Política de tratamiento de datos

1. ¿Quién es el responsable?

Esta política cumple el deber de adoptar y publicar políticas de tratamiento (Ley 1581 de 2012, art. 17 lit. k y art. 18 lit. f; Decreto 1377 de 2013, art. 13, compilado en el DUR 1074 de 2015, art. 2.2.2.25.3.1).

2. Normas que aplicamos

• Constitución Política, art. 15 (hábeas data).
• Ley 1581 de 2012 y Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25.
• Circular Única de la Superintendencia de Industria y Comercio (SIC), Título V.
• Circular Externa SIC 001 de 2025 (18-sep-2025, Diario Oficial 53.248 del 19-sep-2025), sobre tratamiento de datos en servicios fintech y financiación por medios digitales, que adoptamos como estándar aunque Plataly no financia ni presta.
• Circular Externa SIC 003 de 2025, sobre cláusulas contractuales modelo para la circulación internacional de datos.
• Ley 1266 de 2008 (información financiera y crediticia), para delimitar lo que Plataly no hace (sección 8.5).
• Ley Estatutaria 2573 de 2026 (suplantación de identidad), promulgada el 19-may-2026 (Diario Oficial 53.496 del 20-may-2026): los parágrafos 1 y 2 del art. 5 rigen desde la promulgación y el resto desde el 19-nov-2026, seis meses después (texto en el SIDN de la Rama Judicial, consultado el 2026-10-29; el Gestor Normativo de Función Pública registra otra fecha, así que se toma la más temprana para cada parte). Plataly aplica sus reglas desde el inicio por prudencia.
• Ley 527 de 1999 y Decreto 2364 de 2012 (mensajes de datos y firma electrónica).
• Ley 2300 de 2023 (horarios y canales de contacto).

3. Definiciones

Usamos las definiciones de la Ley 1581 de 2012, art. 3, y del Decreto 1377 de 2013, art. 3 (DUR 1074 de 2015, art. 2.2.2.25.1.3). En resumen:

• Titular: la persona natural a quien se refieren los datos.
• Responsable: quien decide sobre la base de datos y su tratamiento.
• Encargado: quien trata datos por cuenta del responsable.
• Transmisión: comunicación de datos a un encargado, dentro o fuera de Colombia, para que los trate por cuenta del responsable.
• Transferencia: envío de datos a otro responsable.
• Dato anonimizado: información que ya no puede asociarse a una persona determinada o determinable. No es dato personal (Ley 1581, art. 3 lit. c, a contrario).
• Comercio: negocio que usa Plataly para registrar sus ventas a plazos o fiadas de bienes y servicios propios.
• Cliente: persona que compra a plazos o fiado en un comercio que usa Plataly.

4. Nuestros dos roles

Skyzer S.A.S. cumple dos papeles distintos. Saber cuál aplica le indica a usted a quién dirigirse.

Cuando somos encargados:

• tratamos los datos solo por cuenta del comercio y según sus instrucciones, recogidas en el contrato de transmisión que el comercio acepta al registrarse (Decreto 1377, art. 25; DUR 1074, art. 2.2.2.25.5.2);
• el comercio es quien debe tener la autorización del cliente, informarle sus finalidades y atender sus derechos (Ley 1581, art. 17). Plataly le da las herramientas para hacerlo: casillas de autorización, botones de derechos y plazos automáticos;
• el comercio configura y aprueba los parámetros de sus recordatorios (CE SIC 001 de 2025, instrucción 11);
• si usted nos escribe sobre datos que trata un comercio, trasladamos su solicitud al comercio en máximo 2 días hábiles y se lo informamos (Ley 1581, art. 15), y hacemos seguimiento al plazo (sección 13).

Cada comercio puede adoptar con un clic la política modelo que Plataly le ofrece (https://plataly.com/legal/modelo; casilla COM-F) o tener la suya. La política del comercio rige el tratamiento de los datos de sus clientes; esta política rige lo que Skyzer hace como responsable y describe lo que hace como encargado.

5. Principios

Aplicamos los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad (Ley 1581, art. 4), y el de responsabilidad demostrada (Decreto 1377, art. 26; DUR 1074, art. 2.2.2.25.6.1).

6. Datos que tratamos

6.1 Como responsable

6.2 Como encargado de cada comercio

La firma manuscrita que el cliente hace en la pantalla al aceptar se guarda como imagen ligada a la obligación, como prueba de la aceptación; el dispositivo y la IP de cada aceptación se registran como evidencia (sección 9.3).

No tratamos: la agenda de contactos del teléfono, referencias personales ni datos de terceros distintos del cliente (CE SIC 001 de 2025); la nacionalidad o el tipo de documento como variable de ninguna evaluación; datos de ubicación del dispositivo; números completos de cuenta o de tarjeta pedidos por chat.

7. Datos sensibles y biometría

1. Biometría nunca obligatoria. Ninguna verificación biométrica es requisito para usar Plataly. Siempre existe una alternativa no biométrica (Ley 1581, arts. 5 y 6; CE SIC 001 de 2025; Res. SIC 16582 de 2025).
2. Verificación del dueño del comercio: el proveedor de verificación procesa la imagen del documento de manera transitoria para cotejarla con la Registraduría, sin selfie obligatoria. Skyzer no conserva la imagen del documento ni plantillas faciales. La revisión manual se hace por videollamada en vivo, que no se graba.
3. Como la imagen del documento contiene una fotografía del rostro, la tratamos con las garantías de los datos sensibles:

• usted no está obligado a autorizar su tratamiento (Ley 1581, art. 6; Decreto 1377, art. 6, DUR 1074, art. 2.2.2.25.2.3);
• le informamos de forma explícita qué dato es y para qué se usa;
• puede elegir la verificación manual en su lugar.

4. Las capturas de pago, la constancia firmada a mano y los soportes de suplantación no son datos sensibles por regla general, pero pueden revelar información de ese tipo. Por eso se guardan en almacenamiento privado, con acceso restringido al titular, al comercio correspondiente y, cuando haga falta para soporte o suplantación, al equipo autorizado de Plataly (soporte y protección de datos).

8. Finalidades

Separamos las finalidades necesarias (sin ellas no podemos prestar el servicio) de las accesorias (opcionales). Usted puede negarse a las accesorias, o retirarlas después, sin perder el servicio (CE SIC 001 de 2025).

8.1 Como responsable: finalidades necesarias

8.2 Como responsable: finalidades accesorias (opcionales)

Nunca enviamos mensajes comerciales a los clientes de los comercios (constitución del proyecto, Artículo 13).

8.3 Como encargado: finalidades por cuenta del comercio

Por instrucción de cada comercio, documentada en el contrato de transmisión:

1. registrar y mostrar las obligaciones, compras, cuotas, pagos y recibos;
2. obtener y conservar la aceptación y la autorización del cliente y su evidencia;
3. enviar en nombre del comercio (“{comercio} vía Plataly”) recibos, códigos, confirmaciones y avisos de compras por correo y, si el cliente lo autorizó (casilla CLI-C), también por WhatsApp, y por SMS solo los códigos que pida; y por correo, avisos previos y respuestas a reclamos;
4. preparar en la bandeja del comercio los recordatorios por WhatsApp que el cliente autorizó. Los envía el propio comercio desde su teléfono, sin montos ni concepto en el texto;
5. aplicar a la gestión de cuotas (recordatorios y avisos previos) el horario legal, un solo contacto al día y un solo canal por semana (Ley 2300 de 2023, art. 3). Los recibos, códigos, confirmaciones y respuestas a lo que pidió el cliente no cuentan para ese límite (art. 8);
6. tramitar reclamos, solicitudes de supresión y avisos de suplantación del cliente ante el comercio;
7. generar el comprobante de pagos que el cliente descarga por cada comercio;
8. anonimizar y agregar los datos según la sección 8.4.

8.4 Datos anonimizados y agregados

Skyzer puede producir estadísticas anonimizadas y agregadas a partir de los datos del servicio, para:

• medir los resultados del piloto (por ejemplo, porcentaje de cuotas pagadas a tiempo o cartera recuperada frente a la línea base);
• mejorar el producto y su seguridad;
• publicar informes de impacto o presentarlos a aliados e inversionistas.

Reglas:

1. Las estadísticas no permiten identificar, ni siquiera por combinación, a un cliente, a un dueño ni a un comercio. Solo se usan y se muestran grupos de al menos 10 titulares.
2. Una vez anonimizada, la información deja de ser dato personal (Ley 1581, art. 3 lit. c).
3. Sobre los datos de los clientes, la anonimización se hace por instrucción del comercio, que la autoriza en el contrato de transmisión.
4. Las estadísticas nunca se usan para calificar, puntuar ni negar servicios a una persona determinada, ni se comparten con un comercio sobre clientes de otro (constitución del proyecto, Artículo 11).

8.5 Lo que no hacemos

• No vendemos ni alquilamos datos personales.
• No hacemos listas de personas con pagos pendientes ni permitimos consultas abiertas por documento o teléfono, en ninguna fase.
• Un comercio no ve datos de los clientes de otro comercio, ni recibe señales de que un cliente exista en otro comercio.
• No actuamos como operador de información financiera ni enviamos datos a centrales de información (Ley 1266 de 2008, arts. 3 y 11). El comprobante de pagos lo descarga el cliente y lo muestra él mismo si quiere.
• Los puntos de un cliente con un comercio no se suman con los de otros comercios, no se muestran a otro comercio ni a terceros, no salen en exportaciones y no se venden.
• No recibimos, retenemos ni dispersamos dinero de los clientes.

9. Autorización

9.1 Cómo la obtenemos

• Antes de recolectar los datos, de forma previa, expresa e informada (Ley 1581, art. 9; Decreto 1377, art. 5, DUR 1074, art. 2.2.2.25.2.2).
• Por escrito, de forma oral o mediante conductas inequívocas, en particular casillas sin premarcar, una por cada grupo de finalidades (Decreto 1377, art. 7, DUR 1074, art. 2.2.2.25.2.4).
• Al cliente se le piden dos autorizaciones separadas: al comercio, para gestionar la obligación (CLI-B1), y a Skyzer S.A.S., para los datos de acceso, la vista consolidada y los derechos (CLI-B2). Los SMS y WhatsApp son opcionales (CLI-C).
• Los textos exactos están en docs/legal/textos-autorizacion.md.

9.2 Cuándo no hace falta

En los casos del art. 10 de la Ley 1581: requerimiento de una autoridad, datos de naturaleza pública, urgencia médica o sanitaria, fines históricos, estadísticos o científicos, y datos del Registro Civil. La transmisión al encargado con contrato tampoco requiere autorización del titular (Decreto 1377, art. 25, DUR 1074, art. 2.2.2.25.5.2).

9.3 Cómo probamos la autorización

Guardamos en un registro que no se puede modificar (solo se agregan entradas): la huella digital (hash) del texto mostrado, su versión, las casillas marcadas, el correo registrado, el correo o celular validado con código (o la constancia firmada a mano en la firma presencial), la fecha y la hora en hora de Colombia, la dirección IP y el navegador. El mensaje de datos tiene valor probatorio (Ley 527 de 1999, arts. 5, 10 y 11; Decreto 1377, art. 8, DUR 1074, art. 2.2.2.25.2.5).

9.4 Revocatoria

Usted puede revocar la autorización o pedir la supresión de sus datos en cualquier momento, salvo cuando tenga un deber legal o contractual de permanecer en la base de datos (Decreto 1377, art. 9, DUR 1074, art. 2.2.2.25.2.6), por ejemplo mientras tenga una obligación activa con un comercio. Las autorizaciones accesorias se retiran con efecto inmediato, sin afectar el servicio.

9.5 Nuevas finalidades

Si queremos usar sus datos para una finalidad distinta de las informadas, le pediremos una nueva autorización antes de hacerlo (Decreto 1377, art. 5, DUR 1074, art. 2.2.2.25.2.2).

10. Decisiones automáticas y explicación

Plataly aplica reglas fijas y explicables, sin modelos de aprendizaje automático:

• el estado de cada cuota (por pagar, vencida, pago atrasado, pagada, en verificación, reclamo en trámite, suspendida);
• los frenos preventivos al comercio cuando detecta patrones de préstamos en efectivo, que siempre revisa una persona antes de decidir;
• la sugerencia de cupo para cada cuenta de fiado, con reglas públicas y versionadas; la decide siempre el comercio, y el cliente ve por qué cambió y puede pedir revisión humana;
• la pausa del plazo por un pago reportado a tiempo y su efecto si no se confirma (términos para clientes, 12.13): para los puntos la cuota cuenta desde su fecha original y resta 4 puntos más; el estado “pago atrasado” sigue los dos avisos y los 20 días desde el cierre del reclamo;
• el aviso de cuotas vencidas que ve el comercio antes de venderle a un cliente, que nunca es un bloqueo;
• los puntos de cada cliente con cada comercio (finalidad N13), con las reglas publicadas en https://plataly.com/legal/puntos. Solo Skyzer las define; cada cambio tiene número de versión, se avisa con 15 días de anticipación y requiere una nueva aceptación. Cada movimiento muestra la regla que lo produjo, y el cliente puede pedir la revisión de una persona, con respuesta en máximo 15 días hábiles.

Si una de estas reglas produce un resultado desfavorable para usted, puede pedir una explicación clara de qué regla se aplicó, con qué datos y cómo corregirlo, y pedir la revisión de una persona (CE SIC 001 de 2025). El cliente ve en su portal, para cada pago atrasado, qué cuota es, desde cuándo y qué avisos se enviaron y en qué fechas. La nacionalidad y el tipo de documento nunca son variables de estas reglas.

11. Sus derechos

Como titular, usted tiene derecho a (Ley 1581, art. 8):

1. conocer, actualizar y rectificar sus datos;
2. pedir prueba de la autorización, salvo los casos del art. 10;
3. ser informado sobre el uso que se ha dado a sus datos;
4. presentar quejas ante la SIC, después de agotar el trámite de consulta o reclamo ante el responsable o el encargado (Ley 1581, art. 16);
5. revocar la autorización o pedir la supresión cuando no se respeten los principios, derechos y garantías, o cuando no exista un deber legal o contractual de conservarlos;
6. acceder gratis a sus datos al menos una vez cada mes calendario y cada vez que esta política cambie de forma sustancial (Decreto 1377, art. 21, DUR 1074, art. 2.2.2.25.4.2).

Además, en Plataly el cliente tiene siempre a la vista los botones:

• “No estoy de acuerdo”, para reclamar sobre una cuota, una compra o un pago;
• “Esto no lo hice yo”, para avisar una suplantación (Ley 2573 de 2026);
• “No más recordatorios”, con efecto inmediato;
• “Ver mis datos”;
• “Borrar mis datos”.

Quién puede ejercerlos (Decreto 1377, art. 20, DUR 1074, art. 2.2.2.25.4.1): el titular, acreditando su identidad; sus causahabientes; su representante o apoderado, acreditando la representación; y quien el titular haya autorizado por estipulación a favor de otro.

12. Área responsable y canales

• Área responsable: la representación legal de Skyzer S.A.S., que actúa como oficial de protección de datos.
• Canales:
• correo: datos@plataly.com;
• formulario de consultas y reclamos en https://plataly.com/datos, que entrega número de radicado y fecha máxima de respuesta;
• WhatsApp +1 555 851 8296, para orientación; la solicitud se radica en el formulario;
• en la plataforma: los botones de derechos del portal del cliente y la sección de datos de la cuenta del comercio;
• por escrito a Calle 30A # 78-42, Medellín, Antioquia.

Para proteger sus datos, verificamos su identidad con un código enviado al correo o celular que tenemos registrado. Nunca le pediremos por chat su número completo de documento, de cuenta o de tarjeta.

13. Procedimiento de consultas

(Ley 1581, art. 14)

1. Usted puede consultar sus datos por cualquiera de los canales de la sección 12.
2. Le entregamos un número de radicado y la fecha máxima de respuesta.
3. Respondemos en máximo 10 días hábiles contados desde la fecha de recibo.
4. Si no es posible en ese plazo, le informamos antes de su vencimiento el motivo y la nueva fecha, que no supera 5 días hábiles adicionales.
5. Si la consulta se refiere a datos que trata un comercio (Skyzer como encargado), la tramitamos con el comercio dentro del mismo plazo, o la trasladamos y se lo informamos.

14. Procedimiento de reclamos

(Ley 1581, art. 15). Aplica a solicitudes de corrección, actualización, supresión, revocatoria o por presunto incumplimiento.

1. El reclamo debe incluir: su identificación, la descripción de los hechos, la dirección o correo de respuesta y los documentos que quiera hacer valer.
2. Si el reclamo está incompleto, le pedimos completarlo dentro de los 5 días siguientes a su recibo. Si pasan 2 meses desde ese requerimiento sin respuesta, se entiende que desistió.
3. Si no somos competentes, lo trasladamos a quien corresponda (normalmente el comercio responsable) en máximo 2 días hábiles y se lo informamos.
4. Una vez recibido el reclamo completo, incluimos la leyenda “reclamo en trámite” y su motivo en máximo 2 días hábiles, y la mantenemos hasta resolverlo.
5. Respondemos en máximo 15 días hábiles, contados desde el día siguiente a la fecha de recibo.
6. Si no es posible, le informamos antes del vencimiento el motivo y la nueva fecha, que no supera 8 días hábiles adicionales.
7. Supresión de datos de clientes de un comercio: la solicitud se tramita con cada comercio responsable. Se borran los datos que no son necesarios para obligaciones activas ni deben conservarse por ley, y usted recibe por escrito la lista de lo que se borró y de lo que se conserva, con el motivo y la fecha hasta la que se conserva.
8. Agotado este trámite, puede acudir a la SIC (Ley 1581, art. 16).

Los días hábiles son de lunes a viernes, excepto festivos nacionales de Colombia.

15. Suplantación de identidad

Si alguien registró una obligación a su nombre sin que usted la hiciera, toque “Esto no lo hice yo” en el link de la obligación, aunque nunca la haya aceptado (Ley 2573 de 2026):

1. todo efecto de esa obligación se suspende al instante: recordatorios, avisos previos, plazos, nuevas compras y efectos en el historial (art. 8);
2. tiene 20 días hábiles para denunciar ante la Fiscalía y aportar soportes;
3. el comercio no puede declarar que no hubo suplantación, porque esa decisión es de las autoridades judiciales (art. 10). Si no encuentra evidencia, debe formular la denuncia penal (Corte Constitucional, C-413 de 2025);
4. los soportes solo los ven usted, el comercio y el equipo autorizado de Plataly (soporte y protección de datos).

16. Transmisiones y transferencias internacionales

1. Para prestar el servicio usamos proveedores que tratan datos por nuestra cuenta (transmisión), con contrato o acuerdo de procesamiento de datos (DPA) y un anexo colombiano que recoge las obligaciones del Decreto 1377, art. 25 (DUR 1074, art. 2.2.2.25.5.2): tratar los datos solo por nuestra cuenta, protegerlos y guardar confidencialidad. Podemos usar las cláusulas modelo reconocidas en la CE SIC 003 de 2025.
2. Solo usamos proveedores ubicados en países con nivel adecuado de protección según la SIC (Ley 1581, art. 26; Circular Única SIC, Título V), como Estados Unidos y los países de la Unión Europea. No usamos proveedores en países sin nivel adecuado.
3. La transmisión a encargados con contrato no requiere informarse al titular ni su autorización (Decreto 1377, arts. 24 y 25). Aun así, por transparencia, los listamos:

Tally y Didit son encargados de Skyzer S.A.S. como responsable de los datos de comercios y prospectos; no son subencargados de los datos de clientes que Skyzer trata por cuenta de cada comercio.

4. Transferencias: no transferimos datos a otros responsables, salvo por orden de autoridad competente o en una reorganización empresarial en la que Plataly pase a otra sociedad, caso en el que le avisaremos antes. Ubícanos.com también es de Skyzer S.A.S.: usar sus datos para ofrecer Plataly no es una transferencia, sino una finalidad nueva del mismo responsable que solo se aplica con autorización (finalidad A4).

17. Seguridad

Aplicamos medidas técnicas, humanas y administrativas proporcionales al riesgo (Ley 1581, art. 4 lit. g, art. 17 lit. d y art. 18 lit. b), guiadas por las buenas prácticas de ISO/IEC 27001:

• cifrado en tránsito y en reposo, y respaldos cifrados;
• acceso con mínimo privilegio y segundo factor para la consola interna;
• datos de clientes parcialmente ocultos en la consola del Fundador;
• archivos en almacenamiento privado, validados y recodificados;
• registros que no se pueden modificar para aceptaciones, casos de suplantación y envíos;
• revisión de seguridad del código y de las dependencias;
• los registros técnicos no contienen documentos de identidad, montos asociados a personas ni contenido de mensajes.
• las credenciales que un comercio agrega para conectar sus propias plataformas de pago se guardan cifradas, no se muestran completas después de guardarse, solo las usa el sistema para crear enlaces de pago en la cuenta del comercio y se borran cuando el comercio desconecta la integración o cierra su cuenta.

18. Conservación

Conservamos los datos solo mientras sean necesarios para la finalidad y por los plazos que exija la ley (Decreto 1377, art. 11, DUR 1074, art. 2.2.2.25.2.8). Después los suprimimos o los anonimizamos.

Los plazos máximos de los datos de clientes y comercios (cuentas, obligaciones, pruebas de aceptación, puntos, verificación de residencia, informes de conducta, retiros, casos de suplantación, facturas y trámites de derechos) están en una sola tabla: la sección 4 de la política de cierre de cuenta. Ningún dato se guarda indefinidamente.

Además, para datos que esa tabla no cubre:

19. Incidentes de seguridad

Si ocurre un incidente que comprometa datos personales:

1. lo contenemos y evaluamos su alcance;
2. si afecta datos de clientes de un comercio, avisamos al comercio responsable sin demora injustificada;
3. informamos a la SIC dentro de los 15 días hábiles siguientes a su detección, tanto cuando somos responsables como cuando somos encargados (Ley 1581, art. 17 lit. n y art. 18 lit. k; Circular Única SIC, Título V);
4. cuando el incidente pueda afectar a los titulares, se lo informamos con recomendaciones para protegerse.

El procedimiento interno está en docs/legal/procedimiento-pqr-incidentes.md.

20. Niñas, niños y adolescentes

Plataly no está dirigido a menores de 18 años y no trata sus datos de forma intencional (Ley 1581, art. 7; Decreto 1377, art. 12, DUR 1074, art. 2.2.2.25.2.9). El dueño del comercio y el cliente declaran ser mayores de edad. Si detectamos datos de un menor, suspendemos su tratamiento, avisamos al comercio responsable y los suprimimos, salvo deber legal de conservarlos.

21. Cookies y analítica

• El sitio público (plataly.com) no usa cookies de seguimiento publicitario. Su analítica no recoge datos personales.
• La aplicación (app.plataly.com y pay.plataly.com) usa almacenamiento técnico necesario para mantener la sesión y analítica de uso con identificadores seudónimos (finalidad N10).

22. Vigencia y cambios

1. Esta política rige desde [FECHA DE PUBLICACIÓN, TRAS LA REVISIÓN DE LA FIRMA] y mientras Skyzer S.A.S. trate datos para Plataly.
2. Se publica en plataly.com con su número de versión y su fecha.
3. Si hacemos cambios sustanciales, en especial en la identificación del responsable o en las finalidades, se los comunicamos antes de aplicarlos o, a más tardar, al aplicarlos, por correo y dentro de la plataforma. Si el cambio se refiere a la finalidad, le pedimos una nueva autorización (Decreto 1377, arts. 5 y 13, DUR 1074, arts. 2.2.2.25.2.2 y 2.2.2.25.3.1).
4. Conservamos las versiones anteriores.

Aprobada por el representante legal de Skyzer S.A.S. el [FECHA DE PUBLICACIÓN, TRAS LA REVISIÓN DE LA FIRMA]. El acta de aprobación, con su identificación, se conserva en los archivos de Skyzer.

Volver a los documentos legales