Política de Privacidad
Quash.ai ("Quash", "nosotros", "nos" o "nuestro") es una empresa fintech con sede en Miami que ofrece servicios de evaluación de riesgo crediticio impulsados por IA e inclusión financiera a clientes institucionales como bancos, financieras, instituciones de microfinanzas y comercios minoristas (colectivamente, "Clientes"). Procesamos datos en nombre de nuestros Clientes para ayudarlos a evaluar el riesgo crediticio y tomar decisiones de crédito basadas en datos.
1. Alcance y rol
Esta Política de Privacidad describe cómo manejamos los datos personales en relación con nuestros sitios web (incluido quash.ai), nuestras aplicaciones web y las APIs que ofrecemos a los Clientes. Para la mayoría de los servicios, Quash actúa como encargado del tratamiento en nombre de sus Clientes institucionales, quienes actúan como responsables del tratamiento y siguen siendo responsables de proporcionar avisos de privacidad adecuados a usuarios finales y solicitantes.
2. Datos personales que procesamos
Dependiendo de cómo se usen nuestros servicios, podemos procesar las siguientes categorías de datos personales en nombre de los Clientes:
• Datos de identificación y contacto (por ejemplo, nombre, números de identificación, datos de contacto) incluidos en solicitudes de préstamo o crédito.
• Datos financieros y relacionados con crédito (por ejemplo, historial de pagos, desempeño de préstamos, información de burós de crédito) proporcionados por los Clientes o sus proveedores de datos.
• Datos alternativos / de huella digital derivados del uso de correo electrónico y teléfono, cuando el Cliente lo habilite y sujeto a la ley aplicable y mecanismos de consentimiento.
• Datos técnicos y de uso relacionados con el acceso y uso de nuestras aplicaciones y APIs (por ejemplo, dirección IP, registros, información de dispositivo/navegador) con fines de seguridad y operativos.
También procesamos datos limitados de contacto empresarial (por ejemplo, correo laboral, nombre, cargo) del personal del Cliente que accede a nuestras plataformas.
3. Cómo usamos los datos personales
Usamos datos personales, principalmente como encargados del tratamiento en nombre de los Clientes, para:
• Ingerir, almacenar, transformar y enriquecer datos para modelado de riesgo crediticio y análisis.
• Entrenar, probar, validar y operar modelos de IA y flujos de decisión que entregan puntajes de riesgo crediticio y resultados relacionados a los Clientes.
• Proveer y operar nuestras APIs y aplicaciones web a través de las cuales los Clientes envían datos y obtienen puntajes o decisiones.
• Mantener y mejorar la seguridad, disponibilidad y rendimiento de nuestras plataformas (incluyendo registro, monitoreo, detección de incidentes y prevención de fraude).
• Cumplir con obligaciones legales, regulatorias y contractuales aplicables a Quash y sus Clientes en las jurisdicciones donde operan.
Cuando actuamos como responsables del tratamiento (por ejemplo, para el análisis de nuestro propio sitio web, ventas y marketing), usamos datos para operar y mejorar nuestro negocio, responder consultas y comunicarnos con Clientes potenciales y existentes.
3A. Tratamiento de datos personales
Al proveer nuestros servicios, Quash procesa datos personales en nombre de sus Clientes institucionales para permitir la evaluación de riesgo crediticio y análisis relacionados. Este tratamiento ("procesamiento de datos" o "tratamiento de datos personales") incluye, según corresponda: recolección, recepción, registro, organización, estructuración, almacenamiento, adaptación o modificación, recuperación, consulta, uso, divulgación por transmisión, combinación, restricción, supresión y eliminación de datos personales, según las instrucciones del Cliente correspondiente.
Como regla general, Quash actúa como encargado del tratamiento / proveedor de servicios y nuestros Clientes actúan como responsables del tratamiento (o conceptos equivalentes bajo la ley aplicable). Los Clientes son responsables de proporcionar avisos de privacidad adecuados a los titulares de los datos (como solicitantes y prestatarios), obtener los consentimientos requeridos y determinar las bases legales y fines para los cuales se procesan los datos personales. Quash procesa datos personales únicamente:
• Para los fines descritos en esta Política de Privacidad y en el acuerdo aplicable con el Cliente.
• De acuerdo con las instrucciones documentadas del Cliente, salvo que la ley aplicable exija lo contrario.
Cuando Quash actúa como responsable del tratamiento (por ejemplo, para datos de contacto empresarial del personal del Cliente, visitantes del sitio web o prospectos), procesamos dichos datos para fines claramente definidos, como operar nuestro sitio web, gestionar relaciones con clientes, brindar soporte, mejorar nuestros servicios y cumplir con obligaciones legales. En estos casos, limitamos el tratamiento a lo necesario, aplicamos las salvaguardas apropiadas y respetamos los derechos de protección de datos aplicables.
4. Bases legales y requisitos regionales
Quash está constituida en Estados Unidos y atiende principalmente a Clientes institucionales en América Latina. Al procesar datos personales de México, Brasil, Chile, Colombia y otros países latinoamericanos, apoyamos a nuestros Clientes en el cumplimiento de los requisitos de protección de datos aplicables, incluyendo:
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).
• Brasil: Ley General de Protección de Datos de Brasil (LGPD).
• Chile: Ley de Protección de Datos Personales 21.719.
• Colombia: Ley Estatutaria 1266 de 2008 (información financiera y crediticia).
• Otras jurisdicciones latinoamericanas: normativa nacional de protección de datos, protección al consumidor y regulaciones financieras aplicables donde operan los Clientes.
Los Clientes siguen siendo responsables de determinar la base legal apropiada (como el consentimiento, la necesidad contractual o el interés legítimo) para procesar los datos de sus usuarios finales y de cumplir con los requisitos locales de notificación y consentimiento. Quash apoya este cumplimiento mediante medidas técnicas y organizativas apropiadas, según se describe en esta Política de Privacidad y en nuestros Acuerdos de Procesamiento de Datos (DPA).
5. Compartición de datos y subencargados
Usamos proveedores confiables de nube y SaaS para alojar y operar nuestros servicios, incluyendo:
• Infraestructura en la nube y plataformas de datos (por ejemplo, AWS, Databricks).
• Herramientas de productividad y colaboración (por ejemplo, Google Workspace, ClickUp).
• Repositorios de código fuente y herramientas de CI/CD (por ejemplo, GitHub).
Estos proveedores actúan como subencargados y están contractualmente obligados a implementar medidas técnicas y organizativas apropiadas para proteger los datos personales. Una lista actual de nuestros subencargados está disponible a solicitud y se actualiza regularmente.
También podemos compartir datos con burós de crédito o proveedores de datos según las instrucciones de los Clientes y conforme a las restricciones contractuales. No vendemos datos personales a terceros con fines de marketing o comerciales.
6. Transferencias internacionales de datos
Los datos del Cliente pueden procesarse en centros de datos ubicados fuera del país de origen, incluyendo Estados Unidos y otras jurisdicciones, sujeto a las salvaguardas contractuales apropiadas. Cuando lo exijan las leyes locales de protección de datos, trabajamos con los Clientes para implementar mecanismos de transferencia de datos (como Cláusulas Contractuales Estándar u otros mecanismos aprobados) y protecciones contractuales conformes a los requisitos aplicables.
7. Seguridad
Quash mantiene un Sistema de Gestión de Seguridad de la Información (SGSI) alineado con ISO/IEC 27001:2022, que cubre:
• Infraestructura en la nube y entornos de procesamiento de datos (AWS, Databricks).
• Gestión de identidad y acceso, autenticación y controles de autorización.
• Cifrado de datos en tránsito y en reposo.
• Segmentación de datos por Cliente para garantizar aislamiento.
• Prácticas de desarrollo seguro, revisión de código y controles de CI/CD.
• Registro, monitoreo y detección de incidentes.
• Procedimientos de respuesta y gestión de incidentes.
• Gestión de riesgo de proveedores y terceros.
Aplicamos estas medidas para proteger los datos personales contra acceso no autorizado, divulgación, alteración, pérdida o destrucción. Las medidas de seguridad se revisan y actualizan regularmente para atender amenazas en evolución.
8. Retención de datos
Conservamos los datos personales durante el tiempo necesario para prestar los servicios bajo nuestros acuerdos con los Clientes o según lo exija la ley aplicable. Los períodos de retención se definen en colaboración con los Clientes y pueden variar según el caso de uso y la jurisdicción. Al finalizar la relación o por instrucción del Cliente, los datos se eliminan o anonimizan conforme a los procedimientos acordados y los requisitos legales aplicables.
9. Derechos de los titulares de datos
Los usuarios finales, solicitantes y otros titulares de datos que deseen ejercer derechos sobre sus datos personales (como acceso, corrección, eliminación, oposición, portabilidad o restricción del tratamiento) deben, en general, contactar al Cliente correspondiente (por ejemplo, su banco o prestamista), quien actúa como responsable principal del tratamiento.
Quash apoya a los Clientes en la atención de solicitudes de los titulares de datos mediante:
• Mecanismos que faciliten solicitudes de acceso, eliminaciones y correcciones cuando sea técnicamente posible.
• Asistencia a los Clientes para responder a consultas regulatorias o auditorías relacionadas con derechos de los titulares de datos.
• Mantenimiento de documentación de las actividades de tratamiento de datos y salvaguardas en apoyo de las obligaciones de cumplimiento de los Clientes.
Cuando sea legalmente requerido y técnicamente posible, Quash responderá directamente a las solicitudes de titulares de datos que no puedan ser atendidas adecuadamente a través del Cliente.
10. Enlaces y contenido de terceros
Nuestros sitios web pueden contener enlaces a sitios web o servicios de terceros. Esta Política de Privacidad aplica únicamente a Quash.ai y sus servicios; no somos responsables de las prácticas de privacidad de sitios de terceros. Le recomendamos revisar sus políticas de privacidad antes de proporcionar información personal.
11. Niños y menores de edad
Nuestros servicios están diseñados para Clientes institucionales y no están dirigidos intencionalmente a niños o menores de edad. No recolectamos ni procesamos a sabiendas datos personales de personas menores de 18 años, salvo cuando sea razonablemente necesario en el contexto de solicitudes de crédito realizadas por dichas personas a nuestros Clientes. Si tomamos conocimiento de que hemos recolectado datos personales de un menor de forma inapropiada, tomaremos medidas para eliminar dichos datos con prontitud.
12. Contáctanos
Para preguntas sobre esta Política de Privacidad, nuestras prácticas de privacidad, o para ejercer derechos de titulares de datos (para datos controlados por Quash), puede contactarnos en:
Correo: security@quash.ai
Sitio web: https://quash.ai
Para solicitudes de titulares de datos relacionadas con datos procesados por Quash en nombre de Clientes, por favor contacte al Cliente correspondiente (su banco, prestamista u otra institución financiera).
13. Actualizaciones de esta Política
Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas, requisitos legales u otros factores. La versión actualizada se indicará con una fecha de "última actualización" y entrará en vigor tan pronto como esté accesible en esta página. Le recomendamos revisar esta Política de Privacidad periódicamente para mantenerse informado sobre cómo protegemos su información.