1. Responsable del Tratamiento

FinanFlex S.A.S., identificada con NIT 901.188.618-7, con domicilio principal en la ciudad de Barranquilla, Colombia (en adelante, «FinanFlex», «la Compañía» o «el Responsable»), es una entidad fintech dedicada al otorgamiento de créditos mediante la modalidad de libranza, dirigida a docentes, pensionados y empleados del sector formal en todo el territorio colombiano.

En cumplimiento de la Ley Estatutaria 1581 de 2012, el Decreto Reglamentario 1377 de 2013, la Ley 1266 de 2008, la Ley 2300 de 2023, la Circular Externa No. 001 de 2025 de la Superintendencia de Industria y Comercio (instrucciones sobre tratamiento de datos personales en la oferta de productos y servicios de financiación mediante tecnologías digitales), la Circular Externa No. 002 de 2025 de la misma entidad (instrucciones sobre procesos de transferencia de tecnología que involucren datos personales), y demás normas que los modifiquen, adicionen o sustituyan (en conjunto, el «Régimen de Protección de Datos Personales»), FinanFlex adopta la presente Política de Privacidad y Tratamiento de Datos Personales (en adelante, la «Política»), la cual regula la recolección, almacenamiento, uso, circulación y en general el tratamiento de los datos personales de sus titulares.

FinanFlex reconoce que, como actor del ecosistema fintech que ofrece crédito mediante tecnologías digitales, se encuentra sujeto de manera directa a las instrucciones impartidas por la Superintendencia de Industria y Comercio a través de la Circular Externa No. 001 de 2025, en particular en lo relativo a la minimización de datos, el tratamiento reforzado de datos biométricos, la transparencia en decisiones automatizadas y las restricciones aplicables a las gestiones de cobranza.

2. Definiciones

Para efectos de la presente Política, se adoptan las siguientes definiciones, conforme al artículo 3 de la Ley 1581 de 2012:

• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (origen racial o étnico, orientación política, convicciones religiosas, filosóficas, pertenencia a sindicatos, datos de salud, datos biométricos, entre otros).
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
• Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.
• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos personales.
• Aviso de privacidad: comunicación verbal o escrita generada por el responsable, dirigida al titular para el tratamiento de sus datos personales.

3. Principios Rectores

El tratamiento de datos personales por parte de FinanFlex se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, consagrados en el artículo 4 de la Ley 1581 de 2012.

4. Datos Objeto de Tratamiento

En desarrollo de su objeto social, FinanFlex podrá recolectar y tratar, entre otros, los siguientes datos personales de sus titulares (clientes, potenciales clientes, agentes comerciales, aliados y usuarios del sitio web):

• Datos de identificación: nombres, apellidos, tipo y número de documento de identidad, fecha y lugar de nacimiento.
• Datos de contacto: dirección de residencia, correo electrónico, número de teléfono fijo y celular.
• Datos laborales y de ingresos: entidad empleadora o pagadora, cargo, tipo de vinculación, historial laboral, ingresos, desprendibles de pago o mesada pensional.
• Datos financieros y crediticios: información reportada en centrales de riesgo, historial crediticio, capacidad de pago, obligaciones vigentes.
• Datos biométricos: huella dactilar, firma biométrica y demás datos requeridos para la validación de identidad y firma electrónica de pagarés y demás documentos contractuales.
• Datos de navegación: dirección IP, cookies, tipo de dispositivo y demás información técnica capturada a través del sitio web y canales digitales.

Los datos biométricos y demás datos sensibles serán tratados únicamente cuando el titular otorgue su autorización explícita, o cuando la ley no requiera dicha autorización, y en todo caso el titular no estará obligado a autorizar su tratamiento.

5. Finalidades del Tratamiento

Los datos personales recolectados por FinanFlex serán tratados para las siguientes finalidades:

• Evaluar, estudiar y decidir sobre solicitudes de crédito por libranza, incluyendo el análisis de riesgo y capacidad de pago.
• Consultar, reportar y actualizar información en centrales de riesgo crediticio y operadores de información financiera.
• Formalizar y administrar la relación contractual, incluida la suscripción de pagarés desmaterializados mediante firma biométrica y su gestión a través del Patrimonio Autónomo constituido con la fiduciaria vinculada.
• Gestionar el recaudo, la cartera y las gestiones de cobro asociadas a los créditos otorgados.
• Dar cumplimiento a obligaciones legales, contractuales, contables, tributarias y regulatorias aplicables a la actividad de FinanFlex.
• Enviar comunicaciones comerciales, informativas y de servicio al cliente, incluyendo promociones y novedades, cuando el titular haya autorizado dicho tratamiento.
• Realizar actividades de prevención de fraude, lavado de activos y financiación del terrorismo (SARLAFT), así como reportes a las autoridades competentes cuando la ley lo exija.
• Mejorar los productos, servicios y canales digitales de FinanFlex, incluyendo el análisis estadístico y la experiencia de usuario en el sitio web.
• Atender consultas, peticiones, quejas y reclamos presentados por los titulares.

6. Derechos de los Titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, todo titular de datos personales tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a FinanFlex.
• Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el tratamiento.
• Ser informado por FinanFlex, previa solicitud, respecto del uso que se ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones al Régimen de Protección de Datos Personales.
• Revocar la autorización y/o solicitar la supresión del dato, cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

7. Procedimiento para Consultas y Reclamos

Los titulares, sus causahabientes o sus representantes debidamente acreditados podrán presentar consultas y reclamos relacionados con el tratamiento de sus datos personales a través de los canales de contacto indicados en el numeral 14 de esta Política.

Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

En línea con el numeral 6 de la Circular Externa No. 001 de 2025 de la Superintendencia de Industria y Comercio, que exige mecanismos sencillos y ágiles para el ejercicio de los derechos de los titulares, FinanFlex no exige la presentación personal de la solicitud ante notario público para acreditar la identidad del titular. En su lugar, la identidad se verificará por medios digitales equivalentes a los utilizados en el proceso de originación del crédito, tales como la validación biométrica o el cotejo de la solicitud con el documento de identidad y los datos previamente registrados por el titular. FinanFlex podrá solicitar información adicional razonable cuando existan indicios de suplantación.

Los reclamos serán resueltos en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

8. Deberes de FinanFlex como Responsable del Tratamiento

• Garantizar al titular, en todo tiempo, el pleno y efectivo ejercicio de sus derechos.
• Solicitar y conservar la autorización otorgada por el titular.
• Informar debidamente al titular sobre la finalidad de la recolección y los derechos que le asisten.
• Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Garantizar que la información que se suministre a los encargados del tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Actualizar la información, comunicando oportunamente al encargado del tratamiento todas las novedades respecto de los datos previamente suministrados.
• Tramitar las consultas y los reclamos formulados por los titulares en los términos indicados en esta Política.

9. Transferencia y Transmisión de Datos

FinanFlex podrá transferir y/o transmitir datos personales a terceros, dentro y fuera del territorio nacional, para el cumplimiento de las finalidades descritas en esta Política, incluyendo, entre otros: centrales de riesgo crediticio, la fiduciaria administradora del Patrimonio Autónomo, entidades pagadoras u operadores de nómina, la aseguradora que ampara el seguro de vida deudores, proveedores tecnológicos que soportan la firma biométrica y el proceso de originación digital, autoridades judiciales y administrativas, y proveedores de servicios de cobranza.

En todos los casos, FinanFlex exigirá contractualmente a sus encargados del tratamiento el cumplimiento de los principios y obligaciones establecidos en el Régimen de Protección de Datos Personales. Cuando dichos encargados o terceros participen en procesos de transferencia de tecnología que impliquen el tratamiento de datos personales, FinanFlex verificará el cumplimiento de las instrucciones de la Circular Externa No. 002 de 2025 de la Superintendencia de Industria y Comercio, incluyendo la evaluación previa del riesgo, la incorporación de garantías contractuales de seguridad y confidencialidad, y la aplicación de criterios de minimización y protección de datos desde el diseño.

10. Seguridad de la Información e Incidentes de Seguridad

FinanFlex ha adoptado medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra el acceso, uso, divulgación o modificación no autorizados, así como contra su pérdida, robo o daño accidental o ilícito, incluyendo protocolos de cifrado, control de acceso y validación biométrica en los procesos de firma electrónica.

En caso de presentarse una vulneración de la seguridad de los datos personales que ponga en riesgo la administración de la información de los titulares (por ejemplo, acceso no autorizado, pérdida o divulgación indebida), FinanFlex activará su protocolo interno de atención de incidentes, adoptando las medidas correctivas necesarias para contener y mitigar el impacto. Conforme al literal n) del artículo 17 de la Ley 1581 de 2012, FinanFlex reportará el incidente a la Superintendencia de Industria y Comercio dentro de los plazos que la ley establezca, y comunicará a los titulares afectados, cuando la naturaleza del incidente lo requiera, las medidas que estos puedan adoptar para proteger sus intereses.

11. Registro Nacional de Bases de Datos (RNBD)

De conformidad con el Decreto Único 1074 de 2015, modificado por el Decreto 090 de 2018, la obligación de inscribir las bases de datos personales en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio recae sobre las sociedades cuyos activos totales superen las 100.000 Unidades de Valor Tributario (UVT). A la fecha de esta Política, FinanFlex se encuentra evaluando, junto con su equipo contable, si supera dicho umbral. En caso de resultar obligada, FinanFlex realizará la inscripción correspondiente dentro de los plazos legales, y en cualquier caso mantiene su compromiso de dar cumplimiento a la totalidad de las obligaciones sustantivas de la Ley 1581 de 2012, independientemente de si se encuentra o no obligada al registro.

12. Área Responsable y Oficial de Protección de Datos

FinanFlex ha designado como responsable interno de la protección de datos personales al señor Rafael Villamil Escorcia, quien atenderá las consultas, reclamos y solicitudes de ejercicio de derechos de los titulares, y velará por el cumplimiento de la presente Política. Para el ejercicio de los derechos descritos en esta Política, el titular podrá dirigirse a FinanFlex a través de los siguientes canales:

• Oficial de Protección de Datos: Rafael Villamil Escorcia
• Correo electrónico: clientes@finanflex.com.co
• Dirección física: Barranquilla, Colombia
• Canal WhatsApp de atención al cliente disponible en el sitio web

13. Vigencia y Modificaciones

La presente Política rige a partir de su fecha de publicación en el sitio web de FinanFlex y permanecerá vigente por el tiempo que sea necesario para el cumplimiento de las finalidades para las cuales fueron recolectados los datos personales, y mientras subsistan las obligaciones contractuales, legales o regulatorias que la justifiquen. FinanFlex podrá modificar esta Política en cualquier momento, caso en el cual publicará la versión actualizada en su sitio web, indicando la fecha de la última actualización.

14. Autorización del Titular

Al suministrar sus datos personales a través del sitio web, formularios, canales digitales o cualquier otro medio dispuesto por FinanFlex, o al continuar con el proceso de solicitud de crédito, el titular declara que ha leído y comprendido la presente Política, y otorga su autorización libre, previa, expresa e informada para el tratamiento de sus datos personales conforme a las finalidades aquí descritas.

---

Documento de uso interno — sujeto a revisión por el equipo legal de FinanFlex antes de su publicación oficial.