Política de tratamiento de datos personales.

MONNI S.A.S. ("Monni", "nosotros"), identificada con NIT 901.980.690-4, con domicilio principal en Barranquilla, Colombia, es la responsable del tratamiento de los datos personales de los usuarios de la plataforma Monni (sitio web, aplicación móvil y demás canales digitales, en conjunto la "Plataforma").

Monni es una billetera financiera digital multimoneda que permite a sus usuarios recargar saldo, mantenerlo respaldado por stablecoins, enviarlo, recibirlo y convertirlo entre monedas, operando en Colombia, España, México, Ecuador y Estados Unidos.

Esta Política de Tratamiento de Datos Personales (la "Política") se expide en cumplimiento de:

• La Constitución Política de Colombia (artículo 15, derecho al habeas data).
• La Ley 1581 de 2012 y su Decreto Reglamentario 1377 de 2013 (compilado en el Decreto 1074 de 2015).
• La Ley Estatutaria 1266 de 2008, en lo relativo a información financiera, crediticia y comercial (ver sección 17).
• La Circular Externa No. 001 de 2025 de la Superintendencia de Industria y Comercio (SIC), que establece instrucciones específicas para el tratamiento de datos personales en el ecosistema Fintech.
• El Reglamento General de Protección de Datos de la Unión Europea (RGPD/GDPR) para los usuarios ubicados en España, en lo que resulte aplicable.
• Las demás normas de protección de datos de las jurisdicciones donde operamos.

Al registrarse y usar la Plataforma, el usuario ("Titular") acepta los términos de esta Política.

Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato sensible: Dato que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (origen racial, salud, datos biométricos, entre otros).

Dato biométrico: Dato obtenido de características físicas o fisiológicas únicas de una persona (por ejemplo, reconocimiento facial o huella) usado para procesos de verificación de identidad (KYC).

Titular: Persona natural cuyos datos personales son objeto de tratamiento.

Responsable del tratamiento: MONNI S.A.S., quien decide sobre la base de datos y/o el tratamiento.

Encargado del tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del Responsable (por ejemplo, proveedores de KYC o de infraestructura financiera).

Autorización: Consentimiento previo, expreso e informado del Titular para tratar sus datos personales.

Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el tratamiento de sus datos.

Tratamiento: Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

En aplicación del principio de minimización de la Circular SIC 001/2025, solo recolectamos los datos idóneos y necesarios para prestar el servicio. No accedemos a la galería de fotos, contactos u otras funciones del dispositivo que no sean estrictamente necesarias para el servicio.

Datos de identificación: Nombre completo, tipo y número de documento de identidad, fecha de nacimiento, nacionalidad, dirección, teléfono y correo electrónico.

Datos de verificación de identidad (KYC) y datos biométricos: Fotografía o video de prueba de vida (liveness check) e imágenes del documento de identidad. Este es un dato sensible y recibe el tratamiento reforzado descrito en la sección 6.

Datos financieros y transaccionales: Historial de transacciones, saldos, origen y destino de fondos, e información de medios de pago (tarjetas y cuentas bancarias) tokenizada por nuestros proveedores de pago.

Datos técnicos y de dispositivo: Dirección IP, identificador del dispositivo, sistema operativo y datos de geolocalización aproximada, para prevención de fraude y cumplimiento de restricciones jurisdiccionales.

Datos de uso de la aplicación: Interacciones dentro de la Plataforma, registros de acceso y preferencias.

No recolectamos datos de menores de edad sin el cumplimiento de lo establecido en la sección 12.

Conforme a la Circular SIC 001/2025, diferenciamos entre finalidades esenciales (necesarias para prestar el servicio, sin las cuales no es posible usar la Plataforma) y finalidades accesorias (opcionales, que requieren autorización separada).

Finalidades esenciales

1. 1.Crear y administrar la cuenta del usuario en la Plataforma.
2. 2.Verificar la identidad del usuario (KYC) y realizar debida diligencia conforme a las normas de prevención de lavado de activos y financiación del terrorismo (SAGRILAFT) y las de nuestros aliados regulados.
3. 3.Procesar transacciones: recargas, envíos, retiros y conversiones de saldo.
4. 4.Prevenir el fraude, el lavado de activos y otras actividades ilícitas (KYT y monitoreo transaccional).
5. 5.Dar cumplimiento a requerimientos de autoridades competentes.
6. 6.Brindar soporte y atención al usuario.
7. 7.Garantizar la seguridad de la Plataforma y de las cuentas de los usuarios.

Finalidades accesorias (requieren autorización independiente)

1. 1.Enviar comunicaciones comerciales, promocionales o publicitarias sobre productos y beneficios de Monni.
2. 2.Realizar estudios estadísticos y de mercado para mejorar la Plataforma.
3. 3.Invitar al usuario a encuestas de satisfacción.

El usuario puede otorgar o negar su autorización para las finalidades accesorias sin que ello afecte el acceso a los servicios esenciales de la Plataforma.

El tratamiento de los datos personales del Titular se realiza con base en una autorización libre, previa, expresa, informada e inequívoca, obtenida al momento del registro en la Plataforma y en cada punto donde se recolecten datos adicionales. Monni conserva prueba de la autorización otorgada.

La autorización para finalidades esenciales y accesorias se solicita de forma diferenciada (ver sección 4): el usuario puede aceptar el tratamiento necesario para usar la Plataforma sin verse obligado a aceptar el tratamiento con fines de mercadeo.

Para usuarios ubicados en España y la Unión Europea, el tratamiento se fundamenta adicionalmente en las bases jurídicas del artículo 6 del RGPD: ejecución del contrato de prestación de servicios, cumplimiento de obligaciones legales (AML/KYC) y, cuando aplique, consentimiento expreso del interesado.

Para verificar la identidad del usuario (KYC) conforme a las normas de prevención de lavado de activos, Monni y sus aliados pueden recolectar datos biométricos (fotografía, video de prueba de vida y comparación facial contra el documento de identidad).

Este tratamiento, al ser un dato sensible, cumple las siguientes garantías reforzadas exigidas por la Circular SIC 001/2025:

1. 1.Autorización explícita: se solicita consentimiento específico y separado antes de capturar datos biométricos, informando claramente su finalidad.
2. 2.No transferencia a terceros no autorizados: los datos biométricos solo se comparten con el proveedor de verificación de identidad estrictamente necesario para completar el proceso de KYC, bajo contrato de encargo de tratamiento.
3. 3.Eliminación tras la finalidad: los datos biométricos se conservan únicamente durante el tiempo necesario para cumplir la finalidad de verificación y las obligaciones legales de conservación documental en materia de AML, tras lo cual son eliminados de forma segura.
4. 4.Medidas de seguridad reforzadas: cifrado en tránsito y en reposo, y acceso restringido y auditado.

El usuario puede negarse a proporcionar datos biométricos, en cuyo caso no podrá completar el proceso de verificación de identidad requerido para operar en la Plataforma.

Para prestar el servicio, Monni comparte datos personales únicamente con los Encargados del tratamiento estrictamente necesarios, bajo contratos que exigen los mismos estándares de protección de esta Política.

Proveedores de verificación de identidad (KYC/KYT): Validar la identidad del usuario y prevenir fraude y lavado de activos.

Proveedores de infraestructura financiera y emisión de tarjetas (por ejemplo, Rain): Emisión de tarjetas, custodia de saldo y procesamiento de transacciones. El emisor de la tarjeta aplica además su propio aviso de privacidad.

Proveedores de billetera y autenticación embebida (por ejemplo, Dynamic y Privy): Creación y gestión de la billetera no custodial del usuario.

Proveedores de onramp/offramp (por ejemplo, Koywe y MoonPay): Conversión entre moneda local y stablecoins.

Proveedores de procesamiento de pagos: Procesar recargas con tarjeta u otros medios de pago.

Proveedores de infraestructura tecnológica (hosting y analytics): Operación técnica de la Plataforma.

Autoridades públicas competentes: Cumplimiento de obligaciones legales, reportes de operaciones sospechosas y requerimientos judiciales o administrativos.

No vendemos los datos personales de nuestros usuarios a terceros. Cualquier transferencia o transmisión de datos a un Encargado se realiza bajo un contrato que garantiza el cumplimiento de esta Política y de la normativa aplicable.

Conservamos los datos personales únicamente durante el tiempo necesario para cumplir las finalidades descritas en esta Política y las obligaciones legales aplicables, incluyendo:

• Mientras exista una relación contractual activa con el usuario.
• Durante el plazo exigido por la normativa de prevención de lavado de activos y financiación del terrorismo para la conservación de registros (generalmente hasta 5 años después de finalizada la relación, o el plazo mayor que exija la ley, según la jurisdicción).
• Durante el plazo exigido por obligaciones fiscales y contables.

Transcurridos estos plazos, los datos son eliminados o anonimizados de forma segura, salvo que exista una obligación legal, un proceso judicial en curso, o el Titular solicite su conservación para un fin legítimo adicional.

Implementamos medidas técnicas, humanas y administrativas razonables y proporcionales para proteger los datos personales contra acceso no autorizado, pérdida, alteración o uso indebido, entre ellas:

Técnicas: Cifrado de datos sensibles en tránsito y en reposo, segmentación de accesos por rol, autenticación multifactor para sistemas internos, monitoreo continuo de seguridad y pruebas periódicas de vulnerabilidades.

Humanas: Capacitación periódica al personal en protección de datos y manejo confidencial de la información, y acuerdos de confidencialidad con empleados y contratistas.

Administrativas: Políticas internas de gestión de incidentes de seguridad, procedimientos de respuesta ante brechas de datos con notificación a la autoridad competente y, cuando corresponda, a los Titulares afectados, y auditorías periódicas de cumplimiento.

Ninguna transmisión de datos por internet o sistema de almacenamiento electrónico es 100% segura. Monni adopta estándares razonables de la industria, pero no puede garantizar seguridad absoluta.

Como Titular de datos personales, el usuario tiene derecho a:

1. 1.Conocer, actualizar y rectificar sus datos personales frente al Responsable del tratamiento.
2. 2.Solicitar prueba de la autorización otorgada, salvo que la ley permita el tratamiento sin ella.
3. 3.Ser informado, previa solicitud, sobre el uso que se le ha dado a sus datos personales.
4. 4.Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley de protección de datos, una vez agotado el trámite de consulta o reclamo ante Monni.
5. 5.Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida eliminarlo.
6. 6.Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Cómo ejercer estos derechos: el usuario puede enviar su solicitud al correo privacidad@monni.global, indicando su nombre completo, documento de identidad y una descripción clara de la solicitud. También puede usar el canal indicado en la sección 16.

Plazos de respuesta

Consulta: Máximo 10 días hábiles, prorrogable 5 días hábiles adicionales con aviso previo al Titular.

Reclamo: Máximo 15 días hábiles, prorrogable 8 días hábiles adicionales con aviso previo al Titular.

Si el reclamo está incompleto, se requerirá al Titular dentro de los 5 días siguientes para que subsane las fallas. Transcurridos 2 meses sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

Monni utiliza sistemas automatizados y modelos de evaluación de riesgo en ciertos procesos, incluyendo:

Verificación de identidad (KYC): Validación automática de documentos de identidad y biometría facial a través de nuestro proveedor de verificación (Sumsub).

Monitoreo transaccional (KYT) y scoring de riesgo: Evaluación automática de operaciones para detectar posibles señales de lavado de activos, financiación del terrorismo u otras actividades ilícitas, conforme a nuestro programa de cumplimiento SAGRILAFT.

Bloqueos o restricciones automáticas: En ciertos casos, una transacción u operación puede ser retenida, limitada o rechazada de forma automática cuando el sistema detecta un patrón de riesgo, sin intervención humana inmediata.

En cumplimiento de la Circular Externa 001 de 2025 de la SIC y, cuando aplique, del artículo 22 del Reglamento General de Protección de Datos (GDPR), el Titular tiene derecho a:

• Ser informado de que una decisión que lo afecta significativamente (por ejemplo, el bloqueo de una cuenta o el rechazo de una transacción) fue tomada, en todo o en parte, por un sistema automatizado.
• Solicitar una explicación comprensible de la lógica general utilizada y de las consecuencias previstas de dicho tratamiento.
• Solicitar la intervención de una persona para revisar manualmente la decisión, expresar su punto de vista y controvertir la decisión, a través de los canales de contacto indicados en la sección 16.

Monni no utiliza decisiones automatizadas para generar efectos jurídicos o afectaciones significativas sin que exista la posibilidad de revisión humana cuando el Titular así lo solicite, salvo que dicha decisión sea necesaria para el cumplimiento de obligaciones legales (por ejemplo, bloqueos ordenados por listas restrictivas o de sanciones internacionales).

Los servicios de Monni están dirigidos exclusivamente a personas mayores de 18 años con plena capacidad legal para contratar. Monni no ofrece ni diseña sus productos para niños, niñas o adolescentes, y no recolecta intencionalmente datos personales de menores de edad.

Como parte de nuestro proceso de verificación de identidad (KYC) y de documento de identidad, validamos la edad del Titular antes de permitir la apertura de una cuenta o el uso de cualquier funcionalidad transaccional.

Si llegamos a tener conocimiento de que se ha recolectado información personal de un menor de edad sin la autorización válida de sus padres, representantes legales o tutores, procederemos a eliminar dicha información de nuestras bases de datos a la mayor brevedad posible, salvo que exista una obligación legal de conservación (por ejemplo, en el marco de una investigación por fraude). Cualquier persona que tenga conocimiento de una situación de este tipo puede contactarnos a través de los canales indicados en la sección 16.

Nuestro sitio web (monni.global) y nuestra aplicación móvil utilizan cookies, identificadores de dispositivo, SDKs de terceros y tecnologías similares para:

• Mantener la sesión activa y garantizar la seguridad del inicio de sesión.
• Recordar preferencias del usuario (idioma y moneda de visualización).
• Medir el desempeño de la aplicación y analizar patrones de uso con fines de mejora del producto.
• Prevención de fraude y huella digital del dispositivo (device fingerprinting), en coordinación con nuestros proveedores de verificación de identidad y monitoreo transaccional.

El Titular puede configurar su navegador para bloquear o eliminar cookies; sin embargo, algunas funciones esenciales de la plataforma (como el inicio de sesión seguro) pueden dejar de funcionar correctamente si las cookies estrictamente necesarias son deshabilitadas.

En la aplicación móvil no se utilizan cookies en sentido estricto, pero sí identificadores equivalentes (SDKs de analytics e identificadores de instalación) que cumplen una función similar y están sujetos a los mismos principios de minimización y finalidad descritos en esta Política.

Debido a que Monni opera con socios tecnológicos y financieros ubicados fuera de Colombia, y presta servicios a Titulares en Colombia, España, México, Ecuador y Estados Unidos, sus datos personales podrán ser transferidos y/o transmitidos internacionalmente a:

• Proveedores de verificación de identidad y prevención de fraude (por ejemplo, Sumsub).
• Proveedores de infraestructura de billeteras y custodia de activos digitales (por ejemplo, Dynamic, Privy y Rain).
• Proveedores de rampas de entrada y salida de activos digitales (por ejemplo, MoonPay y Koywe).
• Proveedores de infraestructura en la nube y almacenamiento de datos.

Cuando Monni contrata a un proveedor para que trate los datos por su cuenta, se trata de una transmisión y se rige por un contrato de transmisión de datos. Cuando los datos se entregan a un tercero que actúa como responsable, se trata de una transferencia.

En cumplimiento del artículo 26 de la Ley 1581 de 2012 y del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), Monni únicamente realiza transferencias internacionales de datos personales cuando se cumple alguna de las siguientes condiciones:

1. 1.El país receptor cuenta con niveles adecuados de protección de datos conforme a los estándares fijados por la Superintendencia de Industria y Comercio (SIC).
2. 2.Se suscriben cláusulas contractuales u otros instrumentos jurídicos que garanticen un nivel de protección equivalente al exigido por la ley colombiana (como las Cláusulas Contractuales Tipo cuando aplique).
3. 3.El Titular ha otorgado su autorización expresa e informada para dicha transferencia.

Para los Titulares ubicados en la Unión Europea (incluida España), las transferencias internacionales se realizan conforme a los mecanismos previstos en el Capítulo V del Reglamento General de Protección de Datos (GDPR), incluyendo decisiones de adecuación de la Comisión Europea y Cláusulas Contractuales Tipo (Standard Contractual Clauses), según corresponda.

Monni podrá modificar esta Política de Tratamiento de Datos Personales en cualquier momento, con el fin de reflejar cambios normativos, nuevas funcionalidades del producto, nuevos proveedores o mejoras en nuestras prácticas de protección de datos.

Cuando se realicen cambios sustanciales (por ejemplo, nuevas finalidades del tratamiento, nuevos destinatarios de los datos o cambios en las transferencias internacionales), Monni notificará al Titular con una antelación razonable a través de un aviso visible dentro de la aplicación o el sitio web, y/o un correo electrónico a la dirección registrada en la cuenta del Titular.

La fecha de la última actualización se indicará siempre al inicio de este documento. El uso continuado de los servicios de Monni después de la entrada en vigor de los cambios constituye la aceptación de la versión actualizada de esta Política, sin perjuicio del derecho del Titular a ejercer en cualquier momento los derechos descritos en la sección 10.

MONNI S.A.S. (NIT 901.980.690-4), domiciliada en Barranquilla, Colombia, y operadora de la plataforma Monni, es la Responsable del Tratamiento de los datos personales descritos en esta Política.

Para ejercer cualquiera de los derechos descritos en la sección 10 (conocer, actualizar, rectificar, suprimir, revocar la autorización, acceder, presentar quejas o solicitar prueba de la autorización otorgada), el Titular puede dirigir su solicitud a:

Correo electrónico de protección de datos: privacidad@monni.global

Teléfono: +57 333 767 7409

Dirección: CR 53 No 68 B - 87 LO 127, CC Gran Centro, Barranquilla, Colombia

Canal de soporte dentro de la aplicación: sección de Ayuda / Soporte

Las peticiones, consultas y reclamos son atendidos por el Oficial de Cumplimiento y Protección de Datos de MONNI S.A.S. La solicitud debe incluir, al menos, nombre completo del Titular, documento de identidad, descripción clara del derecho que desea ejercer y, de ser el caso, los documentos que soporten la solicitud.

Plazos legales de respuesta (Ley 1581 de 2012 y Decreto 1377 de 2013)

Consultas: serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos: el término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Si el Titular considera que su solicitud no fue atendida adecuadamente, podrá presentar una queja ante la Superintendencia de Industria y Comercio (SIC), autoridad de control en materia de protección de datos personales en Colombia, una vez agotado el trámite de consulta o reclamo ante Monni.

Para Titulares ubicados en la Unión Europea, adicionalmente podrán presentar una reclamación ante la autoridad de control de protección de datos de su país de residencia (en España, la Agencia Española de Protección de Datos, AEPD).

Si en algún producto Monni consulta o reporta información a centrales de riesgo o a operadores de información financiera, crediticia o comercial, lo hará con autorización previa del Titular y conforme a la Ley 1266 de 2008, incluido el aviso previo al reporte negativo y los derechos de actualización, rectificación y caducidad del dato.