Maiki← Volver al inicio

Política de Tratamiento de Datos Personales

NEXFIN S.A.S. · NIT 901.239.403-0 · Maiki es una marca de NEXFIN S.A.S.

POLÍTICA DE PRIVACIDAD Y TRATAMIENTO DE DATOS PERSONALES

NEXFIN S.A.S. identificada con NIT 901.239.403-0 reconoce a cada persona como titular de su información personal y, en cumplimiento de la normatividad colombiana, garantiza el respeto y la protección de los datos personales suministrados. Estos datos, tales como nombres, apellidos y datos de contacto, son necesarios para prestar servicios de manera integral y serán tratados conforme a la presente política de tratamiento de datos personales. Con el fin de protegerlos, aquí se establecen las reglas y procedimientos internos para que los titulares puedan ejercer sus derechos a conocer, actualizar, rectificar, suprimir sus datos y revocar la autorización de tratamiento, de acuerdo con lo dispuesto en la Ley 1581 del 17 de octubre de 2012, los Decretos 1377 de 2013 y 886 de 2014 (hoy incorporados en el Decreto Único 1074 de 2015), entre otros. Es importante indicar que, según la Ley 1581 de 2012, el dato personal es cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables, como el nombre, la edad, el sexo, el estado civil, el domicilio, entre otros. Estos datos pueden almacenarse en cualquier soporte físico o electrónico y ser tratados de forma manual o automatizada.

La presente política de tratamiento de datos personales será aplicada desde su aceptación por parte de los clientes y/o usuarios de NEXFIN S.A.S. NIT 901.239.403-0

1. Normatividad Aplicable: La presente Política de Tratamiento de Datos Personales, el aviso de privacidad y el formato de autorización de tratamiento de datos, se regirán por lo previsto en el artículo 15 de la Constitución Política de Colombia, la ley 1266 de 2008, la ley 1581 de 2012, el decreto 1377 de 2013, el decreto 1727 de 2009 y todas aquellas normas que los modifiquen, deroguen, subroguen o sustituyan.

2. Objetivo: La presente política de privacidad y tratamiento de datos personales tiene como finalidad establecer las reglas y lineamientos adoptados por NEXFIN S.A.S. para garantizar el derecho de todas las personas a conocer, actualizar, rectificar y, cuando sea procedente, suprimir sus datos personales o revocar la autorización de tratamiento, conforme a lo dispuesto en la normatividad vigente en Colombia. Esta política informa a los clientes, usuarios y grupos de interés de NEXFIN S.A.S. sobre los derechos consagrados en la Ley 1581 de 2012 y demás normas aplicables, así como sobre las finalidades y el uso que se dará a la información personal recolectada, asegurando que el tratamiento de los datos se realice de manera legítima, segura y transparente. Además, se indica de qué forma y a través de qué canales los titulares pueden ejercer sus derechos respecto a su información personal.

3. Alcance: Esta política de privacidad y tratamiento de datos personales se aplica a todas las bases de datos y archivos, físicos o electrónicos, que contengan datos personales objeto de tratamiento por parte de NEXFIN S.A.S. y quienes adquieran la condición de encargados, tales como cesionarios, aliados, colaboradores, trabajadores, contratistas, aprendices, así como personas naturales o jurídicas dedicadas a la gestión de cobranza. Su alcance incluye garantizar un trámite expedito y legal a las solicitudes y reclamaciones presentadas por los titulares de la información, sus causahabientes o personas debidamente autorizadas. Además, busca dar cumplimiento a las exigencias de la normatividad vigente en materia de protección de datos personales y al principio de responsabilidad demostrada (accountability), asegurando la debida protección de los intereses y necesidades de los titulares de la información personal tratada.

4. Glosario:

En el desarrollo, interpretación y aplicación de la ley, regulaciones, y normatividad vigente, se aplicarán, de manera armónica e integral, las siguientes definiciones: ACCESO RESTRINGIDO: El acceso a la información personal tratada por NEXFIN S.A.S. está limitado a parámetros previamente definidos y solo podrá ser realizado por personas autorizadas, de acuerdo con las funciones y finalidades establecidas. NEXFIN S.A.S. no pondrá a disposición datos personales a través de Internet u otros medios de comunicación masiva, salvo que existan medidas técnicas, humanas y administrativas que permitan controlar y restringir el acceso únicamente a quienes cuenten con la debida autorización, garantizando así la protección y confidencialidad de la información conforme a la normatividad vigente ÁREA RESPONSABLE DE PROTECCIÓN DE DATOS: El área encargada será el área legal de la compañía, y se recibirá las solicitudes al correo [email protected] y [email protected] es quien tiene la función de vigilar y controlar la aplicación de la Política de Protección de Datos Personales en NEXFIN S.A.S. ÁREA RESPONSABLE DE LA ATENCIÓN A PETICIONES, QUEJAS, RECLAMOS Y CONSULTAS: Las peticiones, quejas, reclamos y consultas formuladas por los titulares de datos serán atendidas por el área legal, garantizando una gestión oportuna y conforme a la normatividad vigente. AUTORIZACIÓN: Consentimiento previo, expreso, informado y otorgado por el titular de los datos personales, para que el Responsable del Tratamiento pueda recolectar, almacenar, usar, circular o suprimir sus datos personales. Esta autorización puede ser otorgada por escrito, de forma verbal o mediante conductas inequívocas que permitan demostrarla, y debe obtenerse por cualquier medio que permita su consulta posterior. Conforme al artículo 9 de la Ley 1581 de 2012, la autorización es requisito indispensable para el tratamiento de datos personales, salvo las excepciones previstas en la ley. AVISO DE PRIVACIDAD: Comunicación verbal o escrita, dirigida al titular de los datos personales por parte del Responsable del Tratamiento, mediante la cual se informa de manera clara, suficiente y oportuna sobre las finalidades de la recolección y el tratamiento de sus datos personales, los derechos que le asisten, el acceso a las políticas de tratamiento de datos, y los canales habilitados para presentar peticiones, quejas, reclamos y sugerencias relacionados con el manejo de su información. BASE DE DATOS: Conjunto organizado de Datos Personales que sean objeto de tratamiento. Incluye archivos físicos y electrónicos. CALIDAD DEL DATO: El dato personal sometido a tratamiento por NEXFIN S.A.S. debe ser veraz, completo, exacto, actualizado, comprobable y comprensible. Se prohíbe el tratamiento de datos personales parciales, incompletos, fraccionados o que induzcan a error. En caso de contar con datos de estas características, NEXFIN S.A.S. se abstendrá de someterlos a tratamiento o solicitará al titular la completitud o corrección de la información, garantizando así la calidad y veracidad de los datos conforme a la normatividad vigente. CIRCULACIÓN RESTRINGIDA: A los datos personales tratados por NEXFIN S.A.S. solo podrán acceder aquellas personas autorizadas o quienes, dentro de sus funciones, tengan a cargo la realización de actividades relacionadas con el tratamiento de dichos datos. No se entregarán datos personales a quienes no cuenten con la debida autorización o no hayan sido habilitados por NEXFIN S.A.S. para su tratamiento. CONFIDENCIALIDAD: La confidencialidad es un elemento fundamental de la seguridad de la información que determina quiénes y bajo qué circunstancias pueden acceder a los datos personales tratados por NEXFIN S.A.S. Se debe proteger la confidencialidad de todos aquellos datos que no tengan la naturaleza de públicos, garantizando la reserva y protección de la información frente a accesos no autorizados, conforme a la normatividad vigente y las mejores prácticas en materia de protección de datos personales CONSUMIDORES: De conformidad con el numeral 3 del artículo 5 de la Ley 1480 de 2011, se entenderá por consumidor toda persona natural o jurídica que, como destinatario final, adquiera, disfrute o utilice un determinado producto financiero o servicio ofrecido por NEXFIN SAS, cualquiera que sea su naturaleza, para la satisfacción de una necesidad propia, privada, familiar, doméstica o empresarial, siempre y cuando dicha necesidad no esté ligada intrínsecamente a la actividad económica principal de la persona. Se entenderá incluido en el concepto de consumidor el de usuario de los servicios de NEXFIN SAS. DATO PERSONAL: Cualquier información vinculada, asociada o que pueda asociarse a una o varias personas naturales determinadas o determinables. Se entiende como dato personal toda información relacionada con una persona natural, individualmente considerada, que permite identificarla o hacerla identificable, incluyendo elementos como nombre, número de identificación, dirección, domicilio, correo electrónico, número telefónico, estado civil, datos de salud, huella dactilar, salario, bienes, estados financieros y score o puntuación en centrales de riesgo, entre otros. DATO PRIVADO: Es el dato que por su naturaleza íntima o reservada sólo es relevante para el Titular. DATO PÚBLICO: Es el dato calificado como tal según los mandatos de la ley o de la Constitución Política, así como todos aquellos que no sean semiprivados o privados, de conformidad con la Ley 1266 de 2008. Se consideran públicos, entre otros, los datos contenidos en documentos públicos, sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas, a la profesión u oficio, y a la calidad de comerciante o servidor público. Por su naturaleza, los datos públicos pueden estar incluidos en registros públicos, gacetas, boletines oficiales y otros documentos accesibles al público DATO SEMIPRIVADO: Es aquel dato personal que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo a su titular, sino también a un determinado sector, grupo de personas o a la sociedad en general. Dentro de esta categoría se encuentran, por ejemplo, los datos financieros, crediticios o relacionados con actividades comerciales o de servicios, tal como lo establece la Ley 1266 de 2008 DATO SENSIBLE: Se considera dato sensible aquella información personal que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación. Estos datos incluyen, entre otros, los que revelan el origen racial o étnico, la orientación política, las convicciones religiosas, filosóficas o morales, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o partidos políticos, así como la información relativa a la salud, la vida sexual y los datos biométricos. La divulgación indebida de estos datos puede ocasionar daño al honor, la intimidad o la dignidad de la persona, por lo que su tratamiento está sujeto a restricciones y medidas especiales de protección conforme a la normatividad vigente. DERECHO DE LOS NIÑOS, NIÑAS Y ADOLESCENTES: En el Tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes, en cumplimiento del artículo 7 de la ley 1581 de 2012. Sólo podrán tratarse aquellos datos que sean de naturaleza pública. ENCARGADO DEL TRATAMIENTO: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento. NEXFIN S.A.S. actúa como encargado del tratamiento de datos personales en los casos en que, por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta de un responsable del tratamiento. INFORMACIÓN DIGITAL: Toda aquella información que es almacenada o transmitida por medios electrónicos y digitales como el correo electrónico u otros sistemas de información. RESPONSABLE DEL TRATAMIENTO: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otras, decida sobre la base de datos y/o el Tratamiento de los datos. NEXFIN S.A.S. actúa como responsable del tratamiento de datos personales frente a todos los datos personales sobre los cuales decida directamente, en cumplimiento de las funciones propias reconocidas legalmente. RNBD: Registro Nacional de Bases de Datos. RECLAMO: Solicitud presentada por el titular de los datos personales o sus causahabientes, o por las personas autorizadas por estos o por la Ley, dirigida al Responsable o Encargado del Tratamiento, con el fin de corregir, actualizar o suprimir sus datos personales, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes establecidos en la Ley 1581 de 2012. El reclamo debe contener la identificación del titular, la descripción de los hechos que lo motivan, la dirección de contacto y los documentos que se quiera hacer valer. El trámite del reclamo se sujetará a las reglas y términos previstos en el artículo 15 de la Ley 1581 de 2012, y constituye un requisito previo para acudir ante la Superintendencia de Industria y Comercio conforme al artículo 16 de la misma ley. SIC: Superintendencia de Industria y Comercio. TÉRMINOS Y CONDICIONES: Política general que establece las condiciones y reglas aplicables para el acceso y uso de los aplicativos y la página web de NEXFIN S.A.S., a través de los cuales los usuarios pueden acceder a los bienes y servicios ofertados por la compañía. Estos términos regulan la relación entre NEXFIN S.A.S. y los usuarios, definiendo derechos, obligaciones y responsabilidades para el uso adecuado de las plataformas digitales. TITULAR: Persona cuyos datos personales son objeto de Tratamiento. TRANSFERENCIA DE DATOS PERSONALES: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del Tratamiento de datos personales, ubicado en la República de Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país TRANSMISIÓN DE DATOS PERSONALES: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable. TRATAMIENTO: Es cualquier operación o conjunto de operaciones sobre Datos Personales que realice NEXFIN S.A.S. o los Encargados del Tratamiento, tales como la recolección, almacenamiento, uso, circulación o supresión.

5. Responsables: El área legal de NEXFIN S.A.S. es la encargada de gestionar las consultas y los reclamos de los Titulares, con el fin de asegurar el ejercicio de los derechos establecidos en la Ley 1581 de 2012, en cumplimiento de lo dispuesto en el artículo 2.2.2.25.4.4. del Decreto 1074 de 2015, relativo a los medios para el ejercicio de los derechos. Esta área gestiona y supervisa las respuestas a cada una de las peticiones de los Titulares, de acuerdo con los derechos consagrados en la Ley 1581 de 2012. Para notificaciones, consultas y cualquier tipo de contacto, los Titulares pueden dirigirse a NEXFIN S.A.S. a través de los siguientes correos electrónicos: [email protected] y [email protected]. Asimismo, pueden comunicarse o enviar correspondencia a la dirección de la sociedad en Pereira, Risaralda, Colombia, en la Calle 20 #6-30, oficina 1204, Edificio Banco Ganadero, y al teléfono 3222088867.

6. Principios rectores: En el tratamiento de los datos personales, NEXFIN S.A.S. se regirá por los siguientes principios. Estos son obligatorios en la recolección, manejo, utilización, almacenamiento, transmisión e intercambio de la información, y guiarán de manera armónica e integral el desarrollo, interpretación y aplicación de la presente política: PRINCIPIO DE LEGALIDAD: El tratamiento de datos personales es una actividad reglada que se sujetará a lo establecido en la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios, así como en las demás disposiciones que las desarrollen. PRINCIPIO DE FINALIDAD: El tratamiento de datos personales obedecerá a una finalidad legítima y explícita, de acuerdo con la Constitución y la Ley, la cual siempre se informará al titular de manera clara, suficiente y previa. PRINCIPIO DE LIBERTAD: La recolección de los datos personales solo podrá ejercerse con la autorización previa, expresa e informada del titular. Los datos personales no se obtendrán ni divulgarán sin previa autorización, o en ausencia de un mandato legal o judicial que releve el consentimiento. PRINCIPIO DE VERACIDAD O CALIDAD: La información sujeta a tratamiento de datos personales debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error. PRINCIPIO DE TRANSPARENCIA: Se garantizará al titular el derecho a obtener del responsable del tratamiento o del encargado del tratamiento, en cualquier momento y sin restricciones, información clara acerca de la existencia de datos que le conciernan. PRINCIPIO DE ACCESO Y CIRCULACIÓN RESTRINGIDA: El tratamiento de datos personales se sujetará a los límites que se derivan de la naturaleza de los mismos, de las disposiciones de la ley y la Constitución. En este sentido, el tratamiento solo podrá realizarse por personas autorizadas por el titular y/o por las personas previstas en la ley. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación masiva, a menos que el acceso sea técnicamente controlable para brindar un conocimiento restringido únicamente a los titulares o terceros autorizados. PRINCIPIO DE SEGURIDAD: La información sujeta a tratamiento se manejará adoptando las medidas técnicas, humanas y administrativas que sean necesarias para garantizar la seguridad de los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. PRINCIPIO DE CONFIDENCIALIDAD: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con NEXFIN S.A.S. o con alguna de las labores que comprenden el tratamiento. Solo se permitirá el suministro o comunicación de datos personales cuando corresponda al desarrollo de las actividades autorizadas por la ley y en los términos de la misma.

7. Disposiciones para el tratamiento de datos personales sensibles: Para los propósitos de esta política y conforme al artículo 5 de la Ley 1581 de 2012 y el Decreto 1377 de 2013, se consideran datos sensibles aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Entre estos se incluyen datos que revelan origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, así como información relacionada con la salud, la vida sexual y datos biométricos. De acuerdo con el artículo 6 de la Ley 1581 de 2012 y el Decreto 1377 de 2013, el tratamiento de datos sensibles está prohibido salvo en casos específicos autorizados por la ley, tales como: cuando el titular otorgue su autorización expresa, salvo excepciones legales; cuando sea necesario para proteger su interés vital y el titular esté incapacitado, en cuyo caso sus representantes legales deben autorizarlo; cuando el tratamiento sea realizado por organizaciones sin ánimo de lucro con fines legítimos y con garantías adecuadas; cuando sea necesario para el reconocimiento o defensa de un derecho en procesos judiciales; o cuando se trate de fines históricos, estadísticos o científicos, garantizando la supresión de la identidad del titular. NEXFIN S.A.S. tratará datos sensibles únicamente cuando sea estrictamente necesario para mantener la relación comercial con sus usuarios o clientes, siempre con autorización previa, expresa e informada, salvo en los casos en que la ley exima dicho requisito. Conforme al artículo 12 literal b) de la Ley 1581 de 2012 y el artículo 6 numeral 1 del Decreto 1377 de 2013, se informará al titular que no está obligado a autorizar el tratamiento de estos datos ni a responder preguntas relacionadas con su orientación sexual, filiación política, origen racial o étnico, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales, ni sobre su salud o vida sexual. Los datos sensibles serán tratados con estricta confidencialidad y protegidos mediante las medidas técnicas, humanas y administrativas necesarias para garantizar su seguridad. En ningún caso NEXFIN S.A.S. condicionará la prestación de sus servicios a la entrega de datos sensibles, en cumplimiento estricto del artículo 6 del Decreto 1377 de 2013.

8. Tratamiento de datos personales de niños, niñas y adolescentes: En cumplimiento de lo dispuesto en el artículo 7 de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013, el tratamiento de datos personales de niños, niñas y adolescentes se encuentra prohibido, salvo aquellos datos que sean de naturaleza pública. Dada la naturaleza comercial de NEXFIN S.A.S., su interacción principal se realiza con personas mayores de edad. Por lo tanto, para que niños, niñas y adolescentes puedan acceder a los bienes o servicios ofrecidos por NEXFIN S.A.S., será necesaria la intervención de sus representantes legales. Los datos personales de dichos representantes legales serán tratados conforme a lo dispuesto en esta política. En concordancia con lo anterior, NEXFIN S.A.S. no tratará datos personales de niños, niñas y adolescentes de manera general, asegurando en todo momento el respeto de su interés superior y sus derechos fundamentales. En caso de que el tratamiento de datos personales de niños, niñas o adolescentes sea absolutamente necesario y cumpla con la excepción de datos de naturaleza pública, NEXFIN S.A.S. obtendrá la autorización del representante legal del niño, niña o adolescente, previo ejercicio del menor de su derecho a ser escuchado. La opinión del niño, niña o adolescente será valorada teniendo en cuenta su madurez, autonomía y capacidad para entender el asunto en concreto.

9. Tratamiento y finalidades: NEXFIN S.A.S. Tratará datos personales, realizando operaciones o conjunto de operaciones que incluyen su recolección, almacenamiento, uso, circulación y/o supresión. Este tratamiento se llevará a cabo exclusivamente para las finalidades autorizadas y previstas en la presente Política y en las autorizaciones específicas otorgadas por el titular. De la misma forma, se tratarán datos personales cuando exista una obligación legal o contractual para ello. Adicionalmente, y en ejecución de su objeto social, los datos personales serán tratados de acuerdo con el grupo de interés y en proporción a la finalidad o finalidades que tenga cada tratamiento, como se describe a continuación:

1. CLIENTES / USUARIOS EN GENERAL El tratamiento de los datos personales de los clientes y usuarios en general se realizará para las siguientes finalidades: 1. Iniciar la gestión y aprobación de créditos de consumo. 2. Consultar, reportar y actualizar ante operadores de bancos de datos (tales como Experian, Transunion) y demás entidades de contenido crediticio y financiero, el comportamiento financiero y crediticio del titular, con el fin de actualizar su capacidad de endeudamiento y la información requerida para adquirir los bienes y servicios ofrecidos por NEXFIN S.A.S. 3. Conocer y consultar el comportamiento financiero, comercial y crediticio del titular ante centrales de información. 4. Realizar todas las gestiones necesarias para confirmar y actualizar la información suministrada. 5. Gestionar la cobranza de obligaciones en mora, directamente por NEXFIN S.A.S. o a través de terceros contratados para tal fin. El titular declara conocer y aceptar que todas las personas naturales y jurídicas que realicen gestiones de cobranza —ya sea de forma directa, por tercerización o por cesión de la obligación financiera o crediticia— deberán cumplir lo dispuesto en la Ley 2300 de 2023 con el fin de proteger el derecho a la intimidad de los consumidores. Por ello, NEXFIN S.A.S. o los encargados del tratamiento de datos personales, al adelantar estas gestiones, solo se contactarán con el titular a través de los canales autorizados para tal fin, bajo la comprensión de que dichos canales fueron informados y socializados previamente mediante la autorización de tratamiento de datos personales. Para tal efecto, en ejercicio de la facultad dispuesta en el parágrafo del artículo 3 de la Ley 2300 de 2023, el titular autoriza expresamente que la gestión de cobranza incluya contacto directo hasta un máximo de tres (3) veces al día, de lunes a sábado de 07:00 a.m. a 08:00 p.m., excepto domingos y festivos. También autoriza, en virtud de la facultad dispuesta en el artículo 6° de la Ley 2300 de 2023, que se adelanten gestiones de cobranza mediante visitas a su domicilio o lugar de trabajo, siempre y cuando no se haya podido establecer contacto directo a través de los medios autorizados. En esta medida, el titular declara que esta autorización se efectuó a través de un instrumento distinto al contrato o acto que rige la relación jurídica entre el consumidor y el gestor de cobranza y posterior a la suscripción del mismo. 6. Validar y verificar la identidad del titular para el ofrecimiento y administración de productos y servicios. 7. Establecer, mantener y terminar una relación contractual. 8. Ofrecer y prestar productos o servicios a través de cualquier medio o canal de comunicación. 9. Comunicar ofertas publicitarias, campañas comerciales, así como promocionar productos y servicios, tanto propios como de terceros aliados. 10. Enviar comunicaciones necesarias para mantener informado al cliente mediante llamada telefónica, mensaje de texto, correo electrónico, Instagram, Facebook o cualquier otra red social o de mensajería instantánea. 11. Conocer la ubicación y datos de contacto del titular para efectos de notificaciones jurídicas, de seguridad y ofrecimiento de beneficios y ofertas comerciales. 12. Efectuar análisis e investigaciones comerciales, estadísticas, de riesgos y de mercado. 13. Prevenir el lavado de activos, la financiación del terrorismo, así como detectar el fraude, la corrupción y otras actividades ilícitas. 14. Realizar, validar, autorizar o verificar transacciones. 15. Realizar encuestas de satisfacción con respecto a los servicios prestados. 16. Transferir y/o transmitir datos personales a terceros, incluyendo entidades filiales, matrices, aliadas, entidades financieras, operadores de bancos de datos, proveedores de servicios (nacionales o internacionales) y aliados comerciales. Esto con el fin de: Cumplir con las finalidades aquí descritas, gestionar riesgos comerciales y operativos, realizar actividades de mercadeo y publicidad de servicios propios o de terceros, procesar datos para la gestión de crédito y/o cobranza y prestar el servicio requerido por el titular. 17. Tratar información de menores de edad únicamente bajo la autorización de su representante legal y siempre que no ponga en peligro la integridad del menor. Cuando la gestión del crédito requiera información adicional de carácter sensible, se solicitará autorización expresa del titular. 18. Conocer los datos de sus cuentas bancarias con el fin de realizar depósitos derivados de la relación contractual. 19. Tratamiento de datos biométricos mediante reconocimiento facial. NEXFIN S.A.S., en su calidad de responsable del tratamiento de datos personales, podrá realizar el tratamiento de datos biométricos de los titulares, consistentes en la recolección, almacenamiento, análisis y validación de fotografías del rostro, captadas por medios digitales o tecnológicos, con el exclusivo propósito de verificar la identidad del titular a través de mecanismos de reconocimiento facial, prevenir fraudes y suplantaciones, asegurar la autenticidad en los procesos.

2. PROVEEDORES, CONTRATISTAS Y ALIADOS El tratamiento de los datos personales de proveedores, contratistas y aliados se realizará para las siguientes finalidades: 1. Gestionar información contable, financiera, comercial, logística y administrativa. 2. Administrar y verificar antecedentes comerciales. 3. Analizar y prevenir los riesgos de lavado de activos y financiación del terrorismo, así como para detectar y/o prevenir el fraude, la corrupción y otras actividades ilícitas. 4. Consultar bases de datos para implementar políticas de origen de ingresos y prevención del lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva. 5. Revisar y evaluar los resultados del proveedor o aliado para la verificación y cumplimiento de metas fijadas por NEXFIN S.A.S. 6. Gestionar la información necesaria para el cumplimiento de obligaciones tributarias y contractuales. 7. Remitir comunicaciones con fines comerciales, publicitarios, de prospección comercial, y notificaciones que se requieran para la ejecución contractual, incluyendo notificaciones judiciales. 8. Registrar, captar, almacenar y reproducir audios, videos, fotografías o cualquier otro dato derivado del curso de contratos comerciales y civiles, así como datos biométricos en el marco de la relación contractual. 9. Transmitir la información a encargados nacionales o internacionales con los que se tenga una relación operativa que provean los servicios necesarios para la debida operación de NEXFIN S.A.S., siempre bajo acuerdos de confidencialidad y en cumplimiento de la normatividad aplicable. 10. Tratar los datos de sus cuentas bancarias con el fin de realizar depósitos derivados de la relación contractual.

3. PERSONAS TRABAJADORAS, APRENDICES Y ASPIRANTES El tratamiento de los datos personales de personas trabajadoras, aprendices y aspirantes se realizará para las siguientes finalidades: 1. Realizar procesos de evaluación para el ingreso y la vinculación laboral. 2. Gestionar fines contables, administrativos y de nómina de NEXFIN S.A.S. 3. Administrar todo lo relacionado con las relaciones laborales, la ejecución del contrato individual de trabajo y/o contrato de aprendizaje, y las obligaciones que se deriven de estas, incluyendo el cumplimiento de normativas de seguridad social y parafiscales. 4. Remitir mensajes de datos o realizar llamadas al número telefónico, redes sociales, correo electrónico, dirección física o cualquier otro dato de notificación conocido, con propósitos contractuales, publicitarios, de prospección comercial y notificaciones judiciales. 5. Registrar, captar, almacenar y reproducir audios, videos, fotografías o cualquier otro dato derivado del curso de la relación contractual. Esto incluye, entre otros, los datos captados con cámaras de seguridad o cualquier otro dispositivo habilitado para la captación y almacenamiento de audio, video o imagen, así como aquellos requeridos para dejar constancia de diligencias de descargo celebradas en procesos disciplinarios laborales. También incluye cualquier grabación o registro necesario para ser utilizado como elemento material probatorio en procedimientos administrativos, judiciales, arbitrales o extrajudiciales. 6. Captar, reproducir y utilizar datos personales, incluyendo nombre, imagen y datos biométricos. Utilizar los datos captados para fines contractuales, publicitarios o de prospección comercial. Para este efecto, se incluye autorización gratuita del tratamiento de los derechos de imagen en fotografías, procedimientos análogos a la fotografía, producciones audiovisuales (videos) y formatos impresos. La presente autorización de uso se otorga para ser utilizada en formato o soporte material impreso, extendiéndose al uso en medio electrónico, óptico, magnético, en redes (intranet e internet), mensajes de datos o similares. También incluye su uso en cualquier medio o soporte conocido o por conocer en el futuro. La publicación podrá efectuarse directamente o a través de un tercero que se designe para tal fin. 7. Conocer, consultar, almacenar, reproducir y utilizar los datos que reposan en historias clínicas de origen común y laboral, incluyendo la posibilidad de tratar datos relativos a las patologías diagnosticadas, fechas de asistencia a consultas médicas; prescripción, estado y cumplimiento de tratamientos; recomendaciones y restricciones médicas; así como las fechas de inicio y finalización de incapacidades médicas. Asimismo, tratar datos derivados de pruebas de alcoholemia y consumo de sustancias psicoactivas, realizadas en el marco de controles de salud ocupacional, seguridad en el trabajo o cualquier otra medida de prevención y cumplimiento normativo. 8. Tratar datos biométricos, tales como huellas digitales, reconocimiento facial, reconocimiento de voz, patrones de iris, geometría de la mano y cualquier otro dato biométrico utilizado con la tecnología actualmente conocida o que se llegare a conocer, con fines contractuales. Esto incluye el tratamiento de dichos datos para el registro de ingreso, permanencia y finalización de las actividades derivadas de la labor encomendada. 9. Adelantar el cobro coactivo de obligaciones o sanciones impuestas por la sociedad, y para el control de asignación y términos legales dentro de la dependencia. 10. Gestionar la información necesaria para el cumplimiento de las obligaciones tributarias y contables. 11. Ejercer los derechos de propiedad intelectual cedidos, incluyendo la gestión para el registro de derechos de propiedad industrial o derechos de autor ante autoridades competentes, en virtud de lo establecido en la cláusula de cesión de propiedad intelectual del contrato (o acto jurídico aplicable). 12. Conocer los datos de las cuentas bancarias con el fin de realizar depósitos derivados de la relación contractual. 13. Consultar bases de datos para implementar políticas de origen de ingresos y prevención del lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva.

10. Deberes de NEXFIN como responsable del tratamiento de datos personales: NEXFIN S.A.S., en su calidad de responsable del tratamiento de datos personales, reconoce que los titulares son los propietarios de su información. Por esta razón, los titulares pueden ejercer en todo momento sus derechos a generar cambios o actualizaciones sobre sus datos, solicitar su supresión o revocar la autorización para su tratamiento ante NEXFIN S.A.S. En este marco, NEXFIN S.A.S. se compromete a usar los datos personales recolectados únicamente para las finalidades para las que se encuentre debidamente autorizada, priorizando el principio de legalidad y apegándose a los mandatos legales y reglamentarios vigentes para la protección de datos personales. Son deberes de NEXFIN S.A.S., como responsable del tratamiento, los establecidos en el artículo 17 de la Ley 1581 de 2012, así como aquellos que se deriven de otras disposiciones normativas que rijan su actividad:

  1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

  2. Solicitar y conservar, en las condiciones previstas en la citada ley, copia de la respectiva autorización otorgada por el Titular.

  3. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.

  4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

  5. Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.

  6. Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a éste se mantenga actualizada.

  7. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.

  8. Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado de conformidad con lo previsto en la citada ley.

  9. Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.

  10. Tramitar las consultas y reclamos formulados en los términos señalados en la citada ley.

  11. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la citada ley y en especial, para la atención de consultas y reclamos.

  12. Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.

  13. Informar a solicitud del Titular sobre el uso dado a sus datos.

  14. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.

  15. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio”

NEXFIN S.A.S. custodiará los datos que terceros le proporcionen, de buena fe y solamente podrá transferirlos a sociedades aliadas que los utilicen para la misma finalidad para la que cada uno de los titulares autorizó su tratamiento.

Para el tratamiento y la custodia de los datos personales de los titulares, NEXFIN S.A.S., dispondrá de un área responsable para la implementación y el cumplimiento de la presente política. Dentro de dicha área, dispondrá también de un oficial de tratamiento de datos y de un canal exclusivo para la recepción de solicitudes referentes al tratamiento y la protección de los datos personales de los titulares.

La finalidad de los canales y del área responsable para la implementación y el cumplimiento de la presente política, es que los titulares de los datos puedan realizar peticiones respetuosas, conocer los datos que se tratan, sus políticas, la finalidad del tratamiento y ejercer los derechos que tiene como titular a conocer, actualizar, rectificar, suprimir datos y revocar la autorización otorgada a NEXFIN S.A.S. para su tratamiento.

El área responsable para la implementación y el cumplimiento de la política de protección y tratamiento de datos personales se encontrará ubicada en la Calle 20 No.6-30 oficina 1204, Edificio Banco Ganadero, Pereira, Risaralda, y puede ser contactada mediante el teléfono: 3222088867 y los correos electrónicos: [email protected] y [email protected]

11. Deberes de los encargados del tratamiento: Los Encargados del Tratamiento, y en el evento en el cual NEXFIN S.A.S. actúe como encargada, deberán cumplir los siguientes deberes, sin perjuicio de las demás disposiciones previstas en la ley y en otras que rijan su actividad: 1. Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. 2. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. 3. Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la Ley 1581 de 2012 y demás normas concordantes y vigentes. 4. Actualizar la información reportada por los responsables del tratamiento dentro de los cinco (5) días hábiles contados a partir de su recibo. 5. Tramitar las consultas y los reclamos formulados por los titulares en los términos señalados en la presente ley. 6. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y, en especial, para la atención de consultas y reclamos por parte de los titulares. 7. Registrar en la base de datos la leyenda "reclamo en trámite" en la forma en que se regula en la ley. 8. Insertar en la base de datos la leyenda "información en discusión judicial" una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal. 9. Abstenerse de circular información que esté siendo controvertida por el titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio. 10. Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella. 11. Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. 12. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. Adicionalmente, en cuanto al derecho de acceso y consulta, los titulares podrán consultar sus datos personales ante NEXFIN S.A.S. de forma gratuita, al menos una vez cada mes calendario, y cada vez que existan modificaciones sustanciales de las Políticas de Tratamiento de la información que motiven nuevas consultas. Para consultas cuya periodicidad sea mayor a una por cada mes calendario, NEXFIN S.A.S. solo podrá cobrar al titular los gastos de envío, reproducción y, en su caso, certificación de documentos, los cuales no podrán ser mayores a los costos de recuperación del material correspondiente, de acuerdo con el artículo 21 del Decreto 1377 de 2013. Respecto a la revocatoria de la autorización y supresión del dato, los titulares podrán en todo momento solicitar a NEXFIN S.A.S. la supresión de sus datos personales y/o revocar la autorización otorgada para el tratamiento de los mismos, mediante la presentación de un reclamo conforme al artículo 15 de la Ley 1581 de 2012. Es importante señalar que la solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el titular tenga un deber legal o contractual de permanecer en la base de datos. NEXFIN S.A.S. pondrá a disposición del titular mecanismos gratuitos y de fácil acceso para presentar dichas solicitudes. Si vencido el término legal, NEXFIN S.A.S. no hubiera eliminado los datos, el titular tendrá derecho a solicitar a la Superintendencia de Industria y Comercio que ordene la revocatoria o supresión, aplicando el procedimiento descrito en el artículo 22 de la Ley 1581 de 2012 y el artículo 9 del Decreto 1377 de 2013. Finalmente, en lo concerniente a las limitaciones temporales al tratamiento y conservación de los datos personales, NEXFIN S.A.S. solo recolectará, almacenará, usará o circulará los datos personales durante el tiempo que sea razonable y necesario, de acuerdo con las finalidades que justificaron el tratamiento, y atendiendo a las disposiciones aplicables en materia administrativa, contable, fiscal, jurídica e histórica de la información. Una vez cumplida la o las finalidades del tratamiento y sin perjuicio de normas legales que dispongan lo contrario, NEXFIN S.A.S. procederá a la supresión de los datos personales en su posesión. No obstante, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal o contractual. NEXFIN S.A.S. documentará los procedimientos para el tratamiento, conservación y supresión de los datos personales de conformidad con las disposiciones aplicables y las instrucciones de la Superintendencia de Industria y Comercio, según lo establecido en el artículo 11 del Decreto 1377 de 2013. NEXFIN S.A.S., en su calidad de Responsable del Tratamiento de datos personales, suscribirá un contrato de transmisión de datos personales en caso de que terceros adquieran la calidad de Encargado y realicen el tratamiento de datos bajo su control y responsabilidad. Estos contratos señalarán el alcance del tratamiento, las actividades que el Encargado realizará en nombre del Responsable y las obligaciones del Encargado para con el titular y el Responsable, de conformidad con el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Mediante dicho contrato, el Encargado se compromete a aplicar la política de Tratamiento de la información fijada por NEXFIN S.A.S., a realizar el Tratamiento de datos de acuerdo con la finalidad autorizada por los titulares y con las leyes aplicables. Además de otras obligaciones legales, el contrato incluirá el compromiso del Encargado de dar tratamiento a los datos personales conforme a los principios que los tutelan, salvaguardar la seguridad de las bases de datos en los que se contengan datos personales, y guardar confidencialidad respecto del tratamiento de los datos personales.

12. Derechos de los titulares de los datos personales: La Ley 1581 de 2012 confiere a los titulares de datos personales una serie de derechos que pueden ejercer frente a NEXFIN S.A.S., en su calidad de Responsable del Tratamiento, o frente a los Encargados del Tratamiento. Estos derechos pueden ser ejercidos por el titular, quien deberá acreditar su identidad mediante los medios que NEXFIN S.A.S. disponga; sus causahabientes, previa acreditación de tal calidad; su representante y/o apoderado, previa acreditación de la representación o apoderamiento; por estipulación a favor de otro o para otro; y, en el caso de niños, niñas o adolescentes, por las personas legalmente facultadas para representarlos, conforme al artículo 20 del Decreto 1074 de 2015. Entre los derechos conferidos se encuentran:

  1. Conocer, actualizar y rectificar sus datos personales frente a los Responsables del Tratamiento o Encargados del Tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.

  2. Solicitar prueba de la autorización otorgada al Responsable del Tratamiento salvo cuando expresamente se exceptúe como requisito para el Tratamiento, de conformidad con lo previsto en el artículo 10 de la citada ley.

  3. Ser informado por el Responsable del Tratamiento o el Encargado del Tratamiento, previa solicitud, respecto del uso que les ha dado a sus datos personales.

  4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la citada ley y las demás normas que la modifiquen, adicionen o complementen.

  5. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el Tratamiento el Responsable o Encargado han incurrido en conductas contrarias a la ley y a la Constitución.

  6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

13. Autorización: NEXFIN S.A.S. está comprometida con la protección de los datos personales de sus titulares, garantizando el cumplimiento de la Ley 1581 de 2012 y el Decreto 1377 de 2013. A continuación, se detallan los mecanismos para la obtención de la autorización y las consideraciones importantes al respecto. NEXFIN S.A.S. siempre solicitará la autorización previa, expresa e informada del titular de los datos personales para cualquier tratamiento. Esta autorización debe reflejar claramente la voluntad del titular de permitir a NEXFIN S.A.S. el tratamiento de sus datos. NEXFIN S.A.S. proporcionará mecanismos que permitan la consulta posterior de la autorización, tal como lo exige la ley. Estos podrán ser:

  • Por escrito: Diligenciando de su propio puño y letra la autorización para el tratamiento. NEXFIN S.A.S. actuará bajo el principio de la buena fe, asumiendo que quien diligencie el formato y lo suscriba, es el titular de los datos personales.

  • Digital: Mediante un formato digital, firmado o aceptado por el titular a través de códigos de aceptación, donde acceda al tratamiento de los mismos. NEXFIN S.A.S. actuará bajo el principio de la buena fe, asumiendo que quien acepte el formato, es el titular de los datos personales.

  • De forma oral: A través de una conversación telefónica o de videollamada que pueda ser rastreable o grabada. NEXFIN S.A.S. actuará bajo el principio de la buena fe, asumiendo que quien sea el interlocutor en la llamada telefónica o en la videollamada que autoriza el tratamiento, es el titular de los datos personales.

En ningún caso el silencio podrá asimilarse a una conducta inequívoca de autorización. La autorización del titular no será necesaria en los siguientes casos, conforme al Artículo 10 de la Ley 1581 de 2012: 1. Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial. 2. Datos de naturaleza pública. 3. Casos de urgencia médica o sanitaria. 4. Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos. 5. Datos relacionados con el Registro Civil de las Personas. Incluso en estos casos, quien acceda a los datos personales sin autorización previa deberá cumplir con todas las disposiciones de la Ley 1581 de 2012. Los datos que se encuentren en fuentes de acceso público pueden ser tratados por cualquier persona siempre y cuando, por su naturaleza, sean datos públicos. Para el tratamiento de datos sensibles, NEXFIN S.A.S. cumplirá estrictamente con las siguientes obligaciones: 1. Informar al titular que no está obligado a autorizar su tratamiento por tratarse de datos sensibles. 2. Informar al titular de forma explícita y previa cuáles de los datos que serán objeto de tratamiento son sensibles y la finalidad de dicho tratamiento, además de obtener su consentimiento expreso. 3. Ninguna actividad podrá condicionarse a que el titular suministre datos personales sensibles. NEXFIN S.A.S. adoptará procedimientos para solicitar la autorización a más tardar en el momento de la recolección de los datos, informando al titular los datos personales que serán recolectados y todas las finalidades específicas para las cuales se obtiene el consentimiento. NEXFIN S.A.S. conservará prueba de la autorización otorgada por los titulares para el tratamiento de sus datos personales. En caso de cambios sustanciales en el contenido de las políticas de tratamiento, especialmente aquellos referidos a la identificación del Responsable y a la finalidad del tratamiento de los datos personales que puedan afectar la autorización, NEXFIN S.A.S. comunicará estos cambios al titular antes o a más tardar al momento de implementar las nuevas políticas. Si el cambio se refiere a la finalidad del tratamiento, se deberá obtener una nueva autorización del titular. Los titulares podrán, en todo momento, solicitar a NEXFIN S.A.S. la supresión de sus datos personales y/o revocar la autorización otorgada para el tratamiento de los mismos, mediante la presentación de un reclamo. NEXFIN S.A.S. pondrá a disposición del titular mecanismos gratuitos y de fácil acceso para presentar la solicitud de supresión de datos o la revocatoria de la autorización. Es importante tener en cuenta que la solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el titular tenga un deber legal o contractual de permanecer en la base de datos.

14. Datos que serán tratados: NEXFIN S.A.S. tratará los datos personales que le sean autorizados de manera previa, expresa e informada por el titular, incluyendo su recolección, almacenamiento, uso, circulación y/o supresión. Este tratamiento se realizará exclusivamente para las finalidades autorizadas y previstas en esta Política, así como cuando exista una obligación legal o contractual. Los datos personales que NEXFIN S.A.S. podrá recolectar, tratar, usar y circular incluyen, pero no se limitan a: nombre, identificación, edad, dirección de residencia, condiciones económicas, escolaridad, dirección de correo electrónico, referencias personales, y datos de ubicación. Adicionalmente, se podrá recolectar y tratar datos biométricos como reconocimiento facial, y cualquier otro dato biométrico obtenido mediante tecnologías disponibles o futuras, con fines contractuales. Se incluye el registro, captación, almacenamiento y reproducción de audios, videos, fotografías u otros datos relacionados con la vinculación comercial, incluyendo aquellos obtenidos mediante cámaras de seguridad u otros dispositivos, para constatar el cumplimiento contractual y como prueba en procedimientos administrativos, judiciales, arbitrales o extrajudiciales. NEXFIN S.A.S., también podrá utilizar los derechos de imagen del titular en diversos formatos y medios. Esta información se utilizará como medida de autenticación y seguridad durante los procesos de vinculación, otorgamiento de productos financieros, prevención del fraude, cumplimiento de obligaciones contractuales, y en general, en desarrollo de los fines autorizados por el titular. Dicho tratamiento se realizará bajo los principios de confidencialidad, legalidad, proporcionalidad y finalidad, y se aplicarán medidas técnicas, humanas y administrativas para garantizar la seguridad de esta categoría especial de datos. La autorización para el uso de esta información biométrica será obtenida de forma previa, expresa e informada, conforme a lo dispuesto por la Ley 1581 de 2012 y el Decreto 1377 de 2013, y su tratamiento estará sujeto a las restricciones legales propias de los datos sensibles. Dentro de su tratamiento, NEXFIN S.A.S. podrá poner a disposición de algunos usuarios información sobre el número de teléfono, información relativa a perfiles de redes sociales (si se autoriza o se liga el perfil), dirección y ubicación geográfica. Los números y letras de identificación de las placas de vehículos también podrán tratarse, conforme a la autorización expresa del titular. Para la gestión del crédito, se podrá consultar y conocer el comportamiento financiero y crediticio del titular ante centrales de información autorizadas (como Datacrédito y Cifin), así como reportar, actualizar y mantener actualizada dicha información. Se consultarán y verificarán bases de datos y listas de prevención y control de lavado de activos, financiación del terrorismo y proliferación de armas de destrucción masiva, conforme a la normativa vigente. En el caso de información de terceros suministrada por el titular, esta deberá contar con la autorización previa, expresa e inequívoca del titular de dichos datos, siendo este un requisito indispensable para su verificación y contacto directo. Para el tratamiento de datos sensibles, se informará el titular que no está obligado a autorizar su tratamiento y se le comunicará de forma explícita y previa cuáles son los datos sensibles y la finalidad de su tratamiento, además de obtener su consentimiento expreso. Ninguna actividad podrá condicionarse al suministro de datos sensibles. En relación con la información de menores de edad, esta será tratada únicamente bajo la autorización expresa de su representante legal y siempre que dicho tratamiento no ponga en riesgo la integridad del menor, garantizando el respeto a sus derechos prevalentes y absteniéndose de tratar datos personales de menores salvo que sean de naturaleza pública. El titular se obliga a mantener actualizados sus datos personales de notificación, comunicando cualquier cambio de manera inmediata y veraz a NEXFIN S.A.S.

15. Procedimiento para atención y respuesta a peticiones, consultas, quejas y reclamos de los titulares de datos personales: NEXFIN S.A.S. ha dispuesto un área responsable para tramitar las solicitudes de los titulares de datos personales. Su objetivo es garantizar el ejercicio de los derechos según la Ley 1581 de 2012. Esto se realiza de conformidad con el artículo 2.2.2.25.4.4. del Decreto 1074 de 2015, sobre los medios para el ejercicio de los derechos. Esta área encargada es la legal. Su labor es gestionar, dirigir y supervisar el tratamiento de las peticiones. NEXFIN S.A.S. proporciona las siguientes vías de comunicación para la recepción de peticiones, consultas y reclamos referentes al tratamiento de datos personales. Los titulares de datos personales tratados por NEXFIN S.A.S. pueden utilizarlas. También pueden hacerlo quienes representen sus intereses, o sean tutores o curadores. Terceros autorizados por ley igualmente pueden actuar en su nombre y representación. El objetivo único es ejercer sus derechos como titular de los datos. Se requiere previa acreditación de la debida representación. - Dirección física: Calle 20 No.6-30 oficina 1204, Edificio Banco Ganadero, Pereira, Risaralda. - Correos electrónicos: [email protected] y [email protected]. - Teléfono: 3222088867 Si requiere mayor conocimiento sobre las reglas establecidas para Peticiones, Quejas o Reclamos, NEXFIN S.A.S. lo invita a consultar sus políticas de PQRS. Estas se encuentran disponibles en la página www.maiki.com.co

16. Procedimiento para atender los derechos de los titulares: NEXFIN S.A.S., como responsable del tratamiento de los datos personales, establece el siguiente procedimiento para la atención y respuesta a las consultas y reclamos que presenten los titulares de la información. Este procedimiento se basa en reglas de orden legal y administrativo. Las consultas o reclamos pueden ser realizadas por: 1. El titular, quien deberá acreditar su identidad de forma suficiente por los distintos medios que NEXFIN S.A.S. ponga a su disposición. 2. Los causahabientes, quienes deberán acreditar tal calidad. 3. El representante y/o apoderado del titular, previa acreditación de la representación o apoderamiento. 4. Por estipulación a favor de otro o para otro. 5. Los derechos de los niños, niñas o adolescentes se ejercerán por las personas que estén facultadas para representarlos. 6. Las entidades públicas en ejercicio de sus funciones legales y/o administrativas o por orden judicial. Procedimiento para atender consultas Una petición se entiende como una consulta cuando su naturaleza implica simplemente la consulta de información personal en las bases de datos de NEXFIN S.A.S. Esto se ajusta a las reglas del artículo 14 de la Ley 1581 de 2012. Las consultas dirigidas a NEXFIN S.A.S. deberán contener como mínimo la siguiente información: 1. Nombres y apellidos del titular y/o su representante y/o causahabientes. 2. La información que se pretende consultar. 3. Dirección física y electrónica de contacto del titular y/o sus causahabientes o representantes (se deben incluir documentos y poder para acreditación). 4. Copia legible del documento de identificación que permita la validación de la identidad del titular. 5. Haber sido presentada por los medios de consulta habilitados por NEXFIN S.A.S. Si la consulta no cumple con alguno de los requisitos mencionados anteriormente, el área legal encargada, dentro de los dos (2) días hábiles siguientes a la recepción de la petición, enviará una comunicación al peticionario. Se requerirán los documentos necesarios para acreditar la legitimidad y la identidad del titular de los datos. En caso necesario, se solicitará una ampliación y especificación sobre el objetivo de la petición. Plazos de Respuesta a consultas: Las solicitudes que cumplan con todos los requisitos y contengan la información necesaria serán atendidas en un término máximo de diez (10) días hábiles. El plazo se cuenta a partir de la fecha de recibo. Prórroga del plazo de Respuesta: En caso de imposibilidad de atender la consulta dentro del término inicial, se informará al solicitante antes del vencimiento de los diez (10) días hábiles. Se indicará la nueva fecha de atención. Esta fecha en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo. Desistimiento de la Consulta: Transcurrido un (1) mes desde la fecha del requerimiento, si el titular de la información no contesta la solicitud de identificación personal y/o extensión de información, la consulta deberá ser archivada. Los desistimientos en las consultas se regirán por lo dispuesto en el artículo 17 de la Ley 1755 de 2015. Procedimiento de reclamos El titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento. Este será tramitado bajo las siguientes reglas: Los reclamos dirigidos a NEXFIN S.A.S. deberán contener como mínimo la siguiente información: 1. Nombres y apellidos del titular y/o su representante y/o causahabientes. 2. Lo que se pretende actualizar, corregir, suprimir o revocar, y la descripción de los hechos que dan lugar al reclamo. 3. Dirección física y electrónica de contacto del titular y/o sus causahabientes o representantes (se deben incluir documentos y poder para acreditación). 4. Copia legible del documento de identificación que permita la validación de la identidad del titular. 5. Haber sido presentada por los medios de consulta habilitados por NEXFIN S.A.S. Si el reclamo resulta incompleto, se requerirá al interesado, dentro de los cinco (5) días siguientes a la recepción del reclamo, para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. Si quien recibe el reclamo no es competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles. Se informará de la situación al interesado. Una vez recibido el reclamo completo, NEXFIN S.A.S., incluirá en la base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo. Esto se hará en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. Plazo de Respuesta para los Reclamos: Las solicitudes que cumplan con todos los requisitos y contengan la información necesaria serán atendidas en un término máximo de quince (15) días hábiles. El plazo se cuenta a partir del día siguiente a la fecha de recibo. Prórroga del plazo de Respuesta: En caso de imposibilidad de atender el reclamo dentro del término inicial, se informará al solicitante antes del vencimiento de los quince (15) días. Se indicará la nueva fecha de atención. Esta fecha en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer plazo. Desistimiento del Reclamo: Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. Procedimiento de Supresión de Datos Personales Si la supresión de los datos personales del titular de la base de datos es procedente conforme a la reclamación presentada, NEXFIN S.A.S. realizará operativamente la supresión. La eliminación se efectuará de tal manera que no permita la recuperación de la información. Sin embargo, el titular deberá tener en cuenta que, en algunos casos, cierta información deberá permanecer en registros históricos. Esto se debe al cumplimiento de deberes legales de la entidad. Por tanto, la supresión se referirá al tratamiento activo de los datos y se realizará de acuerdo con la solicitud del titular. Requisito de procedibilidad El titular o causahabiente solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento o Encargado del Tratamiento.

17. Cookies: En NEXFIN S.A.S., siguiendo la práctica habitual en la mayoría de los sitios web, se utilizan distintos tipos de cookies para mejorar la experiencia con el contenido y los servicios digitales. Las cookies se dividen en las siguientes categorías: 1. COOKIES ESENCIALES: Son necesarias para el funcionamiento básico de las plataformas digitales de NEXFIN S.A.S. No pueden ser desactivadas. Garantizan que los sitios web y aplicaciones sean seguros y funcionen correctamente. 2. COOKIES FUNCIONALES: Hacen que la interacción del usuario con el sitio web de NEXFIN S.A.S. sea más eficiente y personalizada. Por ejemplo, recuerdan sus preferencias de idioma o la región en la que se encuentra. 3. COOKIES DE RENDIMIENTO: Con estas cookies se recopilan datos agregados sobre el uso de las plataformas digitales de NEXFIN S.A.S. Esto contribuye a la mejora continua de los servicios. También permite comprender mejor cómo los usuarios interactúan con el contenido. 4. COOKIES DE MARKETING: Estas cookies muestran contenido relevante para el usuario. Su uso se basa en sus intereses y comportamiento de navegación. Al interactuar con las plataformas digitales de NEXFIN S.A.S. y al hacer clic en "ACEPTAR" en el aviso de cookies, el usuario otorga su consentimiento para el uso de todas las categorías de cookies mencionadas. Al mismo tiempo, el usuario declara haber leído y aceptado los Términos y Condiciones y la Política de Tratamiento y Protección de Datos Personales de NEXFIN S.A.S. Si el titular tiene alguna pregunta o necesita más información sobre las políticas de privacidad y protección de datos personales de NEXFIN S.A.S., puede ponerse en contacto a través de los canales de atención al titular previamente indicados.

18. Seguridad de los datos personales: En cumplimiento del principio de seguridad establecido en la Ley 1581 de 2012, que dicta disposiciones generales para la protección de datos personales, NEXFIN S.A.S. implementará y mantendrá medidas técnicas, humanas y administrativas adecuadas para garantizar la protección integral de los datos personales que trata. Estas medidas tienen como finalidad prevenir cualquier alteración, adulteración, pérdida, consulta indebida, uso no autorizado, acceso fraudulento o cualquier otra forma de tratamiento indebido de la información, conforme a lo dispuesto en el artículo 15 de la Constitución Política y desarrollado en la Ley 1581 de 2012. NEXFIN S.A.S. asume la responsabilidad de disponer de los recursos necesarios para proteger los datos personales, asegurando que su tratamiento se realice conforme a los principios de veracidad, confidencialidad, integridad y seguridad, tal como lo exige el artículo 17 de la Ley 1581 de 2012 y el Decreto 1377 de 2013, que reglamenta parcialmente dicha ley. Sin embargo, la empresa no será responsable por eventuales fallas técnicas o accesos indebidos realizados por terceros ajenos a su control que comprometan la seguridad de las bases de datos o archivos donde reposan los datos personales. Asimismo, NEXFIN S.A.S. exigirá a sus proveedores de servicios tecnológicos, especialmente aquellos que actúen como encargados del tratamiento, la implementación de medidas de seguridad equivalentes y la adhesión expresa a esta política de protección y tratamiento de datos personales. Los encargados deberán acreditar el conocimiento, cumplimiento y aceptación de las obligaciones y responsabilidades en materia de protección de datos, garantizando así la confidencialidad y seguridad de la información bajo su custodia, conforme al artículo 18 de la Ley 1581 de 2012. La Superintendencia de Industria y Comercio es la autoridad competente para vigilar y sancionar el cumplimiento de la normativa de protección de datos personales, según lo establecido en el artículo 40 de la Ley 1581 de 2012.

19. Transferencia, transmisión y revelación de datos personales: NEXFIN S.A.S. podrá revelar, transmitir, transferir o compartir los datos personales objeto de tratamiento con sus empresas filiales, matrices, aliadas, vinculadas y terceros, siempre en cumplimiento de esta Política de Tratamiento de Datos Personales y de las finalidades autorizadas por el titular, conforme a lo establecido en los artículos 25, 26 y 27 de la Ley 1581 de 2012 y el Decreto 1377 de 2013. La transferencia de datos personales se entiende como el envío de información a un receptor que, a su vez, es responsable del tratamiento y puede estar ubicado dentro o fuera del país, según lo definido en el artículo 26 de la Ley 1581 de 2012. Por otro lado, la transmisión implica la comunicación de datos dentro o fuera del territorio colombiano para que un encargado realice el tratamiento por cuenta de NEXFIN S.A.S., conforme al artículo 25 de la misma ley. Los datos personales podrán ser entregados a terceros en los siguientes casos, siempre que se respeten las condiciones legales aplicables: 1. Cuando exista un contrato de transmisión de datos personales entre NEXFIN S.A.S., como responsable, y un tercero encargado, que establezca claramente los alcances, actividades y obligaciones del encargado respecto al titular y al responsable, conforme al artículo 25 de la Ley 1581 de 2012. 2. Para la realización de encuestas, sondeos o actividades orientadas al mejoramiento de la prestación de servicios. 3. Cuando sea indispensable para la correcta gestión del crédito y la prestación efectiva del servicio solicitado. 4. Para la gestión y aprobación de créditos de consumo, consulta de comportamiento financiero y crediticio, y la gestión de cobranza de obligaciones en mora, ya sea directamente por NEXFIN S.A.S. o a través de terceros contratados para tal fin. 5. Para desarrollar y ejecutar actividades de mercadeo, publicidad y prospección comercial, tanto para productos y servicios propios como de terceros. 6. Para el cumplimiento de obligaciones legales y regulatorias, incluyendo la prevención de lavado de activos, financiación del terrorismo y detección de fraudes, en concordancia con el artículo 27 de la Ley 1581 de 2012. 7. Para la ejecución, validación, autorización o verificación de transacciones. 8. Para el cumplimiento de otras finalidades establecidas en esta política y en las autorizaciones otorgadas por los titulares. En toda transferencia de datos, NEXFIN S.A.S. documentará las condiciones de la operación, el contenido general de las bases de datos y los aspectos relevantes para asegurar el cumplimiento de la normativa vigente, tal como lo exige el artículo 25 de la Ley 1581 de 2012. De acuerdo con el artículo 26 de la Ley 1581 de 2012, se prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección, salvo en las siguientes excepciones: 1. Cuando el titular haya otorgado su autorización expresa e inequívoca para la transferencia. 2. En el intercambio de datos médicos cuando sea necesario por razones de salud o higiene pública. 3. Para transferencias bancarias o bursátiles conforme a la legislación aplicable. 4. Cuando la transferencia esté acordada en tratados internacionales en los que Colombia sea parte, fundamentado en el principio de reciprocidad. 5. Cuando la transferencia sea necesaria para la ejecución de un contrato entre el titular y el responsable o para la ejecución de medidas precontractuales con autorización del titular. 6. Cuando la transferencia sea exigida para la salvaguardia del interés público o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. La Superintendencia de Industria y Comercio es la autoridad competente para evaluar y autorizar la conformidad de los niveles de protección en las transferencias internacionales de datos personales.

20. Transferencia internacional de datos: NEXFIN S.A.S. podrá transferir los datos personales que trate a receptores ubicados en otros países diferentes a Colombia, siempre y cuando se ajuste a la legislación vigente y aplicable. En consecuencia, para la transferencia internacional de datos personales, NEXFIN S.A.S. deberá observar lo previsto en el artículo 26 de la Ley 1581 de 2012. Se entenderá que un país ofrece un nivel adecuado de protección de datos cuando cumpla con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los exigidos por la legislación colombiana. Las transmisiones internacionales de datos personales que se efectúen entre un Responsable (NEXFIN S.A.S.) y un Encargado (receptor) para permitir que este último realice el tratamiento por cuenta del Responsable, no requerirán ser informadas al Titular ni contar con su consentimiento, siempre que exista un contrato de transmisión de datos personales en los términos del artículo 25 del Decreto 1377 de 2013. Dicho contrato deberá señalar los alcances del tratamiento, las actividades que el encargado realizará, y las obligaciones del Encargado para con el Titular y el Responsable, comprometiéndose a dar aplicación a las obligaciones de NEXFIN S.A.S. bajo su política de tratamiento de la información y a realizar el tratamiento de datos de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables.

21. Control de acceso y video vigilancia: NEXFIN S.A.S., cuenta con cámaras de video vigilancia. Su finalidad es dar cumplimiento a las políticas de seguridad física. Se cumplen los parámetros establecidos en la Guía para la Protección de Datos Personales en Sistemas de Video vigilancia, expedida por la SIC como autoridad de control. Normalmente, las imágenes se conservarán por un tiempo máximo de noventa (90) días. No obstante, si las imágenes de video vigilancia son objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, estas se conservarán hasta la resolución de la controversia.

22. Registro nacional de bases de datos: De conformidad con el artículo 25 de la Ley 1581 y sus decretos reglamentarios, y específicamente con el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 - Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, NEXFIN S.A.S. registrará sus bases de datos junto con la presente política de tratamiento de datos personales en el Registro Nacional de Bases de Datos, en caso de que sus activos totales superen las 100.000 Unidades de Valor Tributario (UVT). Este registro es administrado por la Superintendencia de Industria y Comercio, de conformidad con el procedimiento establecido para el efecto.

23. Vigencia, versiones y actualización de la política: La presente política de tratamiento de datos personales rige a partir de su firma. Complementa las políticas asociadas, con vigencia indefinida. Cualquier cambio sustancial en las políticas de Tratamiento de datos personales se comunicará de forma oportuna a través del sitio web: https://www.maiki.com.co/ Para los titulares que no tengan acceso a medios electrónicos o aquellos a los que no sea posible contactar, la comunicación se realizará a través de avisos abiertos en la sede principal de NEXFIN S.A.S. Esta política tendrá una versión resumida, puesta en conocimiento de la ciudadanía en general y usuarios de los servicios de NEXFIN S.A.S. en concordancia con lo señalado en la Ley 1582 de 2012, decretos reglamentarios y demás normas concordantes y vigentes. LUIS FELIPE RAMIREZ OSSA Representante legal NEXFIN S.A.S. NIT 901239403 - 0 Fecha de suscripción: 01 de julio de 2025