Manual SARLAFT — Mandapayá

1. Objeto y Alcance

1.1. Objeto

El presente manual establece las políticas, procedimientos y controles adoptados por CARROPAGO S.A.S. (en adelante "Mandapayá" o "la Empresa") para prevenir y controlar el riesgo de que la plataforma sea utilizada como instrumento para el Lavado de Activos (LA) o la Financiación del Terrorismo (FT). Este documento constituye el marco de referencia del Sistema de Autocontrol y Gestión del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT) de la Empresa, implementado de manera voluntaria y basado en un enfoque de riesgo proporcional al modelo de negocio.

1.2. Alcance

• Todas las operaciones realizadas a través de la plataforma Mandapayá.
• Todos los colaboradores, contratistas y terceros vinculados a la operación.
• Todos los productos y servicios ofrecidos: comercialización de activos digitales tipo gift card y servicios de redención y pago móvil (COP a VES).
• Todos los canales de operación: aplicación web, WhatsApp, PSE, Nequi, Daviplata, Efecty, AAVANCE, MERU y canal embajador.
• Todo el ciclo de vida de la relación comercial con el cliente: desde el registro hasta la terminación.

1.3. Modelo de Negocio

Mandapayá es una plataforma tecnológica de comercialización de activos digitales (gift cards) y servicios de redención y pago móvil COP a VES. La Empresa:

• NO es una entidad financiera.
• NO capta recursos del público.
• NO realiza intermediación financiera.
• NO administra fondos de terceros.
• Opera como empresa de servicios tecnológicos y comerciales bajo las normas del Código de Comercio colombiano.

La implementación del SARLAFT es una decisión voluntaria orientada a la gestión responsable del riesgo, la protección reputacional y el cumplimiento de buenas prácticas internacionales.

2. Definiciones

3. Marco Normativo

3.1. Normativa Colombiana

3.2. Estándares Internacionales

3.3. Nota de Aplicabilidad

CARROPAGO S.A.S. no es una entidad vigilada por la Superintendencia Financiera de Colombia. La implementación de este SARLAFT es una decisión voluntaria basada en un enfoque de riesgo proporcional, siguiendo la estructura conceptual de la Circular Básica Jurídica como referencia de mejores prácticas, sin que ello implique la asunción de obligaciones propias de entidades vigiladas.

4. Estructura Organizacional SARLAFT

4.1. Órganos Responsables

4.2. Líneas de Defensa

5. Metodología SARLAFT — Pilares

5.1. Pilar 1: Identificación del Riesgo

Reconocer los factores de riesgo inherentes al modelo de negocio que pueden exponer a la Empresa a ser utilizada para actividades de LA/FT.

a) Factor Cliente

• Usuarios anónimos o con información incompleta.
• Usuarios con volúmenes transaccionales atípicos.
• Usuarios vinculados a jurisdicciones de alto riesgo (listas GAFI).
• PEPs (Personas Expuestas Políticamente).
• Usuarios sin proceso KYC completado.

b) Factor Producto/Servicio

• Gift cards: por su naturaleza prepagada y facilidad de transferencia.
• Operaciones de redención y pago móvil COP a VES: operación transfronteriza.
• Pagos móviles: velocidad de ejecución y dificultad de reversibilidad.

c) Factor Canal

• WhatsApp: menor trazabilidad comparado con canales bancarios.
• Efecty: recaudo en efectivo con mayor riesgo inherente.
• Canal embajador: intermediación de terceros.

d) Factor Jurisdicción

• Colombia: origen de los fondos.
• Venezuela: destino de las operaciones de redención (riesgo cambiario, regulatorio y de listas).
• Países en lista gris/negra GAFI (si aplica a beneficiarios).

5.2. Pilar 2: Medición o Evaluación

El sistema de scoring de Mandapayá asigna una puntuación numérica acumulativa a cada usuario basada en eventos transaccionales y de comportamiento.

Niveles de Riesgo

Decay (atenuación)

Para evitar la acumulación indefinida de puntos, el sistema aplica un factor de decay diario: score_nuevo = score_actual * 0.9. El scoring NO bloquea operaciones de manera automática: es una herramienta informativa de apoyo a la decisión del Oficial de Cumplimiento.

5.3. Pilar 3: Control

a) Controles Preventivos

• KYC progresivo según nivel de actividad.
• Validación de identidad con selfie y documento.
• Límites transaccionales por canal y período.
• Validación de beneficiarios (cédula, teléfono, banco).
• Consulta de listas restrictivas.

b) Controles Detectivos

• Scoring automatizado en tiempo real.
• Monitoreo de patrones transaccionales.
• Alertas automáticas por umbrales.
• Auditoría de eventos (audit_events).
• Trazabilidad completa de operaciones.

c) Controles Correctivos

• Procedimiento de gestión de alertas.
• Suspensión preventiva de usuarios de alto riesgo.
• Bloqueo de operaciones atípicas.
• Reportes al Oficial de Cumplimiento.

5.4. Pilar 4: Monitoreo

Indicadores de Gestión

6. Matriz de Riesgo

7. Segmentación de Clientes

El sistema evalúa automáticamente si un usuario debe migrar de segmento basándose en el acumulado de transacciones exitosas, el volumen total en COP y el segmento de valor calculado. El escalamiento es automático y no requiere acción del usuario. No se bloquean operaciones por falta de KYC: el KYC ausente incrementa el score de riesgo pero no impide transacciones.

8. Procedimiento de Conocimiento del Cliente (KYC)

8.1. Principio General

Mandapayá implementa un esquema de Conocimiento del Cliente (KYC) progresivo, proporcional al nivel de actividad del usuario. El KYC identifica al usuario real, alimenta el scoring de riesgo y genera trazabilidad auditable. Su ausencia genera una penalización en el score, sin interrumpir la experiencia del usuario.

8.2. Modelo KYC Mandapayá

Nivel 1 — Registro básico (todos los usuarios)

Nivel 2 — Validación progresiva (usuarios frecuentes)

Nivel 3 — KYC completo con selfie (usuarios intensivos)

• El usuario debe sostener su documento de identidad junto a su rostro en una única imagen.
• La imagen debe ser legible: número de documento y foto del documento verificables.
• Validación visual básica — no se utiliza biometría avanzada ni reconocimiento facial automatizado.
• Formatos aceptados: JPEG, PNG, WebP. Tamaño máximo: 2 MB.
• Procesamiento automático: conversión a JPEG, redimensión a 800px en su lado mayor, calidad 70%.
• Almacenamiento en sistema de archivos seguro con acceso restringido.

8.3. Estados de KYC

8.4. Flujo de verificación KYC

REGISTRO → MISSING → (selfie) → PENDING → (verificación) → VERIFIED o REJECTED

8.5. Usuarios migrados

Para los usuarios registrados antes de la implementación del KYC: se crean registros KYC automáticos con status MISSING, no se bloquean operaciones, se muestra invitación a completar su identidad y reciben +2 al score hasta completar al menos el Nivel 2.

9. Contacto

Para consultas, denuncias o reportes relacionados con el SARLAFT, escríbenos a:
cumplimiento@mandapaya.app