POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES — MONY S.A.S.

Fecha de última actualización: 26 de septiembre de 2025

1. Introducción / Propósito

Mony S.A.S. (“Mony”, “nosotros”, “la Empresa”) reconoce la importancia de proteger

la privacidad, seguridad y derechos de los usuarios (“Titulares”, “usted”, “usuario”)

respecto del tratamiento de sus datos personales. Esta política describe los

principios, procedimientos y derechos que aplican al tratamiento de datos

personales bajo nuestra responsabilidad.

Nuestro objetivo es:

• Cumplir con la Ley Estatutaria 1581 de 2012 y su normatividad de desarrollo

en Colombia. Función Pública+1

• Alinear buenas prácticas con estándares internacionales de privacidad (por

ejemplo GDPR u otros según jurisdicción).

• Garantizar claridad, transparencia y confianza sobre cómo usamos,

compartimos, protegemos y conservamos los datos personales.

2. Definiciones

A los efectos de esta política, se aplican las siguientes definiciones:

Término Definición

Dato personal Cualquier información vinculada o que pueda asociarse a una

persona natural identificada o identificable.

Dato sensible Datos personales que afectan la intimidad o cuyo uso indebido

puede generar discriminación: salud, orientación sexual,Término Definición

creencias religiosas, biométricos, origen étnico, etc. Manos

Verdes+2eafit.edu.co+2

Tratamiento

Cualquier operación o conjunto de operaciones sobre datos

personales: recolección, almacenamiento, uso, circulación,

supresión, entre otros.

La persona jurídica o natural que decide sobre los datos y las

finalidades del tratamiento.

Responsable del

tratamiento

Encargado del

tratamiento Titular Autorización /

consentimiento

Transferencia

Internacional

Quien realiza el tratamiento por cuenta del responsable.

Persona natural cuyos datos personales son objeto de

tratamiento.

Manifestación de voluntad previa, expresa e informada del

Titular para el tratamiento de sus datos personales.

Envío de datos personales a un receptor ubicado fuera del

territorio colombiano.

3. Principios aplicables

Mony se compromete a que el tratamiento de los datos personales se realice

conforme a los siguientes principios:

1. 2. 3. 4. Legalidad: el tratamiento debe obedecer a una norma de carácter legal o al

consentimiento del Titular.

Finalidad: los datos solo serán tratados para fines legítimos, específicos,

explícitos y previamente informados al Titular.

Libertad / autorización: el Titular debe otorgar su consentimiento libre,

previo, expreso e informado, salvo excepciones legales.

Veracidad / calidad: los datos deben ser veraces, completos, exactos,

actualizados, comprobables y pertinentes.5. 6. 7. 8. 9. Transparencia: el Titular tiene derecho a conocer en forma clara, sencilla y

accesible qué datos suyos existen en nuestras bases y su uso.

Acceso y circulación restringida: solo las personas autorizadas pueden

acceder a los datos, y solo para las finalidades declaradas.

Seguridad: se adoptarán medidas técnicas, humanas y administrativas para

proteger los datos contra acceso no autorizado, pérdida, alteración,

divulgación o destrucción.

Confidencialidad: quienes participen en el tratamiento están obligados a

guardar reserva, incluso después de cesar su relación con Mony.

Limitación en el tiempo / supresión: los datos no serán conservados más del

tiempo necesario para las finalidades del tratamiento o los requerimientos

legales.

Estas categorías coinciden con las previstas por la jurisprudencia y la doctrina del

habeas data en Colombia. es.wikipedia.org+2Función Pública+2

4. Datos que recolectamos y cómo los usamos

4.1 Tipos de datos

Dependiendo del servicio, podemos recolectar:

• Datos de identificación: nombre, tipo y número de documento, dirección,

teléfono, correo electrónico, etc.

• Datos de uso, acceso y comportamiento: registros de acceso, logs, dirección

IP, dispositivo, geolocalización, cookies u otros rastreadores.

• Datos de pago / transaccionales: información bancaria, tarjetas, historial de

pagos.

• Datos especiales / sensibles (solo si es estrictamente necesario): por ejemplo,

datos de salud, biométricos, etc.

• Datos de menores de edad: si aplican servicios de menores, se requerirá

consentimiento del representante legal y medidas adicionales de protección.

4.2 Finalidades del tratamiento

Los datos recolectados podrán usarse para:• Proveer, operar, mejorar y mantener los servicios de Mony.

• Autenticación, autorización y gestión de cuentas.

• Envío de comunicaciones, notificaciones, alertas o información relevante al

usuario.

• Procesar pagos y transacciones financieras.

• Detección, prevención y mitigación de fraude, seguridad y riesgos.

• Cumplir obligaciones legales, fiscales o regulatorias.

• Realizar análisis estadístico, mejoras internas, evaluaciones de servicio (o

anonimización de datos con fines estadísticos).

• Atención al cliente, soporte técnico, gestión de reclamos.

Cada vez que solicitemos datos, informaremos la finalidad, la base legal

(consentimiento u otra excepción) y las consecuencias de negarse.

4.3 Base legal y consentimiento

• En general, requerimos consentimiento libre, previo, expreso e informado

del Titular para el tratamiento de sus datos personales.

• En los casos permitidos por la ley, no será necesario el consentimiento

cuando:

o Se trate de datos destinados a cumplir obligaciones legales por

autoridad competente.

o Para la atención de situaciones de urgencia médica.

o En datos públicos o cuando el Titular ya lo hizo de forma manifiesta

públicamente.

o Para fines históricos, estadísticos o científicos (previo anonimato).

o Cuando el tratamiento sea necesario para cumplir contrato del que el

Titular es parte.

• En los casos en que sí se tenga el consentimiento, el Titular podrá revocar su

autorización en cualquier momento mediante los procedimientos indicados

en esta política.5. Transferencia y transferencia internacional de datos

• No transferiremos datos personales a terceros sin que exista una autorización

expresa del Titular, salvo que esté permitido por la ley.

• En caso de transferencias internacionales de datos, se hará solo si el país

destinatario ofrece un nivel adecuado de protección o mediante mecanismos

legales válidos (cláusulas contractuales tipo, estándares de protección, etc.).

• En Colombia, la Ley 1581 establece restricciones expresas sobre la

transferencia de datos a países sin niveles adecuados. Función Pública+1

• También se informará al Titular sobre la transferencia internacional en el aviso

de privacidad correspondiente.

6. Conservación y supresión de datos

• Los datos se conservarán únicamente el tiempo necesario para cumplir la

finalidad para la cual fueron recolectados o para atender obligaciones legales

aplicables.

• Tras el plazo de conservación, los datos serán suprimidos o anonimizados,

salvo que exista obligación legal de conservarlos.

• El Titular podrá solicitar la supresión de sus datos, salvo que su conservación

sea necesaria por mandato legal o contractual legítimo.

7. Derechos de los titulares

Los Titulares de datos tienen los siguientes derechos:

1. 2. 3. 4. 5. Acceso: conocer qué datos personales tenemos sobre ellos.

Actualización / Rectificación: corregir datos incorrectos o incompletos.

Supresión / eliminación: pedir que sus datos sean borrados (cuando no

existan obligaciones legales que impidan hacerlo).

Revocación del consentimiento: retirar el permiso para seguir tratando los

datos, siempre que no exista una base legal que la reemplace.

Oposición: oponerse al tratamiento de datos para fines específicos.6. 7. 8. 9. Portabilidad: obtener los datos proporcionados en un formato estructurado y

transferirlos a otro responsable.

Limitación del tratamiento: solicitar que el tratamiento se limite bajo ciertas

condiciones.

No ser objeto de decisiones automatizadas que le afecten de manera

significativa (cuando aplique).

Presentar queja ante autoridad competente: en Colombia, ante la

Superintendencia de Industria y Comercio (SIC) como máxima autoridad

supervisora de protección de datos. Función Pública+1

Para ejercer estos derechos, el Titular debe presentar una solicitud mediante los

canales que definamos (correo electrónico, formulario, etc.). Respondemos en los

términos legales previstos.

8. Seguridad de los datos

Para garantizar la protección de los datos se adoptarán medidas de seguridad

técnicas, organizativas y administrativas como:

• Cifrado (en tránsito y en reposo, cuando aplique).

• Control de acceso (autenticación fuerte, permisos mínimos).

• Registro de auditoría (logs de acceso y modificaciones).

• Copias de respaldo periódicas.

• Segmentación de redes, firewalls, monitoreo de accesos.

• Pruebas de vulnerabilidades, análisis de riesgos, auditorías de seguridad.

• Formación y políticas de confidencialidad para el personal.

• Procedimientos ante incidentes de seguridad (detección, contención, reporte,

remediación).

En caso de brecha de seguridad que afecte datos personales sensibles o riesgos a los

derechos de los Titulares, se notificará oportunamente a los afectados y a la

autoridad de protección según lo requerido por la normativa aplicable.9. Responsabilidades internas

• Asignaremos una persona o equipo responsable de privacidad y protección de

datos, que supervise el cumplimiento de esta política.

• Se capacitará al personal que maneje datos personales.

• Los contratistas y terceros con acceso a datos deberán cumplir con las

obligaciones de confidencialidad y seguridad que establezca Mony, mediante

contratos que regulen su papel como encargados del tratamiento.

10. Modificaciones de esta política

Nos reservamos el derecho de modificar esta política con el fin de adaptarla a

cambios legales, tecnológicos o de modelo de negocio.

Cualquier cambio sustancial será informado a los Titulares con antelación mediante

aviso visible o notificación directa.

11. Contacto y ejercicio de derechos

Si usted quiere:

• conocer qué datos tenemos de usted,

• actualizar, rectificar o suprimir sus datos,

• revocar su consentimiento,

• o ejercer cualquiera de los derechos descritos arriba,

puede comunicarse con nosotros a través del siguiente canal:

Correo electrónico: privacidad@mony.com

(Otro canal: dirección física, formulario en sitio web, teléfono, etc.)

En caso de reclamos, puede acudir a la Superintendencia de Industria y Comercio

(SIC) en Colombia como autoridad competente.

12. Disposiciones legales aplicables

Esta política se fundamenta en:• Ley Estatutaria 1581 de 2012 (Protección de Datos Personales) y sus decretos

reglamentarios. Función Pública+2suin-juriscol.gov.co+2

• Normas de desarrollo, decretos y regulaciones vigentes.

• Principios y estándares internacionales aplicables, como el RGPD (si aplica en

jurisdicciones donde operemos) y buenas prácticas de privacidad.

• Normativas de seguridad, estándares técnicos que correspondan según la

industria o sector (por ejemplo ISO 27001 u otras aplicables).