Política de privacidad

Esta política explica qué datos personales trata Manda, para qué los utiliza, con quién puede compartirlos, cómo los protege y cómo pueden ejercerse los derechos de sus titulares. Se aplica al registro, verificación, cotización y ejecución de operaciones que pueden incluir la conversión de moneda local a stablecoins u otros criptoactivos, su transferencia o liquidación digital y la posterior conversión y abono en moneda local.

1 Responsable del tratamiento y alcance

Manda es el nombre comercial utilizado por Tulkit Pay S.A.C., sociedad constituida en Perú, identificada con RUC 20609089017 y con domicilio en Av. Mariscal Ramón Castilla 618, Urb. Las Magnolias, Santiago de Surco, Lima, Perú. Para efectos de esta política, Tulkit Pay S.A.C. será denominada exclusivamente “Manda”, “nosotros” o “nuestro” y actúa como responsable del tratamiento respecto de los datos sobre los que determina finalidades y medios.

Esta política se aplica a solicitantes, clientes, representantes y beneficiarios finales de personas jurídicas, beneficiarios de operaciones, visitantes de los canales digitales, personas que contacten soporte y cualquier otra persona cuyos datos sean tratados en relación con Manda. Cuando un proveedor determine de manera independiente sus propias finalidades y medios, podrá actuar como responsable independiente conforme a la ley que le resulte aplicable.

El tratamiento se rige principalmente por la Ley N.º 29733, Ley de Protección de Datos Personales, su Reglamento aprobado por el Decreto Supremo N.º 016-2024-JUS y las demás normas peruanas aplicables, sin perjuicio de las normas imperativas del país en el que se encuentre el titular o se ejecute una operación.

2 Principios y bases del tratamiento

Manda trata datos de manera lícita, leal, transparente, proporcional y limitada a finalidades determinadas. Procura que los datos sean exactos, se conserven solo durante el tiempo necesario y se protejan mediante medidas razonables de seguridad y confidencialidad.

Según la finalidad y la legislación aplicable, el tratamiento podrá sustentarse en el consentimiento; la ejecución de medidas precontractuales, del contrato o del mandato solicitado por el cliente; el cumplimiento de obligaciones legales y requerimientos de autoridades; la prevención de fraude, incidentes y usos ilícitos; o las demás bases autorizadas por la ley. Cuando el consentimiento sea exigible, se solicitará de forma previa, libre, expresa, inequívoca e informada.

La publicación de esta política cumple una función informativa y de transparencia, pero no sustituye los consentimientos específicos que la ley requiera. Manda conservará evidencias electrónicas de las autorizaciones otorgadas, sus versiones, fecha, hora, canal y mecanismo de aceptación.

3 Datos que podemos tratar

La información concreta dependerá del tipo de usuario, operación, país, nivel de riesgo y canal utilizado. Podemos tratar las siguientes categorías:

Categoría	Ejemplos
Identificación y contacto	Nombre, documento, nacionalidad, fecha de nacimiento, fotografía, domicilio, correo, teléfono y firma.
Verificación y biometría	Selfie, video, prueba de vida, rasgos o plantilla facial y resultados de comparación de identidad.
Económicos y profesionales	Ocupación, empleador, actividad, ingresos, patrimonio, condición tributaria, origen y destino de fondos.
Bancarios y de pago	Titularidad, entidad, cuenta, CCI, CLABE, alias, llave, referencias, comprobantes y estado del pay in o payout.
Operaciones y criptoactivos	Cotizaciones, órdenes, beneficiarios, monedas, importes, stablecoin o criptoactivo, wallets, red, hash y trazabilidad.
Cumplimiento y riesgo	PEP, sanciones, alertas, beneficiario final, relación entre partes, perfil transaccional y análisis antifraude o blockchain.
Técnicos y de seguridad	IP, dispositivo, sistema operativo, identificadores, geolocalización aproximada, sesión, autenticación, cookies y registros.
Comunicaciones	Chats, correos, llamadas cuando sean grabadas con aviso, tickets, reclamos, instrucciones y documentos enviados a soporte.

Las respuestas o documentos solicitados serán obligatorios cuando sean necesarios para identificar al cliente, cumplir la ley o ejecutar una operación. La negativa o entrega incompleta puede impedir el registro, la verificación, la cotización, el procesamiento o la continuidad del servicio. Los datos destinados únicamente a comunicaciones comerciales serán facultativos.

4 Fuentes de los datos

Podemos obtener datos directamente del titular; del cliente que designa a un beneficiario; de representantes, empleadores o personas jurídicas relacionadas; de Koywe y de los proveedores que participan en una operación; de entidades financieras, redes de pago y proveedores de identidad; de registros públicos, listas de sanciones y fuentes legalmente accesibles; de redes blockchain; y del dispositivo o canal utilizado.

Cuando los datos no hayan sido obtenidos directamente del titular, Manda informará su fuente en el primer contacto o cuando el titular lo solicite, en los casos y con las excepciones previstas por la ley. El cliente que entregue datos de un beneficiario u otra persona debe contar con una base legítima para hacerlo, mantenerlos exactos e informarle sobre su tratamiento. Manda podrá proporcionar al beneficiario un aviso directo o un medio de acceso a esta política cuando resulte razonable.

5 Finalidades del tratamiento

Manda podrá tratar los datos para las siguientes finalidades necesarias o vinculadas al servicio:

• crear y administrar el registro, verificar identidad, edad, residencia, representación y beneficiario final;

• evaluar elegibilidad, riesgo, límites y disponibilidad de productos, países, monedas y corredores;

• preparar cotizaciones y ejecutar el mandato y las órdenes, incluyendo pay in, conversión a stablecoins o criptoactivos, transferencia o liquidación, conversión a moneda local, payout, devolución y conciliación;

• validar cuentas, medios de pago, wallets, direcciones y datos del beneficiario;

• prevenir fraude, suplantación, abuso, ciberataques, lavado de activos, financiamiento del terrorismo, evasión de sanciones y otros delitos;

• aplicar debida diligencia, monitoreo transaccional, análisis blockchain, listas de sanciones y reglas de viaje cuando correspondan;

• atender soporte, incidentes, reclamos, contracargos, disputas, devoluciones y solicitudes de derechos;

• mantener registros contables, contractuales, de auditoría, seguridad y cumplimiento;

• cumplir obligaciones legales, regulatorias, tributarias y requerimientos válidos de autoridades;

• mejorar la seguridad, estabilidad, experiencia y desempeño de los canales, utilizando información agregada o anonimizada cuando sea posible; y

• defender derechos, investigar incumplimientos y gestionar procesos administrativos, arbitrales o judiciales.

Con autorización separada cuando sea necesaria, Manda también podrá enviar novedades, promociones, encuestas o información comercial; personalizar comunicaciones; y utilizar cookies o tecnologías no esenciales. Negarse o revocar estas autorizaciones no afectará las comunicaciones operativas ni el acceso a funciones que no dependan de ellas.

6 Datos biométricos y otros datos sensibles

La biometría, incluida la imagen facial utilizada para verificar identidad o prueba de vida, puede constituir un dato sensible. Manda solicitará un consentimiento escrito o electrónico específico cuando sea exigible y conservará evidencia de su otorgamiento. La captura podrá ser procesada por Manda o por proveedores especializados para comprobar identidad, detectar suplantación y cumplir obligaciones de seguridad y prevención de delitos financieros.

Manda limitará el tratamiento biométrico a las finalidades informadas y aplicará controles reforzados. Cuando sea técnicamente posible, priorizará plantillas o resultados de validación en lugar de conservar material biométrico completo. Si el titular no proporciona un dato indispensable, Manda podrá no completar el alta o no ejecutar la operación; cuando exista una alternativa legal y razonable, se informará su disponibilidad.

7 Verificación perfiles y decisiones automatizadas

Manda, Koywe o sus proveedores pueden utilizar reglas y sistemas automatizados para verificar documentos y biometría, detectar fraude, comparar listas, analizar comportamiento, asignar niveles de riesgo y decidir si una operación requiere revisión, información adicional, límites, demora o rechazo.

Estas evaluaciones pueden afectar el acceso o la velocidad del servicio. Cuando una decisión produzca efectos jurídicos o significativamente similares y la ley lo exija, el titular podrá solicitar información comprensible sobre sus criterios generales, presentar observaciones y pedir revisión humana, salvo que exista una obligación de reserva, una prohibición legal o un riesgo para una investigación.

8 Participación de Koywe y sus proveedores

Manda utiliza los servicios de Koywe SpA, en adelante “Koywe”, para procesar las operaciones habilitadas. Para verificar, cotizar, ejecutar, conciliar, devolver o investigar una operación, Manda podrá compartir con Koywe los datos estrictamente necesarios de clientes, representantes, beneficiarios y operaciones.

Cuando sea exigible, Manda solicitará al titular una autorización para que Koywe trate y comunique esos datos a las entidades que integren su infraestructura, tales como entidades financieras, proveedores de servicios de pago, proveedores de liquidez, custodios, plataformas de activos digitales, proveedores de verificación de identidad, análisis blockchain, prevención de fraude, alojamiento tecnológico y comunicaciones. Koywe podrá utilizar proveedores distintos según el país, corredor, moneda, riel, disponibilidad y exigencias regulatorias.

Koywe y sus proveedores podrán actuar como encargados de Manda, subencargados o responsables independientes, según la función que desempeñen y la ley aplicable. Manda exigirá obligaciones de confidencialidad, seguridad, finalidad y protección de datos cuando corresponda y continuará siendo el punto de contacto del cliente, sin impedir que un titular ejerza derechos directamente ante un responsable independiente.

9 Otros destinatarios

Además de Koywe y su infraestructura, los datos podrán comunicarse, en la medida necesaria, a proveedores de nube, ciberseguridad, comunicaciones, soporte, auditoría, asesoría profesional y almacenamiento; empresas vinculadas que presten servicios internos; entidades financieras o redes de pago; autoridades judiciales, administrativas, tributarias, policiales o regulatorias; y adquirentes o sucesores en una reorganización, financiamiento, fusión o venta, sujetos a obligaciones de confidencialidad y continuidad.

Manda no vende datos personales. Tampoco autoriza a sus proveedores a utilizarlos para publicidad propia incompatible con las finalidades informadas. Una comunicación podrá realizarse sin consentimiento cuando exista una excepción legal, sea necesaria para ejecutar una relación contractual o mandato, proteger derechos, prevenir fraude o atender un requerimiento válido.

10 Transferencias internacionales

La operación de Manda es transfronteriza. Los datos pueden ser tratados desde países distintos al país del titular cuando Koywe, sus proveedores, redes, entidades financieras o proveedores tecnológicos se encuentren o utilicen infraestructura en el extranjero. La transferencia se limitará a la finalidad que la justifica y será informada al titular.

Manda utilizará los mecanismos permitidos por la legislación aplicable, tales como decisiones de adecuación, contratos de encargo, cláusulas contractuales de protección de datos, consentimiento cuando corresponda y excepciones legales. Los receptores deberán aplicar un nivel de protección adecuado, respetar las instrucciones y finalidades comunicadas y mantener medidas de seguridad razonables. Manda documentará los flujos transfronterizos y realizará las inscripciones o comunicaciones regulatorias que correspondan.

11 Datos en redes blockchain

Las redes blockchain pueden registrar de manera pública, distribuida e inmutable direcciones de wallet, hashes, importes, activos, fecha, hora y otros metadatos. Manda procurará no publicar nombres, documentos u otros identificadores directos en una red pública, pero una dirección o transacción puede asociarse a una persona mediante información adicional.

Por la naturaleza de estas redes, Manda no puede modificar o eliminar registros confirmados que no controla. Las solicitudes de cancelación, oposición o rectificación se atenderán respecto de los sistemas bajo control de Manda; cuando un registro blockchain no pueda alterarse, se aplicarán medidas razonables como bloqueo, disociación o limitación del tratamiento en sistemas internos, cuando proceda.

12 Bancos de datos personales y conservación

Los datos serán incorporados, según su finalidad, a los siguientes bancos de datos personales bajo responsabilidad de Manda. Su identificación y finalidad se mantendrán alineadas con la inscripción vigente ante la Autoridad Nacional de Protección de Datos Personales:

Banco de datos	Finalidad principal
Usuarios y operaciones	Registro, contratación, mandato, cotización, pay in, conversión, liquidación, payout, devoluciones y conciliación.
Seguridad y cumplimiento	Identidad, biometría, autenticación, prevención de fraude, debida diligencia, monitoreo, sanciones y reportes.
Soporte y reclamos	Consultas, incidentes, solicitudes de derechos, reclamos, disputas, contracargos y evidencia de atención.
Prospectos y comunicaciones	Contactos comerciales, preferencias, campañas y medición, únicamente con la base legal o consentimiento aplicable.

La información vinculada al sistema de prevención de lavado de activos y financiamiento del terrorismo, incluidos datos de vinculación, debida diligencia y operaciones, se conservará por un plazo no menor de cinco años o por el plazo superior exigido por otra norma. La información contractual, contable, tributaria, de reclamos, seguridad y defensa de derechos se mantendrá durante la relación y los plazos legales de prescripción, fiscalización o controversia aplicables.

Los datos tratados únicamente con consentimiento para fines comerciales se conservarán hasta su revocación, oposición o el vencimiento del periodo definido por Manda conforme a la ley. Después, los datos serán eliminados, anonimizados o bloqueados, salvo copias de respaldo temporales, deberes de conservación, investigaciones, litigios o registros blockchain que no puedan modificarse.

13 Seguridad y gestión de incidentes

Manda aplica medidas legales, organizativas y técnicas proporcionales al riesgo, que pueden incluir control de accesos, autenticación, cifrado en tránsito y reposo cuando corresponda, segregación de ambientes, registros de actividad, gestión de vulnerabilidades, copias de seguridad, capacitación, evaluación de proveedores, continuidad y respuesta a incidentes.

Ningún sistema es completamente invulnerable. Si ocurre un incidente que comprometa datos personales, Manda investigará, contendrá y documentará el evento, adoptará medidas correctivas y notificará a la autoridad y a las personas afectadas cuando la ley lo exija. La comunicación describirá, en la medida permitida, la naturaleza del incidente, sus posibles consecuencias y las medidas recomendadas.

14 Derechos de los titulares

El titular puede ejercer los derechos reconocidos por la ley aplicable, incluidos información, acceso, actualización, inclusión, rectificación, cancelación o supresión, oposición, revocación del consentimiento y portabilidad cuando corresponda. También puede solicitar revisión de determinadas decisiones automatizadas y limitar comunicaciones comerciales.

La cancelación o revocación no será retroactiva y puede no proceder respecto de información que deba conservarse para cumplir obligaciones legales, ejecutar o acreditar operaciones, atender reclamos, prevenir fraude o defender derechos. En esos casos, Manda podrá bloquear o limitar el uso de la información a las finalidades que justifiquen su conservación.

15 Procedimiento para ejercer derechos

Las solicitudes pueden enviarse a hola@mandapagos.com, al WhatsApp o teléfono +51 906 992 680 o mediante los canales oficiales de Manda. Deben incluir nombre completo, documento o medio de verificación equivalente, derecho solicitado, petición concreta, correo o domicilio para recibir respuesta y, cuando corresponda, documentos de sustento o representación.

Manda confirmará la recepción, podrá solicitar información razonable para verificar identidad y responderá en los plazos legales aplicables. Conforme al régimen peruano, el plazo máximo es de ocho días hábiles para información, veinte días hábiles para acceso y diez días hábiles para rectificación, cancelación u oposición, sin perjuicio de subsanaciones, ampliaciones permitidas y plazos locales más favorables.

Si el titular considera que su solicitud no fue atendida adecuadamente, puede acudir a la Autoridad Nacional de Protección de Datos Personales del Perú o a la autoridad competente de su país. El ejercicio de derechos es gratuito, salvo los supuestos expresamente autorizados por ley.

16 Beneficiarios y datos de terceros

Para ejecutar una orden, el cliente puede proporcionar datos de un beneficiario, representante, cónyuge, beneficiario final u otra persona. El cliente debe limitar la entrega a información correcta y necesaria, contar con autorización o una base legal válida y no utilizar Manda para obtener o comunicar datos de terceros de forma ilícita.

Manda tratará los datos del beneficiario para validar su identidad y elegibilidad, ejecutar el payout, prevenir fraude, cumplir obligaciones legales, atender devoluciones y resolver reclamos. Si el beneficiario contacta a Manda, podrá solicitar información sobre la fuente y ejercer sus derechos, sujeto a las reservas y obligaciones aplicables.

17 Niños niñas y adolescentes

Manda no permite que menores de edad abran una cuenta o actúen como clientes. Si detecta que recopiló datos de un menor sin base legal o representación válida, los eliminará o bloqueará conforme corresponda. Los datos de un menor que sea beneficiario solo se tratarán cuando la operación sea legal, necesaria y cuente con la intervención o autorización exigida de su representante.

18 Cookies y tecnologías similares

Los sitios, aplicaciones y canales digitales de Manda pueden utilizar cookies, SDK, almacenamiento local y tecnologías similares para mantener sesiones, recordar preferencias, autenticar, prevenir fraude, medir desempeño y entender el uso del servicio. Las tecnologías estrictamente necesarias podrán activarse para prestar y proteger el servicio.

Las tecnologías de analítica, personalización o publicidad no esenciales se utilizarán con el consentimiento exigido y podrán configurarse o rechazarse mediante el mecanismo disponible. Deshabilitar tecnologías necesarias puede impedir algunas funciones. Cuando corresponda, Manda publicará un aviso o política de cookies con información más detallada sobre duración, proveedor y finalidad.

19 Comunicaciones

Manda puede enviar confirmaciones, alertas de seguridad, solicitudes de información, cambios operativos, comprobantes y mensajes necesarios por correo, WhatsApp, SMS, notificaciones u otros canales registrados. Estas comunicaciones son parte del servicio y no se consideran publicidad.

Las promociones, campañas o prospección comercial requerirán el consentimiento que corresponda. El titular podrá negarse, revocarlo u oponerse mediante un enlace de baja, la configuración disponible o los canales de privacidad, sin costo y sin afectar mensajes operativos o legales.

20 Enlaces y servicios de terceros

Los canales de Manda pueden incluir enlaces o integraciones con servicios externos. Cuando el titular abandone un entorno controlado por Manda o contrate directamente con un tercero, el tratamiento quedará sujeto a la política de ese tercero. Manda no controla las prácticas independientes de esos servicios, aunque procurará seleccionar proveedores con estándares adecuados.

21 Cambios a esta política

Manda podrá actualizar esta política por cambios legales, regulatorios, tecnológicos, de proveedores, países, productos o medidas de seguridad. La versión vigente indicará su fecha de actualización. Los cambios materiales se comunicarán por los canales disponibles con la anticipación exigida y, si implican una nueva finalidad que requiera consentimiento, se solicitará una autorización adicional antes de iniciar el tratamiento.

22 Contacto de privacidad

El punto de contacto para consultas, revocaciones y ejercicio de derechos es Manda, en Av. Mariscal Ramón Castilla 618, Urb. Las Magnolias, Santiago de Surco, Lima, Perú; correo electrónico hola@mandapagos.com; WhatsApp o teléfono +51 906 992 680. Cuando corresponda legalmente, este canal coordinará con el Oficial de Datos Personales designado por Manda.

Esta política debe leerse junto con los Términos y Condiciones de Manda, la cotización aceptada y los avisos o consentimientos específicos mostrados durante el registro o una operación. En caso de contradicción, prevalecerá la norma imperativa aplicable y, respecto de una finalidad concreta, el aviso más específico comunicado al titular.