POLÍTICA DE TRATAMIENTO DE DATOSPERSONALES Y CONFIDENCIALIDAD — ORBICHAIN

1.1. Esta Política establece los lineamientos para la recolección, almacenamiento, uso, circulación, transmisión, transferencia y supresión de los datos personales tratados por NOVACODIFY S.A.S. ("NOVACODIFY") en desarrollo del ecosistema tecnológico Orbichain, del cual es titular y único operador. Orbichain es una marca y no una persona jurídica.

1.2. Se rige por la Constitución Política (arts. 15 y 20), la Ley 1581 de 2012, el Decreto 1074 de 2015 (que compila el Decreto 1377 de 2013), la Ley 1266 de 2008 en lo pertinente, y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

1.3. Esta Política sustituye íntegramente cualquier versión anterior.

Autorización: consentimiento previo, expreso e informado del Titular para el tratamiento de sus datos.

Aviso de privacidad: comunicación que informa al Titular sobre la existencia de esta Política y las finalidades del tratamiento.

Base de datos: conjunto organizado de datos personales objeto de tratamiento.

Dato personal: información vinculada o asociable a una persona natural determinada o determinable.

Dato sensible: aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación; incluye los datos biométricos.

Encargado del Tratamiento: quien trata datos por cuenta del Responsable.

Responsable del Tratamiento: NOVACODIFY S.A.S.

Titular: persona natural cuyos datos son objeto de tratamiento (el Usuario de Orbichain).

Transferencia: envío de datos a un receptor que también es Responsable, dentro o fuera de Colombia.

Transmisión: envío de datos a un Encargado para que los trate por cuenta del Responsable.

NOVACODIFY aplica los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (art. 4, Ley 1581 de 2012). Recolecta únicamente los datos necesarios y proporcionales a las finalidades declaradas.

4.1. Menores de edad. Orbichain no está dirigido a menores de dieciocho (18) años y no recolecta deliberadamente sus datos. Detectado un registro de menor, sus datos se suprimirán, salvo obligación legal de conservación, y se cerrará la cuenta.

4.2. Datos no recolectados. NOVACODIFY no trata datos sobre origen étnico o racial, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, datos de salud ni datos sobre la vida sexual del Titular.

Los datos se tratan exclusivamente para las siguientes finalidades. Cualquier finalidad no listada requerirá autorización adicional y específica.

5.1. Prestación del servicio: crear y administrar la Cuenta Orbichain; ejecutar Permutas, Envíos Externos y transferencias OrbiTag; reflejar la Posición en Activos Virtuales; transmitir al proveedor tercero autorizado las instrucciones de conversión del Usuario; emitir facturas; administrar Niveles Orbichain y el Programa de Referidos Directos.

5.2. Identificación, seguridad y prevención del fraude: verificar la identidad mediante validación documental y biométrica; detectar suplantación, cuentas múltiples y autorreferidos; detectar accesos no autorizados y actividad anómala; administrar los factores de autenticación.

5.3. Cumplimiento normativo: ejecutar la debida diligencia de conocimiento del cliente; consultar listas restrictivas y condición de PEP; realizar monitoreo transaccional y análisis de cadena; elaborar y remitir a la UIAF los reportes que resulten aplicables, incluidos los de operaciones sospechosas; atender requerimientos de autoridad competente.

5.4. Cumplimiento tributario y contable: cumplir obligaciones de facturación, reporte y conservación ante la DIAN.

5.5. Soporte y relación con el Titular: atender consultas, peticiones, quejas y reclamos; enviar comunicaciones transaccionales y de seguridad (confirmaciones, alertas de acceso, avisos de cambios en los Términos), inherentes al servicio y no desactivables mientras la cuenta esté activa.

5.6. Mejora del servicio: analizar de forma agregada y disociada el uso de la Plataforma para mejorar funcionalidades y corregir errores.

5.7. Comunicaciones comerciales — opcional y revocable: enviar información sobre nuevas funcionalidades, contenidos educativos y beneficios. Requiere autorización separada, es opcional, su negativa no afecta el servicio, y es revocable en cualquier momento desde la Plataforma o en legal@orbichain.com.

5.8. Finalidades expresamente excluidas. NOVACODIFY NO tratará los datos del Titular para: elaborar, vender, ceder o licenciar perfiles crediticios o scores de comportamiento a terceros; comercializar bases de datos; ceder datos a terceros para sus propias finalidades comerciales; ni usar datos biométricos para fin distinto de la verificación de identidad y la prevención del fraude.

6.1. El suministro de datos sensibles es facultativo (art. 6, Ley 1581 de 2012).

6.2. La validación biométrica es el medio con el cual NOVACODIFY cumple su deber de identificación. Sin ella no puede prestar el servicio ni habilitar operaciones. Esto no es una sanción, sino la imposibilidad material de cumplir una obligación legal.

6.3. La autorización para el tratamiento de datos biométricos se recaba mediante casilla independiente y específica, informando su carácter sensible y facultativo.

6.4. Los datos biométricos se usan únicamente para verificar la identidad y prevenir la suplantación. No se usan para publicidad ni segmentación, ni se ceden a terceros con fines comerciales.

6.5. Se cifran en tránsito y en reposo, se almacenan de forma separada, y su acceso está restringido a personal autorizado bajo registro de auditoría.

NOVACODIFY se apoya en terceros que reciben únicamente los datos necesarios para su función, bajo contrato que les impone confidencialidad, seguridad y uso limitado.

7.1. Proveedor de conversión. Al utilizar el Servicio de Conversión, el Titular entabla una relación directa con dicho proveedor, que actúa como Responsable independiente respecto de los datos que recolecta y cuya política de privacidad el Titular deberá aceptar. NOVACODIFY no responde por el tratamiento que ese proveedor realice bajo su propia responsabilidad.

8.1. Algunos Encargados están domiciliados fuera de Colombia; en consecuencia, los datos del Titular pueden ser transmitidos internacionalmente.

8.2. Base de legitimación: (i) la autorización expresa e informada del Titular; (ii) contratos de transmisión que imponen al Encargado los deberes del art. 25 del Decreto 1074 de 2015; y (iii) cuando aplique, que el país receptor sea considerado de nivel adecuado de protección por la SIC.

8.3. NOVACODIFY conserva la calidad de Responsable y responde ante el Titular por el tratamiento que sus Encargados realicen por su cuenta.

El Titular tiene derecho a: conocer y acceder gratuitamente a sus datos; actualizar y rectificar datos inexactos o incompletos; solicitar prueba de la autorización; ser informado sobre el uso dado a sus datos; presentar quejas ante la SIC, agotando previamente el trámite ante NOVACODIFY; y revocar la autorización y solicitar la supresión, con las limitaciones del numeral 10.

10.1. La revocatoria y la supresión no proceden mientras subsista un deber legal o contractual de conservar la información, en particular el derivado de la normativa de prevención de lavado de activos y de las obligaciones comerciales y tributarias.

10.2. Durante ese término, los datos se mantienen en bloqueo: se conservan a disposición exclusiva de las autoridades competentes y no se usan para ninguna otra finalidad.

10.3. Cumplido el término legal, los datos se suprimen o anonimizan de forma irreversible.

10.4. La revocatoria de las finalidades opcionales del numeral 5.7 procede en cualquier momento, es inmediata y no afecta el servicio.

11.1. Canal: solicitud a legal@orbichain.com o desde la sección de privacidad de la Plataforma.

11.2. Contenido: nombre completo, número de documento, correo registrado, descripción clara de los hechos y del derecho que se ejerce.

11.3. Plazos:

Consulta — Respuesta: 10 días hábiles — Prórroga: Hasta 5 días hábiles adicionales, informando el motivo

Reclamo — Respuesta: 15 días hábiles — Prórroga: Hasta 8 días hábiles adicionales, informando el motivo

11.4. Reclamo incompleto: NOVACODIFY requerirá al Titular dentro de los cinco (5) días siguientes para subsanar; transcurridos dos (2) meses sin respuesta, se entenderá desistido.

11.5. Anotación: recibido el reclamo, se incluirá en la base de datos la leyenda "reclamo en trámite" dentro de los dos (2) días hábiles siguientes, hasta su decisión.

12.1. Deber de confidencialidad. NOVACODIFY, su personal, sus contratistas y sus Encargados están obligados a mantener la confidencialidad de los datos personales y de toda información del Usuario a la que accedan con ocasión del servicio. Esta obligación subsiste indefinidamente, aun después de terminada la relación con el Usuario o el vínculo laboral o contractual del personal involucrado.

12.2. Alcance. La información del Usuario solo podrá ser divulgada: (a) al propio Usuario; (b) a las autoridades competentes que la requieran conforme a la ley; (c) a los Encargados, en la medida estrictamente necesaria para prestar el servicio; y (d) cuando el Usuario lo autorice expresamente. Ninguna otra divulgación está permitida.

12.3. Medidas de seguridad. NOVACODIFY implementa medidas técnicas, humanas y administrativas razonables para proteger la información contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, incluyendo: cifrado en tránsito y en reposo; control de acceso por rol bajo principio de mínimo privilegio; autenticación multifactor para acceso administrativo; registros de auditoría sobre datos sensibles; acuerdos de confidencialidad con personal y Encargados; copias de respaldo; y capacitación periódica del personal.

12.4. Responsabilidad compartida del Usuario. La seguridad de la información depende también del Usuario, quien es responsable de la custodia de sus credenciales, de usar dispositivos seguros y de no compartir sus datos de acceso, conforme a los Términos y Condiciones.

12.5. Incidentes. Ante un incidente que afecte datos personales, NOVACODIFY lo reportará a la SIC en los términos y plazos exigidos, e informará a los Titulares afectados cuando el incidente pueda comprometer sus derechos.

13.1. Esta Política rige desde el 01 julio de 2026 y sustituye cualquier versión anterior.

13.2. Las bases de datos se mantendrán vigentes mientras sea necesario para las finalidades declaradas y durante los términos legales de conservación.

13.3. NOVACODIFY podrá modificar esta Política; los cambios sustanciales se comunicarán con quince (15) días calendario de antelación a través de la Plataforma y del correo registrado. Todo cambio que implique una nueva finalidad requerirá nueva autorización.