Política de Gestión de Proveedores

Última actualización: May 15, 2026

POLÍTICA DE GESTIÓN DE PROVEEDORES

Versión: CO-2026.10.02-VEND1

Fecha de vigencia: 2 de octubre de 2026

Responsable: DataCred Tech S.A.S.

NIT: 902112751-6

Propietario y fundador: Isacc Lara González

Contacto: app@datacred.org · +57 302 668 4956

Esta política establece criterios para seleccionar, aprobar, contratar, supervisar y retirar proveedores que puedan afectar datos, seguridad, pagos, IA, disponibilidad o cumplimiento.

Los proveedores se evalúan de acuerdo con su función, por ejemplo:

  • infraestructura;
  • base de datos;
  • almacenamiento;
  • IA;
  • pagos;
  • email;
  • SMS;
  • voz;
  • push;
  • seguridad;
  • soporte.

El nivel de diligencia debe aumentar cuando el proveedor trate datos sensibles, fondos o funciones críticas.

Antes de habilitar un proveedor material, DataCred debe considerar:

  • finalidad;
  • datos tratados;
  • ubicación;
  • rol de Responsable o Encargado;
  • subencargados;
  • seguridad;
  • autenticación;
  • cifrado;
  • retención;
  • eliminación;
  • incidentes;
  • continuidad;
  • exportación de datos;
  • dependencia;
  • términos contractuales;
  • capacidad de auditoría o evidencia.

La evaluación debe considerar además:

  • uso de prompts;
  • entrenamiento;
  • retención;
  • logs;
  • disponibilidad;
  • modelos;
  • filtros;
  • cambios de versión;
  • transferencias internacionales.

No se debe enviar PII innecesaria a un modelo únicamente porque técnicamente la acepte.

Para pagos se revisan:

  • tokenización;
  • webhooks;
  • firma;
  • idempotencia;
  • conciliación;
  • fraude;
  • refunds;
  • disponibilidad;
  • errores;
  • moneda;
  • responsabilidades contractuales.

Cuando un proveedor actúe como Encargado, el contrato debe incluir las obligaciones aplicables al tratamiento por cuenta de DataCred.

La regulación colombiana exige que el contrato de transmisión describa alcance, actividades y obligaciones del Encargado.

Si un proveedor actúa como Responsable independiente fuera de Colombia, DataCred debe evaluar las reglas de transferencia internacional aplicables.

No se debe asumir que toda comunicación a un proveedor extranjero es una transferencia: puede ser una transmisión si procesa por cuenta de DataCred.

Los proveedores deben recibir el mínimo acceso necesario.

Cuando sea posible:

  • credenciales separadas;
  • scopes limitados;
  • rotación;
  • expiración;
  • ambientes separados;
  • IP restrictions;
  • logs.

Un proveedor que utilice subencargados relevantes debe mantener obligaciones compatibles con las de DataCred.

DataCred puede requerir notificación o información sobre cambios materiales de subencargados.

Los contratos de proveedores críticos deben contemplar:

  • comunicación de incidentes;
  • información suficiente para evaluar impacto;
  • cooperación;
  • preservación de evidencia;
  • corrección;
  • eliminación o rotación de credenciales cuando corresponda.

DataCred puede reevaluar proveedores por:

  • incidente;
  • cambio contractual;
  • nueva jurisdicción;
  • nueva subcontratación;
  • cambio de modelo;
  • caída recurrente;
  • hallazgo de seguridad;
  • cambio de finalidad.

Al terminar una relación, DataCred debe evaluar:

  • revocación de credenciales;
  • eliminación o devolución de datos;
  • preservación legal;
  • migración;
  • dependencia residual;
  • backups;
  • cierre de webhooks;
  • secretos pendientes.

La Lista de Subprocesadores mantiene la información de proveedores materialmente integrados y se actualiza cuando corresponde.

Esta política se interpreta conforme a la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas colombianas aplicables.

DataCred Tech S.A.S.

NIT 902112751-6

Política de Gestión de Proveedores | DataCred