1. Introducción y alcance
CREZZA S.A.S., sociedad identificada con NIT 901892082-9, adopta esta Política de Tratamiento de Datos Personales para establecer las reglas, principios, finalidades y procedimientos bajo los cuales recolecta, almacena, usa, consulta, circula, actualiza, transmite, transfiere, conserva, suprime y, en general, trata datos personales. La Política aplica a clientes, usuarios, solicitantes de crédito, deudores, prospectos, garantes, avalistas, fiadores, referencias, proveedores, contratistas, aliados, trabajadores, aspirantes, exempleados, representantes, contactos de personas jurídicas, visitantes de canales digitales y demás titulares cuya información sea tratada por CREZZA.
El tratamiento podrá realizarse por canales físicos, digitales o telefónicos, incluyendo formularios, sitio web, WhatsApp, correo electrónico, llamadas, mensajes de texto, plataformas tecnológicas, proveedores de validación de identidad, firma electrónica, centrales de riesgo, fuentes públicas, aliados y encargados. Esta Política se expide en cumplimiento de la Constitución Política, la Ley 1581 de 2012, el Decreto 1377 de 2013 compilado en el Decreto 1074 de 2015, la Ley 1266 de 2008, la Ley 2157 de 2021, la Ley 527 de 1999, la Ley 1480 de 2011, la Ley 2300 de 2023 y las instrucciones de la Superintendencia de Industria y Comercio.
2. Responsable del tratamiento
CREZZA S.A.S. actuará como Responsable del Tratamiento respecto de los datos personales sobre los cuales decida las finalidades, medios y condiciones principales del tratamiento. Razón social: CREZZA S.A.S. NIT: 901892082-9. Domicilio: Cúcuta, Norte de Santander, Colombia. Correo de atención: admin@crezza.co. Teléfono o WhatsApp: +57 304 582 9033. Sitio web: www.crezza.co. Área responsable: [área administrativa, cumplimiento o atención al usuario]. Las solicitudes sobre datos personales, habeas data financiero, actualización, rectificación, supresión, revocatoria, prueba de autorización o reclamos podrán presentarse por los canales anteriores o por los demás que CREZZA informe oficialmente.
3. Definiciones
Autorización. consentimiento previo, expreso e informado del Titular para el tratamiento de sus datos personales.
Dato personal. cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable. Dato semiprivado. información cuyo conocimiento puede interesar al Titular y a cierto sector, como información financiera, crediticia, comercial o de servicios. Dato sensible. dato que afecta la intimidad o cuyo uso indebido puede generar discriminación, incluyendo biometría, imágenes o fotografías usadas para validación de identidad. Encargado. persona natural o jurídica que trata datos por cuenta y bajo instrucciones de CREZZA. Responsable. persona natural o jurídica que decide sobre la base de datos o el tratamiento. Titular. persona natural cuyos datos personales son objeto de tratamiento. Tratamiento. cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación, actualización, transmisión, transferencia o supresión. Operador de información. entidad que administra información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, conforme a la Ley 1266 de 2008. Firma electrónica. método electrónico que permite identificar al Titular y evidenciar su aprobación frente a un mensaje de datos.
4. Principios aplicables
CREZZA tratará los datos personales conforme a los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad, confidencialidad, necesidad, proporcionalidad y temporalidad.
El tratamiento responderá a finalidades legítimas, específicas e informadas. Los datos recolectados deberán ser adecuados, pertinentes y necesarios frente a la finalidad correspondiente. CREZZA no solicitará información excesiva ni la usará para finalidades incompatibles con las autorizadas o permitidas por la ley. La información deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible. CREZZA adoptará medidas razonables para protegerla frente a adulteración, pérdida, consulta, uso, acceso, circulación o divulgación no autorizada o fraudulenta.
5. Categorías de titulares y datos tratados
CREZZA podrá tratar datos de clientes, solicitantes, deudores, prospectos, garantes, avalistas, fiadores, referencias personales o comerciales, trabajadores, aspirantes, exempleados, proveedores, contratistas, aliados, representantes, contactos de personas jurídicas y usuarios de canales digitales.
Según la finalidad y el vínculo con el Titular, CREZZA podrá tratar datos de identificación, contacto, información socioeconómica, laboral, comercial, financiera, crediticia, transaccional, contractual, tecnológica, de trazabilidad, datos de pago, información de mora, reportes ante centrales de riesgo, evidencias de firma electrónica y documentos relacionados con solicitudes, contratos, pagarés, garantías, seguros, desembolsos, pagos, cobranza y cesión de cartera.
CREZZA también podrá tratar registros de acceso, logs, dirección IP cuando esté disponible, identificadores de dispositivo, fecha y hora de aceptación, canal de origen, navegador, sistema operativo, OTP, versiones documentales, mensajes de datos, interacciones por WhatsApp y evidencias asociadas al flujo digital.
6. Datos sensibles
CREZZA podrá tratar datos sensibles únicamente cuando sea necesario, proporcional y adecuado para una finalidad legítima. En el modelo de crédito digital, esto puede incluir imágenes, fotografías, videos, datos biométricos o elementos equivalentes utilizados para validar identidad, prevenir suplantación, autenticar al Titular, ejecutar firma electrónica, prevenir fraude o proteger la seguridad de la operación.
El tratamiento de datos sensibles requerirá autorización previa, expresa, informada y separada, salvo excepción legal. El Titular no está obligado a autorizar datos sensibles. No obstante, cuando dichos datos sean indispensables para validar su identidad o ejecutar el proceso digital de forma segura, la negativa podrá impedir la continuidad del trámite, aprobación del crédito o prestación del servicio solicitado.
7. Finalidades del tratamiento
CREZZA tratará datos personales para identificar, autenticar y validar al Titular; registrar usuarios; evaluar solicitudes de crédito; analizar capacidad de pago; realizar scoring; prevenir fraude; consultar y reportar información ante centrales de riesgo; aprobar, formalizar, desembolsar, administrar, modificar, refinanciar, reestructurar, cobrar, ceder o terminar obligaciones de crédito; y conservar evidencia de la operación.
También podrá tratar datos para gestionar contratos, pagarés, cartas de instrucciones, garantías, avales, fianzas, seguros asociados, pagos, recaudos, débito automático, conciliaciones, facturación, contabilidad, impuestos, atención de PQRS, cobranza prejudicial y judicial, reportes internos, auditoría, cumplimiento legal y respuesta a autoridades.
CREZZA podrá enviar comunicaciones operativas, contractuales, transaccionales, de seguridad, actualización de datos, vencimientos, pagos, saldos, cobranza y cambios documentales. Las comunicaciones comerciales, promocionales o publicitarias se enviarán cuando exista autorización aplicable y podrán ser excluidas por el Titular, sin afectar comunicaciones necesarias para la relación contractual o legal.
CREZZA podrá tratar datos para gestionar relaciones con proveedores, aliados, contratistas, trabajadores y aspirantes, incluyendo contratación, pagos, facturación, seguridad social, cumplimiento, auditoría, antecedentes, prevención de LA/FT/FPADM, gestión administrativa, tributaria, contable y legal.
8. Crédito digital y centrales de riesgo
En su modelo de crédito digital, CREZZA podrá tratar datos desde la simulación y solicitud hasta la terminación y conservación de evidencia. Este tratamiento soporta jurídicamente el ciclo de crédito, permite validar identidad, evaluar riesgo, conservar prueba de aceptación, administrar cartera, atender reclamaciones y ejercer derechos derivados de la obligación. CREZZA podrá consultar, reportar, actualizar, rectificar, eliminar y circular información financiera, crediticia, comercial, de servicios y proveniente de terceros países ante operadores de información y centrales de riesgo, conforme a la Ley 1266 de 2008, Ley 2157 de 2021 y demás normas aplicables.
Antes de realizar reportes negativos, CREZZA enviará el aviso previo correspondiente a los canales registrados por el Titular cuando la ley lo exija. El Titular será responsable de mantener actualizados sus datos de contacto.
9. Proveedores, terceros, transmisiones y transferencias
CREZZA podrá apoyarse en proveedores tecnológicos, aliados operativos, pasarelas de pago, proveedores de validación de identidad, firma electrónica, scoring, recaudo, cobranza, mensajería, almacenamiento, analítica, seguridad, soporte, aseguradoras, garantes, fiadores, avalistas, abogados, cesionarios de cartera y demás terceros necesarios para ejecutar sus finalidades.
Los encargados deberán tratar los datos únicamente bajo instrucciones de CREZZA, guardar confidencialidad, adoptar medidas de seguridad, abstenerse de usarlos para finalidades propias, apoyar la atención de derechos de titulares y devolver, suprimir o anonimizar la información cuando termine el encargo, salvo obligación de conservación.
CREZZA podrá realizar transmisiones nacionales o internacionales a encargados y transferencias a otros responsables, dentro o fuera de Colombia, cuando exista autorización, necesidad contractual, obligación legal, cesión de cartera, operación corporativa, requerimiento de autoridad, mandato judicial o base jurídica válida. En flujos internacionales adoptará medidas razonables para cumplir las condiciones exigidas por la ley colombiana.
10. Autorización y medios para obtenerla
El tratamiento de datos personales requerirá autorización previa, expresa e informada del Titular, salvo en los casos en que la ley permita el tratamiento sin autorización. La autorización podrá constar en documento físico, electrónico, mensaje de datos, formulario, grabación de voz, sitio web, WhatsApp, correo electrónico, OTP, casilla de aceptación, botón de aceptación, firma electrónica o cualquier mecanismo técnico que permita evidenciar el consentimiento y consultarlo posteriormente. CREZZA conservará prueba de la autorización directamente o por medio de proveedores tecnológicos, identificando la fecha, canal, finalidad, versión documental y condiciones bajo las cuales fue otorgada.
11. Derechos de los titulares
Los Titulares podrán conocer, actualizar y rectificar sus datos personales; solicitar prueba de la autorización otorgada; ser informados sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio; revocar la autorización y solicitar supresión cuando no exista deber legal o contractual de conservación; acceder gratuitamente a sus datos; y solicitar corrección o actualización de información financiera, crediticia, comercial o de servicios conforme al régimen especial aplicable.
El Titular podrá ejercer estos derechos a través de admin@crezza.co, el WhatsApp o teléfono +57 304 582 9033, el sitio web www.crezza.co o los demás canales habilitados por CREZZA.
12. Deberes de CREZZA
CREZZA garantizará el ejercicio del derecho de habeas data, solicitará y conservará prueba de la autorización cuando sea necesaria, informará finalidades y derechos, conservará la información bajo condiciones razonables de seguridad, actualizará, rectificará o suprimirá datos cuando proceda, tramitará consultas y reclamos dentro de los términos legales, exigirá a encargados condiciones de seguridad y confidencialidad, informará incidentes a la autoridad cuando corresponda y cumplirá instrucciones de la Superintendencia de Industria y Comercio.
13. Consultas y reclamos
Las consultas y reclamos deberán indicar nombre completo del Titular, tipo y número de identificación, descripción clara de la solicitud, datos de contacto para recibir respuesta, documentos que acrediten la calidad en la que actúa quien presenta la solicitud cuando corresponda, y soportes pertinentes.
Las consultas serán atendidas dentro de los diez (10) días hábiles siguientes a su recibo. Cuando no sea posible atenderlas dentro de dicho término, CREZZA informará los motivos de la demora y la fecha de respuesta, sin que el término adicional exceda el plazo legal aplicable.
Los reclamos por corrección, actualización, supresión, revocatoria o presunto incumplimiento de deberes legales se tramitarán conforme a la ley. Si el reclamo está incompleto, CREZZA requerirá al solicitante para subsanar. Una vez recibido completo, podrá incluirse la leyenda “reclamo en trámite” cuando corresponda y se resolverá dentro del término legal.
14. Conservación, supresión y revocatoria
El Titular podrá solicitar la supresión de sus datos o revocar la autorización cuando no exista un deber legal o contractual de conservación. La supresión o revocatoria no procederá de forma absoluta cuando la información sea necesaria para ejecutar una relación vigente, administrar una obligación de crédito, atender reclamaciones, conservar evidencia de firma electrónica, gestionar cartera, prevenir fraude, cumplir obligaciones legales, contables, tributarias o regulatorias, atender requerimientos de autoridad o ejercer derechos de defensa.
CREZZA conservará los datos durante el tiempo necesario para cumplir las finalidades autorizadas, ejecutar relaciones contractuales, atender obligaciones legales y conservar evidencia probatoria. Cumplida la finalidad o vencidos los términos aplicables, procederá a la supresión, anonimización, archivo restringido o bloqueo de la información, según corresponda.
15. Seguridad, cookies y canales digitales
CREZZA adoptará medidas técnicas, administrativas, humanas y organizacionales razonables para proteger los datos personales frente a adulteración, pérdida, consulta, uso, acceso, circulación o divulgación no autorizada o fraudulenta. Estas medidas podrán incluir controles de acceso, autenticación, segregación de funciones, gestión de usuarios, trazabilidad, marcas de tiempo, cifrado o mecanismos equivalentes, respaldos, confidencialidad, capacitación y gestión de incidentes. CREZZA podrá utilizar cookies, píxeles, identificadores de sesión, formularios, analítica, registros de navegación, logs de acceso, herramientas antifraude y mecanismos similares para operar, proteger, medir, personalizar y mejorar sus canales digitales. Cuando la ley lo exija, informará al usuario y permitirá gestionar las preferencias aplicables, sin afectar tecnologías necesarias para funcionamiento o seguridad.
16. Registro Nacional de Bases de Datos
Cuando CREZZA se encuentre obligada a registrar sus bases de datos ante el Registro Nacional de Bases de Datos administrado por la Superintendencia de Industria y Comercio, realizará el registro, actualización y renovación correspondiente conforme a los plazos y condiciones aplicables.
17. Vigencia, modificaciones y ley aplicable
Esta Política rige desde su publicación o aprobación interna y permanecerá vigente hasta que sea modificada, sustituida o derogada. Las bases de datos tendrán una vigencia igual al tiempo durante el cual se mantengan las finalidades que justifican el tratamiento, la relación contractual o legal con el Titular, las obligaciones de conservación y los términos de prescripción aplicables. CREZZA podrá modificar esta Política para reflejar cambios normativos, tecnológicos, operativos, societarios, comerciales o de seguridad. Las modificaciones serán publicadas en sus canales oficiales y, cuando impliquen cambios sustanciales en finalidades o condiciones de tratamiento, CREZZA gestionará las autorizaciones que legalmente correspondan. Esta Política se rige por las leyes de la República de Colombia. Los Titulares podrán acudir ante la Superintendencia de Industria y Comercio o la autoridad que haga sus veces, conforme a la normativa aplicable.