VISIÓN GENERAL

Kashio Perú S.A.C. reconoce la importancia de la protección de los datos personales y garantiza el cumplimiento de la Ley N.° 29733 – Ley de Protección de Datos Personales, su Reglamento aprobado mediante Decreto Supremo N.° 016-2024-JUS y las normas complementarias vigentes.

ALCANCE Y APLICABILIDAD

La presente Política resulta aplicable al tratamiento de datos personales realizado por Kashio Perú S.A.C. en el desarrollo de sus actividades y prestación de servicios, respecto de los datos personales de sus colaboradores, clientes, usuarios, proveedores, socios comerciales y demás terceros vinculados con la empresa, según corresponda.

Dependiendo de la naturaleza de la relación y del tratamiento realizado, Kashio podrá actuar como responsable o como encargado del tratamiento de datos personales, de conformidad con la Ley N.° 29733, su Reglamento y demás normativa aplicable.

Cuando Kashio actúe como encargado del tratamiento, tratará los datos personales únicamente para las finalidades determinadas por el responsable del tratamiento, de acuerdo con sus instrucciones documentadas y en el marco de los servicios y obligaciones establecidos en el contrato correspondiente.

Cuando Kashio actúe como responsable del tratamiento, determinará las finalidades y medios del tratamiento de los datos personales, cumpliendo con las obligaciones previstas en la normativa aplicable y garantizando los derechos de los titulares.

Esta Política constituye el marco general aplicable al tratamiento de datos personales realizado por Kashio. Las condiciones específicas de cada tratamiento podrán ser desarrolladas en los contratos, avisos de privacidad, consentimientos u otros documentos que correspondan, según la naturaleza del tratamiento y la relación con el titular de los datos personales.

DEFINICIONES:

1. Datos Personales: Toda información sobre una persona natural que la identifica o la hace identificable a través de medios que puedan ser razonablemente utilizados. Se consideran datos personales, entre otros, los nombres y apellidos, documento de identidad, dirección, correo electrónico, número telefónico, datos financieros, laborales y cualquier otra información vinculada a una persona natural identificada o identificable.
2. Titular de Datos Personales: Persona natural a quien corresponden los datos personales objeto de tratamiento.
3. Tratamiento de Datos Personales: Cualquier operación o conjunto de operaciones, automatizadas o no, que se realicen sobre datos personales o conjuntos de datos personales.
4. Responsable del Tratamiento: Persona natural o jurídica que decide sobre el tratamiento de los datos personales, aun cuando estos no se encuentren contenidos en un banco de datos personales.
5. Encargado del Tratamiento: Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable del tratamiento, de acuerdo con las instrucciones y finalidades determinadas por este.
6. Oficial de Datos Personales: Persona designada por el responsable o encargado del tratamiento para la verificación, asesoramiento e implementación del cumplimiento del régimen jurídico sobre protección de datos personales.
7. Banco de Datos Personales: Conjunto organizado de datos personales, automatizado o no, independientemente del soporte, forma o modalidad de su creación, almacenamiento, organización y acceso, que permita relacionar los datos entre sí y procesarlos para una finalidad determinada.
8. Datos Sensibles: Datos personales constituidos, entre otros, por información relativa a datos genéticos o biométricos, datos neuronales, datos morales o emocionales, hechos o circunstancias de la vida afectiva o familiar, hábitos personales que correspondan a la esfera más íntima, afiliación sindical, salud física o mental, así como otros datos análogos que afecten la intimidad del titular.
9. Consentimiento: Manifestación de voluntad libre, previa, expresa, inequívoca e informada mediante la cual el titular de los datos personales autoriza el tratamiento de sus datos para una finalidad determinada.
10. Transferencia de Datos Personales: Toda transmisión, suministro o manifestación de datos personales, de carácter nacional o internacional, realizada a otra persona natural o jurídica o entidad pública, de conformidad con la normativa aplicable.
11. Incidente de Seguridad de Datos Personales: Toda vulneración de la seguridad que ocasione la destrucción, pérdida, alteración ilícita de los datos personales o la comunicación o exposición no autorizada a dichos datos.
12. Anonimización: Procedimiento mediante el cual los datos personales son tratados de forma que se impide la identificación o que el titular pueda ser identificado, siendo dicho procedimiento irreversible.
13. Disociación: Procedimiento mediante el cual se impide la identificación o que el titular pueda ser identificado, siendo dicho procedimiento reversible.
14. Tercero: Persona natural, persona jurídica de derecho privado o entidad pública distinta del titular de los datos personales, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa de aquellos.

PRINCIPIOS RECTORES DEL TRATAMIENTO DE DATOS PERSONALES

El tratamiento de datos personales en Kashio se rige por los siguientes principios aplicables a Kashio y a sus socios comerciales:

1. Legalidad: Los datos son tratados de acuerdo con la normativa vigente.
2. Finalidad: Los datos solo serán tratados para fines legítimos y explícitos.
3. Consentimiento: El tratamiento de datos personales se realizará con el consentimiento previo, expreso, inequívoco e informado del titular cuando este sea exigido por la normativa aplicable.
4. Proporcionalidad: Se recolectarán solo los datos estrictamente necesarios para las finalidades declaradas.
5. Seguridad: Se implementarán medidas legales, técnicas y organizativas que garanticen la confidencialidad, integridad y disponibilidad de los datos.
6. Transparencia: Los titulares tendrán acceso a información clara, suficiente y oportuna respecto del tratamiento de sus datos personales.
7. Calidad: Los datos personales tratados deberán ser veraces, exactos y, cuando corresponda, actualizados.
8. Nivel de Protección Adecuado: Kashio adoptará medidas técnicas, organizativas y legales destinadas a garantizar un nivel de protección adecuado para los datos personales tratados.
9. Responsabilidad Proactiva: Kashio promoverá la adopción de medidas destinadas a garantizar y demostrar el cumplimiento de la normativa de protección de datos personales.

GOBERNANZA Y RESPONSABILIDADES

La protección de datos personales constituye una responsabilidad compartida de las distintas áreas de Kashio, de acuerdo con las funciones y responsabilidades que correspondan a cada una de ellas.

Kashio ha designado como Oficial de Datos Personales al Sr. Victor A. Castillo, quien tiene a su cargo las funciones de verificación, asesoramiento y supervisión del cumplimiento de la normativa aplicable en materia de protección de datos personales. Para consultas relacionadas con el tratamiento de datos personales o el ejercicio de los derechos reconocidos por la normativa, los titulares podrán contactarlo a través del siguiente correo electrónico: soporte@kashio.net.

Las áreas que participen en el tratamiento de datos personales deberán adoptar las medidas necesarias para garantizar el cumplimiento de la normativa vigente, de la presente Política y de las demás políticas y procedimientos internos aplicables.

Todo colaborador, trabajador, consultor, tercero autorizado o socio comercial que participe en el tratamiento de datos personales deberá mantener la confidencialidad de la información a la que tenga acceso y cumplir las obligaciones establecidas en sus respectivos contratos, acuerdos y demás documentos aplicables.

Los colaboradores, socios comerciales, proveedores y terceros que intervengan en actividades de tratamiento de datos personales deberán cumplir con las disposiciones de la presente Política en aquello que les resulte aplicable, así como con las obligaciones establecidas en la normativa vigente y en los acuerdos celebrados con Kashio.

TRATAMIENTO DE DATOS PERSONALES

Kashio podrá tratar datos personales en el desarrollo de sus actividades y en la prestación de sus servicios, de acuerdo con la naturaleza de la relación que mantenga con el titular de los datos y con el rol que corresponda a Kashio en cada tratamiento.

Los datos personales podrán incluir, según corresponda, datos de identificación y contacto, información laboral o profesional, información contractual, información financiera y transaccional, así como aquella otra información que resulte necesaria para las finalidades correspondientes y permitidas por la normativa aplicable.

Los datos personales podrán ser obtenidos directamente de sus titulares o, cuando corresponda, de clientes, proveedores, socios comerciales, terceros u otras fuentes legítimas, de acuerdo con la naturaleza del tratamiento y la normativa aplicable. Cuando corresponda, Kashio informará la fuente de obtención de los datos en los términos establecidos por la normativa aplicable.

Las finalidades del tratamiento podrán comprender, según corresponda: (i) la prestación y gestión de los servicios contratados; (ii) la gestión de las relaciones comerciales y contractuales; (iii) la ejecución y procesamiento de operaciones de pago, recaudo o dispersión; (iv) la atención de consultas, solicitudes y reclamos; (v) la prevención y detección de fraude y actividades ilícitas; (vi) el cumplimiento de obligaciones legales, regulatorias y contractuales; (vii) la gestión de seguridad de la información y ciberseguridad; y (viii) otras finalidades compatibles con aquellas informadas al titular.

Cuando Kashio actúe como encargado del tratamiento, las finalidades y condiciones específicas del tratamiento serán determinadas por el responsable y estarán establecidas en el contrato correspondiente o en las instrucciones documentadas aplicables.

Cuando Kashio obtenga directamente los datos personales del titular, proporcionará la información correspondiente sobre el tratamiento de acuerdo con la normativa aplicable y, cuando corresponda, recabará el consentimiento requerido.

Cuando Kashio actúe como responsable del tratamiento, la identidad y domicilio o dirección de contacto de Kashio Perú S.A.C. serán informados a los titulares de los datos personales a través de los canales y documentos correspondientes, de conformidad con la normativa aplicable.

Los titulares de datos personales pueden ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO) ante Kashio. Para conocer los requisitos, procedimiento y canales de atención, así como acceder al formulario de solicitud, consulte nuestra “Guía para el Ejercicio de los Derechos ARCO”, disponible en nuestro sitio web.

TRANSFERENCIAS Y ENCARGADOS DE TRATAMIENTO

Para la prestación de sus servicios y el desarrollo de sus actividades, Kashio podrá contratar o utilizar proveedores tecnológicos, plataformas de almacenamiento, servicios de infraestructura, herramientas de gestión documental, firma electrónica, comunicaciones y otros servicios relacionados con su operación, que podrán acceder o tratar datos personales cuando resulte necesario para la prestación de los servicios correspondientes.

Cuando corresponda, dichos proveedores actuarán como encargados o subencargados del tratamiento, según la relación y el tratamiento de datos personales de que se trate, y deberán cumplir con las obligaciones de confidencialidad, seguridad y demás disposiciones establecidas en la normativa aplicable y en los acuerdos correspondientes.

Cuando Kashio actúe como encargado del tratamiento por cuenta de sus clientes, podrá realizar el tratamiento de los datos personales que estos le proporcionen exclusivamente para la prestación de los servicios contratados y de acuerdo con las instrucciones documentadas del responsable del tratamiento, conforme a lo establecido en los respectivos contratos.

Asimismo, determinadas operaciones podrán implicar transferencias nacionales o internacionales de datos personales. Estas se realizarán únicamente cuando resulten necesarias para las finalidades correspondientes y de conformidad con las condiciones, garantías y demás requisitos establecidos por la legislación vigente.

Kashio adoptará las medidas necesarias para que los terceros, encargados y subencargados que participen en el tratamiento de datos personales mantengan un nivel de protección adecuado y cumplan las obligaciones que les resulten aplicables en materia de protección de datos personales y seguridad de la información.

CONSERVACIÓN, ELIMINACIÓN Y DESTRUCCIÓN SEGURA DE DATOS PERSONALES

Kashio conservará los datos personales únicamente durante el tiempo que resulte necesario para cumplir con las finalidades para las cuales fueron recopilados, así como durante los plazos que correspondan en cumplimiento de obligaciones legales, contractuales, regulatorias o para el ejercicio y defensa de derechos.

Una vez cumplidas las finalidades del tratamiento o vencidos los plazos de conservación aplicables, Kashio procederá, según corresponda, a la eliminación, supresión, anonimización o destrucción segura de los datos personales, de acuerdo con sus políticas y procedimientos internos y considerando el medio o soporte en el que se encuentren almacenados.

Kashio implementará medidas técnicas y organizativas destinadas a garantizar que la eliminación o destrucción de los datos personales se realice de manera segura y evite su recuperación, acceso, utilización o divulgación no autorizada.

Cuando el tratamiento se sustente en el consentimiento del titular, este podrá revocarlo en cualquier momento, sin efectos retroactivos, mediante los mecanismos habilitados por Kashio y de conformidad con la normativa aplicable.

Los titulares podrán ejercer el derecho de cancelación o supresión de sus datos personales en los casos y bajo las condiciones establecidos por la normativa aplicable a través del correo soporte@kashio.net. Cuando Kashio actúe como encargado del tratamiento, las solicitudes de supresión o eliminación serán gestionadas de acuerdo con las instrucciones del responsable del tratamiento y con las obligaciones establecidas en el contrato correspondiente.

La eliminación o supresión de los datos personales podrá estar sujeta a las excepciones previstas en la normativa aplicable, incluyendo aquellos casos en los que resulte necesario conservar determinada información para el cumplimiento de obligaciones legales o regulatorias, o para el ejercicio y defensa de derechos.

GESTIÓN DE RIESGOS Y SEGURIDAD

1. Las medidas de seguridad aplicables al tratamiento de datos personales serán determinadas considerando la naturaleza y características de los datos tratados, las finalidades del tratamiento, los riesgos asociados y las características de los servicios prestados por Kashio.
2. Kashio implementará y mantendrá medidas técnicas, organizativas y legales orientadas a proteger los datos personales frente a su pérdida, destrucción, alteración, acceso no autorizado, uso indebido, divulgación o cualquier otra forma de tratamiento no autorizado.
3. La gestión de la seguridad de los datos personales se desarrollará de manera coordinada con las áreas responsables de Seguridad de la Información y Ciberseguridad de Kashio, de acuerdo con sus respectivas funciones y responsabilidades.
4. Kashio cuenta con una Política de Seguridad de la Información, así como con procedimientos y controles internos orientados a gestionar los riesgos de seguridad de la información y ciberseguridad. Dichos instrumentos resultan complementarios a la presente Política y serán aplicables al tratamiento de datos personales en aquello que corresponda.
5. Kashio revisará periódicamente la eficacia de las medidas de seguridad implementadas y podrá adoptar las mejoras que resulten necesarias, considerando la evolución de los riesgos, las características de los tratamientos y los cambios tecnológicos, operativos o regulatorios.

GESTIÓN DE INCIDENTES DE SEGURIDAD

Toda vulneración de seguridad, acceso no autorizado, pérdida, destrucción, alteración, comunicación, divulgación o cualquier otro incidente que pueda comprometer la seguridad de los datos personales deberá ser reportado oportunamente a las áreas responsables de Seguridad de la Información, Ciberseguridad y, cuando corresponda, al Oficial de Datos Personales.

Kashio gestionará los incidentes de seguridad de conformidad con sus políticas y procedimientos internos, realizando las acciones necesarias para su identificación, evaluación, contención, mitigación, investigación y recuperación, así como para prevenir su recurrencia.

Cuando corresponda, Kashio realizará las notificaciones y comunicaciones a los titulares de datos personales, a la Autoridad Nacional de Protección de Datos Personales u otras autoridades competentes, de acuerdo con los supuestos, condiciones y plazos establecidos en la normativa aplicable.

DERECHOS DE LOS TITULARES DE DATOS PERSONALES

Kashio reconoce y garantiza el ejercicio de los derechos que la normativa vigente reconoce a los titulares de datos personales, incluyendo los derechos de información, acceso, rectificación, cancelación, oposición y portabilidad, así como aquellos demás derechos que resulten aplicables conforme a la legislación vigente.

Los titulares podrán ejercer sus derechos a través de los canales habilitados por Kashio, de conformidad con los requisitos, procedimientos y plazos establecidos en la normativa aplicable.

Para la atención de las solicitudes, Kashio podrá requerir la información necesaria para verificar la identidad del solicitante y, cuando corresponda, acreditar su representación, a fin de garantizar la adecuada protección de los datos personales y evitar su entrega a personas no autorizadas.
Las solicitudes para el ejercicio de derechos podrán presentarse a través de los siguientes canales:

• Correo electrónico: legal@kashio.net
• Correo electrónico: soporte@kashio.net
• Otros canales que Kashio habilite y comunique oportunamente.

Cuando Kashio trate datos personales sensibles, adoptará las medidas de seguridad y protección reforzadas que correspondan, considerando la naturaleza de los datos, las finalidades del tratamiento y los riesgos asociados, de conformidad con la normativa aplicable.

OBLIGACIONES DE CLIENTES, PROVEEDORES Y TERCEROS

1. Los socios comerciales y terceros que participen en actividades de tratamiento de datos personales deberán cumplir, en lo que les resulte aplicable, con las obligaciones establecidas en la normativa vigente sobre protección de datos personales y con las disposiciones contractuales que correspondan.
2. Cuando los socios comerciales proporcionen a Kashio datos personales para la prestación de los servicios contratados, serán responsables, en el ámbito que les corresponda, de que dichos datos hayan sido obtenidos y proporcionados a Kashio de conformidad con la normativa aplicable, así como de garantizar su exactitud y calidad.
3. Cuando corresponda, los socios comerciales deberán cumplir con el deber de información frente a los titulares de los datos personales y contar con la legitimación o consentimiento que resulte necesario para el tratamiento y posterior comunicación de los datos a Kashio, de acuerdo con la normativa aplicable y con la naturaleza del servicio contratado.
4. Cuando Kashio actúe como encargado del tratamiento por cuenta de un socio comercial, tratará los datos personales proporcionados por este únicamente para las finalidades previstas en el contrato correspondiente y conforme a las instrucciones documentadas del socio comercial, en su calidad de responsable del tratamiento, y de acuerdo con la normativa aplicable.
5. Para la prestación de los servicios contratados, Kashio podrá realizar las operaciones necesarias sobre los datos personales y, cuando corresponda, utilizar proveedores, encargados o subencargados de tratamiento y otros participantes del ecosistema de pagos, siempre que ello resulte necesario para la ejecución de los servicios y se cumplan las obligaciones aplicables en materia de protección de datos personales.
6. Los socios comerciales y terceros deberán colaborar con Kashio en la atención de solicitudes de los titulares de datos personales, así como en la gestión de incidentes de seguridad y demás obligaciones que correspondan, cuando Kashio actúe como encargado del tratamiento.
7. Las actividades de tratamiento podrán generar registros y evidencias relacionadas con las operaciones realizadas, cuando ello resulte necesario para la prestación, seguridad, trazabilidad, auditoría y cumplimiento de las obligaciones legales o contractuales aplicables.

INCUMPLIMIENTO

El incumplimiento de las disposiciones de la presente Política por parte de colaboradores, socios comerciales, proveedores o terceros que intervengan en el tratamiento de datos personales podrá dar lugar, según la naturaleza y gravedad del incumplimiento y de acuerdo con la normativa aplicable, a la adopción de las medidas que correspondan.
En particular:

1. En el caso de colaboradores, podrán adoptarse las medidas disciplinarias que correspondan conforme a la legislación laboral, las políticas internas y demás disposiciones aplicables, incluyendo, cuando corresponda, la terminación de la relación laboral.
2. En el caso de socios comerciales, proveedores y demás terceros, podrán aplicarse las medidas contractuales previstas en los respectivos acuerdos, incluyendo, cuando corresponda, la suspensión o terminación de la relación contractual.
3. Cuando la naturaleza del incumplimiento lo amerite, Kashio podrá adoptar las acciones legales o administrativas correspondientes, incluyendo aquellas de naturaleza civil, administrativa o penal, de conformidad con la legislación aplicable.

MONITOREO Y REVISIÓN DE LA POLÍTICA

Kashio revisará periódicamente la presente Política, como mínimo una vez al año, así como cuando se produzcan cambios relevantes en la normativa aplicable, en las actividades o servicios de Kashio, en los procesos de tratamiento de datos personales o en los riesgos asociados a dichos tratamientos.

Las modificaciones que correspondan serán aprobadas de acuerdo con los mecanismos internos establecidos por Kashio y, cuando resulte necesario, serán comunicadas o puestas a disposición de los titulares a través de los canales correspondientes.

La supervisión del cumplimiento de la presente Política estará a cargo del Oficial de Datos Personales designado por Kashio, de acuerdo con las funciones y responsabilidades establecidas en la normativa aplicable.

APROBACIÓN Y VIGENCIA

La presente Política de Protección de Datos Personales ha sido aprobada por Kashio Perú S.A.C. y entra en vigor a partir del 20 de septiembre del 2026.

Versión: 4.0

Fecha de aprobación: 20 septiembre 2026

Aprobado por:

Apoderado legal

Kashio Perú S.A.C.