Política de Privacidad

ExMetal

Tratamiento y protección de datos personales conforme a la Ley N° 29733

Versión 1.0 · Junio 2026

Operado por ExMetal S.A.C.

[RUC pendiente de constitución]

Aviso importante

Este documento es una plantilla base que requiere revisión por un abogado peruano especializado en protección de datos personales antes de su uso. Debe ser adaptado y, en su caso, inscribir el banco de datos correspondiente ante la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia, conforme a la Ley N° 29733 y su Reglamento (D.S. N° 003-2013-JUS).

1. Identidad del responsable del tratamiento

El responsable del tratamiento de los datos personales recolectados a través de la Plataforma ExMetal es:

Razón social

ExMetal S.A.C.

RUC

[Pendiente de constitución]

Domicilio fiscal

[A definir al constituir]

Correo de contacto

privacidad@exmetal.com

Sitio web

exmetal.com

La presente Política de Privacidad se rige por la Ley N° 29733 — Ley de Protección de Datos Personales, su Reglamento aprobado por D.S. N° 003-2013-JUS, y normas modificatorias y complementarias.

2. Datos personales que recolectamos

Para operar la Plataforma de forma segura, conforme a ley y conforme al servicio contratado, ExMetal recolecta los siguientes datos personales:

2.1 Datos de identificación

Nombres y apellidos completos.
Tipo y número de documento de identidad (DNI, Carné de Extranjería, Pasaporte).
Fecha de nacimiento.
Nacionalidad.

2.2 Datos de contacto

Dirección de correo electrónico.
Número de teléfono celular.
Dirección domiciliaria (calle, distrito, región, código postal).

2.3 Datos de la cuenta y operación

Nombre de usuario y contraseña encriptada.
Historial de órdenes y transacciones.
Saldo de oro en custodia.
Comunicaciones con el servicio de atención al cliente.

2.4 Datos para verificación de identidad (KYC)

Imagen del documento de identidad (frente y dorso).
Selfie sosteniendo el documento de identidad.
Comprobante de domicilio (en niveles superiores de verificación).
Declaración de origen de fondos (en niveles superiores de verificación).

2.5 Datos de pago

Los datos de tarjetas o métodos de pago NO son almacenados por ExMetal. Estos datos son procesados directamente por nuestros proveedores de pago (Stripe, MercadoPago u otros), conforme a sus propias políticas de privacidad y cumpliendo estándares PCI-DSS.

2.6 Datos técnicos y de uso

Dirección IP.
Tipo de navegador y sistema operativo.
Identificadores de dispositivo.
Páginas visitadas, tiempo de permanencia y acciones realizadas en la Plataforma.
Cookies y tecnologías similares (ver Política de Cookies).

3. Finalidades del tratamiento

Los datos personales son tratados exclusivamente para las siguientes finalidades:

3.1 Finalidades necesarias para la prestación del servicio

Crear y administrar la cuenta del Usuario.
Procesar pre-órdenes y pagos.
Gestionar la custodia de oro.
Comunicar el estado de las órdenes y notificaciones operativas.
Atender consultas, reclamos y solicitudes de soporte.
Emitir comprobantes de pago conforme a la normativa SUNAT.

3.2 Finalidades de cumplimiento legal

Verificar la identidad del Usuario (KYC) conforme a las normas SBS y UIF.
Prevenir el lavado de activos y financiamiento del terrorismo.
Cumplir con requerimientos de autoridades competentes.
Conservar registros conforme a la normativa tributaria y financiera.

3.3 Finalidades de seguridad

Prevenir el fraude y proteger la integridad de las operaciones.
Mantener la seguridad de la Plataforma.
Investigar incidentes de seguridad.

3.4 Finalidades de mejora del servicio

Analizar el uso de la Plataforma para optimizar la experiencia del Usuario.
Desarrollar nuevas funcionalidades.

Para finalidades distintas a las indicadas, ExMetal solicitará el consentimiento previo, expreso e informado del Usuario.

4. Base legal del tratamiento

El tratamiento de datos personales se realiza bajo las siguientes bases de legitimación, conforme a la Ley N° 29733:

Base legal

Aplicada a

Consentimiento

Datos otorgados voluntariamente al registrarse y aceptar esta política.

Ejecución de contrato

Procesamiento de órdenes, custodia y todas las operaciones contratadas.

Cumplimiento legal

Verificación KYC, prevención de lavado de activos, requerimientos SUNAT, SBS, UIF.

Interés legítimo

Prevención de fraude, seguridad de la Plataforma, defensa frente a reclamos.

5. Comunicación de datos a terceros

ExMetal NO vende, alquila ni comercializa datos personales con terceros. Los datos personales solo se comparten cuando es estrictamente necesario para la operación del servicio o por exigencia legal, con las siguientes categorías de terceros:

5.1 Proveedores de servicios operativos

Refinerías productoras de oro (para procesar y entregar las órdenes).
Procesadores de pago (Stripe, MercadoPago, y otros que se integren).
Servicios de envío de correos electrónicos (Resend u otros).
Proveedores de infraestructura en la nube (AWS, Vercel, Railway, Supabase y otros).
Servicios de almacenamiento de archivos (S3 o equivalentes).
Servicios de logística y custodia (cuando aplique entrega física).

Cada uno de estos terceros está obligado contractualmente a tratar los datos exclusivamente conforme a las instrucciones de ExMetal y respetando la confidencialidad y seguridad de los mismos.

5.2 Autoridades competentes

ExMetal está obligado a entregar información personal a:

Superintendencia de Banca, Seguros y AFP (SBS).
Unidad de Inteligencia Financiera (UIF-Perú).
Superintendencia Nacional de Aduanas y de Administración Tributaria (SUNAT).
Poder Judicial, Ministerio Público y otras autoridades, mediante orden o requerimiento formal.

5.3 Operaciones corporativas

En caso de operaciones corporativas como fusión, escisión, adquisición o transmisión de activos, los datos personales podrán ser transmitidos al sucesor jurídico de ExMetal, manteniendo las mismas obligaciones de protección.

5.4 Transferencias internacionales

Algunos de nuestros proveedores de servicio (especialmente de infraestructura en la nube) pueden estar ubicados fuera del Perú. ExMetal solo transfiere datos a países o proveedores que cuenten con niveles adecuados de protección, o mediante cláusulas contractuales que garanticen la protección equivalente a la peruana.

6. Plazo de conservación

Los datos personales se conservan únicamente por el tiempo necesario para cumplir con las finalidades para las que fueron recolectados y para cumplir con las obligaciones legales aplicables.

Tipo de dato

Plazo de conservación

Datos de la cuenta activa

Mientras la cuenta permanezca abierta.

Datos tras cierre de cuenta

Cinco (5) años, conforme a normas tributarias y financieras.

Documentos KYC

Cinco (5) años desde el cierre de cuenta, conforme a normas SBS/UIF.

Registros de transacciones

Cinco (5) años, conforme al Código Tributario.

Comunicaciones de soporte

Dos (2) años tras la última interacción.

Vencidos estos plazos, los datos serán eliminados o anonimizados de forma segura.

7. Derechos del titular de los datos

Conforme a la Ley N° 29733, el Usuario tiene los siguientes derechos sobre sus datos personales:

7.1 Derecho de información

Conocer qué datos se tratan, con qué finalidad, durante cuánto tiempo y con quién se comparten. La presente Política responde a este derecho.

7.2 Derecho de acceso

Obtener copia de los datos personales que ExMetal trata sobre el Usuario.

7.3 Derecho de actualización, inclusión, rectificación y supresión

Solicitar la modificación de datos inexactos o desactualizados, o la eliminación cuando dejen de ser necesarios.

7.4 Derecho de oposición

Oponerse al tratamiento de sus datos cuando exista motivo legítimo y siempre que no exista obligación legal de ExMetal de continuar el tratamiento.

7.5 Derecho de revocación del consentimiento

Revocar en cualquier momento el consentimiento prestado, sin efectos retroactivos.

7.6 Derecho de portabilidad

Recibir los datos en formato estructurado y de uso común.

7.7 Cómo ejercer estos derechos

El Usuario puede ejercer estos derechos enviando una solicitud a privacidad@exmetal.com indicando:

Nombres y apellidos completos.
Número de documento de identidad.
Correo electrónico registrado.
Derecho que desea ejercer y descripción específica.

ExMetal responderá la solicitud en un plazo máximo de veinte (20) días hábiles. En caso de denegación o respuesta insatisfactoria, el Usuario puede presentar reclamo ante la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia.

8. Medidas de seguridad

ExMetal implementa medidas técnicas, organizativas y legales razonables para proteger los datos personales contra acceso no autorizado, pérdida, alteración o divulgación indebida. Entre estas medidas se incluyen:

Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones con la Plataforma.
Cifrado de contraseñas mediante algoritmos de hashing seguros (bcrypt).
Almacenamiento seguro de bases de datos con acceso restringido.
Autenticación basada en tokens JWT con expiración.
Registros de auditoría sobre accesos y modificaciones.
Controles de acceso por roles dentro del personal autorizado.
Capacitación periódica al equipo en materia de protección de datos.

No obstante las medidas implementadas, ninguna transmisión por Internet o almacenamiento electrónico es 100% seguro. El Usuario debe proteger su contraseña y comunicar inmediatamente cualquier sospecha de acceso no autorizado.

9. Datos de menores de edad

La Plataforma está dirigida exclusivamente a personas mayores de dieciocho (18) años. ExMetal no recolecta intencionalmente datos personales de menores de edad.

Si tomamos conocimiento de que se han recolectado datos de un menor, procederemos a eliminarlos de manera inmediata. Si el Usuario considera que un menor ha registrado datos en la Plataforma, deberá comunicarlo a privacidad@exmetal.com.

10. Cookies y tecnologías similares

La Plataforma utiliza cookies y tecnologías similares para mejorar la experiencia del Usuario, analizar el uso, y mantener la sesión. El uso específico de cookies se detalla en la Política de Cookies, que forma parte integral del presente documento.

11. Cambios en la Política de Privacidad

ExMetal podrá actualizar esta Política de Privacidad para reflejar cambios en su operación, en la legislación aplicable, o en las prácticas de tratamiento de datos.

Cualquier modificación se notificará a través de la Plataforma y/o por correo electrónico con al menos treinta (30) días calendario de anticipación a su entrada en vigor, salvo que se trate de adecuaciones a una nueva normativa, en cuyo caso aplicarán los plazos que esta determine.

La fecha de última actualización siempre estará indicada al pie del documento.

12. Inscripción del banco de datos

Conforme a la Ley N° 29733, el banco de datos personales de ExMetal será inscrito en el Registro Nacional de Protección de Datos Personales, administrado por la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia.

El Usuario podrá acceder al Registro a través del portal de la ANPDP: https://www.gob.pe/anpdp

13. Contacto y consultas

Para cualquier consulta, ejercicio de derechos o reclamo relacionado con el tratamiento de datos personales, el Usuario puede comunicarse con nosotros a través de:

Correo electrónico

privacidad@exmetal.com

Soporte general

soporte@exmetal.com

Plazo de respuesta

Hasta veinte (20) días hábiles

Si el Usuario considera que sus derechos no han sido atendidos adecuadamente, puede presentar reclamo ante:

Autoridad Nacional de Protección de Datos Personales (ANPDP) — Ministerio de Justicia y Derechos Humanos.
Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual (INDECOPI).

Al utilizar la Plataforma y aceptar los Términos y Condiciones, el Usuario reconoce haber leído, comprendido y aceptado el tratamiento de sus datos personales conforme a la presente Política de Privacidad.

ExMetal S.A.C.

Plataforma de marketplace minero

exmetal.com