Política Integral de Tratamiento de Datos Personales

1. Identificación del Responsable del Tratamiento

Responsable y titular de las bases de datos: CARDUM S.A.S., sociedad comercial identificada con NIT 902.109.507-4, matriculada en la Cámara de Comercio de Bogotá con matrícula mercantil No. 04158667 (24 de septiembre de 2026).
Representantes legales: Oscar Mario Botero (C.C. 80.872.790), Representante Legal, y Juliana Gracia Suarez (C.C. 1.020.743.992), Representante Legal Suplente.
Domicilio: Calle 134 # 7-83, Bogotá D.C., Colombia.
Correo para protección de datos personales: cardumbg@gmail.com
Sitio web: WWW.CARDUM.CO

2. Marco normativo y objeto

La presente Política se adopta de conformidad con la Constitución Política de Colombia, la Ley 1581 de 2012, el Decreto 1074 de 2015 y las demás disposiciones que las modifiquen, adicionen, sustituyan o reglamenten.

Su objeto es informar a los titulares las reglas bajo las cuales CARDUM recolecta, almacena, usa, organiza, consulta, actualiza, circula, transmite, transfiere y, cuando corresponda, suprime datos personales, así como los mecanismos para ejercer los derechos de hábeas data.

Como fundamento normativo principal, esta Política se apoya, entre otras, en las siguientes fuentes:

• Ley 1581 de 2012: establece los principios, los deberes del responsable y del encargado, el régimen de autorización y los derechos de los titulares.
• Decreto Único Reglamentario 1074 de 2015 (que compila y reglamenta el Decreto 1377 de 2013): define el contenido mínimo de las políticas y avisos de privacidad, los contratos con encargados, las transferencias de datos y la obligación de demostrar cumplimiento.
• Principio de responsabilidad demostrada (accountability) y los lineamientos de privacidad desde el diseño y por defecto, incluyendo las referencias aplicables sobre oficiales o responsables de protección de datos en el sector digital (Decreto 1078 de 2015 y guías prudenciales relacionadas).
• Circulares, conceptos y resoluciones de la Superintendencia de Industria y Comercio, que exigen evidencia de cumplimiento, medidas de seguridad y procedimientos documentados, incluyendo pronunciamientos y decisiones administrativas que imponen sanciones y solicitan documentación probatoria.

3. Alcance

Esta Política aplica a los datos personales tratados por CARDUM respecto de propietarios o potenciales vendedores de vehículos, compradores profesionales o retomadores, representantes y colaboradores de aseguradoras, brokers, corredores de seguros, bancos, compañías de leasing o renting, aliados comerciales, proveedores y demás personas naturales que interactúen con la plataforma o sus canales.

CARDUM no pretende recolectar información que no sea razonablemente necesaria para la finalidad correspondiente. La información relativa al vehículo se tratará conjuntamente con los datos del titular cuando permita identificarlo o asociarlo directa o indirectamente con una persona natural.

4. Definiciones

Para efectos de esta Política se aplicarán las definiciones previstas en la normativa colombiana, incluyendo:

• Autorización: consentimiento previo, expreso e informado del titular para realizar el tratamiento.
• Base de datos: conjunto organizado de datos personales objeto de tratamiento.
• Dato personal: información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato público: dato que no sea semiprivado, privado o sensible conforme a la ley.
• Dato sensible: información que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Encargado: persona natural o jurídica que realiza el tratamiento por cuenta del responsable.
• Responsable: persona natural o jurídica que decide sobre la base de datos y/o el tratamiento.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales, incluyendo recolección, almacenamiento, uso, circulación o supresión.

5. Principios aplicables

CARDUM aplicará, entre otros, los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. En consecuencia, los datos serán tratados para finalidades legítimas e informadas, con acceso limitado a personas autorizadas y bajo medidas razonables destinadas a prevenir pérdida, adulteración, consulta, uso o acceso no autorizado o fraudulento.

6. Datos que podrá recolectar CARDUM

Dependiendo de la interacción con la plataforma, CARDUM podrá tratar, entre otros:

• Datos de identificación y contacto: nombre, apellidos, tipo y número de identificación, teléfono, correo electrónico, ciudad y demás datos necesarios para identificar y contactar al titular.
• Información relacionada con el vehículo: placa, marca, línea, modelo, año, kilometraje, color, combustible, transmisión, estado documental, existencia de prendas o limitaciones y observaciones suministradas por el titular.
• Información del proceso comercial: fuente u origen del lead, aliado o campaña de origen, fecha de registro, estado del proceso, retomadores asignados, manifestaciones de interés, ofertas, valor final de venta, comisión, estado de recaudo y motivos de no conversión cuando sean conocidos.
• Datos de retomadores, aliados y proveedores: identificación, contacto, organización, rol, información contractual, comercial, operativa y de pagos que resulte necesaria.
• Información técnica y de interacción: registros de acceso, trazabilidad de formularios, comunicaciones y demás información necesaria para seguridad, soporte, analítica y mejora del servicio, cuando corresponda.

En el MVP inicial, CARDUM no requiere al propietario cargar fotografías del vehículo como parte del formulario de captación. Si un retomador solicita fotografías o realiza un peritaje directamente con el propietario, dicha interacción técnica no será gestionada por CARDUM salvo que posteriormente se implemente expresamente una funcionalidad para ello.

7. Finalidades del tratamiento

CARDUM podrá tratar los datos personales para las siguientes finalidades:

• Registrar y gestionar la manifestación de interés de un propietario en vender su vehículo.
• Crear y administrar una ficha o expediente básico del vehículo y del proceso comercial.
• Verificar que la información requerida para operar el proceso esté completa y realizar contactos operativos.
• Clasificar, organizar y gestionar oportunidades comerciales.
• Poner a disposición de compradores profesionales o retomadores autorizados la información necesaria para que evalúen su interés en un vehículo y, cuando corresponda, facilitar el contacto con el propietario.
• Facilitar y hacer seguimiento al proceso de intermediación, incluyendo manifestaciones de interés, ofertas, cierre, valor de venta y recaudo de la comisión de CARDUM.
• Identificar el aliado, broker, aseguradora, entidad financiera u otro canal que originó el lead y gestionar las relaciones comerciales asociadas.
• Elaborar estadísticas, métricas, reportes, analítica de conversión y modelos de mejora del servicio, procurando utilizar información agregada o anonimizada cuando la identificación individual no sea necesaria.
• Conocer el comportamiento de los canales de adquisición, campañas y segmentos para optimizar la propuesta de valor y la estrategia comercial de CARDUM.
• Enviar comunicaciones relacionadas con el proceso solicitado por el titular, incluyendo seguimiento, novedades y soporte.
• Cuando exista autorización para ello, enviar información comercial, campañas, contenidos, novedades, encuestas o invitaciones relacionadas con CARDUM y sus servicios.
• Atender consultas, peticiones, reclamos, solicitudes de actualización, rectificación, supresión o revocatoria.
• Cumplir obligaciones legales, contables, tributarias, contractuales, regulatorias, de prevención de fraude y requerimientos de autoridades competentes.
• Proteger la seguridad de la plataforma, sus usuarios, bases de datos y operaciones.
• Gestionar relaciones con retomadores, aliados, proveedores y demás terceros vinculados a la operación.

CARDUM no utilizará los datos para finalidades materialmente incompatibles con aquellas informadas al titular sin obtener la autorización correspondiente cuando esta sea exigible.

8. Circulación y acceso a la información

CARDUM aplicará un criterio de circulación restringida y de necesidad de conocimiento. Los datos personales no serán puestos a disposición indiscriminada del público.

La información podrá ser conocida, en la medida necesaria para la finalidad autorizada, por: (i) personal y operadores autorizados de CARDUM; (ii) retomadores o compradores profesionales que participen en el proceso; (iii) aseguradoras, brokers, corredores, bancos, compañías de leasing o renting y otros aliados vinculados al origen o gestión de la oportunidad, cuando corresponda; (iv) proveedores tecnológicos, de alojamiento, mensajería, analítica, soporte, CRM u otros encargados necesarios para operar el servicio; y (v) autoridades cuando exista deber legal o requerimiento válido.

CARDUM procurará que cada tercero reciba únicamente la información necesaria para cumplir su función y adoptará medidas contractuales, organizacionales o técnicas razonables para proteger su confidencialidad y uso autorizado.

9. Autorización y prueba de la autorización

Cuando la ley exija autorización, CARDUM la obtendrá de manera previa, expresa e informada por medios físicos, electrónicos, digitales o cualquier mecanismo que permita su consulta posterior.

La autorización deberá informar de forma clara las finalidades esenciales del tratamiento, los derechos del titular y la forma de consultar la Política. CARDUM conservará evidencia razonable de las autorizaciones obtenidas.

La aceptación de términos y condiciones y la autorización para tratamiento de datos deberán presentarse de manera suficientemente clara. Cuando se soliciten finalidades comerciales adicionales o datos sensibles, se procurará una manifestación específica cuando jurídicamente corresponda.

Registro de autorizaciones: CARDUM registrará y conservará la autorización del titular mediante: (i) versión del aviso/política aceptada; (ii) fecha y hora; (iii) medio de consentimiento (web/app/presencial); (iv) identificador único (token/IP) y (v) copia del aviso visible al titular. Esta evidencia se conservará mientras subsista la base de datos y de conformidad con la legislación aplicable.

10. Datos sensibles y datos de niños, niñas y adolescentes

CARDUM no tiene como finalidad ordinaria recolectar datos sensibles. Si excepcionalmente fueran necesarios, informará al titular el carácter facultativo de suministrarlos, explicará la finalidad específica y obtendrá la autorización expresa exigida por la normativa.

CARDUM tampoco dirige su servicio a niños, niñas o adolescentes. Si llegara a tratar datos de menores, observará las reglas especiales aplicables, el interés superior del menor y sus derechos prevalentes.

11. Derechos de los titulares

El titular podrá, en los términos de la ley:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización, salvo las excepciones legales.
• Ser informado sobre el uso dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado, cuando sea exigible, el trámite de consulta o reclamo ante CARDUM.
• Revocar la autorización y/o solicitar la supresión del dato cuando proceda.
• Acceder gratuitamente a sus datos personales objeto de tratamiento.

La revocatoria o supresión no procederá cuando exista un deber legal o contractual que exija conservar determinada información.

12. Consultas, reclamos, actualización, rectificación, supresión y revocatoria

Las solicitudes podrán presentarse al correo cardumbg@gmail.com e incluir, como mínimo, identificación del titular, descripción de la solicitud, datos de contacto para recibir respuesta y los documentos o elementos que resulten pertinentes.

Las consultas y reclamos serán atendidos dentro de los términos establecidos por la Ley 1581 de 2012 y las normas que la reglamenten. Si la solicitud está incompleta, CARDUM podrá requerir la información necesaria para tramitarla.

Cuando sea procedente, CARDUM actualizará, rectificará, suprimirá la información o registrará la revocatoria solicitada, sin perjuicio de la información que deba conservar por obligación legal o contractual.

13. Seguridad y confidencialidad

CARDUM adoptará medidas administrativas, técnicas y organizacionales razonables y proporcionales a la naturaleza de la información y a la etapa tecnológica del proyecto, destinadas a proteger los datos contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

El acceso interno se limitará a quienes requieran la información para el desarrollo de sus funciones. Los colaboradores, proveedores y encargados que tengan acceso a datos personales deberán respetar obligaciones de confidencialidad y seguridad.

Ningún sistema es absolutamente infalible; por ello, CARDUM revisará y ajustará progresivamente sus controles de seguridad conforme evolucione la plataforma.

14. Gestión de incidentes de seguridad

Ante una violación de seguridad, CARDUM activará el Plan de Respuesta a Incidentes: (i) contención inmediata; (ii) evaluación del riesgo; (iii) notificación interna; (iv) comunicación a la autoridad y titulares cuando proceda; (v) medidas correctivas y registro documental de todas las actuaciones.

15. Encargados, transmisiones y transferencias

CARDUM podrá contratar proveedores o utilizar servicios tecnológicos que actúen como encargados del tratamiento, incluyendo herramientas de formularios, hojas de cálculo, alojamiento, correo, mensajería, automatización, analítica, CRM y almacenamiento en la nube.

Cuando corresponda, CARDUM impartirá instrucciones para que los encargados traten los datos conforme a las finalidades autorizadas y adopten medidas de seguridad y confidencialidad.

Si el tratamiento implica transmisión o transferencia nacional o internacional de datos, CARDUM observará las reglas aplicables de la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas vigentes.

Cláusula mínima para contratos con encargados: el Encargado se obliga a tratar los datos por cuenta del Responsable conforme a las instrucciones escritas, a aplicar medidas de seguridad adecuadas, a no subcontratar sin autorización, a permitir auditorías y a devolver/suprimir los datos al término del contrato.

16. Analítica, segmentación y mejora del servicio

CARDUM podrá analizar información sobre origen de leads, características generales de los procesos, comportamiento de conversión, tipos de vehículos, canales y resultados con el fin de comprender el mercado, mejorar el servicio y optimizar estrategias comerciales.

Cuando resulte viable, estos análisis se realizarán con información agregada, estadística o anonimizada. Cualquier uso de bases de datos para audiencias publicitarias, segmentación o herramientas de terceros deberá respetar la autorización otorgada por los titulares, las finalidades informadas y las reglas aplicables de protección de datos.

17. Conservación de la información

Los datos personales serán conservados durante el tiempo razonablemente necesario para cumplir las finalidades autorizadas, gestionar la relación con el titular, atender obligaciones legales o contractuales y ejercer o defender derechos.

Cumplidas las finalidades y vencidos los términos legales o contractuales aplicables, CARDUM procederá a la supresión, eliminación segura o anonimización de la información, según corresponda.

18. Deberes de CARDUM como responsable

Sin perjuicio de los demás deberes legales, CARDUM procurará garantizar el ejercicio efectivo del hábeas data; solicitar y conservar prueba de la autorización cuando sea necesaria; informar las finalidades; mantener la información bajo condiciones razonables de seguridad; actualizar y rectificar oportunamente los datos; tramitar consultas y reclamos; exigir a sus encargados el cumplimiento de las reglas aplicables; y atender las instrucciones de la autoridad de protección de datos.

19. Medidas administrativas y operativas de implementación

Para asegurar la aplicación efectiva de esta Política, CARDUM implementará, entre otras, las siguientes medidas administrativas y operativas:

• Un registro centralizado y auditable de bases de datos y autorizaciones.
• Revisiones periódicas de esta Política (al menos anuales, o antes si se presentan cambios operativos o tecnológicos relevantes), identificadas mediante versiones numeradas y fechadas.
• Capacitación periódica a los colaboradores con acceso a datos personales, y acuerdos de confidencialidad actualizados con empleados y proveedores.

20. Cambios a la Política

CARDUM podrá modificar esta Política para adaptarla a cambios legales, regulatorios, tecnológicos, operativos o del modelo de negocio. Los cambios sustanciales que afecten las finalidades o condiciones relevantes del tratamiento serán informados por un medio razonable y, cuando legalmente sea necesario, se solicitará una nueva autorización.

21. Vigencia

La presente Política rige a partir del 24 de septiembre de 2026. Las bases de datos administradas por CARDUM tendrán la vigencia necesaria para cumplir las finalidades descritas y las obligaciones legales o contractuales aplicables.

22. Contacto

Para consultas, reclamos o ejercicio de derechos relacionados con datos personales:

CARDUM S.A.S. — NIT 902.109.507-4, responsable del tratamiento
Representantes legales: Oscar Mario Botero (Representante Legal) y Juliana Gracia Suarez (Representante Legal Suplente)
Correo: cardumbg@gmail.com
Domicilio: Calle 134 # 7-83, Bogotá D.C., Colombia
Sitio web: WWW.CARDUM.CO