Alzent Digital

Política de Privacidad

URL permanente: legal.alzentdigital.com/privacidad

Borrador — pendiente de fecha de vigencia

1. Alcance y aplicabilidad

Esta Política de Privacidad (la “Política”) describe cómo Alzent Digital Inc., sociedad panameña con Folio N.° 155779456, RUC 155779456-2-2026, con domicilio en Oceania Business Plaza, Torre 2000, Piso 18, Of. 18E, Ciudad de Panamá (“ADI,” “nosotros” o “nuestro”), recolecta, usa, comparte y protege los datos personales de quienes utilizan nuestros servicios.

ADI opera como agregador tecnológico y no presta directamente todos los servicios subyacentes. La siguiente tabla identifica, por línea de negocio, qué rol de proveedor procesa sus datos y bajo qué rol de ADI, replicando el nivel de transparencia que publican nuestros proveedores en sus propias políticas. La identidad actual de cada proveedor se publica en el Anexo A — Proveedores Actuales, incorporado por referencia a esta Política y actualizado de forma independiente.

Línea de servicio	Categoría de proveedor (ver Anexo A)	Rol de ADI	Rol del proveedor
Ecosistema de tarjeta	Socio Emisor	Controlador para apertura de cuenta y KYC iniciado por ADI	Procesador para el programa de marca blanca; controlador para verificación de identidad y datos biométricos que recolecta directamente
Verificación de identidad (KYC/KYB)	Proveedor de Verificación de Identidad	Controlador	Procesador
Monitoreo AML on-chain	Proveedor de Monitoreo AML	Controlador	Procesador
Custodia MPC de activos digitales	Proveedor de Custodia MPC	Controlador	Procesador / custodio técnico no exclusivo (estructura de 3 fragmentos: Usuario / ADI / Proveedor)
Rieles de pago — Colombia, Brasil, México y global	Proveedor de Rieles de Pago	Controlador	Procesador
Rieles de pago — Bolivia	Proveedor de Rieles de Pago	Controlador	Procesador
Cuentas USD y virtual same-name	Proveedor de Rieles de Pago	Controlador	Procesador
Settlement global en USDT	Proveedor de Rieles de Pago	Controlador conjunto	Controlador conjunto (ADI actúa como “Requestor”)
Infraestructura de tokenización RWA	Proveedor de Tokenización	Controlador	Procesador
Marketplace B2B white-label	Clientes corporativos de ADI	Controlador respecto de ADI	El cliente corporativo es controlador de los datos de sus propios usuarios finales aguas abajo

Esta Política no aplica a sitios web o servicios de terceros que cuenten con su propio aviso de privacidad, incluidos los avisos de privacidad publicados directamente por nuestros Proveedores (ver Anexo A — Proveedores Actuales), a los que remitimos para el tratamiento que dichos proveedores realicen fuera del alcance de su rol como procesadores de ADI.

2. Datos personales que recopilamos

Categoría	Ejemplos
Identificación y contacto	Nombre, correo electrónico, teléfono, fecha de nacimiento, dirección residencial, credenciales de cuenta
Identificación gubernamental	Cédula/pasaporte, licencia de conducir, números de identificación fiscal, documentos de verificación
Información financiera y de cuenta	Saldos, historial de transacciones, historial de pagos y de repago cuando aplique
Información de cliente corporativo (KYB)	Razón social, dirección, documentos de constitución, jurisdicción, identificación tributaria, beneficiarios finales
Información biométrica	Geometría facial derivada de documento de identidad y una imagen en vivo, utilizada exclusivamente para verificación de identidad
Información de billetera y blockchain	Direcciones de billetera, tipo y monto de activos digitales usados como colateral, datos de transacciones on-chain
Comunicaciones	Solicitudes de soporte, correspondencia, preferencias de comunicación
Datos recolectados automáticamente	Tipo de navegador, dispositivo, sistema operativo, dirección IP, datos de uso del sitio

Cierta información que recolectamos puede considerarse dato sensible bajo la legislación aplicable, incluyendo datos de identificación gubernamental, información financiera, credenciales de autenticación y datos biométricos. Utilizamos esta información únicamente en la medida razonablemente necesaria para prestar el servicio, verificar identidad, prevenir fraude y cumplir obligaciones legales y regulatorias.

3. Cómo y por qué usamos sus datos personales

Abrir, mantener y administrar su cuenta
Verificar su identidad y realizar procesos de KYC, KYB, AML, debida diligencia reforzada y tamizaje de sanciones (incluidas las listas FATF y OFAC/OFSI/UE/ONU)
Evaluar su elegibilidad para los servicios del ecosistema de tarjeta, on/off-ramp y marketplace B2B
Procesar, autorizar y monitorear transacciones, incluyendo transacciones liquidadas en USDT a través de nuestro Proveedor de Rieles de Pago correspondiente
Dar soporte a la funcionalidad de billetera, colateral y custodia MPC
Brindar soporte al cliente y comunicarle novedades sobre su cuenta, seguridad y cambios de política
Mantener y mejorar nuestros servicios, sistemas de seguridad y controles de fraude
Realizar auditorías, hacer cumplir acuerdos, responder a procesos legales y cumplir obligaciones contractuales, legales, contables y regulatorias, incluidas las de la Ley 23 de 2015 y la UAF de Panamá

4. Bases legales de tratamiento

Base legal	Cómo la aplicamos
Ejecución de un contrato	Para crear su cuenta, prestar los servicios, emitir la tarjeta, procesar transacciones y administrar su cuenta
Cumplimiento de obligaciones legales	Para cumplir con AML/CFT, sanciones, tamizaje FATF, reportes regulatorios ante la UAF y requisitos de conservación de registros bajo la Ley 23/2015
Interés legítimo	Para proteger nuestros sistemas, prevenir fraude, mejorar el servicio y defender reclamos legales, siempre que dicho interés no sea superado por sus derechos
Consentimiento	Para procesar datos biométricos o enviar comunicaciones opcionales, cuando la ley aplicable lo exija; usted puede retirar su consentimiento, aunque esto puede limitar el servicio disponible
Reclamos legales	Para establecer, ejercer o defender reclamos legales

Cuando usted resida en la Unión Europea, el Reino Unido, Suiza o Brasil, y el GDPR, UK GDPR o la LGPD resulten aplicables por la naturaleza del proveedor subyacente que procese sus datos (por ejemplo, nuestro Socio Emisor para servicios de tarjeta), dicho proveedor procesará sus datos conforme a su propia base legal y rol, según se detalla en la Sección 1.

5. Aviso de información biométrica

Cuando utilizamos verificación biométrica como parte del proceso de KYC/KYB a través de nuestro Proveedor de Verificación de Identidad, o cuando el Socio Emisor la recolecta directamente para la emisión de la tarjeta, podemos recolectar identificadores biométricos, incluyendo geometría facial derivada de su documento de identidad y una imagen en vivo. Usamos esta información exclusivamente para verificar su identidad, prevenir fraude y cumplir con requisitos regulatorios de KYC/AML.

No vendemos información biométrica. Conservamos la información biométrica solo durante el tiempo necesario para el propósito de su recolección, o dentro de un plazo máximo de tres (3) años desde su última interacción con nosotros, lo que ocurra primero, salvo que la ley aplicable exija un período distinto o exista un requerimiento legal válido que justifique una conservación mayor.

6. Activos digitales, blockchain y custodia

Algunos de nuestros servicios permiten funciones de liquidación, custodia o colateralización basadas en blockchain. Las redes blockchain son registros distribuidos generalmente inmutables; ciertos datos de transacción (direcciones de billetera, montos, tipo de activo) pueden quedar registrados de forma permanente en la cadena. No publicamos su nombre legal, dirección residencial ni otra información directamente identificable en blockchains públicas.

Sus activos digitales posteados como colateral se administran bajo una estructura de custodia MPC, cuyos fragmentos de llave se distribuyen, según la arquitectura técnica vigente, entre usted, ADI y/o el Proveedor de Custodia MPC (ver Anexo A). Ni ADI ni dicho Proveedor son, individualmente, custodios exclusivos de sus activos digitales, y en ningún momento cualquiera de las dos partes controla unilateralmente los fragmentos de llave necesarios para mover dichos activos. Podemos compartir direcciones de billetera y datos de transacción con proveedores de analítica blockchain para cumplimiento de sanciones, prevención de fraude y monitoreo de riesgo.

El Proveedor de Custodia MPC no se encuentra regulado, licenciado ni autorizado por ninguna autoridad regulatoria, gubernamental o de autorregulación en ninguna jurisdicción, y ningún activo digital custodiado a través de su infraestructura cuenta con seguro provisto por dicho Proveedor. ADI evalúa de forma independiente su propia cobertura de seguro respecto de los activos digitales de sus Usuarios.

7. Cómo compartimos sus datos personales

Categoría de destinatario	Propósito
Proveedores de infraestructura del ecosistema ADI (ver Anexo A — Proveedores Actuales)	Prestación del servicio correspondiente a cada línea de negocio, según se detalla en la Sección 1
Proveedores de Rieles de Pago (ver Anexo A — Proveedores Actuales)	Procesamiento, liquidación y monitoreo de transacciones en la jurisdicción aplicable
Reguladores, autoridades y fuerzas del orden	Cumplimiento de la Ley 23/2015, reportes a la UAF, requerimientos legales y procesos regulatorios
Auditores, asesores legales y profesionales	Aseguramiento del cumplimiento regulatorio y estándares de la industria
Contrapartes en transacciones corporativas	En el contexto de una fusión, adquisición, reorganización o venta de activos de ADI

Nuestros proveedores de servicios están contractualmente obligados a utilizar los datos personales únicamente para los fines autorizados y a mantener medidas de seguridad adecuadas. Podemos compartir información agregada o anonimizada que no pueda razonablemente vincularse a una persona identificable.

En particular, el Master Services Agreement de ADI con el Proveedor de Custodia MPC exige la suscripción de un Acuerdo de Procesamiento de Datos (Data Processing Agreement, “DPA”) que gobierna el tratamiento de datos personales que dicho Proveedor procese en su rol de procesador. El Proveedor de Custodia MPC puede además analizar información agregada de uso de la plataforma para fines propios de mejora de sus productos, en los términos de dicho acuerdo; ADI exige contractualmente que este análisis no incluya datos que identifiquen directamente a Usuarios Finales.

8. Transferencias internacionales

Dado que ADI opera con proveedores ubicados en distintas jurisdicciones (incluyendo Estados Unidos, la Unión Europea y otras jurisdicciones donde operan nuestros Proveedores (ver Anexo A)), sus datos personales pueden transferirse, almacenarse o procesarse fuera de Panamá. Cuando la transferencia se realice desde una jurisdicción que exija salvaguardas específicas (por ejemplo, el EEE, el Reino Unido o Brasil), utilizaremos los mecanismos legalmente reconocidos aplicables, como cláusulas contractuales estándar u otros mecanismos equivalentes adoptados por el proveedor correspondiente.

9. Retención de datos

Conservamos sus datos personales durante el tiempo necesario para prestar el servicio, cumplir obligaciones legales y regulatorias, resolver disputas y proteger nuestros derechos. Los registros de identificación de cliente y de transacciones se conservan por un mínimo de cinco (5) años tras el cierre de la cuenta, conforme a los requisitos de la Ley 23/2015 y las políticas de conservación de la UAF, salvo que la ley exija un plazo mayor. La información biométrica se rige por el plazo especial señalado en la Sección 5.

10. Seguridad

Mantenemos medidas de seguridad administrativas, técnicas y físicas diseñadas para proteger sus datos personales frente a acceso, divulgación, alteración o destrucción no autorizados, incluyendo cifrado de datos sensibles en tránsito y en reposo, controles de acceso, autenticación multifactor y monitoreo de transacciones. Ningún método de transmisión o almacenamiento es completamente seguro; usted es responsable de proteger sus credenciales, llaves privadas y frases de recuperación.

11. Cookies y tecnologías de rastreo

Podemos utilizar cookies, píxeles y tecnologías similares para operar nuestros servicios, recordar sus preferencias, medir el desempeño del sitio y prevenir fraude. Usted puede configurar su navegador para rechazar cookies, aunque algunas funciones pueden dejar de operar correctamente.

12. Procesamiento automatizado y toma de decisiones

Podemos utilizar sistemas automatizados para apoyar la detección de fraude, el tamizaje de sanciones, el monitoreo de transacciones y la verificación de identidad, incluyendo el motor de reglas de riesgo configurado por nuestro Proveedor de Verificación de Identidad. Cuando el procesamiento automatizado produzca efectos legales o de importancia similar sobre usted, y la ley aplicable le otorgue este derecho, podrá solicitar información sobre dicho procesamiento, solicitar revisión humana y expresar su punto de vista.

13. Sus derechos

Dependiendo de su ubicación y del rol de ADI respecto de sus datos (ver Sección 1), usted puede tener derecho a acceder, corregir, eliminar, portar, restringir u oponerse al tratamiento de sus datos personales, así como a retirar su consentimiento cuando el tratamiento se base en él.

Si su solicitud se relaciona con datos que ADI controla directamente, la atenderemos conforme a esta Política y a la Ley 23/2015.
Si su solicitud se relaciona con datos que un proveedor de ADI controla directamente (por ejemplo, verificación biométrica realizada directamente por el Socio Emisor), podremos remitir su solicitud a dicho proveedor o coordinar la respuesta con este.
Podremos verificar su identidad antes de procesar cualquier solicitud.

Puede ejercer estos derechos escribiendo a privacidad@alzentdigital.com.

14. Menores de edad

Nuestros servicios no están dirigidos a personas menores de 18 años. No recolectamos, solicitamos ni comercializamos conscientemente datos personales de menores de edad. Si tenemos conocimiento de haber recolectado datos de un menor sin la autorización correspondiente, tomaremos medidas para eliminar dicha información.

15. Cambios a esta Política

Podemos actualizar esta Política periódicamente. Le notificaremos los cambios materiales con antelación razonable a través de los canales electrónicos descritos en nuestros Términos y Condiciones Generales (legal.alzentdigital.com/terminos-y-condiciones), antes de que entren en vigor.

16. Contáctenos

Para preguntas sobre esta Política o para ejercer sus derechos, puede escribirnos a privacidad@alzentdigital.com o a +507 6490-0464.

1. Scope and applicability

This Privacy Policy (the “Policy”) describes how Alzent Digital Inc., a Panamanian corporation, Folio No. 155779456, RUC 155779456-2-2026, with registered address at Oceania Business Plaza, Torre 2000, Piso 18, Of. 18E, Panama City (“ADI,” “we,” or “our”), collects, uses, shares, and protects the personal data of those who use our services.

ADI operates as a technology aggregator and does not directly provide every underlying service. The table below identifies, by line of business, which provider role processes your data and under which ADI role, matching the level of transparency our providers publish in their own policies. The current identity of each provider is published in Annex A — Current Providers, incorporated by reference into this Policy and updated independently of it.

This Policy does not apply to third-party websites or services that maintain their own privacy notice, including notices published directly by our Providers (see Annex A — Current Providers), to which we refer for processing those providers perform outside their role as ADI processors.

Service line	Provider category (see Annex A)	ADI’s role	Provider’s role
Card ecosystem	Issuing Partner	Controller for account opening and KYC initiated by ADI	Processor for the white-label program; controller for identity verification and biometric data it collects directly
Identity verification (KYC/KYB)	Identity Verification Provider	Controller	Processor
On-chain AML monitoring	AML Monitoring Provider	Controller	Processor
MPC custody of digital assets	MPC Custody Provider	Controller	Processor / non-exclusive technical custodian (fragment structure: User / ADI / Provider)
Payment rails — Colombia, Brazil, Mexico and global	Payment Rail Provider	Controller	Processor
Payment rails — Bolivia	Payment Rail Provider	Controller	Processor
USD and same-name virtual accounts	Payment Rail Provider	Controller	Processor
Global USDT settlement	Payment Rail Provider	Joint controller	Joint controller (ADI acts as “Requestor”)
RWA tokenization infrastructure	Tokenization Provider	Controller	Processor
B2B white-label marketplace	ADI corporate clients	Controller with respect to ADI	The corporate client is controller of its own downstream end-user data

2. Personal data we collect

Category	Examples
Identification and contact	Name, email, phone, date of birth, residential address, account credentials
Government identification	National ID/passport, driver’s license, tax identification numbers, verification documents
Financial and account information	Balances, transaction history, repayment history where applicable
Corporate client information (KYB)	Legal name, address, formation documents, jurisdiction, tax ID, beneficial owners
Biometric information	Facial geometry derived from an identification document and a live image, used solely for identity verification
Wallet and blockchain information	Wallet addresses, type and amount of digital assets used as collateral, on-chain transaction data
Communications	Support requests, correspondence, communication preferences
Automatically collected data	Browser type, device, operating system, IP address, site usage data

Some information we collect may be considered sensitive personal data under applicable law, including government identification data, financial information, authentication credentials, and biometric data. We use this information only to the extent reasonably necessary to provide the service, verify identity, prevent fraud, and comply with legal and regulatory obligations.

3. How and why we use your personal data

Open, maintain, and administer your account
Verify your identity and perform KYC, KYB, AML, enhanced due diligence, and sanctions screening (including FATF and OFAC/OFSI/EU/UN lists)
Assess your eligibility for card ecosystem, on/off-ramp, and B2B marketplace services
Process, authorize, and monitor transactions, including transactions settled in USDT through our corresponding Payment Rail Provider
Support wallet, collateral, and MPC custody functionality
Provide customer support and communicate account, security, and policy updates
Maintain and improve our services, security systems, and fraud controls
Conduct audits, enforce agreements, respond to legal process, and comply with contractual, legal, accounting, and regulatory obligations, including under Law 23 of 2015 and Panama’s UAF

4. Legal bases for processing

Legal basis	How we apply it
Performance of a contract	To create your account, provide services, issue the card, process transactions, and administer your account
Compliance with legal obligations	To comply with AML/CFT, sanctions, FATF screening, UAF regulatory reporting, and Law 23/2015 recordkeeping requirements
Legitimate interests	To protect our systems, prevent fraud, improve the service, and defend legal claims, provided that interest is not overridden by your rights
Consent	To process biometric data or send optional communications where required by applicable law; you may withdraw consent, though this may limit available services
Legal claims	To establish, exercise, or defend legal claims

Where you reside in the European Union, the United Kingdom, Switzerland, or Brazil, and the GDPR, UK GDPR, or LGPD apply due to the nature of the underlying provider processing your data (for example, our Issuing Partner for card services), that provider will process your data under its own legal basis and role, as detailed in Section 1.

5. Biometric information notice

When we use biometric verification as part of the KYC/KYB process through our Identity Verification Provider, or when the Issuing Partner collects it directly for card issuance, we may collect biometric identifiers, including facial geometry derived from your identification document and a live image. We use this information solely to verify your identity, prevent fraud, and comply with KYC/AML regulatory requirements.

We do not sell biometric information. We retain biometric information only as long as necessary for the purpose collected, or within a maximum of three (3) years from your last interaction with us, whichever occurs first, unless applicable law requires a different period or a valid legal requirement justifies longer retention.

6. Digital assets, blockchain, and custody

Some of our services enable blockchain-based settlement, custody, or collateralization functions. Blockchain networks are generally immutable distributed ledgers; certain transaction data (wallet addresses, amounts, asset type) may be permanently recorded on-chain. We do not publish your legal name, residential address, or other directly identifying information on public blockchains.

Digital assets you post as collateral are managed under an MPC custody structure, whose key fragments are distributed, consistent with the technical architecture then in effect, among you, ADI, and/or the MPC Custody Provider (see Annex A). Neither ADI nor such Provider is, individually, an exclusive custodian of your digital assets, and at no time does either party unilaterally control the key fragments necessary to move those assets. We may share wallet addresses and transaction data with blockchain analytics providers for sanctions compliance, fraud prevention, and risk monitoring.

The MPC Custody Provider is not regulated, licensed, or authorized by any regulatory, governmental, or self-regulatory authority in any jurisdiction, and no digital asset held through its infrastructure is insured by such Provider. ADI independently evaluates its own insurance coverage with respect to its Users’ digital assets.

7. How we share your personal data

Recipient category	Purpose
ADI ecosystem infrastructure providers (see Annex A — Current Providers)	Provision of the corresponding service line, as detailed in Section 1
Payment Rail Providers (see Annex A — Current Providers)	Processing, settlement, and monitoring of transactions in the applicable jurisdiction
Regulators, authorities, and law enforcement	Compliance with Law 23/2015, UAF reporting, legal requirements, and regulatory processes
Auditors, legal counsel, and professional advisors	Assurance of regulatory compliance and industry standards
Counterparties in corporate transactions	In the context of a merger, acquisition, reorganization, or sale of ADI’s assets

Our service providers are contractually required to use personal data only for authorized purposes and to maintain adequate security measures. We may share aggregated or anonymized information that cannot reasonably be linked to an identifiable person.

In particular, ADI’s Master Services Agreement with the MPC Custody Provider requires a Data Processing Agreement (“DPA”) governing personal data such Provider processes in its role as processor. The MPC Custody Provider may also analyze aggregated platform usage data for its own product-improvement purposes under that agreement; ADI contractually requires that this analysis not include data directly identifying End Users.

8. International transfers

Because ADI works with providers located in different jurisdictions (including the United States, the European Union, and other jurisdictions where our Providers operate (see Annex A)), your personal data may be transferred, stored, or processed outside Panama. Where the transfer originates from a jurisdiction requiring specific safeguards (for example, the EEA, the UK, or Brazil), we rely on legally recognized transfer mechanisms, such as standard contractual clauses or equivalent mechanisms adopted by the relevant provider.

9. Data retention

We retain your personal data for as long as necessary to provide the service, comply with legal and regulatory obligations, resolve disputes, and protect our rights. Customer identification and transaction records are retained for a minimum of five (5) years following account closure, in accordance with Law 23/2015 and UAF retention requirements, unless a longer period is required by law. Biometric information is governed by the special retention period described in Section 5.

10. Security

We maintain administrative, technical, and physical safeguards designed to protect your personal data against unauthorized access, disclosure, alteration, or destruction, including encryption of sensitive data in transit and at rest, access controls, multi-factor authentication, and transaction monitoring. No transmission or storage method is completely secure; you are responsible for protecting your credentials, private keys, and recovery phrases.

11. Cookies and tracking technologies

We may use cookies, pixels, and similar technologies to operate our services, remember your preferences, measure site performance, and prevent fraud. You may configure your browser to reject cookies, although some features may stop working correctly.

12. Automated processing and decision-making

We may use automated systems to support fraud detection, sanctions screening, transaction monitoring, and identity verification, including the risk-rule engine configured by our Identity Verification Provider. Where automated processing produces legal or similarly significant effects on you, and applicable law grants you this right, you may request information about that processing, request human review, and express your point of view.

13. Your rights

Depending on your location and ADI’s role with respect to your data (see Section 1), you may have the right to access, correct, delete, port, restrict, or object to the processing of your personal data, and to withdraw consent where processing is based on it.

If your request relates to data ADI controls directly, we will handle it under this Policy and Law 23/2015.
If your request relates to data an ADI provider controls directly (for example, biometric verification performed directly by the Issuing Partner), we may refer your request to that provider or coordinate the response with them.
We may verify your identity before processing any request.

You may exercise these rights by writing to privacidad@alzentdigital.com.

14. Children’s privacy

Our services are not directed to individuals under 18 years of age. We do not knowingly collect, solicit, or market personal data from minors. If we learn we have collected data from a minor without appropriate authorization, we will take steps to delete that information.

15. Changes to this Policy

We may update this Policy periodically. We will notify you of material changes with reasonable advance notice through the electronic channels described in our General Terms and Conditions (legal.alzentdigital.com/terminos-y-condiciones), before they take effect.

16. Contact us

Questions about this Policy or requests to exercise your rights may be directed to privacidad@alzentdigital.com or +507 6490-0464.