República de Panamá · Compromiso de tratamiento
Cómo tratamos sus datos
Va a confiarnos la información de sus clientes. Es razonable que quiera saber exactamente dónde acaba, quién puede verla y qué no hacemos con ella. Aquí está, con nombres concretos y sin generalidades.
Esta página no sustituye a nuestra política de privacidad. Aquella recoge obligaciones legales; esta explica cómo las cumplimos.
Dónde están sus datos
En infraestructura europea, sujeta al Reglamento General de Protección de Datos de la Unión Europea.
| Proveedor | Para qué | Dónde |
|---|---|---|
| Railway | Aplicación, base de datos y motor de cribado | Ámsterdam, Países Bajos · UE |
| Cloudflare R2 | Documentos de identificación y expedientes | Europa Occidental · UE |
| Postmark | Envío de los formularios al cliente final | Estados Unidos |
| Anthropic | Apoyo analítico sobre información agregada | Estados Unidos |
Dos de esos proveedores tratan datos en Estados Unidos y se lo decimos de frente, porque es lo primero que le va a preguntar cualquier asesor. Al de correo solo le llegan el nombre y la dirección del destinatario; el código de acceso viaja por un canal distinto. Al de apoyo analítico solo le llega información agregada —recuentos, porcentajes e indicadores—, nunca nombres, documentos de identidad, domicilios ni fechas de nacimiento.
Bajo qué instrumento salen de Panamá
La Ley 81 de 2019 y su reglamento, el Decreto Ejecutivo 285 de 2021, regulan cuándo pueden transferirse datos personales fuera del país.
El artículo 51 admite la transferencia, entre otros supuestos, cuando el responsable ofrece y prueba garantías adecuadas. Y el artículo 53 dice cuáles son. La primera de la lista:
«Las cláusulas contractuales suscritas entre el exportador y el destinatario que ofrezcan garantías suficientes y que permitan demostrar el alcance del tratamiento de los datos personales, las obligaciones y responsabilidades asumidas por las partes y los derechos de los titulares.»
Ese es el instrumento que utilizamos. Antes de tratar un solo dato real se firma un contrato de encargo que detalla el alcance, los proveedores, las medidas de seguridad y los derechos de los titulares. No dependemos de que ninguna autoridad publique una lista de países adecuados — el contrato existe con independencia de eso.
La autoridad de control en Panamá es la Autoridad Nacional de Transparencia y Acceso a la Información, a través de su Dirección de Protección de Datos Personales.
Lo que no hacemos con sus datos
Es más fácil confiar en una lista de negativas concretas que en una declaración de buenas intenciones.
No los vendemos ni los cedemos
A nadie, en ningún supuesto, ni de forma agregada ni anonimizada.
No los usamos para entrenar modelos
El proveedor de inteligencia artificial asume contractualmente no emplear las entradas ni las salidas para entrenar sus modelos.
No los enriquecemos con fuentes comerciales
No cruzamos su cartera con bases de datos de terceros para completar perfiles.
No los usamos con fines comerciales ni estadísticos
La finalidad es única: cumplir las obligaciones de prevención de blanqueo que le corresponden a usted.
No dependemos de un proveedor externo de listas
Las listas de sanciones, personas con responsabilidad pública y prensa adversa son de elaboración propia a partir de fuentes públicas oficiales. Sus clientes no viajan hacia ningún vendedor de datos.
Cómo los protegemos
- Cifrado en reposo — base de datos y documentos, con estándar AES-256 en el almacenamiento documental.
- Cifrado en tránsito — todas las comunicaciones por HTTPS/TLS, incluida la conexión con la base de datos.
- Contraseñas — almacenadas con algoritmos de hash robustos. Nunca en texto legible.
- Aislamiento entre clientes — arquitectura multiinquilino: cada entidad accede únicamente a sus propios datos.
- Acceso por roles — con el principio de mínimo privilegio, y documentos accesibles solo desde la aplicación autenticada.
- Formularios de un solo uso — con caducidad y código de acceso enviado por canal distinto.
- Copias de seguridad — automáticas y periódicas, con procedimiento de restauración.
Disponemos de un informe de seguridad e infraestructura actualizado que facilitamos a cualquier cliente que lo solicite.
Qué pasa cuando termina la relación
Le entregamos todo en el plazo de quince días naturales, en formato electrónico estándar y legible: la totalidad de los expedientes y la documentación generada.
Después lo suprimimos de nuestros sistemas y de las copias existentes, y se lo certificamos por escrito.
La obligación de conservar la documentación durante el plazo que le exija la norma es suya como sujeto obligado y no la asumimos por usted. La entrega tiene precisamente por objeto que pueda cumplirla.
¿Le queda alguna duda?
Si su asesor legal quiere revisar el contrato de encargo antes de que firme nada, se lo enviamos. Preferimos esa conversación antes que después.