POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES DE CENTRI

Versión base para revisión y publicación. Vigencia propuesta: 2026-08-15.

1. Responsable del tratamiento

Razón social: Consorcio S&P S.A.S

NIT: 901462446

Domicilio: CARRERA 81 A 82 19 SUR, Bogotá DC

Canal de privacidad y habeas data: data@centricol.com

Canal legal: servicio@centricol.com

Sitio web: https://app.centricol.com

2. Objetivo

Esta Política informa de forma clara cómo Consorcio S&P S.A.S recolecta, almacena, usa, circula, transmite, transfiere, actualiza y suprime datos personales en relación con CENTRI, cuáles son las finalidades del tratamiento, los derechos de los titulares y los mecanismos disponibles para ejercerlos.

3. Alcance

La Política aplica a datos de usuarios, clientes, prospectos, representantes, contactos comerciales, proveedores, personas que interactúan con soporte y otras personas naturales cuyos datos sean tratados por Consorcio S&P S.A.S en desarrollo del servicio. También cubre datos personales contenidos en documentos empresariales que el cliente cargue o procese cuando Consorcio S&P S.A.S actúe como encargado por cuenta de dicho cliente.

4. Marco general y principios

El tratamiento se realizará conforme a la Constitución Política, la Ley 1581 de 2012, el Decreto 1074 de 2015 y las normas que los modifiquen, complementen o sustituyan. Se aplicarán, entre otros, los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

5. Definiciones esenciales

• Titular: persona natural a quien se refiere la información personal.
• Dato personal: información vinculada o asociable a una persona natural determinada o determinable.
• Dato sensible: dato cuyo uso indebido puede afectar la intimidad o generar discriminación.
• Responsable: quien decide sobre la base de datos o las finalidades y medios esenciales del tratamiento.
• Encargado: quien trata datos por cuenta del responsable y bajo sus instrucciones.
• Tratamiento: cualquier operación sobre datos, como recolección, almacenamiento, uso, circulación, transmisión o supresión.
• Transferencia: envío de datos a otro responsable.
• Transmisión: comunicación de datos a un encargado para que los trate por cuenta del responsable.
• Perfilamiento: tratamiento automatizado destinado a evaluar determinados aspectos de una persona.

6. Roles de Consorcio S&P S.A.S: responsable y encargado

Consorcio S&P S.A.S actúa como Responsable respecto de los datos necesarios para administrar su relación directa con clientes y usuarios —por ejemplo, registro, contacto, facturación del plan, soporte, seguridad y cumplimiento—.

Cuando un cliente utiliza CENTRI para procesar información de sus propios empleados, clientes, proveedores, contactos, compradores u otros terceros, el cliente normalmente define las finalidades de ese tratamiento y actúa como Responsable; Consorcio S&P S.A.S procesa esos datos como Encargado, de acuerdo con las instrucciones del cliente, el contrato y la funcionalidad contratada.

El cliente se obliga a contar con las autorizaciones, bases legales, avisos y políticas que le correspondan respecto de los datos de terceros que incorpore a CENTRI.

7. Categorías de información tratada

Según el servicio utilizado, podrán tratarse: datos de identificación y contacto; datos de empresa; credenciales e identificadores de cuenta; información de facturación y pagos; datos fiscales y tributarios; información de transacciones; inventario; compras; ventas; cartera; proveedores; empleados y nómina; datos de navegación, dispositivo y seguridad; comunicaciones de soporte; y los datos que el cliente decida incorporar a los módulos habilitados.

CENTRI no solicita datos sensibles salvo que resulten estrictamente necesarios para una función legítima y permitida. Cuando una autorización especial sea exigible, se solicitará de forma diferenciada.

8. Finalidades necesarias para prestar el servicio

Los datos podrán tratarse para:

• crear, autenticar y administrar cuentas y organizaciones;
• verificar identidad, seguridad, permisos y prevención de fraude;
• contratar, cobrar y administrar planes y suscripciones;
• prestar soporte técnico y atender solicitudes;
• operar ventas, inventario, compras, caja, contabilidad, nómina, reportes y demás módulos contratados;
• generar, validar, transmitir, recibir o conservar documentos electrónicos cuando el servicio lo contemple;
• mantener trazabilidad, auditoría, continuidad y seguridad de la plataforma;
• enviar comunicaciones transaccionales, de seguridad, cambios de servicio y cumplimiento;
• cumplir obligaciones legales, tributarias, contables, judiciales o administrativas aplicables;
• gestionar la terminación del servicio, exportaciones y conservación legal de información.

9. Mercadeo como finalidad opcional

El envío de promociones, campañas comerciales o comunicaciones de mercadeo que no sean necesarias para ejecutar el contrato se manejará mediante una autorización separada y opcional cuando corresponda. Negarse a recibir mercadeo no impide contratar ni usar las funciones esenciales de CENTRI.

El titular podrá retirar esa autorización utilizando los mecanismos de la comunicación o escribiendo a data@centricol.com, sin afectar el tratamiento necesario para ejecutar el contrato o cumplir obligaciones legales.

10. Registro, Google y datos de autenticación

Durante el registro se recolectan los datos necesarios para crear la cuenta, identificar al administrador y vincular la organización. Si el usuario utiliza Google, CENTRI podrá recibir y conservar el identificador único de la cuenta Google, nombre, correo y estado de verificación que Google comunique al servicio.

CENTRI no recibe la contraseña de Google. La vinculación federada se utiliza para autenticación y seguridad de la cuenta.

11. Pagos

Cuando se utilice una pasarela externa, los datos financieros sensibles de la tarjeta son tratados principalmente por el proveedor de pagos según sus propias políticas y obligaciones. CENTRI podrá recibir identificadores de transacción, estado, valor y demás datos necesarios para conciliar el pago.

Si el cliente carga un comprobante de transferencia o billetera, dicho archivo puede contener información personal o financiera y será almacenado de forma restringida como soporte de la operación durante el tiempo necesario y legalmente exigible.

12. RUT, resolución 1876 y configuración tributaria

En el onboarding de nuevos clientes, CENTRI puede recibir archivos como el RUT y la autorización de numeración de facturación. Se utilizan para extraer y validar datos empresariales y tributarios necesarios para configurar el servicio: NIT, DV, razón social, dirección, contacto, responsabilidades, representante legal cuando aparezca en el documento, modalidad, prefijo, rango, vigencia y tipo de solicitud.

Estos documentos pueden contener datos personales de representantes o funcionarios. Su acceso se limita a las finalidades de configuración, soporte, auditoría y cumplimiento asociadas al servicio contratado.

13. Conector DIAN y autorización específica

El Conector DIAN solo se activa por instrucción del usuario. Antes de iniciar, CENTRI registra una autorización específica que identifica al usuario, fecha y hora, versión del texto autorizado, huella del contenido y datos técnicos razonables de la sesión.

El flujo está diseñado para que el usuario realice la autenticación en el portal oficial de la DIAN y para que no tenga que copiar o pegar en CENTRI el token personal recibido para acceder. CENTRI no pretende almacenar contraseñas personales ni el token de autenticación del contribuyente. Sí podrá almacenar de forma protegida datos técnicos necesarios para operar el software de facturación, como identificadores, PIN del software, TestSetId, clave técnica o parámetros de resolución, cuando sean necesarios para el servicio.

Los datos fiscales obtenidos o sincronizados se procesan para la finalidad instruida por el cliente y no deben utilizarse para finalidades comerciales propias incompatibles con esa instrucción.

14. Inteligencia artificial, RICHI y tratamiento automatizado

CENTRI puede incorporar sistemas de inteligencia artificial en soporte, RICHI, extracción de información, clasificación, búsqueda, análisis operativo, generación de borradores o asistencia al usuario. Cuando esos sistemas traten datos personales, se limitarán a finalidades legítimas relacionadas con el servicio y se aplicarán medidas de seguridad y supervisión proporcionales al riesgo.

Los titulares podrán solicitar información sobre tratamientos automatizados que les afecten de manera significativa y, cuando corresponda, intervención humana. CENTRI procurará que decisiones con efectos jurídicos o significativamente adversos no dependan exclusivamente de una salida automatizada sin revisión cuando la ley exija garantías adicionales.

15. Cookies, registros técnicos y seguridad

CENTRI puede utilizar cookies o almacenamiento local estrictamente necesario para sesiones, seguridad, preferencias, continuidad del onboarding y funcionamiento del servicio. Cuando se utilicen tecnologías con finalidades analíticas o publicitarias que requieran consentimiento, se implementarán los avisos o controles correspondientes.

Se pueden conservar registros de acceso, dirección IP observada por el servidor, navegador, dispositivo, eventos de seguridad, auditoría y operaciones con el fin de prevenir fraude, investigar incidentes, soportar la trazabilidad y demostrar autorizaciones.

16. Proveedores, transmisiones y transferencias

Para operar el servicio, Consorcio S&P S.A.S podrá utilizar proveedores de infraestructura, nube, correo, mensajería, analítica, pagos, soporte, autenticación, inteligencia artificial u otros servicios tecnológicos, dentro o fuera de Colombia. Cuando actúen como Encargados se establecerán las obligaciones contractuales y de seguridad requeridas por la normativa aplicable.

Las transferencias a otros Responsables solo se realizarán cuando exista autorización, obligación legal u otra habilitación jurídica aplicable. Los flujos internacionales se gestionarán conforme a las reglas colombianas sobre transferencia y transmisión internacional de datos.

17. Conservación y eliminación

Los datos se conservarán durante el tiempo necesario y proporcional para cumplir las finalidades informadas, prestar el servicio, resolver controversias, mantener seguridad y cumplir obligaciones legales. Los datos contables, fiscales, contractuales y registros que deban conservarse por mandato legal se mantendrán durante el término aplicable incluso si termina la relación comercial.

Los archivos temporales se eliminarán cuando dejen de ser necesarios, sujeto a copias de seguridad, ciclos técnicos de borrado y obligaciones de conservación. La supresión solicitada por el titular no procederá respecto de información que deba mantenerse por una obligación legal o contractual vigente, caso en el cual se informará la razón correspondiente.

18. Derechos de los titulares

El titular puede, en los términos legales:

• conocer, acceder, actualizar y rectificar sus datos;
• solicitar prueba de la autorización cuando sea exigible;
• ser informado sobre el uso dado a sus datos;
• solicitar la supresión cuando proceda;
• revocar una autorización cuando legalmente sea posible;
• acceder gratuitamente a los datos objeto de tratamiento;
• presentar quejas ante la Superintendencia de Industria y Comercio una vez se cumplan los requisitos legales correspondientes.

19. Consultas y reclamos

Las solicitudes se reciben en data@centricol.com. Para proteger al titular, Consorcio S&P S.A.S podrá pedir información razonable para verificar identidad, representación y alcance de la solicitud.

Las consultas serán atendidas dentro del término legal vigente. Como referencia de la Ley 1581 de 2012, el término ordinario es de diez (10) días hábiles, prorrogable en los eventos y condiciones previstos por la ley. Los reclamos se atienden dentro del término legal vigente; la regla general contempla quince (15) días hábiles, con la ampliación legal aplicable cuando sea necesario.

Si una solicitud está incompleta o debe ser trasladada a otro competente, se aplicarán los procedimientos y plazos previstos por la normativa vigente.

20. Revocatoria y supresión

La revocatoria puede ser total o parcial, siempre que no exista un deber legal, contractual o una finalidad indispensable que impida la eliminación inmediata. El retiro de una autorización de mercadeo no afecta el tratamiento necesario para prestar el servicio contratado.

Si una revocatoria recae sobre información indispensable para autenticar la cuenta, facturar, cumplir deberes tributarios o prestar una función solicitada, Consorcio S&P S.A.S informará las consecuencias antes de ejecutar una medida que haga imposible continuar el servicio.

21. Seguridad e incidentes

Consorcio S&P S.A.S adopta medidas técnicas, humanas y administrativas razonables orientadas a evitar pérdida, alteración, uso o acceso no autorizado. Ningún sistema puede garantizar riesgo cero. Cuando se presente un incidente de seguridad, se activarán procedimientos de contención, análisis y respuesta, y se realizarán las comunicaciones a autoridades o titulares cuando la normativa aplicable así lo exija.

22. Datos de niños, niñas y adolescentes

CENTRI está dirigido principalmente a empresas y personas con capacidad para contratar. No busca recolectar deliberadamente datos de menores para crear cuentas comerciales. Si un cliente incorpora datos de menores en el ejercicio legítimo de sus operaciones, deberá cumplir las reglas reforzadas aplicables y contar con las autorizaciones que correspondan.

23. Modificaciones de la Política

Las versiones se identificarán por número y fecha. Los cambios sustanciales que puedan afectar las finalidades o los derechos de los titulares serán comunicados mediante canales razonables y, cuando la ley lo requiera, se solicitará una nueva autorización.

24. Evidencia de autorizaciones

A partir de la implementación del centro legal, CENTRI conserva evidencia consultable de las autorizaciones otorgadas electrónicamente, incluyendo versión, hash, fecha/hora, vínculo con usuario/orden, datos técnicos de la sesión y snapshot exacto del texto aceptado. Esto permite demostrar qué información conoció y autorizó el titular en ese momento.

25. Vigencia y contacto

Esta Política entra en vigencia en la fecha indicada en la versión publicada y permanecerá vigente hasta que sea sustituida por una versión posterior.

Canal de habeas data y privacidad: data@centricol.com

Canal legal: servicio@centricol.com

Soporte: soporte@centricol.com

Sitio web: https://app.centricol.com