Aviso de Privacidad Biometría Facial

Versión 1.0 31/03/2026

El presente Aviso de Privacidad (en adelante, el “Aviso”) tiene como finalidad informarle de manera específica y transparente sobre el tratamiento de sus datos biométricos faciales realizado por las entidades del BAC, cuando usted utiliza nuestros canales electrónicos.

Para efectos del presente aviso, se entiende por canales electrónicos aquellos medios basados
en tecnologías digitales que permiten:

La realización de transacciones
La prestación de servicios financieros
El intercambio de información
La contratación de productos y servicios
Y, en general, cualquier mecanismo digital mediante el cual BAC establece contacto con sus clientes.

Entre dichos canales se encuentran, entre otros, la Sucursal Electrónica accesible a través de un navegador web, el canal de WhatsApp, la Aplicación Móvil, entre otros medios digitales habilitados por BAC.

BAC podrá actualizar este aviso para reflejar cambios normativos o mejoras internas. En caso de realizarse modificaciones relevantes, usted será informado oportunamente.

1. Identidad y Domicilio del Responsable del Tratamiento

BAC es el responsable del tratamiento de sus datos personales, incluidos los datos biométricos, cuando estos son recolectados a través de nuestros canales electrónicos.

El tratamiento se realiza conforme a la legislación de protección de datos personales vigente en cada uno de los países donde BAC opera.

BAC está conformado por las empresas que se detallan a continuación, las cuales, según corresponda a su país de residencia o contratación, asumirán el rol de Responsable del Tratamiento:

País	Nombre de la sociedad Responsable	Domicilio
Guatemala	• Banco de América Central, S.A. • Credomatic de Guatemala, S.A. • Financiera de Capitales, S.A. • Bac Valores Guatemala, S.A.	Avenida Reforma 9-76 zona 9, Ciudad de Guatemala
Honduras	• Banco de América Central Honduras, S.A. • Credomatic de Honduras, S.A. • Administradora de Fondos de Pensiones y Cesantías BAC \| Pensiones Honduras, S.A.	Edificio Corporativo BAC, Boulevard Suyapa, Avenida Republica de Costa Rica, Tegucigalpa, Honduras
Salvador	• Banco de América Central, S.A. • Credomatic de El Salvador, S.A. de C.V.	55 Avenida Sur entre Av. Alameda Roosevelt y Av. Olímpica, Centro Roosevelt, San Salvador
Nicaragua	• Banco de América Central, S.A. • Almacenes Generales de Depósito BAC, S.A.	Centro BAC, km 4.5 carretera a Masaya, Managua
Costa Rica	• Banco BAC San José, S.A. • BAC San José Pensiones, S.A. • BAC Credomatic Corredora de Seguros, S.A. • BAC San José Puesto de Bolsa, S.A. • BAC San José Sociedad de Fondos de Inversión, S.A. • BAC San José Leasing, S.A.	San José, Escazú, Edificio Centro Corporativo Plaza Roble, Terrazas B
Panamá	• BAC International Bank, Inc • BAC Valores Inc	Torre BAC, P.H. Torre BAC, Av. Balboa-Esquina, Calle 42 y 43, Ciudad de Panamá

2. Datos personales sujetos a tratamiento

Los datos personales tratados pueden variar según el país, la normativa aplicable y el tipo de documento de identificación. En el Anexo I se indican los campos que aplican en Costa Rica (CRI), Guatemala (GUA), El Salvador (ESA), Honduras (HND) y Panamá (PAN), según corresponda.

Para cumplir con las finalidades previstas en este Aviso de Privacidad, la organización podrá recabar, directa o indirectamente las siguientes categorías de datos personales, sin perjuicio de otras relacionadas:

Datos de identificación personal, tales como nombre completo, apellidos, apellido de casada, conocido como, según corresponda al país.
Datos demográficos, tales como fecha y lugar de nacimiento, género o sexo, nacionalidad, estado civil, ocupación y país, dependiendo de la normativa y del tipo de documento de identificación aplicable.
Datos asociados al documento de identificación, tales como provincia, departamento, municipio, cantón, distrito, distrito electoral o vecindad, conforme a la división administrativa del país correspondiente.
Datos sobre el documento de identificación oficial, tales como tipo de documento, número de documento, entidad emisora, fecha de emisión, fecha de vencimiento, modelo del documento, documento capturado, y fechas de solicitud o expiración, según aplique.
Datos de registro civil, tales como la fecha de defunción, cuando sea legalmente aplicable.
Datos de validación y verificación, tales como firma, fotografías, puntajes de concordancia, datos generados mediante procesos automatizados o de aprendizaje automático (ML), y datos biométricos asociados a huellas dactilares o firma digital, según el país, utilizados para la validación de identidad, atención de requerimientos del titular y gestión de soporte asociada a su proceso de registro.
Datos sensibles, tales como datos biométricos (por ejemplo, vector matemático facial), tratados únicamente cuando la legislación aplicable lo permita.

3. Finalidades del tratamiento y bases de legitimación

Sus datos biométricos serán tratados para los fines que se indican a continuación, bajo su consentimiento expreso e informado.

Tenga en cuenta que no otorgar o revocar su consentimiento podría impedirnos prestarle los servicios, funcionalidades o productos solicitados y, en consecuencia, llevar al rechazo de su solicitud o trámite por canales electrónicos.

BAC trata algunas categorías de datos biométricos, con fines exclusivos de seguridad, que se detallan de seguido. Los datos biométricos son aquellos relativos a sus características fisiológicas 3 o conductuales, por ejemplo, huellas dactilares, reconocimiento facial, entre otras, que permiten identificarle de forma unívoca.

Los datos biométricos que se capturan son de su rostro, (reconocimiento facial), y de su comportamiento al interactuar con los dispositivos a través de los cuales accede y navega a través de los canales electrónicos. La organización captura una representación geométrica y digital de su rostro y se almacena de forma cifrada y protegida, a través de criptografía, para validar su identidad en operaciones o transacciones digitales de alto riesgo.

En concreto, sus datos biométricos son tratados exclusivamente para fines de seguridad digital, verificación de identidad y autenticación / autorización en canales digitales, con el propósito de prevenir suplantaciones de identidad y fraudes, en las siguientes operaciones y transacciones de alto riesgo:

Utilizar la biometría facial como un factor de autenticación adicional para verificar la identidad del usuario en el acceso a los canales electrónicos, fortaleciendo los mecanismos de seguridad y evitando accesos no autorizados.
Validar la identidad del usuario durante la ejecución de operaciones financieras o administrativas que impliquen riesgo, con el objetivo de prevenir, detectar y mitigar fraudes, suplantación de identidad o actividades irregulares.

Los datos biométricos se almacenan bajo cifrado, en entornos de alta seguridad. Esta información no es transferida a ningún tercero, y solo algunos de los proveedores de la organización pueden acceder a la información, bajo estrictas garantías de confidencialidad. Estos proveedores se han comprometido contractualmente con BAC a tratar los datos bajo altos estándares de seguridad, y solo para fines de la prestación de sus servicios a BAC y a no transferirlos a ningún tercero para fines distintos.

En caso de no consentir el uso de sus datos biométricos para los fines previamente indicados, algunas funcionalidades, gestiones o productos podrían no estar disponibles para usted, o podría tener que acudir de forma presencial a una sucursal para realizar algunas de esas gestiones y/o transacciones.

4. Comunicación y transferencias de datos personales

Para las finalidades ya descritas, sus datos podrían ser comunicados a las siguientes categorías de terceros:

Empresas afiliadas, directa o indirectamente, y subsidiarias del BAC, para cumplir finalidades previstas y detalladas anteriormente.
Autoridades regulatorias y judiciales, cuando así sea requerido por dichas autoridades en el cumplimiento de la ley.
Proveedores y otros terceros, siempre conforme a la legislación aplicable y, cuando sea necesario, bajo su consentimiento.

Dichas comunicaciones de datos se harán conforme a la ley, siguiendo las reglas de la legislación aplicable según su jurisdicción, y respetando los principios de protección de datos.

5. Seguridad de la información

BAC implementa las mejores prácticas en materia de seguridad de la información con el fin de que el tratamiento de los datos para los canales electrónicos ofrezca un nivel razonable y suficiente de confidencialidad, integridad y disponibilidad, de acuerdo con la ley.

Sin embargo, ninguna trasmisión de datos por Internet es completamente segura, por lo que, si bien adoptamos medidas técnicas y organizativas razonables para proteger la información personal, usted asume un nivel de riesgo razonable en el tratamiento de su información y se hace responsable de utilizar y mantener de forma segura sus dispositivos, así como de resguardar con estricta confidencialidad sus credenciales y mecanismos de autenticación para el ingreso a la banca móvil.

6. Derechos ARCO y revocación de consentimiento

Los titulares de los datos personales pueden ejercer sus derechos de acceso, rectificación, cancelación y oposición, así como solicitar la revocación de su consentimiento. Para tal efecto, deben presentar su solicitud a través del siguiente canal:

Responsable del tratamiento	Contacto del DPO
BAC Panamá	Domicilio: Panamá, Ciudad de Panamá, Torre BAC, Avenida Balboa, Calle 42 y 43 Este esquina, diagonal al Parque Urracá Teléfono: +507 6140-3065 Correo: privacidadpan@pa.bac.net
BAC Salvador	Domicilio: Edificio BAC Los Proceres 1er nivel Boulevard los proceres no. 288. San Salvador Teléfono: +503 2206-4478 Correo: privacidadsal@baccredomatic.sv
BAC Costa Rica	Domicilio: San José, Escazú, Edificio Centro Corporativo Plaza Roble, Terrazas B. Correo: privacidadlatam@baccredomatic.com
BAC Nicaragua	Domicilio: Centro BAC, km 4.5 carretera a Masaya, Managua Correo: privacidadlatam@baccredomatic.com
BAC Honduras	Domicilio: Edificio Corporativo BAC, Boulevard Suyapa, Avenida República de Costa Rica, Tegucigalpa, Honduras Correo: privacidadlatam@baccredomatic.com
BAC Guatemala	Domicilio: Avenida Reforma 9-76 zona 9, Ciudad de Guatemala Correo: privacidadlatam@baccredomatic.com

El titular debe indicar su nombre, número de identificación, el derecho que desea ejercer, pruebas y evidencias de lo argumentado y toda la información razonablemente necesaria para responder a la solicitud. El escrito debe venir firmado, con firma manuscrita o digital.

En determinados casos y conforme a la legislación aplicable, la organización puede no encontrarse en capacidad u obligación de garantizar de manera plena el ejercicio del derecho solicitado.

Esto puede ocurrir, por ejemplo, cuando la solicitud resulte incompatible con obligaciones legales, contractuales, regulatorias o de cumplimiento; cuando la eliminación impida el ejercicio de derechos conferidos por la ley o por un contrato; cuando no sea posible verificar la identidad del solicitante; cuando la solicitud implique un costo o esfuerzo desproporcionado. No obstante, BAC dará respuesta a la solicitud correspondiente dentro de los plazos legalmente establecidos y brindará las explicaciones pertinentes.

7. Conservación

Los datos serán conservados por el plazo necesario para la finalidad específica de cada tratamiento, según las finalidades descritas en este aviso.

8. Cambios al aviso de privacidad

BAC es una organización de carácter financiera debidamente supervisada por organismos de control regulatorio en cada país donde opera.

En consecuencia, la organización se encuentra en constante revisión de su gestión operativa de privacidad, con el fin de que este se mantenga vigente y en cumplimiento idóneo con las regulaciones y las mejores prácticas.

Por esta razón, el presente aviso de privacidad puede ser modificado según sea necesario para el cumplimiento de una obligación legal o bien necesidad legítima.

La organización podrá modificar este aviso de privacidad ocasionalmente, de lo cual se informará oportunamente a través de la banca móvil u otros canales.

Anexo I – Categorías de datos por país

1) Datos de identificación personal

Campos: nombre completo; primer apellido; segundo apellido (CR, GUA, SA, HND, PAN); apellido de casada (GUA); “conocido como” (CR).

Finalidad típica: identificación directa del titular y consistencia de registros.

2) Datos demográficos

Campos: fecha de nacimiento; lugar de nacimiento (CR, GUA, SA, HND, PAN); género; nacionalidad; estado civil; ocupación; país (CR, GUA, HND); sexo (CR).

Finalidad típica: caracterización básica, verificación de elegibilidad, cumplimiento regulatorio.

3) Datos asociados al documento de identificación (división administrativa)

Campos: departamento, municipio (GUA, HND); vecindad (GUA); provincia, cantón, distrito,
distrito electoral (CR).

Finalidad típica: validación territorial conforme a la estructura administrativa del país.

4) Datos sobre el documento de identificación oficial

Campos: tipo de documento (Documento de Identidad / Cédula) (CR, GUA, SA, HND, PAN); número de documento; documento capturado (imagen/copia); modelo de documento; emisor (p. ej., TSE – CR; RNP – HND; RENAP – GUA); fecha de emisión; fecha de vencimiento; fecha de vencimiento del documento (CR, GUA, HND); fecha de solicitud y fecha de expiración (SA, PAN).

Finalidad típica: verificación/validación de identidad, trazabilidad y prevención de fraude.

5) Datos de registro civil

Campos: fecha de defunción (CR, GUA, HND).

Finalidad típica: depuración de registros, prevención de suplantación y cumplimiento legal.

6) Datos de validación y verificación

Campos: firma; MatchingSidesScore; nombres ML; apellidos ML; género ML; nacionalidad ML (CR, GUA, HND); foto; identificador de dedo mano izquierda; identificador de dedo mano derecha (CR); firma (BASE64) (SA, PAN).

Finalidad típica: autenticación, aseguramiento de integridad documental, control antifraude, reconciliación de datos generados por procesos automatizados y atención de requerimientos del titular, así como la gestión de soporte asociada a su proceso de registro.

7) Datos sensibles

Campos: datos biométricos (por ejemplo, vector matemático facial).

Finalidad típica: autenticación reforzada y verificación de identidad, exclusivamente cuando lo permita la legislación aplicable y con medidas de seguridad reforzadas.