Aviso de Privacidad Complementario para Colombia “Suplemento”

1. Objeto, alcance y relación con el Aviso de privacidad global de Visa Inc. y sus Afiliadas

Este documento cumple una doble función: (i) constituye la política de tratamiento de la información personal aplicable al Tratamiento sujeto a la legislación colombiana, incluido el Tratamiento realizado en Colombia o al que dicha legislación resulte aplicable; y (ii) complementa el Aviso de privacidad global de Visa (el “Aviso Global”). Este Suplemento es un aviso externo dirigido exclusivamente a consumidores y a otros Titulares que interactúan con Visa en el contexto de sus productos, servicios, promociones, actividades comunitarias, relaciones comerciales, calidad de accionistas o interacciones con autoridades y proveedores en Colombia. El Tratamiento de datos de empleados, candidatos y demás personal de Visa —incluidos exempleados, contratistas de la fuerza laboral, pensionados y beneficiarios— se rige por avisos o políticas laborales separados y no está comprendido en este Suplemento. Debe leerse conjuntamente con el Aviso Global, que describe, entre otros aspectos, las categorías de información personal, sus fuentes, las finalidades globales, las categorías de terceros, las transferencias internacionales, la seguridad, la conservación y los canales generales de privacidad. En caso de contradicción respecto de un Tratamiento sujeto a la legislación colombiana, prevalecerán las disposiciones imperativas colombianas y, en lo específico, este Suplemento. Este documento no sustituye el Aviso Global ni los avisos específicos que se entreguen para determinados productos, servicios, promociones, cookies o aplicaciones; estos últimos podrán complementar la información y, si identifican a otro Responsable, regirán el Tratamiento que dicho Responsable determine.
 

2. Identificación del Responsable y distribución de roles

Para efectos de la Ley 1581 de 2012, Visa Inc. será Responsable del Tratamiento únicamente respecto de los Tratamientos sobre los cuales determine directamente las finalidades y los medios.

Si una Afiliada determina directamente las finalidades y los medios de un Tratamiento sujeto a la legislación colombiana, dicha Afiliada será el Responsable correspondiente respecto de ese Tratamiento.

Cuando Visa Inc. o una Afiliada trate datos personales por cuenta y siguiendo las instrucciones de un cliente —por ejemplo, un emisor, comercio, adquirente u otra entidad que contrate servicios de Visa—, ese cliente será el Responsable y Visa Inc. o la Afiliada correspondiente actuará como Encargado, dentro del alcance de las instrucciones y del contrato aplicable. En ese caso, el cliente deberá informar al Titular y atender sus derechos, sin perjuicio de las obligaciones que correspondan a Visa Inc. o a la Afiliada correspondiente como Encargado y de los Tratamientos respecto de los cuales Visa Inc. o la Afiliada correspondiente determine autónomamente las finalidades y los medios.

Datos de Identificación:
Visa Inc.: domicilio, 900 Metro Center Boulevard, Foster City, CA 94404, Estados Unidos.
Correo electrónico para asuntos de privacidad: [email protected]

Visa, en calidad de Responsable del Tratamiento cuando corresponda, cumplirá los deberes previstos en la Ley 1581 de 2012 y demás normas aplicables, incluyendo, entre otros: (i) garantizar al Titular el ejercicio pleno y efectivo del derecho de hábeas data; (ii) solicitar y conservar copia de la respectiva autorización cuando sea exigible; (iii) informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten; (iv) conservar la información bajo condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; (v) actualizar, rectificar o suprimir la información cuando sea procedente; y (vi) tramitar oportunamente las consultas y reclamos presentados por los Titulares.
 

3. Datos tratados, principios y condiciones generales del Tratamiento

Visa podrá tratar, según la relación y la interacción con el Titular, datos de contacto; datos financieros y de transacciones; información de relación, preferencias y perfiles; información de interacción; identificadores biométricos como reconocimiento facial, huellas dactilares u otros patrones físicos o de comportamiento; información inferida o derivada; información técnica y en línea; información audiovisual; números de identificación; geolocalización; información profesional y de contacto comercial externo, cuando corresponda; y datos de cumplimiento. El Tratamiento se limitará a datos adecuados, pertinentes y necesarios para finalidades determinadas, explícitas y legítimas, y observará los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad previstos en la legislación colombiana.
 

Tratamiento de datos personales de niñas, niños y adolescentes:

En general, las plataformas y productos de Visa no están dirigidas a niñas, niños y adolescentes menores de 18 años. Visa no solicitará ni tratará datos personales de personas menores de edad salvo cuando ello sea admisible y necesario para una finalidad determinada, de conformidad con la legislación colombiana y este Suplemento.

A) El Tratamiento deberá responder y respetar el interés superior de las niñas, niños y adolescentes.
B) El Tratamiento deberá asegurar el respeto de sus derechos fundamentales.
C) Se valorará su opinión cuando cuenten con madurez, autonomía y capacidad para entender el asunto.

Cuando proceda, Visa solicitará la autorización del representante legal, informará la finalidad de manera clara y adecuada y, cuando sea pertinente, tendrá en cuenta la opinión del menor. Las finalidades opcionales, en particular las de mercadeo o personalización, no se condicionarán a la entrega de datos de menores.
 

Tratamiento de datos sensibles y datos biométricos:

Visa identificará y tratará los datos sensibles únicamente cuando sean necesarios para una finalidad específica y lícita. Antes de solicitar datos sensibles, Visa informará al Titular que el suministro de dicha información es facultativo y que no está obligado a autorizar su Tratamiento. El Titular no está obligado a autorizar su Tratamiento; la negativa no producirá efectos adversos ni impedirá el acceso al servicio, salvo cuando el dato sea estrictamente necesario para prestarlo, caso en el cual se informarán las consecuencias de no suministrarlo.

En este sentido, Visa únicamente tratará datos sensibles y biométricos, sujeto a las limitaciones indicadas anteriormente, cuando:

A) El Titular haya otorgado autorización explícita, previa e informada, salvo que la ley permita el Tratamiento sin autorización.
B) Sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado; en tal caso, la autorización será otorgada por su representante legal cuando corresponda.
C) Sea efectuado por una fundación, organización no gubernamental, asociación u organismo sin ánimo de lucro en el curso de sus actividades legítimas y con garantías adecuadas, exclusivamente respecto de sus miembros o de personas con contacto regular por razón de su finalidad, sin suministrarlo a terceros sin autorización cuando esta sea exigible.
D) Sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
E) Tenga finalidad histórica, estadística o científica y se adopten medidas conducentes a la supresión de la identidad de los Titulares. La misma regla se aplicará a cualquier otra excepción prevista en la Ley 1581 de 2012 y sus normas reglamentarias.

Cuando los datos biométricos —por ejemplo, reconocimiento facial, huellas dactilares u otros patrones físicos o de comportamiento— se utilicen para identificar o autenticar de manera unívoca a una persona, Visa los tratará como datos sensibles. Solicitará autorización explícita y separada cuando sea exigible, informará la finalidad y ofrecerá una alternativa razonable cuando el uso biométrico sea opcional. No utilizará datos biométricos para una finalidad distinta de la informada sin la autorización o habilitación legal correspondiente.
 

4. Bases jurídicas y autorización

En Colombia, el Tratamiento se sustentará en la autorización previa, expresa e informada del Titular, salvo las excepciones legales. La autorización describirá las finalidades específicas, las categorías de datos pertinentes, el carácter facultativo de las respuestas cuando se soliciten datos sensibles o de menores y los derechos del Titular; se obtendrá antes o a más tardar al momento de la recolección y se conservará prueba consultable. La autorización podrá constar por escrito, por medios electrónicos o por cualquier mecanismo que permita su consulta posterior.

El Tratamiento también podrá realizarse sin autorización únicamente en los casos previstos en la Ley 1581 de 2012, incluidos, según corresponda, la información requerida por una autoridad pública o por orden judicial; los datos de naturaleza pública; las urgencias médicas o sanitarias; los Tratamientos autorizados por la ley para fines históricos, estadísticos o científicos; y los datos relacionados con el Registro Civil de las Personas.

El Tratamiento se fundamentará principalmente en la autorización previa, expresa e informada del Titular, salvo en los eventos en que la Ley 1581 de 2012 establezca una excepción. Cuando exista una relación contractual, legal o reglamentaria, Visa podrá tratar los datos necesarios para su ejecución siempre que dicho Tratamiento se encuentre amparado por la autorización obtenida o por una excepción legal aplicable.
 

5. Finalidades del Tratamiento

Comunidad de áreas de influencia:
Visa tratará sus datos para identificar y mantener la relación con la comunidad; comunicar y gestionar programas, actividades, eventos, consultas, solicitudes y compromisos sociales; coordinar la ejecución, seguimiento y evaluación de iniciativas; cumplir obligaciones legales y contractuales; y proteger derechos, personas y bienes. Las comunicaciones de mercadeo o las finalidades opcionales se sujetarán a autorización cuando sea exigible.
 

Accionistas:

Visa tratará sus datos para administrar la relación accionaria; registrar y verificar su identidad y participación; enviar comunicaciones corporativas y atender solicitudes; gestionar reuniones, votaciones, pagos y obligaciones legales; elaborar reportes y estadísticas internas; y ejercer o defender derechos en actuaciones administrativas o judiciales.
 

Clientes:

Visa tratará sus datos para establecer, administrar y ejecutar la relación comercial; verificar identidad, facultades y elegibilidad; prestar y soportar los productos y servicios solicitados; gestionar pagos, facturación, atención, soporte y resolución de controversias; prevenir fraude y proteger la seguridad de las redes, sistemas y operaciones; cumplir obligaciones legales y contractuales; realizar auditorías, análisis y reportes; y ejercer o defender derechos.
 

Usuarios:

Visa tratará sus datos para habilitar y autenticar el uso de productos y servicios; procesar y resolver transacciones y controversias cuando corresponda; prestar atención y soporte; administrar preferencias, cuentas, programas y eventos; prevenir fraude y riesgos de seguridad; analizar y mejorar productos y servicios; cumplir obligaciones legales; y ejercer o defender derechos. Los titulares de tarjetas deberán dirigir al emisor las solicitudes sobre información que este controle, conforme al Aviso Global.
 

Entidades y agentes del Estado:

Visa tratará sus datos para atender requerimientos legales o administrativos, órdenes judiciales, actuaciones de inspección, vigilancia o control, trámites, reportes y solicitudes de autoridades; colaborar con investigaciones y funciones públicas cuando la ley lo permita; y ejercer o defender derechos.
 

Proveedores y contactos comerciales externos de los proveedores:

Visa tratará los datos de los proveedores y de sus contactos comerciales externos, incluidos, cuando corresponda, sus trabajadores y contratistas, únicamente para seleccionar, vincular y gestionar proveedores; verificar identidad, facultades, experiencia y cumplimiento; formalizar y ejecutar contratos; coordinar accesos, entregas, soporte, pagos, facturación y auditorías; gestionar riesgos, seguridad, continuidad, prevención de fraude y cumplimiento legal; atender solicitudes; y ejercer o defender derechos.
 

5.1. Finalidades opcionales y separación de autorizaciones

Cuando no sean necesarias para prestar el producto o servicio, Visa podrá tratar datos para enviar comunicaciones comerciales, ofertas personalizadas o publicidad basada en intereses; realizar encuestas, concursos, sorteos, programas de lealtad o eventos; personalizar contenidos; utilizar cookies o tecnologías similares con fines de mercadeo; obtener geolocalización precisa; habilitar notificaciones; o compartir datos con socios publicitarios. Estas finalidades se identificarán por separado y se solicitará la autorización u opción del Titular cuando sea exigible. La negativa o revocatoria de estas finalidades no afectará las finalidades necesarias o legalmente autorizadas.

Visa no utilizará perfiles, datos inferidos o derivados ni datos biométricos para finalidades opcionales distintas de las informadas sin la autorización o habilitación legal correspondiente.
 

6. Conservación de la información

Visa conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades informadas, atender la relación correspondiente, cumplir obligaciones legales, contractuales o judiciales, resolver controversias, ejercer o defender derechos y mantener registros exigidos por la ley. Cuando los datos ya no sean necesarios, serán suprimidos, anonimizados o sometidos a una medida equivalente de acuerdo con la legislación y los procedimientos de conservación aplicables. La conservación no autoriza el uso de los datos para finalidades incompatibles.
 

7. Seguridad y confidencialidad

Visa adoptará medidas físicas, técnicas, organizacionales y administrativas razonables y proporcionales al riesgo para proteger los datos personales contra acceso, uso, divulgación, alteración, pérdida o destrucción no autorizados. Las medidas podrán incluir controles de acceso, cifrado, continuidad, gestión de incidentes y evaluaciones de seguridad, según la naturaleza de la información y el Tratamiento.

Quienes intervengan en el Tratamiento, incluidas las Afiliadas, los Encargados y los terceros autorizados, deberán mantener la confidencialidad de los datos, incluso después de que finalice su intervención, salvo divulgación autorizada por el Titular, por la ley o por autoridad competente. Visa exigirá contractualmente instrucciones, confidencialidad y medidas de seguridad a los Encargados y limitará el acceso a quienes lo necesiten.
 

8. Transferencias y transmisiones nacionales e internacionales

Visa podrá realizar transferencias de datos a otros Responsables, incluidas Afiliadas, clientes, instituciones financieras, comercios, procesadores de pagos, autoridades y otros terceros descritos en el Aviso Global, cuando exista una finalidad informada y una base legal aplicable, incluyendo países que pueden no haber sido declarados por la Superintendencia de Industria y Comercio (en adelante, la “SIC”) como proveedores de niveles adecuados de protección. En dichos casos, Visa implementará los mecanismos legales aplicables previstos en la normativa colombiana.

Las transferencias nacionales e internacionales se limitarán a los datos necesarios y se efectuarán conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones de la SIC.

Habrá transmisión cuando Visa o un proveedor trate datos por cuenta del Responsable y siguiendo sus instrucciones, sin decidir autónomamente las finalidades. Las transmisiones se documentarán en los contratos correspondientes y exigirán deberes de confidencialidad, seguridad, uso limitado, devolución o supresión cuando termine el servicio y control de subcontratistas cuando corresponda.

Cuando la información salga de Colombia, Visa verificará que la transferencia o transmisión cumpla los requisitos colombianos aplicables, incluidos los relativos al país receptor, la autorización del Titular o la excepción legal pertinente. Si el país receptor no ofrece un nivel adecuado de protección reconocido por la SIC, la transferencia solo se realizará cuando opere una excepción legal o se cumplan las condiciones y autorizaciones exigidas por la SIC. Visa podrá utilizar centros de datos y proveedores ubicados en Estados Unidos, Europa u otros países, como se explica en el Aviso Global, sin perjuicio de las salvaguardas exigidas por la ley colombiana.
 

9. Derechos de los Titulares

Los titulares de los datos personales sobre los cuales Visa actúe como Responsable podrán ejercer los siguientes derechos:

A) Conocer, actualizar y rectificar sus datos personales frente al Responsable o Encargado, especialmente cuando sean parciales, inexactos, incompletos, fraccionados o induzcan a error.
B) Solicitar prueba de la autorización otorgada, salvo cuando la ley exceptúe ese requisito o el Tratamiento se encuentre amparado en una excepción legal.
C) Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
D) Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la legislación de protección de datos, una vez se haya agotado el trámite previo ante Visa previsto en este Suplemento.
E) Revocar la autorización, total o parcialmente, cuando el Tratamiento se funde en ella, y solicitar la supresión de sus datos cuando considere que se han vulnerado los principios, derechos o garantías legales, o cuando los datos ya no sean necesarios para la finalidad informada, sujeto a las excepciones legales.

La revocatoria y la supresión no requieren una determinación previa de la SIC. Podrán negarse o limitarse cuando el Titular tenga el deber legal o contractual de permanecer en una base de datos, cuando Visa tenga el deber legal, contractual o judicial de conservar o continuar tratando los datos, o cuando exista otra excepción legal, en cuyo caso se informarán las razones y el alcance de la negativa.

F) Acceder gratuitamente a sus datos personales objeto de Tratamiento. Las consultas serán gratuitas, por lo menos, una vez cada mes calendario y cada vez que existan modificaciones sustanciales de las directrices de Tratamiento que motiven nuevas consultas, sin perjuicio de los límites y condiciones legales aplicables.
 

10. Procedimiento para el ejercicio de derechos, consultas y reclamos

El Titular, su causahabiente, representante o apoderado podrá presentar una consulta o reclamo a Visa, de conformidad con el procedimiento que se indica en la siguiente sección. La solicitud deberá identificar al Titular, describir con claridad la petición, indicar los datos o Tratamientos a los que se refiere, aportar los documentos que acrediten identidad y representación cuando corresponda y señalar un medio para recibir respuesta. Visa podrá solicitar información adicional razonable para verificar identidad y evitar acceso no autorizado; no deberá enviarse información sensible ni números completos de cuenta por correo electrónico.
 

10.1. Canales y reglas de trámite

Las solicitudes podrán presentarse por correo electrónico al área responsable de la atención de consultas y reclamos en materia de protección de datos personales a través de [email protected], por correo físico a 900 Metro Center Boulevard, Foster City, CA 94404, Estados Unidos, o mediante el Portal de derechos de privacidad de Visa cuando esté habilitado para la solicitud. Visa registrará la fecha de recepción y dará respuesta en los plazos legales, de acuerdo con el siguiente procedimiento.
 

Consultas:

En caso de querer consultar o acceder a sus datos personales sobre los cuales Visa actúa como Responsable, su consulta se responderá dentro de los diez (10) días hábiles siguientes a la fecha de recepción. Cuando no sea posible atenderlas dentro de ese término, se informarán los motivos de la demora y la fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.
 

Reclamos:

En caso de considerar que sus datos personales, sobre los cuales Visa actúa como Responsable, deben ser objeto de corrección, actualización o supresión, o cuando quiera ejercer alguno de sus otros derechos, deberá remitir a Visa un reclamo en el cual se relacione la siguiente información:

I. Una copia de su identificación
II. Una descripción de los hechos que dieron lugar al reclamo
III. La dirección física o electrónica en la cual recibirá la respuesta a su reclamo
IV. Cualquier otro documento que soporte su reclamo

Si su reclamo está incompleto, Visa lo requerirá, dentro de los cinco (5) días siguientes a su recepción, que subsane la información faltante. Tendrá hasta dos (2) meses desde el requerimiento para subsanar; vencido ese término sin respuesta, se entenderá que ha desistido del reclamo.

Recibido el reclamo completo, Visa incluirá en la base de datos una leyenda que indique “reclamo en trámite” y el motivo del mismo dentro de los dos (2) días hábiles siguientes, y la mantendrá hasta la decisión final.

El reclamo se resolverá dentro de los quince (15) días hábiles siguientes a su recepción completa. Si no fuera posible responder dentro de ese término, Visa informará los motivos, la fecha de respuesta y la prórroga, que no podrá superar ocho (8) días hábiles adicionales.

El Titular podrá acudir a la SIC únicamente después de presentar primero la consulta o el reclamo ante Visa y de que haya vencido el término legal para responder o se haya recibido la respuesta correspondiente. Lo anterior no limita las competencias legales de la SIC.
 

11. Cambios al Aviso Global y a este Suplemento

Visa podrá actualizar este Suplemento y el Aviso Global para reflejar cambios legales, regulatorios, operativos o de los Tratamientos. Las modificaciones materiales se pondrán en conocimiento de los Titulares por los medios utilizados para divulgar estos documentos y, cuando afecten sustancialmente el uso de datos ya recolectados o la ley lo exija, se solicitará una nueva autorización o se impartirá el aviso correspondiente. La versión vigente indicará su fecha de actualización.
 

12. Fecha de actualización y vigencia

Fecha de actualización: 31 de Agosto de 2026

Fecha de entrada en vigencia: 31 de Agosto de 2026