POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES

Acciomas S.A.S. — Primera Categoría (SARC-as-Service)

Última actualización: 10 de julio de 2026
Versión: 1.0 (SFS Compliant)
Vigencia: Indefinida hasta notificación de cambios

1. RESPONSABLE DEL TRATAMIENTO

Empresa: Acciomas S.A.S.
NIT: 900.624.527-2
Domicilio: Bogotá, Colombia
Correo: privacidad@acciomas.com

Función: Tratamiento de datos personales para servicios de cobranza extrajudicial y arbitraje ejecutivo (SARC) conforme a Ley 2300/2023, Ley 2540/2025 y Ley 1581/2012.

2. DATOS QUE RECOLECTAMOS

2.1 Datos personales del deudor (obligatorio)

Categoría: IDENTIFICACIÓN
  - Cédula de ciudadanía / RUT / Pasaporte
  - Nombre completo
  - Fecha de nacimiento (para verificación)
  - Género (estadístico)

Categoría: CONTACTO
  - Teléfono celular
  - Correo electrónico
  - Dirección postal
  - Dirección comercial (si aplica)

Categoría: FINANCIERO (SENSIBLE)
  - Monto de obligación
  - Saldo insoluto
  - Número de cuotas
  - Tasa de interés

Categoría: BIOMÉTRICO (SOLO SI LLAMADA GRABADA)
  - Voz del deudor (grabación de llamada — si acepta)
  - Consentimiento explícito requerido

2.2 Datos derivados de operaciones

- Historial de intentos de contacto (fecha, hora, canal, resultado) - Promesas de pago (monto, fecha comprometida) - Pagos realizados (fecha, monto, referencia) - Comunicaciones (correos, mensajes de texto, logs de chat)

3. FINALIDAD DEL TRATAMIENTO

Finalidad Principal

Acciomas recolecta sus datos personales EXCLUSIVAMENTE para:

Cobranza extrajudicial conforme a Ley 2300/2023
Contacto para notificación de deuda
Negociación de acuerdos de pago
Seguimiento a obligaciones
Arbitraje ejecutivo conforme a Ley 2540/2025 (si es aplicable)
Radiación de expediente ante centro arbitral
Notificación de procesos
Validación jurídica conforme a Ley 1581/2012
Verificación de integridad de datos
Aseguramiento de no duplicación

Finalidad Secundaria (con consentimiento adicional)

Informes de referencia comercial (si lo autoriza)
Análisis estadístico de comportamiento de pago (anonimizado)
Mejora del servicio (estudios de cobranza, benchmarking)

Finalidad PROHIBIDA

❌ Acciomas JAMÁS usa sus datos para: - Marketing o publicidad (sin autorización explícita) - Venta a terceros (sin consentimiento informado) - Fines discriminatorios - Perfilado político o religioso - Análisis de crédito para terceras entidades (sin autorización)

4. LEGITIMIDAD DEL TRATAMIENTO

Base Legal

El tratamiento de datos se justifica en:

Contrato entre usted y el acreedor (banco, cooperativa, etc.)
El acreedor es responsable original; Acciomas es encargado del tratamiento
El acreedor le informó de esta transferencia en el contrato original
Ley 2300/2023 (Cobranza ejecutiva)
Art. 8°: Derecho del acreedor a dar crédito al gestor
Ley 1581/2012 (Protección de datos personales)
Art. 6°: Consentimiento (en este caso, implícito en contrato)
Art. 10°: Finalidad lícita y determinada
Obligación legal bajo Código de Comercio
Gestión de cartera crediticia

Encargo del tratamiento

Acciomas actúa como ENCARGADO del tratamiento: - El banco/cooperativa (acreedor) es el RESPONSABLE - Acciomas cumple instrucciones del acreedor - Acciomas no puede usar datos para fines adicionales sin autorización

5. SUS DERECHOS (ARCO)

Conforme a Ley 1581/2012 (Art. 8°), usted tiene derecho a:

5.1 Derecho de ACCESO (Art. 15)

¿Qué es? Conocer qué datos personales tiene Acciomas de usted.

Cómo ejercerlo: 1. Portal: www.portal.acciomas.com → Sesión deudor → "Solicitar acceso a mis datos" 2. Correo: privacidad@acciomas.com → Asunto: "ACCESO - [su cédula]" 3. Presencial: Oficinas Acciomas, Bogotá (previa cita)

Tiempo de respuesta: Máximo 30 días (legal mínimo)
Costo: Gratuito

5.2 Derecho de RECTIFICACIÓN (Art. 16)

¿Qué es? Corregir datos inexactos (ej: dirección incorrecta, teléfono anticuado).

Cómo ejercerlo: 1. Portal: "Solicitar rectificación" → indicar qué dato y cuál es el correcto 2. Correo: privacidad@acciomas.com → Describir error + dato correcto

Evidencia requerida: - Cédula actualizada (si cambió dirección) - Comprobante de domicilio (recibo de servicios) - Certificado laboral (si cambió trabajo)

Tiempo de respuesta: Máximo 30 días
Costo: Gratuito

5.3 Derecho de CANCELACIÓN (Art. 17)

¿Qué es? Solicitar eliminación de sus datos (derecho al olvido).

Limitación importante: - ❌ NO se pueden eliminar datos mientras haya deuda activa - ✅ SÍ se pueden eliminar 5 años después de prescrita la obligación - ✅ SÍ se pueden eliminar si la deuda fue pagada (a discreción del acreedor)

Cómo ejercerlo: 1. Portal: "Solicitar cancelación" → describir motivo 2. Correo: privacidad@acciomas.com

Cómo se ejecuta la supresión: - Sus datos personales identificatorios (cédula, teléfono, dirección, correo) se suprimen de forma definitiva de nuestros sistemas mediante borrado y sobreescritura de los campos cifrados del titular - La supresión queda registrada en la bitácora inmutable (evidencia auditable de que se ejecutó, sin conservar el dato suprimido) - Los registros estrictamente necesarios para obligaciones legales (contables, de auditoría) se conservan solo por el término legal y no se usan para ningún contacto ni tratamiento adicional - La supresión no se puede revertir

Tiempo de respuesta: Máximo 30 días
Costo: Gratuito

5.4 Derecho de OPOSICIÓN (Art. 18)

¿Qué es? Bloquear contactos por un canal específico (ej: "no me llamen").

Canales que se pueden bloquear: - ☑ TELEFÓNICA (Acciomas no le llamará) - ☑ SMS (no recibirá mensajes de texto) - ☑ EMAIL (no recibirá correos) - ☑ WHATSAPP (no se contactará por WhatsApp) - ☑ TODOS (bloqueo completo — solo contacto legal si es necesario)

Cómo ejercerlo: 1. Portal: "Solicitar oposición" → seleccionar canal(es) 2. Correo: privacidad@acciomas.com → "Me opongo a contacto por [canal]"

Efecto inmediato: - Acciomas registra el bloqueo al instante - Los sistemas dejan de contactar por ese canal - Se audita en bitácora (para COLCOB/SFS)

Limitación: - ❌ No puede bloquear TOTALMENTE si hay deuda activa (acreedor debe poder notificar) - ✅ SÍ puede bloquear canales específicos

Tiempo de respuesta: Inmediato (< 5 minutos)
Costo: Gratuito

6. ¿CÓMO PROTEGEMOS SUS DATOS?

6.1 Cifrado en reposo (M0D — Habeas Data)

Algoritmo: HKDF-SHA256 (National Institute of Standards & Technology — NIST) Campos cifrados: Cédula, teléfono, dirección, correo Clave por: Tenant (cada acreedor tiene clave única) Desencriptación: Solo Acciomas (con consentimiento de acreedor) NO ES REVERSIBLE: Sin clave, datos son inútiles forever

Certificación: NIST FIPS 140-2 compatible

6.2 Aislamiento por cliente (RLS FORCE)

Cada banco/cooperativa: ✅ Ve SOLO sus propios datos ✅ NO puede ver datos de otros clientes (banco B no ve banco A) ✅ Aislamiento garantizado: Base de datos (RLS FORCE) ✅ Ni el administrador puede escapar

6.3 Auditoría inmutable (Hashchain v2)

Cada operación (contacto, pago, acceso) se registra:
  - Timestamp
  - Banco responsable
  - Deudor involucrado
  - Qué se hizo
  - Hash SHA-256 encadenado (no se puede modificar)

Prueba: Se puede auditar para COLCOB/SFS sin alteración

6.4 Logs no alterables

Sistema: Journalctl de Linux (kernel-level logging) Retención: 30 días en línea, 5 años archivados Acceso: Root ONLY (chmod 600) Exportable: SIEM compatible (fluentd/logstash)

6.5 Backup diario verificable

Frecuencia: Cada 24 horas Tipo: pg_dump comprimido (PostgreSQL native) Verificación: Restauración mensual en BD temporal Ubicación: Off-site (Hetzner Storage Box) RPO: 24 horas (máxima pérdida de datos) RTO: 4 horas (máximo tiempo sin servicio)

7. COMPARTICIÓN DE DATOS (TRANSFERENCIAS)

Dentro de Acciomas

SÍ compartimos internamente: - Team de cobranza (para ejecutar contacto) - Team legal (para arbitraje, si aplica) - Team de auditoría (para cumplimiento SFS/COLCOB)

Confidencialidad: Todos firman NDA (Non-Disclosure Agreement)

Fuera de Acciomas

Acciomas comparte datos con:

Centro de arbitraje (si hay proceso arbitral — Ley 2540)
Datos: Cédula, nombre, dirección, monto, historial contacto
Finalidad: Radiación de expediente arbitral
Protección: Contrato de confidencialidad (cláusula de privacidad)
Operador de telefonía/SMS (LabsMobile, Zadarma, etc.)
Datos: Teléfono, nombre (solo para envío de SMS/llamada)
Finalidad: Ejecución del contacto
Protección: Acuerdo de confidencialidad (Data Processing Agreement)
Proveedor de correo electrónico transaccional (SendGrid)
Datos: Correo electrónico del titular y contenido de las notificaciones (confirmaciones ARCO, respuestas a solicitudes)
Finalidad: Envío de comunicaciones legalmente requeridas
Protección: Data Processing Agreement (DPA) del proveedor
Autoridades públicas (si la ley lo exige)
Cortes (si hay proceso legal)
Superintendencia Financiera y Solidaria (auditoría)
Fiscalía (si hay investigación por fraude)
DANE (estadísticas agregadas, anonimizadas)
Base legal: Orden judicial o legal

Transmisión internacional a encargados

Algunos de nuestros proveedores tecnológicos procesan datos fuera de Colombia (por ejemplo, SendGrid en Estados Unidos para correo transaccional, y Zadarma para servicios de telefonía). Esto constituye una transmisión internacional a encargados del tratamiento conforme al Decreto 1377/2013 (Art. 25):

Se realiza bajo contrato de transmisión / Data Processing Agreement (DPA) que obliga al encargado a tratar los datos únicamente por cuenta de Acciomas, bajo sus instrucciones y con medidas de seguridad equivalentes
El encargado no puede usar los datos para fines propios ni cederlos
Acciomas conserva la responsabilidad sobre el tratamiento ante usted y ante las autoridades colombianas
Los DPA vigentes están disponibles para verificación de las entidades vigiladas que contratan nuestros servicios

NO compartimos con: - ❌ Marketing agencies - ❌ Data brokers - ❌ Gobiernos extranjeros - ❌ Publicidad (exceptuando reporte a centrales de riesgo — ver abajo)

Centrales de riesgo (CRÉDITO)

En algunos casos, Acciomas puede reportar su obligación a: - DATACRÉDITO - TRANSUNION - EQUIFAX - CIFIN (financiero)

Esto es: - ✅ Legal (Ley 1581, Art. 6° — consentimiento implícito en contrato de crédito) - ✅ Necesario (acreedor necesita reportar incumplimiento) - ❌ NO es venta de datos — es notificación de morosidad

Cómo evitarlo: Pague la deuda o negocie acuerdo de pago.

8. RETENCIÓN DE DATOS

¿Cuánto tiempo guardamos sus datos?

Tipo de dato	Periodo	Justificación
Obligación VIGENTE	Vigencia + 5 años	Prescripción (Código Civil)
Obligación PAGADA	5 años	Contabilidad / auditoría
Bitácora de contactos	5 años	Prueba legal (demanda)
Llamadas grabadas	30 días (o menos)	Cumplimiento normativo
Logs de sistema	30 días online, 5 años archivo	Auditoría SFS/COLCOB
Solicitudes ARCO	Indefinido	Prueba de derechos ejercidos

Después del vencimiento

Los datos personales identificatorios se suprimen definitivamente (borrado y sobreescritura de los campos del titular)
La supresión queda registrada en la bitácora inmutable como evidencia auditable
Se conserva únicamente lo exigido por obligaciones legales, por el término legal
Estadísticas agregadas pueden retenerse (anonimizadas, sin identificar titulares)

9. DERECHOS ESPECIALES (MENORES Y DATOS SENSIBLES)

Menores de edad

❌ Acciomas NO contrata con menores. Si una obligación tiene deudor menor: - Contactamos al representante legal (padre/madre/tutor) - No solicitamos consentimiento del menor - Protección especial: logs auditan acceso a datos de menores

Datos sensibles

Conforme a Ley 1581 (Art. 5°), datos sensibles incluyen: - Ideología política - Afiliación sindical - Creencias religiosas - Vida sexual - Datos biométricos (voz, huella, etc.)

Acciomas NO recolecta propositalmente estos datos. Si aparecen: - No se usan para tomar decisiones (ej: negar contacto por religión) - Se audita acceso - Usted puede solicitar cancelación bajo Art. 17

10. INCIDENTES DE SEGURIDAD

Si sucede una fuga, robo o acceso no autorizado

Acciomas activará:

Detección (automática) → sistemas alertan en < 1 hora
Investigación (24 horas) → qué pasó, quién, cuándo
Notificación a usted (< 5 días) → correo + SMS con detalles
Notificación a SFS (< 5 días) → reporte obligatorio
Medidas correctivas → qué haremos para evitar repetición

Derechos del afectado: - ✅ Derecho a información completa - ✅ Derecho a rectificación de datos si fueron comprometidos - ✅ Derecho a indemnización (si hay daño probado)

11. COOKIES Y TECNOLOGÍAS DE RASTREO

Portal de deudor (www.portal.acciomas.com)

Cookies que usamos: - session_id — para mantener su sesión (obligatorio) - theme — preferencia de tema claro/oscuro (opcional) - Analytics (Google Analytics) — para estadísticas (puede deshabilitarse)

NO usamos: - ❌ Publicidad (Facebook Pixel, etc.) - ❌ Rastreo entre sitios (cross-site tracking) - ❌ Identificadores únicos permanentes

Cómo deshabilitar cookies: - Navegador → Configuración → Privacidad → Bloquear cookies - Respetaremos su preferencia (sitio seguirá funcionando)

12. CONTACTO Y RECLAMACIONES

Ejercer sus derechos ARCO

Correo: privacidad@acciomas.com
Portal: www.portal.acciomas.com → "Mis derechos"
Presencial: Acciomas, Bogotá (cita previa)
Respuesta: Máximo 30 días (legal)

Si no está satisfecho

Ante Acciomas: 1. Correo a privacidad@acciomas.com con "RECURSO DE APELACIÓN" 2. Se revisará en máximo 15 días adicionales

Ante Superintendencia de Industria y Comercio (SIC): - SIC es el regulador de Ley 1581 - Teléfono: (1) 3821000 - Sitio: www.sic.gov.co - Trámite es GRATUITO

Ante Superintendencia Financiera y Solidaria (si es cliente SFS): - Teléfono: (1) 3027000 - Línea de atención: www.superfinanciera.gov.co

13. CAMBIOS EN ESTA POLÍTICA

Acciomas se reserva el derecho de actualizar esta política: - Cambios menores: Se comunican por correo (sin revocación) - Cambios mayores: Se publica nueva versión + consentimiento requerido

Versión actual: 1.0 (10 de julio de 2026)
Próxima revisión: 10 de enero de 2027

14. NORMAS APLICABLES

Esta política cumple:

✅ Ley 1581/2012 — Protección de datos personales
✅ Decreto 1377/2013 — Reglamentación Ley 1581
✅ Circular Externa 012/2024 (SFS) — Estándares de seguridad
✅ Ley 2300/2023 — Cobranza extrajudicial
✅ Ley 2540/2025 — Arbitraje ejecutivo (si aplica)
✅ Resolución 2830/2013 (SFS) — Resguardo de datos

Aceptación: Al usar nuestros servicios, usted acepta esta política.
Cuestionarios: privacidad@acciomas.com

Acciomas S.A.S.
Protegiendo sus datos, cumpliendo la ley.