POLÍTICA KYC Y VERIFICACIÓN DE IDENTIDAD
Versión: CO-2026.11.02-KYC2
Fecha de vigencia: 2 de noviembre de 2026
Entidad: DataCred Tech S.A.S.
NIT: 902112751-6
Propietario y fundador: Isacc Lara González
Domicilio: CL 30 A # CR 79-32, AP 104, Medellín, Antioquia, Colombia
Correo: app@datacred.org
Teléfono: +57 302 668 4956
1. Objeto
Esta política describe el marco de conocimiento del cliente y verificación de identidad utilizado por DataCred Tech S.A.S. para proteger la integridad de DataCred, reducir fraude, prevenir suplantación y aplicar controles proporcionales al riesgo.
La verificación KYC de DataCred es un control privado de identidad. No convierte a DataCred Tech S.A.S. en banco, establecimiento de crédito vigilado ni entidad financiera regulada. En Venezuela, DataCred no es institución del sector bancario ni ITFB y no está autorizada ni supervisada por SUDEBAN, conforme a las Declaraciones Financieras y Regulatorias.
2. Alcance actual
El flujo KYC de consumidor actualmente soporta documentos venezolanos y utiliza la cédula venezolana como identificador canónico de identidad.
Los tipos actualmente admitidos por el backend son:
- cédula venezolana V;
- cédula venezolana E;
- pasaporte venezolano que permita identificar la cédula del titular;
- licencia de conducir venezolana que permita identificar la cédula del titular.
La existencia de DataCred Tech S.A.S. en Colombia no significa que el flujo actual de verificación acepte automáticamente documentos colombianos u otros documentos internacionales.
Cuando se habiliten nuevos países o tipos documentales, deberán incorporarse primero a los controles técnicos y luego reflejarse en esta política.
3. Datos utilizados
Según el documento y el flujo, DataCred puede tratar:
- nombre completo;
- número de documento;
- fecha de nacimiento;
- fecha de vencimiento;
- imagen frontal;
- imagen posterior cuando corresponda;
- selfie;
- señales de coincidencia facial;
- señales de vitalidad;
- calidad y consistencia documental;
- país y tipo documental;
- hashes técnicos para detectar duplicidad o reutilización.
Los datos biométricos son datos sensibles bajo el régimen colombiano. Cuando su tratamiento requiera autorización del titular, DataCred debe informar su naturaleza sensible, la finalidad concreta y obtener la autorización correspondiente.
Para titulares venezolanos, DataCred aplica además los artículos 28 y 60 de la Constitución de la República Bolivariana de Venezuela y los principios declarados vinculantes por la Sala Constitucional en la Sentencia N.º 1.318 del 4 de agosto de 2011 (Exp. 04-2395). En consecuencia, la autorización para el tratamiento de datos de identidad debe ser previa, libre, informada, expresa, inequívoca y revocable, y DataCred debe conservar evidencia de la versión del texto aceptado, la fecha y hora, la cuenta y el mecanismo de autenticación utilizados.
Los documentos, selfies y resultados se almacenan y procesan fuera de Venezuela, en la infraestructura de Amazon Web Services en la región us-east-1 (Norte de Virginia, Estados Unidos), y pueden ser analizados por proveedores tecnológicos situados en el extranjero que actúan como subencargados, bajo medidas contractuales, técnicas y organizativas. Los detalles se encuentran en la Política de Transmisión y Transferencia Internacional de Datos y en la Lista de Subprocesadores y Proveedores de Tratamiento.
4. Finalidad
La información KYC se utiliza para:
- comprobar razonablemente que la persona que controla la cuenta corresponde con la identidad presentada;
- reducir suplantación, fraude documental e identidades sintéticas;
- impedir que una misma identidad sea utilizada indebidamente en varias cuentas;
- proteger productos con mayor riesgo;
- apoyar controles antifraude;
- cumplir requisitos jurídicos o contractuales aplicables;
- realizar revisiones manuales cuando los controles automáticos no sean concluyentes.
La información KYC no se utiliza para crear perfiles comerciales incompatibles con estas finalidades.
5. Flujo de verificación
El flujo puede utilizar OCR, análisis documental, comparación entre fuentes, comparación facial, detección de vitalidad y reglas automáticas de consistencia.
Una verificación puede terminar en:
- APPROVED: los controles alcanzaron el nivel requerido o un revisor humano aprobó el caso;
- REJECTED: existe evidencia suficiente para rechazar el envío;
- REQUIRES_REVIEW: el sistema no tiene certeza suficiente y requiere revisión humana;
- EXPIRED: el intento venció sin completar una decisión;
- estados técnicos intermedios como PENDING, UPLOADED o VALIDATING.
Un error de infraestructura, proveedor o procesamiento no debe convertirse automáticamente en un veredicto de fraude.
6. Documentos vencidos
Un documento vencido no se considera fraude por el solo hecho de estar vencido.
En el flujo actual, un documento venezolano vencido puede ser enviado a revisión manual en lugar de ser rechazado automáticamente, cuando los demás elementos permitan una revisión útil.
DataCred puede rechazar o solicitar otro documento cuando no sea posible verificar razonablemente la identidad.
7. Revisión automática y humana
DataCred utiliza umbrales técnicos para decidir cuándo una verificación puede aprobarse automáticamente y cuándo debe enviarse a revisión.
Las señales automáticas se consideran en conjunto.
Una sola señal débil o ambigua no debe convertirse por sí sola en una acusación de fraude.
Los revisores humanos solo pueden acceder a los documentos cuando cuentan con los permisos administrativos correspondientes y durante la ventana de revisión aplicable.
8. Retención de imágenes
DataCred aplica retención corta a documentos y selfies:
- los casos APPROVED y REJECTED eliminan las imágenes al concluir la decisión;
- intentos incompletos en PENDING, UPLOADED o VALIDATING tienen una ventana máxima operativa de 24 horas;
- casos REQUIRES_REVIEW pueden conservar las imágenes hasta 7 días para revisión humana;
- si la revisión concluye antes, las imágenes se eliminan antes;
- los archivos vencidos se purgan mediante procesos internos automatizados.
DataCred puede conservar resultados estructurados, estados, hashes y evidencia mínima necesaria para prevenir fraude o demostrar la verificación, sin conservar indefinidamente las imágenes crudas.
9. Límites y reintentos
Para reducir abuso y costos de procesamiento, DataCred puede aplicar límites diarios de envíos y límites de reintento.
Estos límites son controles operativos y pueden cambiar sin modificar la naturaleza jurídica del proceso.
Un usuario legítimo puede volver a intentar una verificación cuando un envío haya sido rechazado, haya expirado o el sistema permita iniciar nuevamente.
10. PEP, listas y debida diligencia reforzada
El flujo técnico de verificación de identidad no debe confundirse con un sistema completo de listas restrictivas o PEP.
DataCred Tech S.A.S. puede aplicar controles PEP, listas restrictivas, beneficiario final, origen de fondos u otras medidas de debida diligencia reforzada cuando el producto, contraparte o nivel de riesgo lo justifique.
La condición PEP no implica automáticamente rechazo.
Cuando resulte aplicable a un sujeto obligado, la clasificación y tratamiento de PEP se ajustará al marco colombiano vigente, incluido el Decreto 830 de 2021 y las normas que lo modifiquen o sustituyan.
11. Personas jurídicas
Las empresas afiliadas y demás personas jurídicas pueden estar sujetas a controles distintos del KYC de consumidor, incluyendo:
- existencia y representación;
- NIT o registro;
- representante autorizado;
- actividad económica;
- beneficiario final cuando corresponda;
- finalidad de la relación;
- controles adicionales de riesgo.
Estos controles se aplican de manera proporcional y pueden apoyarse en documentación empresarial separada.
La revisión de una empresa incluye su declaración de que no es institución bancaria ni actúa por cuenta de una, y el tamizaje descrito en la Política de Sanciones y Listas Restrictivas.
12. DataCred Cash
DataCred Cash se encuentra actualmente en mantenimiento: no recibe nuevas solicitudes ni realiza nuevas originaciones hasta que DataCred anuncie su reactivación por sus canales de comunicación. Cuando se reactive, su ámbito estará limitado a Venezuela para nuevas originaciones.
DataCred Tech S.A.S. sigue siendo la entidad acreedora colombiana, financia el crédito con recursos propios, envía u ordena el desembolso y recibe el pago.
La disponibilidad de Cash desde una IP venezolana no reemplaza la verificación de identidad ni los demás controles de elegibilidad.
13. Seguridad
Los documentos KYC se transmiten cifrados en tránsito y se almacenan cifrados en reposo en entornos privados durante el período estrictamente necesario; los datos extraídos del documento se cifran además a nivel de campo antes de guardarse en la base de datos.
DataCred limita el acceso a imágenes y datos sensibles, evita exponerlos en logs y aplica controles administrativos reforzados para revisión manual.
Las credenciales, secretos y datos de identidad no deben compartirse por canales no autorizados.
14. Derechos del titular
El titular puede ejercer los derechos de acceso gratuito, actualización, rectificación, supresión cuando proceda, revocación de la autorización y demás derechos aplicables conforme al régimen colombiano de protección de datos y, para titulares venezolanos, conforme al artículo 28 de la Constitución venezolana y al régimen de hábeas data. La revocación opera hacia el futuro, sin afectar tratamientos anteriores legítimamente realizados ni los datos que deban conservarse por obligación legal. Los plazos de respuesta se indican en la Política de Tratamiento de Datos Personales y Privacidad de DataCred.
El tratamiento de datos sensibles exige las salvaguardas reforzadas correspondientes.
Contacto:
app@datacred.org
+57 302 668 4956
CL 30 A # CR 79-32, AP 104, Medellín, Colombia
15. Marco jurídico
Esta política se interpreta de acuerdo con la Ley 1581 de 2012, el Decreto 1074 de 2015, la Ley 1266 de 2008 modificada por la Ley 2157 de 2021 cuando corresponda, el Decreto 830 de 2021 para PEP cuando resulte aplicable y las demás normas colombianas vigentes.
Respecto de titulares venezolanos, DataCred respeta además los artículos 28 y 60 de la Constitución venezolana, la Sentencia N.º 1.318 de la Sala Constitucional del 4 de agosto de 2011 y la Ley Especial contra los Delitos Informáticos (G.O. N.º 37.313).
16. Revisión
La política debe revisarse cuando cambien:
- los documentos admitidos;
- el proveedor o tecnología de verificación;
- el uso de biometría;
- los países soportados;
- los períodos de retención;
- los productos que exijan KYC;
- las obligaciones regulatorias aplicables.
DataCred Tech S.A.S.
NIT 902112751-6
Medellín, Colombia