Política de Privacidad

1. Conocimiento y consentimiento

Este Aviso explica cómo DITOBANX EL SALVADOR, S.A. DE C.V. (DITOBANX) trata sus datos personales cuando usted visita nuestro sitio web, usa nuestras aplicaciones y canales digitales o contrata nuestros servicios. Léalo antes de darnos sus datos.

Algunos tratamientos son necesarios para prestarle el servicio o cumplir la ley. Para ellos no pedimos su consentimiento, pero sí le informamos. Otros solo los haremos si usted los autoriza de forma expresa y por separado: el tratamiento de datos biométricos, las comunicaciones promocionales y las transferencias de datos que requieran su consentimiento, incluida la transferencia internacional que ocurre al verificar su identidad con nuestro proveedor. Puede negarse a darlos o retirarlos cuando quiera.

Si no nos entrega los datos necesarios para verificar su identidad y cumplir la normativa de prevención de lavado de dinero y financiamiento del terrorismo, no podremos abrir ni mantener su cuenta, porque la ley nos obliga a esa verificación. Este Aviso se aplica sin perjuicio de sus contratos con DITOBANX y de nuestros Términos y Condiciones. Al recolectar sus datos le entregaremos una copia escrita de este Aviso, por ejemplo por correo electrónico.

2. Responsable del tratamiento

El responsable es DITOBANX EL SALVADOR, SOCIEDAD ANÓNIMA DE CAPITAL VARIABLE (DITOBANX EL SALVADOR, S.A. DE C.V.), Proveedor de Servicios de Activos Digitales (PSAD) registrado en El Salvador con el N.º PSAD-0012.

• Domicilio: Calle 78, Bulevar Hipódromo, Local 674, Colonia San Benito, Zona Rosa, San Salvador.
• Correo de privacidad: wilson@ditobanx.com
• Responsable de atender solicitudes de derechos: Gerencia Legal y Oficialía de Cumplimiento (wilson@ditobanx.com)

Tratamos sus datos conforme a la Ley para la Protección de Datos Personales (Decreto Legislativo 144 de 2024), la Ley de Emisión de Activos Digitales y la demás normativa aplicable.

3. Datos que recopilamos
Los obtenemos de usted directamente y de forma automática cuando usa nuestras plataformas. La verificación de identidad se hace con Sumsub, que captura por nuestra cuenta los datos de identificación, contacto, técnicos y biométricos durante el proceso de apertura de cuenta.

Categoría	Ejemplos	¿Dato sensible?
Identificación	Nombre completo, DUI, pasaporte u otro documento, NIT cuando aplique y nacionalidad (esta última solo por mandato legal de identificación y debida diligencia)	No
Contacto	Correo electrónico, teléfono, dirección de domicilio	No
Personas jurídicas	Razón social, información societaria y datos de representantes, socios y beneficiarios finales (que son personas naturales)	No
Biométricos	Imagen facial, rasgos faciales y prueba de vida	Sí (ver sección 11)
Financieros y transaccionales	Información bancaria necesaria para el servicio; operaciones en dinero fiat y activos digitales, incluidas direcciones de billetera	No
Técnicos	Dirección IP, navegador, zona horaria, cookies, identificador del dispositivo; geolocalización solo si usted la permite en su dispositivo	No
Debida diligencia	Resultados de verificación KYC/KYB, condición de persona expuesta políticamente, coincidencias con listas regulatorias y de sanciones	No, salvo que revele información sensible; en ese caso se trata solo por mandato legal

También podemos complementar estos datos con fuentes públicas y terceros autorizados, como proveedores de verificación de identidad y listas regulatorias.

4. Para qué usamos sus datos
Solo usamos los datos que se relacionan directamente con el servicio que usted contrata. No los usaremos para ofrecerle otros servicios sin su autorización.

Finalidad	Base legal	¿Requiere su consentimiento?
Identificarlo y verificarlo (KYC/KYB)	Obligación legal	No
Prestar los servicios contratados y gestionar cuentas, transacciones y operaciones en dinero fiat y activos digitales	Contrato	No
Cumplir la ley, en especial la prevención de lavado de dinero, financiamiento del terrorismo y proliferación de armas, y atender requerimientos de autoridades	Obligación legal	No
Verificar su identidad con datos biométricos y prevenir suplantación	Obligación legal y consentimiento escrito	Sí, por separado (sección 11)
Prevenir fraudes y proteger la seguridad de las operaciones y de la plataforma	Interés legítimo y obligación legal	No
Atender consultas, reclamos y soporte; enviarle avisos operativos y de seguridad	Contrato	No
Analizar el uso de nuestros canales y mejorar su experiencia, con datos anonimizados cuando sea posible	Interés legítimo	No
Enviarle comunicaciones promocionales	Consentimiento	Sí

5. Base legal del tratamiento

Tratamos sus datos solo cuando existe al menos una de estas bases: su consentimiento; la ejecución de un contrato o de medidas previas a él; el cumplimiento de obligaciones legales, en especial las de prevención de lavado de dinero y financiamiento del terrorismo y las de la Ley de Emisión de Activos Digitales; o nuestro interés legítimo, siempre que no afecte sus derechos y libertades. La sección 4 indica cuál aplica a cada finalidad. Los datos sensibles se tratan además con las garantías de la sección 11.

6. Con quién compartimos sus datos

Proveedores que tratan datos por nuestra cuenta (encargados). Usamos proveedores tecnológicos, de nube y almacenamiento, bancarios y de custodia. Para verificar su identidad usamos a Sumsub, que procesa por nuestra cuenta datos de identificación, contacto, técnicos y biométricos. Las listas regulatorias y de sanciones son provistas por terceros, como ComplyAdvantage. Están obligados por contrato a cumplir la ley y a guardar confidencialidad. Puede solicitar los datos de contacto de los encargados a wilson@ditobanx.com.

Transferencias a otros terceros. Solo con su consentimiento previo, informándole la finalidad y quién recibirá los datos o qué tipo de destinatario es, y con un contrato que imponga al receptor, como mínimo, nuestras mismas obligaciones. Puede revocar ese consentimiento.

Autoridades. Entregamos datos cuando la ley, una orden judicial o un requerimiento de autoridad competente nos obliga a hacerlo, por ejemplo a la Unidad de Investigación Financiera, la Fiscalía General de la República, la Comisión Nacional de Activos Digitales o la Agencia de Ciberseguridad del Estado.

Empresas del grupo y transferencias internacionales. Compartimos datos con otras empresas del grupo DITOBANX para las finalidades de este Aviso. Sus datos se procesan en jurisdicciones fuera de El Salvador, como Estados Unidos, incluso por nuestro proveedor de verificación de identidad. Le pedimos su consentimiento para esas transferencias antes de iniciar la verificación. Solo transferimos datos a otros países cuando el receptor ofrece, como mínimo, la protección que exige la ley salvadoreña, con su consentimiento previo y con medidas de seguridad apropiadas. El flujo transfronterizo se comunica a la autoridad conforme a la ley.

No comercializamos sus datos personales.

7. Seguridad de la información y vulneraciones

Aplicamos medidas técnicas, administrativas y organizativas para proteger sus datos, incluidos los biométricos: cifrado, controles de acceso y monitoreo. Mantenemos copias de respaldo en El Salvador.

Si ocurre una vulneración de seguridad que afecte sus datos, avisaremos a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a usted en un máximo de 72 horas desde que la conozcamos. El aviso le dirá qué ocurrió, qué datos se afectaron, qué hicimos y qué puede hacer usted para protegerse.

Usted también ayuda a proteger su cuenta: mantenga seguros sus credenciales y su dispositivo y avísenos de cualquier acceso no autorizado.

8. Sus derechos (ARCO-POL)

Usted tiene estos derechos sobre sus datos. Ejercerlos es gratuito.

• Acceso: saber si tratamos sus datos, recibir una copia clara de ellos, y conocer para qué los usamos, a quién los compartimos y de dónde los obtuvimos.
• Rectificación: corregir datos inexactos, incompletos o desactualizados. Mientras lo verificamos, bloqueamos esos datos y los marcamos como en revisión.
• Cancelación (supresión): pedir que eliminemos sus datos cuando ya no sean necesarios, cuando retire su consentimiento o se oponga al tratamiento, cuando se hayan tratado ilícitamente o cuando deban suprimirse por obligación legal, entre otros casos. No procede si debemos conservarlos por ley o por orden de autoridad, o para ejercer o defender reclamaciones; en ese caso los bloqueamos y solo se usan para atender a las autoridades y responsabilidades legales.
• Oposición: pedir que dejemos de tratar sus datos, incluida la elaboración de perfiles con fines comerciales o de mercadotecnia directa. No procede cuando la ley nos obligue a tratarlos o cuando nuestro interés legítimo prevalezca sobre sus derechos.
• Portabilidad: recibir los datos que usted nos dio en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Aplica cuando el tratamiento se basa en su consentimiento y se hace por medios automatizados.
• Olvido: cuando sus datos se hayan publicado en un entorno electrónico, pedir que informemos a otros responsables y que se eliminen enlaces, copias y resultados de buscadores, en los casos que prevé la ley.
• Limitación: pedir que restrinjamos el uso de sus datos mientras se verifica su exactitud o su oposición, cuando el tratamiento sea ilícito y prefiera limitarlo en lugar de borrarlo, o cuando usted los necesite para reclamaciones.
• Revocación del consentimiento: puede retirarlo en cualquier momento, sin efecto retroactivo. Lo haremos efectivo en 5 días hábiles. No afecta los tratamientos que se basen en un contrato o en la ley.

Si la persona titular ha fallecido, sus herederos o sucesores pueden ejercer estos derechos acreditando su calidad.

Cómo ejercerlos. Escriba a wilson@ditobanx.com o preséntese en nuestro domicilio. Indique su nombre, domicilio y medio para recibir notificaciones; adjunte su documento de identidad (y el poder, si actúa por medio de representante); describa el derecho que desea ejercer y los datos a los que se refiere (salvo en acceso); agregue cualquier dato que ayude a ubicarlos; y firme la solicitud o use un medio equivalente. En acceso, indique cómo prefiere recibir la información.

Plazos. Si falta información, se la pediremos una sola vez y usted tendrá 10 días hábiles para completarla. Responderemos en 20 días hábiles, prorrogables por causas justificadas hasta 20 días hábiles más. Si negamos la solicitud, total o parcialmente, le enviaremos una resolución motivada dentro de 3 días hábiles desde la decisión. Solo podremos cobrar costos de reproducción, certificación o envío; el envío electrónico es gratuito.

Si no está conforme. Puede presentar una denuncia ante la Agencia de Ciberseguridad del Estado (ACE), autoridad que supervisa la Ley para la Protección de Datos Personales.

Dos límites propios de nuestra actividad.

• Por disposición legal no podemos informarle sobre reportes, consultas ni requerimientos de autoridades en materia de prevención de lavado de dinero y financiamiento del terrorismo.
• Las transacciones registradas en redes blockchain públicas son permanentes y no están bajo nuestro control, por lo que no podemos borrarlas ni modificarlas. Sí podemos suprimir o bloquear los datos que vinculamos a ellas en nuestros sistemas, salvo que la ley nos obligue a conservarlos.

9. Conservación de los datos

Conservamos sus datos solo el tiempo necesario para las finalidades de este Aviso y para cumplir obligaciones legales.

Datos	Plazo
Identificación, debida diligencia, registros de transacciones y datos biométricos	5 años desde que termine la relación
Consultas, reclamos y soporte	5 años
Comunicaciones promocionales	Hasta que usted retire su consentimiento
Cookies	Hasta que venzan o usted las elimine desde su navegador

Cuando vence el plazo eliminamos, anonimizamos o bloqueamos los datos. Los datos bloqueados solo se conservan a disposición de autoridades judiciales y administrativas, durante el tiempo de las responsabilidades legales aplicables. Puede pedir la eliminación de sus datos a wilson@ditobanx.com, sujeta a las excepciones de la ley.

10. Cookies

Usamos cookies, que son pequeños archivos que su navegador guarda, y tecnologías similares.

• Esenciales: necesarias para que la plataforma funcione y sea segura.
• De preferencias: recuerdan sus ajustes.
• Analíticas: nos ayudan a entender cómo se usan nuestros canales.

Puede gestionar las cookies desde su navegador. Para consultas sobre cookies o para confirmar sus preferencias, escriba a wilson@ditobanx.com.

11. Datos biométricos

Tratamos imagen facial, rasgos faciales y prueba de vida. La ley los considera datos sensibles. Nadie está obligado a entregarlos y usted puede negarse. Si se niega, no podremos completar su verificación y, por tanto, abrir o mantener su cuenta.

Solo los trataremos con su consentimiento por escrito, mediante firma autógrafa o su equivalente electrónico, otorgado por separado, para estas finalidades:

• Verificar y autenticar su identidad.
• Cumplir las obligaciones de prevención de lavado de dinero, financiamiento del terrorismo y proliferación de armas.
• Prevenir fraudes, suplantación de identidad y accesos no autorizados.
• Garantizar la seguridad de las operaciones y de la plataforma.

No los usaremos para ninguna otra finalidad, no los transferiremos sin su consentimiento ni los comercializaremos. Solo accede a ellos personal autorizado y los protegemos con cifrado y controles de acceso. Los conservamos por 5 años desde que termine la relación. Puede retirar su consentimiento cuando quiera; esto no afecta lo tratado antes ni nuestra obligación de conservar lo que la ley exige.

12. Menores de edad

Nuestros servicios son para mayores de 18 años. No recopilamos a sabiendas datos de menores sin el consentimiento de sus padres, madres o representantes legales. Si cree que un menor nos entregó sus datos, escríbanos a wilson@ditobanx.com y los eliminaremos, salvo que la ley nos obligue a conservarlos.

13. Enlaces a terceros

Nuestros canales pueden contener enlaces a sitios de terceros. Al entrar en ellos, usted queda sujeto a sus políticas. DITOBANX no es responsable de sus prácticas de privacidad.

14. Uso responsable de la plataforma

Use nuestros canales de forma lícita. Está prohibido suplantar identidades, acceder sin autorización a sistemas o cuentas, alterar información e introducir código malicioso. Podemos suspender o restringir el acceso a quien lo incumpla, sin perjuicio de las acciones legales. Las reglas completas están en nuestros Términos y Condiciones de la wallet y de la plataforma global.

Si nos entrega datos de otras personas, como representantes, socios o beneficiarios finales, debe tener autorización para hacerlo e informarles de este Aviso.

15. Uso de los servicios de api de YouTube

DitoBanx El Salvador, S.A. de C.V. utiliza los Servicios de API de YouTube en una herramienta interna de marketing para publicar videos en su propio canal oficial de YouTube («DitoBanx») y para consultar las estadísticas de esos videos. Al interactuar con nuestro contenido en YouTube, aceptas los Términos del Servicio de YouTube (https://www.youtube.com/t/terms). El tratamiento de datos por parte de Google se rige por la Política de Privacidad de Google (https://policies.google.com/privacy).

Qué datos usamos. La herramienta solo accede a la cuenta de YouTube de DitoBanx, autorizada por nosotros mediante OAuth 2.0. Sube los videos aprobados por nuestro equipo y lee estadísticas agregadas de nuestros propios videos (vistas, «me gusta», comentarios, tiempo de reproducción). No accede a cuentas ni datos personales de usuarios de YouTube, no lee el contenido de los comentarios y no descarga ni redistribuye contenido de YouTube.

Cómo los guardamos. Las estadísticas agregadas se guardan en nuestros sistemas internos de reportes durante un máximo de 36 meses. Los demás datos obtenidos de la API se actualizan o eliminan en un plazo de 30 días, conforme a las políticas para desarrolladores de YouTube.

Cómo revocar el acceso y eliminar datos. El acceso de la herramienta a la cuenta de YouTube de DitoBanx puede revocarse en cualquier momento desde la página de permisos de seguridad de Google (https://myaccount.google.com/permissions). Para solicitar la eliminación de cualquier dato relacionado con estos servicios, escribe a hola@ditobanx.com; atenderemos la solicitud en un plazo máximo de 7 días hábiles

16. Cambios a este Aviso

Podemos actualizar este Aviso. Le informaremos los cambios por correo electrónico y aviso en la plataforma. Si el cambio implica una nueva finalidad, le pediremos una nueva autorización y usted podrá revocar la anterior. La versión vigente es siempre la que esté disponible en nuestro sitio web, con su fecha de actualización.