Política de Tratamiento de Datos y Privacidad

Última actualización: 2 de octubre de 2026

POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES Y PRIVACIDAD DE DATACRED

Fecha de vigencia prevista: 2 de noviembre de 2026

Versión: CO-2026.11.02-1

Para quienes ya tenían cuenta antes del 2 de noviembre de 2026: esta versión rige desde el 13 de noviembre de 2026, después del aviso previo. Hasta esa fecha se aplica la versión CO-2026.10.02-2.

Responsable: DataCred Tech S.A.S.

Dirección: CL 30 A # CR 79-32, AP 104, Medellín, Colombia

Correo de privacidad y hábeas data: app@datacred.org

Teléfono: +57 302 668 4956

NIT: 902112751-6

Propietario y fundador: Isacc Lara González

Esta Política explica el tratamiento de datos personales realizado por DataCred Tech S.A.S. en la aplicación DataCred, datacred.org, APIs, servicios para empresas, soporte, seguridad, DataCred Cash y demás productos vinculados.

Se aplica la Ley 1581 de 2012, sus decretos reglamentarios, la Ley 1266 de 2008 y la Ley 2157 de 2021 cuando exista información financiera, crediticia, comercial o de servicios, así como las instrucciones aplicables de la Superintendencia de Industria y Comercio.

Cuando los titulares se encuentren en Venezuela, DataCred aplica además los artículos 28 y 60 de la Constitución de la República Bolivariana de Venezuela, los principios fijados con carácter vinculante por la Sala Constitucional en la Sentencia N.º 1.318 del 4 de agosto de 2011 (Exp. 04-2395), el artículo 167 de la Ley Orgánica del Tribunal Supremo de Justicia sobre hábeas data y la Ley Especial contra los Delitos Informáticos (G.O. N.º 37.313). Su alcance se describe en las Disposiciones Específicas para Venezuela.

Según el producto utilizado, DataCred puede tratar:

  • identificación: nombre, documento, fecha de nacimiento y nacionalidad;
  • contacto: correo, teléfono y dirección;
  • autenticación, seguridad y elegibilidad territorial: sesiones, dispositivo, dirección IP, país aproximado derivado de la IP, registros de acceso y señales antifraude;
  • información financiera y transaccional suministrada por el titular o capturada con su autorización;
  • estados de cuenta, comprobantes, recibos y documentos cargados;
  • ingresos, gastos, categorías y patrones financieros;
  • información crediticia, obligaciones, pagos, mora, consultas, disputas y tradelines;
  • datos de productos DataCred, suscripciones y pagos;
  • información de KYC y validación documental;
  • imágenes faciales y otros datos biométricos cuando se habilite ese método;
  • comunicaciones con soporte;
  • decisiones, factores y registros técnicos de modelos automatizados;
  • información de empresas y representantes en productos B2B.

DataCred no debe recolectar datos que no sean necesarios o pertinentes para la finalidad informada.

Dato reportado e inferencia. DataCred distingue el dato reportado, que es un hecho informado por el titular o por una fuente (por ejemplo, "cuota pagada el 15 de mayo"), del puntaje y demás indicadores, que son inferencias calculadas por DataCred a partir de esos datos. El titular puede impugnar el dato fuente y conocer los factores principales de la inferencia.

Los datos podrán utilizarse, según la autorización y la base jurídica aplicable, para:

1. crear y administrar la cuenta;

2. verificar identidad y prevenir fraude;

3. registrar, ordenar y analizar información financiera;

4. generar puntajes, explicaciones y reportes;

5. permitir al titular ejercer derechos de acceso, actualización, rectificación y reclamo;

6. operar información financiera y crediticia conforme a la Ley 1266;

7. comunicar informes y puntajes exclusivamente a comercios y proveedores de crédito no bancarios que tengan una finalidad legítima de evaluación de riesgo, estén sujetos a obligaciones de confidencialidad y uso limitado, y cuenten con la autorización o base que corresponda a cada consulta, sin perjuicio de lo que el propio titular decida compartir conforme a los Términos de Compartición del Puntaje DataCred y de los requerimientos de autoridad competente atendidos conforme a la ley;

8. cuando DataCred Cash esté habilitado (actualmente se encuentra en mantenimiento), determinar mediante el país aproximado de la dirección IP si el producto puede mostrarse y solicitarse, ya que las nuevas originaciones de ese producto se ofrecen únicamente desde Venezuela;

9. evaluar, originar, desembolsar, administrar y cobrar obligaciones de DataCred Cash, siendo DataCred Tech S.A.S. el acreedor y la contraparte que envía el desembolso y recibe el pago;

10. procesar pagos y suscripciones;

11. enviar comunicaciones transaccionales, de seguridad y, con la base correspondiente, comerciales;

12. cumplir obligaciones legales, judiciales y regulatorias;

13. proteger la seguridad de usuarios, personal, proveedores e infraestructura;

14. generar estadísticas y mejorar productos mediante datos agregados o minimizados;

15. entrenar, evaluar o mejorar sistemas cuando exista base jurídica suficiente y controles de privacidad.

Cuando la ley exija autorización, DataCred obtendrá consentimiento previo, libre, informado, expreso, inequívoco y revocable, y conservará evidencia consultable.

Para el historial y el puntaje, la autorización identifica por separado cuatro funciones: la creación del perfil; la recepción de información de terceros, como comercios y otras fuentes autorizadas; el cálculo del puntaje; y la comunicación de informes y puntajes a terceros. La evidencia, la revocación y sus efectos se regulan en el Marco de Consentimiento y Autorizaciones.

La autorización para una finalidad no se presume extensiva a finalidades incompatibles. Los permisos de marketing, biometría, acceso a fuentes externas y otras finalidades que legalmente requieran granularidad se gestionarán por separado cuando corresponda.

Los datos biométricos son datos sensibles. El titular será informado de ese carácter y de la finalidad del tratamiento.

Cuando la ley lo exija, el tratamiento biométrico requerirá autorización explícita. La negativa a suministrar datos sensibles no debe producir consecuencias distintas de las estrictamente necesarias para una finalidad legítima. Cuando resulte obligatorio por regulación o por la naturaleza de una operación, DataCred documentará la justificación y, cuando sea viable, ofrecerá un método alternativo de verificación.

DataCred no vende datos biométricos.

DataCred utiliza modelos y reglas automatizadas para OCR, clasificación, detección de fraude, generación de explicaciones, análisis de riesgo y otros procesos.

Se aplicarán principios de necesidad, seguridad, transparencia, no discriminación y responsabilidad demostrada. Cuando una decisión automatizada tenga un impacto significativo o desfavorable, el titular podrá solicitar información comprensible sobre factores relevantes y pedir revisión o corrección cuando corresponda.

Los modelos no reciben más información personal de la necesaria para la tarea y los proveedores deberán estar sujetos a controles contractuales y de seguridad.

La información comprendida en el régimen de la Ley 1266 de 2008 se tratará conforme a su régimen especial.

DataCred podrá actuar como operador, fuente o usuario según el flujo. Los accesos de terceros se limitarán a personas autorizadas y finalidades permitidas. Se conservará trazabilidad de consultas y reportes.

Antes de efectuar un reporte negativo, cuando corresponda, se realizará la comunicación previa exigida por la ley. Las novedades, reclamos y actualizaciones deberán reflejarse en la base y en los resultados derivados de ella en los términos legalmente aplicables.

Reclamo en trámite. Mientras DataCred investiga un reclamo del titular sobre una obligación reportada, ese dato se muestra con la leyenda "reclamo en trámite" a la empresa afiliada que consulte el informe. La fuente debe corregir la información inexacta, incompleta o que no pueda demostrar, y DataCred comunicará la corrección a los destinatarios que recibieron el dato erróneo, por los medios de contacto registrados de cada empresa que consultó el informe durante el periodo afectado. El procedimiento consta en la Política de Consultas, Reclamos y Rectificación de Información Crediticia.

Obligaciones pagadas. Cuando una fuente reporta que una obligación negativa fue pagada o extinguida, el registro se muestra como pagado o cerrado, deja de contar como información negativa activa y, en el mismo acto, DataCred ordena el recálculo del puntaje. Su permanencia posterior se rige por la sección 10.

El titular puede, según el régimen aplicable:

  • acceder gratuitamente a sus datos y conocer qué datos tiene DataCred, su origen, la finalidad del tratamiento y a quién fueron comunicados;
  • solicitar actualización o rectificación;
  • solicitar prueba de autorización;
  • ser informado sobre el uso de sus datos;
  • presentar consultas y reclamos;
  • disputar la exactitud de un dato reportado;
  • solicitar la supresión cuando legalmente proceda; la supresión no es un derecho absoluto y no comprende la información verdadera que DataCred deba o pueda conservar conforme a la ley;
  • revocar una autorización, con efectos hacia el futuro;
  • presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado el trámite directo cuando sea exigible;
  • solicitar corrección de información financiera o crediticia;
  • conocer la existencia de decisiones automatizadas relevantes y solicitar revisión cuando corresponda;
  • conocer, de forma comprensible, las categorías de información y los factores principales que influyeron en su puntaje.

Canal principal: app@datacred.org.

Para información sujeta a la Ley 1266, DataCred aplicará los plazos especiales previstos por esa ley. Para los demás datos personales, aplicará los plazos de la Ley 1581 y sus reglamentos.

Cuando un titular en Venezuela presente el requerimiento previo a la acción de hábeas data prevista en el artículo 167 de la Ley Orgánica del Tribunal Supremo de Justicia, DataCred responderá dentro del plazo más corto entre el que corresponda conforme a la ley colombiana y veinte (20) días hábiles.

El solicitante deberá aportar información suficiente para acreditar su identidad y localizar la información. DataCred no solicitará más datos de los razonablemente necesarios para validar la petición.

DataCred conserva la información durante el tiempo necesario para la finalidad, para cumplir obligaciones legales, atender disputas, prevenir fraude y mantener evidencia contractual.

La información negativa financiera y crediticia se sujeta a los límites de permanencia de la Ley 1266 y la Ley 2157: cuando la obligación se paga o se extingue, el dato negativo permanece por el doble del tiempo que duró la mora, con un máximo de cuatro (4) años contados desde el pago o la extinción; si la obligación no se paga, el dato negativo caduca a los ocho (8) años contados desde el inicio de la mora. DataCred aplica estos plazos a toda información negativa, que en ningún caso tendrá permanencia indefinida, y su peso en el puntaje se reduce cuando la obligación se paga. El detalle consta en la Política de Retención y Supresión de Datos. Los registros contractuales o contables podrán conservarse por los términos legales aplicables aunque la cuenta haya sido eliminada.

Las políticas internas de retención no pueden extender un dato negativo más allá del límite legal aplicable.

DataCred utiliza proveedores de infraestructura, seguridad, correo, mensajería, analítica, IA, pagos, verificación y soporte. Cada proveedor recibe únicamente la información necesaria para su función y queda sujeto a obligaciones contractuales de confidencialidad, seguridad y tratamiento.

La lista de subencargados y categorías de proveedores se publica y actualiza en la Lista de Subprocesadores y Proveedores de Tratamiento del Centro Legal.

Algunos proveedores o infraestructuras pueden tratar datos fuera de Colombia. DataCred evaluará si la operación constituye transferencia o transmisión y aplicará los mecanismos exigidos por la Ley 1581, el Decreto 1074 de 2015 y las instrucciones de la SIC.

La infraestructura principal de DataCred se aloja en Amazon Web Services, región us-east-1 (Norte de Virginia, Estados Unidos). Otros proveedores tecnológicos que actúan como subencargados pueden tratar datos en otros países. En consecuencia, los datos de titulares en Venezuela se almacenan y procesan fuera de Venezuela, bajo medidas contractuales, técnicas y organizativas de seguridad.

La ubicación de infraestructura no cambia la identidad del responsable colombiano.

DataCred aplica medidas técnicas, administrativas y organizacionales proporcionales al riesgo, incluyendo cifrado de la información en tránsito y en reposo, controles de acceso por roles con criterio de mínimo privilegio, registros de auditoría y trazabilidad de consultas, segregación de funciones, protección de credenciales, monitoreo y procedimientos de respuesta a incidentes.

Ningún sistema es infalible. Los incidentes se gestionarán y notificarán conforme a las obligaciones aplicables.

Los productos principales de DataCred están dirigidos a mayores de 18 años. Si se detectan datos de un menor recolectados sin fundamento válido, se tomarán medidas para restringir su tratamiento y eliminarlos cuando corresponda.

Los cambios materiales se informarán antes de su entrada en vigor cuando la ley o la naturaleza del cambio lo exijan. DataCred conservará evidencia de versiones anteriores y no sustituirá retroactivamente el texto que un usuario aceptó. La aplicación de esta versión a usuarios que aceptaron una versión anterior se rige por la sección 11 del Marco de Consentimiento y Autorizaciones.

DataCred solo entrega datos personales a una autoridad después de verificar la base legal del requerimiento. Registra la autoridad requirente, el fundamento legal, el alcance, la fecha, los datos entregados y la persona que aprobó la entrega, e informa al titular cuando la ley lo permita. El procedimiento consta en la Política de Solicitudes de Autoridades y Requerimientos Legales.

DataCred Tech S.A.S.

CL 30 A # CR 79-32, AP 104

Medellín, Antioquia, Colombia

Correo: app@datacred.org

Teléfono: +57 302 668 4956

NIT: 902112751-6