POLÍTICA DE COMPARTICIÓN Y CIRCULACIÓN DE DATOS
Versión: CO-2026.11.02-SHARE2
Fecha de vigencia: 2 de noviembre de 2026
Responsable: DataCred Tech S.A.S.
NIT: 902112751-6
Propietario y fundador: Isacc Lara González
Domicilio: Medellín, Antioquia, Colombia
Contacto: app@datacred.org · +57 302 668 4956
1. Objeto
Esta política explica cuándo DataCred Tech S.A.S. puede comunicar, suministrar, transmitir o transferir datos personales y financieros a empresas afiliadas, proveedores, autoridades u otros destinatarios.
DataCred no adopta una regla de circulación abierta. El acceso se limita por finalidad, necesidad, base jurídica, contrato y controles técnicos.
DataCred no es banco, institución del sector bancario ni Institución de Tecnología Financiera del Sector Bancario (ITFB), y no está autorizada ni supervisada por SUDEBAN. Su producto actual no se ofrece a instituciones bancarias ni por cuenta de ellas. DataCred no accede a SICRI ni recibe datos originados en bancos sin la autorización específica que corresponda.
2. Principios
Toda compartición debe observar, según corresponda:
- legalidad;
- finalidad;
- libertad;
- veracidad o calidad;
- transparencia;
- acceso y circulación restringida;
- seguridad;
- confidencialidad;
- minimización;
- responsabilidad demostrada.
Que un dato exista en DataCred no significa que cualquier tercero tenga derecho a consultarlo.
3. Empresas afiliadas y consultas de información crediticia
Las empresas afiliadas pueden consultar información mediante los productos y API habilitados por DataCred únicamente dentro de finalidades admitidas.
Los destinatarios de informes y puntajes pertenecen a una sola categoría: comercios y proveedores de crédito no bancarios que evalúan su propio riesgo o prestan con fondos propios, con una finalidad legítima de evaluación de riesgo y sujetos a obligaciones de confidencialidad y uso limitado. Antes de cada consulta, la empresa declara la finalidad y la existencia de la solicitud de crédito, relación crediticia o gestión de una obligación que la justifica; conforme al Contrato Marco de Afiliación, debe contar con la autorización previa, expresa y verificable del titular cuando la ley la exija y poder demostrarla. DataCred conserva esa declaración, puede exigir la prueba de la autorización y avisa al titular registrado de cada consulta sobre su información.
Para nuevas consultas empresariales, las finalidades habilitadas por el backend son:
- CREDIT_APPLICATION: solicitud de crédito;
- EXISTING_CREDIT_REVIEW: revisión de una relación crediticia existente;
- COLLECTIONS: gestión de cobro de una obligación existente.
El sistema puede utilizar internamente COURT_ORDER para una consulta respaldada por orden judicial.
Finalidades históricas como empleo, arrendamiento o seguros permanecen únicamente por compatibilidad de registros antiguos y no se aceptan para nuevas consultas empresariales.
4. Declaración de base y relación
Antes de permitir determinadas consultas, DataCred exige que la empresa afiliada declare que cuenta con una base jurídica válida.
El sistema puede registrar:
- finalidad declarada;
- atestación de base jurídica;
- referencia de la relación con el titular;
- empresa solicitante;
- usuario empresarial;
- fecha y hora;
- IP;
- resultado de la consulta.
La atestación de una empresa no elimina la responsabilidad de DataCred de aplicar sus propios controles.
5. Contrato de afiliación
Las empresas que acceden al sistema se sujetan al Contrato Marco de Afiliación vigente, a los Términos de Acceso para Empresas Afiliadas y a las reglas de acceso de DataCred.
El representante acepta el contrato vigente durante el registro empresarial y el contrato se perfecciona cuando DataCred aprueba a la empresa, sin firma manual adicional. Una API key no sustituye esa aceptación.
La relación con cada empresa se sujeta, entre otras, a estas condiciones, desarrolladas en esos documentos y aplicables conforme a la versión vigente del Contrato Marco de Afiliación aceptada por la empresa:
- la empresa declara que no es una institución bancaria ni actúa como agente, mandataria o proveedor interpuesto de una;
- usa los informes y puntajes solo para operaciones que efectúa por cuenta y riesgo propios;
- no los revende, sublicencia, ofrece en marca blanca ni pone a disposición de una institución bancaria sin autorización previa y escrita de DataCred y sin las autorizaciones regulatorias que correspondan;
- adopta su propia decisión, sin basarla únicamente en el puntaje, y no atribuye esa decisión a DataCred;
- reporta datos exactos, actualizados y obtenidos legalmente con autorización verificable del titular y, antes de un reporte negativo, acredita la comunicación previa al titular;
- protege sus credenciales y comunica sin demora cualquier incidente;
- acepta la suspensión o terminación del acceso si una autoridad determina que la relación requiere autorización o si cambia su condición regulatoria.
6. Datos que pueden suministrarse
Según el producto, finalidad y nivel de acceso, una consulta puede incluir información como:
- identidad mínima necesaria;
- Puntaje DataCred;
- factores explicativos;
- obligaciones o líneas reportadas;
- estado de pago;
- saldos;
- antigüedad;
- consultas previas cuando corresponda;
- existencia de un RECLAMO EN TRÁMITE;
- información pública o privada adicional expresamente habilitada.
DataCred no debe entregar imágenes KYC, selfies o biometría mediante una consulta de información crediticia ordinaria.
7. Reclamos activos
Cuando una obligación tenga un reclamo activo, las respuestas empresariales deben reflejar la existencia de un RECLAMO EN TRÁMITE.
La fuente o el afiliado no debe recibir una versión del dato que oculte deliberadamente la controversia.
8. Proveedores y encargados
DataCred utiliza proveedores para funciones como infraestructura, comunicaciones, pagos, almacenamiento, inteligencia artificial, notificaciones, seguridad y otras operaciones técnicas.
Cuando un proveedor trata datos por cuenta de DataCred y bajo sus instrucciones, actúa como encargado o subencargado según corresponda.
Los contratos deben cubrir, de acuerdo con el servicio:
- finalidad;
- confidencialidad;
- seguridad;
- instrucciones de tratamiento;
- acceso;
- incidentes;
- subencargados;
- devolución o eliminación;
- cooperación en derechos del titular.
9. Transferencia y transmisión
DataCred distingue:
- transferencia: el receptor recibe datos como Responsable;
- transmisión: un Encargado procesa datos por cuenta de DataCred.
Cuando el receptor o encargado se encuentre fuera de Colombia, DataCred aplicará el régimen colombiano de transferencias y transmisiones internacionales que corresponda.
La ubicación física de un servidor no convierte automáticamente toda operación en una transferencia a otro Responsable.
La infraestructura principal de DataCred se encuentra en Amazon Web Services, región us-east-1 (Norte de Virginia, Estados Unidos). El tratamiento fuera de Venezuela y de Colombia se rige por la Política de Transmisión y Transferencia Internacional de Datos.
10. Proveedores de pago
Cuando DataCred utiliza un proveedor de pagos, solo debe comunicar la información necesaria para procesar, conciliar, verificar o proteger la operación.
En DataCred Cash:
- el acreedor es DataCred Tech S.A.S.;
- DataCred Tech S.A.S. envía u ordena el desembolso;
- DataCred Tech S.A.S. recibe el pago;
- Binance Pay u otro proveedor puede actuar como canal técnico.
DataCred Cash se encuentra actualmente en mantenimiento; estas reglas aplican a las operaciones que existan o hayan existido.
El proveedor técnico no se convierte por ello en titular del crédito.
11. Autoridades
DataCred puede suministrar información a autoridades o despachos cuando exista una base jurídica válida.
La solicitud se tramita conforme a la Política de Solicitudes de Autoridades y Requerimientos Legales.
DataCred aplica minimización. La verificación, el registro y la notificación al titular de cada entrega se rigen por la Política de Solicitudes de Autoridades y Requerimientos Legales.
12. Titular que solicita compartir sus propios datos
Cuando una función permita al usuario generar una exportación, enlace o entrega de sus propios datos, DataCred aplicará controles de autenticación y alcance.
La existencia de un derecho de acceso no obliga a DataCred a exponer públicamente la información ni a crear una API abierta.
13. Venta de datos
DataCred Tech S.A.S. no define como modelo de negocio la venta indiscriminada de bases de datos personales a terceros.
El acceso empresarial a información crediticia se presta dentro de finalidades controladas, contrato, trazabilidad y reglas de hábeas data; no debe interpretarse como autorización para reutilizar datos para cualquier propósito.
14. Marketing y perfiles de terceros
DataCred no autoriza a una empresa afiliada a reutilizar un reporte crediticio para:
- marketing no relacionado;
- construir una base comercial independiente;
- descargar o replicar bases completas;
- venderlo, sublicenciarlo u ofrecerlo en marca blanca;
- entregarlo a una institución bancaria;
- enriquecer perfiles de personas ajenas a la finalidad declarada;
- entrenar modelos propios sin una base jurídica específica;
- empleo;
- seguros;
- arrendamiento.
15. Datos sensibles
Biometría, documentos de identidad crudos y otras categorías sensibles reciben controles reforzados.
La autorización para verificar identidad no equivale a autorización para compartir biometría con una empresa que consulta un puntaje.
16. Seguridad
Las comunicaciones de datos deben utilizar mecanismos de acceso controlado.
DataCred puede aplicar:
- API keys;
- autenticación;
- scopes;
- rate limits;
- registros de auditoría;
- revocación de credenciales;
- controles de finalidad;
- validaciones de relación.
17. Retención por el receptor
Un receptor no debe conservar información más tiempo del necesario para la finalidad legítima y las obligaciones que le resulten aplicables.
La entrega de un reporte no transfiere al receptor un derecho perpetuo sobre los datos.
18. Cambios societarios
En una reorganización, fusión, adquisición o transferencia de activos que implique datos personales, DataCred deberá evaluar la continuidad de finalidades, deberes de información y mecanismos jurídicos necesarios antes de transferir bases de datos.
19. Derechos del titular
El titular puede ejercer sus derechos de conocimiento, actualización, rectificación, consulta, supresión o reclamo conforme al régimen aplicable.
Puede solicitar información sobre el uso dado a sus datos y presentar quejas ante la autoridad competente cuando corresponda.
En particular, el titular puede ver gratuitamente en su reporte qué empresas consultaron su información en los últimos veinticuatro (24) meses, cuándo y con qué finalidad declarada, y solicitar por los canales de contacto la información sobre consultas anteriores que DataCred conserve.
20. Contacto
DataCred Tech S.A.S.
NIT 902112751-6
CL 30 A # CR 79-32, AP 104
Medellín, Antioquia, Colombia
app@datacred.org
+57 302 668 4956
21. Marco jurídico
Esta política se interpreta conforme a la Ley 1581 de 2012, la Ley 1266 de 2008, la Ley 2157 de 2021, el Decreto 1074 de 2015 y demás normas colombianas aplicables.
Respecto de titulares en Venezuela, se aplican además los artículos 28 y 60 de la Constitución de la República Bolivariana de Venezuela y la sentencia N.º 1.318 de 2011 de la Sala Constitucional.