Esta política regula específicamente la captura y revisión de documentos de identidad y selfie cuando QrPana deba verificar la identidad de una persona. Su objetivo es explicar con claridad qué se solicita, por qué se solicita, quién puede acceder a esa información y qué criterios se aplican para su conservación o eliminación.

1. Responsable y contacto

El responsable del KYC propio de QrPana es QRPANA S.A.S., RUC 2390643831001. Para consultas de privacidad relacionadas con verificación de identidad puedes escribir a soporte@qrpana.com.

2. Finalidad

La finalidad del KYC es verificar la identidad declarada, reducir suplantaciones y fraude, proteger operaciones sensibles, validar requisitos de cuenta y cumplir obligaciones legales cuando resulten aplicables. Los documentos no serán utilizados para publicidad ni para entrenar modelos de inteligencia artificial.

3. Datos solicitados

QrPana puede solicitar país emisor, tipo de documento, imagen frontal, reverso cuando sea necesario, selfie y datos de trazabilidad de la solicitud. Además, QrPana mantendrá un resultado de verificación —por ejemplo pendiente, aprobado o rechazado— y registros mínimos de auditoría aunque las imágenes hayan sido eliminadas del acceso operativo.

4. Revisión

La revisión debe describirse de forma veraz al titular. Si la verificación se realiza por el equipo autorizado de QrPana, la información publicada reflejará ese hecho. Si en el futuro se incorpora reconocimiento facial, comparación biométrica, evaluación automatizada o apoyo material de inteligencia artificial, QrPana actualizará previamente la información al titular y evaluará la base jurídica y los riesgos aplicables antes de activar esa función.

5. Acceso

Las imágenes KYC solo deben ser accesibles a personal específicamente autorizado para esa función y a quienes deban intervenir por cumplimiento o seguridad. No deben exponerse mediante URL pública directa. Todo acceso relevante debe ser trazable y restringido por rol.

6. Conservación y eliminación

Los archivos brutos de identidad y selfie se conservarán solo durante el período necesario para completar la revisión y gestionar una incidencia inmediata, y después se eliminarán de forma segura o se trasladarán a una retención legal restringida cuando exista una obligación de conservación aplicable.

Regla operativa: QrPana debe clasificar previamente si es o no un sujeto obligado que deba conservar documentación de debida diligencia bajo normativa antilavado u otra regulación sectorial. Si existe esa obligación, la evidencia requerida no se elimina por una política interna; se conserva bajo acceso restringido durante el plazo legal. Si no existe obligación de conservación, la minimización exige eliminar los archivos cuando la finalidad haya concluido.

7. Qué se conserva después de eliminar imágenes

Podrá conservarse un registro mínimo: identificador del usuario, tipo de documento, país, resultado, fecha de envío y revisión, identificador del revisor, razón de rechazo cuando corresponda, modo de retención aplicado y fecha de eliminación. Este registro no debe contener una copia completa del documento si no es necesaria.

8. Reenvíos y rechazos

Si la documentación es rechazada por ilegibilidad, inconsistencia o imposibilidad de validación, el usuario podrá recibir instrucciones para repetir la captura. Las versiones anteriores se someterán a la misma regla de eliminación o retención legal y no quedarán abandonadas en carpetas públicas ni accesibles a terceros no autorizados.

9. Seguridad

QrPana debe validar tipo MIME y tamaño, generar nombres aleatorios, guardar archivos fuera del directorio público, aplicar permisos restrictivos, transmitir por HTTPS, impedir acceso por identificación secuencial y mantener registro de revisiones. La mera extensión “.jpg” suministrada por el navegador no se considera una validación de seguridad suficiente.

10. Base jurídica

La base jurídica concreta dependerá de la finalidad y de la clasificación regulatoria de QrPana: ejecución de la relación y controles necesarios del servicio, cumplimiento de obligación legal cuando exista, interés legítimo debidamente evaluado para seguridad o, en los supuestos en que la ley lo exija, consentimiento explícito.

11. Derechos y reclamos

Los derechos del titular se ejercen conforme a la sección de Protección de Datos o escribiendo a soporte@qrpana.com. Una solicitud de eliminación podrá estar limitada cuando una norma obligue legítimamente a conservar determinados registros; en ese caso se informará la razón aplicable.