POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES

GRUPO EMPRESARIAL DEL EJE S.A.S. — GEMDE S.A.S.

Marcas y unidades de negocio cubiertas: AUTOS DE GARAJE y CREDICENTER

Control del documento
Versión	1.0
Fecha de expedición	14/07/2026
Fecha de entrada en vigencia	15/07/2026
Aprobada por	Representante Legal de GRUPO EMPRESARIAL DEL EJE S.A.S.
Responsable de su actualización	Oficial de Protección de Datos Personales

IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

Campo	Información
Razón social	GRUPO EMPRESARIAL DEL EJE S.A.S.
Sigla	GEMDE S.A.S.
NIT	900865678
Domicilio principal	Pereira, Risaralda, Colombia
Dirección de notificaciones	Carrera 15 # 19-27
Teléfono / WhatsApp de atención	3182823749
Correo para ejercicio de derechos	habeasdata@credicenter.co
Sitios web	www.credicenter.co · www.autosdegaraje.com
Marcas comerciales operadas	CREDICENTER · AUTOS DE GARAJE

TÍTULO I — OBJETO, ÁMBITO DE APLICACIÓN Y MARCO NORMATIVO

Artículo 1. Objeto

La presente Política de Tratamiento de Datos Personales (en adelante, la PTDP o la Política) tiene por objeto establecer los criterios, principios, procedimientos, finalidades, medidas de seguridad y mecanismos mediante los cuales GRUPO EMPRESARIAL DEL EJE S.A.S. (en adelante, GEMDE o la Compañía) recolecta, almacena, usa, circula, transmite, transfiere, actualiza, rectifica y suprime los datos personales de los cuales es Responsable o Encargado del Tratamiento.

Esta Política da cumplimiento a lo dispuesto en los artículos 17 y 18 de la Ley 1581 de 2012 y en la Sección 3 del Capítulo 25 del Decreto Único Reglamentario 1074 de 2015, y desarrolla adicionalmente las obligaciones que le corresponden a la Compañía como usuaria —y eventualmente como fuente— de información financiera, crediticia, comercial y de servicios, en los términos de la Ley 1266 de 2008.

Artículo 2. Ámbito de aplicación

La PTDP aplica a la totalidad de las bases de datos y archivos que contengan datos personales sometidos a Tratamiento por GEMDE, cualquiera sea el soporte —físico, digital, automatizado o manual— y cualquiera sea la marca o unidad de negocio a través de la cual se hubieren recolectado, incluyendo de manera expresa:

a) CREDICENTER, unidad de servicios financieros, diagnóstico de riesgo crediticio (DIRF), fortalecimiento de perfil financiero, rebancarización, acompañamiento en insolvencia económica y consulta en centrales de información.

b) AUTOS DE GARAJE, unidad de financiación de vehículos, intermediación comercial y asesoría financiera para la adquisición de automotores.

La Política vincula a los socios, administradores, representantes legales, empleados, contratistas, asesores comerciales, proveedores, aliados y en general a toda persona que, por cuenta o en nombre de GEMDE, acceda a datos personales bajo su responsabilidad.

Parágrafo. La existencia de dos marcas comerciales no implica dos responsables distintos. GEMDE S.A.S. es el único Responsable del Tratamiento frente al Titular y frente a las autoridades, con independencia de la marca a través de la cual se produjo la recolección.

Artículo 3. Marco normativo

Esta Política se sujeta y se interpreta conforme a:

Constitución Política de Colombia, artículos 15 y 20.
Ley 1266 de 2008 —hábeas data financiero, crediticio, comercial y de servicios— modificada por la Ley 2157 de 2021.
Ley 1581 de 2012 —régimen general de protección de datos personales—.
Decreto Único Reglamentario 1074 de 2015, Capítulos 25 y 26 (que compiló el Decreto 1377 de 2013 y el Decreto 886 de 2014).
Circular Externa 002 del 3 de noviembre de 2015 de la Superintendencia de Industria y Comercio y demás circulares que la modifiquen o adicionen.
Sentencias C-1011 de 2008 y C-748 de 2011 de la Corte Constitucional.
Ley 527 de 1999, sobre mensajes de datos, firma electrónica y valor probatorio de la información en medios electrónicos.
Ley 1273 de 2009, sobre protección de la información y de los datos.
Ley 1480 de 2011 —Estatuto del Consumidor—, en lo relativo a información y publicidad.
Las demás normas que las adicionen, modifiquen, sustituyan o reglamenten.

Parágrafo. Cuando concurran la Ley 1266 de 2008 y la Ley 1581 de 2012 sobre un mismo dato, se aplicará de manera preferente el régimen especial de la Ley 1266 respecto de la información financiera, crediticia, comercial y de servicios, y de manera supletiva el régimen general de la Ley 1581 en todo aquello no regulado por aquella.

Artículo 4. Definiciones

Para la correcta interpretación de esta Política se adoptan las siguientes definiciones, tomadas de los artículos 3 de la Ley 1581 de 2012, 3 de la Ley 1266 de 2008 y 2.2.2.25.1.3 del Decreto 1074 de 2015:

4.1. Autorización. Consentimiento previo, expreso, libre e informado del Titular para llevar a cabo el Tratamiento de sus datos personales.

4.2. Aviso de privacidad. Comunicación verbal o escrita dirigida al Titular, mediante la cual se le informa acerca de la existencia de esta PTDP, la forma de acceder a ella y las finalidades del Tratamiento.

4.3. Base de datos. Conjunto organizado de datos personales objeto de Tratamiento.

4.4. Central de información / Operador de información. Persona, entidad u organización que recibe de la fuente datos personales sobre varios Titulares, los administra y los pone en conocimiento de los usuarios bajo los parámetros de la Ley 1266 de 2008. Para efectos de esta Política, se entienden comprendidos DataCrédito Experian, TransUnion (antes CIFIN), Procrédito y cualquier otro operador debidamente habilitado.

4.5. Dato personal. Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

4.6. Dato público. Aquel que no sea semiprivado, privado o sensible. Son públicos, entre otros, los relativos al estado civil, a la profesión u oficio y a la calidad de comerciante o servidor público.

4.7. Dato semiprivado. Aquel que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo a su Titular sino a cierto sector o grupo de personas. Los datos de comportamiento financiero, crediticio y comercial tienen esta naturaleza.

4.8. Dato privado. Aquel que por su naturaleza íntima o reservada solo es relevante para el Titular.

4.9. Dato sensible. Aquel que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, datos relativos a la salud, a la vida sexual y reproductiva, y datos biométricos.

4.10. Encargado del Tratamiento. Persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.

4.11. Fuente de información. Persona, entidad u organización que recibe o conoce datos personales de los Titulares en virtud de una relación comercial o de servicio y que, en razón de autorización legal o del Titular, suministra esos datos a un operador de información.

4.12. Responsable del Tratamiento. Persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento. Para efectos de esta Política, GEMDE S.A.S.

4.13. Titular. Persona natural cuyos datos personales son objeto de Tratamiento.

4.14. Transferencia. Envío de datos personales por parte del Responsable o Encargado ubicado en Colombia a un receptor que a su vez es Responsable del Tratamiento, dentro o fuera del país.

4.15. Transmisión. Comunicación de datos personales dentro o fuera del territorio nacional cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable.

4.16. Tratamiento. Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.

4.17. Usuario de información. Persona, entidad u organización que, en los términos de la Ley 1266 de 2008, puede acceder a información personal de uno o varios Titulares suministrada por el operador o la fuente. GEMDE actúa principalmente en esta calidad.

4.18. Registro Nacional de Bases de Datos (RNBD). Directorio público de las bases de datos sujetas a Tratamiento que operan en el país, administrado por la Superintendencia de Industria y Comercio.

4.19. Incidente de seguridad. Violación de los códigos de seguridad o pérdida, robo, acceso no autorizado o divulgación indebida de la información administrada.

TÍTULO II — PRINCIPIOS RECTORES

Artículo 5. Principios aplicables

Todo Tratamiento realizado por GEMDE se rige por los principios del artículo 4 de la Ley 1581 de 2012 y del artículo 4 de la Ley 1266 de 2008, que se aplicarán de manera armónica e integral:

5.1. Legalidad. El Tratamiento es una actividad reglada que se sujeta a lo dispuesto en la ley y en las demás disposiciones que la desarrollen.

5.2. Finalidad. El Tratamiento obedece a finalidades legítimas, determinadas, explícitas e informadas al Titular. GEMDE no somete los datos a finalidades distintas de las autorizadas.

5.3. Libertad. El Tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular. Los datos no se obtienen ni divulgan sin autorización, salvo mandato legal o judicial que releve del consentimiento.

5.4. Veracidad o calidad. La información es veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

5.5. Transparencia. Se garantiza al Titular el derecho a obtener en cualquier momento y sin restricciones información acerca de la existencia de datos que le conciernan.

5.6. Acceso y circulación restringida. El Tratamiento se sujeta a los límites que derivan de la naturaleza del dato. Los datos personales, salvo la información pública, no estarán disponibles en internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable.

5.7. Seguridad. La información se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

5.8. Confidencialidad. Todas las personas que intervengan en el Tratamiento están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con la Compañía.

5.9. Caducidad del dato negativo. La información de carácter desfavorable no permanecerá indefinidamente en las bases de datos. Su permanencia se sujeta a los términos del artículo 13 de la Ley 1266 de 2008, modificado por la Ley 2157 de 2021.

5.10. Incorporación. Los datos favorables y desfavorables serán incorporados en igualdad de condiciones, sin privilegiar la información negativa.

5.11. Interpretación integral de derechos constitucionales. Esta Política se interpreta en el sentido que ampare el hábeas data, el buen nombre, la honra, la intimidad y el derecho a la información.

TÍTULO III — TITULARES, CATEGORÍAS DE DATOS Y BASES DE DATOS

Artículo 6. Categorías de Titulares

GEMDE trata datos personales de las siguientes categorías de Titulares:

a) Clientes y usuarios de CREDICENTER, personas naturales. b) Clientes y usuarios de AUTOS DE GARAJE, personas naturales. c) Prospectos, interesados y solicitantes que diligencian formularios web, formularios físicos o canales de mensajería. d) Personas naturales vinculadas a clientes personas jurídicas: representantes legales, socios, administradores, deudores solidarios y codeudores. e) Codeudores, avalistas y referencias personales, familiares y comerciales suministradas por los solicitantes. f) Empleados, ex empleados y aspirantes a vacantes. g) Proveedores, contratistas, aliados comerciales y sus colaboradores. h) Visitantes a las instalaciones de la Compañía.

Artículo 7. Categorías de datos tratados

7.1. Datos de identificación. Nombres, apellidos, tipo y número de documento, fecha y lugar de expedición del documento, estado civil, firma manuscrita o electrónica.

7.2. Datos de contacto. Dirección de residencia, ciudad, departamento, teléfono fijo, teléfono móvil, correo electrónico, identificador de WhatsApp.

7.3. Datos socioeconómicos y laborales. Ocupación o actividad económica, tipo de vinculación (empleado, independiente, pensionado), nivel de ingresos, antigüedad en la actividad, egresos, activos y pasivos declarados.

7.4. Datos financieros, crediticios, comerciales y de servicios. Historial de crédito, puntaje o score, obligaciones vigentes y extinguidas, comportamiento de pago, moras, reportes negativos, entidad reportante, antigüedad del reporte, paz y salvos, cupos y su utilización, capacidad de endeudamiento. Estos datos tienen naturaleza semiprivada y se sujetan al régimen especial del Título VI de esta Política.

7.5. Datos del vehículo y de la operación (Autos de Garaje). Placa, marca, línea, modelo, número de motor y chasis, valor comercial, cuota inicial, condiciones de financiación, garantías constituidas.

7.6. Datos de navegación y trazabilidad. Dirección IP, identificador de sesión, agente de usuario, fecha y hora de envío de formularios, marcas de tiempo de aceptación de cláusulas, cookies. Estos datos se recolectan de manera específica para acreditar la autorización, en los términos del artículo 15 de esta Política.

7.7. Grabaciones. Grabaciones de llamadas telefónicas de atención comercial y de servicio, y videovigilancia en las instalaciones.

7.8. Datos sensibles. GEMDE no requiere ni solicita datos sensibles para la prestación de sus servicios financieros y comerciales. Excepcionalmente podrá tratar datos biométricos derivados de videovigilancia y de mecanismos de validación de identidad, así como datos de salud en el marco de la gestión de seguridad y salud en el trabajo de sus empleados. En estos casos se aplicará lo dispuesto en el artículo 13 de esta Política.

Artículo 8. Prohibición relativa al Tratamiento de datos de niños, niñas y adolescentes

GEMDE no dirige sus servicios a menores de edad ni recolecta deliberadamente sus datos personales. Sus formularios web y físicos están destinados exclusivamente a personas mayores de dieciocho (18) años con capacidad legal para contratar.

En los casos excepcionales en que resulte necesario tratar datos de menores —por ejemplo, beneficiarios de empleados—, el Tratamiento se limitará a datos de naturaleza pública, responderá al interés superior del menor, asegurará el respeto de sus derechos fundamentales y se realizará previa autorización del representante legal, garantizando el derecho del menor a ser escuchado en atención a su madurez y capacidad de comprensión, conforme al artículo 7 de la Ley 1581 de 2012 y al artículo 2.2.2.25.2.9 del Decreto 1074 de 2015.

Si GEMDE advierte que ha recolectado datos de un menor de edad sin la autorización correspondiente, procederá a su supresión inmediata.

TÍTULO IV — FINALIDADES DEL TRATAMIENTO

Artículo 9. Finalidades generales

GEMDE trata datos personales exclusivamente para las finalidades enunciadas en este Título. Cualquier finalidad no comprendida aquí requerirá una autorización nueva y específica del Titular.

9.1. Finalidades comunes a ambas unidades de negocio:

a) Identificar y validar la identidad del Titular. b) Establecer, mantener, ejecutar y terminar la relación comercial o contractual. c) Contactar al Titular por cualquier canal —telefónico, correo electrónico, SMS, WhatsApp— para asuntos operativos derivados del servicio solicitado. d) Elaborar estudios de riesgo, análisis de capacidad de pago y perfilamiento financiero. e) Facturar, recaudar y gestionar la cartera. f) Atender consultas, peticiones, quejas, reclamos y solicitudes. g) Cumplir obligaciones legales, tributarias, contables y de reporte ante autoridades competentes. h) Prevenir el fraude, el lavado de activos y la financiación del terrorismo. i) Elaborar estadísticas, indicadores y análisis internos de gestión, preferentemente sobre información disociada o anonimizada. j) Conservar evidencia de la autorización otorgada y de las operaciones realizadas.

9.2. Finalidades específicas de CREDICENTER:

a) Consultar el historial crediticio, financiero, comercial y de servicios del Titular ante los operadores de información, con el fin de elaborar el Diagnóstico Integral de Riesgo Financiero (DIRF) y demás servicios contratados. b) Interpretar y analizar la información obtenida de los operadores, y entregar al Titular un informe con recomendaciones y ruta de acción. c) Estructurar y ejecutar planes de fortalecimiento de perfil financiero y de rebancarización. d) Acompañar y orientar al Titular en trámites de insolvencia económica de persona natural no comerciante y en gestiones ante fuentes de información. e) Cuando GEMDE actúe en calidad de fuente de información y previa autorización expresa y separada del Titular, reportar a los operadores el comportamiento de pago derivado de productos y servicios efectivamente contratados, en los términos del Título VI de esta Política. f) Conectar al Titular con entidades financieras, aliados y otorgantes de crédito, previa autorización expresa y separada para la transferencia de sus datos.

9.3. Finalidades específicas de AUTOS DE GARAJE:

a) Evaluar la viabilidad de la financiación de vehículos y estructurar la operación. b) Gestionar la vinculación del Titular ante entidades financiadoras, aseguradoras y aliados comerciales, previa autorización expresa y separada para la transferencia de sus datos. c) Adelantar los trámites de matrícula, traspaso, prenda, seguro obligatorio y demás gestiones asociadas a la transacción del vehículo. d) Gestionar garantías, avales y respaldos de la operación. e) Efectuar el seguimiento posventa del vehículo y de la obligación.

9.4. Finalidades de mercadeo y comunicaciones comerciales — OPCIONALES.

Previa autorización específica, separada y opcional del Titular, GEMDE podrá:

a) Enviar información comercial, promociones, ofertas, boletines y novedades sobre productos y servicios propios y de sus aliados. b) Realizar encuestas de satisfacción y estudios de mercado. c) Invitar a eventos, capacitaciones y actividades institucionales.

Parágrafo. De conformidad con el artículo 2.2.2.25.2.4 del Decreto 1074 de 2015, GEMDE no condiciona la prestación de ninguno de sus servicios a que el Titular autorice las finalidades de mercadeo. La negativa del Titular a autorizar estas finalidades no afecta en modo alguno el acceso a los servicios de CREDICENTER o de AUTOS DE GARAJE.

Artículo 10. Prohibiciones expresas

GEMDE se abstiene expresamente de:

a) Vender, arrendar, ceder o comercializar bases de datos personales a terceros bajo cualquier título. b) Utilizar los datos para finalidades distintas de las autorizadas. c) Consultar información en centrales de información sin autorización previa, expresa y verificable del Titular. d) Reportar información a operadores sin que exista una obligación real derivada de un producto o servicio efectivamente contratado, y sin el cumplimiento del deber de notificación previa. e) Ofrecer, prometer o insinuar la eliminación, borrado o modificación de reportes negativos legítimos que consten en las bases de datos de los operadores. f) Simular, fabricar o inducir la creación de historiales crediticios que no correspondan a operaciones reales.

TÍTULO V — AUTORIZACIÓN DEL TITULAR

Artículo 11. Requisitos de la autorización

Toda actividad de Tratamiento requiere autorización previa, expresa, libre e informada del Titular, salvo en los casos del artículo 14 de esta Política.

La autorización se entiende previa cuando se obtiene antes de iniciar cualquier operación sobre el dato; expresa cuando resulta de una manifestación inequívoca del Titular, sin que el silencio, la inacción o las casillas premarcadas puedan interpretarse como consentimiento; libre cuando no está condicionada a la obtención de un beneficio ni a la prestación de un servicio para finalidades no necesarias; e informada cuando el Titular ha tenido acceso efectivo, antes de otorgarla, al contenido de esta Política y al aviso de privacidad correspondiente.

Artículo 12. Autorización granular

Los mecanismos de captura de autorización de GEMDE separarán, en casillas independientes y no premarcadas, las siguientes autorizaciones:

Casilla	Contenido	Carácter
1	Tratamiento de datos personales para la prestación del servicio solicitado	Obligatoria
2	Consulta de información en centrales de información (Ley 1266 de 2008)	Obligatoria para servicios que la requieran
3	Transferencia de datos a entidades financieras y aliados otorgantes de crédito	Opcional
4	Reporte de comportamiento de pago a operadores de información, cuando GEMDE actúe como fuente	Obligatoria solo respecto de productos que generen obligación reportable
5	Envío de comunicaciones comerciales y de mercadeo	Opcional

Ningún servicio se negará por la falta de marcación de las casillas identificadas como opcionales.

Artículo 13. Autorización para datos sensibles

Cuando excepcionalmente se requiera tratar datos sensibles, GEMDE informará al Titular, de manera previa y expresa: (i) que se trata de datos sensibles; (ii) cuál es la finalidad específica; y (iii) que no está obligado a autorizar su Tratamiento. Ninguna actividad de GEMDE se condicionará a que el Titular suministre datos sensibles.

Artículo 14. Casos en que no se requiere autorización

Conforme al artículo 10 de la Ley 1581 de 2012, la autorización no será necesaria cuando se trate de:

a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales, o por orden judicial. b) Datos de naturaleza pública. c) Casos de urgencia médica o sanitaria. d) Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos. e) Datos relacionados con el Registro Civil de las Personas.

En estos eventos, GEMDE conservará el soporte que acredite la causal invocada.

Artículo 15. Prueba de la autorización — mecanismo probatorio reforzado

En cumplimiento del literal b) del artículo 17 de la Ley 1581 de 2012 y del artículo 2.2.2.25.2.5 del Decreto 1074 de 2015, GEMDE conservará prueba de la autorización otorgada por cada Titular, por cualquier medio idóneo que permita su consulta posterior.

15.1. Autorización en canales digitales. Cuando la autorización se otorgue mediante formularios web, GEMDE registrará y conservará en base de datos —no únicamente en correo electrónico— los siguientes campos por cada envío:

a) Identificación del Titular declarada en el formulario. b) Fecha y hora del envío, tomadas del reloj del servidor, con zona horaria. c) Dirección IP de origen. d) Agente de usuario del navegador. e) URL del formulario y de la página de origen. f) Identificador de la versión del texto de autorización aceptado (consent_version). g) Texto íntegro de la cláusula aceptada, o su resumen criptográfico (hash SHA-256) contra el repositorio de versiones. h) Estado individual de cada casilla de autorización (marcada / no marcada). i) Resultado y hora de la validación de identidad de que trata el numeral 15.2.

15.2. Validación de identidad. Durante el envío de formulario que autoricen la consulta en centrales de información, GEMDE aplicará un mecanismo de verificación de identidad que consistente, como mínimo, en el envío de una notificación al correo electrónico declarado por el Titular, cuya validación quedará registrada. Este control tiene por objeto impedir que un tercero autorice, en nombre de otro, la consulta de su información crediticia.

15.3. Confirmación al Titular. Verificada la autorización, GEMDE remitirá automáticamente al correo electrónico del Titular una copia del texto autorizado, con la fecha y hora del otorgamiento y la indicación de los canales para ejercer sus derechos.

15.4. Repositorio de versiones. GEMDE mantendrá un repositorio histórico de todas las versiones del texto de autorización y de esta Política, con sus fechas de vigencia, de modo que en todo momento sea posible determinar cuál era el texto vigente al momento en que cada Titular otorgó su consentimiento.

15.5. Autorización en canales físicos y telefónicos. La autorización otorgada de forma presencial constará por escrito con firma del Titular. La otorgada telefónicamente se documentará mediante grabación de la llamada, previo aviso al Titular, conservando fecha, hora y número de origen.

15.6. Conservación. Los registros de autorización se conservarán durante toda la vigencia de la relación con el Titular y por diez (10) años más, contados desde su terminación, en concordancia con el término de conservación de papeles del comerciante previsto en el artículo 28 de la Ley 962 de 2005.

Artículo 16. Revocatoria de la autorización y supresión del dato

El Titular puede revocar en cualquier momento la autorización otorgada y solicitar la supresión de sus datos, mediante reclamo presentado por los canales del Título VIII de esta Política. La revocatoria puede ser total —respecto de todas las finalidades— o parcial —respecto de finalidades específicas, como las de mercadeo—.

GEMDE dará trámite a la solicitud dentro de los términos del artículo 30 de esta Política y, verificada su procedencia, cesará el Tratamiento respecto de las finalidades revocadas.

Parágrafo primero. La revocatoria y la supresión no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos, conforme al artículo 2.2.2.25.2.6 del Decreto 1074 de 2015. En tal caso, GEMDE informará al Titular la norma o cláusula que fundamenta la conservación y limitará el Tratamiento a lo estrictamente necesario para cumplir ese deber.

Parágrafo segundo. La revocatoria de la autorización no implica ni produce la eliminación de reportes de información financiera y crediticia legítimamente incorporados en las bases de datos de los operadores. La permanencia de esa información se rige por el régimen especial de la Ley 1266 de 2008 y es ajena a la voluntad de GEMDE.

Parágrafo tercero. Vencido el término para dar respuesta sin que GEMDE hubiere resuelto la solicitud, el Titular podrá acudir ante la Superintendencia de Industria y Comercio.

Nota: Este artículo corrige de manera deliberada la redacción de la política anterior de AUTOS DE GARAJE, que supeditaba la revocatoria a que la Superintendencia hubiere declarado previamente una infracción. Esa condición es contraria al numeral 5 del artículo 8 y al artículo 9 de la Ley 1581 de 2012 y se entiende no escrita.

TÍTULO VI — RÉGIMEN ESPECIAL DE HÁBEAS DATA FINANCIERO (LEY 1266 DE 2008)

Artículo 17. Calidad en que actúa GEMDE

Respecto de la información financiera, crediticia, comercial y de servicios, GEMDE actúa:

a) Como usuario de información, cuando consulta el historial de crédito de un Titular ante los operadores, previa autorización de este. b) Como fuente de información, únicamente respecto de aquellos productos o servicios propios que generen una obligación de pago a cargo del Titular y cuando exista contrato vigente con el respectivo operador que lo habilite para reportar.

GEMDE no es operador de información. No administra bases de datos crediticias de consulta pública ni tiene facultad alguna para modificar, corregir o eliminar la información que reposa en los operadores.

Artículo 18. Deberes de GEMDE como usuario de información

a) Consultar la información únicamente con la autorización previa, expresa y verificable del Titular, y exclusivamente para las finalidades autorizadas. b) Guardar reserva sobre la información obtenida y utilizarla solo para el análisis y los servicios contratados. c) Conservar la evidencia de la autorización con la que se realizó cada consulta, asociada al registro de la consulta efectuada. d) Informar al Titular, cuando este lo solicite, sobre el uso dado a su información. e) Abstenerse de realizar consultas masivas, exploratorias o no vinculadas a una solicitud concreta del Titular.

Artículo 19. Deberes de GEMDE como fuente de información

Cuando GEMDE reporte información a un operador, cumplirá los siguientes deberes previstos en el artículo 8 de la Ley 1266 de 2008:

a) Garantizar la calidad, veracidad, actualidad y verificabilidad de la información suministrada. b) Notificar previamente al Titular, con una antelación mínima de veinte (20) días calendario, la intención de reportar una obligación en mora, indicando expresamente que puede evitarlo mediante el pago o la normalización de la obligación. El reporte no se efectuará sin el cumplimiento previo y acreditable de este deber, conforme al artículo 12 de la Ley 1266 de 2008. c) Conservar la constancia del envío de la notificación previa y del canal utilizado. d) Reportar la extinción, el pago o la normalización de la obligación dentro de los términos legales. e) Atender y resolver los reclamos que los Titulares presenten sobre la información reportada, dentro de los términos legales, y solicitar al operador la marcación de “reclamo en trámite”. f) Actualizar y rectificar la información cuando advierta que es inexacta o incompleta, sin necesidad de requerimiento del Titular. g) Abstenerse de reportar obligaciones inexistentes, extinguidas, prescritas o cuya exigibilidad esté en discusión judicial, sin la anotación correspondiente.

Artículo 20. Permanencia y caducidad del dato negativo

La permanencia de la información negativa en las bases de datos de los operadores se sujeta a los términos del artículo 13 de la Ley 1266 de 2008, modificado por la Ley 2157 de 2021, y a las reglas transitorias que esta última hubiere establecido. GEMDE informará al Titular estas reglas de manera clara y no ofrecerá servicios que prometan alterarlas.

Artículo 21. Deber de información veraz sobre los servicios

En cumplimiento de la Ley 1480 de 2011 y del principio de veracidad, GEMDE se obliga a informar de manera clara, suficiente y verificable el alcance real de sus servicios de diagnóstico, fortalecimiento de perfil financiero y rebancarización, absteniéndose de utilizar expresiones que sugieran la eliminación de reportes legítimos, la limpieza de historiales o la obtención garantizada de aprobaciones crediticias.

TÍTULO VII — DERECHOS DE LOS TITULARES

Artículo 22. Derechos

De conformidad con el artículo 8 de la Ley 1581 de 2012 y el artículo 6 de la Ley 1266 de 2008, el Titular tiene derecho a:

a) Conocer los datos personales que sobre él reposen en las bases de datos de GEMDE, de forma gratuita, en los términos del artículo 30 de esta Política. b) Actualizar y rectificar sus datos frente a GEMDE, en especial cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o cuyo Tratamiento esté prohibido o no haya sido autorizado. c) Solicitar prueba de la autorización otorgada, salvo cuando la ley exceptúe este requisito. d) Ser informado, previa solicitud, respecto del uso que se ha dado a sus datos personales. e) Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley. f) Revocar la autorización y/o solicitar la supresión del dato, en los términos del artículo 16 de esta Política. g) Acceder de forma gratuita a sus datos personales objeto de Tratamiento. h) Oponerse al Tratamiento de sus datos para finalidades de mercadeo, y solicitar su exclusión de las bases de datos comerciales. i) Respecto de la información financiera y crediticia, conocer su historial, solicitar su rectificación ante la fuente o el operador, y ser notificado previamente antes de ser reportado negativamente.

Artículo 23. Legitimación para el ejercicio de los derechos

Conforme al artículo 2.2.2.25.4.1 del Decreto 1074 de 2015, los derechos podrán ser ejercidos por:

a) El Titular, quien deberá acreditar su identidad de manera suficiente. b) Sus causahabientes, quienes deberán acreditar tal calidad. c) El representante o apoderado del Titular, previa acreditación de la representación o el apoderamiento. d) Quien actúe por estipulación a favor de otro o para otro. e) Tratándose de menores de edad, únicamente sus representantes legales.

Artículo 24. Gratuidad

El ejercicio de los derechos previstos en este Título es gratuito. GEMDE no cobrará suma alguna por atender consultas, peticiones o reclamos relacionados con el Tratamiento de datos personales.

TÍTULO VIII — CANALES Y PROCEDIMIENTOS DE ATENCIÓN

Artículo 25. Área responsable

GEMDE designa al Oficial de Protección de Datos Personales como responsable de la atención de consultas, peticiones y reclamos, de la custodia del registro de autorizaciones, de la gestión de incidentes de seguridad y de la actualización del RNBD. La designación constará en acto interno del Representante Legal.

Artículo 26. Canales habilitados

Canal	Datos
Correo electrónico	habeasdata@credicenter.co
Correo alterno (Autos de Garaje)	info@autosdegaraje.com
Dirección física	Carrera 15 # 19-27, Pereira, Risaralda
Teléfono / WhatsApp	3182823749
Formulario web	https://credicenter.co/politica-privacidad/

Artículo 27. Contenido mínimo de la solicitud

La solicitud deberá contener: nombre completo e identificación del Titular; nombre completo e identificación del solicitante, si es distinto, con acreditación de su legitimación; descripción clara de los hechos y del derecho que se pretende ejercer; dirección física o electrónica para notificaciones; y los documentos que se pretendan hacer valer.

Si la solicitud está incompleta, GEMDE requerirá al interesado dentro de los cinco (5) días hábiles siguientes a su recepción para que subsane. Transcurridos dos (2) meses sin que el solicitante subsane, se entenderá que ha desistido.

Artículo 28. Trámite interno

Cuando la solicitud sea recibida por un área que carezca de competencia, esta la trasladará al Oficial de Protección de Datos Personales dentro de los dos (2) días hábiles siguientes e informará de ello al solicitante.

Artículo 29. Términos de respuesta

Tipo de solicitud	Término	Prórroga
Consulta (conocer información)	10 días hábiles	5 días hábiles adicionales, previa comunicación de los motivos
Petición o reclamo (actualizar, rectificar, suprimir, revocar)	15 días hábiles	8 días hábiles adicionales, previa comunicación de los motivos
Reclamo sobre información reportada a operadores (Ley 1266)	15 días hábiles	Conforme al régimen especial

Artículo 30. Marcación de reclamo en trámite

Recibido un reclamo relacionado con información financiera o crediticia reportada por GEMDE en calidad de fuente, la Compañía solicitará al operador correspondiente incluir la leyenda “reclamo en trámite” dentro de los dos (2) días hábiles siguientes, y su naturaleza, conforme al artículo 16 de la Ley 1266 de 2008.

Artículo 31. Requisito de procedibilidad

Conforme al artículo 16 de la Ley 1581 de 2012, la presentación previa de la consulta o el reclamo ante GEMDE es requisito de procedibilidad para acudir en queja ante la Superintendencia de Industria y Comercio.

TÍTULO IX — ENCARGADOS, TRANSMISIÓN Y TRANSFERENCIA

Artículo 32. Encargados del Tratamiento

GEMDE podrá encomendar el Tratamiento a terceros que actúen por su cuenta, tales como proveedores de alojamiento web, correo corporativo, CRM, mensajería, pasarelas de pago, contabilidad, nómina, mensajería instantánea y servicios de validación de identidad.

Toda relación con un Encargado se documentará mediante contrato de transmisión de datos personales que contenga, como mínimo: el alcance y la finalidad del Tratamiento; la obligación de actuar únicamente conforme a las instrucciones de GEMDE; el deber de confidencialidad; las medidas de seguridad exigidas; la prohibición de subcontratar sin autorización previa; el deber de notificar incidentes de seguridad sin dilación; y la obligación de devolver o suprimir la información al terminar la relación.

Artículo 33. Transferencia a terceros responsables

GEMDE podrá transferir datos personales, previa autorización expresa y separada del Titular, a:

a) Entidades financieras, compañías de financiamiento, cooperativas y demás otorgantes de crédito, con el fin de tramitar solicitudes de financiación. b) Compañías de seguros, para la contratación de pólizas asociadas a la operación. c) Aliados comerciales y concesionarios, en el marco de la operación de compraventa del vehículo. d) Operadores de información, en los términos del Título VI.

Cada uno de estos terceros actúa como Responsable independiente y aplica sus propias políticas de tratamiento, de lo cual se informa al Titular.

Artículo 34. Transferencia y transmisión internacional

GEMDE informa que algunos de sus Encargados prestan servicios de cómputo en la nube con infraestructura ubicada fuera de Colombia, lo que implica transmisión internacional de datos. En estos casos GEMDE:

a) Verificará que el país receptor cuente con niveles adecuados de protección conforme a los estándares fijados por la Superintendencia de Industria y Comercio, o b) Suscribirá con el Encargado un contrato de transmisión que incorpore las cláusulas exigidas por el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, o c) Obtendrá autorización expresa e inequívoca del Titular para la transferencia.

TÍTULO X — SEGURIDAD DE LA INFORMACIÓN

Artículo 35. Medidas de seguridad

GEMDE adopta medidas técnicas, humanas y administrativas razonables y proporcionales al riesgo, entre ellas:

35.1. Técnicas. Cifrado en tránsito mediante protocolo HTTPS/TLS en todos sus sitios web y formularios; cifrado en reposo de las bases de datos que contengan información financiera; control de acceso por roles y credenciales individuales e intransferibles; autenticación de doble factor en las cuentas de correo corporativo y en los paneles de administración de los sitios web; copias de respaldo periódicas con verificación de restauración; registro de auditoría de accesos y consultas; y actualización de las plataformas, incluido el gestor de contenidos WordPress, sus temas y complementos.

35.2. Administrativas. Suscripción de acuerdos de confidencialidad por parte de empleados, contratistas y asesores comerciales; asignación de perfiles de acceso conforme al principio de necesidad de conocer; procedimiento de bloqueo de accesos ante la desvinculación de personal; y capacitación periódica en protección de datos.

35.3. Físicas. Custodia bajo llave de los archivos físicos; control de ingreso a las áreas donde reposa información; y destrucción segura de documentos.

Artículo 36. Restricción del correo electrónico como repositorio

El correo electrónico constituye un canal de notificación, no un repositorio de información personal. La información recolectada a través de formularios web se almacenará en la base de datos de la Compañía con los controles del artículo 35, y las cuentas operativas —incluida centrales@credicenter.co— se depurarán periódicamente conforme al procedimiento interno que adopte el Oficial de Protección de Datos Personales.

Artículo 37. Gestión de incidentes de seguridad

Ante la ocurrencia de un incidente que comprometa datos personales, GEMDE:

a) Contendrá el incidente y preservará la evidencia. b) Evaluará el alcance, la naturaleza de los datos afectados y el número de Titulares comprometidos. c) Reportará el incidente a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes al momento en que lo detecte, a través del Registro Nacional de Bases de Datos, conforme a la Circular Externa 002 de 2015. d) Informará a los Titulares afectados cuando el incidente represente un riesgo para sus derechos. e) Documentará el incidente y las acciones correctivas en el registro interno de incidentes.

TÍTULO XI — CONSERVACIÓN Y SUPRESIÓN

Artículo 38. Términos de conservación

Categoría de información	Término de conservación
Registros de autorización y evidencia probatoria	Vigencia de la relación + 10 años
Expedientes de clientes con relación contractual	Vigencia de la relación + 10 años (art. 28, Ley 962 de 2005)
Información de prospectos que no concretaron servicio	2 años desde el último contacto, salvo revocatoria anterior
Informes DIRF y análisis crediticios entregados	Vigencia de la relación + 5 años
Grabaciones de llamadas de atención	6 meses, salvo que sirvan de soporte de una operación
Videovigilancia	30 días, salvo requerimiento de autoridad
Datos con finalidad de mercadeo	Hasta la revocatoria del Titular
Hojas de vida de aspirantes no seleccionados	1 año, previa información al aspirante

Vencidos los términos, la información será suprimida de manera segura o anonimizada de forma irreversible.

TÍTULO XII — REGISTRO NACIONAL DE BASES DE DATOS

Artículo 39. Obligación de inscripción

GEMDE, en su calidad de sociedad comercial responsable del Tratamiento, inscribirá sus bases de datos en el Registro Nacional de Bases de Datos administrado por la Superintendencia de Industria y Comercio, siempre que se encuentre dentro de los sujetos obligados conforme a los criterios de activos totales fijados por la normativa vigente. La verificación de esta obligación se realizará anualmente por el Oficial de Protección de Datos Personales.

Artículo 40. Información a registrar

La inscripción incluirá, conforme al artículo 2.2.2.26.2.1 del Decreto 1074 de 2015 y a la Circular Externa 002 de 2015: datos de identificación, ubicación y contacto del Responsable y de los Encargados; canales para el ejercicio de derechos; forma de Tratamiento; esta PTDP; la información almacenada en cada base; las medidas de seguridad adoptadas; la procedencia de los datos; las transferencias y transmisiones internacionales; y el reporte semestral de reclamos e incidentes.

Artículo 41. Actualización

La información inscrita se actualizará: dentro de los primeros diez (10) días hábiles de cada mes cuando se produzcan cambios sustanciales; anualmente entre el 2 de enero y el 31 de marzo; y dentro de los primeros quince (15) días hábiles de febrero y agosto de cada año en lo relativo al reporte de reclamos.

TÍTULO XIII — DEBERES DE GEMDE Y RÉGIMEN INTERNO

Artículo 42. Deberes del Responsable

GEMDE reconoce y asume los deberes del artículo 17 de la Ley 1581 de 2012, en particular: garantizar al Titular el ejercicio pleno de sus derechos; solicitar y conservar copia de la autorización; informar debidamente la finalidad y los derechos; conservar la información bajo condiciones de seguridad; garantizar que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible; actualizar y rectificar la información; tramitar consultas y reclamos en los términos legales; informar al Encargado cuando determinada información se encuentre en discusión; informar a solicitud del Titular sobre el uso dado a sus datos; informar a la autoridad las violaciones a los códigos de seguridad; y cumplir las instrucciones que imparta la Superintendencia de Industria y Comercio.

Artículo 43. Régimen disciplinario interno

El incumplimiento de esta Política por parte de empleados, contratistas o asesores comerciales constituye falta grave y dará lugar a las sanciones disciplinarias y contractuales que correspondan, sin perjuicio de las acciones legales pertinentes.

Artículo 44. Capacitación

GEMDE capacitará al menos una vez al año a todo el personal que intervenga en el Tratamiento de datos personales, con énfasis en el personal comercial de CREDICENTER y AUTOS DE GARAJE que gestiona formularios y consultas en centrales de información. Se conservará constancia de las capacitaciones.

TÍTULO XIV — VIGENCIA Y CONTROL DE VERSIONES

Artículo 45. Vigencia de la Política

La presente PTDP rige a partir del [DILIGENCIAR: fecha] y permanecerá vigente de manera indefinida hasta que sea modificada o sustituida.

Artículo 46. Vigencia de las bases de datos

Las bases de datos de GEMDE permanecerán vigentes mientras subsistan las finalidades que justificaron su recolección y los términos de conservación del artículo 38, sin perjuicio del derecho del Titular a revocar la autorización.

Artículo 47. Modificaciones

GEMDE podrá modificar esta Política cuando cambien las actividades o finalidades del Tratamiento, o cuando los cambios normativos lo justifiquen. Toda modificación sustancial será comunicada a los Titulares antes de su entrada en vigencia, a través de los canales ordinarios de interacción y mediante publicación en los sitios web de la Compañía, con indicación de la fecha de la nueva versión.

Las modificaciones que impliquen cambios en la finalidad del Tratamiento requerirán una nueva autorización del Titular.

Artículo 48. Control de versiones

Versión	Fecha	Cambios	Aprobó
1.0	16/08/2026	Expedición inicial. Unifica el tratamiento de datos de las marcas CREDICENTER y AUTOS DE GARAJE bajo GEMDE S.A.S. Sustituye la política de AUTOS DE GARAJE vigente desde el 1 de octubre de 2016.	Representante Legal

Artículo 49. Publicación

Esta Política se publicará de manera permanente, gratuita y accesible en:

https://credicenter.co/politica-de-tratamiento-de-datos-personales/
https://autosdegaraje.com/politica-de-tratamiento-de-datos-personales/

Ambos sitios incluirán el enlace en el pie de página de todas sus vistas y en cada formulario de captura de datos. El enlace deberá abrir el documento sin requerir registro previo ni descarga obligatoria.

ANEXOS

ANEXO 1 — AVISO DE PRIVACIDAD (VERSIÓN CORTA)

GRUPO EMPRESARIAL DEL EJE S.A.S. NIT 900865678, domiciliada en Pereira, Risaralda, operadora de las marcas CREDICENTER y AUTOS DE GARAJE, es responsable del tratamiento de sus datos personales. Los utilizamos para prestarle el servicio que solicita, evaluar su perfil financiero, contactarlo por asuntos operativos y cumplir obligaciones legales. Usted puede conocer, actualizar y rectificar sus datos, solicitar prueba de su autorización, ser informado del uso que les damos, revocar la autorización, solicitar su supresión y presentar quejas ante la Superintendencia de Industria y Comercio. Para ejercer estos derechos escriba a habeasdata@credicenter.co. Consulte nuestra Política de Tratamiento de Datos Personales en https://credicenter.co/politica-privacidad/

ANEXO 2 — CLÁUSULA DE AUTORIZACIÓN: CONSULTA EN CENTRALES (CREDICENTER)

Casilla 1 — obligatoria, no premarcada

Autorizo de manera previa, expresa e informada a GRUPO EMPRESARIAL DEL EJE S.A.S., NIT 900865678, domiciliada en Pereira, Risaralda, para recolectar, almacenar, usar, circular, actualizar y suprimir mis datos personales conforme a la Ley 1581 de 2012 y a su Política de Tratamiento de Datos Personales, con las siguientes finalidades: (i) prestar el servicio que solicito; (ii) validar mi identidad; (iii) evaluar mi perfil y capacidad financiera; (iv) contactarme por asuntos operativos del servicio; y (v) cumplir obligaciones legales.

Autorizo igualmente, en los términos de la Ley 1266 de 2008, a consultar, solicitar y procesar la información relacionada con mi comportamiento crediticio, financiero, comercial y de servicios ante DataCrédito Experian, TransUnion (CIFIN).

Declaro conocer que puedo revocar esta autorización y solicitar la supresión de mis datos escribiendo a habeasdata@credicenter.co, y que tengo derecho a conocer, actualizar y rectificar mis datos, solicitar prueba de esta autorización, ser informado del uso que se les da y presentar quejas ante la Superintendencia de Industria y Comercio.

Casilla 2 — opcional, no premarcada

Autorizo el envío de información comercial, promociones y novedades de CREDICENTER y AUTOS DE GARAJE. Entiendo que puedo no marcar esta casilla sin que ello afecte la prestación del servicio.

ANEXO 3 — CLÁUSULA DE AUTORIZACIÓN: FORMULARIO DIRF

Casilla 1 — obligatoria, no premarcada

[Idéntica a la Casilla 1 del Anexo 2, agregando en las finalidades: “(vi) elaborar el Diagnóstico Integral de Riesgo Financiero (DIRF) y entregarme el informe con las recomendaciones correspondientes”.]

Casilla 2 — obligatoria, no premarcada

Declaro bajo la gravedad del juramento que la información suministrada en este formulario es veraz, completa y verificable, y entiendo que la exactitud del diagnóstico depende de ella.

Casilla 3 — opcional, no premarcada

Autorizo a GRUPO EMPRESARIAL DEL EJE S.A.S. a transferir mis datos personales y el resultado de mi diagnóstico a entidades financieras, compañías de financiamiento y aliados otorgantes de crédito, con el fin de que evalúen y me presenten alternativas de financiación. Entiendo que estas entidades actuarán como responsables independientes bajo sus propias políticas.

Casilla 4 — opcional, no premarcada

[Autorización de mercadeo, idéntica a la Casilla 2 del Anexo 2.]

ANEXO 4 — CLÁUSULA DE AUTORIZACIÓN: AUTOS DE GARAJE

Casilla 1 — obligatoria, no premarcada

[Casilla 1 del Anexo 2, sustituyendo las finalidades (i) a (v) por: “(i) evaluar la viabilidad de la financiación del vehículo que solicito; (ii) validar mi identidad; (iii) estructurar la operación de compraventa y financiación; (iv) adelantar los trámites de matrícula, traspaso, prenda y seguros asociados; (v) contactarme por asuntos operativos; y (vi) cumplir obligaciones legales”.]

Casilla 2 — obligatoria cuando se tramite financiación, no premarcada

Autorizo a GRUPO EMPRESARIAL DEL EJE S.A.S. a transferir mis datos personales a entidades financieras, compañías de financiamiento y aseguradoras, con el fin de tramitar mi solicitud de crédito y las pólizas asociadas al vehículo.

Casilla 3 — opcional, no premarcada

[Autorización de mercadeo.]

ANEXO 5 — AVISO PARA GRABACIÓN DE LLAMADAS Y ATENCIÓN POR WHATSAPP

Esta llamada puede ser grabada por GRUPO EMPRESARIAL DEL EJE S.A.S. con fines de calidad, seguridad y soporte de la operación. Al continuar, usted autoriza el tratamiento de sus datos personales conforme a nuestra Política, disponible en [URL]. Para ejercer sus derechos escriba a habeasdata@credicenter.co.

ANEXO 6 — CAMPOS MÍNIMOS DEL REGISTRO DE EVIDENCIA DE AUTORIZACIÓN

Estructura sugerida para la tabla que debe implementarse en el sitio web:

Campo	Tipo	Descripción
`id`	entero	Identificador único del registro
`formulario`	texto	Identificación del formulario (dirf, centrales, autos)
`nombres`, `apellidos`	texto	Datos declarados por el Titular
`tipo_documento`, `numero_documento`	texto	Identificación declarada
`email`, `telefono`	texto	Canales de contacto
`fecha_hora_servidor`	datetime	Marca de tiempo del servidor con zona horaria
`ip_origen`	texto	Dirección IP del remitente
`user_agent`	texto	Agente de usuario del navegador
`url_formulario`	texto	URL exacta del formulario
`consent_version`	texto	Versión del texto de autorización vigente
`consent_hash`	texto	Hash SHA-256 del texto aceptado
`casilla_tratamiento`	booleano	Estado de la casilla obligatoria
`casilla_centrales`	booleano	Estado de la casilla de consulta en centrales
`casilla_transferencia`	booleano	Estado de la casilla de transferencia a aliados
`casilla_mercadeo`	booleano	Estado de la casilla opcional de mercadeo
`otp_verificado`	booleano	Resultado de la validación de identidad
`otp_fecha_hora`	datetime	Momento de la validación
`canal_otp`	texto	sms / email
`confirmacion_enviada`	booleano	Envío del correo de confirmación al Titular

ANEXO 7 — TAREAS DE IMPLEMENTACIÓN PENDIENTES

Esta Política produce plenos efectos solo cuando se ejecuten las siguientes acciones:

Diligenciar el NIT, la dirección y los teléfonos en el encabezado y en el artículo 26.
Crear la cuenta habeasdata@credicenter.co y designar por escrito al Oficial de Protección de Datos Personales.
Publicar la Política en ambos sitios web y corregir el enlace roto del pie de página de credicenter.co.
Reemplazar los textos de autorización actuales por los de los Anexos 2, 3 y 4, eliminando el término “irrevocable”.
Implementar la tabla de evidencia del Anexo 6 y el mecanismo OTP.
Configurar el correo de confirmación automático al Titular.
Suscribir acuerdos de confidencialidad con el personal y contratos de transmisión con los Encargados.
Verificar la obligación de inscripción en el RNBD y, de ser procedente, realizarla.
Habilitar el doble factor de autenticación en el correo corporativo y en el panel de WordPress.
Someter este documento a revisión de abogado especializado en protección de datos antes de su expedición formal.

Documento elaborado como insumo técnico de cumplimiento. Requiere revisión y validación jurídica antes de su adopción formal.