2.2. Encargado del Tratamiento – Proveedor Tecnológico DIDIT: DIDIT es el proveedor tecnológico especializado en verificación de identidad designado por LAZZA GLOBAL como Encargado del Tratamiento para ejecutar técnicamente el proceso KYC. DIDIT actúa bajo las instrucciones de LAZZA GLOBAL, en virtud de un acuerdo contractual de encargado de tratamiento que incluye obligaciones de confidencialidad, seguridad y protección de datos.

DIDIT cuenta con las siguientes certificaciones internacionales:

• GDPR (Reglamento General de Protección de Datos de la Unión Europea)

• ISO 27001 (Sistema de Gestión de Seguridad de la Información)

• iBeta Level 1 (certificación independiente de detección de prueba de vida y anti-spoofing)

La información sobre el tratamiento realizado por DIDIT puede consultarse en sus documentos oficiales:

• Política de Privacidad de DIDIT: https://didit.me/en/terms/privacy-policy/

• Aviso de Privacidad de Verificación de DIDIT: https://didit.me/en/terms/verification-privacy-notice/

3. DATOS TRANSMITIDOS A DIDIT: En el marco del proceso de verificación de identidad (KYC), LAZZA GLOBAL transmite a DIDIT las siguientes categorías de datos personales del USUARIO:

3.1. Datos de Identificación Personal: Nombres, apellidos, número y tipo de documento de identidad, fecha de nacimiento, nacionalidad, género, firma, dirección de residencia, ciudad, estado o departamento, código postal y país de residencia.

3.2. Imágenes del Documento de Identidad: Fotografías del anverso y reverso del documento oficial presentado por el USUARIO, incluyendo toda la información visible en el mismo.

3.3. Datos Biométricos Faciales (Datos Sensibles): Imagen del rostro del USUARIO capturada mediante selfie o video corto, así como los patrones biométricos derivados utilizados para prueba de vida (liveness) y comparación facial (face match) contra la fotografía del documento de identidad. El USUARIO reconoce expresamente que estos datos constituyen datos personales sensibles bajo la normativa aplicable y que su tratamiento requiere consentimiento específico e informado.

3.4. Metadatos Técnicos del Proceso: Fecha y hora de la verificación, dirección IP del dispositivo, geolocalización aproximada, tipo de dispositivo, sistema operativo y navegador utilizados durante el proceso KYC.

4. FINALIDADES DE LA TRANSMISIÓN: Los datos transmitidos a DIDIT serán tratados exclusivamente para las siguientes finalidades:

• Verificar la identidad del USUARIO de manera previa a la habilitación de operaciones sensibles, tales como retiros de fondos, modificación de datos personales relevantes y acceso a productos financieros específicos.

• Validar la autenticidad, vigencia y legitimidad del documento de identidad presentado.

• Confirmar mediante prueba de vida (liveness) y comparación biométrica facial que la persona que adelanta el proceso es el titular legítimo del documento presentado.

• Ejecutar verificaciones adicionales de seguridad en tiempo real (por ejemplo, mediante tecnología de reconocimiento facial.) ante detección de actividad inusual, accesos desde ubicaciones atípicas o cualquier otro indicio de riesgo.

• Prevenir fraudes, suplantación de identidad y accesos no autorizados, protegiendo los fondos del USUARIO.

• Conservar evidencia del proceso de verificación como soporte ante disputas, auditorías internas, requerimientos de autoridad competente y cumplimiento de obligaciones en materia de Prevención de Lavado de Activos y Financiación del Terrorismo (LA/FT).

Los datos biométricos serán utilizados únicamente durante los momentos específicos en que se requiera verificar la identidad del USUARIO. DIDIT no realiza tratamiento automatizado continuo ni monitoreo biométrico permanente fuera de los momentos establecidos.

5. RESPONSABILIDAD DE DIDIT COMO ENCARGADO Y CORRESPONSABLE: DIDIT actúa en calidad de Encargado del Tratamiento respecto de los datos que procesa bajo instrucción de LAZZA GLOBAL, y adicionalmente como corresponsable en aquellas operaciones de tratamiento en las que DIDIT determina de manera autónoma algunos de los fines y medios del procesamiento, de conformidad con el acuerdo contractual suscrito entre las partes.

En tal calidad, DIDIT asume las siguientes obligaciones frente al tratamiento de los datos del USUARIO:

• Tratar los datos personales y biométricos únicamente conforme a las instrucciones impartidas por LAZZA GLOBAL y para las finalidades específicas del proceso KYC, salvo en los casos en que actúe como corresponsable con fines propios declarados.

• Implementar y mantener medidas técnicas, administrativas y físicas de seguridad equivalentes a los estándares internacionales certificados bajo los que opera (GDPR, ISO 27001, iBeta Level 1).

• Garantizar la confidencialidad de los datos personales y biométricos, impidiendo su divulgación a terceros no autorizados.

• Informar a LAZZA GLOBAL de manera oportuna sobre cualquier incidente de seguridad que pueda comprometer la integridad, confidencialidad o disponibilidad de los datos del USUARIO.

• Proceder a la eliminación o devolución de los datos al término de la relación contractual con LAZZA GLOBAL, conforme a lo acordado y según la normativa aplicable.

• Respetar y facilitar el ejercicio de los derechos de acceso, rectificación, supresión, portabilidad y demás reconocidos al USUARIO bajo la normativa aplicable.

• Atender los lineamientos en materia de protección de datos personales establecidos por LAZZA GLOBAL, cuya versión vigente se encuentra disponible en https://lazzaglobal.com.

El USUARIO comprende que, en aquellos aspectos en que DIDIT actúe como corresponsable del tratamiento, también podrá dirigir solicitudes relacionadas con sus derechos directamente a DIDIT, conforme a los canales y procedimientos establecidos en sus propios documentos de privacidad.

6. LINEAMIENTOS DE PROTECCIÓN DE DATOS APLICABLES: La transmisión de datos a DIDIT se rige por los lineamientos establecidos por LAZZA GLOBAL en materia de protección de datos, así como por la normativa aplicable en la jurisdicción de residencia del USUARIO. DIDIT se encuentra contractualmente obligado a cumplir dichos lineamientos, los cuales pueden consultarse en cualquier momento en los siguientes enlaces:

6.1. Documentos de LAZZA GLOBAL:

• Política de Privacidad y Tratamiento de Datos Personales para Usuarios: https://lazzaglobal.com

• Autorización para el Tratamiento de Datos Personales y Biométricos (KYC): https://lazzaglobal.com

• Presente Anexo 001 – Transmisión de Datos a DIDIT: https://lazzaglobal.com

6.2. Documentos de DIDIT:

• Política de Privacidad de DIDIT: https://didit.me/en/terms/privacy-policy/

• Aviso de Privacidad de Verificación de DIDIT: https://didit.me/en/terms/verification-privacy-notice/

LAZZA GLOBAL recomienda al USUARIO revisar periódicamente los documentos listados, especialmente ante modificaciones sustanciales que puedan ser comunicadas por cualquiera de las partes.

7. NATURALEZA SENSIBLE DE LOS DATOS BIOMÉTRICOS: El USUARIO reconoce y declara que comprende plenamente que los datos biométricos tienen la categoría de datos personales sensibles bajo la normativa aplicable, incluyendo, sin limitarse a:

• La Ley 1581 de 2012 y el Decreto 1377 de 2013 en la República de Colombia.

• La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) en los Estados Unidos Mexicanos.

• El Reglamento General de Protección de Datos (GDPR – Reglamento UE 2016/679) cuando resulte aplicable.

• La normativa local equivalente en las demás jurisdicciones donde LAZZA GLOBAL preste sus servicios.

Por la naturaleza sensible de estos datos, el USUARIO otorga mediante la aceptación de este Anexo y de la Autorización correspondiente su consentimiento expreso, específico e informado para su transmisión y tratamiento por parte tanto de LAZZA GLOBAL como de DIDIT.

8. TRANSFERENCIA INTERNACIONAL DE DATOS: El USUARIO reconoce, acepta y autoriza expresamente la transferencia y transmisión internacional de sus datos personales y biométricos hacia servidores y centros de procesamiento ubicados en jurisdicciones distintas a su país de residencia, incluyendo países de la Unión Europea, los Estados Unidos de América y otras jurisdicciones donde operen los proveedores tecnológicos de LAZZA GLOBAL y de DIDIT.

LAZZA GLOBAL garantiza que dichas transferencias se realizan bajo cláusulas contractuales que aseguran un nivel de protección equivalente al exigido por la normativa aplicable en el país de residencia del USUARIO, incluyendo las Cláusulas Contractuales Tipo de la Unión Europea cuando resulte aplicable.

9. PLAZO DE CONSERVACIÓN: Los datos transmitidos a DIDIT y los resultados del proceso de verificación serán conservados conforme a los lineamientos establecidos en la Política de Privacidad y Tratamiento de Datos Personales para Usuarios de LAZZA GLOBAL. A modo de referencia, los plazos aplicables son:

• Durante toda la vigencia de la relación entre el USUARIO y LAZZA GLOBAL, para permitir validaciones de identidad en momentos sensibles.

• Hasta cinco (5) años posteriores a la terminación de la relación contractual, en cumplimiento de las obligaciones internacionales en materia de prevención de Lavado de Activos y Financiación del Terrorismo (LA/FT).

Cumplidos los plazos señalados, los datos biométricos y las imágenes del documento serán eliminados de forma segura o anonimizados de manera irreversible por parte de DIDIT, salvo que exista una obligación legal específica que exija su conservación por un plazo mayor.

10. MEDIDAS DE SEGURIDAD: LAZZA GLOBAL y DIDIT implementan medidas técnicas, administrativas y físicas razonables para proteger los datos personales y biométricos del USUARIO. Entre dichas medidas se encuentran:

• Cifrado de datos en tránsito y en reposo.

• Controles de acceso basados en el principio de mínimo privilegio.

• Monitoreo continuo de la infraestructura y registro de actividad.

• Auditorías periódicas de seguridad y cumplimiento.

• Cumplimiento de estándares internacionales certificados (ISO 27001, GDPR, iBeta Level 1).

11. DERECHOS DEL USUARIO: El USUARIO, en calidad de titular de sus datos personales y biométricos, podrá ejercer en cualquier momento los siguientes derechos frente a LAZZA GLOBAL y, en la medida aplicable, frente a DIDIT:

• Acceso: conocer qué datos son objeto de tratamiento y transmisión.

• Rectificación: corregir datos inexactos, incompletos o desactualizados.

• Supresión: solicitar la eliminación de los datos cuando corresponda conforme a la normativa aplicable.

• Revocación del consentimiento: retirar la autorización otorgada, sujeto a las limitaciones legales aplicables.

• Oposición: oponerse al tratamiento en los casos previstos por la normativa aplicable.

• Portabilidad: recibir los datos en un formato estructurado y de lectura mecánica.

• Impugnación de decisiones automatizadas: solicitar revisión de decisiones tomadas exclusivamente por medios automatizados.

El ejercicio de estos derechos podrá realizarse mediante comunicación escrita dirigida a LAZZA GLOBAL al correo electrónico [email protected], adjuntando prueba de identidad y la petición específica. LAZZA GLOBAL atenderá las solicitudes en los plazos y condiciones establecidos por la normativa aplicable.

12. ACEPTACIÓN POR PARTE DEL USUARIO: Al marcar la casilla de aceptación correspondiente en la plataforma de LAZZA GLOBAL, al iniciar el proceso de verificación de identidad (KYC), o al continuar utilizando los servicios de LAZZA GLOBAL una vez informado del presente Anexo, el USUARIO declara de manera libre, previa, expresa, informada e inequívoca que:

• Ha leído y comprendido el presente Anexo 001 en su totalidad.

• Acepta la transmisión de sus datos personales y biométricos a DIDIT en los términos aquí descritos.

• Reconoce expresamente que sus datos biométricos son considerados datos sensibles bajo la normativa aplicable y otorga su consentimiento específico para su tratamiento tanto por LAZZA GLOBAL como por DIDIT.

• Autoriza la transferencia internacional de sus datos en los términos señalados en el presente Anexo y en la Política de Privacidad de LAZZA GLOBAL.

• Acepta los términos aplicables del proveedor DIDIT como Encargado y corresponsable del tratamiento para la ejecución técnica del proceso de verificación, conforme a sus propios documentos de privacidad disponibles en los enlaces indicados en el numeral 6.2 del presente Anexo.

• Comprende que la aceptación de este Anexo es independiente y adicional, pero complementaria, a la aceptación de los Términos y Condiciones Generales de Uso, la Política de Privacidad y la Autorización para el Tratamiento de Datos Personales y Biométricos de LAZZA GLOBAL.

• Entiende que puede consultar en cualquier momento todos los documentos vinculados a través de la página web https://lazzaglobal.com.

13. MODIFICACIONES: LAZZA GLOBAL se reserva el derecho de actualizar o modificar el presente Anexo cuando sea necesario para adaptarlo a cambios normativos, tecnológicos u operativos, incluidos cambios en las condiciones del proveedor DIDIT. Cualquier modificación será notificada por los canales establecidos y publicada en https://lazzaglobal.com.

En caso de modificaciones sustanciales que afecten derechos del USUARIO, se solicitará una nueva aceptación expresa cuando así lo exija la normativa aplicable.

14. VIGENCIA: El presente Anexo entra en vigor a partir de su fecha de publicación en la página web de LAZZA GLOBAL y permanecerá vigente en tanto subsista la relación entre LAZZA GLOBAL y DIDIT como proveedor tecnológico para el proceso KYC, o hasta que sea reemplazado por una versión actualizada debidamente comunicada al USUARIO.

15. CONTACTO: Para cualquier consulta relacionada con el presente Anexo o con el tratamiento de sus datos personales y biométricos, el USUARIO podrá comunicarse con LAZZA GLOBAL a través de los siguientes canales: