Política de Tratamiento de Datos Personales

Esta Política de Tratamiento de Datos Personales se elabora en cumplimiento de los artículos 15 y 20 de la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 y el Decreto 1074 de 2015 (capítulos 25 y 26). Aplica a la aplicación móvil QRave, al panel de comercios, al sitio qravepay.com y a los canales de atención de QRave S.A.S.

En todo tratamiento de datos personales aplicamos, de manera armónica e integral, los siguientes principios:

Legalidad

El tratamiento es una actividad reglada que se sujeta a la ley.

Finalidad

Obedece a una finalidad legítima, informada al titular.

Libertad

Solo con el consentimiento previo, expreso e informado del titular; los datos no se obtienen ni divulgan sin autorización.

Veracidad o calidad

La información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Transparencia

El titular puede obtener, en cualquier momento y sin restricciones, información sobre la existencia de datos que le conciernan.

Acceso y circulación restringida

El tratamiento se sujeta a los límites que derivan de la naturaleza de los datos y de la ley.

Seguridad

Medidas técnicas, humanas y administrativas para evitar adulteración, pérdida, consulta, uso o acceso no autorizado.

Confidencialidad

Quienes intervienen en el tratamiento están obligados a guardar reserva de la información.

El responsable del tratamiento es QRave S.A.S., sociedad comercial colombiana que opera la aplicación QRave, el panel de comercios y el sitio qravepay.com.

Razón social

QRave S.A.S.

NIT

902.077.080-2

Dirección física

Carrera 72 # 152 B - 90, Bogotá D.C., Colombia

Representante legal

Daniel Alejandro Ortiz Parra

Correo de PQR y Habeas Data

qrave.pay@gmail.com

Teléfono y WhatsApp

+57 318 318 1270

Nequi y los comercios que cobran con QRave son responsables de los datos que tratan para sus propios servicios. QRave atiende lo que corresponde a su tratamiento y orienta o traslada las solicitudes cuando legalmente proceda.

De conformidad con la Ley 1581 de 2012 se adoptan las siguientes definiciones:

Autorización

Consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.

Aviso de privacidad

Comunicación verbal o escrita del responsable, dirigida al titular, sobre el tratamiento de sus datos.

Base de datos

Conjunto organizado de datos personales objeto de tratamiento.

Dato personal

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato sensible

El que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación.

Encargado

Quien realiza el tratamiento por cuenta del responsable.

Responsable

Quien decide sobre la base de datos y el tratamiento.

Titular

Persona natural cuyos datos son objeto de tratamiento.

Transferencia

Envío de datos a un receptor que es, a su vez, responsable del tratamiento, dentro o fuera de Colombia.

Transmisión

Comunicación de datos, dentro o fuera de Colombia, para que un encargado realice un tratamiento por cuenta del responsable.

Recolectamos únicamente los datos estrictamente necesarios para prestar el servicio de pagos por código QR a comercios y en barras de eventos. Según tu relación con QRave, pueden ser:

A. Usuarios que pagan

Nombre completo, tipo y número de documento de identidad (su entrega es opcional en el registro), correo electrónico y número de celular.

Registro con Google o Apple

Si eliges entrar con Google o con Apple, solo capturamos y almacenamos el identificador único de usuario, el nombre y el correo electrónico que el proveedor nos entrega. No capturamos ni guardamos la fotografía de perfil.

B. Vinculación de pagos (Nequi)

Número de celular de tu cuenta Nequi y el estado de la vinculación, procesados mediante las API oficiales de Nequi. QRave no almacena, no captura en texto plano ni conserva claves bancarias, PIN ni contraseñas de Nequi: la autorización se realiza en el entorno cifrado del procesador.

C. Comercios y sus representantes

Nombre comercial, razón social, NIT, dirección, teléfono, descripción del negocio, datos del representante legal (nombre, tipo y número de documento, correo y celular) y la cuenta Nequi a la que se liquida (número y titular).

D. Personal de barra y cajeros

Nombre y un correo de acceso que el comercio crea a partir de su propio correo (por ejemplo cobros+cajero-ana@negocio.co), la barra asignada y la vigencia del acceso. No pedimos correos personales del personal.

E. Transacciones

Monto, fecha y hora, comercio, barra o cajero que cobró, estado, referencia y comprobante de cada pago realizado o recibido. Nunca el saldo de tu cuenta Nequi.

F. Dispositivo y seguridad

Modelo, sistema operativo, un identificador del dispositivo para la sesión única, token de notificaciones push y registros de seguridad (fecha, hora, dirección IP y dispositivo) de inicios de sesión, cobros y pagos.

G. Formularios del sitio

Nombre, correo, teléfono, área de interés y mensaje que envíes voluntariamente en «Trabaja con nosotros» o en contactos comerciales.

Almacenamiento local y cookies

La app guarda en tu teléfono la sesión, tus preferencias y lo necesario para mostrar el QR sin conexión. El sitio solo recuerda tu elección sobre el aviso de cookies y carga fuentes tipográficas de un proveedor externo, que puede recibir datos técnicos de conexión. No usamos cookies de seguimiento publicitario.

Permisos del dispositivo. Cámara: se usa exclusivamente para leer el código QR del cliente al momento del cobro (comercios y cajeros). Ubicación: QRave no solicita ni rastrea la ubicación GPS de tu dispositivo.

QRave no solicita, no recolecta ni almacena de manera directa datos sensibles (origen racial o étnico, orientación política, convicciones religiosas, datos de salud, vida sexual o datos biométricos).

Exclusión de la biometría local. El inicio de sesión o la autorización de pagos con la biometría del teléfono no constituye tratamiento de datos sensibles por parte de QRave, porque esos datos permanecen cifrados en el hardware del usuario y nunca se transmiten ni se alojan en nuestros servidores.

Si en el futuro la operación exigiera tratar algún dato sensible, informaremos expresamente el carácter facultativo de la respuesta y pediremos una autorización explícita, previa e informada, con las finalidades específicas de ese tratamiento. Nunca condicionaremos el servicio a entregar datos sensibles que no sean necesarios.

Los servicios de QRave están destinados exclusivamente a personas mayores de dieciocho (18) años. No recolectamos ni tratamos conscientemente datos de niños, niñas y adolescentes. Si detectamos el registro de un menor de edad, cancelaremos la cuenta y suprimiremos su información de inmediato, salvo los registros que la ley obligue a conservar.

Si adviertes que QRave trata información de un menor, repórtalo por los canales de la sección 14; se verificará la representación cuando corresponda y se atenderá el caso con las garantías especiales de protección previstas en la ley.

Los datos personales recolectados por QRave se utilizan para:

• Gestionar la creación, autenticación y administración de la cuenta de usuario, comercio o cajero, incluida la sesión única por dispositivo y los códigos de verificación al correo.
• Procesar, validar y ejecutar los cobros y pagos en tiempo real en los puntos de venta, generar el código QR dinámico y aplicar los límites transaccionales que configures.
• Permitir la vinculación con Nequi para el procesamiento de las transacciones y consultar su estado.
• Enviar notificaciones transaccionales, alertas de seguridad, confirmaciones de inicio de sesión y de cambios en la cuenta, comprobantes de pago y recibos digitales por correo electrónico, en la app y, cuando estén habilitadas, por notificaciones push.
• Gestionar la operación del personal de barra mediante accesos temporales de cajero y mostrar al comercio sus ventas por barra y por cajero.
• Liquidar a cada comercio lo cobrado, aplicando la tarifa acordada, y generar reportes consolidados y resúmenes transaccionales para los comercios y organizadores, sin compartir datos de los compradores más allá de los necesarios para identificar cada cobro.
• Prevenir, detectar e investigar fraudes, suplantaciones de identidad, accesos no autorizados y operaciones sospechosas, y mantener registros de auditoría.
• Cumplir obligaciones fiscales, contables y regulatorias ante la DIAN y atender requerimientos de autoridades judiciales o administrativas en Colombia.
• Responder peticiones, consultas, quejas y reclamos (PQR) y solicitudes de Habeas Data.
• Enviar comunicaciones comerciales, promocionales, boletines, cupones y ofertas de eventos o marcas aliadas, solo si lo autorizas de forma separada y con opción de darte de baja en cualquier momento. La publicidad no es condición para usar el servicio.
• Realizar análisis de uso, encuestas de satisfacción y, con tu autorización, análisis de hábitos de consumo con fines mercadológicos para mejorar la plataforma. Preferimos datos agregados o anonimizados siempre que sea posible.

El tratamiento de tus datos requiere tu consentimiento previo, expreso e informado.

Mecanismo de obtención. La autorización se otorga al registrarte en la app mediante una casilla desmarcada por defecto, acompañada del texto «He leído y acepto los Términos y Condiciones y la Política de Tratamiento de Datos Personales», después de poder consultar ambos documentos. En el panel de comercios, mediante la aceptación del acuerdo de vinculación; en los formularios del sitio, al enviarlos voluntariamente. Los mensajes de datos pueden expresar el consentimiento conforme a la Ley 527 de 1999.

Prueba de la autorización. QRave conserva registros digitales que permiten probar el otorgamiento de la autorización (identificador de usuario, versión aceptada, fecha, hora y dirección IP), garantizando su posterior consulta por el titular.

No será necesaria la autorización cuando se trate de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, datos de naturaleza pública, casos de urgencia médica o sanitaria, o tratamientos autorizados por la ley para fines históricos, estadísticos o científicos.

Aceptar esta política no autoriza finalidades incompatibles con las descritas ni implica consentimiento obligatorio para publicidad: las autorizaciones adicionales que la ley exija se solicitarán de forma específica.

El aviso de privacidad es la comunicación con la que QRave te informa sobre el tratamiento de tus datos. En la app se muestra de forma condensada en la pantalla de registro e incluye: la identidad y datos de contacto de QRave S.A.S., el tratamiento al que se someterán los datos, sus finalidades principales, los derechos que te asisten y el enlace directo a la versión completa de esta Política.

Los correos de bienvenida y los comprobantes incluyen también el enlace a esta Política y a los canales de Habeas Data.

No vendemos tus datos personales. Para prestar el servicio pueden intervenir, bajo condiciones contractuales de seguridad, confidencialidad y tratamiento limitado a nuestras instrucciones:

• Nequi S.A. Compañía de Financiamiento, NIT 901.633.276-0 (grupo Bancolombia), vigilada por la Superintendencia Financiera: recibe los datos necesarios para la vinculación y el procesamiento de cada pago, y actúa como responsable respecto de sus propios servicios financieros bajo su política.
• Comercios y organizadores: reciben los datos necesarios para identificar el cobro (nombre del pagador, monto, referencia), conciliar la operación y atender reclamaciones. No pueden usarlos con fines publicitarios propios.
• Proveedores de infraestructura en la nube: servidores, bases de datos, caché y registros de auditoría donde se almacena y procesa la información de la app.
• Proveedores de mensajería y correo: envío de códigos de verificación, alertas, comprobantes y, si lo autorizas, comunicaciones promocionales. Herramientas de CRM o marketing se usan exclusivamente para gestionar y segmentar esas comunicaciones.
• Proveedores de autenticación (Google, Apple): cuando eliges entrar con ellos, bajo sus propias condiciones.
• Proveedores de soporte y seguridad: mantenimiento, monitoreo y auditorías, cuando requieran acceso a datos.
• Autoridades: ante una solicitud legal válida de autoridad administrativa o judicial competente.

QRave exige a los encargados que usen la información únicamente para las finalidades autorizadas y dentro del alcance de los servicios contratados, e informará a los titulares sobre los terceros que intervengan cuando la normativa lo exija.

Transmisión a encargados. Los datos se almacenan y procesan en infraestructura y bases de datos en la nube cuyos servidores pueden estar ubicados fuera de Colombia. Esa operación es una transmisión internacional amparada en contratos de tratamiento de datos que exigen los estándares de seguridad previstos en el Decreto 1074 de 2015 y en las guías de la Superintendencia de Industria y Comercio (SIC). Al aceptar esta Política autorizas expresamente dicha transmisión.

Transferencia a otros responsables. QRave no venderá, alquilará ni cederá datos personales a terceros para fines comerciales o de mercadeo propios de esos terceros. Solo transferirá datos cuando sea necesario para el procesamiento financiero con Nequi, cuando exista un requerimiento legal o judicial de autoridades colombianas, o cuando el titular haya otorgado una autorización explícita, conforme al artículo 26 de la Ley 1581 de 2012.

Conservamos los datos únicamente durante el tiempo necesario y razonable para cumplir las finalidades para las que fueron recolectados.

• Cuenta activa: mientras la cuenta permanezca activa en la plataforma.
• Registros financieros y transaccionales: por obligaciones legales y contables, un mínimo de diez (10) años, conforme al artículo 28 de la Ley 962 de 2005 y las normas contables aplicables. Al cerrar una cuenta, estos registros se conservan anonimizando los datos que no sean necesarios.
• Registros de seguridad y auditoría: el tiempo necesario para investigar incidentes, atender reclamaciones y cumplir requerimientos de autoridad.
• Accesos de cajero: hasta su vencimiento o revocación, y después solo la atribución de los cobros que realizaron.
• Formularios del sitio: el tiempo necesario para atender la solicitud o el proceso de selección.

Supresión. Puedes pedir la supresión de tus datos cuando consideres que no se tratan conforme a la ley, cuando hayas revocado tu autorización o cuando ya no sean necesarios para las finalidades que motivaron su recolección. Desde la app puedes eliminar tu cuenta en Perfil; ese trámite cancela la vinculación con Nequi, borra tus credenciales y anonimiza los registros que deban conservarse. La supresión no procede sobre los datos que QRave deba mantener por un deber legal o contractual; en ese caso te explicaremos qué se conserva, por qué y hasta cuándo.

De conformidad con el artículo 8 de la Ley 1581 de 2012, como titular tienes derecho a:

• Conocer, actualizar y rectificar tus datos personales frente a QRave, en especial los parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• Solicitar prueba de la autorización otorgada, salvo las excepciones legales.
• Ser informado, previa solicitud, sobre el uso que se ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley, previo agotamiento del trámite de consulta o reclamo ante QRave.
• Revocar la autorización y/o solicitar la supresión de tus datos cuando no exista un deber legal o contractual de conservarlos.
• Acceder de forma gratuita a tus datos personales que hayan sido objeto de tratamiento.
• Darte de baja de comunicaciones comerciales en cualquier momento, sin que ello afecte tu capacidad de seguir usando el servicio de pagos.

Para consultar, actualizar, rectificar o suprimir datos, revocar la autorización o presentar un reclamo, el titular o sus causahabientes pueden escribir a:

Canal habilitado

qrave.pay@gmail.com o WhatsApp +57 318 318 1270

Asunto sugerido

«Ejercicio de Derecho de Hábeas Data - [Nombre del titular]» (orientativo; no se rechaza una solicitud por usar otras palabras)

Requisitos mínimos

Nombre completo y número de documento del titular, descripción clara de los hechos y del derecho que deseas ejercer, correo para notificaciones y documentos soporte si aplica

Consultas: respuesta en máximo diez (10) días hábiles; si no es posible, informaremos el motivo y la fecha de respuesta, que no superará los cinco (5) días hábiles siguientes. Reclamos y supresión: máximo quince (15) días hábiles contados desde el día siguiente a la recepción; si la solicitud está incompleta te lo pediremos dentro de los cinco (5) días siguientes, y si pasan dos (2) meses sin tu respuesta se entenderá desistida, sin perjuicio de que presentes una nueva. Mientras un reclamo está en trámite, el dato llevará la leyenda «reclamo en trámite».

Verificaremos tu identidad de forma proporcional antes de entregar información; nunca te pediremos contraseñas ni códigos de verificación. No es necesario iniciar sesión para presentar una solicitud.

QRave adopta medidas técnicas, humanas y administrativas para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado a los registros:

• Cifrado de datos en tránsito con HTTPS / TLS y cifrado en reposo provisto por la infraestructura en la nube.
• Contraseñas y clave de pago guardadas con algoritmos de hash irreversibles; nunca en texto plano.
• Código QR dinámico, firmado criptográficamente y renovado cada dos (2) minutos, que impide reutilizar un código capturado.
• Sesión única por cuenta, verificación por correo al entrar desde un dispositivo nuevo, bloqueo temporal tras intentos fallidos de acceso y protección de pantalla en las vistas sensibles.
• Acceso a las bases de datos restringido al personal autorizado bajo acuerdos de confidencialidad, con credenciales separadas para los entornos de pruebas y producción.
• Registros de auditoría y monitoreo de las interfaces y servidores, y revisiones de seguridad periódicas.

Ningún sistema es invulnerable. Ante un incidente de seguridad que afecte tus datos aplicaremos las medidas de contención, te informaremos por los canales registrados cuando corresponda y reportaremos a la SIC conforme a la ley.

Esta Política rige desde su publicación en los canales oficiales de QRave S.A.S. Las bases de datos se mantendrán vigentes durante el tiempo necesario y razonable para cumplir las finalidades autorizadas y las obligaciones legales.

QRave puede modificar esta Política en cualquier momento. Cualquier cambio sustancial se notificará a través de la app o al correo registrado antes de su entrada en vigor y, cuando se amplíen finalidades que lo requieran, se pedirá una nueva autorización. Publicaremos siempre la versión y la fecha de vigencia.

Versión 3.0, vigente desde el 23 de septiembre de 2026. Reemplaza la versión 2.0 del 17 de septiembre de 2026.