a entidades públicas, parceiros comerciais, contratados, afiliadas, matrizes, subsidiárias e aliados estratégicos, desde que se trate de cumprir as finalidades referidas na Política.

A SmartFastPay adotará as medidas técnicas, tecnológicas e administrativas adequadas que permitam o cuidado e a conservação dos Dados Pessoais dos Titulares, evitando sua alteração, perda, consulta, uso ou acesso não autorizado ou fraudulento.

Da mesma forma, a SmartFastPay implementará mecanismos suficientes para resguardar a confidencialidade da informação e se absterá de usar a informação para fins diferentes dos autorizados.

12.1. Transferência de Dados Pessoais.

Se terceiros alheios à SmartFastPay ou às suas afiliadas, matrizes, subsidiárias e/ou aliados estratégicos requererem validar, retificar ou confirmar informação correspondente aos Dados Pessoais dos Titulares contidos nas Bases de Dados, será necessária a autorização prévia e expressa do Titular para que opere a Transferência.

A SmartFastPay não poderá usar os Dados Pessoais dos Titulares para propósitos comerciais diferentes dos incluídos em seu objeto social e nos serviços ali dispostos.

12.2. Transmissão de Dados Pessoais.

Se terceiros alheios à SmartFastPay ou às suas afiliadas, matrizes, subsidiárias e/ou aliados estratégicos requererem, dentro das finalidades mencionadas, a coleta da informação, a SmartFastPay poderá transmitir-lhes os correspondentes Dados Pessoais dos Titulares se assim o dispuserem para o cumprimento do giro ordinário de seus negócios. No entanto, para que a Transmissão produza efeitos, é necessária a autorização prévia e expressa do Titular.

12.3. Transferências e transmissões internacionais de dados.

A SmartFastPay poderá realizar Transferências e Transmissões internacionais de Dados Pessoais quando for necessário para o funcionamento de sua infraestrutura tecnológica e a prestação de seus serviços. Essas operações internacionais serão realizadas unicamente com provedores que ofereçam garantias adequadas de proteção de Dados Pessoais.

Antes de realizar transferências internacionais de dados pessoais, a SmartFastPay verificará que o país receptor ofereça um nível adequado de proteção conforme a regulamentação colombiana. Caso contrário, solicitará a autorização prévia da Superintendência de Indústria e Comércio e adotará as garantias contratuais necessárias.

A SmartFastPay protege os Dados Pessoais fornecidos pelos Titulares mediante a adoção de diretrizes e controles voltados a evitar o acesso, modificação, divulgação ou destruição não autorizada da informação armazenada em suas Bases de Dados.

Em cumprimento da obrigação antes descrita, a SmartFastPay adota os seguintes protocolos:

13.1. Controles nos sistemas de informação para garantir a confiabilidade, integridade e disponibilidade permanente dos Dados Pessoais.

13.2. Processos de verificação, avaliação e valorações sobre as medidas técnicas e de segurança adotadas para a proteção dos Dados Pessoais.

13.3. Protocolos de segurança para evitar acessos não permitidos a Bases de Dados, armazenadas tanto de forma física quanto eletrônica.

13.4. Implementação e melhoria de controles nas instalações físicas, para proteger os Dados Pessoais que se encontrem contidos de forma física, com o fim de mitigar o efeito nocivo que poderia se originar da materialização de um risco ao qual estão expostos os Dados Pessoais administrados pela SmartFastPay.

Os Dados Pessoais, e outras informações tratadas para qualquer um dos objetivos mencionados na Política, não serão mantidos por mais tempo do que o estritamente necessário para a conclusão das finalidades a que se destinam, salvo quando respaldados pela legislação colombiana de proteção de Dados Pessoais.

Os dados e documentos eletrônicos que contenham Dados Pessoais podem permanecer retidos por mais tempo do que o necessário para suas finalidades nos casos de obrigação legal ou regulatória, redução do risco de fraude e pleno exercício do direito de defesa.

São direitos dos Titulares de Dados Pessoais:

15.1. Conhecer, atualizar e retificar seus Dados Pessoais perante o Responsável pelo Tratamento ou Encarregados do Tratamento. Esse direito poderá ser exercido, entre outros, em relação a dados parciais, inexatos, incompletos, fracionados que induzam a erro, ou aqueles cujo Tratamento esteja expressamente proibido ou não tenha sido autorizado.

15.2. Limitar ou se opor, a qualquer momento, ao Tratamento de seus Dados Pessoais perante o Responsável ou Encarregado do Tratamento. No caso de solicitar a limitação, o Responsável deverá obter uma nova Autorização por parte do Titular, ajustada à limitação por este solicitada.

15.3. Obter, por parte do Responsável pelo Tratamento, confirmação de que seus Dados Pessoais estão sendo tratados conforme as finalidades autorizadas.

15.4. Solicitar ao Responsável pelo Tratamento a portabilidade dos Dados Pessoais que lhe tenha fornecido e transmiti-los a outro Responsável pelo Tratamento.

15.5. Solicitar prova da Autorização concedida ao Responsável pelo Tratamento, salvo quando expressamente se excetue como requisito para o Tratamento.

15.6. Ser informado pelo Responsável ou pelo Encarregado do Tratamento, mediante solicitação prévia, a respeito do uso que foi dado aos seus Dados Pessoais.

15.7. Apresentar perante a Superintendência de Indústria e Comércio ou a Autoridade de Proteção de Dados competente reclamações por infrações ao disposto em lei e demais normas que a modifiquem, adicionem ou complementem.

15.8. Revogar a Autorização e/ou solicitar a supressão do dado quando, no Tratamento, não forem respeitados os princípios, direitos e garantias constitucionais e legais. A revogação e/ou supressão procederá quando a Superintendência de Indústria e Comércio tiver determinado que, no Tratamento, o Responsável ou Encarregado incorreram em condutas contrárias à lei e à Constituição. Sem prejuízo do anterior, o Titular poderá solicitar a supressão do dado quando: (i) o Tratamento já não for necessário conforme as finalidades para as quais foram coletados; (ii) se revogar a Autorização do Tratamento; e (iii) se opuser ao Tratamento.

15.9. Acessar gratuitamente seus Dados Pessoais que tenham sido objeto de Tratamento.

O Titular dos Dados Pessoais terá direito a: (i) acessar os Dados Pessoais que fornecer e os detalhes do Tratamento destes; (ii) retificá-los caso estejam incompletos ou sejam inexatos; (iii) suprimi-los caso considere que não são requeridos para alguma das finalidades assinaladas na presente Política ou estejam sendo utilizados para finalidades que não tenham sido consentidas.

Em todo caso, sem prejuízo das disposições estabelecidas mais adiante, qualquer solicitação do Titular no exercício dos direitos mencionados deverá fornecer e indicar: (i) seu nome e domicílio; (ii) uma cópia do documento de identificação (Cédula de Cidadania, Cédula de Estrangeiro, Passaporte); (iii) a descrição clara e precisa dos Dados Pessoais aos quais deseja acessar ou que deseja retificar ou suprimir, além de qualquer outro elemento que facilite a localização de seus dados.

16.1. Canais de consultas e reclamações.

Poder-se-á consultar a informação pessoal do Titular que conste nas Bases de Dados da SmartFastPay, e a empresa se encarregará de fornecer toda a informação contida ou que esteja vinculada à identificação do solicitante, empregando em todo caso uma linguagem clara e simples.

A consulta será realizada por meio do endereço de correio eletrônico dpo@smartfastpay.com.

Uma vez recebida pela SmartFastPay, será atendida em um prazo máximo de dez (10) dias úteis contados a partir da data de seu recebimento. A informação solicitada pelo Titular poderá

ser fornecida por escrito, por meio de correio eletrônico ou por qualquer outro meio, conforme requerido pelo Titular.

Quando não for possível atender a consulta dentro desse prazo, o interessado será informado, expressando os motivos da demora e indicando a nova data em que tal consulta será atendida, a qual em nenhum caso poderá superar os cinco (5) dias úteis seguintes ao vencimento do primeiro prazo.

16.2. Reclamações.

Quando se considerar que a informação contida em uma Base de Dados da SmartFastPay deve ser objeto de correção, atualização ou supressão, ou quando for advertido o presumido descumprimento de qualquer dos deveres contidos na lei de Habeas Data, poderá ser apresentada reclamação perante a SmartFastPay, a qual será tramitada sob as seguintes regras:

16.2.1. A reclamação será formulada por meio do correio eletrônico dpo@smartfastpay.com, com a identificação do Titular, a descrição dos fatos que dão lugar à reclamação, o endereço, e acompanhando os documentos que se queira fazer valer.

Se a reclamação resultar incompleta, o interessado será requerido dentro dos dez (10) dias seguintes ao recebimento da reclamação para que sane as falhas. Transcorridos dois (2) meses desde a data do requerimento, sem que o solicitante apresente a informação requerida, entender-se-á que desistiu da reclamação.

16.2.2. No caso de a SmartFastPay receber uma reclamação da qual não seja competente para resolvê-la, a empresa a encaminhará a quem efetivamente corresponda em um prazo máximo de cinco (5) dias úteis e informará o Titular.

16.2.3. O prazo máximo para atender a reclamação será de quinze (15) dias úteis contados a partir do dia seguinte à data do seu recebimento. Quando não for possível atender a reclamação dentro desse prazo, a SmartFastPay informará ao Titular os motivos da demora e a nova data em que sua reclamação será atendida, a qual em nenhum caso poderá superar os oito (8) dias úteis seguintes ao vencimento do prazo.

O Cliente, como Responsável pelo Tratamento de Dados Pessoais, cumprirá com os seguintes deveres:

17.1. Garantir ao Titular, em todo tempo, o pleno e efetivo exercício do direito de habeas data.

17.2. Solicitar e conservar, nas condições previstas em lei, cópia da respectiva Autorização concedida pelo Titular.

17.3. Informar devidamente ao Titular sobre a finalidade da coleta e os direitos que lhe assistem em virtude da Autorização concedida.

17.4. Conservar a informação sob as condições de segurança necessárias para impedir sua adulteração, perda, consulta, uso ou acesso não autorizado ou fraudulento.

17.5. Se aplicável, garantir que a informação fornecida ao Encarregado do Tratamento seja veraz, completa, exata, atualizada, comprovável e compreensível.

17.6. Se aplicável, informar ao Encarregado do Tratamento qualquer retificação, supressão ou limitação do Tratamento efetuada pelo Titular.

17.7. Garantir que apenas sejam objeto de Tratamento os Dados Pessoais necessários para cada uma das finalidades específicas do Tratamento. Se aplicável, atualizar a informação, comunicando de forma oportuna ao Encarregado do Tratamento todas as novidades a respeito dos dados que previamente lhe tenha fornecido e adotar as demais medidas necessárias para que a informação fornecida a este se mantenha atualizada.

17.8. Retificar a informação quando estiver incorreta e comunicar o pertinente, se aplicável, ao Encarregado do Tratamento.

17.9. Se aplicável, fornecer ao Encarregado do Tratamento, conforme o caso, unicamente dados cujo Tratamento esteja previamente autorizado em conformidade com o previsto em lei.

17.10. Quando o Tratamento for efetuado por parte de um Encarregado, procurar escolher aquele que ofereça garantias suficientes em conformidade com o disposto na presente Política de Tratamento de Dados.

17.11. Firmar com o Encarregado do Tratamento um acordo de confidencialidade e/ou o documento que faça suas vezes, em virtude do qual se estabeleçam, sem se limitar a estas, as obrigações e direitos do Responsável pelo Tratamento, o objeto, a duração, a natureza, os tipos de Dados Pessoais a tratar, a finalidade do Tratamento e o compromisso de tratar os Dados Pessoais conforme a Lei e a presente política.

17.12. Se aplicável, exigir do Encarregado do Tratamento, a todo momento, o respeito às condições de segurança e privacidade da informação do Titular, bem como de seus direitos.

17.13. Tramitar as consultas e reclamações formuladas nos termos assinalados na Lei 1581 de 2012.

17.14. Adotar um manual interno de políticas e procedimentos para garantir o adequado cumprimento da lei e, em especial, para o atendimento de consultas e reclamações.

17.15. Informar, a pedido do Titular, sobre o uso dado aos seus dados.

17.16. Informar a Autoridade de Proteção de Dados quando se apresentarem violações aos códigos de segurança e existirem riscos na administração da informação dos Titulares.

17.17. Informar, no momento de solicitar ao Titular a Autorização para o Tratamento dos Dados Pessoais, o seguinte: (i) o Tratamento ao qual serão submetidos seus Dados Pessoais e a finalidade deste; (ii) a faculdade de decidir se responde a consultas relacionadas com Dados sensíveis ou sobre os dados de meninas, meninos ou adolescentes; (iii) os direitos que lhe assistem como Titular; e (iv) os dados de identificação, endereço físico ou eletrônico e contato telefônico do Responsável pelo Tratamento.

17.18. Empreender esforços para que não ocorra nenhum evento de Violação da segurança de Dados Pessoais.

17.19. Cumprir as instruções e requerimentos que emita a Superintendência de Indústria e Comércio.

O Titular poderá revogar a qualquer momento o Consentimento ou Autorização dada para o Tratamento de seus Dados Pessoais, desde que não exista impedimento consagrado em disposição legal ou contratual.

Da mesma forma, o Titular tem direito de solicitar a qualquer momento à SmartFastPay a supressão ou eliminação de seus Dados Pessoais.

Tal supressão implica a eliminação, seja de maneira total ou parcial, da informação pessoal, de acordo com o solicitado pelo Titular nos registros, arquivos, bases de dados ou Tratamentos realizados pela SmartFastPay.

O direito de cancelamento não é absoluto e, portanto, a SmartFastPay poderá negar a revogação da Autorização ou eliminação dos Dados Pessoais nos seguintes casos:

18.1. O Titular tenha um dever legal ou contratual de permanecer na Base de Dados.

18.2. A eliminação de dados dificulte atuações judiciais ou administrativas vinculadas a obrigações fiscais, à investigação e persecução de crimes ou à atualização de sanções administrativas.

18.3. Os dados sejam necessários para proteger os interesses juridicamente tutelados do Titular; para realizar uma ação em função do interesse público; ou para cumprir com uma obrigação legalmente assumida pelo Titular.

Em cumprimento do princípio de responsabilidade demonstrada, a SmartFastPay designou internamente Fernando Arenas Molinet como encarregado de proteção de Dados Pessoais (“OPD”), que estará encarregado de garantir o cumprimento da presente Política e da legislação colombiana de proteção de Dados Pessoais, bem como a implementação de boas práticas de gestão de Dados Pessoais dentro da SmartFastPay. O OPD designado é o responsável interno pela atualização e divulgação da Política, razão pela qual qualquer alteração que seja feita deve ser aprovada por ele.

Se você, como Titular de Dados Pessoais, não estiver de acordo com as alterações nela efetuadas, poderá exercer seu direito de Habeas Data pelos canais e na forma estabelecida na presente Política.