POLÍTICA DE SANCIONES Y LISTAS RESTRICTIVAS
Versión: CO-2026.11.02-SANC2
Fecha de vigencia: 2 de noviembre de 2026
Responsable: DataCred Tech S.A.S.
NIT: 902112751-6
Propietario y fundador: Isacc Lara González
Domicilio: Medellín, Antioquia, Colombia
Contacto: app@datacred.org · +57 302 668 4956
1. Objeto
Esta política regula el uso de listas de sanciones, listas vinculantes y señales relacionadas con personas o entidades que puedan requerir restricción o debida diligencia reforzada.
DataCred Tech S.A.S. no afirmará tener un sistema integral SAGRILAFT ni cobertura completa de todas las listas internacionales si la implementación técnica no lo demuestra.
2. Contrapartes a las que DataCred no presta servicios
Las personas naturales y empresas privadas venezolanas no están sometidas, por esa sola condición, a sanciones integrales de los Estados Unidos. Por ello, el uso de infraestructura situada en los Estados Unidos no impide por sí solo que DataCred preste servicios a personas y empresas privadas venezolanas no sancionadas.
DataCred no presta servicios, no acepta pagos y no celebra contratos, a sabiendas, con:
- el Gobierno de Venezuela ni sus órganos;
- entes, empresas o instituciones estatales venezolanas;
- personas o entidades incluidas en la lista de Nacionales Especialmente Designados (SDN) de OFAC o en otras listas de personas bloqueadas que resulten aplicables;
- entidades que sean propiedad, directa o indirectamente, en un 50 % o más de una o varias personas bloqueadas.
El usuario declara no encontrarse en esos supuestos conforme a los Términos y Condiciones de DataCred, y DataCred suspenderá el servicio en cuanto tenga conocimiento de una coincidencia confirmada.
DataCred tampoco realizará operaciones que hagan que un proveedor estadounidense procese una transacción que ese proveedor no podría realizar legalmente.
3. Marco colombiano
Colombia reconoce determinadas listas vinculantes relacionadas con terrorismo y financiación del terrorismo.
Cuando DataCred llegue a estar jurídicamente obligada a un régimen específico como SAGRILAFT o medidas mínimas, deberá implementar la cobertura, gobierno, oficial de cumplimiento y reportes que ese régimen exija.
Mientras ello no ocurra, DataCred puede mantener controles internos proporcionales de integridad y riesgo.
4. Control técnico disponible
Por decisión de producto, el screening automatizado de consumidores contra la lista OFAC SDN se encuentra desactivado en la operación actual y solo puede activarse tras una revisión jurídica registrada. Mientras permanezca desactivado, DataCred no afirma que cada usuario consumidor sea sometido a tamizaje automático de sanciones.
Si se activa tras la revisión jurídica, el screening envía el nombre y el número de documento del usuario a un proveedor externo de tamizaje de sanciones, que devuelve las posibles coincidencias; una coincidencia genera un evento de revisión y restricciones en la cuenta.
Antes de activarlo, DataCred incorporará ese proveedor a la Lista de Subprocesadores e informará la transferencia de datos que implica, conforme a la Política de Tratamiento de Datos Personales y Privacidad de DataCred.
5. Tamizaje de empresas
Antes de habilitar a una empresa cliente o afiliada, DataCred revisará su razón social, su representante legal y, cuando corresponda, sus beneficiarios finales frente a las listas de personas bloqueadas aplicables, verificará que no se trate de una contraparte de las indicadas en la sección 2 y dejará constancia del resultado en el expediente de afiliación. Esta revisión forma parte del proceso de afiliación y puede realizarse de forma manual.
6. Umbrales de coincidencia
El proveedor de tamizaje aplica un umbral mínimo de similitud para devolver posibles coincidencias. Ese umbral es un control operativo y puede modificarse cuando cambie la metodología de riesgo.
Una coincidencia por nombre no equivale por sí sola a una identidad confirmada.
7. Vigencia de las listas
El screening automatizado, cuando se active, depende de las listas que mantenga el proveedor externo. El código de DataCred conserva además una herramienta auxiliar de comparación contra una copia local de la lista SDN, que no está conectada al flujo de screening y no se utiliza para decisiones.
La disponibilidad de una lista, propia o del proveedor, no sustituye la obligación de revisar su vigencia cuando una decisión sensible depende de ella.
8. Limitación importante
La implementación automatizada vigente no debe describirse como cobertura automática de todas las listas vinculantes para Colombia.
La herramienta automatizada documentada en código se concentra en OFAC SDN y, en la operación actual, está desactivada para consumidores.
Cuando el nivel de riesgo o una obligación jurídica lo exija, DataCred debe realizar o incorporar los controles adicionales necesarios antes de representar públicamente que cubre de forma integral otras listas.
9. Falso positivo
Las coincidencias nominales pueden afectar a personas con nombres similares.
Por ello:
- REVIEW requiere análisis adicional;
- una coincidencia no debe publicarse como sanción confirmada sin desambiguación;
- pueden considerarse documento, fecha de nacimiento, nacionalidad, alias, ubicación y demás identificadores disponibles;
- un falso positivo debe cerrarse de forma trazable.
10. DataCred Cash
DataCred Cash se encuentra actualmente en mantenimiento: no recibe nuevas solicitudes ni realiza nuevas originaciones hasta que DataCred anuncie su reactivación por sus canales de comunicación. Cuando se reactive, su ámbito estará limitado a Venezuela para nuevas originaciones.
Cuando exista un resultado de screening registrado para el usuario, los hard gates de DataCred Cash bloquean automáticamente nuevas decisiones si el más reciente produce:
- REVIEW;
- BLOCK;
o cuando existe un evento abierto de tipo SANCTIONS_MATCH que no haya sido marcado como falso positivo.
La IA no puede anular estos hard gates. Mientras el screening automatizado de consumidores esté desactivado, la ausencia de un resultado no se interpreta como certificación de que la persona está libre de sanciones.
11. Tabla vacía o screening no disponible
Si el proveedor de tamizaje o la lista consultada no se encuentra disponible, no debe interpretarse ese hecho como prueba de que una persona está libre de sanciones.
Los sistemas y revisores deben diferenciar entre:
- screening ejecutado y sin coincidencia;
- screening pendiente;
- lista desactualizada;
- lista vacía;
- error técnico.
12. Personas jurídicas
Cuando el riesgo o el régimen aplicable lo exija, una revisión de personas jurídicas puede requerir:
- razón social;
- NIT o registro;
- representante legal;
- beneficiarios finales;
- personas de control;
- actividad;
- jurisdicción.
El simple screening del nombre de una sociedad no reemplaza un análisis de beneficiario final cuando jurídicamente sea necesario.
13. PEP
PEP y sanciones son controles diferentes.
Una persona puede ser PEP sin estar sancionada.
La condición PEP no implica por sí sola bloqueo automático.
14. Acciones
Cuando exista una coincidencia relevante, DataCred puede:
- pausar una operación;
- impedir un desembolso;
- solicitar información;
- escalar a revisión;
- restringir temporalmente una función;
- documentar la decisión;
- bloquear cuando exista evidencia suficiente o una obligación aplicable.
15. Autoridades y reportes
DataCred no se presenta como reportante obligado a UIAF, OFAC u otra autoridad salvo que exista una norma o condición que efectivamente lo exija.
Cuando una autoridad competente emita una orden o exista una obligación aplicable, DataCred actuará conforme al marco jurídico correspondiente.
16. Datos personales
La consulta de listas y tratamiento de coincidencias debe respetar finalidad, calidad, seguridad y circulación restringida.
DataCred no utilizará una alerta interna como material promocional ni la compartirá fuera de una finalidad legítima.
17. Revisión
Esta política debe revisarse cuando:
- cambie la legislación colombiana;
- DataCred adquiera calidad de sujeto obligado;
- se incorporen nuevas listas;
- cambien los umbrales;
- cambie la arquitectura de screening.
18. Ley aplicable
Esta política se interpreta conforme a las leyes de la República de Colombia, incluida la Ley 1121 de 2006 cuando corresponda y las normas que regulen las listas vinculantes aplicables, sin perjuicio de las normas extranjeras de sanciones que resulten efectivamente aplicables a una operación concreta.
DataCred Tech S.A.S.
NIT 902112751-6