POLÍTICA DE TRANSMISIÓN Y TRANSFERENCIA INTERNACIONAL DE DATOS
Versión: CO-2026.11.02-XB2
Fecha de vigencia: 2 de noviembre de 2026
Responsable: DataCred Tech S.A.S.
NIT: 902112751-6
Contacto: app@datacred.org · +57 302 668 4956
1. Objeto
Esta política regula la comunicación de datos personales desde Colombia hacia proveedores o destinatarios ubicados dentro o fuera del país.
El documento anterior estaba formulado bajo un régimen extranjero. La política vigente se basa en el régimen colombiano y, respecto de titulares en Venezuela, en las reglas de la sección 10.
2. Transferencia
Existe transferencia cuando DataCred, como Responsable o Encargado ubicado en Colombia, envía datos a un receptor que actuará a su vez como Responsable del tratamiento.
Las transferencias internacionales deben observar el artículo 26 de la Ley 1581 de 2012.
3. Transmisión
Existe transmisión cuando un Encargado trata datos por cuenta de DataCred, dentro o fuera de Colombia.
Una transmisión internacional entre Responsable y Encargado no requiere autorización adicional del titular por el solo hecho de cruzar frontera cuando existe un contrato de transmisión conforme al régimen colombiano y el tratamiento permanece dentro de las finalidades autorizadas.
4. Contrato de transmisión
El contrato debe establecer, entre otros:
- alcance;
- actividades;
- finalidad;
- obligaciones del Encargado;
- seguridad;
- confidencialidad;
- atención de derechos;
- devolución o eliminación;
- subencargados cuando corresponda.
5. Transferencias a terceros países
Cuando el receptor sea Responsable independiente, DataCred debe evaluar:
- nivel adecuado de protección;
- excepción legal;
- autorización expresa e inequívoca cuando corresponda;
- declaración de conformidad de la SIC cuando sea necesaria;
- contrato y finalidad.
6. Excepciones
La Ley 1581 contempla excepciones específicas a la prohibición general, entre ellas ciertos casos de autorización expresa, ejecución contractual, transferencias bancarias o bursátiles y supuestos judiciales o de interés público.
DataCred evalúa la excepción concreta antes de apoyarse en ella.
7. Proveedores
Servicios de nube, IA, correo, pagos, push y voz pueden implicar transmisión internacional.
El tratamiento se limita a la información necesaria para la función contratada.
8. No equivalencia entre proveedor extranjero y transferencia
Que un proveedor esté ubicado fuera de Colombia no significa automáticamente que exista una transferencia jurídica.
Cuando el proveedor procesa exclusivamente por cuenta de DataCred puede tratarse de transmisión.
9. Datos financieros y crediticios
Cuando se transfieran o transmitan datos sometidos a la Ley 1266, también deben respetarse sus principios y finalidades.
El artículo 26 de la Ley 1581 extiende sus reglas de transferencia a todos los datos personales, incluidos los contemplados en la Ley 1266.
10. Titulares en Venezuela y tratamiento fuera de Venezuela
Los datos de titulares en Venezuela se almacenan y procesan fuera de Venezuela. La infraestructura principal de DataCred se encuentra en Amazon Web Services, región us-east-1 (Norte de Virginia, Estados Unidos), y otros proveedores tecnológicos que actúan como subencargados pueden tratar datos en el extranjero, según la Lista de Subprocesadores.
La legislación venezolana no impone a los operadores privados una obligación general de residencia local de datos. La obligación de ubicar en Venezuela los centros de procesamiento y bases de datos existe dentro del régimen prudencial de SUDEBAN aplicable a las Instituciones de Tecnología Financiera del Sector Bancario (ITFB) y a las entidades supervisadas. Ese régimen no aplica al servicio actual de DataCred, que no se ofrece a instituciones bancarias ni por cuenta de ellas. Si esa condición cambiara, DataCred revisaría su arquitectura antes de prestar ese servicio.
Conforme a los artículos 28 y 60 de la Constitución de la República Bolivariana de Venezuela y a la sentencia N.º 1.318 del 4 de agosto de 2011 de la Sala Constitucional del Tribunal Supremo de Justicia (Exp. 04-2395), DataCred informa al titular que crea una cuenta, mediante la Autorización para el Tratamiento de Datos Personales y esta política, que sus datos pueden almacenarse y procesarse fuera de Venezuela, que intervienen proveedores tecnológicos como subencargados, con qué finalidades y cómo ejercer sus derechos y revocar su autorización.
Respecto de titulares sin cuenta cuyos datos reporta un comercio, DataCred no les presenta directamente esa Autorización: la información sobre el tratamiento fuera de Venezuela está publicada en esta política y se les presenta cuando crean su cuenta, momento en que su expediente se une a ella. El comercio debe obtener del titular, antes del reporte, la autorización previa, expresa y verificable que exige el Contrato Marco de Afiliación.
El tratamiento internacional se protege con medidas contractuales, técnicas y organizativas:
- contratos con los proveedores que regulan finalidad, confidencialidad, seguridad, incidentes, subcontratación y devolución o eliminación;
- cifrado en reposo de la base de datos principal, del almacenamiento de objetos y de los discos de la infraestructura principal;
- conexiones HTTPS/TLS con la aplicación y la API;
- acceso limitado por rol y mínimo privilegio;
- registros de auditoría y trazabilidad.
Los derechos del titular no dependen del lugar donde se almacenen sus datos.
11. Seguridad
DataCred evalúa medidas como:
- cifrado;
- control de acceso;
- scopes;
- segregación;
- retención;
- logs;
- incidentes;
- eliminación.
12. Derechos
El titular puede solicitar información sobre el tratamiento y ejercer los derechos previstos en la Política de Privacidad.
13. Cambios
Un nuevo proveedor material debe evaluarse antes de enviarle datos personales.
La Lista de Subprocesadores se actualiza cuando corresponda.
14. Marco jurídico
Esta política se interpreta conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015 y las instrucciones vigentes de la Superintendencia de Industria y Comercio.
Respecto de titulares en Venezuela, se aplican además los artículos 28 y 60 de la Constitución de la República Bolivariana de Venezuela y la sentencia N.º 1.318 de 2011 de la Sala Constitucional.
DataCred Tech S.A.S.
NIT 902112751-6