Política de Protección de datos personales

En cumplimiento a los artículos 15 y 20 de la Constitución Política de Colombia, la Ley 1581 del 2012 y el Decreto 1377 de 2013, Las empresas pertenecientes al grupo LIQUITTY COLOMBIA S.A.S las cuales se anuncian a continuación (Cobrando S.A.S. y Gesti S.A.S) nos encontramos comprometidos con el cumplimiento de la normatividad legal vigente aplicable a la organización, por tal motivo LIQUITTY COLOMBIA S.A.S define a través de esta política los principios y bases fundamentales sobre las cuales se lleva a cabo el tratamiento de los datos personales.

1. OBJETIVO

La presente Política tiene como objetivo establecer los lineamientos, principios y procedimientos que rigen el tratamiento de datos personales, incluidos datos de naturaleza financiera, crediticia y demográfica por parte de las empresas del grupo LIQUITTY COLOMBIA S.A.S. (en adelante, junto con sus filiales Cobrando S.A.S. y Gesti S.A.S., “el Grupo Liquitty”), en cumplimiento de la Constitución Política de Colombia (artículo 15), la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015), la Ley 1266 de 2008 y demás normatividad vigente en materia de protección de datos personales.

Esta Política busca:

1. Garantizar el derecho constitucional de hábeas data de todos los titulares cuyos datos personales sean objeto de tratamiento por la Organización, tanto en su calidad de Responsable del tratamiento como en su calidad de Encargado del tratamiento por cuenta de entidades del sector financiero y demás clientes corporativos.
2. Informar a los titulares sobre las finalidades, los tipos de tratamiento, las transferencias y transmisiones a las que son sometidos sus datos personales, así como los mecanismos y canales disponibles para el ejercicio de sus derechos de consulta, reclamo, actualización, rectificación, supresión y revocatoria de la autorización.
3. Definir los roles, responsabilidades y obligaciones de la Organización frente al tratamiento de datos personales propios y de aquellos que le son confiados por terceros en virtud de relaciones contractuales de encargo.

2. ALCANCE

La presente Política aplica a todo tratamiento de datos personales, recolección, almacenamiento, uso, circulación, transferencia, transmisión, supresión y, en general, cualquier operación sobre datos personales— contenidos en las bases de datos administradas por el Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), en las siguientes calidades:

1. Como Responsable del tratamiento: respecto de los datos personales de sus clientes, empleados, contratistas, proveedores, candidatos a vinculación laboral, visitantes y demás personas naturales con quienes la Organización mantenga o haya mantenido una relación directa.
2. Como Encargado del tratamiento: respecto de los datos personales, financieros, crediticios y demográficos de los titulares (deudores, usuarios y/o clientes) que las entidades del sector financiero y demás clientes corporativos transmiten a la Organización para el desarrollo de actividades de gestión de cartera, cobranza y servicios asociados, en virtud de contratos de transmisión o encargo del tratamiento.

Esta Política es de obligatorio cumplimiento para todos los colaboradores (empleados, practicantes y personal temporal), contratistas, proveedores, aliados estratégicos y cualquier tercero que, en razón de sus funciones o relación contractual, acceda, procese o tenga contacto con datos personales bajo custodia o administración del el Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.). Su aplicación se extiende a todos los medios de tratamiento, sean físicos, automatizados o mixtos.

3. DEFINICIONES

Para efectos de la presente política y en concordancia con la Ley 1581 de 2012, el Decreto 1074 de 2025 y la Circular Externa No. 003 de 2025 de la Superintendencia de Industria y Comercio, se adoptan las siguientes definiciones:

1. Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
2. Dato personal sensible: Aquel que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos.
3. Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
4. Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos.
5. Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del Responsable del tratamiento.
6. Subencargado del tratamiento: Encargado del tratamiento contratado por otro Encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del Responsable.
7. Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación, transferencia, transmisión o supresión.
8. Transferencia internacional de datos personales: Tiene lugar cuando el Responsable y/o Encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del tratamiento y se encuentra dentro o fuera del país, conforme a lo definido en el Decreto 1074 de 2025.
9. Transmisión internacional de datos personales: Tiene lugar cuando el envío de la información o los datos personales se realiza entre un Responsable ubicado en Colombia a un Encargado que se encuentra dentro o fuera del país, conforme a lo definido en el Decreto 1074 de 2025.
10. Exportador de datos: Persona natural o jurídica, de carácter público o privado, ubicada en territorio colombiano, que efectúa transferencias o transmisiones internacionales de datos personales.
11. Importador de datos: Persona natural o jurídica, de carácter público o privado, ubicada fuera de Colombia, que recibe datos personales mediante una transferencia o transmisión internacional.
12. Cláusulas Contractuales Modelo (CCM): Disposiciones contractuales estandarizadas aprobadas por la Red Iberoamericana de Protección de Datos (RIPD) e instruidas por la SIC mediante la Circular Externa No. 003 de 2025, que establecen obligaciones recíprocas entre las partes que participan en el flujo transfronterizo de datos personales, con el fin de garantizar que el tratamiento se realice bajo estándares de seguridad y respeto a los derechos de los titulares.
13. Tercero beneficiario: Titular cuyos datos personales son objeto de una transferencia o transmisión internacional en virtud de un acuerdo basado en CCM, y que puede ejercer los derechos que dichas cláusulas le reconocen aunque no haya suscrito el acuerdo.
14. Transferencia ulterior: Transferencia de datos personales realizada por el Importador de datos a un tercero ubicado fuera de la jurisdicción del Exportador de datos, que cumple con las garantías establecidas en las CCM.
15. Vulneración de la seguridad de datos personales: Cualquier daño, pérdida, alteración, destrucción, acceso, y en general, cualquier uso ilícito o no autorizado de los datos personales, aun cuando ocurra de manera accidental.
16. Decisión individual automatizada: Decisión que produzca efectos jurídicos al titular o le afecte de manera significativa y que se base únicamente en tratamientos automatizados destinados a evaluar, sin intervención humana, determinados aspectos personales del mismo.
17. Anonimización: Aplicación de medidas de cualquier naturaleza dirigidas a impedir la identificación o reidentificación de una persona natural sin esfuerzos desproporcionados.
18. Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.

4. IDENTIFICACIÓN DEL RESPONSABLE

Las personas jurídicas responsables del tratamiento de datos son:

Razón social: GESTI S.A.S. identificada con NIT: 805.030.106-0, COBRANDO S.A.S. identificada con el NIT 830.056.578-7 y LIQUITTY COLOMBIA S.A.S identificada con NIT: 901.555.931-2 Domicilio: Sede Chicó: calle 96 N.º 13 -11 Bogotá, Sede Rionegro: Av. Kr. 50 No. 93A – 29 Bogotá. Sede Cali Av 6A Norte # 23N-41 Cali. Barranquilla: Cra. 53 # 68B -125 Local 2-222 Centro comercial gran centro PBX: 6014222777 EXT 1522 Página web: www.liquitty.com

Correo electrónico: protecciondedatospersonales@liquitty.com

5. PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) realiza el tratamiento de datos personales bajo la aplicación de los siguientes principios:

El tratamiento a que se refiere la Ley de Habeas Data es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen.

• Principio de finalidad: El tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley, la cual debe ser informada al Titular.
• Principio de libertad: El tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento.
• Principio de veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
• Principio de transparencia: En el tratamiento debe garantizarse el derecho del Titular a obtener del responsable del tratamiento o del Encargado del tratamiento, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
• Principio de acceso y circulación restringida: El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la ley y la Constitución. En este sentido, el tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la ley.
• Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la ley.
• Principio de seguridad: La información sujeta a tratamiento por el responsable del tratamiento o Encargado del tratamiento a que se refiere la Ley de Habeas Data, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Principio de confidencialidad: Todas las personas que intervengan en el tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la ley y en los términos de esta.

6. TRATAMIENTO Y FINALIDAD DE LOS DATOS PERSONALES

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) recolecta los datos personales sus Empleados, Retirados, Proveedores, Contratistas, Visitantes, Clientes, Titulares los cuales son calificados por la organización como de reserva, y solo serán revelados por la organización con la expresa autorización del titular o cuando una Autoridad Competente lo solicite.

En todo caso, la información de Empleados, Retirados, Proveedores, Contratistas, Visitantes, Clientes, Titulares no será objeto de tratamiento por un período superior al tiempo de la relación contractual con la compañía, y el tiempo adicional que se requiera de acuerdo con las circunstancias legales o contractuales que hagan necesario el manejo de la información.

Por medio de las siguientes políticas establece la finalidad y tratamiento de los datos personales de los cuales actúa como responsable del tratamiento.

6.1. Finalidades Datos personales de Empleados: a) Dar cumplimiento a las obligaciones que impone la ley laboral colombiana a los Empleados, o bien las órdenes que impartan las autoridades colombianas competentes.

1. Emitir certificaciones relativas a la relación del titular del dato con la organización.
2. Cumplir con las obligaciones impuestas a la organización como Colaborador, en relación con las normas de Seguridad y Salud Ocupacional en cumplimiento con el Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST).
3. Gestionar las funciones desarrolladas por los trabajadores.
4. Consultar memorandos, llamados de atención o proceso disciplinario.
5. Contactar a familiares en casos de emergencia.
6. Gestionar los procedimientos inmersos y establecidos en el proceso de Gestión Humana respecto a selección, contratación, vinculación y afiliación GHFR043 – FORMATO DE CARACTERIZACIÓN
7. Afiliación de beneficiarios a E.P.S y caja de compensación.
8. Publicar internamente, soportar, realizar informes, mediante el registro fotográfico, grabación de video o audio de las eventos y capacitaciones realizados por la organización
9. Uso de aplicaciones empresariales

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) almacena los datos personales de sus Empleados, incluidos los que hayan sido obtenidos en desarrollo del proceso de selección, y los conserva en una carpeta identificada con el nombre de cada uno de ellos, carpeta a la cual solo tendrá acceso y será tratada por el Área de Recursos Humanos, con la finalidad de administrar la relación contractual entre la organización y el colaborador.

Dentro de los datos objeto de tratamiento, se recolectan datos sensibles de sus trabajadores como la huella dactilar con la única finalidad de controlar el horario de ingreso a las instalaciones de la compañía y proporcionar ambientes de trabajo seguros. Para los efectos de este tratamiento se recolecta la respectiva autorización que en todo caso será expresa y facultativa, indicando claramente los datos sensibles objeto de tratamiento y la finalidad de este.

6.2 Finalidades Datos personales de Retirados:

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) almacenará los datos personales que haya obtenido del proceso de selección y la documentación generada en desarrollo de la relación laboral, con el fin de cumplir con obligaciones que puedan originarse de la relación laboral de acuerdo a la legislación colombiana, adicional proporcionar las certificaciones laborales que sean solicitadas por el Retirados o terceros que adelanten un proceso de selección o contratación.

6.3. Finalidades Tratamiento de datos personales de Proveedores y Contratistas i. Envío de invitaciones a contratar y realización de gestiones para las etapas precontractual, contractual y pos contractual.

1. Envío de invitaciones a eventos programados por la Compañía o sus vinculadas.
2. Las demás establecidas específicamente en las autorizaciones que sean otorgadas por los propios proveedores y/o contratistas.
3. El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) solo recaudará de sus proveedores y/o contratistas los datos que sean necesarios, pertinentes y no excesivos para la finalidad de selección, evaluación y ejecución del contrato a que haya lugar.
4. La recolección de los datos personales de los proveedores y/o contratistas por parte de El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), tendrá en todo caso como finalidad verificar la idoneidad y competencia de los Empleados; es decir, una vez verificado este requisito, Las empresas pertenecientes al El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) devolverá tal información al Proveedor y/o contratista, salvo cuando se autorice expresamente su conservación.
5. Se realizará consulta en listas restrictivas de acuerdo con las políticas internas de la organización.
6. Cumplir las normas aplicables a proveedores y contratistas, como las tributarias (Distritales y Nacionales) y comerciales.

6.4. Finalidades Tratamiento de datos personales de Visitantes en el Control Ingreso a) Registrar, verificar y controlar el ingreso y salida de visitantes a las instalaciones de El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), con el fin de garantizar la seguridad física de las instalaciones, los colaboradores y los activos de información.

1. Validar la identidad de los visitantes mediante documentos de identificación u otros mecanismos de verificación para prevenir accesos no autorizados y suplantación de identidad.
2. Administrar los controles de seguridad asociados a la permanencia de visitantes dentro de las instalaciones, incluyendo registro en sistemas de control de acceso, asignación de escarapelas o credenciales temporales y seguimiento de visitas.
3. Utilizar la información de registro de visitantes para investigar, documentar y gestionar incidentes de seguridad física, seguridad de la información o eventos operativos.
4. Atender requerimientos de autoridades administrativas o judiciales, así como obligaciones derivadas de contratos con clientes o terceros, particularmente del sector financiero.
5. Gestionar la atención, acompañamiento y autorización de ingreso de visitantes por parte de los responsables internos o áreas anfitrionas.
6. En todo caso, la información no será objeto de tratamiento por un período superior a un (1) año contado a partir de su recolección de acuerdo con las circunstancias legales o contractuales que hacen necesario el manejo de la información.

6.5. Finalidades Tratamiento de datos personales de Registro de Video Vigilancia

La recolección de imágenes a través de sistemas de videovigilancia en la compañía. se realiza en cumplimiento con la Ley 1581 de 2012 (Ley de Habeas Data), la cual regula el tratamiento de datos personales que estén vinculados o puedan asociarse a personas naturales determinadas o determinables. Un dato personal incluye cualquier información que pueda identificar a una persona, y su tratamiento está sujeto a reglas específicas sobre su recolección, almacenamiento, uso, circulación y supresión.

En este contexto, los objetivos del sistema de videovigilancia en Las empresas pertenecientes al El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) son los siguientes:

1. Capturar imágenes mediante sistemas de CCTV o videovigilancia con fines de seguridad, prevención de incidentes, control de accesos, protección de personas, bienes e información.
2. Proporcionar un ambiente de trabajo adecuado para el desarrollo seguro de las actividades laborales de la compañía.
3. Controlar el ingreso, permanencia y salida de trabajadores, visitantes y proveedores y/o contratistas en las instalaciones de la empresa.

Para cumplir con el deber de información que corresponde a Las empresas pertenecientes a El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) como administrador de datos personales, la organización implementará Avisos de Privacidad en las áreas donde se capturen imágenes que impliquen el tratamiento de datos personales. Según lo estipulado por la Ley 1581 de 2012, el tratamiento de estos datos solo puede realizarse con el consentimiento previo, expreso e informado del titular, garantizando que el titular siempre pueda conocer la ubicación, finalidad y uso de su información personal, así como los medios para su actualización y rectificación.

La información capturada no será objeto de tratamiento por un período superior a sesenta (60) días a partir de su recolección, salvo que las circunstancias legales o contractuales exijan un manejo diferente. Este plazo podrá variar de acuerdo con los lineamientos contractuales establecidos por los clientes de la organización.

6.6. Finalidades Tratamiento de datos personales de Cliente a) Realización de gestiones necesarias para las etapas precontractual, contractual y pos contractual, asegurando el adecuado desarrollo de la relación comercial y el cumplimiento de los compromisos adquiridos.

1. Envío de invitaciones a eventos programados por la empresa en el marco de nuestras estrategias de comunicación y mercadeo.
2. Atender los requerimientos que surjan durante la ejecución del contrato, asegurando el manejo responsable, seguro y confidencial de la información de nuestros clientes.
3. Cumplir con las obligaciones derivadas del contrato, incluyendo el envío y recolección de documentos físicos, su correcta custodia, la gestión de garantías y el cumplimiento de los acuerdos de nivel de servicio establecidos.
4. Revisar y gestionar los casos en los que se presenten posibles incumplimientos entre las partes, relacionados con los acuerdos de nivel de servicio o con las condiciones contractuales.

6.7. Finalidades Tratamiento de datos personales de Titulares Cartera Propia a) Realización de gestiones de cobro en todas sus etapas (preventiva, administrativa, pre jurídica y jurídica según corresponda) Envío de comunicaciones sobre información de interés frente a las obligaciones que se tienen con Las empresas pertenecientes a El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.).

1. Permitir ambientes de trabajo adecuados para el desarrollo seguro de actividades laborales de los procesos de la compañía.
2. Actualización de información en centrales de información financiera.
3. Atención de solicitudes, consultas, emisión de certificaciones sobre estado de deuda, paz y salvo y demás que se requieran frente a la obligación.
4. Atención sobre PQRS sobre la obligación, gestión y objeto de la relación entre el titular con El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.).
5. Actualización de información sobre el estado de la obligación.
6. Uso de la información para trámites judiciales.
7. Disponer de la información para atender y cumplir todos los requerimientos de la ley aplicable a la organización frente a la gestión de cobranza.

6.8. Tratamiento de datos sensibles

De acuerdo con la ley 1581 de 2012 la recolección de datos personales sensibles se encuentra prohibido, excepto cuando:

1. El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización.
2. El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.
3. El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular.

6.9. Tratamiento datos niños, niñas y adolescentes

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) no realiza de forma directa el tratamiento de datos personales de menores de Edad, sin embargo, en el caso que El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) solicite datos de los niños, niñas, y adolescentes se asegura los derechos con la autorización previa de al menos uno de los representantes legales del menor de edad.

En todo caso, el tratamiento de dicha información se realizará garantizando de manera prevalente el interés superior del niño, niña y adolescente, y asegurando el respeto y la protección de sus derechos fundamentales, de conformidad con la Constitución Política, la Ley 1581 de 2012 y los lineamientos impartidos por la Superintendencia de Industria y Comercio.

7. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS PERSONALES

LIQUITTY COLOMBIA S.A.S. y las empresas pertenecientes al grupo (Cobrando S.A.S. y Gesti S.A.S.) reconocen que el flujo transfronterizo de datos personales es una realidad operativa derivada de las dinámicas propias de la globalización y la economía digital, y se comprometen a garantizar que toda transferencia o transmisión internacional de datos personales se realice en estricto cumplimiento del artículo 26 de la Ley 1581 de 2012, la Circular Externa No. 003 de 2025 de la SIC y demás normatividad aplicable.

7.1. Transferencia internacional de datos personales

La transferencia internacional de datos personales tiene lugar cuando El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), en calidad de Responsable del tratamiento ubicado en Colombia, envía datos personales a un receptor que también actúa como Responsable del tratamiento y se encuentra fuera del país.

La transferencia internacional de datos personales estará permitida cuando:

1. Se realice a países que proporcionen niveles adecuados de protección de datos personales, de acuerdo con la lista publicada y actualizada por la Superintendencia de Industria y Comercio.
2. Se encuentre dentro de las causales de excepción establecidas en el artículo 26 de la Ley 1581 de 2012, entre las cuales se incluyen:

• Que el titular haya otorgado su autorización expresa e inequívoca para la transferencia. – Que exista un contrato celebrado en interés del titular entre El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) y un tercero. – Que la transferencia sea legalmente exigida para salvaguardar el interés público. – Que la transferencia sea necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. – Que la transferencia sea necesaria para la prevención o el diagnóstico médico.

1. Se suscriban Cláusulas Contractuales Modelo (CCM) u otros instrumentos que garanticen un nivel de protección equivalente o superior al exigido por la legislación colombiana.

Antes de realizar cualquier transferencia internacional, El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) evaluará internamente si el país de destino se encuentra en la lista de países con nivel adecuado de protección, si aplica alguna de las causales de excepción del artículo 26 de la Ley 1581 de 2012, y si resulta necesario o conveniente suscribir Cláusulas Contractuales Modelo como salvaguarda adicional.

7.2. Transmisión internacional de datos personales

La transmisión internacional de datos personales tiene lugar cuando El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), en calidad de Responsable del tratamiento ubicado en Colombia, envía datos personales a un Encargado del tratamiento que se encuentra fuera del país, para que este realice actividades de tratamiento por cuenta y bajo las instrucciones del Responsable.

Para la transmisión internacional de datos personales, El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) celebrará un contrato escrito con el Encargado ubicado en el exterior que establezca, como mínimo:

1. Las finalidades específicas del tratamiento encomendado. b) Las instrucciones sobre el alcance y los límites del tratamiento. c) Las medidas de seguridad administrativas, técnicas y físicas que deberá implementar el Encargado. d) La obligación de confidencialidad. e) La obligación de notificación de incidentes de seguridad. f) Las condiciones para la devolución o supresión segura de los datos al finalizar la relación contractual. g) El sometimiento a la supervisión de la SIC como autoridad de control competente.

Cuando la transmisión se realice a un país que no esté en la lista de países con nivel adecuado de protección, se podrán suscribir las CCM (Acuerdo Modelo II entre Responsable y Encargado) como mecanismo adicional de garantía.

7.3. Cláusulas Contractuales Modelo (CCM)

En cumplimiento de las instrucciones impartidas por la SIC mediante la Circular Externa No. 003 de 2025, El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) adopta como herramienta para facilitar el cumplimiento normativo las Cláusulas Contractuales Modelo (CCM) aprobadas por la Red Iberoamericana de Protección de Datos (RIPD), en sus dos modalidades:

1. Acuerdo Modelo I – Transferencia entre Responsable y Responsable: Aplicable cuando El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) transfiera datos personales a otro Responsable ubicado fuera de Colombia.
2. Acuerdo Modelo II – Transmisión entre Responsable y Encargado: Aplicable cuando El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) transmita datos personales a un Encargado ubicado fuera de Colombia. En este modelo, cuando el instrumento jurídico emplee de manera indistinta el término “transferencia” se entenderá como “transmisión”, sin que esto altere la clasificación jurídica del tratamiento ni las obligaciones propias del Responsable y del Encargado.

La suscripción de las CCM es facultativa y no excluye otros mecanismos de cumplimiento. Sin embargo, una vez suscritas, El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) se obliga a su cumplimiento integral. Las CCM no sustituyen la verificación de las excepciones del artículo 26 de la Ley 1581 de 2012, sino que se integran como salvaguarda adicional. En caso de contradicción entre las CCM y la legislación colombiana, prevalecerá el marco jurídico colombiano.

Las CCM podrán ser complementadas con deberes, obligaciones o garantías adicionales que impliquen un nivel igual o superior de protección para los titulares, sin que tales ajustes puedan entenderse como una disminución o flexibilización de las salvaguardas legales aplicables.

7.4. Transferencias ulteriores

Cuando un Importador de datos pretenda comunicar los datos personales recibidos a un tercero ubicado fuera de la jurisdicción del Exportador de datos, dicha operación constituye una transferencia ulterior y solo podrá realizarse cuando:

1. El tercero destinatario esté vinculado por las mismas CCM o consienta someterse a estas.
2. La transferencia ulterior se dirija a un país con nivel adecuado de protección reconocido por la SIC.
3. El tercero aporte garantías adecuadas conforme a la legislación colombiana.
4. El tercero suscriba un instrumento vinculante que garantice el mismo nivel de protección.
5. Sea necesaria para la formulación, ejercicio o defensa de reclamaciones en procedimientos judiciales o administrativos.
6. Sea necesaria para proteger intereses vitales del titular.
7. El Importador haya recabado el consentimiento expreso del titular, previa información sobre la finalidad, la identidad del destinatario y los posibles riesgos.

Toda transferencia ulterior estará sujeta al cumplimiento del principio de finalidad y las demás garantías previstas en las CCM y la legislación colombiana.

7.5. Subencargados del tratamiento

Cuando un Encargado del tratamiento ubicado fuera de Colombia pretenda contratar a un subencargado para realizar actividades específicas de tratamiento por cuenta de El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), deberá:

1. Contar con la autorización previa y específica por escrito de El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.), o con una autorización general que incluya una lista de subencargados previamente acordada, con la obligación de informar con al menos quince (15) días hábiles de antelación cualquier adición o sustitución, para que El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) pueda formular objeciones.
2. Celebrar un contrato escrito con el subencargado que establezca, en esencia, las mismas obligaciones de protección de datos impuestas al Encargado, especialmente en lo referente a los derechos de los titulares.
3. El Encargado seguirá siendo plenamente responsable ante El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) por el cumplimiento de las obligaciones del subencargado y deberá notificar cualquier incumplimiento.
4. El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) se reserva el derecho de solicitar copia del contrato celebrado con el subencargado para verificar que las garantías de protección sean equivalentes.

8. DERECHOS DE LOS TITULARES

Los Titulares de datos personales gozarán de los siguientes derechos, y de aquellos que les otorgue la ley:

1. Acceder de forma gratuita a los datos proporcionados que hayan sido objeto de tratamiento.
2. Conocer, actualizar y rectificar sus datos personales frente al responsable del tratamiento o Encargados del tratamiento. Este derecho se podrá ejercer, entre otros frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
3. Solicitar prueba de la autorización otorgada al responsable del tratamiento salvo cuando expresamente se exceptúe como requisito para el tratamiento, de conformidad con lo previsto en el artículo 10 de la ley.
4. Ser informado por el responsable del tratamiento o el Encargado del tratamiento, previa solicitud, respecto del uso que les ha dado a sus datos personales.
5. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la ley y las demás normas que la modifiquen, adicionen o complementen.
6. Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la Superintendencia de Industria y Comercio haya determinado que en el tratamiento el responsable o Encargado han incurrido en conductas contrarias a la ley y a la Constitución.
7. Abstenerse de responder las preguntas sobre datos sensibles. Tendrá carácter facultativo las respuestas que versen sobre datos sensibles o sobre datos de las niñas y niños y adolescentes.
8. Cuando sus datos personales sean objeto de transferencia o transmisión internacional, solicitar gratuitamente una copia del acuerdo o instrumento jurídico que formalice dicha operación, sin perjuicio de que puedan excluirse secciones que contengan secretos comerciales o información confidencial de terceros.
9. Conocer la identidad de los destinatarios o las categorías de destinatarios cuando El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) realice transferencias ulteriores de sus datos personales a terceros ubicados fuera de Colombia.
10. Oponerse al tratamiento de sus datos personales cuando este tenga por objeto la mercadotecnia directa, incluida la elaboración de perfiles en la medida que esté relacionada con dicha actividad.
11. No ser objeto de decisiones basadas únicamente en tratamientos automatizados de datos personales que produzcan efectos jurídicos o le afecten de manera significativa, salvo las excepciones previstas en la ley. En caso de que dicha decisión se tome con base legal o consentimiento, el titular tendrá derecho a recibir una explicación sobre la decisión, a ser oído y expresar su punto de vista, y a obtener intervención humana.
12. Invocar, como tercero beneficiario, las cláusulas de los acuerdos de transferencia o transmisión internacional suscritos por El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) basados en Cláusulas Contractuales Modelo y exigir su cumplimiento al Exportador y/o al Importador de datos.
13. Presentar reclamaciones ante la Superintendencia de Industria y Comercio como autoridad de control competente, o ante la autoridad de protección de datos de su país de residencia habitual, cuando sus datos hayan sido objeto de transferencia internacional.

9. DEBERES COMO RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES

Como responsable del tratamiento de datos personales, cumplirá los siguientes deberes:

1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular.
3. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
5. Garantizar que la información que se suministre al Encargado del tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
6. Actualizar la información, comunicando de forma oportuna al Encargado del tratamiento, todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.
7. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del tratamiento.
8. Suministrar al Encargado del tratamiento, según el caso, únicamente datos cuyo tratamiento esté previamente autorizado de conformidad con lo previsto en la presente ley.
9. Exigir al Encargado del tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.
10. Tramitar las consultas y reclamos formulados en los términos señalados en la Ley Estatutaria 1581 de 2012.
11. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley y en especial, para la atención de consultas y reclamos.
12. Informar al Encargado del tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
13. Informar a solicitud del Titular sobre el uso dado a sus datos.
14. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
15. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
16. Verificar, antes de realizar cualquier transferencia o transmisión internacional de datos personales, si el país de destino se encuentra en la lista de países con nivel adecuado de protección publicada por la SIC, o si aplica alguna de las excepciones del artículo 26 de la Ley 1581 de 2012, y documentar dicha evaluación.
17. Suscribir, cuando corresponda, las Cláusulas Contractuales Modelo (CCM) conforme a la Circular Externa No. 003 de 2025 de la SIC, y garantizar su cumplimiento integral una vez suscritas.
18. Garantizar que los contratos celebrados con Encargados del tratamiento ubicados fuera de Colombia establezcan obligaciones equivalentes a las previstas en la legislación colombiana y en las CCM.
19. Notificar a la Superintendencia de Industria y Comercio, a los titulares afectados y a las contrapartes contractuales cualquier vulneración de seguridad de datos personales, dentro de los plazos y con el contenido mínimo establecidos en la sección de Gestión de Incidentes de la presente política.
20. Documentar y conservar evidencia de todas las transferencias y transmisiones internacionales realizadas, incluyendo los instrumentos jurídicos que las formalizan, las evaluaciones previas y las medidas de seguridad acordadas.
21. Abstenerse de realizar tratamientos automatizados de datos personales que tengan como efecto la discriminación de los titulares por razón de su origen racial o étnico, convicciones religiosas, afiliación sindical, opiniones políticas, datos de salud, preferencia u orientación sexual, datos genéticos o biométricos.

10. DEBERES COMO ENCARGADO DEL TRATAMIENTO DE DATOS PERSONALES a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.

1. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento
2. Realizar oportunamente la comunicación al responsable de los datos de su titular con respecto a la actualización, rectificación o supresión de los datos en los términos de la presente ley, rectificación o supresión de los datos del comunicando.
3. Durante el proceso de la prestación del servicio el titular puede actualizar información, para ello aplicará las medidas correspondientes para recolectar la autorización y posteriormente notificar al responsable del tratamiento para la actualización de la información.
4. Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados de acuerdo con lo establecido por la Ley, notificando oportunamente al responsable del tratamiento.
5. Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares, para lo cual dispone de un Procedimiento para la atención de PQR.
6. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio;
7. Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.
8. Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
9. Reportar oportunamente al responsable del tratamiento de datos cuando se identifique un incidente de seguridad relacionado con datos personales.
10. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.
11. Este no se incluiría dado que ya se menciona en el control de ingreso.
12. Enviar comunicaciones que previamente han sido autorizadas por el responsable del tratamiento de los datos de acuerdo con la prestación del servicio que se tiene contractualmente
13. Desarrollar todas aquellas actividades establecidas contractualmente con el responsable del tratamiento; de acuerdo con la finalidad del tratamiento de los datos.
14. Durante el proceso de la prestación del servicio el titular puede actualizar información, para ello aplicará las medidas correspondientes para recolectar la autorización y posteriormente notificar al responsable del tratamiento para la actualización de la información.
15. Hacer uso de las bases de datos vigentes suministradas por el responsable del tratamiento de los datos para disponer de información actualizada.
16. Cuando la prestación del servicio lo requiera y se haya establecido contractualmente con el responsable del tratamiento, se realizan consultas del reporte de centrales de información crediticia.
17. Realizar encuestas y/o sondeos de opinión sobre los servicios de la compañía, para evaluar la calidad de los servicios.
18. Dar tratamiento a los datos personales de acuerdo con la ley y normatividad aplicable.
19. Realizar informes sobre el resultado de la gestión realizada al responsable del tratamiento.
20. Registrar en la base de datos las leyendas “reclamo en trámite” en la forma en que se regula en la presente ley.
21. Insertar en la base de datos la leyenda “información en discusión judicial” una vez notificado por parte de la autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.
22. Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.

11. GESTIÓN DE INCIDENTES Y VULNERACIONES DE SEGURIDAD DE DATOS PERSONALES

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) han establecido un procedimiento para la gestión de incidentes de seguridad que afecten datos personales, con el objetivo de minimizar el impacto sobre los titulares y dar cumplimiento a las obligaciones de notificación previstas en la Ley 1581 de 2012 y en la Circular Externa No. 003 de 2025 de la SIC.

11.1. Identificación y respuesta inmediata

Ante cualquier vulneración de la seguridad de datos personales (daño, pérdida, alteración, destrucción, acceso ilícito o uso no autorizado), el área o colaborador que detecte el incidente deberá reportarlo de manera inmediata al Oficial de Protección de Datos o al responsable designado por la organización.

Una vez identificado el incidente, El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) adoptará las medidas adecuadas para ponerle remedio y mitigar los posibles efectos negativos para los titulares.

11.2. Documentación del incidente

Se documentarán todos los hechos pertinentes relacionados con la vulneración, incluyendo:

1. La naturaleza del incidente.
2. Las categorías y el número aproximado de titulares afectados.
3. Las categorías y el número aproximado de registros de datos personales comprometidos.
4. Las consecuencias probables de la vulneración.
5. Las medidas correctivas adoptadas de forma inmediata.
6. Las medidas propuestas para prevenir incidentes futuros similares.

Se llevará un registro actualizado de todos los incidentes de seguridad de datos personales.

11.3. Notificación a la Superintendencia de Industria y Comercio

Cuando la vulneración de seguridad represente un riesgo para los derechos y libertades de los titulares, El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) notificará a la Superintendencia de Industria y Comercio dentro de los plazos establecidos por la normativa vigente, incluyendo la información mínima requerida sobre el incidente.

Asimismo, cuando la vulneración pueda afectar de manera significativa a los titulares, se les informará de forma oportuna para que puedan tomar las medidas necesarias para proteger sus derechos.

11.4. Seguimiento y mejora continua

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) realizará el seguimiento de los incidentes de seguridad reportados, evaluando la efectividad de las medidas adoptadas y fortaleciendo los controles internos para prevenir la ocurrencia de nuevos eventos similares.

12. MODIFICACIÓN DE LAS POLÍTICAS

El Grupo Liquitty (LIQUITTY COLOMBIA S.A.S., Cobrando S.A.S. y Gesti S.A.S.) se reserva el derecho de modificar la presente Política en cualquier momento. No obstante, toda modificación será informada oportunamente a los titulares de los datos personales a través de los canales de comunicación habituales de la organización.

13. VIGENCIA

La presente Política rige a partir de su fecha de aprobación y deroga todas las disposiciones anteriores relacionadas con el tratamiento de datos personales en la organización.