Política de Privacidad

San Salvador · Apolo El Salvador, Sociedad Anónima de Capital Variable

I. Introducción

La presente Política de Privacidad («Política») es parte integral de los Términos y Condiciones para el uso y registro de clientes de los servicios financieros y de activos digitales ofrecidos por Apolo El Salvador, Sociedad Anónima de Capital Variable («la Empresa», «nosotros»), sociedad salvadoreña con domicilio en el Distrito de San Salvador, Municipio de San Salvador Centro, Departamento de San Salvador, República de El Salvador.

Por medio de la presente Política se pone en conocimiento del CLIENTE el tratamiento de sus datos personales conforme al ordenamiento jurídico salvadoreño aplicable, incluyendo —según corresponda— la Ley para la Emisión de Activos Digitales, la Ley Bitcoin, la Ley Contra el Lavado de Dinero y de Activos y su Reglamento, la Ley Especial Contra Actos de Terrorismo, la Ley de Firma Electrónica, la Ley de Protección al Consumidor y los principios constitucionales y jurisprudenciales sobre Habeas Data.

II. Información que recopilamos

1. Información suministrada directamente por el CLIENTE

Para la apertura de cuenta, procesamiento de transacciones y cumplimiento de nuestras obligaciones regulatorias, recopilamos:

De personas naturales:

• Nombre completo.

• Documento Único de Identidad (DUI) para nacionales salvadoreños; pasaporte vigente o carnet de residente para extranjeros; NIT cuando corresponda.

• Copia del documento oficial vigente.

• Nacionalidad(es), país de nacimiento y país de residencia.

• Dirección residencial cierta y exacta.

• Indicación si califica como Persona Expuesta Políticamente (PEP).

• Profesión, ocupación, nombre del patrono o naturaleza del negocio independiente.

• Propósito y naturaleza de la relación comercial.

• Cuantía mensual estimada de las operaciones y descripción del origen de los fondos y/o activos digitales.

• Correo electrónico y número de teléfono.

De personas jurídicas:

• Razón o denominación social, NIT y número de registro de comercio.

• Escritura de constitución, certificación de existencia legal vigente y representación legal.

• Información de directores, administradores, apoderados y beneficiarios finales con participación directa o indirecta igual o superior al 10% del capital social, o quienes ejerzan control efectivo.

• Domicilio social y domicilio operativo.

• Indicación si algún directivo, beneficiario o representante califica como PEP.

• Actividad o naturaleza del negocio, propósito de la relación comercial, cuantía mensual estimada y origen de fondos con justificación documental.

2. Información sobre activos digitales

Para clientes que operen con activos digitales, recopilamos: direcciones de billetera digital (wallet addresses); historial de transacciones blockchain asociadas a la cuenta; resultados de monitoreo KYT; y origen y destino de los activos digitales.

3. Información generada por las transacciones

Recopilamos información derivada del uso de los servicios, incluyendo: detalles de transferencias, remesas y operaciones con activos digitales (fecha, monto, moneda o activo, cuentas y direcciones de origen y destino, medio de pago, identificador de operación); historial de transacciones; tipo de cambio aplicado; y documentación de respaldo.

4. Datos biométricos y de verificación

Como parte del proceso de onboarding remoto recopilamos —a través de Didit.me— imágenes faciales, fotografías, grabaciones de video de sesiones de verificación de identidad, identificadores de dispositivo y direcciones IP utilizadas durante el onboarding. Estos datos se procesan exclusivamente para verificación de identidad y cumplimiento LD/FT, conforme a la legislación salvadoreña aplicable.

5. Información de fuentes externas

Podemos obtener información de fuentes externas, incluyendo: Centro Nacional de Registros y registros públicos para verificación de personería jurídica; listas de sanciones internacionales (ONU, OFAC, UE, HM Treasury, GAFI); bases de datos de PEP y noticias adversas; proveedores de monitoreo blockchain (AML Bot); y bancos corresponsales e instituciones financieras para la ejecución de transacciones.

III. Uso de la información

Utilizamos su información personal para los siguientes fines:

• **Prestación del servicio: **apertura y gestión de la cuenta y la billetera digital, procesamiento de transferencias, remesas, intercambio y custodia de activos digitales, y entrega de todos los servicios contratados.

• **Verificación de identidad y KYC: **verificar su identidad mediante Didit.me, identificar beneficiarios finales, clasificar su perfil de riesgo y cumplir con la Política Conozca a su Cliente.

• **Prevención LD/FT: **detectar, prevenir y reportar lavado de dinero y de activos, financiamiento del terrorismo y financiamiento de la proliferación de armas de destrucción masiva, conforme al Manual de Prevención LD/FT vigente.

• **Monitoreo blockchain (KYT): **monitorear transacciones blockchain mediante AML Bot, evaluar el riesgo de direcciones contraparte y trazar el origen de los fondos en cadena.

• **Registro de transacciones: **registrar transacciones individuales y múltiples que igualen o superen los umbrales legales aplicables.

• **Reportes regulatorios: **remitir Reportes de Operaciones Sospechosas (ROS) a la UIF de la Fiscalía General de la República, así como reportes a la Comisión Nacional de Activos Digitales (CNAD) y demás autoridades, conforme a los plazos y formatos establecidos.

• **Cumplimiento de solicitudes de autoridades: **atender requerimientos de autoridades competentes (Fiscalía General de la República, UIF, CNAD, Órgano Judicial, autoridades tributarias) de manera obligatoria e inmediata.

• **Mejora del servicio: **mejorar nuestros servicios, procesos operativos y plataforma tecnológica.

IV. Compartición y divulgación de información

1. Divulgación obligatoria a autoridades

En cumplimiento de la Ley Contra el Lavado de Dinero y de Activos, la Ley para la Emisión de Activos Digitales y demás normativa aplicable, Apolo El Salvador, S.A. de C.V., está legalmente autorizada y obligada a entregar información a las siguientes autoridades, sin requerir autorización del CLIENTE y sin necesidad de notificarle:

• **UIF de la Fiscalía General de la República: **ROS de manera inmediata, incluyendo operaciones intentadas, y cualquier información requerida en sus investigaciones.

• **Comisión Nacional de Activos Digitales (CNAD): **reportes y cualquier información requerida en su función supervisora sobre los Proveedores de Servicios de Activos Digitales.

• **Órgano Judicial, Fiscalía General de la República y Policía Nacional Civil: **ante requerimiento judicial, orden de incautación, inmovilización u otras medidas cautelares, o en el marco de investigaciones por delitos relacionados con LD/FT u otros previstos por la legislación.

• **Autoridades tributarias salvadoreñas (Ministerio de Hacienda): **cuando lo exija la legislación tributaria.

• **Cualquier otra autoridad pública **con competencia legal para requerir dicha información.

En estos casos, la Empresa no será responsable de la divulgación ni estará obligada a avisar al titular sobre dicho requerimiento. La Empresa no será responsable por las divulgaciones de información realizadas en cumplimiento de los requerimientos emitidos por autoridad competente conforme a la legislación aplicable.

La Empresa implementa medidas de confidencialidad para proteger la identidad del personal involucrado en la detección, análisis y reporte de operaciones inusuales o sospechosas, conforme a la legislación aplicable.

2. Compartición en el curso ordinario de negocios

En el curso ordinario de la prestación de servicios, podemos compartir su información con:

• El Oficial de Cumplimiento y demás funcionarios autorizados de la Empresa para fines de cumplimiento interno.

• Corresponsales bancarios y redes de pago exclusivamente para el procesamiento de sus transacciones.

• **Didit.me: **proveedor externo de verificación de identidad (KYC), prueba de vida, y screening contra listas de sanciones y PEP.

• **AML Bot: **proveedor externo de monitoreo de transacciones blockchain (KYT) y análisis de direcciones.

• Asesores legales, auditores externos y consultores de cumplimiento bajo obligaciones de confidencialidad.

• Custodios de activos digitales y proveedores de liquidez bajo arreglos contractuales que imponen obligaciones de confidencialidad y protección de datos.

• Nuestras entidades relacionadas Apolo Capital LLC (Estados Unidos) y Apolo Capital Limitada (Costa Rica), bajo acuerdos de confidencialidad, seguridad y limitación en el uso de los datos, exclusivamente para fines de cumplimiento y operativos.

• Proveedores de tecnología (infraestructura cloud, mensajería, firma electrónica) bajo contratos que imponen obligaciones de confidencialidad y protección de datos.

No comercializamos, vendemos, arrendamos ni distribuimos su información personal a terceros no relacionados para fines de mercadeo o cualquier propósito no descrito en esta Política.

3. Confidencialidad del Reporte de Operación Sospechosa

4. Transacciones transfronterizas

Al procesar transferencias internacionales, remesas u operaciones con activos digitales por instrucción del CLIENTE, la información transaccional puede ser transmitida a bancos corresponsales, intermediarios de redes de pago, custodios e instituciones financieras receptoras ubicadas fuera de El Salvador. Estas transmisiones se limitan a la ejecución de la transacción y al cumplimiento de las obligaciones de reporte aplicables. Las instituciones receptoras están sujetas a sus propias leyes locales de protección de datos. Al instruir una transacción transfronteriza, el CLIENTE consiente expresamente la transmisión internacional de la información necesaria para su ejecución.

V. Conservación de la información

La información del CLIENTE será custodiada en expediente único (físico y/o electrónico) durante los plazos mínimos establecidos por la normativa LD/FT y demás regulaciones aplicables, los cuales incluyen, sin limitación:

• Información de identificación y debida diligencia (KYC, beneficiarios finales): plazo mínimo legal aplicable contado desde la terminación de la relación comercial.

• Registros de transacciones, operaciones con activos digitales y bitácoras: plazo mínimo legal aplicable desde la fecha de la operación.

• ROS presentados ante la UIF y registros internos de investigación: plazo mínimo legal aplicable.

• Registros de verificación contra listas de sanciones y resultados de monitoreo KYT: plazo mínimo legal aplicable.

• Grabaciones de video de onboarding remoto: plazo mínimo legal aplicable.

En caso de existir causa judicial relacionada con algún CLIENTE o transacción, la información se conservará mientras subsista la causa judicial. Ante instrucción de autoridad competente, los plazos podrán extenderse. La eliminación de datos al vencimiento del plazo es responsabilidad del Oficial de Cumplimiento.

VI. Protección de la información

Apolo El Salvador, S.A. de C.V. tomará las medidas a su alcance para resguardar la privacidad y seguridad de la información de los CLIENTES, incluyendo:

• Almacenamiento en bases de datos digitales bajo control exclusivo de la Empresa, con controles de acceso por rol y principio de mínimo privilegio.

• Cifrado de datos en tránsito (TLS 1.2 o superior) y en reposo conforme a estándares de industria.

• Autenticación multifactor para accesos privilegiados.

• Capacitación anual del personal en seguridad de datos, confidencialidad y prevención LD/FT.

• Procedimientos documentados para el manejo de información confidencial conforme al Código de Ética de la Empresa.

• Evaluaciones periódicas de seguridad y revisión independiente del Programa LD/FT.

La información personal de los CLIENTES no será compartida, divulgada, distribuida ni comercializada, salvo para los fines indicados en esta Política y en cumplimiento de la normativa aplicable.

Los datos recopilados en el marco de los procedimientos LD/FT serán utilizados exclusivamente para la prevención del lavado de dinero y de activos, financiamiento del terrorismo y financiamiento de la proliferación de armas de destrucción masiva, y no podrán ser usados para fines de mercadeo u otras actividades que no sean directamente requeridas por las obligaciones legales de la Empresa.

Los datos biométricos y de verificación de identidad serán utilizados exclusivamente para fines de verificación de identidad, prevención de fraude y cumplimiento de obligaciones regulatorias LD/FT. Dichos datos estarán sujetos a medidas reforzadas de seguridad, controles de acceso restringido y conservación limitada al plazo legalmente aplicable.

VII. Derechos del CLIENTE (Habeas Data)

Conforme al ordenamiento salvadoreño en materia de protección de datos personales, el CLIENTE podrá ejercer los siguientes derechos:

• **Acceso: **solicitar copia de la información personal que mantenemos sobre usted.

• **Rectificación: **solicitar la corrección de información inexacta o incompleta.

• **Actualización: **mantener su información actualizada (obligación contractual durante la vigencia de la relación).

• **Cancelación / eliminación: **solicitar la supresión de sus datos, sujeto a nuestras obligaciones legales de retención.

• **Oposición: **oponerse al tratamiento por motivos legítimos, salvo que dicho tratamiento sea necesario para el cumplimiento de obligaciones legales.

• **Revocación del consentimiento: **retirar el consentimiento, en el entendido de que ello puede hacer imposible la prestación del servicio. El CLIENTE libera a la Empresa de cualquier responsabilidad derivada de la suspensión o cancelación del servicio.

Para ejercer sus derechos, el CLIENTE deberá enviar solicitud escrita a sv@apolo.io o en físico a la dirección de la Empresa, aportando copia de su DUI o documento equivalente y, en caso de personas jurídicas, la documentación de representación correspondiente.

VIII. Omisión de información y consecuencias

La omisión de entrega o actualización de la información requerida será causal suficiente para, a criterio único de la Empresa y conforme a la normativa aplicable:

• Si no tiene cuenta abierta: rechazarse la apertura de la cuenta hasta que se cumpla con la información solicitada.

• Si ya tiene cuenta abierta: suspenderse la prestación de los servicios hasta que se cumpla con la información solicitada, o procederse al cierre definitivo de la cuenta.

• Rechazarse cualquier servicio que dependa de la información faltante, incluyendo custodia de activos digitales, transferencias y remesas.

El CLIENTE reconoce y acepta que la no apertura, el cierre o suspensión de la cuenta, por estas causas no genera ningún tipo de responsabilidad para la Empresa. El CLIENTE la libera a la empresa de toda responsabilidad y renuncia a cualquier acción que pudiera tener, o creer tener, derecho a ejercer en contra de la Empresa por esta causa.

IX. Cambios a esta Política

Esta Política de Privacidad podrá ser actualizada en cualquier momento. En caso de cambios materiales, se notificará al CLIENTE con al menos siete (7) días calendario de anticipación mediante comunicación al correo electrónico registrado. Para cambios no materiales, la única obligación de la Empresa es la publicación de un aviso en su sitio web.

Salvo disposición legal en contrario, el uso continuo de los servicios con posterioridad a la notificación o publicación de cambios, se entenderá como aceptación de la Política actualizada por parte del CLIENTE.

X. Ley aplicable y jurisdicción

La presente Política se rige por la legislación de la República de El Salvador, en particular —según resulte aplicable— por la Ley para la Emisión de Activos Digitales, la Ley Bitcoin, la Ley Contra el Lavado de Dinero y de Activos, su Reglamento, la Ley Especial Contra Actos de Terrorismo, la Ley de Protección al Consumidor, la Ley de Firma Electrónica y la jurisprudencia constitucional sobre Habeas Data. Cualquier controversia derivada de esta Política se resolverá conforme al mecanismo de resolución de disputas pactado en los Términos y Condiciones, sin perjuicio de los derechos del CLIENTE consumidor para acudir a las instancias administrativas y judiciales previstas en la Ley de Protección al Consumidor.

XI. Contacto y consentimiento informado

Para cualquier consulta, solicitud o reclamo relacionado con esta Política o el tratamiento de sus datos personales, contáctenos:

El CLIENTE reitera que entiende y acepta esta Política de Privacidad en su integridad, así como su aceptación en cuanto al tratamiento que dará la Empresa a su información según lo aquí expuesto y en cumplimiento de las normativas de protección de datos y cumplimiento financiero indicadas. El CLIENTE consiente libre y expresamente para que la información sea entregada a las entidades aquí indicadas con fines de información y cumplimiento legal.

XII. Vigencia y aceptación

1. Vigencia

La presente Política rige a partir del 1 de mayo de 2026 y permanecerá vigente hasta que sea modificada o sustituida conforme al procedimiento establecido en la Cláusula IX. La versión y fecha de vigencia se identifican permanentemente en el encabezado y pie de página del documento.

2. Mecanismos de aceptación

El CLIENTE acepta formalmente la presente Política a través de cualquiera de los siguientes mecanismos, los cuales tendrán igual valor probatorio y fuerza vinculante conforme a la Ley de Firma Electrónica de El Salvador:

• Firma autógrafa, firma electrónica certificada o firma electrónica simple del documento al momento de la vinculación formal con la Empresa.

• Aprobación mediante el botón de aceptación o casilla de verificación electrónica habilitada en las plataformas digitales, sitio web o aplicaciones de la Empresa.

• Uso efectivo de los servicios con posterioridad a la notificación de la Política o de sus actualizaciones.

**3. Declaración **de Aceptación

El CLIENTE declara que ha leído en su integridad y que entiende y acepta la presente Política de Privacidad, y que manifiesta su consentimiento conforme a los términos aquí establecidos mediante la suscripción de este documento o la aprobación en el botón de aceptación cuando corresponda.