1. Identificación del responsable
CÁRDENAS MAESTRE ABOGADOS S.A.S. (en adelante, CMA), NIT 900.733.203-9, tiene su domicilio en Bucaramanga, Colombia, y su dirección en la Calle 38 No. 35-06, Oficina 1, Bucaramanga. Teléfono: +57 607 697 8030. Correo electrónico: info@cardenasmaestre.com. Sitio web: www.cardenasmaestre.com.
La atención de peticiones, consultas y reclamos sobre datos personales está a cargo del Oficial de Protección de Datos Personales de CMA, a través de los canales indicados en el numeral 9.
Si CMA modifica su dirección, teléfono o correo electrónico, los datos vigentes serán los publicados en su sitio web y los registrados en su certificado de existencia y representación legal. El cambio de datos de contacto no modifica las finalidades ni las condiciones del tratamiento descritas en esta política.
2. Marco normativo y principios
El tratamiento de datos personales por parte de CMA se rige por el artículo 15 de la Constitución Política, la Ley Estatutaria 1581 de 2012, el Decreto 1074 de 2015 y, en lo pertinente a la información financiera, crediticia, comercial y de servicios, la Ley Estatutaria 1266 de 2008. La gestión de cobranza se sujeta a la Ley 2300 de 2023. Se aplican además las instrucciones de la Superintendencia de Industria y Comercio y las normas que modifiquen, adicionen o sustituyan las anteriores.
CMA observa los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Los datos se tratan solo para finalidades legítimas e informadas, y en la medida necesaria para cada una.
3. Definiciones
Para efectos de esta política se aplican las definiciones de la Ley 1581 de 2012 y sus normas reglamentarias. En particular:
Responsable del tratamiento: quien decide sobre la base de datos o el tratamiento.
Encargado del tratamiento: quien trata datos personales por cuenta del responsable.
Transmisión: comunicación de datos a un encargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.
Transferencia: envío de datos a un receptor que a su vez es responsable del tratamiento.
Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, incluidos los datos de salud y los biométricos.
4. Ámbito de aplicación y calidades en que actúa CMA
Esta política se aplica a los datos personales que CMA trata en actividades presenciales, telefónicas, documentales y digitales.
4.1. CMA como responsable
CMA es responsable del tratamiento cuando decide las finalidades y los medios aplicables a los datos de sus trabajadores, aspirantes, proveedores, clientes empresariales y sus contactos, visitantes, usuarios de sus canales propios, y en los casos previstos en los numerales 5.2, 5.3 y 5.8, literal c).
4.2. CMA como encargada
En la gestión de las carteras que le asignan sus clientes empresariales, CMA actúa como encargada del tratamiento, por cuenta y bajo las instrucciones del cliente, que es el responsable de esos datos. En esta calidad:
a) CMA trata los datos exclusivamente para las finalidades definidas por el responsable, conforme a sus instrucciones, a su política de tratamiento y al contrato que regule la relación.
b) La obtención y conservación de la autorización de los titulares corresponde al responsable, salvo que el contrato respectivo disponga otra cosa.
c) Los datos que CMA obtiene en ejecución de la gestión encomendada forman parte del encargo y siguen el régimen pactado con el respectivo responsable, sin perjuicio de lo previsto en los numerales 5.2 y 5.3.
d) Esta política establece estándares mínimos que CMA aplica en todo encargo. Cuando el contrato con el responsable establezca obligaciones más exigentes, prevalecen estas.
e) La identidad del responsable de una cartera se informa al titular en la gestión o al tramitar su solicitud.
f) Cuando una instrucción o la política del responsable resulten contrarias a la ley, CMA aplica la ley e informa de ello al responsable.
5. Titulares, datos y finalidades
5.1. Cartera asignada y representación judicial
Por instrucciones de sus clientes empresariales, CMA trata datos de deudores, codeudores, avalistas, deudores solidarios y demás personas vinculadas a las obligaciones asignadas: datos de identificación y contacto, información contractual y crediticia necesaria para la gestión, saldos y pagos informados por el cliente, acuerdos, garantías, soportes y registros de las interacciones.
Las finalidades son:
verificar la obligación y la identidad del interlocutor;
contactar al titular por los canales que haya autorizado;
atender sus solicitudes;
segmentar la cartera y definir las estrategias de gestión del encargo;
proponer, documentar y hacer seguimiento a alternativas de pago;
conciliar con el cliente responsable los resultados de la gestión;
preparar y adelantar el cobro judicial en los asuntos encomendados.
CMA no utiliza la información de las carteras asignadas para promocionar sus propios servicios.
Cuando así lo autorice o instruya el cliente responsable, y dentro del alcance de la autorización otorgada por el titular, CMA puede verificar y actualizar los datos de identificación, ubicación y contacto de los titulares, e identificar sus bienes, derechos y fuentes de ingreso para solicitar medidas cautelares en los procesos judiciales encomendados. Para ello consulta registros públicos y demás fuentes legítimas, y obtiene la información reservada mediante los mecanismos que prevé la ley. Los datos así obtenidos forman parte del encargo y solo se utilizan para las finalidades de la gestión y del proceso; los datos de contacto, solo por los canales que el titular haya autorizado.
5.2. Datos con autorización propia de CMA
Cuando el titular suministre datos de contacto a CMA y la autorice expresamente, CMA es responsable de esos datos y de su historial de contacto y de cumplimiento de acuerdos con CMA, para contactarle y definir la estrategia de gestión de las obligaciones a su cargo que le encomienden sus clientes. Esta autorización se solicita de forma separada, identifica los canales que el titular autoriza, es independiente de la que haya otorgado a cualquier acreedor y puede revocarse en cualquier momento. CMA no comunica a sus clientes información sobre la gestión de obligaciones del titular con otros clientes.
5.3. Registros propios de gestión
CMA conserva, como responsable, los registros de las gestiones que realiza, incluidos los soportes de facturación y de conciliación de sus servicios. Lo hace exclusivamente para cumplir sus obligaciones legales, contables y tributarias, acreditar los servicios prestados y ejercer su defensa en actuaciones judiciales, administrativas o contractuales.
5.4. Clientes empresariales, aliados y proveedores
CMA trata los datos de los representantes y contactos de sus clientes empresariales, aliados y proveedores para gestionar la relación contractual y comercial, preparar propuestas, coordinar la prestación de los servicios, efectuar pagos y facturar, cumplir obligaciones legales y tributarias, verificar la información en listas de prevención de lavado de activos y financiación del terrorismo, y conservar evidencia de la relación. Las comunicaciones sobre los servicios de CMA se envían solo con autorización y pueden cancelarse en cualquier momento.
5.5. Trabajadores y aspirantes
CMA trata los datos de sus trabajadores, extrabajadores y aspirantes para adelantar procesos de selección; celebrar, ejecutar y terminar la relación laboral; cumplir las obligaciones laborales, de seguridad social, de seguridad y salud en el trabajo, contables y tributarias; controlar el acceso a instalaciones y sistemas; expedir certificaciones; adelantar los procedimientos disciplinarios conforme a la ley y al reglamento interno de trabajo; y atender requerimientos y actuaciones ante autoridades administrativas y judiciales, incluido el ejercicio de la defensa de CMA. La verificación de antecedentes se limita a la pertinente para el cargo y se realiza con autorización del titular.
5.6. Canales propios, sitio web y redes sociales
Cuando una persona contacta a CMA por iniciativa propia a través de su sitio web, sus redes sociales, sus líneas telefónicas o cualquier otro canal propio, CMA trata los datos suministrados para atender la solicitud, responderla y conservar evidencia de ella. El sitio web puede utilizar cookies y tecnologías similares, que se informan en el aviso correspondiente.
5.7. Grabaciones y videovigilancia
Las llamadas y demás interacciones pueden registrarse para gestionar la solicitud o la obligación, documentar las gestiones, acreditar lo acordado y las autorizaciones otorgadas, verificar la calidad del servicio y atender controversias. La grabación se informa al inicio del contacto.
Cuando CMA utilice sistemas de videovigilancia en sus instalaciones, lo informará mediante avisos visibles. Las imágenes se usarán con fines de seguridad de las personas, los bienes y la información, y podrán emplearse como prueba en procedimientos disciplinarios y en actuaciones administrativas o judiciales. Los sistemas no se instalarán en áreas donde prime la intimidad de las personas.
CMA no entrega grabaciones ni registros de interacciones a terceros, salvo al cliente responsable, a las autoridades competentes, o cuando sea necesario para el ejercicio o la defensa de sus derechos, en los términos que permita la ley.
5.8. Funciones digitales de atención
CMA puede habilitar en sus canales digitales las siguientes funciones, cada una acompañada del aviso de privacidad correspondiente:
a) Consulta de obligaciones. Cuando el cliente responsable lo autorice, el titular puede consultar la información de las obligaciones asignadas a CMA. Antes de mostrar cualquier información se verifica la identidad del titular mediante mecanismos de autenticación acordes con el riesgo, y solo se muestra la información necesaria para la consulta. CMA trata estos datos por cuenta del cliente responsable.
b) Carga de documentos. El titular puede enviar documentos relacionados con su solicitud u obligación, como soportes de pago, acuerdos, peticiones o documentos para un proceso judicial. CMA los trata para el trámite específico para el que fueron enviados, y puede remitirlos al cliente responsable o a la autoridad competente cuando corresponda. El titular debe abstenerse de enviar datos de terceros o datos sensibles que no sean necesarios para su trámite; si lo son, CMA aplica las garantías que exige la ley.
c) Pagos. El titular puede realizar pagos a través de proveedores de pagos. Cuando el pago corresponda a honorarios o gastos a cargo del titular que deban pagarse a CMA, CMA trata los datos del pago como responsable, para identificar la obligación, verificar y conciliar el pago y cumplir sus obligaciones contables y tributarias. Los datos del medio de pago son tratados por el proveedor de pagos conforme a sus propias condiciones; CMA recibe únicamente la información necesaria para identificar y conciliar el pago.
5.9. Datos sensibles y de niños, niñas y adolescentes
CMA trata datos sensibles solo con autorización explícita del titular o cuando la ley lo permita. Al solicitarlos, informa al titular que no está obligado a suministrarlos y cuáles de los datos pedidos tienen ese carácter, y no condiciona ninguna actividad a su entrega. Los datos de niños, niñas y adolescentes reciben protección reforzada y se tratan con autorización de su representante legal, respetando su interés superior.
5.10. Análisis estadísticos
CMA puede elaborar análisis estadísticos con información desidentificada, que no permita identificar a los titulares, para mejorar sus modelos y estrategias de gestión.
6. Gestión de cobranza
6.1. Canales, horarios y periodicidad.
CMA contacta a los titulares únicamente por los canales que estos hayan autorizado, en los horarios y con la periodicidad previstos en la Ley 2300 de 2023. La mención de canales en esta política no significa que cada titular los haya autorizado todos. CMA mantiene la reserva sobre la obligación y no divulga información de la deuda en publicaciones abiertas.
6.2. Referencias, empleadores y otros obligados.
CMA no contacta a referencias personales o de otra índole, ni a empleadores u otros terceros, para gestionar el cobro. Esto no impide las comunicaciones con los empleadores o pagadores en su calidad de obligados a aplicar descuentos de libranza, retenciones salariales a favor de cooperativas u órdenes de embargo, limitadas a verificar la aplicación de esos descuentos, ni las comunicaciones que ordene la autoridad judicial. Los avalistas, codeudores y deudores solidarios son contactados en las mismas condiciones que la ley prevé para el deudor.
6.3. Motivo del incumplimiento.
CMA no consulta al titular el motivo del incumplimiento de la obligación, sin perjuicio de explorar con él alternativas de pago acordes con su situación financiera.
6.4. Visitas.
CMA no adelanta gestiones de cobranza mediante visitas al domicilio o al lugar de trabajo del titular, salvo en los casos exceptuados por el artículo 6 de la Ley 2300 de 2023:
a) obligaciones adquiridas a través de microcréditos, crédito de fomento o crédito de desarrollo agropecuario o rural, cuando exista autorización expresa del consumidor; o
b) cuando CMA no cuente con información actualizada de los canales autorizados y los operadores de telefonía y las empresas de mensajería física o electrónica reporten la imposibilidad de contactar al titular o de entregarle los mensajes, circunstancia que debe constar en el registro respectivo.
En todo caso, la visita requiere instrucción del cliente responsable, verificación previa del soporte de la excepción, identificación del gestor y reserva de la información. La sola dificultad para contactar a una persona no configura la excepción.
6.5. Reportes a operadores de información.
En las carteras asignadas, el reporte de información ante los operadores de información financiera y crediticia corresponde al cliente responsable, en su calidad de fuente.
7. Autorización
Cuando actúa como responsable, CMA solicita la autorización previa, expresa e informada del titular en los casos exigidos por la ley, y conserva prueba de ella. La autorización puede otorgarse por escrito, de forma verbal, por medios electrónicos o mediante conductas inequívocas que permitan concluir razonablemente que fue otorgada. En ningún caso el silencio constituye autorización.
Son conductas inequívocas, entre otras:
a) solicitar que se le envíe información o documentos por un canal determinado, lo que autoriza el uso de ese canal para ese envío y para las comunicaciones directamente relacionadas con la misma solicitud;
b) contactar a CMA por iniciativa propia a través de cualquiera de sus canales, incluidas sus redes sociales, lo que autoriza el tratamiento de los datos suministrados para atender la solicitud y responderla por el mismo medio;
c) solicitar ser contactado en una fecha y hora determinadas, dentro de los horarios y la periodicidad previstos en la ley;
d) suministrar voluntariamente sus datos de identificación u otra información durante una llamada o interacción, después de haber sido informado de que la llamada es grabada y de las finalidades del tratamiento, lo que autoriza el tratamiento necesario para atender la interacción, gestionar la obligación correspondiente y dejar constancia de ella.
CMA registra y conserva la prueba de estas conductas. Ninguna de ellas se entiende como autorización para finalidades distintas, para el tratamiento de datos sensibles, para contactos por fuera de los horarios o la periodicidad legales, ni para la finalidad del numeral 5.2, que requiere autorización expresa. Una autorización puede comprender varias actividades y canales claramente informados, pero se aplica solo en el alcance efectivamente aceptado por el titular y permitido por la ley.
En las carteras asignadas, CMA trata los datos conforme a la habilitación y las instrucciones del cliente responsable. Esta política no sustituye la autorización que deba recabarse ni modifica las preferencias de canales del consumidor.
8. Derechos de los titulares
El titular tiene derecho a:
conocer, actualizar y rectificar sus datos personales;
solicitar prueba de la autorización otorgada, cuando esta sea exigible;
ser informado, previa solicitud, sobre el uso dado a sus datos;
acceder gratuitamente a sus datos personales;
solicitar la supresión de sus datos o revocar la autorización cuando proceda;
presentar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante CMA.
La supresión y la revocatoria no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, como ocurre mientras subsista la obligación objeto de gestión, ni cuando la conservación sea exigida por una obligación legal. Esto no autoriza a conservar datos innecesarios para otras finalidades.
9. Consultas y reclamos
9.1. Canales.
Las consultas y reclamos se presentan por medios digitales, en el correo info@cardenasmaestre.com o en los demás canales que CMA publique en su sitio web. Las comunicaciones escritas recibidas en su domicilio se tramitan por el mismo procedimiento.
9.2. Legitimación.
Pueden ejercer los derechos el titular, sus causahabientes y sus representantes o apoderados. La solicitud debe permitir identificar a quien la presenta, señalar un medio de respuesta y describir lo pedido. Los causahabientes deben acreditar el fallecimiento del titular y su calidad; los representantes y apoderados, la representación o el poder correspondiente. CMA solo pide los documentos necesarios para comprobar la legitimación, y no entrega información a quien no la acredite.
9.3. Consultas.
Se atienden en un máximo de diez (10) días hábiles desde su recibo. Cuando no sea posible, se informan los motivos y la nueva fecha antes del vencimiento, que no puede superar cinco (5) días hábiles adicionales.
9.4. Reclamos.
Se atienden en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si es necesario ampliar el término, se informan los motivos, y la respuesta se da en un plazo adicional máximo de ocho (8) días hábiles. Si el reclamo está incompleto, se pide su corrección dentro de los cinco (5) días siguientes a su recibo; si transcurren dos (2) meses desde el requerimiento sin subsanación, se entiende desistido. Recibido el reclamo completo, se incluye la leyenda "reclamo en trámite" cuando corresponda.
9.5. Solicitudes sobre carteras asignadas.
Si la solicitud se refiere a datos cuyo responsable es un cliente empresarial, CMA la traslada al responsable dentro de los términos previstos en la ley, e informa al interesado. Presentar la solicitud ante CMA no impide que el titular se dirija directamente al responsable. Las solicitudes sobre información financiera o crediticia se tramitan también conforme a la Ley 1266 de 2008 cuando resulte aplicable.
10. Proveedores y circulación de datos
CMA utiliza infraestructura tecnológica propia y servicios de terceros proveedores para prestar sus servicios. Estos proveedores actúan como encargados, su acceso se limita a lo necesario para la función contratada y están sujetos a deberes de seguridad y confidencialidad. CMA puede actualizar o sustituir sus herramientas y proveedores conservando las finalidades informadas. Cuando actúe como encargada, cualquier cambio que requiera instrucción o autorización del cliente responsable se gestiona antes de habilitar el nuevo tratamiento. CMA puede solicitar a sus proveedores evidencia del cumplimiento de sus obligaciones de protección de datos.
Cuando el tratamiento implique la transmisión o transferencia de datos fuera de Colombia, CMA verifica que se cumplan las condiciones legales aplicables y, en las carteras asignadas, las instrucciones del cliente responsable. El acceso de autoridades competentes se atiende conforme a la ley.
11. Inteligencia artificial
CMA puede emplear herramientas de inteligencia artificial como apoyo para organizar y revisar información, preparar borradores, hacer análisis asistidos y otras tareas vinculadas a finalidades legítimas. La herramienta no crea por sí misma una finalidad adicional ni reemplaza la autorización exigible o, en las carteras asignadas, las instrucciones del cliente responsable.
El uso de datos personales en estas herramientas responde a una tarea definida, con acceso restringido, minimización de datos y revisión humana de los resultados. Se prefieren datos ficticios o desidentificados cuando permiten cumplir la tarea. El uso de datos identificables de cartera, grabaciones o información sensible requiere una evaluación reforzada de necesidad y seguridad, y la habilitación del cliente responsable. Esta política no autoriza a los proveedores a entrenar modelos con los datos para fines propios, ni la adopción de decisiones exclusivamente automatizadas con consecuencias significativas para el titular. Las comunicaciones, acuerdos, cálculos y actuaciones que puedan afectar a una persona son verificados por personal competente.
12. Seguridad e incidentes
CMA adopta medidas técnicas, humanas y administrativas proporcionales a los riesgos del tratamiento para prevenir la pérdida, alteración, divulgación o acceso no autorizado a los datos. El personal y los terceros autorizados están sujetos a deberes de reserva y a acceso limitado según su función. Los incidentes de seguridad se identifican, contienen y documentan, y se comunican al cliente responsable, a la Superintendencia de Industria y Comercio y a los titulares cuando corresponda. Esta política no excluye los deberes legales de seguridad de CMA ni reemplaza las obligaciones pactadas con cada cliente.
13. Conservación y supresión
Los datos se conservan durante el tiempo necesario para las finalidades informadas y para cumplir obligaciones legales, contractuales, probatorias o de defensa. En las carteras asignadas, la conservación de los datos se sujeta a lo pactado con el cliente responsable, sin perjuicio de los registros del numeral 5.3. Cumplida la finalidad y vencidos los deberes de conservación, los datos se suprimen o desidentifican de forma segura. Las bases de datos de CMA permanecen vigentes mientras subsistan las finalidades del tratamiento.
14. Modificaciones y vigencia
CMA mantiene la versión vigente de esta política accesible en su sitio web. Los cambios sustanciales se comunican a los titulares por medios eficientes antes de implementarlos. Si una modificación introduce una finalidad que requiera nueva autorización del titular o nueva instrucción del cliente responsable, CMA gestiona ese requisito antes de iniciar el tratamiento. La actualización de los datos de contacto de CMA no constituye un cambio sustancial. Las versiones anteriores se conservan y están disponibles a solicitud.
Esta versión rige desde la fecha de publicación indicada en el encabezado.