Política de Privacidad

1. Responsable del tratamiento

VEPAY TECHNOLOGIES S.A.C. (en adelante, VEPAY), con RUC 20616021339 y domicilio legal en Jr. Camila Morey 423, Tarapoto, Región San Martín, República del Perú, es el responsable del tratamiento de los datos personales recabados a través de la plataforma www.vepay.me.

La presente Política de Privacidad ha sido elaborada conforme a la Ley N° 29733, Ley de Protección de Datos Personales del Perú, su Reglamento aprobado por D.S. N° 003-2013-JUS, y la Resolución SBS N° 02648-2024 sobre SPLAFT aplicable a los PSAV.

2. Datos personales que recopilamos

2.1 Datos de registro e identidad

• Nombre completo y apellidos.
• Número de documento de identidad (DNI, pasaporte, carné de extranjería).
• Imagen del documento de identidad (anverso y reverso).
• Fotografía facial (selfie) tomada durante el proceso KYC.
• Fecha de nacimiento y nacionalidad.
• Correo electrónico y número de teléfono.
• Domicilio declarado.

2.2 Datos de verificación biométrica (KYC vía DIDIT)

• Datos biométricos faciales para la coincidencia facial 1:1 (selfie vs. documento).
• Resultado de la prueba de vida (liveness detection).
• Metadatos de la sesión de verificación.

2.3 Datos de operaciones

• Monto, tipo y divisa de cada operación.
• País, ciudad y datos del destinatario de cada entrega.
• Dirección de wallet de activos virtuales declarada por el usuario.
• Datos de cuenta bancaria cuando aplique la verificación de titularidad.
• Fotografías de confirmación de entrega.
• Historial de transacciones.

2.4 Datos de uso de la plataforma

• Dirección IP y datos del dispositivo utilizado.
• Fecha, hora y duración de cada sesión.
• Registro de acciones realizadas dentro de la plataforma.

3. Finalidades del tratamiento

Los datos personales recopilados son tratados para los siguientes fines:

• Verificación de identidad y cumplimiento del proceso KYC exigido por la normativa vigente.
• Ejecución y seguimiento de las operaciones solicitadas por el usuario.
• Cumplimiento de las obligaciones SPLAFT: prevención del lavado de activos, financiamiento del terrorismo y proliferación de armas de destrucción masiva.
• Reporte de operaciones sospechosas a la UIF-Perú cuando así lo exija la normativa.
• Screening AML contra listas de sanciones nacionales e internacionales (OFAC, ONU, GAFI, SBS).
• Atención de consultas, reclamos y soporte al usuario.
• Mejora y seguridad de la plataforma.
• Cumplimiento de requerimientos de autoridades judiciales o administrativas competentes.

4. Base legal del tratamiento

El tratamiento de datos personales se realiza sobre las siguientes bases legales:

• Consentimiento expreso del titular, otorgado al aceptar estos términos al momento del registro.
• Ejecución del contrato de servicio suscrito entre el usuario y VEPAY.
• Cumplimiento de obligaciones legales, en particular la Resolución SBS N° 02648-2024 y el D.S. N° 006-2023-JUS.
• Interés legítimo de VEPAY en prevenir el fraude y garantizar la seguridad de la plataforma.

5. Datos biométricos y KYC mediante DIDIT

VEPAY utiliza la plataforma DIDIT (www.didit.me) para la ejecución del proceso de verificación de identidad. DIDIT actúa como encargado del tratamiento bajo instrucciones de VEPAY y cumple con los estándares de seguridad aplicables al procesamiento de datos biométricos.

Los datos biométricos (imagen facial, resultado de liveness) son utilizados exclusivamente para la verificación de identidad y no son vendidos, cedidos ni utilizados con fines distintos a los aquí declarados. El resultado del KYC es almacenado en la base de datos de VEPAY vinculado al perfil del usuario, con un identificador único asignado por DIDIT.

El usuario tiene derecho a conocer el resultado de su verificación y a solicitar la revisión manual en caso de rechazo, escribiendo a través del correo electrónico contact@vepay.me.

6. Conservación de datos

Los datos personales y registros de operaciones son conservados por un mínimo de 10 años contados desde la fecha de la última operación, conforme a lo establecido en la Resolución SBS N° 02648-2024. Transcurrido dicho plazo, los datos son eliminados de forma segura salvo que una obligación legal exija su conservación por un período mayor.

Los datos biométricos procesados por DIDIT se conservan según la política de retención de dicho proveedor, disponible en su plataforma.

7. Destinatarios de los datos

Los datos personales pueden ser compartidos con:

• DIDIT: proveedor del servicio KYC, en calidad de encargado del tratamiento.
• Agentes de la red VEPAY: exclusivamente los datos del destinatario necesarios para ejecutar la entrega solicitada.
• UIF-Perú y autoridades competentes: cuando la normativa SPLAFT o una orden judicial así lo requieran.
• Proveedores tecnológicos (hosting, base de datos, almacenamiento de archivos): bajo contratos de confidencialidad y encargado de tratamiento.

VEPAY no vende, alquila ni comercializa datos personales de sus usuarios a terceros con fines publicitarios o comerciales.

8. Transferencias internacionales

Dado que VEPAY opera en 15 países de América Latina, algunos datos del destinatario de una operación (nombre, documento, teléfono, ciudad) pueden ser transmitidos al agente ubicado en el país de destino, en la medida estrictamente necesaria para ejecutar la entrega solicitada. Dicha transferencia se realiza bajo protocolos de seguridad y confidencialidad.

9. Derechos del titular

Conforme a la Ley N° 29733, el titular de los datos tiene derecho a:

• Acceso: conocer qué datos personales son tratados y con qué finalidad.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación: solicitar la eliminación de sus datos cuando ya no sean necesarios para los fines declarados, salvo obligación legal de conservación.
• Oposición: oponerse al tratamiento de sus datos para finalidades específicas.
• Portabilidad: recibir sus datos en formato estructurado y legible por máquina.

Para ejercer estos derechos, el titular debe presentar su solicitud escribiendo a contact@vepay.me, adjuntando copia de su documento de identidad. VEPAY responderá en un plazo máximo de 20 días hábiles.

Cuando el tratamiento sea exigido por la normativa SPLAFT (Resolución SBS N° 02648-2024), los derechos de cancelación y oposición no serán aplicables durante el período legalmente obligatorio de conservación.

10. Medidas de seguridad

VEPAY implementa medidas técnicas y organizativas para garantizar la seguridad de los datos personales, incluyendo:

• Cifrado de datos en tránsito (TLS/HTTPS) y en reposo.
• Control de acceso basado en roles para el personal interno.
• Registro de auditoría de accesos y operaciones.
• Evaluaciones periódicas de seguridad.
• Capacitación del personal en protección de datos y SPLAFT.

En caso de incidente de seguridad que afecte datos personales, VEPAY notificará al titular y a la Autoridad Nacional de Protección de Datos Personales (ANPDP) conforme a los plazos legales vigentes.

11. Cookies y tecnologías de seguimiento

La plataforma www.vepay.me puede utilizar cookies técnicas estrictamente necesarias para el funcionamiento del servicio (autenticación, seguridad de sesión). No se utilizan cookies de seguimiento publicitario ni de terceros con fines comerciales. El usuario puede configurar su navegador para rechazar cookies, aunque ello puede limitar algunas funcionalidades de la plataforma.

12. Menores de edad

Los servicios de VEPAY están dirigidos exclusivamente a personas mayores de 18 años. VEPAY no recopila intencionalmente datos de menores de edad. Si se detecta que un usuario es menor de edad, su cuenta será cancelada y sus datos eliminados de forma inmediata.

13. Modificaciones a la política

VEPAY se reserva el derecho de actualizar la presente Política de Privacidad para adaptarla a cambios normativos o mejoras del servicio. Las modificaciones serán comunicadas con al menos 15 días de anticipación a través de la plataforma. El uso continuado del servicio implica la aceptación de la nueva versión.

14. Autoridad de control

El organismo competente en materia de protección de datos personales en el Perú es la Autoridad Nacional de Protección de Datos Personales (ANPDP), adscrita al Ministerio de Justicia y Derechos Humanos. El titular puede presentar reclamaciones ante dicha autoridad si considera que sus derechos han sido vulnerados.

En materia de cumplimiento SPLAFT, el organismo supervisor es la Unidad de Inteligencia Financiera del Perú (UIF-Perú), dependencia de la Superintendencia de Banca, Seguros y AFP (SBS).

15. Contacto del responsable de datos