Política de Tratamiento de Datos Personales

1. Responsable del Tratamiento

La presente Política aplica a todo Titular de datos personales cuya información sea tratada por:

La Empresa actúa como Responsable del Tratamiento de los datos personales recolectados a través de la aplicación móvil myLuks, sus sitios web y demás canales digitales operados por la Empresa.

2. Marco normativo aplicable

• Artículo 15 de la Constitución Política de Colombia — derecho fundamental al habeas data.
• Ley 1581 de 2012 — Régimen General de Protección de Datos Personales.
• Decreto 1377 de 2013 — reglamentación parcial de la Ley 1581.
• Decreto Único Reglamentario 1074 de 2015 — Sector Comercio, Industria y Turismo.
• Ley 1266 de 2008 — Hábeas Data Financiero.
• Circular Externa 002 de 2015 de la SIC — Registro Nacional de Bases de Datos.
• Circular Externa 001 de 2025 de la SIC — directrices específicas para fintech.
• Circular Externa 007 de 2018 de la SFC — requisitos mínimos de seguridad para servicios financieros digitales (aplicada como buena práctica).

3. Definiciones

Para efectos de esta Política, y en concordancia con el artículo 3 de la Ley 1581 de 2012 y el Decreto 1377 de 2013, se adoptan las siguientes definiciones:

Autorización:

consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.

Aviso de Privacidad:

comunicación dirigida al Titular para informarle sobre la existencia de las políticas de tratamiento de información aplicables, la forma de acceder a ellas y las finalidades del tratamiento.

Base de Datos:

conjunto organizado de datos personales que sea objeto de Tratamiento.

Dato Personal:

cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato Sensible:

aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como los que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales, y los datos relativos a la salud, a la vida sexual y los biométricos (Ley 1581 de 2012, art. 5). myLuks no recolecta datos sensibles.

Encargado del Tratamiento:

persona natural o jurídica que, por sí misma o en asocio con otros, realiza el Tratamiento de datos personales por cuenta del Responsable.

Responsable del Tratamiento:

la persona natural que opera myLuks, identificada en la sección 1, que decide sobre la base de datos y/o el Tratamiento de los datos.

Titular:

la persona natural cuyos datos personales son objeto de Tratamiento; equivale al Usuario de la Aplicación.

Tratamiento:

cualquier operación sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

Transferencia internacional de datos:

el envío de datos personales por el Responsable o el Encargado a un receptor que a su vez es Responsable del Tratamiento, ubicado dentro o fuera del país.

Transmisión internacional de datos:

el Tratamiento de datos personales que implica su comunicación dentro o fuera de Colombia, cuando tenga por objeto un Tratamiento por el Encargado por cuenta del Responsable.

4. Datos personales recolectados

Para prestar los servicios de la aplicación, myLuks recolecta y trata las siguientes categorías de datos personales:

5. Finalidades del tratamiento

Los datos personales recolectados serán tratados con las siguientes finalidades:

• Crear, autenticar y administrar la Cuenta del Usuario.
• Capturar y mantener actualizada la información de las transacciones que llegan al Gmail conectado por el Usuario o que este autoriza leer por notificación.
• Categorizar transacciones, detectar suscripciones recurrentes y anomalías de gasto, y generar reportes y predicciones financieras.
• Calcular y entregar el puntaje Luks Score, incluido el manejo de la deuda de tarjetas de crédito a partir de sus extractos y pagos (hasta 400 días atrás).
• Brindar el servicio de coach conversacional Luks (con autorización separada para el uso de IA, pedida antes del primer uso y revocable; ver 4.5).
• Procesar pagos del Plan Premium.
• Enviar notificaciones transaccionales y de seguridad obligatorias (recuperación de contraseña, verificación de email, alertas de inicio de sesión).
• Enviar notificaciones de producto (anomalías, suscripciones detectadas), conforme a las preferencias del Usuario.
• Mostrar, en el widget de la pantalla de inicio del iPhone que el Usuario decida añadir, el gasto del mes y una reacción de Luks frente a su gasto usual. El widget es visible para cualquiera que vea el teléfono; el Usuario puede ocultar el monto en Perfil → Preferencias → «Ocultar el monto en el widget», o quitar el widget.
• Atender PQRSD y solicitudes de derechos del Titular.
• Cumplir obligaciones legales, contables, tributarias y regulatorias.
• Prevenir fraude, lavado de activos y uso indebido de la plataforma.
• Mostrar productos financieros referidos por terceros (cuando el Usuario haya otorgado consentimiento separado).
• Realizar analítica de uso para mejorar la aplicación (con consentimiento separado para analytics).
• Avisar por correo electrónico del lanzamiento de la aplicación a quienes se registren en la lista de espera de myluks.com (solo correo, ningún otro dato).

6. Base legal del tratamiento

En Colombia, el tratamiento de datos personales se basa en la autorización previa, expresa e informada del Titular (Ley 1581 de 2012, art. 9), salvo los casos en que la ley no la exige (art. 10 de la misma ley). myLuks trata los datos personales así:

7. Datos financieros y autorizaciones separadas

Los movimientos bancarios que myLuks captura (montos, comercios, fechas, entidades y categorías) son datos financieros del Titular. No hacen parte de los datos sensibles que describe el artículo 5 de la Ley 1581, pero myLuks les aplica una protección reforzada: cifrado en tránsito y en reposo, aislamiento de los datos de cada usuario en la base de datos, captura limitada a los campos necesarios y ninguna venta ni cesión a terceros. myLuks no recolecta datos sensibles: el desbloqueo con Face ID o Touch ID lo verifica el propio dispositivo, y myLuks nunca recibe ni guarda datos biométricos.

myLuks pide cada autorización por separado, mediante una acción afirmativa clara:

• Obligatorias para usar el servicio (se piden al registrarse): tratamiento de datos personales y tratamiento de datos financieros.
• Opcionales (se piden solo al activar la función): captura por Gmail, lectura de notificaciones de Nequi, Coach Luks con inteligencia artificial, analítica y desbloqueo con Face ID o Touch ID. Negarse a cualquiera de ellas no impide usar el resto de myLuks.

Cada autorización puede revocarse en cualquier momento desde la configuración de la aplicación o escribiendo a privacidad@myluks.com. Como referencia de buenas prácticas, myLuks sigue el criterio de la Circular Externa 001 de 2025 de la Superintendencia de Industria y Comercio de separar las autorizaciones necesarias de las accesorias, aunque myLuks no presta dinero ni recibe depósitos.

Luks Score (evaluación automática). El Luks Score se calcula automáticamente a partir de los movimientos del Titular. Su base es el manejo de deudas (tendencia del gasto con tarjeta de crédito, puntualidad de los pagos a la tarjeta y constancia a lo largo de varios ciclos) y lo complementan la tasa de ahorro, el cumplimiento de presupuestos, el control del gasto, la estabilidad de los ingresos y el avance de las metas. Es una herramienta informativa para el propio Titular: no es un puntaje de crédito, no se reporta a centrales de riesgo, no se comparte con terceros y myLuks no lo usa para negar ni condicionar ningún servicio. El Titular puede pedir una explicación de su resultado a privacidad@myluks.com.

8. Encargados del Tratamiento

Para la prestación del servicio, myLuks transfiere y transmite datos personales a los siguientes Encargados del Tratamiento, todos los cuales han suscrito o suscribirán acuerdos de tratamiento de datos (DPA) que garantizan estándares equivalentes a los exigidos por la Ley 1581:

9. Transmisión internacional de datos

Los Encargados de la sección 8 tratan los datos por cuenta de myLuks desde fuera de Colombia, principalmente desde Brasil (la base de datos y el servidor de la aplicación se alojan en São Paulo) y desde Estados Unidos. Se trata de una transmisión internacional de datos a Encargados (Decreto 1377 de 2013, arts. 24 y 25).

Ambos países ofrecen un nivel adecuado de protección de datos según los estándares de la Superintendencia de Industria y Comercio: Estados Unidos figura en la lista del numeral 3.2 del Título V de la Circular Única de la SIC, y Brasil fue declarado adecuado por la Comisión Europea mediante la Decisión de Ejecución (UE) 2026/179, criterio que esa misma lista acoge. Además, cada Encargado se obliga por contrato (términos de tratamiento de datos) a tratar los datos solo para prestar su servicio a myLuks, a mantener su seguridad y confidencialidad y a no usarlos para fines propios.

Al aceptar esta Política, el Titular conoce y autoriza de forma expresa esta transmisión a los Encargados y países indicados.

10. Derechos del Titular (Habeas Data)

El Titular tiene los siguientes derechos sobre sus datos personales:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informado sobre el uso que se le ha dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio.
• Revocar la autorización y solicitar la supresión de sus datos personales.
• Acceder gratuitamente a sus datos personales que hayan sido objeto de Tratamiento.
• Solicitar la portabilidad de sus datos personales en formato estructurado y de uso común.

11. Procedimiento para ejercer los derechos

12. Seguridad de la información

myLuks implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales del Titular contra acceso no autorizado, pérdida, alteración o destrucción. Entre dichas medidas se encuentran:

• Cifrado en tránsito mediante TLS 1.3 en todas las comunicaciones cliente-servidor.
• Cifrado en reposo de identificadores sensibles (AES-256-GCM) y hashing irreversible de contraseñas (Argon2id).
• Autenticación basada en JSON Web Tokens firmados con RS256 (claves RSA 2048-bit).
• Bloqueo automático de cuenta tras seis intentos fallidos en treinta minutos.
• Verificación de la firma de los webhooks entrantes y comparación en tiempo constante.
• Aislamiento de privilegios en base de datos mediante rol PostgreSQL con permisos limitados.
• Registro de eventos de seguridad en una tabla de auditoría de solo inserción.
• Respaldos de base de datos gestionados por nuestro proveedor de infraestructura.
• Política de mínimo privilegio en el acceso a datos de producción.

13. Notificación de incidentes de seguridad

En caso de detectarse una brecha o incidente de seguridad que afecte los datos personales de los Titulares, myLuks lo reportará a la Superintendencia de Industria y Comercio y avisará a los Titulares afectados dentro de los quince (15) días hábiles siguientes a su detección, conforme al artículo 17, literal n), de la Ley 1581 de 2012, al Título V de la Circular Única de la Superintendencia de Industria y Comercio y a su Plan de Respuesta a Incidentes interno. El aviso explicará qué ocurrió, qué datos se vieron afectados, qué medidas se tomaron y qué puede hacer el Titular para protegerse.

14. Tiempo de conservación

Los datos personales se conservarán por el tiempo que sea razonable y necesario para cumplir las finalidades del tratamiento, o por el tiempo exigido por la ley. A título informativo:

15. Tratamiento de datos de menores de edad

La aplicación está dirigida exclusivamente a mayores de dieciocho (18) años. myLuks no recolecta intencionalmente datos personales de menores de edad. Si se identifica que un menor se ha registrado, la cuenta será eliminada de inmediato y los datos suprimidos.

16. Cookies y tecnologías de rastreo

El uso de cookies y tecnologías similares en el sitio web y en la aplicación se rige por la «Política de Cookies y Tecnologías de Rastreo», documento que el Titular declara conocer.

17. Habeas Data Financiero y centrales de riesgo

myLuks no consulta centrales de riesgo (como DataCrédito o TransUnion) ni les reporta información del Titular, y no entrega su información financiera a terceros para evaluar su crédito. Si en el futuro ofrece alguna de estas funciones, lo hará solo con una autorización previa, expresa y separada del Titular, conforme a la Ley 1266 de 2008, y actualizará esta Política antes de hacerlo.

18. Registro Nacional de Bases de Datos (RNBD)

Conforme al Decreto 090 de 2018, la inscripción de bases de datos en el RNBD es obligatoria para las sociedades y entidades sin ánimo de lucro cuyos activos totales superen 100.000 UVT y para las personas jurídicas de naturaleza pública; las personas naturales no están obligadas. Mientras myLuks no cumpla esos supuestos, esta obligación no es exigible. No obstante, se mantiene documentación interna de las bases de datos y se realizará el registro tan pronto se cumpla el supuesto.

19. Modificaciones a la Política

myLuks podrá modificar la presente Política. Las modificaciones se publicarán en la aplicación y entrarán en vigor a partir del día indicado en la notificación. Cuando los cambios sean sustanciales, se notificarán con al menos quince (15) días de anticipación al correo registrado.

20. Aceptación

La aceptación de esta Política se otorga mediante autorización previa, expresa e informada al momento del registro y se renueva cada vez que el Usuario acepta una versión actualizada.

Cualquier consulta sobre esta Política puede dirigirse a privacidad@myluks.com.