POLÍTICA DE RETENCIÓN Y SUPRESIÓN DE DATOS
Versión: CO-2026.11.02-DR2
Fecha de vigencia: 2 de noviembre de 2026
Responsable: DataCred Tech S.A.S.
NIT: 902112751-6
Propietario y fundador: Isacc Lara González
Domicilio: Medellín, Antioquia, Colombia
Contacto: app@datacred.org · +57 302 668 4956
1. Objeto
Esta política establece cuánto tiempo conserva DataCred Tech S.A.S. las distintas categorías de información y cómo se eliminan, anonimizan, restringen o conservan cuando existe una obligación jurídica válida.
La política aplica conjuntamente con la Política de Tratamiento de Datos y Privacidad, la Autorización para el Tratamiento de Datos Personales y, para información financiera y crediticia, con el régimen especial de hábeas data de la Ley 1266 de 2008 y la Ley 2157 de 2021.
Respecto de titulares en Venezuela, la política aplica además el artículo 28 de la Constitución de la República Bolivariana de Venezuela y el principio de temporalidad o conservación declarado vinculante en la sentencia N.º 1.318 del 4 de agosto de 2011 de la Sala Constitucional del Tribunal Supremo de Justicia (Exp. 04-2395), según el cual los datos se conservan solo mientras subsista la finalidad que justificó su tratamiento y la información negativa no tiene vocación de permanencia indefinida. Como esa sentencia no fija un plazo numérico, DataCred aplica a todos sus titulares, como regla operativa uniforme, los términos del régimen colombiano descritos en la sección 3.
2. Principios
DataCred no adopta una regla general de “guardar todo”.
La conservación se rige por:
1. Finalidad: un dato se conserva mientras sea necesario para la finalidad legítima que justificó su tratamiento.
2. Temporalidad: la conservación no debe exceder el tiempo necesario, salvo obligación legal o defensa jurídica debidamente justificada.
3. Minimización: cuando ya no sea necesario conservar identificación directa, DataCred podrá eliminarla, anonimizarla o seudonimizarla.
4. Especialidad: si una norma especial fija un término menor o mayor para una categoría concreta, prevalece esa regla.
5. Responsabilidad demostrada: DataCred conserva evidencia suficiente de sus decisiones de retención y supresión.
3. Información financiera y crediticia
3.1 Información positiva
La información financiera y crediticia positiva podrá permanecer de manera indefinida cuando se encuentre dentro del ámbito de la Ley 1266 de 2008 y siga siendo tratada de forma legítima.
Que la ley permita permanencia indefinida no significa que DataCred deba conservar indefinidamente toda copia técnica, documento fuente o identificador accesorio.
3.2 Información negativa
Los datos referentes a mora, incumplimiento, tipo de cobro, estado de cartera u otra información negativa se sujetan al artículo 13 de la Ley 1266 de 2008, modificado por la Ley 2157 de 2021.
Después del pago o extinción de la obligación, la permanencia máxima será el doble del tiempo de mora, sin exceder cuatro (4) años, contado desde el pago o extinción.
Existe además una caducidad absoluta de ocho (8) años desde el inicio de la mora para la información negativa que continúe sin extinguirse.
En ningún caso la información negativa permanece de forma indefinida.
Cuando vence el término aplicable, el proceso automático de retención elimina el registro negativo de la base de datos operativa y, en el mismo proceso, solicita el recálculo de los puntajes o mediciones afectados. No se conserva una copia detallada del dato negativo en registros de auditoría simplemente por conveniencia técnica.
3.3 Obligación pagada o extinguida
Cuando la fuente informa que una obligación fue pagada o extinguida, DataCred la muestra como pagada o cerrada, no como deuda vigente ni como mora actual, y solicita de inmediato el recálculo del puntaje para que refleje la situación actual. Para los elementos negativos reportados por una fuente, el sistema calcula en ese momento la fecha de retiro conforme a la sección 3.2; la fuente no puede ampliar ese término.
Las marcas de atraso del historial mensual solo se consideran dentro de una ventana de veinticuatro (24) meses, de modo que un atraso antiguo deja de pesar en el puntaje aunque el dato siga dentro de su término. Un elemento negativo pagado o extinguido deja de restar puntos a partir del recálculo que se ordena al informarse su pago, aunque siga visible como pagado dentro de su término. Los elementos negativos impagados, como una cuenta en cobranza o castigada, se consideran hasta su caducidad de ocho (8) años. El dato se elimina al vencer el término que corresponda.
La misma regla de permanencia de la sección 3.2 se aplica a las marcas de atraso que formen parte del historial mensual de una cuenta reportada. Cuando el retiro de una de esas marcas no se ejecute de forma automática, DataCred lo realiza mediante su proceso de revisión de datos o a solicitud del titular.
4. Cuenta y datos de perfil
| Categoría | Regla de retención |
|---|---|
| Cuenta activa, nombre y datos de contacto | Durante la relación y mientras sean necesarios para prestar el servicio |
| Solicitud de eliminación total | Período de gracia de 7 días antes de ejecutar la eliminación |
| PII directa de una cuenta desactivada | El worker de retención la purga después de 30 días de desactivación, salvo retención legal específica |
| Registro técnico seudonimizado | Puede mantenerse cuando sea necesario para integridad referencial, prevención de fraude o evidencia jurídica, sin conservar PII directa innecesaria |
Una solicitud de supresión no obliga a destruir información que DataCred deba conservar por una obligación legal vigente, por una reclamación en curso o por la necesidad proporcional de formular, ejercer o defender derechos. En esos casos el tratamiento se restringe a esa finalidad.
5. Verificación de identidad y KYC
DataCred aplica una política de retención corta de imágenes de identidad.
- Una verificación que termina en APROBADA o RECHAZADA elimina las imágenes del documento y selfie inmediatamente después de finalizar el proceso técnico.
- Intentos no terminales abandonados, como PENDING, UPLOADED o VALIDATING, tienen un máximo operativo de 24 horas antes de la purga automática.
- Casos en REQUIRES_REVIEW pueden conservar las imágenes durante un máximo de 7 días para revisión humana.
- La ventana de 7 días es un techo. Si la revisión termina antes, las imágenes se eliminan al concluir.
- DataCred puede conservar el resultado estructurado de la verificación, hashes de control, estado, fecha y evidencia mínima antifraude cuando exista una finalidad legítima, sin conservar por ello la imagen cruda.
DataCred no utiliza una supuesta obligación estadounidense de conservar imágenes KYC durante siete años.
6. Documentos financieros y OCR
Los documentos financieros cargados para OCR se separan en dos capas:
6.1 Archivo o imagen fuente
Los objetos OCR que alcanzan un estado terminal se eliminan del almacenamiento privado y de la tabla técnica correspondiente después de 7 días.
Este plazo permite detectar fallos, duplicados o manipulación sin convertir a DataCred en un archivo permanente de estados de cuenta.
6.2 Datos estructurados derivados
Los hechos financieros extraídos que se incorporen legítimamente al expediente del usuario pueden conservarse por el tiempo necesario para la finalidad autorizada, incluyendo cálculo del puntaje, historial financiero, investigación de fraude o una relación crediticia.
Eliminar la imagen fuente no implica necesariamente eliminar un hecho financiero legítimamente incorporado al expediente.
7. DataCred Cash
DataCred Cash se encuentra actualmente en mantenimiento. Respecto de las operaciones de Cash que existan o hayan existido, el acreedor es DataCred Tech S.A.S., Colombia.
Los contratos individuales, aceptaciones, desembolsos, pagos, conciliaciones y comprobantes que constituyan libros, papeles o soportes de una operación comercial podrán conservarse durante el término legal aplicable.
Cuando constituyan libros o papeles del comerciante, DataCred aplica como referencia el término de diez (10) años previsto en el artículo 28 de la Ley 962 de 2005, contado conforme a esa norma, sin perjuicio de términos especiales menores.
La eliminación de una cuenta no extingue una obligación de crédito existente ni exige destruir evidencia necesaria para administrarla, cobrarla, probar su pago o atender una controversia.
8. Consentimientos y aceptación contractual
Mientras una autorización o aceptación esté vigente, DataCred conserva la evidencia necesaria para demostrar:
- versión del documento;
- hash del texto aceptado;
- fecha y hora;
- canal;
- dirección IP cuando corresponda;
- alcance y finalidad;
- estado posterior de revocatoria, expiración o sustitución.
Cuando un consentimiento queda REVOKED, EXPIRED o SUPERSEDED, la evidencia cerrada se conserva hasta 10 años y luego puede ser eliminada.
Cuando una cuenta es eliminada, los consentimientos activos se cierran y dejan de mantenerse indefinidamente con estado ACTIVE.
9. Auditoría y seguridad
| Categoría | Retención |
|---|---:|
| Auditoría operativa no marcada como evidencia de cumplimiento | 2 años |
| Auditoría marcada como evidencia de cumplimiento o soporte comercial | Hasta 10 años |
| Eventos de seguridad cerrados | 1 año |
| Eventos de seguridad OPEN | Hasta cierre de la investigación; después aplica el término de eventos cerrados |
| Sesiones revocadas | 90 días |
| Sesiones expiradas | 30 días después de su vencimiento |
| Tokens de recuperación o verificación | Hasta uso o vencimiento, según corresponda |
Una clasificación de “cumplimiento” no autoriza conservar más tiempo un dato que tenga un plazo legal especial más corto. En particular, el contenido detallado de información negativa caducada se elimina junto con el dato fuente.
10. Exportaciones de datos
Los archivos temporales generados para entregar una copia de datos al titular utilizan enlaces de vida limitada.
El enlace de descarga expira normalmente a las 72 horas. La expiración del enlace no modifica la retención de los datos fuente dentro de DataCred.
11. Reclamos, litigios y retenciones legales
Cuando exista una reclamación, orden judicial, investigación o litigio que requiera preservar evidencia, DataCred puede suspender temporalmente una eliminación concreta.
Una retención legal debe:
- identificar la razón;
- limitarse a la información realmente necesaria;
- definir, cuando sea posible, una fecha o condición de expiración;
- impedir usos incompatibles durante la retención;
- levantarse cuando desaparezca la causa.
No se utilizará una “retención legal” genérica para conservar indefinidamente datos que deberían eliminarse.
12. Proveedores y copias de seguridad
Los encargados y proveedores que procesen datos por cuenta de DataCred deben seguir instrucciones de conservación compatibles con esta política y con sus contratos.
Las copias de seguridad siguen ciclos técnicos propios. Cuando una copia de seguridad contenga información posteriormente eliminada, esa información no se reutilizará como fuente activa ordinaria y las restricciones o marcas de eliminación deberán reaplicarse si una restauración técnica lo exige.
La infraestructura principal de DataCred se aloja en Amazon Web Services, región us-east-1 (Norte de Virginia, Estados Unidos). Las reglas de esta política se aplican igual a los datos almacenados fuera de Venezuela o de Colombia; el tratamiento internacional se rige por la Política de Transmisión y Transferencia Internacional de Datos.
13. Derechos del titular
El titular puede solicitar de forma gratuita conocimiento, actualización, rectificación, supresión cuando proceda o revocatoria en los términos aplicables.
La supresión puede ser total o parcial según la categoría de datos y las obligaciones legales vigentes. No comprende la eliminación de información verdadera que deba conservarse durante su término legal, ni la de datos necesarios para una obligación vigente o una reclamación en curso.
La revocatoria produce efectos hacia el futuro: impide los usos posteriores que dependan solo de esa autorización, sin afectar los tratamientos realizados legítimamente antes de ella ni los datos que deban conservarse por obligación legal.
Los plazos de respuesta, incluidos los aplicables a titulares en Venezuela, se rigen por la Política de Consultas, Reclamos y Rectificación de Información Crediticia.
Solicitudes:
app@datacred.org
+57 302 668 4956
CL 30 A # CR 79-32, AP 104, Medellín, Colombia
14. Control de cambios
Los cambios materiales de esta política deberán quedar versionados.
Un cambio técnico de retención no podrá ampliar silenciosamente el uso de información para una finalidad nueva. Si el nuevo uso requiere autorización, DataCred deberá obtenerla antes de aplicarlo.