Política de tratamiento de datos personales

1. Identificación del responsable del tratamiento

IMPULSA FINANCIERA COLOMBIA S.A.S. es la responsable del tratamiento de los datos personales que recolecta en el desarrollo de su objeto social, y adopta esta política en cumplimiento de la Ley 1581 de 2012 y sus normas reglamentarias.

La sociedad se constituyó mediante Acta No. 001 del 24 de septiembre de 2026, como sociedad por acciones simplificada no vigilada por la Superintendencia Financiera de Colombia.

Canales oficiales. Los datos personales solo se reciben y envían por las cuentas de correo corporativo que se listan a continuación y por el formulario de la página web impulsa.com.co, nunca por correos ni números personales.

2. Objeto, alcance y marco normativo

Esta política fija las reglas con las que la sociedad recolecta, almacena, usa, circula, transmite, transfiere y suprime datos personales, y los mecanismos para que los titulares ejerzan sus derechos.

Alcance. Aplica a todas las bases de datos, físicas o digitales, que administre la sociedad, y es de obligatorio cumplimiento para sus accionistas, administradores, trabajadores, contratistas y encargados del tratamiento. Cubre los datos de clientes, solicitantes de crédito, deudores, codeudores, pagadurías y empleadores de libranza, proveedores, aliados financieros, trabajadores, aspirantes y visitantes.

Marco normativo principal:

• Constitución Política, artículos 15 y 20 (intimidad y hábeas data).
• Ley Estatutaria 1581 de 2012 (protección de datos personales).
• Decreto 1074 de 2015, capítulos 25 y 26 del título 2, parte 2, libro 2 (compila los Decretos 1377 de 2013 y 886 de 2014), y Decreto 090 de 2018.
• Ley Estatutaria 1266 de 2008, modificada por la Ley 2157 de 2021 (hábeas data financiero y reportes a centrales de riesgo).
• Ley 1527 de 2012 y sus decretos reglamentarios (libranza y RUNEOL).
• Ley 2300 de 2023 (horarios y canales de contacto para gestión de cobranza y comercial).
• Circular Única de la Superintendencia de Industria y Comercio (SIC), título V, y demás instrucciones de la SIC.
• Código Sustantivo del Trabajo y normas de seguridad social, en lo relativo a datos laborales.

Cuando un tratamiento esté regulado por la Ley 1266 de 2008 (dato financiero, crediticio y comercial), se aplicará esa norma de manera preferente y la Ley 1581 de 2012 en lo no previsto por ella.

3. Definiciones

Para esta política se usan las definiciones de la Ley 1581 de 2012, la Ley 1266 de 2008 y el Decreto 1074 de 2015.

4. Principios del tratamiento

Todo tratamiento se rige por los principios del artículo 4 de la Ley 1581 de 2012 y del artículo 4 de la Ley 1266 de 2008:

• Legalidad: el tratamiento se sujeta a la ley y a esta política.
• Finalidad: los datos se usan solo para fines legítimos informados al titular.
• Libertad: solo se tratan datos con autorización previa, expresa e informada, salvo excepción legal.
• Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada y comprobable.
• Transparencia: el titular puede conocer en cualquier momento qué datos suyos existen.
• Acceso y circulación restringida: solo acceden las personas autorizadas; los datos no se publican en internet salvo que el acceso sea controlable.
• Seguridad: se aplican medidas técnicas, humanas y administrativas para evitar pérdida, adulteración o acceso no autorizado.
• Confidencialidad: quienes intervienen en el tratamiento guardan reserva, incluso después de terminar su vínculo.
• Temporalidad (dato financiero): la información negativa se conserva solo por los plazos que fija la Ley 1266 de 2008.

5. Bases de datos, tratamiento y finalidades

La sociedad administra cinco bases de datos; cada una tiene un custodio interno y finalidades específicas. Los datos no se usarán para fines distintos sin nueva autorización.

5.1 Clientes, solicitantes de crédito y deudores

• Evaluar el perfil, la capacidad de pago y el cumplimiento de requisitos para orientar la solicitud hacia el banco, cooperativa o fondo adecuado.
• Remitir la solicitud y sus soportes a las entidades financieras aliadas, con autorización del titular.
• Consultar y reportar información en centrales de riesgo, conforme a la Ley 1266 de 2008.
• Otorgar, administrar, cobrar y recaudar créditos con recursos propios, incluidos los de libranza, y gestionar su descuento con la pagaduría.
• Ceder, endosar o negociar la cartera, o celebrar contratos de factoring y descuento con entidades autorizadas.
• Gestionar cobranza prejurídica y jurídica, respetando los horarios y canales de la Ley 2300 de 2023.
• Facturar, llevar la contabilidad y cumplir obligaciones tributarias y legales.
• Verificar identidad y prevenir fraude, lavado de activos y financiación del terrorismo, incluida la consulta en listas restrictivas.
• Atender peticiones, quejas y reclamos, y medir la satisfacción.
• Enviar ofertas de productos propios o de aliados, solo si el titular lo autorizó de forma separada.

5.2 Prospectos y mercadeo

• Contactar al interesado para presentar servicios de asesoría, crédito y venta de bienes.
• Enviar información comercial, promociones e invitaciones por los canales autorizados.
• Realizar análisis estadísticos y de mercado.

5.3 Trabajadores, aspirantes y extrabajadores

• Adelantar procesos de selección, verificar referencias y antecedentes permitidos por la ley.
• Celebrar y ejecutar el contrato de trabajo, liquidar nómina, prestaciones y aportes a seguridad social y parafiscales.
• Administrar el Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST).
• Expedir certificaciones laborales y atender requerimientos de autoridades.
• Conservar la historia laboral por los plazos legales tras el retiro.

Los datos de aspirantes no seleccionados se conservan hasta 6 meses y luego se suprimen, salvo que el titular autorice conservarlos para futuras vacantes.

5.4 Proveedores, aliados financieros y pagadurías

• Seleccionar, contratar, evaluar y pagar a proveedores.
• Ejecutar convenios con bancos, cooperativas, fondos y pagadurías de libranza.
• Cumplir obligaciones contables, tributarias y de debida diligencia.

5.5 Clientes de outsourcing contable y tributario

• Prestar los servicios contratados de contabilidad, tributaria, nómina, auditoría y modelación financiera.
• En estos servicios la sociedad actúa, por regla general, como encargada del tratamiento de los datos que le entrega el cliente, y los tratará solo según sus instrucciones y el contrato.

6. Datos sensibles, de niños y adolescentes y datos financieros

6.1 Datos sensibles

La sociedad solo trata datos sensibles cuando son indispensables y con autorización explícita, salvo las excepciones del artículo 6 de la Ley 1581 de 2012. Los casos previstos son:

• Datos de salud de trabajadores, para el SG-SST, incapacidades y exámenes médicos ocupacionales (que custodia la IPS, no la empresa).
• Datos biométricos, como huella o fotografía, para verificar identidad en la solicitud de crédito o la firma de pagarés y libranzas.
• Imágenes de videovigilancia, si se instalan cámaras en las oficinas.

El titular no está obligado a autorizar el tratamiento de datos sensibles, y ninguna actividad se condicionará a que los entregue, salvo que sean necesarios por ley o para el servicio solicitado. Se le informará cuáles datos son sensibles y para qué se usan.

6.2 Niños, niñas y adolescentes

La sociedad no otorga créditos ni presta servicios a menores de edad. Solo trata datos de menores cuando son beneficiarios de trabajadores en seguridad social o cajas de compensación, con autorización de su representante legal y respetando su interés superior.

6.3 Datos financieros, crediticios y comerciales

El tratamiento de estos datos se rige por la Ley 1266 de 2008, modificada por la Ley 2157 de 2021, con estas reglas:

• Consulta y reporte a centrales de riesgo solo con autorización previa, expresa y escrita del titular.
• Antes de un reporte negativo se envía comunicación previa al titular, con al menos 20 días calendario de anticipación, por el canal registrado.
• La información negativa permanece por los plazos de la ley: el doble de la mora cuando esta es menor a dos años, y máximo cuatro años desde el pago o la extinción de la obligación.
• Una vez pagada la obligación, se actualiza el reporte en un plazo máximo de 10 días calendario.
• La sociedad, como fuente de información, responde por la veracidad y actualización de lo que reporta.

La vinculación con un operador de información exige un contrato previo con la central de riesgo, que impone sus propias condiciones.

7. Autorización del titular

La sociedad obtiene la autorización previa, expresa e informada del titular a más tardar al momento de recolectar sus datos, y conserva prueba de ella.

Medios. La autorización puede otorgarse por escrito físico, formulario digital, correo electrónico, mensaje de datos, grabación de llamada o conductas inequívocas del titular. El silencio nunca se tomará como autorización.

Información que se entrega al titular al solicitarla:

1. El tratamiento y las finalidades concretas.
2. El carácter facultativo de responder preguntas sobre datos sensibles o de menores.
3. Sus derechos como titular.
4. La identificación, dirección y canales de contacto del responsable.

Autorizaciones separadas. Se piden de forma independiente: (a) el tratamiento general, (b) la consulta y reporte en centrales de riesgo, (c) los datos sensibles y (d) el envío de publicidad. Negar la autorización de publicidad no impide recibir el servicio.

Casos en que no se requiere autorización (artículo 10, Ley 1581 de 2012): información requerida por autoridad en ejercicio de sus funciones, datos de naturaleza pública, urgencias médicas o sanitarias, fines históricos, estadísticos o científicos autorizados por ley, y datos del Registro Civil.

Prueba. El custodio de cada base de datos archiva las autorizaciones, físicas o digitales, mientras dure el tratamiento y por el tiempo de conservación de los datos.

8. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos, incluidos los parciales, inexactos, incompletos o que induzcan a error.
2. Solicitar prueba de la autorización otorgada, salvo cuando no sea requerida.
3. Ser informado, previa solicitud, del uso dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio, una vez agotado el trámite de consulta o reclamo ante la sociedad.
5. Revocar la autorización o pedir la supresión de sus datos cuando no se respeten los principios, derechos y garantías legales.
6. Acceder gratuitamente a sus datos al menos una vez al mes y cada vez que la política cambie sustancialmente.

Límite a la supresión. La revocatoria o supresión no procede cuando el titular tiene un deber legal o contractual de permanecer en la base de datos, por ejemplo mientras exista una obligación crediticia vigente, o mientras corran los plazos legales de conservación contable, tributaria o laboral.

Legitimados. Pueden ejercer estos derechos el titular, sus causahabientes, su representante o apoderado, y quien estipule a favor de otro, acreditando su calidad.

9. Deberes del responsable y de los encargados

Como responsable, la sociedad cumple los deberes del artículo 17 de la Ley 1581 de 2012, entre ellos:

• Garantizar al titular el pleno ejercicio del hábeas data.
• Solicitar y conservar copia de la autorización.
• Informar al titular la finalidad de la recolección y sus derechos.
• Conservar la información con seguridad suficiente y mantenerla veraz y actualizada.
• Suministrar a los encargados solo datos autorizados y exigirles condiciones de seguridad.
• Tramitar consultas y reclamos en los términos de esta política.
• Informar a la SIC las violaciones a los códigos de seguridad y los riesgos en la administración de la información, dentro de los 15 días hábiles siguientes a su detección.
• Cumplir las instrucciones de la SIC.

Encargados. Los proveedores que traten datos por cuenta de la sociedad (software contable y de nómina, almacenamiento en la nube, correo y mensajería, cobranza externa, centrales de riesgo en su rol de encargado) deben firmar un contrato o cláusula de transmisión que los obligue a cumplir el artículo 18 de la Ley 1581 de 2012, tratar los datos solo según instrucciones, guardar confidencialidad y devolver o suprimir la información al terminar el servicio.

10. Roles y responsabilidades internas

La representante legal es la Oficial de Protección de Datos y responde por esta política; cada área custodia sus propias bases de datos.

Si el contador presta sus servicios como independiente, debe firmar la cláusula de transmisión del Anexo 4 y un acuerdo de confidencialidad. El reporte de información exógena a la DIAN no requiere autorización del titular, porque es un requerimiento legal de autoridad (artículo 10, Ley 1581 de 2012, y artículo 631 del Estatuto Tributario).

Reglas comunes a todo el personal:

• Firmar un acuerdo de confidencialidad al vincularse, vigente aun después del retiro.
• Acceder solo a los datos necesarios para su función.
• No descargar bases de datos en dispositivos personales ni enviarlas por canales no autorizados.
• Reportar de inmediato a la Oficial cualquier pérdida, robo o acceso indebido.
• Recibir capacitación en protección de datos al menos una vez al año.

11. Procedimiento de consultas y reclamos

Las consultas se responden en máximo 10 días hábiles y los reclamos en máximo 15 días hábiles, por el canal que elija el titular.

Canales de atención: correo servicioalcliente@impulsa.com.co, comunicación escrita en Carrera 42D1 No. 80A – 63, Apto 707, Barranquilla, y teléfono (605) 322 5918. La Oficial de Protección de Datos recibe y radica todas las solicitudes.

Requisitos del reclamo: identificación del titular, descripción de los hechos, dirección de notificación y documentos que quiera hacer valer.

Pasos del reclamo:

1. Se radica y, dentro de los 2 días hábiles siguientes, se marca en la base de datos con la leyenda “reclamo en trámite”.
2. Si está incompleto, se requiere al titular dentro de los 5 días siguientes para que lo complete; si no lo hace en 2 meses, se entiende desistido.
3. Si la sociedad no es competente, lo traslada a quien corresponda en máximo 2 días hábiles e informa al titular.
4. Se analiza, se corrige o suprime lo que proceda y se responde por escrito.
5. Si el reclamo involucra datos reportados a una central de riesgo, la sociedad informa al operador para que marque el reclamo y actualice el reporte.

Agotado este trámite, el titular puede acudir a la Superintendencia de Industria y Comercio.

12. Seguridad, transferencias, conservación, RNBD y vigencia

12.1 Medidas de seguridad

• Usuarios y contraseñas individuales, con acceso por perfil a cada base de datos.
• Copias de seguridad periódicas y cifrado de los equipos portátiles.
• Archivo físico bajo llave para pagarés, libranzas, hojas de vida y autorizaciones.
• Borrado seguro de dispositivos y destrucción de documentos al cumplir su plazo.
• Registro de incidentes y reporte a la SIC en 15 días hábiles cuando corresponda.

12.2 Transmisión y transferencia

La sociedad transfiere datos a bancos, cooperativas, fondos y pagadurías solo con autorización del titular y para tramitar su solicitud. Las transferencias internacionales solo se hacen a países con nivel adecuado de protección según la SIC o con las excepciones del artículo 26 de la Ley 1581 de 2012. El uso de servicios en la nube, de correo o de mensajería con servidores en el exterior es una transmisión y exige contrato o condiciones de servicio con el encargado.

12.3 Conservación

12.4 Registro Nacional de Bases de Datos (RNBD)

Según el Decreto 090 de 2018, deben registrar sus bases en el RNBD de la SIC las sociedades con activos totales superiores a 100.000 UVT. Con su capital actual la sociedad no está obligada, pero la Oficial verificará este umbral cada año con los estados financieros y hará el registro dentro de los plazos de la SIC si se supera.

12.5 Vigencia

Esta política rige desde su aprobación por la Asamblea General de Accionistas, mediante Acta No. 002 del 2 de octubre de 2026. Las bases de datos estarán vigentes mientras se cumplan las finalidades descritas y los plazos legales. Cualquier cambio sustancial se informará a los titulares antes de aplicarse, por correo o en la página web impulsa.com.co.

13. Anexos

Anexo 1 – Aviso de privacidad

IMPULSA FINANCIERA COLOMBIA S.A.S., NIT 902.112.046-1, con domicilio en Carrera 42D1 No. 80A – 63, Apto 707, Barranquilla, es responsable del tratamiento de sus datos personales. Sus datos se usarán para evaluar y tramitar solicitudes de crédito ante entidades aliadas, otorgar y administrar créditos propios y de libranza, consultar y reportar a centrales de riesgo, gestionar cobranza, cumplir obligaciones legales y, si usted lo autoriza, enviarle información comercial. Usted puede conocer, actualizar, rectificar y suprimir sus datos y revocar la autorización escribiendo a servicioalcliente@impulsa.com.co o llamando al (605) 322 5918. Las respuestas sobre datos sensibles son facultativas. Consulte la política completa en impulsa.com.co.

Anexo 2 – Autorización para clientes y solicitantes de crédito

Yo, ______________________________, identificado(a) con C.C. ________________, autorizo de manera previa, expresa e informada a IMPULSA FINANCIERA COLOMBIA S.A.S. para tratar mis datos personales conforme a su Política de Tratamiento de Datos, para las finalidades del numeral 5.1, incluida la remisión de mi solicitud y soportes a bancos, cooperativas, fondos y pagadurías.

☐ Autorizo consultar, reportar, procesar y divulgar mi información financiera, crediticia y comercial ante DataCrédito Experian, TransUnion y cualquier otro operador de información, en los términos de la Ley 1266 de 2008.

☐ Autorizo el tratamiento de mis datos biométricos (huella y fotografía) para verificar mi identidad. Sé que es un dato sensible y que no estoy obligado(a) a autorizarlo.

☐ Autorizo recibir información comercial y publicidad por correo, mensajes de texto, WhatsApp y llamadas.

Declaro conocer mis derechos y los canales para ejercerlos.

Firma: ______________________ Fecha: ______________ Huella: ☐

Anexo 3 – Autorización para trabajadores y aspirantes

Yo, ______________________________, identificado(a) con C.C. ________________, autorizo a IMPULSA FINANCIERA COLOMBIA S.A.S. para tratar mis datos personales y los de mis beneficiarios, para las finalidades del numeral 5.3: selección, contratación, nómina, seguridad social, SG-SST y certificaciones.

☐ Autorizo el tratamiento de mis datos de salud para fines del SG-SST e incapacidades. Sé que son datos sensibles y que no estoy obligado(a) a autorizarlos, salvo cuando la ley lo exija.

☐ Como aspirante no seleccionado, autorizo conservar mi hoja de vida para futuras vacantes.

Declaro que tengo autorización de las personas cuyos datos entrego como referencias o beneficiarios.

Firma: ______________________ Fecha: ______________

Anexo 4 – Cláusula de transmisión para encargados

El ENCARGADO tratará los datos personales que le entregue IMPULSA FINANCIERA COLOMBIA S.A.S. únicamente para ejecutar este contrato, según sus instrucciones y la Ley 1581 de 2012. Aplicará medidas de seguridad, guardará confidencialidad, no los usará para fines propios ni los compartirá con terceros, reportará cualquier incidente en máximo 48 horas y, al terminar el contrato, devolverá o suprimirá la información y lo certificará por escrito.