1. Identidad y Domicilio del Responsable o Encargado del Tratamiento de Datos.
En el marco del tratamiento de datos, La sociedad Central de Depósito de Valores, S.A. de C.V. (en adelante, «CEDEVAL»), con NIT 0614-110194-103-0, y domicilio en Torre Millennium Plaza, Nivel 9, Paseo General Escalón, San Salvador Centro, San Salvador, es la responsable del tratamiento de sus datos personales como Responsable o Encargado del Tratamiento. Puede contactarnos para temas de privacidad a través del correo electrónico: prodatos@grupobolsadevalores.com.sv
2. Medidas y mecanismos de protección y seguridad
En observancia de la legislación salvadoreña, CEDEVAL garantizará la confidencialidad de los datos personales y adoptará las medidas de seguridad técnicas, organizativas y contractuales necesarias para su protección, en cumplimiento de la Ley para la Protección de Datos Personales y demás normativa aplicable.
CEDEVAL implementa un conjunto integral de medidas y mecanismos de seguridad destinados a garantizar la integridad, confidencialidad y disponibilidad de los datos personales bajo su resguardo. Estas acciones tienen como finalidad prevenir, reducir y gestionar los riesgos asociados a accesos no autorizados, uso indebido o vulneraciones de la información. En este sentido, se dispone de las siguientes categorías de medidas:
• Medidas técnicas: CEDEVAL adopta tecnologías especializadas en seguridad, tales como sistemas de cifrado, controles de acceso, monitoreo continuo de infraestructura, herramientas de detección y respuesta ante incidentes, auditorías periódicas y mecanismos de respaldo y recuperación de información. Estos recursos permiten asegurar la continuidad de las operaciones y la protección de los datos frente a amenazas internas y externas.
• Medidas organizativas: Se mantienen políticas internas vigentes en materia de seguridad de la información, protección de datos personales y gestión de incidentes. Asimismo, se desarrollan programas de capacitación continúa dirigidos al personal y se cuenta con un Delegado de Protección de Datos encargado de supervisar el cumplimiento normativo y velar por la adecuada gestión del ciclo de vida de la información.
• Medidas físicas: CEDEVAL implementa controles de acceso físico a áreas de trabajo y centros de datos, sistemas de videovigilancia, mecanismos de detección de intrusiones y procedimientos de seguridad para la protección de activos tecnológicos. Adicionalmente, se dispone de planes de continuidad del negocio, diseñados para asegurar la prestación ininterrumpida de los servicios esenciales.
• Medidas contractuales: Se incorporan cláusulas específicas de confidencialidad y protección de datos en los contratos suscritos con proveedores, clientes y aliados estratégicos. Asimismo, se realizan evaluaciones periódicas de cumplimiento para verificar la adhesión a los estándares de seguridad y a los lineamientos establecidos por la Institución.
Todas estas medidas se revisan, fortalecen y actualizan de manera periódica, considerando la evolución de las amenazas, los avances tecnológicos, las exigencias regulatorias y las prácticas recomendadas, con el propósito de garantizar un nivel robusto, continuo y efectivo de protección para los datos personales bajo el resguardo de CEDEVAL.
3. Datos Personales que Tratamos
Para la prestación de nuestros servicios de depósito, custodia y liquidación de valores, tratamos las siguientes categorías de datos:
Datos sobre emisiones de valores
CEDEVAL registra y mantiene toda la información asociada a las emisiones:
• Datos de la emisión (características financieras, condiciones, series, tramos, monto, plazos).
• Datos del emisor (entidades públicas o privadas).
• Registro de modificaciones, rectificaciones, reposiciones, y control del depósito inicial de valores.
• Datos de emisiones inscritas o no inscritas en Bolsa.
Datos de cuentas de valores e inversionistas
CEDEVAL administra un sistema de anotaciones electrónicas, por lo que trata datos como:
• Titulares de cuentas de valores.
• Beneficiarios asociados a la cuenta.
• Tipo de cuenta, forma de administración y códigos asignados.
• Datos asociados a cuentas inactivas, cierres y movimientos.
• Legitimación (validación de titularidad).
Datos de custodia y movimientos de valores
CEDEVAL trata la información necesaria para la custodia y administración, que comprende:
• Depósitos de valores.
• Retiros de valores.
• Transferencias entre participantes o cuentas.
• Registros de traspasos, inmovilizaciones y desmaterialización.
Datos sobre derechos patrimoniales y sociales
Para gestionar el ejercicio de derechos derivados de los valores, CEDEVAL maneja:
• Información de cupones, intereses, amortizaciones y pagos de capital.
• Datos para el ejercicio de derechos corporativos (asambleas, votaciones, etc.).
• Administración de Libros de accionistas
• Información sobre canje de valores.
Datos sobre compensación y liquidación bursátil
Incluye todo lo necesario para completar operaciones:
• Datos de operaciones bursátiles de compra y venta.
• Montos y fechas de liquidación.
• Datos de transferencias monetarias y de valores, bajo el esquema de Entrega contra Pago.
Datos sobre gravámenes y restricciones
CEDEVAL registra anotaciones sobre valores cuando las operaciones son fuera de bolsa, como:
• Prendas.
• Embargos y medidas cautelares.
• Otros gravámenes o afectaciones legales.
Datos de operaciones internacionales
CEDEVAL también administra valores en cuentas aperturadas en Custodios Globales derivados de operaciones internacionales:
• Información sobre valores internacionales y sus operaciones.
• Registros de sub-custodia con custodios internacionales.
• Datos de liquidación internacional.
Datos estadísticos y de servicio
• Estadísticas de custodia local, internacional y documentos.
• Datos agregados del mercado administrado.
Cumplimiento de obligaciones legales, regulatorias y autorregulatorias
• Atender requerimientos de autoridades competentes, incluyendo organismos
supervisores del mercado de valores.
• Cumplimiento de obligaciones de prevención de lavado de dinero y, financiamiento del
terrorismo y financiación de armas de destrucción masiva, análisis de alertas y
monitoreo transaccional.
• Ejecución de procesos de auditoría interna, externa y de control regulatorio.
El tratamiento se basa en la ejecución de los contratos de servicios suscritos con CEDEVAL, el cumplimiento de obligaciones legales derivadas de la normativa bursátil salvadoreña y, en su caso, el consentimiento otorgado por usted.
4. Datos sensibles
CEDEVAL podrá tratar datos personales sensibles únicamente en los casos estrictamente necesarios para el cumplimiento de obligaciones legales, regulatorias o contractuales, y siempre bajo las garantías reforzadas de protección que exige la Ley para la Protección de Datos Personales. Conforme a dicha normativa, se consideran datos sensibles aquellos cuyo uso indebido pueda generar discriminación o afectar de manera grave la intimidad del titular, incluyendo datos de salud, rasgos biométricos y demás categorías especialmente protegidas.
En el marco de sus actividades, CEDEVAL únicamente recopila y trata los siguientes tipos de datos sensibles:
a. Datos biométricos utilizados para fines de autenticación y verificación de identidad:
Cuando se implementen mecanismos de control de acceso, autenticación robusta o firma electrónica certificada, CEDEVAL podrá tratar datos biométricos tales como:
• Identificadores biométricos necesarios para la emisión o uso de firmas electrónicas certificadas, conforme a la Ley de Firma Electrónica, que reconoce la validez jurídica de mecanismos electrónicos vinculados de manera única al titular.
Estos datos se utilizan exclusivamente para la autenticación de usuarios autorizados, protección de infraestructura tecnológica, validación de actos operativos y resguardo de la integridad de los sistemas bursátiles.
b. Datos sensibles derivados de obligaciones regulatorias aplicables al mercado de valores
CEDEVAL podrá tratar información que, debido a las obligaciones de supervisión, debida diligencia y cumplimiento regulatorio incluyendo las previstas en la normativa de prevención de lavado de activos, financiamiento del terrorismo y financiamiento a la proliferación de armas de destrucción masiva, pueda ser considerada especialmente protegida cuando involucre elementos sensibles relacionados con el perfil del participante.
Esto puede incluir:
• Información derivada de procesos de verificación asociados a Personas Expuestas Políticamente (PEP), en cumplimiento de la normativa antilavado, según las obligaciones definidas por la ley especial y lineamientos de la UIF.
• Datos o documentos que, en el contexto de investigaciones regulatorias, puedan revelar información potencialmente sensible necesaria para el análisis de riesgos o para atender requerimientos de autoridades competentes.
c. Datos de salud del personal interno, cuando correspondan
CEDEVAL no recopila datos de salud de participantes del mercado. No obstante, puede tratar datos sensibles de salud exclusivamente respecto de su personal interno, en casos como:
• Gestión de incapacidades, certificaciones médicas u obligaciones laborales
• Procesos internos de seguridad ocupacional o prevención de riesgos laborales
Este tratamiento se realizará únicamente cuando sea estrictamente indispensable para cumplir con la legislación laboral aplicable.
5. Limitación del Tratamiento
CEDEVAL garantiza que:
• No recopila datos sensibles como religión, opiniones políticas, afiliación sindical, orientación sexual u otros datos cuya obtención no sea necesaria ni pertinente para las finalidades institucionales.
• Los datos sensibles tratados se someten a medidas de seguridad reforzadas, de conformidad con las Normas Técnicas para la Gestión de la Seguridad de la Información (NRP 23) aplicables a las entidades del sistema financiero y bursátil.
• El tratamiento se limita a finalidades específicas, legítimas y previamente informadas al titular, en cumplimiento del principio de licitud y minimización establecido en la Ley para la Protección de Datos Personales.
6. Base de Licitud
De conformidad con la Ley para la Protección de Datos Personales, CEDEVAL realizará el tratamiento de datos personales únicamente cuando exista una base legal que lo habilite, garantizando que dicho tratamiento se ejecute de manera lícita, transparente y alineada con las obligaciones regulatorias del mercado de valores. En este sentido, el tratamiento podrá fundamentarse en:
• Cuando el tratamiento de datos sea indispensable para el registro y administración de emisiones y emisores, para la prestación de los servicios de custodia, compensación y liquidación bursátil, o para la habilitación y operación de los participantes del mercado dentro de los sistemas administrados por CEDEVAL.
• El cumplimiento de obligaciones legales o regulatorias, incluyendo aquellas derivadas de la Ley del Mercado de Valores, La Ley de Anotaciones Electrónicas de Valores en Cuenta, las normativas técnicas, y de la supervisión ejercida por la Superintendencia del Sistema Financiero.
• Razones de interés público, interés vital o interés legítimo debidamente justificado, vinculadas a la integridad, transparencia y estabilidad del mercado bursátil, así como a la prevención de riesgos operativos, tecnológicos y financieros.
• El consentimiento expreso del titular, cuando la ley requiera autorización previa para realizar determinadas actividades de tratamiento.
En los casos en que el consentimiento sea necesario, este podrá ser recabado mediante cualquier medio que permita su verificación posterior, tales como ventanas emergentes (pop ups), banners informativos en el sitio web o plataformas transaccionales, formularios físicos o electrónicos, mensajes digitales, u otros mecanismos equivalentes, de conformidad con los principios de evidencia y trazabilidad exigidos por la normativa.
Asimismo, no será exigible el consentimiento cuando el tratamiento se encuentre dentro de los supuestos de excepción establecidos por la Ley para la Protección de Datos Personales, tales como los casos indicados en su artículo correspondiente, incluyendo obligaciones legales, contractuales o de interés público.
Finalmente, al utilizar los canales digitales o físicos de CEDEVAL, el titular acepta la Política de Privacidad y autoriza el tratamiento de sus datos personales conforme a los términos establecidos en la misma, sin perjuicio del ejercicio de los derechos otorgados por la Ley para la Protección de Datos Personales.
7. Entidades subcontratadas
CEDEVAL podrá apoyarse en terceros que actúen como encargados del tratamiento de datos personales, conforme a la Ley para la Protección de Datos Personales. Estos proveedores pueden brindar servicios especializados, tales como centros de llamadas, envío masivo de comunicaciones, almacenamiento en la nube o en centros de datos, verificación de identidad, mensajería, soporte tecnológico y administración de sistemas críticos.
Dichos terceros operarán bajo contrato y deberán cumplir estrictamente las instrucciones impartidas por CEDEVAL, así como las obligaciones de seguridad, confidencialidad, legalidad y limitación de finalidad. En ningún caso podrán utilizar los datos personales para propósitos distintos de los autorizados o permitidos por la normativa aplicable.
8. Transferencia de Datos:
CEDEVAL podrá realizar la transferencia de datos personales siempre que cuente con el consentimiento previo, expreso e informado de los titulares, otorgado de forma individualizada y para finalidades legítimas y específicas, Dichas transferencias se formalizarán mediante los contratos de transferencia correspondientes, asegurando que los receptores cumplan con los
estándares de protección exigidos por la Ley para la Protección de Datos Personales y demás normativa vigente.
Entre estos terceros se encuentran proveedores de servicios tecnológicos, almacenamiento en la nube, desarrollo de software, mensajería, custodios internacionales. Todos ellos actúan bajo la figura de encargados del tratamiento. Para garantizar la seguridad de la información, CEDEVAL suscribirá un contrato de transferencia con cada tercero, el cual prevé, como mínimo, las mismas obligaciones de protección y seguridad a las que está sujeta la Institución. Todos los encargados están sujetos a un estricto deber de confidencialidad que subsistirá incluso después de finalizada la relación contractual.
En los casos que involucren servicios de almacenamiento en la nube o proveedores extranjeros (flujo transfronterizo), CEDEVAL garantiza que el receptor de los datos cumple con estándares internacionales y principios de protección no inferiores a los exigidos por la legislación salvadoreña.
Se informa al titular que posee el derecho de oposición al tratamiento de sus datos para fines comerciales, publicitarios o la elaboración de perfiles de mercadotecnia directa. El ejercicio de este derecho podrá solicitarse ante nuestro Delegado de Protección de Datos mediante los canales oficiales.
Finalmente, en cumplimiento de sus obligaciones legales, mandatos judiciales o para la investigación de infracciones administrativas y delitos, CEDEVAL podrá proporcionar información a autoridades competentes, tales como organismos supervisores del sistema financiero y autoridades fiscales o judiciales, sin necesidad de consentimiento previo conforme a las excepciones previstas en la ley.
9. Uso de Cookies:
Las cookies utilizadas en la página web de CEDEVAL son pequeños archivos de texto que se almacenan en el navegador del usuario al acceder a la plataforma. Su finalidad es optimizar la experiencia de navegación, permitiendo recordar configuraciones y preferencias, mantener sesiones seguras y activas, así como apoyar procesos de analítica que permitan comprender el uso de los servicios digitales y ofrecer contenidos relevantes.
Con el propósito de fortalecer la calidad del servicio en nuestra página web y aplicativos digitales, CEDEVAL podrá emplear cookies y otras herramientas tecnológicas destinadas a identificar patrones de interacción y áreas de interés de los usuarios. La deshabilitación de cookies puede limitar el funcionamiento adecuado de ciertos servicios, afectando la experiencia de navegación.
Las cookies no permiten acceder al correo electrónico del usuario ni recopilar información personal de identificación, salvo que esta sea proporcionada de forma voluntaria mediante una acción afirmativa, como el registro en alguno de los servicios ofrecidos por CEDEVAL.
10. Temporalidad del tratamiento de datos:
Los datos personales serán conservados mientras persista una base legal que justifique su almacenamiento. Concluida la relación contractual, en los casos que aplique y proceda una
revocación del consentimiento, la información únicamente se mantendrá cuando sea necesaria para cumplir obligaciones establecidas en la normativa aplicable al mercado de valores, atender procesos de auditoría o supervisión, Una vez cumplidas dichas finalidades, los datos serán eliminados, anonimizados o bloqueados conforme a los procedimientos internos de CEDEVAL y en observancia de los requisitos regulatorios vigentes.
11. Derechos ARCO-POL
La Ley para la Protección de Datos Personales le otorga una serie de derechos relativos a sus datos de carácter personal que podrá́ ejercitar durante el tratamiento de estos. Dichos derechos son los que se le indican a continuación:
• Acceso: Es el derecho a conocer si tus datos están siendo procesados y obtener toda la información que sobre ti se encuentre en bases de datos o registros físicos.
• Rectificación: Es el derecho a solicitar la corrección de datos personales cuando estos sean inexactos, incompletos o no se encuentren actualizados. También aplica si el tratamiento fue realizado en inobservancia de la ley.
• Cancelación (o Supresión): Permite solicitar la eliminación de datos cuando ya no sean necesarios para los fines que fueron tratados, el titular retire su consentimiento, el tratamiento sea ilícito o el titular se oponga legalmente.
• Oposición: Es el derecho a solicitar el cese del tratamiento por motivos legítimos, incluyendo específicamente la elaboración de perfiles o clasificaciones con fines comerciales o de mercadotecnia directa.
• Portabilidad: Es el derecho a recibir los datos en un formato estructurado, de uso común, de lectura mecánica e interoperable, y a transferirlos a otro responsable. Este derecho exige que el tratamiento se base en el consentimiento y se realice por medios automatizados.
• Olvido: Es el derecho a que se eliminen los datos personales publicados en el entorno electrónico cuando sean inadecuados, inexactos, no pertinentes, no actualizados o excesivos. El responsable debe informar a otros encargados para que supriman los enlaces, copias o réplicas.
• Limitación: Permite solicitar que el tratamiento se restrinja a acciones específicas, como cuando se impugna la exactitud de los datos (mientras se verifica) o el tratamiento es ilícito pero el titular se opone a la supresión.
• Revocación de consentimiento: Es el derecho a retirar la autorización para el tratamiento en cualquier momento, de forma expresa y sin efecto retroactivo. El responsable debe establecer mecanismos sencillos y gratuitos para que el titular realice esta acción.
12. Procedimiento para ejercicio de derechos
La solicitud para tramitar el ejercicio de derechos ARCOPOL deberá́ realizarse mediante el formulario de solicitud de información, correspondiente al derecho que se desea ejercer. Este formulario será́ proporcionado por correo electrónico a solicitud del interesado, quien podrá́ solicitarlo escribiendo a prodatos@grupobolsadevalores.com.sv o llamando al 2212-6400.
El formulario deberá́ enviarse como archivo adjunto en formato digital, debidamente firmado con firma autógrafa o firma digital del solicitante, que permita establecer la identidad de este. Además, será́ necesario adjuntar la documentación detallada en los formularos solicitados.
La respuesta a la solicitud relacionada con los derechos ARCOPOL será́ emitida en los plazos estipulados en la Ley. Este plazo podrá́ extenderse por causas debidamente justificadas, cuando la Ley lo habilite.
13. Delegado de Protección de datos
Para efectos de gestionar y tramitar solicitudes para ejercicios de derechos ARCOPOL, se informa que el delegado nombrado es: Gabriela Valladares, quien puede ser contactada en el siguiente correo electrónico: prodatos@grupobolsadevalores.com.sv o en oficinas ubicadas en Torre Millennium Plaza, Nivel 9, Paseo General Escalón, San Salvador Centro, San Salvador. Adicionalmente, cualquier consulta o dudas sobre este aviso, puede contactar a nuestra delegada de protección de datos.
14. Cambios al Aviso de Privacidad
CEDEVAL se reserva el derecho de actualizar este aviso. Cualquier modificación será comunicada a través de la página web, indicando la fecha de entrada en vigor de la modificación correspondiente.
El presente aviso de privacidad se encuentra vigente a partir del 11 de febrero de 2026.
VERSION: 01-11/02/2026.
