1) Responsable, alcance y marco contractual

EFY TECHNOLOGIES, S.A. DE C.V. en adelante “EFY” es responsable del tratamiento de datos personales recabados a través de la plataforma EFY Esta Política complementa y se integra a los TyC.

Cuando abandones el dominio de EFY (p. ej., CORECREDIT en Panamá, CORESOFT en Colombia, Zenus Bank en Puerto Rico, custodios y proveedores de liquidez), esos terceros actúan como responsables independientes bajo sus propias políticas. (Véase tabla y §8-§11).

2) Principios de tratamiento y fundamentos normativos

Aplicamos licitud, lealtad, transparencia, minimización, limitación de finalidad, exactitud, integridad/confidencialidad y responsabilidad proactiva (accountability). En la UE/EEE, cumplimos la información exigida por GDPR art. 13/14; fuera de la UE adaptamos derechos equivalentes (CPRA/CCPA, LGPD, etc.).

Base legal (marcos principales):

• Ejecución de contrato (prestación de servicios de plataforma)
• Obligación legal (KYC/AML, sanciones, Travel Rule/TFR)
• Interés legítimo (seguridad, prevención de fraude, calidad)
• Consentimiento (marketing, cookies no esenciales)

3) Qué datos tratamos (categorías)

Minimizamos datos y restringimos uso a finalidades declaradas; proveemos información clara al momento de la recolección conforme GDPR art. 13.

4) Para qué los usamos (finalidades ↔ bases legales)

Travel Rule y TFR (UE): obtenemos, conservamos y transmitimos información del originador y beneficiario cuando aplica, conforme FATF Rec. 16 y Reg. (UE) 2023/1113.

5) Tabla de flujos de datos y terceros (alto nivel)

Nota: EFY no capta depósitos bancarios ni asume rol de entidad financiera salvo lo permitido por su licencia específica; los servicios de terceros se rigen por sus términos. (Ver TyC, Cláusula 6.X).

6) Cookies y tecnologías similares

Clasificamos cookies en esenciales, funcionales y analíticas/publicitarias (éstas últimas sólo con consentimiento). Ofrecemos panel de preferencias y opciones de opt-out.

7) Derechos de los titulares y procedimiento (SLA)

Derechos (varían por jurisdicción): acceso, rectificación, supresión (cuando aplique), oposición, restricción, portabilidad, revocación de consentimiento e impugnación de decisiones automatizadas.

Procedimiento estándar (global):

Cuando la respuesta implique datos manejados por terceros responsables (p. ej., Zenus Bank, CORECREDIT, CORESOFT), te redirigiremos a sus canales.

8) Transferencias internacionales y mecanismos de garantía

Podemos transferir datos a proveedores en múltiples países. Aplicamos SCCs (cláusulas contractuales tipo), medidas complementarias (cifrado, control de acceso) y, cuando corresponda, adherencia al EU-US Data Privacy Framework para receptores certificados.

9) Seguridad (controles y gobierno)

Controles técnicos y organizativos: cifrado en tránsito/rep., segregación de entornos, gestión de identidades/roles, hardening e infra as code, pruebas de seguridad, monitoring, SIEM, zero trust progresivo y retención limitada de logs. “Privacy by design & by default”. (Buenas prácticas reflejadas en portales de privacidad líderes del sector).

10) Conservación y data minimization

Los plazos pueden ajustarse por exigencias regulatorias o defensas legales.

11) Decisiones automatizadas y perfilado

Modelos/heurísticas para fraude, abuso de promociones, elusión de geobloqueos y riesgo transaccional on-chain. Si una decisión te afecta significativamente, podrás solicitar revisión humana, expresar tu punto de vista e impugnar (alineado a marcos como GDPR/CPRA).

12) Particularidades por jurisdicción (resumen operativo)

• UE/EEE y MiCA/TFR: para VASPs y emisores relevantes, cumplimos MiCA (Reg. 2023/1114) e información de transferencias de criptoactivos (Reg. 2023/1113).
• Estándares FATF: Travel Rule y supervisión/licenciamiento de VASPs conforme FATF (y actualización 2025).
• California (CPRA/CCPA): periodos de respuesta, categorías y derechos expandidos (opt-out de venta/compartición, limit use of sensitive PI).
• El Salvador: servicios cripto ajustados a la normativa vigente (incl. Ley Bitcoin, según corresponda).
• Puerto Rico (Zenus Bank): el banco es responsable del tratamiento en sus productos; EFY funge sólo como intermediario de producto, sin captar depósitos ni crear relación banco-cliente. (Ver TyC 6.X).
• Panamá/Colombia: para productos ofrecidos por CORECREDIT/CORESOFT, las políticas de dichos terceros prevalecen en su dominio.

13) Incidentes y notificación de brechas (procedimiento)

14) Menores de edad

Los servicios no están dirigidos a menores. Si crees que un menor aportó datos, contáctanos para gestionar su supresión conforme ley.

15) Marketing y preferencias

Enviamos comunicaciones de marketing sólo con tu consentimiento (o base legal aplicable). Puedes retirarlo en cualquier momento.

16) Canales de contacto (Responsable y DPO)

• Responsable: EFY TECHNOLOGIES, S.A. DE C.V.
• Correo DPO / Privacidad: supportsupport@efy.finance
• Soporte: +57 310 2048554

ANEXOS

Anexo A — Mapa de datos y minimización (por módulo)

Anexo B — Procedimiento de derechos (detalle operativo)

1. Recepción en canal DPO → 2) Validación identidad (KBA) → 3) Evaluación marco legal aplicable → 4) Extracción y revisión (seguridad/legales) → 5) Entrega segura (portal o cifrado) → 6) Archivo y registro de métricas.

Anexo C — Retención (matriz ampliada)

Anexo D — Cookies (catálogo)

Anexo E — Puente con TyC (Cláusula 6.X)

• Enlaces a CORECREDIT/CORESOFT/Zenus Bank/custodios/LPs son externos; EFY no respalda ni garantiza sus tratamientos.
• Wallet: en no-custodial, EFY no tiene acceso a claves; en custodial, rigen los términos del custodio.
• RFQ: cotizaciones indicativas, sujetas a latencia y slippage; geo-restricciones (incluida Bolivia) aplican.
• Asociación en Bolivia: sólo cubre operaciones expresamente descritas en la asociación; lo demás se rige por términos del banco asociado (prevalecen sobre comunicaciones generales de EFY).

Anexo F — Glosario

• Datos personales: Cualquier información relativa a una persona identificada o identificable.
• DPO: Data Protection Officer.
• KYC/AML: Conoce a tu cliente / Antilavado de dinero.
• PEP: Persona expuesta políticamente.
• Travel Rule (FATF Rec. 16): Obligación de transmitir/retener datos de originador/beneficiario en transferencias de fondos y, bajo TFR, de criptoactivos.
• MiCA: Reglamento de Mercados de Criptoactivos de la UE (2023/1114).
• TFR: Reglamento (UE) 2023/1113 sobre información que acompaña las transferencias de fondos y criptoactivos.
• DPF: Marco de Privacidad de Datos UE-EE. UU. (adecuación 2023).
• SCCs: Cláusulas Contractuales Tipo para transferencias internacionales de datos (UE).
• VASP: Virtual Asset Service Provider (FATF).

Anexo G — Cambios y control de versiones

• Versión: 1.0
• Fecha: 11.04.2025
• Cambio clave: Publicación inicial
• Responsable: DPO