POLÍTICA DE PRIVACIDAD

1. Introducción

En Giro Crédito, S.R.L. (en lo adelante, "Giro Crédito" o "nosotros") respetamos y protegemos su privacidad. Esta Política de Privacidad (la "Política") explica cómo recopilamos, utilizamos, almacenamos, compartimos y protegemos la información personal proporcionada por las personas físicas (los "Usuarios") al utilizar nuestra plataforma digital de créditos, incluyendo la aplicación móvil Giro Crédito y el sitio web www.girocredito.com (conjuntamente, la "Plataforma").

Esta Política se rige por la Ley Núm. 172-13 sobre Protección Integral de los Datos Personales de la República Dominicana, la Ley Núm. 53-07 sobre Crímenes y Delitos de Alta Tecnología (en lo aplicable) y, de manera complementaria, por estándares internacionales de buenas prácticas (RGPD de la Unión Europea, CCPA/CPRA de California, ISO/IEC 27001 y SOC 2), en la medida en que resulten compatibles con la legislación dominicana.

Responsable del Tratamiento. Giro Crédito, S.R.L., identificada para fines fiscales en el Registro Nacional de Contribuyentes (RNC) bajo el número 1-33-20389-8, con domicilio social ubicado en la avenida Rómulo Betancourt 1410, Bella Vista, Santo Domingo de Guzmán, Distrito Nacional, capital de la República Dominicana, es el Responsable del Tratamiento. Para consultas relacionadas con esta Política y el ejercicio de derechos, puede escribirnos a privacidad@girocredito.com o utilizar los demás canales indicados en la Sección 14.

2. Información que Recopilamos

Recopilamos únicamente la información necesaria para prestar los servicios, evaluar solicitudes de crédito, cumplir obligaciones legales (particularmente las de prevención del lavado de activos y financiamiento del terrorismo, "PLAFT") y mejorar la experiencia del Usuario. Las categorías que tratamos son las siguientes:

2.1 Información de identificación personal

Nombres y apellidos, número de cédula de identidad y electoral, nacionalidad, fecha y lugar de nacimiento, estado civil, ocupación, dirección física y firma.

2.2 Información de contacto

Número de teléfono, correo electrónico y dirección física.

2.3 Información financiera, patrimonial y laboral

Ingresos declarados y validados, empleador, institución, posición laboral, montos y cuotas de préstamos otorgados, información de cuentas bancarias (entidad, número de cuenta y titular), historial de pagos, así como los nombres, relación y teléfonos de las referencias personales y laborales suministradas por el Usuario.

2.4 Información biométrica (categoría especial)

Con el consentimiento específico del Usuario (ver Sección 12), tratamos las siguientes categorías de datos biométricos:

• Imagen facial tipo selfie capturada por la Plataforma durante la verificación de identidad.
• Vector biométrico facial y puntuación de similitud generados mediante la comparación automatizada entre la selfie y la fotografía contenida en el documento de identidad, procesada por Amazon Rekognition.
• Imágenes del anverso y reverso del documento de identidad y los campos extraídos automáticamente por Amazon Textract, incluyendo nombres, fecha de nacimiento, tipo de sangre, lugar de nacimiento, ocupación, estado civil, número de documento y fechas de emisión y vencimiento.

2.5 Información de ubicación

• Dirección física declarada (calle, número, sector, municipio y provincia).
• Coordenadas GPS (latitud y longitud) asociadas a la vivienda declarada por el Usuario y, al momento de la verificación de identidad, a la ubicación del dispositivo. La captura de coordenadas requiere que el Usuario conceda permiso de ubicación a la aplicación móvil y se utiliza exclusivamente para las finalidades descritas en la Sección 3.

2.6 Información del dispositivo

Marca, fabricante, modelo, identificador de modelo, nombre de diseño, nombre de producto, tipo de dispositivo, año estimado de clase del dispositivo e indicador de si se trata de un dispositivo físico o de un emulador. Además, registramos dirección IP (considerando encabezados X-Forwarded-For), agente de usuario, identificador de sesión y versión de la aplicación. Esta información se utiliza con fines de seguridad, prevención del fraude y como insumo de nuestros modelos de evaluación (ver Sección 10).

2.7 Información de uso y comportamiento dentro de la Plataforma

• Eventos del embudo de verificación de identidad (KYC): pasos iniciados y completados, número de intentos, duración de cada paso, incidencias encontradas y metadatos del dispositivo asociados a cada evento.
• Tiempo total, en milisegundos, empleado por el Usuario para completar el formulario de solicitud de crédito.
• Interacciones con notificaciones (push, SMS o correo electrónico), incluyendo apertura y clic.
• Registros del servidor (logs) con fecha, hora, ruta de la solicitud, código de respuesta y dirección IP. Con fines de diagnóstico técnico, los registros pueden conservar el cuerpo de la solicitud (que puede contener información suministrada por el Usuario). Aplicamos medidas de minimización y plazos de retención acotados (ver Sección 7).

2.8 Información obtenida de terceros y fuentes públicas

• Validación de titularidad bancaria mediante el servicio BPD ConfirmarCuenta, a través de IBM API Connect.
• Verificación de empleo e ingresos en el sector público mediante consultas a los sistemas de la Contraloría General de la República, que devuelven ingreso validado, posición e institución.
• Validación del número y estatus de cédula en fuentes oficiales.

2.9 Registros de errores

Información técnica sobre errores ocurridos en la Plataforma, reenviada a nuestra herramienta de monitoreo (Sentry). Esta información puede incluir fragmentos del payload de la solicitud, cabeceras HTTP y datos de sesión, en la medida estrictamente necesaria para reproducir y corregir el error. Aplicamos filtros para redactar campos sensibles cuando resulta técnicamente viable (ver Sección 6).

3. Cómo Utilizamos su Información

Utilizamos la información personal para los siguientes fines:

• Procesar solicitudes de créditos, incluyendo la verificación de identidad (KYC) y la debida diligencia PLAFT.
• Evaluar el perfil crediticio y determinar la elegibilidad, monto, tasa y plazo del producto, utilizando reglas de negocio y modelos estadísticos (ver Sección 10).
• Gestionar la cuenta y el contrato, incluidos desembolsos a través de Banreservas u otras entidades, cobros, recordatorios de pago y conciliaciones.
• Prevenir y detectar el fraude, incluida la identificación de dispositivos emulados, la validación de titularidad bancaria, el cruce de referencias con nuestra base de clientes para identificar posibles suplantaciones y la aplicación de reglas antifraude basadas en ubicación, dispositivo y comportamiento.
• Cumplir requisitos legales y regulatorios, incluyendo obligaciones PLAFT, tributarias, contables y respuestas a requerimientos de autoridades competentes.
• Enviar comunicaciones operacionales relativas a la solicitud, el contrato y los pagos, así como comunicaciones comerciales cuando el Usuario haya otorgado su consentimiento específico.
• Mejorar la experiencia del Usuario mediante analítica agregada y optimización de la Plataforma.
• Entrenar, validar y auditar nuestros modelos internos de evaluación crediticia y detección de fraude, aplicando, cuando corresponda, técnicas de minimización, seudonimización o anonimización.

4. Base Legal para el Tratamiento de Datos

De conformidad con la Ley 172-13 y las mejores prácticas internacionales, tratamos sus datos personales con base, según el caso, en una o varias de las siguientes causales:

• Consentimiento libre, expreso, informado y específico del Usuario, otorgado por medios electrónicos al momento del registro y, en el caso de datos sensibles (incluidos los biométricos), a través de una manifestación adicional y diferenciada (ver Sección 12).
• Cumplimiento contractual, para procesar y gestionar los créditos solicitados y ejecutar el contrato.
• Obligaciones legales, incluidas las derivadas de la Ley 172-13, normativa PLAFT, normativa tributaria y demás regulaciones aplicables.
• Interés legítimo de Giro Crédito o de terceros, en particular para fines de seguridad, prevención del fraude y mejora continua de la Plataforma, siempre que dicho interés no prevalezca sobre los derechos y libertades fundamentales del Usuario.

5. Compartición de Información

Compartimos información personal con los Encargados del Tratamiento listados a continuación, con los cuales mantenemos Acuerdos de Tratamiento de Datos (DPA) que imponen obligaciones de confidencialidad, seguridad y limitación de finalidades:

Adicionalmente, podremos compartir información con:

• Autoridades judiciales, administrativas y regulatorias, cuando exista un requerimiento legal válido.
• Auditores, asesores legales y contadores, sujetos a obligaciones de confidencialidad.
• Adquirentes potenciales o efectivos en el contexto de una fusión, adquisición o reorganización, bajo acuerdos de confidencialidad y garantías de protección equivalentes.

Centrales de información crediticia. Actualmente, Giro Crédito reporta y comparte información con burós de crédito externos (envía datos a Sociedades de Información Crediticia registradas ante la Superintendencia de Bancos).

Transferencias internacionales. Algunos de los proveedores mencionados (en particular AWS, Sentry y Expo) procesan datos fuera de la República Dominicana, principalmente en los Estados Unidos de América. Para estas transferencias aplicamos, según el caso, cláusulas contractuales con obligaciones materialmente equivalentes a las de la Ley 172-13, certificaciones de seguridad reconocidas internacionalmente (SOC 2 Tipo II, ISO/IEC 27001) y, cuando procede, el consentimiento informado del Usuario. El Usuario puede solicitar información adicional sobre las garantías aplicables escribiendo a privacidad@girocredito.com.

No venta de datos. Giro Crédito no vende ni alquila información personal a terceros para fines comerciales.

6. Seguridad de la Información

Implementamos medidas técnicas, administrativas y físicas razonables, proporcionales al riesgo, para proteger la información personal contra accesos no autorizados, pérdida, alteración o divulgación. Entre las principales medidas se incluyen:

• Cifrado en tránsito (TLS 1.2 o superior) y cifrado en reposo en los almacenes principales.
• Control de acceso basado en roles, principio de mínimo privilegio y autenticación multifactor para accesos administrativos.
• Segregación lógica de entornos de producción, pruebas y desarrollo.
• Registros de auditoría, monitoreo continuo y alertas de seguridad.
• Capacitación periódica del personal en protección de datos y seguridad de la información.
• Procedimientos documentados de respuesta a incidentes, con notificación al Usuario y a las autoridades competentes cuando la naturaleza y los riesgos del incidente así lo exijan.

Monitoreo de errores (Sentry). Mantenemos un acuerdo de tratamiento de datos con Sentry, aplicamos filtros de redacción de campos sensibles cuando resulta técnicamente viable y trabajamos de manera continua para minimizar la información personal expuesta a esta herramienta.

Pese a todas las medidas razonables, ningún sistema es completamente seguro; no podemos garantizar la seguridad absoluta de los datos, aunque asumimos el compromiso de aplicar las mejores prácticas de la industria.

7. Retención de Información

Retenemos la información personal durante el tiempo necesario para cumplir los fines descritos en esta Política y, posteriormente, durante los plazos de conservación que imponga la legislación aplicable (particularmente la normativa PLAFT, el Código de Comercio y las normas tributarias). A continuación se detallan los plazos orientativos por categoría:

Vencidos los plazos indicados, los datos se eliminan de forma segura o se anonimizan de manera irreversible.

8. Derechos del Usuario

De acuerdo con la Ley 172-13 y los estándares internacionales aplicables, el Usuario tiene los siguientes derechos sobre su información personal:

• Acceso: solicitar una copia de sus datos personales almacenados, junto con información sobre las finalidades, destinatarios y plazos de conservación.
• Rectificación: corregir información inexacta o incompleta.
• Cancelación (supresión): solicitar la eliminación de sus datos cuando hayan dejado de ser necesarios, cuando retire su consentimiento o cuando estime que el tratamiento no se encuentra justificado.
• Oposición: oponerse, por motivos legítimos, al tratamiento de sus datos en los supuestos previstos por la ley.
• Revisión humana de decisiones adoptadas de forma total o principalmente automatizada que le afecten significativamente (ver Sección 10).
• Portabilidad: recibir una copia estructurada, en formato de uso común y lectura mecánica, de los datos que el Usuario haya proporcionado directamente.
• Retiro del consentimiento, en cualquier momento, sin efectos retroactivos.
• Presentación de queja ante la autoridad competente.

Procedimiento para ejercer los derechos

El Usuario puede ejercer sus derechos enviando una solicitud escrita a privacidad@girocredito.com o a los canales indicados en la Sección 14, identificándose con copia de su documento de identidad (o mediante mecanismo equivalente de verificación razonable) e indicando claramente el derecho que desea ejercer. La atención de estos derechos es gratuita.

Plazos de respuesta: acusaremos recibo dentro de los diez (10) días hábiles siguientes; responderemos sustantivamente las solicitudes de acceso dentro de los diez (10) días hábiles siguientes, y las de rectificación y cancelación dentro de los cinco (5) días hábiles siguientes, conforme a los artículos 80 y 85 de la Ley 172-13. Cuando la complejidad de la solicitud lo justifique, podremos prorrogar estos plazos, notificando previamente al Usuario las razones de la prórroga. En solicitudes manifiestamente infundadas o excesivas podremos denegar la solicitud motivando la negativa.

9. Cookies y Tecnologías Similares

El sitio web www.girocredito.com utiliza cookies y tecnologías similares para fines de autenticación, seguridad, funcionamiento esencial y analítica agregada. La aplicación móvil no utiliza cookies web, pero sí identificadores de dispositivo, tokens de notificaciones y almacenamiento local cifrado, con las mismas finalidades.

El Usuario puede gestionar sus preferencias de cookies desde la configuración de su navegador. La desactivación de cookies esenciales puede impedir el correcto funcionamiento de la Plataforma.

10. Procesamiento Automatizado de Decisiones

En cumplimiento del artículo 27 de la Ley 172-13 y de los principios internacionales de transparencia algorítmica, informamos al Usuario lo siguiente:

10.1 Uso de modelos automatizados

La decisión de aprobar, rechazar o ajustar los términos de un producto crediticio puede adoptarse, total o parcialmente, mediante procesos automatizados que combinan (i) reglas de negocio predefinidas y (ii) un modelo estadístico de aprendizaje automático alojado en infraestructura de Amazon Web Services. Dicho modelo utiliza como insumo las siguientes categorías de información:

• Datos financieros y laborales declarados o validados.
• Datos del dispositivo.
• Datos de ubicación.
• Telemetría del proceso de verificación y del formulario de solicitud.
• Resultados de las verificaciones de identidad y antifraude.

10.2 Pruebas controladas

Con el fin de evaluar y mejorar la precisión de nuestros modelos, una proporción de las solicitudes puede ser evaluada con un modelo alternativo y su resultado comparado con el modelo principal. La asignación a cada grupo se realiza de forma aleatoria y no está basada en características personales protegidas del Usuario.

10.3 Filtros antifraude automatizados

Por razones de seguridad y prevención del fraude, determinadas solicitudes pueden ser rechazadas automáticamente cuando concurren indicadores objetivos de riesgo, entre ellos:

• Solicitudes originadas desde coordenadas GPS asociadas a patrones de fraude previamente identificados.
• Discrepancia entre el nombre del solicitante y el titular de la cuenta bancaria indicada, verificada mediante BPD ConfirmarCuenta.
• Coincidencia, por encima de un umbral técnico, entre las referencias aportadas y datos de clientes existentes en nuestra base, lo cual puede ser indicativo de suplantación.

10.4 Impacto y derechos del Usuario

• Impacto: las decisiones automatizadas pueden afectar la aprobación o denegación de la solicitud, así como el monto, tasa o plazo ofrecido.
• Derecho a revisión humana: el Usuario tiene derecho a solicitar la intervención humana respecto de cualquier decisión automatizada que le afecte significativamente.
• Derecho a expresar su punto de vista y a impugnar la decisión, aportando información adicional que considere relevante.
• Derecho a información significativa sobre la lógica aplicada, las categorías de datos utilizadas y las posibles consecuencias del tratamiento. Preservando la protección de nuestro secreto empresarial y la integridad de nuestros controles antifraude, no divulgamos los pesos individuales de cada variable ni los umbrales exactos del modelo.

Si el Usuario desea ejercer cualquiera de estos derechos o recibir más información sobre cómo funciona el procesamiento automatizado, puede contactarnos a través de privacidad@girocredito.com.

11. Transferencias Internacionales de Datos

Algunos de nuestros proveedores procesan información personal fuera de la República Dominicana, principalmente en los Estados Unidos de América. Para estas transferencias internacionales aplicamos, según el caso, una o varias de las siguientes garantías:

• Cláusulas contractuales que imponen al receptor obligaciones materialmente equivalentes a las exigidas por la Ley 172-13.
• Certificaciones de seguridad reconocidas internacionalmente (por ejemplo, SOC 2 Tipo II, ISO/IEC 27001).
• Consentimiento informado del Usuario, cuando sea la base legal aplicable.

El Usuario puede solicitar información adicional sobre las garantías aplicables a una transferencia específica escribiendo a privacidad@girocredito.com.

12. Tratamiento de Datos Biométricos y Consentimiento Específico

Aviso específico. Dado el carácter sensible de los datos biométricos, y en atención al principio de consentimiento reforzado para categorías especiales de datos, Giro Crédito solicita al Usuario un consentimiento específico, expreso e independiente para el tratamiento de datos biométricos faciales durante el proceso de verificación de identidad.

• Datos biométricos tratados: (i) fotografía tipo selfie capturada durante la verificación; (ii) vector biométrico facial y puntuación de similitud, generados por la comparación automatizada entre la selfie y la fotografía contenida en el documento de identidad.
• Encargado del Tratamiento: Amazon Web Services, Inc. (Amazon Rekognition), bajo acuerdo de tratamiento de datos, con medidas de seguridad auditadas conforme a estándares internacionales.
• Finalidad: verificar que la persona que presenta la solicitud es la titular del documento de identidad exhibido, con fines de prevención del fraude de identidad y cumplimiento de obligaciones de debida diligencia financiera. Los datos biométricos no se utilizan para otras finalidades.
• Plazo de conservación: la imagen facial y el vector biométrico se conservan durante la vigencia del contrato y por el plazo adicional que exija la normativa PLAFT, salvo supresión anticipada legalmente procedente solicitada por el Usuario (ver Sección 7).
• Carácter voluntario y separable: el consentimiento biométrico es voluntario y se presta de forma diferenciada del consentimiento general sobre esta Política. Si el Usuario no desea otorgarlo, no podremos completar la verificación de identidad por medios digitales y, en consecuencia, no podremos aprobar la solicitud a través de nuestros canales remotos. Cuando resulte operativamente posible, ofreceremos vías alternativas de verificación.
• Retiro del consentimiento: el Usuario podrá retirar su consentimiento biométrico en cualquier momento, sin efectos retroactivos y sin perjuicio de la conservación legal requerida para cumplimiento PLAFT.

13. Cambios a esta Política

Nos reservamos el derecho de actualizar esta Política de Privacidad cuando resulte necesario para reflejar cambios legales, técnicos o de negocio. La versión vigente estará siempre disponible en www.girocredito.com/privacy-policy, con indicación de la fecha de última actualización. Cuando las modificaciones sean sustanciales, lo notificaremos por medios razonables (correo electrónico, notificación dentro de la Plataforma o aviso destacado en el sitio) con antelación razonable a su entrada en vigor.

14. Contacto

Si tiene preguntas, inquietudes o desea ejercer sus derechos, puede contactarnos en:

• Correo general: soporte@girocredito.com
• Privacidad / ejercicio de derechos: privacidad@girocredito.com

Si considera que Giro Crédito no ha atendido adecuadamente su solicitud, puede presentar una queja ante la autoridad competente en materia de protección de datos personales, ante la Superintendencia de Bancos de la República Dominicana (en lo aplicable a datos crediticios) u otras autoridades que resulten competentes, sin perjuicio de las acciones judiciales que estime procedentes.

Aceptación

Al utilizar la Plataforma, el Usuario reconoce que ha leído, entendido y aceptado esta Política de Privacidad. El consentimiento específico para el tratamiento de datos biométricos (Sección 12) y los demás consentimientos separables se solicitan mediante casillas independientes en el flujo de registro, conforme al Anexo A.

Anexo A — Casillas de Consentimiento en el Flujo de Registro

Al registrarse, el Usuario visualizará las siguientes casillas. Cada una es independiente y debe marcarse de forma individual.

• He leído y acepto la Política de Privacidad de Giro Crédito, S.R.L. y el tratamiento de mis datos personales conforme a ella.
• Consentimiento específico para datos biométricos. Entiendo y acepto que Giro Crédito, a través de Amazon Rekognition, procesará mi imagen facial y generará un vector biométrico y una puntuación de similitud con el fin exclusivo de verificar mi identidad. Este consentimiento es independiente y puede ser retirado en cualquier momento.
• Consulta a la Contraloría General de la República (si soy empleado público). Autorizo a Giro Crédito a validar mi condición de empleado público, institución, posición y nivel de ingreso ante la Contraloría General de la República.
• Validación de titularidad de cuenta bancaria. Autorizo a Giro Crédito a verificar, mediante BPD ConfirmarCuenta, que la cuenta bancaria que indicaré para el desembolso está a mi nombre.
• (Opcional) Acepto recibir comunicaciones comerciales de Giro Crédito sobre productos, beneficios y ofertas.

Anexo B — Control de Versiones