Política de Privacidad y Tratamiento de Datos
Última actualización: Octubre 2026. La plataforma tecnológica XentraPay es operada y administrada por Xentic (en adelante "Xentic", "XentraPay", "nosotros" o "la Plataforma"), sociedad constituida y domiciliada en la República de Panamá. Esta Política describe con total transparencia el tratamiento estricto y seguro de los datos personales recopilados a través de nuestro software y portales web.
1. Declaración Fundamental de Cero-Almacenamiento de Tarjetas (Zero-Scope PCI-DSS SAQ A)
XENTRAPAY Y XENTIC NO ALMACENAN, NO PROCESAN NI TRANSMITEN DATOS CONFIDENCIALES DE TARJETAS DE CRÉDITO O DÉBITO EN SUS PROPIOS SERVIDORES.
• Inexistencia de Datos PAN o CVV: En ningún momento la infraestructura de XentraPay captura o almacena el número de tarjeta completo (Primary Account Number - PAN), la fecha de expiración ni el código de seguridad bancario (CVV/CVC).
• Entorno Aislado de Pasarela Adquirente: Los campos de captura en las pantallas de Hosted Checkout son iframes seguros o redirecciones provistas directamente por procesadores certificados PCI-DSS Nivel 1 (tales como Tilopay, BAC Credomatic, Stripe u otros).
• Tokenización Segura y Resúmenes Cosméticos: XentraPay únicamente almacena identificadores abstractos (*payment method tokens*) generados por la pasarela y datos truncados (últimos 4 dígitos y marca Visa/Mastercard) estrictamente para visualización en comprobantes y recibos digitales.
2. Datos Personales que Recopilamos
Recopilamos únicamente los datos mínimos indispensables para proporcionar la infraestructura de cobro SaaS y dar cumplimiento a normativas contra el fraude:
- Nombre completo o razón social comercial.
- Número de identificación fiscal (RUC, NIT, Cédula Jurídica).
- Correo electrónico corporativo y teléfono de contacto.
- Credenciales de integración API (cifradas en reposo).
- Nombre completo suministrado durante el proceso de pago.
- Dirección de correo electrónico para el envío del recibo digital.
- Historial de pagos, renovaciones y estado de suscripción.
- Referencia bancaria (en transferencias manuales tipo ACH).
Telemetría y Mitigación de Fraude: Con el único propósito de prevenir ataques automatizados y fraudes de prueba de tarjetas (*card testing*), registramos sellos de tiempo, dirección IP de origen, User-Agent y estado de validación criptográfica (Cloudflare Turnstile).
3. Finalidad del Tratamiento de la Información
Los datos recopilados por XentraPay son tratados para los siguientes fines legítimos:
Ejecutar la orquestación técnica de pagos y emitir comprobantes digitales de cobro al comprador final.
Gestionar de forma automatizada el ciclo de vida de suscripciones recurrentes (renovaciones, prorrateos, pausas y cancelaciones).
Prevenir fraudes electrónicos, suplantación de identidad y abusos contra pasarelas bancarias asociadas.
Permitir la conciliación financiera y reportes de liquidación transaccional dentro del panel privado del Comercio.
4. Medidas de Seguridad de Estándar Bancario
Xentic implementa rigurosas medidas de seguridad técnica y organizativa para garantizar la integridad y confidencialidad de la información:
- Cifrado en Tránsito (TLS 1.3): Toda comunicación entre navegadores, servicios de checkout y servidores API se transmite mediante canales HTTPS con protocolos criptográficos modernos.
- Cifrado Criptográfico en Reposo (AES-256-GCM): Los secretos y credenciales de pasarela están cifrados con algoritmos AES-256 en modo GCM con vectores de inicialización rotativos.
- Aislamiento Estricto Multi-inquilino (RLS): Las tablas de bases de datos implementan Row Level Security (RLS) a nivel de motor PostgreSQL, impidiendo que cualquier comercio acceda a registros de terceros.
- Registro Inmutable de Auditoría: Cada acción crítica o evento de pago queda asentado en logs de auditoría para trazabilidad forense y cumplimiento de requisitos regulatorios.
5. Política de Cookies y Tecnologías de Navegación
XentraPay utiliza únicamente cookies técnicas y de sesión estrictamente necesarias para:
• Mantener activa la sesión segura del usuario administrador del Comercio.
• Conservar tokens CSRF para prevenir ataques de falsificación de peticiones en sitios cruzados.
• Validar los desafíos de seguridad anti-bot (Cloudflare Turnstile) en formularios de pago.
Compromiso Cero Publicidad: No utilizamos cookies publicitarias, pixeles de seguimiento de redes sociales ni vendemos información analítica o de navegación a terceras partes bajo ningún concepto.
6. Derechos ARCO y Legislación Aplicable
En cumplimiento con la legislación de protección de datos de la República de Panamá (Ley 81 de 2019 y sus reglamentos) y estándares internacionales (GDPR / CCPA):
- Acceso: Derecho a conocer qué datos personales reposan en nuestros sistemas.
- Rectificación: Derecho a solicitar la corrección de datos incorrectos, inexactos o desactualizados.
- Cancelación / Supresión: Derecho a solicitar la eliminación de datos una vez culminada la relación contractual o prescritos los plazos legales de retención tributaria.
- Oposición: Derecho a oponerse al tratamiento por motivos legítimos y fundados.
7. Oficial de Protección de Datos y Contacto Legal
Para ejercer cualquiera de sus derechos, presentar consultas o reportar incidentes relativos a la privacidad de datos, puede comunicarse directamente con nuestro equipo de cumplimiento:
Atención: Oficial de Protección de Datos — Xentic, Ciudad de Panamá, República de Panamá.