PreamblePreámbulo

This Privacy Policy ("Policy") describes how Aloha Systems Corp., a Delaware corporation with its principal place of business in Florida, doing business as "Aloha" ("Aloha," "we," "us," or "our"), collects, uses, discloses, and protects personal data in connection with the Aloha platform, APIs, website (aloha.co), and related services (collectively, the "Services"). This Policy applies to (a) representatives of business clients who access the Services pursuant to a Master Services Agreement ("Client"), (b) End Users who interact with the Services through a Client's platform, and (c) visitors to our website. This Policy should be read together with the Master Services Agreement, the B2B Terms and Conditions, and the Information Security Policy, available at aloha.co.

Esta Política de Privacidad ("Política") describe cómo Aloha Systems Corp., una corporación de Delaware con domicilio principal en Florida, que opera como "Aloha" ("Aloha", "nosotros" o "nuestro"), recopila, usa, divulga y protege los datos personales en conexión con la plataforma Aloha, las APIs, el sitio web (aloha.co) y los servicios relacionados (en conjunto, los "Servicios"). Esta Política aplica a (a) los representantes de clientes empresariales que acceden a los Servicios conforme a un Master Services Agreement ("Cliente"), (b) los Usuarios Finales que interactúan con los Servicios a través de la plataforma de un Cliente, y (c) los visitantes de nuestro sitio web. Esta Política debe leerse junto con el Master Services Agreement, los Términos y Condiciones B2B, y la Política de Seguridad de la Información, disponibles en aloha.co.

By accessing or using the Services, or by providing personal data to Aloha, you acknowledge that you have read and understood this Policy. If you do not agree with this Policy, you must not use the Services.

Al acceder o utilizar los Servicios, o al proporcionar datos personales a Aloha, usted reconoce que ha leído y comprendido esta Política. Si no está de acuerdo con esta Política, no debe utilizar los Servicios.

1. Definitions1. Definiciones

"Personal Data""Datos Personales"

means any information relating to an identified or identifiable natural person.significa cualquier información relacionada con una persona natural identificada o identificable.

"Sensitive Personal Data""Datos Personales Sensibles"

means personal data revealing racial or ethnic origin, financial account numbers, government identification numbers, biometric data, or other categories afforded special protection under Applicable Law.significa los datos personales que revelan origen racial o étnico, números de cuentas financieras, números de identificación gubernamental, datos biométricos, u otras categorías que reciban protección especial bajo la ley aplicable.

"Controller""Responsable"

means the entity that determines the purposes and means of processing personal data.significa la entidad que determina los fines y medios del tratamiento de datos personales.

"Processor""Encargado"

means the entity that processes personal data on behalf of a Controller.significa la entidad que trata datos personales por cuenta de un Responsable.

"Client," "End User," "KYC," "KYB," "Banking Partner""Cliente", "Usuario Final", "KYC", "KYB", "Socio Bancario"

and other capitalized terms not defined in this Policy have the meanings given to them in the Master Services Agreement.y otros términos en mayúscula no definidos en esta Política tienen los significados que se les atribuyen en el Master Services Agreement.

"Applicable Data Protection Law""Ley de Protección de Datos Aplicable"

means all data protection and privacy laws applicable to the processing of personal data under this Policy, including Law No. 21,719 on the Protection of Personal Data (Chile), the Lei Geral de Proteção de Dados Pessoais, Law No. 13,709/2018 (Brazil), the Gramm-Leach-Bliley Act and applicable U.S. state privacy laws, and any other law applicable to a specific data subject.significa todas las leyes de protección de datos y privacidad aplicables al tratamiento de datos personales bajo esta Política, incluyendo la Ley N° 21.719 sobre Protección de Datos Personales (Chile), la Lei Geral de Proteção de Dados Pessoais, Ley N° 13.709/2018 (Brasil), la Gramm-Leach-Bliley Act y las leyes estatales de privacidad de EE.UU. aplicables, y cualquier otra ley aplicable a un titular de datos específico.

2. Scope of Application; Our Role2. Ámbito de Aplicación; Nuestro Rol

Aloha acts in different capacities depending on the personal data at issue. With respect to End User data processed through a Client's use of the Services (for example, KYC documentation, transaction records, or payment credentials submitted by End Users on a Client's platform), Aloha generally acts as a Processor on behalf of Client, who acts as Controller and is responsible for its own privacy notices and consents vis-à-vis its End Users, as set forth in Section 3.4 of the Master Services Agreement. With respect to data of Client's authorized representatives, prospective clients, website visitors, and Aloha's own personnel and vendors, Aloha acts as Controller.

Aloha actúa en distintas calidades según los datos personales de que se trate. Respecto de los datos de Usuarios Finales tratados mediante el uso que el Cliente hace de los Servicios (por ejemplo, documentación KYC, registros de transacciones, o credenciales de pago aportadas por Usuarios Finales en la plataforma del Cliente), Aloha generalmente actúa como Encargado por cuenta del Cliente, quien actúa como Responsable y es responsable de sus propios avisos de privacidad y consentimientos frente a sus Usuarios Finales, conforme a la Sección 3.4 del Master Services Agreement. Respecto de los datos de los representantes autorizados del Cliente, potenciales clientes, visitantes del sitio web, y el propio personal y proveedores de Aloha, Aloha actúa como Responsable.

3. Personal Data We Collect3. Datos Personales que Recopilamos

We may collect the following categories of personal data:

Podemos recopilar las siguientes categorías de datos personales:

• Identity and contact data: full name, national identification number or passport, date of birth, address, email, phone number.Datos de identidad y contacto: nombre completo, cédula de identidad o pasaporte, fecha de nacimiento, domicilio, correo electrónico, número de teléfono.
• KYC/KYB data: government-issued identification documents, proof of address, corporate formation documents, beneficial ownership information, source-of-funds documentation.Datos KYC/KYB: documentos de identificación emitidos por el gobierno, comprobante de domicilio, documentos de constitución societaria, información de beneficiarios finales, documentación de origen de fondos.
• Financial and transaction data: bank account numbers, payment card information, transaction history, balances, FBO Account activity.Datos financieros y de transacciones: números de cuentas bancarias, información de tarjetas de pago, historial de transacciones, saldos, actividad de la Cuenta FBO.
• Technical and usage data: IP address, device identifiers, browser type, log data, API request metadata.Datos técnicos y de uso: dirección IP, identificadores de dispositivo, tipo de navegador, datos de registro (logs), metadatos de solicitudes API.
• Communications data: correspondence with our support team, recorded calls (where legally permitted and disclosed), and survey responses.Datos de comunicaciones: correspondencia con nuestro equipo de soporte, llamadas grabadas (cuando lo permita la ley y se informe), y respuestas a encuestas.

4. How We Collect Personal Data4. Cómo Recopilamos los Datos Personales

We collect personal data: (a) directly from Client and End Users during onboarding, account registration, and ongoing use of the Services; (b) automatically through the Platform, APIs, cookies, and similar technologies; (c) from Banking Partners, KYC/KYB verification vendors, sanctions screening providers, and credit bureaus; and (d) from publicly available sources, where permitted by Applicable Data Protection Law.

Recopilamos datos personales: (a) directamente del Cliente y de los Usuarios Finales durante el onboarding, registro de cuenta, y uso continuo de los Servicios; (b) automáticamente a través de la Plataforma, APIs, cookies y tecnologías similares; (c) de Socios Bancarios, proveedores de verificación KYC/KYB, proveedores de screening de sanciones, y burós de crédito; y (d) de fuentes de acceso público, cuando lo permita la Ley de Protección de Datos Aplicable.

5. Purposes and Legal Bases for Processing5. Finalidades y Bases Legales del Tratamiento

We process personal data for the following purposes, relying on the legal bases indicated: (a) to provide, operate, and maintain the Services, based on the performance of a contract; (b) to perform KYC/KYB verification, AML monitoring, sanctions screening, and fraud prevention, based on compliance with a legal obligation and our legitimate interest in protecting the integrity of the Services; (c) to communicate with Client and End Users regarding the Services, based on the performance of a contract; (d) to comply with regulatory, tax, and law enforcement requests, based on compliance with a legal obligation; and (e) for marketing communications regarding our products, based on consent, which may be withdrawn at any time.

Tratamos los datos personales para las siguientes finalidades, basándonos en las bases legales indicadas: (a) para proveer, operar y mantener los Servicios, en base a la ejecución de un contrato; (b) para realizar verificación KYC/KYB, monitoreo AML, screening de sanciones, y prevención de fraude, en base al cumplimiento de una obligación legal y nuestro interés legítimo en proteger la integridad de los Servicios; (c) para comunicarnos con el Cliente y los Usuarios Finales respecto de los Servicios, en base a la ejecución de un contrato; (d) para cumplir con requerimientos regulatorios, tributarios, y de autoridades de aplicación de la ley, en base al cumplimiento de una obligación legal; y (e) para comunicaciones de marketing sobre nuestros productos, en base al consentimiento, el cual puede ser revocado en cualquier momento.

6. Sharing of Personal Data6. Compartición de Datos Personales

We may share personal data with: (a) Banking Partners and payment networks (including ACH operators and card networks) necessary to execute transactions; (b) KYC/KYB verification, sanctions screening, and fraud prevention vendors; (c) cloud infrastructure and software providers that support the Platform, subject to confidentiality and data processing agreements consistent with our Information Security Policy; (d) professional advisors, including auditors, attorneys, and accountants; (e) regulators, courts, and law enforcement authorities, where required by Applicable Law; and (f) a successor entity in connection with a merger, acquisition, or sale of assets. We do not sell personal data to third parties for their own independent marketing purposes.

Podemos compartir datos personales con: (a) Socios Bancarios y redes de pago (incluyendo operadores ACH y redes de tarjetas) necesarios para ejecutar transacciones; (b) proveedores de verificación KYC/KYB, screening de sanciones, y prevención de fraude; (c) proveedores de infraestructura de nube y software que dan soporte a la Plataforma, sujetos a acuerdos de confidencialidad y tratamiento de datos consistentes con nuestra Política de Seguridad de la Información; (d) asesores profesionales, incluyendo auditores, abogados, y contadores; (e) reguladores, tribunales, y autoridades de aplicación de la ley, cuando lo exija la ley aplicable; y (f) una entidad sucesora en conexión con una fusión, adquisición, o venta de activos. No vendemos datos personales a terceros para fines de marketing independientes de dichos terceros.

7. International Data Transfers7. Transferencias Internacionales de Datos

Given the cross-border nature of the Services, personal data may be transferred to, stored, and processed in the United States, Chile, Brazil, and other jurisdictions where Aloha, its Banking Partners, or its vendors operate. Where required by Applicable Data Protection Law, we implement appropriate safeguards for such transfers, including contractual data protection clauses with recipients.

Dada la naturaleza transfronteriza de los Servicios, los datos personales pueden ser transferidos, almacenados, y tratados en Estados Unidos, Chile, Brasil, y otras jurisdicciones donde operan Aloha, sus Socios Bancarios, o sus proveedores. Cuando lo exija la Ley de Protección de Datos Aplicable, implementamos resguardos apropiados para dichas transferencias, incluyendo cláusulas contractuales de protección de datos con los receptores.

8. Data Retention8. Conservación de Datos

We retain personal data for as long as necessary to fulfill the purposes described in this Policy, including to satisfy legal, accounting, AML, and regulatory requirements. Consistent with Section 6.5 of the Master Services Agreement, transaction records and KYC/KYB documentation are generally retained for a minimum of five (5) years following the relevant transaction or termination of the applicable relationship, or such longer period as required by Applicable Law. Other categories of personal data are retained for shorter periods appropriate to their purpose.

Conservamos los datos personales durante el tiempo necesario para cumplir las finalidades descritas en esta Política, incluyendo el cumplimiento de requerimientos legales, contables, AML, y regulatorios. Consistente con la Sección 6.5 del Master Services Agreement, los registros de transacciones y la documentación KYC/KYB generalmente se conservan por un mínimo de cinco (5) años desde la transacción respectiva o la terminación de la relación aplicable, o por el plazo mayor que exija la ley aplicable. Otras categorías de datos personales se conservan por períodos más breves, apropiados a su finalidad.

9. Data Security9. Seguridad de los Datos

Aloha implements administrative, technical, and physical safeguards designed to protect personal data, as described in our Information Security Policy. These measures include encryption, access controls, network security, and incident response procedures. No method of transmission or storage is completely secure, and we cannot guarantee absolute security.

Aloha implementa resguardos administrativos, técnicos, y físicos diseñados para proteger los datos personales, como se describe en nuestra Política de Seguridad de la Información. Estas medidas incluyen cifrado, controles de acceso, seguridad de red, y procedimientos de respuesta a incidentes. Ningún método de transmisión o almacenamiento es completamente seguro, y no podemos garantizar seguridad absoluta.

10. Your Privacy Rights10. Sus Derechos de Privacidad

Subject to Applicable Data Protection Law, individuals may have the right to: access their personal data; request rectification of inaccurate data; request deletion or cancellation; object to or restrict certain processing; request data portability; and withdraw consent where processing is based on consent. To exercise these rights, contact us at privacy@aloha.co. We will respond within the timeframes required by Applicable Law.

Sujeto a la Ley de Protección de Datos Aplicable, las personas pueden tener derecho a: acceder a sus datos personales; solicitar la rectificación de datos inexactos; solicitar la cancelación o eliminación; oponerse o solicitar la limitación de ciertos tratamientos; solicitar la portabilidad de datos; y revocar el consentimiento cuando el tratamiento se base en éste. Para ejercer estos derechos, contáctenos en privacy@aloha.co. Responderemos dentro de los plazos exigidos por la ley aplicable.

10.1 Chile. Individuals located in Chile may exercise their rights of access, rectification, cancellation, opposition, and portability ("Derechos ARCOP") under Law No. 21,719, and may lodge a complaint with the Agencia de Protección de Datos Personales.

10.1 Chile. Las personas ubicadas en Chile pueden ejercer sus Derechos de Acceso, Rectificación, Cancelación, Oposición y Portabilidad ("Derechos ARCOP") bajo la Ley N° 21.719, y pueden presentar un reclamo ante la Agencia de Protección de Datos Personales.

10.2 Brazil. Individuals located in Brazil ("titulares") may exercise their rights under the Lei Geral de Proteção de Dados Pessoais (Law No. 13,709/2018), including confirmation of processing, access, correction, anonymization, blocking, deletion, and portability, and may contact our Data Protection Officer (Encarregado) at privacy@aloha.co, or lodge a complaint with the Autoridade Nacional de Proteção de Dados (ANPD).

10.2 Brasil. Las personas ubicadas en Brasil ("titulares") pueden ejercer sus derechos bajo la Lei Geral de Proteção de Dados Pessoais (Ley N° 13.709/2018), incluyendo confirmación del tratamiento, acceso, corrección, anonimización, bloqueo, eliminación, y portabilidad, y pueden contactar a nuestro Encargado de Protección de Datos (Encarregado) en privacy@aloha.co, o presentar un reclamo ante la Autoridade Nacional de Proteção de Dados (ANPD).

10.3 United States. Where applicable, Aloha provides privacy notices consistent with the Gramm-Leach-Bliley Act and complies with applicable state privacy laws regarding the rights of residents of those states.

10.3 Estados Unidos. Cuando corresponda, Aloha proporciona avisos de privacidad consistentes con la Gramm-Leach-Bliley Act y cumple con las leyes estatales de privacidad aplicables respecto de los derechos de los residentes de dichos estados.

11. Cookies and Tracking Technologies11. Cookies y Tecnologías de Rastreo

11.1 Categories. Our website and Platform use cookies and similar technologies in three categories:

11.1 Categorías. Nuestro sitio web y Plataforma usan cookies y tecnologías similares en tres categorías:

• Strictly necessary: required to operate the Services, maintain sessions, remember preferences, and protect our forms against abuse. Always active; they do not require consent.Estrictamente necesarias: requeridas para operar los Servicios, mantener sesiones, recordar preferencias, y proteger nuestros formularios contra abuso. Siempre activas; no requieren consentimiento.
• Analytics: Google Analytics 4, used to measure traffic and understand how our website is used. Loaded only with your consent.Analíticas: Google Analytics 4, utilizado para medir el tráfico y entender cómo se usa nuestro sitio web. Se cargan únicamente con su consentimiento.
• Advertising: Google Ads, deployed through Google Tag Manager, and the Meta Pixel (Facebook and Instagram advertising), used to measure the effectiveness of our advertising — including which advertisement led to a scheduled demonstration — and to show you relevant advertisements. Loaded only with your consent.Publicitarias: Google Ads, implementado a través de Google Tag Manager, y el Pixel de Meta (publicidad en Facebook e Instagram), utilizados para medir la efectividad de nuestra publicidad — incluyendo qué anuncio derivó en una demostración agendada — y para mostrarle anuncios relevantes. Se cargan únicamente con su consentimiento.

11.2 Consent and withdrawal. On your first visit we display a cookie banner. Until you accept, analytics and advertising storage remain disabled — through Google Consent Mode for the Google tags, and through Meta's own consent setting for the Meta Pixel — and no analytics or advertising identifiers are stored on your device. You may change or withdraw your choice at any time through the "Cookie preferences" link in our website footer; withdrawal takes effect immediately and applies to all subsequent processing.

11.2 Consentimiento y retiro. En su primera visita mostramos un banner de cookies. Hasta que usted acepte, el almacenamiento analítico y publicitario permanece deshabilitado — mediante Google Consent Mode para las etiquetas de Google, y mediante el propio ajuste de consentimiento de Meta para el Pixel de Meta — y no se almacena en su dispositivo ningún identificador analítico ni publicitario. Puede cambiar o retirar su elección en cualquier momento mediante el enlace "Preferencias de cookies" en el pie de página de nuestro sitio web; el retiro surte efecto de inmediato y aplica a todo tratamiento posterior.

11.3 Third parties. The analytics and advertising categories involve Google LLC (Google Analytics, Google Tag Manager and Google Ads), which processes the corresponding data under its own privacy policy, available at policies.google.com/privacy, and Meta Platforms, Inc. (Meta Pixel), which processes it under its own privacy policy, available at facebook.com/privacy/policy.

11.3 Terceros. Las categorías analítica y publicitaria involucran a Google LLC (Google Analytics, Google Tag Manager y Google Ads), que trata los datos correspondientes bajo su propia política de privacidad, disponible en policies.google.com/privacy, y a Meta Platforms, Inc. (Pixel de Meta), que los trata bajo su propia política de privacidad, disponible en facebook.com/privacy/policy.

11.4 Demonstration bookings and conversion measurement. If you schedule a demonstration through our website and have accepted advertising cookies, the email address you provide is transmitted to Google in hashed (irreversible) form, together with the language of the site and the fact that a booking took place, for the sole purpose of attributing that booking to the advertising that produced it — including where you begin on one device and complete the booking on another. We do not transmit the address in plain text for this purpose. If you decline advertising cookies, no such transmission takes place.

11.4 Demostraciones agendadas y medición de conversiones. Si usted agenda una demostración a través de nuestro sitio web y ha aceptado las cookies publicitarias, la dirección de correo electrónico que proporciona se transmite a Google en forma cifrada (hash irreversible), junto con el idioma del sitio y el hecho de que se agendó una demostración, con el único fin de atribuir esa reserva a la publicidad que la originó — incluyendo los casos en que usted comienza en un dispositivo y completa la reserva en otro. No transmitimos la dirección en texto plano para este fin. Si usted rechaza las cookies publicitarias, dicha transmisión no ocurre.

11.5 Browser controls. You may additionally block or delete cookies through your browser settings; disabling certain cookies may affect the functionality of the Services.

11.5 Controles del navegador. Adicionalmente, usted puede bloquear o eliminar cookies desde la configuración de su navegador; deshabilitar ciertas cookies puede afectar la funcionalidad de los Servicios.

12. Children's Privacy12. Privacidad de Menores

The Services are not directed to individuals under eighteen (18) years of age, and we do not knowingly collect personal data from minors. If we become aware that we have collected personal data from a minor without appropriate consent, we will take steps to delete such data.

Los Servicios no están dirigidos a personas menores de dieciocho (18) años, y no recopilamos a sabiendas datos personales de menores. Si tomamos conocimiento de que hemos recopilado datos personales de un menor sin el consentimiento apropiado, tomaremos medidas para eliminar dichos datos.

13. Security Incident Notification13. Notificación de Incidentes de Seguridad

In the event of a security incident materially affecting personal data, Aloha will notify affected individuals and applicable regulators as required by Applicable Data Protection Law and consistent with Section 6.3 of the Master Services Agreement.

En caso de un incidente de seguridad que afecte materialmente datos personales, Aloha notificará a las personas afectadas y a los reguladores aplicables conforme lo exija la Ley de Protección de Datos Aplicable y de manera consistente con la Sección 6.3 del Master Services Agreement.

14. Changes to This Policy14. Cambios a esta Política

We may update this Policy from time to time by posting a revised version at aloha.co/privacy-policy. Material changes will be notified at least thirty (30) days in advance, consistent with Section 14.2 of the Master Services Agreement. Continued use of the Services after the effective date of an update constitutes acceptance of the revised Policy.

Podemos actualizar esta Política periódicamente publicando una versión revisada en aloha.co/privacy-policy. Los cambios materiales serán notificados con al menos treinta (30) días de anticipación, consistente con la Sección 14.2 del Master Services Agreement. El uso continuado de los Servicios después de la fecha efectiva de una actualización constituye la aceptación de la Política revisada.

15. Contact Us15. Contáctenos

For questions about this Policy or to exercise your privacy rights, contact us at privacy@aloha.co. Aloha Systems Corp., d/b/a Aloha.

Para preguntas sobre esta Política o para ejercer sus derechos de privacidad, contáctenos en privacy@aloha.co. Aloha Systems Corp., que opera como Aloha.

15.1 Data Protection Officer / Encarregado (Brazil): privacy@aloha.co

15.1 Oficial de Protección de Datos / Encarregado (Brasil): privacy@aloha.co

16. Governing Language16. Idioma que Prevalece

This Policy is published in English, Spanish, and Portuguese. In the event of any conflict or inconsistency among versions, the English version shall prevail, except to the extent Applicable Data Protection Law requires a local-language version to control with respect to data subjects in that jurisdiction.

Esta Política se publica en inglés, español, y portugués. En caso de conflicto o inconsistencia entre versiones, prevalecerá la versión en inglés, salvo en la medida en que la Ley de Protección de Datos Aplicable exija que prevalezca una versión en idioma local respecto de los titulares de datos en esa jurisdicción.