TÉRMINOS Y CONDICIONES DE USO

El presente documento contiene los Términos y Condiciones de Uso (los "Términos") de la plataforma tecnológica operada por ACREDITANDO.CO S.A.S., sociedad comercial constituida y domiciliada en Bogotá D.C., República de Colombia, identificada con NIT 901.061.468-2 (en adelante, "Acreditando").

Estos Términos constituyen un contrato de adhesión celebrado por medios electrónicos, cuya validez, existencia y fuerza obligatoria se reconocen conforme a los artículos 5, 6, 7 y 14 de la Ley 527 de 1999, según los cuales no se negarán efectos jurídicos, validez ni fuerza obligatoria a la información por la sola razón de constar en forma de mensaje de datos.

Acreditando presta un servicio de infraestructura tecnológica en modalidad Software como Servicio (SaaS) dirigido a empresas, entidades y organizadores profesionales. Estos Términos regulan la relación entre Acreditando y quienes acceden o utilizan la Plataforma, y se complementan con los contratos comerciales, órdenes de servicio, acuerdos de nivel de servicio, políticas de tratamiento de datos personales, avisos de privacidad y autorizaciones que resulten aplicables a cada operación.

Nota de lectura. Los títulos de las cláusulas se incluyen únicamente para facilitar la consulta y no limitan ni amplían su contenido. Las referencias normativas citadas a lo largo del documento corresponden a normas colombianas vigentes a la fecha de expedición y se detallan en el Anexo A — Matriz de fundamento normativo.

TÍTULO I. DISPOSICIONES GENERALES

1. Identificación del operador y objeto

1.1. La Plataforma es operada por ACREDITANDO.CO S.A.S., sociedad comercial colombiana con domicilio principal en Bogotá D.C., cuya existencia y representación legal constan en el registro mercantil de la Cámara de Comercio de Bogotá.

1.2. Estos Términos tienen por objeto regular las condiciones de acceso, uso, funcionamiento, limitaciones y responsabilidades asociadas a la Plataforma, así como delimitar el rol jurídico de Acreditando frente a sus Clientes, Usuarios, Acreditados y terceros.

1.3. Acreditando cumple en Colombia la información mínima exigida a los proveedores en comercio electrónico, poniendo a disposición del público su identificación, NIT, domicilio y canales de contacto de forma permanente y accesible.

2. Ámbito de aplicación

2.1. Estos Términos aplican a toda persona natural o jurídica que acceda, use, configure, administre, integre o se beneficie de la Plataforma, incluyendo Clientes, Promotores u Organizadores, Proveedores, Contratantes, administradores de dominio, empleadores, contratistas, operadores logísticos, Usuarios autorizados y Acreditados.

2.2. El acceso o uso de la Plataforma, por cualquier medio y en cualquier módulo, implica la aceptación plena y sin reservas de estos Términos. Quien no los acepte deberá abstenerse de acceder o utilizar la Plataforma.

2.3. Quien actúe en nombre o por cuenta de una persona jurídica, entidad, empleador o contratante declara contar con facultades legales, estatutarias o contractuales suficientes para obligarla, y responde por la veracidad de dicha declaración.

3. Definiciones

Para efectos de estos Términos, los siguientes términos tendrán el significado que se indica, con independencia de que se empleen en singular o plural:

Plataforma: el conjunto de módulos, entornos, aplicaciones web y móviles, APIs, servicios de validación, interfaces, formularios, motores de control de acceso, componentes de reportería y funcionalidades presentes o futuras operadas por Acreditando, incluyendo de manera enunciativa Manager, Dashboard, SkillPass, Biocontrol, y Crew Manager.
Cliente: la persona jurídica o natural que contrata comercialmente los servicios de Acreditando, o que los utiliza en el marco de una relación comercial vigente. En las operaciones de eventos, el Cliente coincide habitualmente con el Promotor u Organizador.
Proveedor: la persona natural o jurídica que vincula, emplea o contrata al personal que será acreditado, aporta su documentación a la Plataforma y actúa como Responsable del Tratamiento de los datos personales de ese personal. Comprende a empleadores, contratistas, subcontratistas, empresas de servicios logísticos, técnicos y demás organizaciones que intervienen en la operación con personal propio. El Proveedor no es necesariamente Cliente de Acreditando.
Contratante: quien, en cada eslabón de la cadena de contratación, contrata a un Proveedor o a un trabajador y sobre quien, por esa razón, recaen los deberes de verificación del artículo 2.2.4.6.28 del Decreto 1072 de 2015. Esta calidad puede recaer simultáneamente en el Cliente respecto del Proveedor, y en el Proveedor respecto de su propio personal.
Promotor u Organizador: quien define las reglas, requisitos, cupos, aforos, perfiles, zonas y condiciones de participación de una operación o evento, así como las decisiones de admisión o rechazo.
Usuario: toda persona natural que accede a la Plataforma mediante una cuenta autorizada, cualquiera sea su perfil o nivel de permisos.
Acreditado: la persona natural cuyos datos personales son objeto de Tratamiento con el fin de gestionar su acreditación, verificación, credencialización o control de acceso.
Biocontrol: el módulo de la Plataforma destinado al control de acceso presencial de personas y vehículos en sedes, venues, recintos, obras y eventos, en los términos del Título VI.
Venue o Recinto: el inmueble, escenario, sede, instalación o espacio, abierto o cerrado al público, en el que se desarrolla la operación, el evento o la visita.
Visitante: la persona natural que solicita o efectúa un ingreso puntual o temporal a un Venue o sede, sin vínculo laboral o contractual permanente con el Cliente.
Dominio: el entorno lógico aislado, en arquitectura multi-tenant, asociado a un Cliente, operación, evento o unidad organizativa, con su propia configuración, parametrización y segregación de datos.
Credencial de acceso: los mecanismos de autenticación de un Usuario en la Plataforma (usuario, contraseña, token, código de un solo uso, sesión, clave de API).
Credencial de acreditación: el instrumento físico o digital que materializa una acreditación, incluyendo código QR, código de barras, NFC, escarapela, manilla, carné, pase digital, pase en billetera digital, fotografía y mecanismos equivalentes.
Contenido del Cliente: la información, documentos, imágenes, bases de datos, parametrizaciones y datos personales que el Cliente, sus Usuarios o los Acreditados cargan, transmiten o generan en la Plataforma.
Tratamiento, Titular, Responsable, Encargado, Dato sensible, Autorización y Aviso de privacidad: tendrán el significado previsto en el artículo 3 de la Ley 1581 de 2012 y en el Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015.
Normativa de Protección de Datos: la Ley 1581 de 2012, el Decreto 1074 de 2015 en lo pertinente, la Circular Única de la Superintendencia de Industria y Comercio y demás normas que las modifiquen, adicionen o sustituyan; y, cuando corresponda por el lugar de la operación, la normativa local equivalente.

4. Perfeccionamiento, aceptación electrónica y prueba del consentimiento

4.1. La aceptación de estos Términos podrá manifestarse mediante la marcación de una casilla, la pulsación de un botón de aceptación, la autenticación en la Plataforma, el uso efectivo de cualquiera de sus módulos o cualquier otra conducta inequívoca de aceptación.

4.2. Conforme al artículo 7 de la Ley 527 de 1999 y a los artículos 2.2.2.47.1 y siguientes del Decreto 1074 de 2015 (que compilaron el Decreto 2364 de 2012), los métodos de identificación y aprobación empleados por la Plataforma —incluyendo contraseñas, códigos de un solo uso, claves de API y datos de creación de firma bajo control exclusivo del firmante— constituyen firma electrónica cuando cumplan los requisitos de confiabilidad y apropiación allí previstos.

4.3. Acreditando conservará los registros electrónicos de la aceptación en condiciones que permitan su consulta posterior, la verificación de su integridad y la determinación de su origen, destino, fecha y hora, en los términos del artículo 12 de la Ley 527 de 1999.

4.4. Las partes reconocen expresamente que dichos registros son admisibles como medio de prueba y que su fuerza probatoria se apreciará conforme a las reglas de la sana crítica, atendiendo a la confiabilidad de su generación, archivo, comunicación y conservación, según los artículos 10 y 11 de la Ley 527 de 1999.

5. Orden de prelación documental

5.1. En caso de discrepancia entre documentos que regulen la misma relación, prevalecerán en el siguiente orden: (i) las normas imperativas aplicables; (ii) el contrato comercial, orden de servicio o propuesta aceptada suscrita entre Acreditando y el Cliente, incluidos sus anexos técnicos y acuerdos de nivel de servicio; (iii) el acuerdo o cláusula de transmisión de datos personales; (iv) estos Términos; y (v) los manuales, guías y documentación técnica de la Plataforma.

5.2. La existencia de un contrato comercial no exime a los Usuarios del cumplimiento de estos Términos en lo que no resulte expresamente modificado por aquel.

6. Naturaleza empresarial de la relación

6.1. La Plataforma es un servicio dirigido exclusivamente a empresas, entidades y organizadores profesionales para el desarrollo de su propia actividad económica. Acreditando no comercializa la Plataforma a consumidores finales para necesidades privadas, familiares o domésticas.

6.2. De conformidad con el numeral 3 del artículo 5 de la Ley 1480 de 2011, es consumidor quien adquiere, disfruta o utiliza un producto como destinatario final para la satisfacción de una necesidad propia, privada, familiar o doméstica y empresarial cuando no esté ligada intrínsecamente a su actividad económica. En consecuencia, el Cliente reconoce y acepta que contrata la Plataforma en desarrollo de su actividad económica profesional y que, por lo tanto, la relación no constituye una relación de consumo.

6.3. Lo anterior se entiende sin perjuicio de los derechos que asistan a los Acreditados y demás titulares de datos personales, los cuales no dependen de la existencia de una relación de consumo y son irrenunciables.

TÍTULO II. NATURALEZA DEL SERVICIO Y DELIMITACIÓN DE ROLES

7. Naturaleza del servicio

7.1. Acreditando provee infraestructura tecnológica y herramientas de software para el registro, la acreditación, la gestión documental, la validación de información, la verificación de identidad, el control de acceso, la credencialización, la administración operativa, la reportería y la auditoría.

7.2. La Plataforma es una herramienta de apoyo a decisiones que corresponden al Cliente. Las reglas, requisitos documentales, perfiles, cupos, aforos, zonas, permisos, vigencias y decisiones de participación, admisión, permanencia o exclusión son definidas y adoptadas por el Cliente, Promotor u Organizador.

7.3. Cuando personal de Acreditando realice cargue, digitalización, revisión, aprobación, rechazo, acompañamiento en sitio o soporte, lo hará por cuenta y siguiendo instrucciones del Cliente, en el marco del servicio contratado y con arreglo a los criterios que este haya definido. Dicha actuación no convierte a Acreditando en titular de la decisión sustantiva ni en organizador del evento u operación.

8. Delimitación expresa: lo que Acreditando no es

Para evitar cualquier equívoco sobre el alcance del servicio, el Cliente y los Usuarios reconocen expresamente que Acreditando:

No es organizador, promotor, productor ni empresario del espectáculo o de la operación. Cuando se trate de espectáculos públicos de las artes escénicas, el productor es quien debe inscribirse en el registro a cargo del Ministerio de Cultura y responder por las obligaciones que le impone la Ley 1493 de 2011, incluida la contribución parafiscal de su artículo 7.
No es empresa de vigilancia y seguridad privada respecto del licenciamiento y la operación del software. Acreditando no presta servicios de asesoría, consultoría o investigación en seguridad privada, ni sustituye el esquema de seguridad del Cliente. Cuando la operación comprenda el suministro de equipos o la presencia de personal en el sitio, se aplicará íntegramente el régimen de delimitación y habilitación de la cláusula 28, conforme al Decreto Ley 356 de 1994.
No es administradora de riesgos laborales, entidad promotora de salud, administradora de pensiones, operador de información de la PILA ni autoridad administrativa o judicial. La Plataforma no sustituye, valida ni certifica los actos que corresponden a dichas entidades.
No es organismo certificador de competencias laborales. La certificación de competencias en Colombia corresponde a los organismos habilitados en el marco del Subsistema de Evaluación y Certificación de Competencias regulado por el Decreto 947 de 2022, que adicionó el Capítulo 12 al Título 6 de la Parte 2 del Libro 2 del Decreto 1072 de 2015. La Plataforma registra, custodia y contrasta certificados expedidos por terceros; no los expide.
No es operador ni fuente de información financiera, crediticia, comercial o de servicios en los términos de la Ley 1266 de 2008, ni administra bancos de datos destinados al cálculo del riesgo crediticio.
No es entidad de certificación digital ni presta servicios de certificación en los términos de la Ley 527 de 1999, sin perjuicio del uso de firmas electrónicas conforme a la cláusula 4.
No es empleador ni contratante de los Acreditados, salvo respecto de su propio personal, y no asume las obligaciones laborales, de seguridad social o de seguridad y salud en el trabajo que la ley radica en cabeza del empleador o contratante.

9. Roles y responsabilidades por tipo de participante

9.1. Acreditando responde por la disponibilidad razonable, la seguridad y el correcto funcionamiento de la Plataforma conforme a lo contratado, y por el Tratamiento de datos personales que realice por cuenta propia o siguiendo instrucciones documentadas del Cliente.

9.2. El Cliente, Promotor u Organizador responde por: la definición de los requisitos de acreditación y su legalidad, adecuación y proporcionalidad; la legitimidad de la finalidad perseguida; la asignación y revocación de permisos dentro de su Dominio; las decisiones de aprobación, rechazo, restricción y admisión; la verificación que le corresponda respecto de los Proveedores que contrata; y el cumplimiento de sus propias obligaciones en materia de seguridad privada, aglomeraciones de público, espectáculos y demás regímenes que le resulten aplicables.

9.3. El Proveedor responde por: la vinculación y afiliación de su personal; la obtención, conservación y entrega de las autorizaciones de Tratamiento de los datos personales de ese personal; la veracidad, exactitud y vigencia de la documentación que aporta; el cumplimiento de sus obligaciones laborales, de seguridad social y de seguridad y salud en el trabajo respecto de sus trabajadores y contratistas; y la atención de las solicitudes que sus trabajadores le dirijan en su calidad de Responsable.

9.4. Un mismo sujeto puede reunir varias calidades. Cuando el Cliente acredite personal propio, asumirá también las obligaciones del Proveedor respecto de ese personal.

9.5. El Usuario responde por la confidencialidad de sus credenciales de acceso, por el uso que realice dentro de los permisos asignados y por la veracidad de la información que registre o modifique.

9.6. El Acreditado responde por la autenticidad y vigencia de la información y documentación que aporte directamente, y por el uso personal y no transferible de su credencial de acreditación cuando así esté configurada.

9.7. Regla de interpretación. Cuando estos Términos atribuyan al Cliente una obligación relativa a la información, la documentación, los soportes o las autorizaciones del personal acreditado, dicha obligación recae en el Proveedor siempre que sea este quien vincule a ese personal y aporte su información. Las obligaciones relativas a la definición de requisitos, la parametrización del Dominio y las decisiones de admisión permanecen en cabeza del Cliente, Promotor u Organizador. Cuando la obligación sea exigible a ambos por títulos distintos, cada uno responderá por la suya.

Por qué importa esta distinción. El deber de verificar la afiliación al Sistema General de Riesgos Laborales y el cumplimiento de la normativa de seguridad y salud en el trabajo, previsto en el artículo 2.2.4.6.28 del Decreto 1072 de 2015, es un deber del contratante frente a su contratista, y se replica en cada eslabón de la cadena. El Promotor lo tiene frente al Proveedor que contrata; el Proveedor lo tiene frente a sus propios trabajadores y subcontratistas. Atribuir ambos deberes al Cliente sería inexacto y, además, inoponible: el Cliente no es empleador del personal que acredita y no puede responder por autorizaciones que nunca estuvo en posición de obtener.

10. Arquitectura multi-tenant y aislamiento de Dominios

10.1. La Plataforma opera bajo una arquitectura multi-tenant en la que cada Dominio cuenta con segregación lógica de datos, parametrización propia y control de permisos independiente.

10.2. Acreditando adoptará medidas técnicas y administrativas razonables para impedir el acceso de un Dominio a la información de otro. No obstante, cuando dos o más Clientes acuerden expresamente compartir información, verificaciones o credenciales entre Dominios, dicho intercambio se realizará bajo la responsabilidad de los Clientes involucrados, quienes deberán contar con la base jurídica y las autorizaciones necesarias.

10.3. Ningún Usuario podrá intentar acceder a Dominios, registros, reportes o entornos distintos de aquellos para los que fue expresamente autorizado.

TÍTULO III. INFORMACIÓN, DOCUMENTOS Y VERIFICACIÓN

11. Origen de la información y legitimación de quien la aporta

11.1. La información tratada en la Plataforma podrá ser suministrada por el propio Acreditado, por el Proveedor que lo vincula, por el Cliente, por el Promotor u Organizador, por un tercero autorizado o, cuando haga parte del servicio contratado, por personal de Acreditando. Tratándose de la documentación del personal acreditado, la fuente ordinaria es el Proveedor.

11.2. Quien suministre datos personales de otra persona declara y garantiza que cuenta con la autorización previa, expresa e informada del Titular o con otra base jurídica suficiente, que ha cumplido el deber de informar previsto en el artículo 12 de la Ley 1581 de 2012 y que la finalidad del Tratamiento es legítima y determinada.

11.3. Acreditando podrá solicitar en cualquier momento evidencia razonable de dicha legitimación y, a falta de respuesta satisfactoria, suspender el Tratamiento de la información correspondiente, sin que ello genere responsabilidad a su cargo.

11.4. Quien cargue información asume frente a Acreditando la responsabilidad derivada de la falta de autorización, del exceso de finalidad o de la inexactitud de los datos aportados, y se obliga a mantener indemne a Acreditando en los términos de la cláusula 59.

12. Categorías de información susceptibles de Tratamiento

12.1. Según la operación y los requisitos definidos por el Cliente, la Plataforma podrá tratar, entre otros: nombres y apellidos; tipo y número de documento de identidad; imagen o copia del documento; fotografía; firma; datos de contacto; empresa, cargo y rol; información laboral o contractual; afiliación y novedades del Sistema General de Riesgos Laborales y del Sistema de Seguridad Social Integral; soportes de aportes; certificados de capacitación, formación, competencias, licencias y permisos; exámenes médicos ocupacionales en los términos que la ley permita; información de vehículos; datos técnicos de dispositivos; y trazas de uso y acceso.

12.2. Los requisitos exigibles varían según el evento, la jurisdicción, el cargo, la zona, el perfil y el tipo de acreditación. El Cliente es responsable de que los datos exigidos sean adecuados, pertinentes y no excesivos frente a la finalidad perseguida, en aplicación del principio de finalidad y del principio de acceso y circulación restringida consagrados en los literales b) y f) del artículo 4 de la Ley 1581 de 2012.

12.3. Acreditando podrá abstenerse de habilitar la recolección de campos o documentos que, a su juicio razonable, resulten manifiestamente desproporcionados, carezcan de base jurídica o comprometan el cumplimiento de la Normativa de Protección de Datos.

13. Exactitud, vigencia y actualización

13.1. Quien registre, importe, modifique o suministre información declara que, según su conocimiento y bajo su responsabilidad, esta es auténtica, completa, exacta, legible, vigente y consistente con los documentos originales, en observancia del principio de veracidad o calidad del literal d) del artículo 4 de la Ley 1581 de 2012.

13.2. Es obligación de quien aporta la información mantenerla actualizada y corregirla oportunamente. Acreditando podrá requerir soportes adicionales ante inconsistencias, información incompleta, archivos ilegibles, datos contradictorios o indicios razonables de alteración.

13.3. La Plataforma podrá aplicar reglas de caducidad y alertas de vencimiento parametrizadas por el Cliente. La configuración de dichas reglas y su correspondencia con los plazos legales aplicables son responsabilidad del Cliente.

14. Verificación documental: naturaleza y límites

14.1. La Plataforma podrá incorporar mecanismos automatizados, semiautomatizados o asistidos por revisión humana para apoyar la revisión, el contraste y la validación de documentos y de información de seguridad social, incluyendo la consulta de fuentes habilitadas cuando exista base jurídica y habilitación técnica para ello.

14.2. Los resultados de dichos mecanismos son elementos de apoyo y dependen de la disponibilidad, el alcance, la cobertura y la actualización de las fuentes consultadas. Acreditando no sustituye a las administradoras, autoridades ni fuentes oficiales, ni garantiza que la información de terceros sea completa o esté actualizada.

14.3. Acreditando no accede ni pretende acceder directamente a las bases de datos del Sistema de Seguridad Social Integral ni a la Planilla Integrada de Liquidación de Aportes. Cuando la operación exija acreditar aportes, el soporte correspondiente es aportado por el obligado o por el Titular, quien conserva el control sobre su entrega.

14.4. Ninguna decisión que produzca efectos jurídicos relevantes sobre una persona se adoptará exclusivamente con base en un tratamiento automatizado sin posibilidad de revisión humana. Todo rechazo o restricción es revisable por el Cliente a solicitud del interesado, a través de los canales previstos en la cláusula 48.

15. SkillPass: biblioteca transversal de credenciales laborales

15.1. SkillPass es un repositorio transversal y permanente operado por Acreditando, en el que se registran, custodian, verifican y mantienen actualizadas las credenciales laborales de trabajadores, contratistas y personal de proveedores: formación, capacitación, entrenamiento, certificación de competencias, licencias, permisos, conceptos de aptitud ocupacional y afiliación al Sistema de Seguridad Social Integral.

15.2. A diferencia de los demás módulos, el perfil SkillPass no pertenece al Dominio de un Cliente: es único por persona y se mantiene con independencia del evento, la operación o el Cliente que originó su creación, con el fin de evitar que el mismo trabajador deba aportar repetidamente los mismos soportes ante cada operación.

15.3. Acreditando actúa como Responsable del Tratamiento respecto de la base de datos SkillPass. En consecuencia, y conforme al artículo 17 de la Ley 1581 de 2012, asume directamente frente al Titular los deberes de garantizar el ejercicio del habeas data, solicitar y conservar copia de la autorización, informar la finalidad de la recolección y los derechos que le asisten, conservar la información en condiciones de seguridad, garantizar su veracidad, calidad y actualización, tramitar consultas y reclamos, adoptar manual interno de políticas y procedimientos, informar el uso dado a los datos, reportar las violaciones a los códigos de seguridad y cumplir los requerimientos de la Superintendencia de Industria y Comercio.

Base jurídica del perfil

15.4. La creación de un perfil SkillPass requiere autorización previa, expresa e informada del Titular en favor de Acreditando, obtenida por un medio que pueda ser objeto de consulta posterior, conforme al artículo 9 de la Ley 1581 de 2012. Dicha autorización deberá informar todas las finalidades específicas del Tratamiento, incluida expresamente la conservación transversal del perfil y su puesta a disposición de otros Clientes en operaciones futuras, en los términos del artículo 2.2.2.25.2.2 del Decreto 1074 de 2015.

15.5. El cargue de la información del personal corresponde al Proveedor, que actúa como Responsable del Tratamiento de los datos de su personal y como fuente de la información frente a Acreditando, y se obliga a: (i) haber obtenido de cada Titular la autorización descrita en el numeral anterior, con mención expresa de Acreditando como Responsable de SkillPass y de la finalidad transversal; (ii) declarar ante Acreditando que dicha autorización fue obtenida, y conservar y entregar su prueba cuando esta la solicite; (iii) garantizar la veracidad, exactitud y vigencia de los soportes aportados; y (iv) informar de inmediato a Acreditando cualquier revocatoria o solicitud de supresión que reciba de un Titular.

15.6. Mientras no conste la autorización del Titular en favor de Acreditando, el perfil permanecerá en estado provisional, limitado a la operación que originó el cargue, sin alimentar la biblioteca transversal ni ser consultable por Clientes distintos. Acreditando pondrá a disposición del Titular un mecanismo gratuito y de fácil acceso para reclamar su perfil, conocer su contenido, autorizar el uso transversal, rectificarlo y solicitar su supresión.

15.7. Acreditando pondrá a disposición del Titular su propia política de tratamiento y aviso de privacidad, con el contenido mínimo exigido por los artículos 2.2.2.25.3.1, 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto 1074 de 2015, y conservará el modelo de aviso empleado, conforme al artículo 2.2.2.25.3.4 del mismo decreto.

Acceso de los Clientes al perfil

15.8. El acceso de un Cliente al perfil SkillPass de una persona opera por niveles escalonados, cada uno con su propia base jurídica: (a) Nivel de verificación, que muestra únicamente el estado de cumplimiento y las fechas de vigencia, sin exponer documentos; (b) Nivel documental, que permite acceder a los soportes, y que requiere autorización del Titular referida a esa entrega; y (c) Nivel ampliado, que expondría el historial de operaciones, Clientes o eventos anteriores de la persona.

15.9. El Nivel ampliado no se encuentra habilitado. Acreditando no expone a un Cliente el historial de vinculaciones, Clientes, eventos o desempeño de una persona, ni construye índices, calificaciones, puntajes, rankings ni valoraciones de idoneidad, reputación o confiabilidad.

15.10. La entrega de datos a un Cliente que los tratará bajo su propia responsabilidad constituye una transferencia en los términos del artículo 2.2.2.25.1.3 del Decreto 1074 de 2015. Dado que ni la Ley 1581 de 2012 ni dicho decreto establecen una excepción de consentimiento para las transferencias nacionales entre responsables —la exención del artículo 2.2.2.25.5.1 opera solo para transmisiones a Encargados amparadas por contrato—, cada entrega requiere autorización del Titular que cubra esa finalidad. El Cliente receptor asume, respecto de lo recibido, los deberes del Responsable.

Conceptos de aptitud y datos de salud

15.11. La información de salud es dato sensible conforme al artículo 5 de la Ley 1581 de 2012 y su Tratamiento está prohibido salvo autorización explícita del Titular, en los términos del artículo 6 de la misma ley y de la cláusula 20.

15.12. La Resolución 1843 de 2025 del Ministerio del Trabajo, que derogó la Resolución 2346 de 2007 y la Resolución 1918 de 2009, dispone que la custodia, archivo y conservación de la historia clínica ocupacional corresponde a la institución prestadora de servicios de medicina en seguridad y salud en el trabajo que generó la atención (artículo 30); que dicha historia y los exámenes o valoraciones que en ella reposen son estrictamente confidenciales y hacen parte de la reserva profesional (artículo 31); y que al empleador o contratante se le remite únicamente el concepto médico ocupacional, con las restricciones y recomendaciones aplicables, sin diagnóstico (artículo 4, literal i). El literal b) del artículo 30 prohíbe al empleador tener, conservar o anexar copia de la historia clínica ocupacional, salvo que cuente simultáneamente con autorización expresa del trabajador y con un médico especialista en seguridad y salud en el trabajo vinculado o un servicio de medicina laboral habilitado.

15.13. En consecuencia, SkillPass almacena exclusivamente el concepto o certificado de aptitud ocupacional —incluidas sus restricciones y recomendaciones y su fecha de vigencia— y no almacena, no transporta y no pone a disposición historias clínicas ocupacionales, exámenes médicos, resultados paraclínicos, diagnósticos ni soportes clínicos de ninguna clase. La Plataforma rechazará el cargue de dichos documentos y Acreditando podrá suprimirlos cuando los detecte, informando al Cliente que los aportó.

Finalidad, vigencia y supresión

15.14. SkillPass tiene por finalidad facilitar a cada Contratante de la cadena —al Cliente respecto de los Proveedores que contrata, y al Proveedor respecto de su propio personal y de sus subcontratistas— el cumplimiento de deberes legales propios, en particular los previstos en el numeral 3 del artículo 2.2.4.6.28 del Decreto 1072 de 2015 —verificar la afiliación al Sistema General de Riesgos Laborales de proveedores y contratistas— y en el numeral 6 del mismo artículo —verificar periódicamente, durante la ejecución del contrato, el cumplimiento de la normativa de seguridad y salud en el trabajo—, así como la verificación que el numeral 6 del artículo 2.2.4.2.2.15 del mismo decreto, en la redacción del Decreto 1273 de 2018, atribuye al contratante, y el conteo de personal vinculado bajo cualquier modalidad para efectos de los Estándares Mínimos de la Resolución 0312 de 2019 del Ministerio del Trabajo.

Quién responde por qué. SkillPass no traslada a Acreditando ni al Cliente las obligaciones que la ley radica en el empleador o contratante directo. La afiliación al Sistema General de Riesgos Laborales, la capacitación, el reentrenamiento, el examen ocupacional y la vigencia de los certificados de su personal son responsabilidad del Proveedor. La Plataforma registra, contrasta y alerta; no sustituye ese deber ni lo absorbe.

15.15. Cuando la operación involucre trabajo en alturas, SkillPass podrá registrar el certificado de capacitación y entrenamiento o la certificación de competencia laboral exigidos por el artículo 9 de la Resolución 4272 de 2021 del Ministerio del Trabajo, así como los soportes de reentrenamiento. La determinación de la vigencia y de los eventos que hacen exigible el reentrenamiento corresponde al Proveedor, en su calidad de empleador o contratante directo del trabajador, sin perjuicio de la parametrización que el Cliente defina para su operación. Los certificados expedidos en el marco del Subsistema de Evaluación y Certificación de Competencias regulado por el Decreto 947 de 2022 conservan la vigencia que dicha norma les atribuye; la Plataforma reproduce el certificado aportado y no altera, extiende ni reduce su vigencia legal.

15.16. El resultado que arroje SkillPass no constituye certificación, homologación, habilitación ni dictamen técnico o jurídico. La suficiencia de los soportes y la aptitud del trabajador para la tarea son responsabilidad del Proveedor; la decisión de permitir el ingreso a la operación es del Cliente, Promotor u Organizador. Ninguna de las dos corresponde a Acreditando.

15.17. Conforme al artículo 2.2.2.25.2.8 del Decreto 1074 de 2015, los datos solo podrán conservarse durante el tiempo razonable y necesario de acuerdo con las finalidades que justificaron el Tratamiento. En consecuencia, Acreditando declarará en su política de tratamiento el período de vigencia de la base de datos, marcará como inactivos los perfiles sin actividad durante el plazo allí definido y procederá a su supresión o anonimización vencido dicho plazo, salvo que subsista una obligación legal o contractual de conservación.

15.18. El Titular podrá en todo momento revocar su autorización o solicitar la supresión de su perfil, mediante los mecanismos gratuitos y de fácil acceso previstos en el artículo 2.2.2.25.2.6 del Decreto 1074 de 2015. La solicitud solo será denegada cuando el propio Titular tenga un deber legal o contractual de permanecer en la base de datos; un acuerdo entre Acreditando y un Cliente no constituye, por sí mismo, ese deber.

15.19. SkillPass no registra información negativa. No se incorporarán reportes de incumplimiento, terminaciones de contrato, sanciones disciplinarias, calificaciones de desempeño, deudas, moras ni valoraciones de conducta. SkillPass acredita cumplimiento documental; no es un buró de referencias laborales ni una central de información sobre personas.

16. Antecedentes penales y judiciales: régimen restringido

Punto de partida

16.1. El certificado de antecedentes judiciales fue suprimido como documento por el artículo 93 del Decreto Ley 019 de 2012, según el cual ninguna persona está obligada a presentar un documento que certifique sus antecedentes judiciales ante entidades públicas o privadas. El artículo 94 del mismo decreto habilita la consulta en línea, pero sujeta la administración de los registros delictivos a la ley estatutaria de protección de datos personales.

16.2. La Corte Constitucional, en la Sentencia SU-458 de 2012, calificó el antecedente penal como dato personal negativo, semiprivado y de circulación restringida, advirtió que su acceso indiscriminado por terceros carece de finalidad legítima, señaló que su permanencia indefinida equivale a una pena perpetua y ordenó unificar las leyendas del certificado precisamente para impedir que un tercero infiera la existencia de una condena.

16.3. En la Sentencia T-113 de 2025, la Corte aplicó esas reglas a un particular que negó un servicio invocando antecedentes y una política interna de riesgo, y fijó cuatro criterios: la autonomía contractual del particular no es absoluta y debe armonizarse con los derechos fundamentales; los antecedentes penales no constituyen causal objetiva y razonable de negativa cuando carecen de conexión directa con el riesgo que se dice proteger; una investigación en curso no puede utilizarse como criterio sin sentencia en firme, porque vulnera la presunción de inocencia del artículo 29 de la Constitución; y quienes cumplieron su condena tienen derecho a reconstruir su proyecto de vida sin que el antecedente se convierta en una carga perpetua.

Regla aplicable a la Plataforma

16.4. Acreditando no administra, no construye y no comercializa bases de datos de antecedentes penales, judiciales, disciplinarios o fiscales, no consulta antecedentes por iniciativa propia, no infiere ni enriquece esa información y no genera con ella perfiles, índices, puntajes ni valoraciones de idoneidad o confiabilidad.

16.5. Queda prohibida la configuración de reglas que nieguen de manera automática, general o indiscriminada el trabajo, la acreditación o el ingreso a toda persona que registre antecedentes. Una regla de esa naturaleza es incompatible con los criterios de la Sentencia T-113 de 2025 y expone al Cliente y a Acreditando a la acción de tutela y a la actuación administrativa de la autoridad de protección de datos.

16.6. Sin perjuicio de lo anterior, el Cliente o el Proveedor que exija el requisito podrá solicitar la habilitación de un campo documental para el cargue de esta información únicamente cuando concurran, de manera simultánea y documentada, los siguientes requisitos:

(a) Base jurídica. Que exista una norma que lo exija para el cargo o la actividad concreta, o que el Cliente documente un nexo directo, específico y demostrable entre el tipo de delito y el riesgo propio de la función que la persona va a desempeñar. La fórmula "por política interna de seguridad" no constituye base jurídica.
(b) Autorización. Que el Titular otorgue autorización previa, expresa, informada y escrita para la consulta, referida a esa finalidad concreta. No puede exigirse la presentación del certificado como documento, por expresa prohibición del artículo 93 del Decreto Ley 019 de 2012.
(c) Individualización. Que la evaluación sea individual y motivada, y no una exclusión automática por categoría. La decisión debe considerar el tipo de delito, su relación con la función, el tiempo transcurrido y el cumplimiento de la pena.
(d) Medida menos restrictiva. Que el Cliente haya evaluado y descartado alternativas menos lesivas, tales como la asignación a funciones distintas, la supervisión reforzada o la restricción de acceso a zonas específicas en lugar de la exclusión total.
(e) Motivación y revisión. Que la negativa se comunique al interesado con explicación suficiente del riesgo concreto y que exista un canal para solicitar su revisión.
(f) Temporalidad. Que el dato se conserve por el tiempo estrictamente necesario para la decisión y se suprima después, sin incorporarse a un registro permanente ni transversal.

16.7. En ningún caso podrá fundarse una negativa en anotaciones, procesos en curso, investigaciones preliminares, requerimientos judiciales o cualquier situación distinta de una sentencia condenatoria en firme. La Corte Constitucional distinguió expresamente las anotaciones de los antecedentes penales en la Sentencia T-398 de 2023, y la presunción de inocencia del artículo 29 de la Constitución impide asimilarlas.

16.8. Tampoco podrá fundarse una negativa en antecedentes cuya pena se encuentre cumplida, extinguida o prescrita, conforme a la regla de la Sentencia SU-458 de 2012 sobre la caducidad del dato negativo y a la prohibición de cargas perpetuas reiterada en la Sentencia T-113 de 2025.

16.9. El ingreso de público general a un Venue no podrá condicionarse a la consulta de antecedentes. Esa práctica carece de base legal, no supera el examen de finalidad y proporcionalidad, y quedaría además comprendida en la cláusula 33.

Supuestos con base legal expresa

16.10. Se exceptúan los casos en que una norma impone o autoriza expresamente la verificación. En particular, la Ley 1918 de 2018 establece la inhabilidad de los condenados por delitos sexuales contra menores de edad para desempeñar cargos que impliquen relación directa y habitual con menores, atribuye a la Policía Nacional la administración del registro correspondiente y obliga al empleador público o privado a verificarlo en el proceso de selección y cada cuatro (4) meses durante la relación, previa autorización del aspirante y previa habilitación del solicitante por el Instituto Colombiano de Bienestar Familiar, bajo sanción de cincuenta (50) a quinientos (500) salarios mínimos legales mensuales vigentes. El Decreto 753 de 2019 reglamentó dicho régimen y exige autorización previa, expresa y escrita del aspirante, conservada en el expediente de selección, y uso exclusivo para el proceso de selección.

16.11. Existen igualmente supuestos tasados en materia de contratación estatal —entre ellos la inhabilidad de veinte (20) años prevista en el literal j) del numeral 1 del artículo 8 de la Ley 80 de 1993, adicionado por el artículo 1 de la Ley 1474 de 2011, para quienes hayan sido declarados responsables judicialmente por delitos contra la administración pública— y exigencias de certificado judicial para determinados cargos en el régimen de vigilancia y seguridad privada. Corresponde al Cliente identificar y documentar la norma concreta que invoca.

Responsabilidad y facultad de Acreditando

16.12. Quien exija y habilite la verificación —Cliente o Proveedor— asume la calidad de Responsable del Tratamiento respecto de esa información, responde por la existencia y suficiencia de la base jurídica invocada y por el cumplimiento de los requisitos del numeral 16.6, y mantendrá indemne a Acreditando en los términos de la cláusula 59.

16.13. Acreditando podrá deshabilitar unilateralmente el campo, rechazar la configuración o suspender la funcionalidad cuando advierta que la base jurídica es inexistente, insuficiente o desproporcionada, que la regla opera de forma automática o general, o que se está utilizando información distinta de una condena en firme. El ejercicio de esta facultad no constituye incumplimiento contractual.

17. Estados de acreditación y efectos

17.1. Una acreditación podrá encontrarse, entre otros, en estado pendiente, en revisión, aprobada, rechazada, bloqueada, suspendida, vencida o cancelada, según la parametrización del Dominio.

17.2. La aprobación significa que, conforme a los criterios aplicables al momento de la revisión y con la información entonces disponible, se superaron las validaciones configuradas. La aprobación no constituye garantía irrevocable de ingreso, permanencia, contratación ni participación, y podrá ser revisada, suspendida o revocada por el Cliente.

17.3. El rechazo podrá originarse en información faltante, vencida, ilegible, inconsistente, no verificable o incorrecta, y podrá acompañarse de un motivo. El interesado podrá solicitar su revisión conforme a la cláusula 48.

17.4. Una lectura técnicamente válida de una credencial no impide la aplicación de controles adicionales de identidad, seguridad, aforo o admisión por parte del Cliente o de las autoridades competentes.

18. Falsificación, alteración documental y suplantación

18.1. Podrán rechazarse o suspenderse procesos cuando existan documentos inconsistentes, alterados, ilegibles, vencidos o incompatibles con la información registrada.

18.2. Ante indicios razonables de falsificación, suplantación, manipulación fraudulenta de credenciales o uso no autorizado de información ajena, Acreditando podrá suspender cuentas o accesos, preservar evidencia digital, documentar la trazabilidad del hecho y escalar el caso al Cliente o Promotor correspondiente.

18.3. Estas conductas pueden constituir delitos tipificados en el Código Penal colombiano, entre ellos la falsedad en documento privado (artículo 289), el uso de documento público falso (artículo 291) y la falsedad personal (artículo 296), así como los delitos informáticos incorporados por la Ley 1273 de 2009, en particular el acceso abusivo a un sistema informático (artículo 269A), la violación de datos personales (artículo 269F) y la suplantación de sitios web para capturar datos personales (artículo 269G).

18.4. Acreditando pondrá la información y la evidencia disponibles a disposición de las autoridades competentes cuando exista obligación legal o requerimiento válido, e informará al Cliente afectado en la medida en que la ley y la reserva de la actuación lo permitan.

TÍTULO IV. IDENTIDAD, BIOMETRÍA, IMAGEN Y MENORES DE EDAD

19. Verificación de identidad

19.1. Cuando la operación lo requiera, la Plataforma podrá aplicar mecanismos de verificación de identidad, directamente o a través de proveedores especializados, incluyendo contraste documental, validación de vigencia del documento, prueba de vida y comparación de imagen.

19.2. Acreditando podrá conservar identificadores técnicos asociados al registro utilizado por el servicio de verificación, con la única finalidad de permitir la trazabilidad, la auditoría y la atención de reclamaciones.

19.3. Los proveedores de verificación actuarán como encargados o subencargados y estarán vinculados por obligaciones de confidencialidad, seguridad y finalidad en los términos de la cláusula 39.

20. Fotografía, identificación visual y tratamiento biométrico

20.1. La Plataforma realiza tres tratamientos distintos sobre el rostro de una persona. Aunque todos parten de una imagen facial, su naturaleza jurídica y su régimen de autorización no son los mismos, y no pueden agruparse en una sola casilla ni en una sola cláusula.

A. Fotografía para identificación visual humana

20.2. La captura de la fotografía del rostro y su despliegue en pantalla para que un operador compare visualmente al portador de la credencial con la imagen registrada es un Tratamiento de dato personal, no un tratamiento biométrico: no se extrae plantilla facial, no se ejecuta comparación automatizada y no se adopta decisión alguna por medios automáticos. La verificación la hace una persona.

20.3. Este tratamiento es condición necesaria del servicio de acreditación: sin fotografía no es posible expedir una credencial nominativa ni verificar que quien la porta es su titular. Así se informa al Titular al momento de la recolección, en los términos del artículo 12 de la Ley 1581 de 2012, y queda cubierto por la autorización general de acreditación.

20.4. La Plataforma podrá desplegar esta fotografía en los dispositivos de los operadores autorizados, con acceso restringido, registro de auditoría y sin permitir su descarga, captura ni exportación por fuera de los mecanismos previstos.

B. Verificación biométrica de identidad en evaluaciones

20.5. Cuando la Plataforma aplique evaluaciones de formación, capacitación, entrenamiento o competencias en materia de seguridad y salud en el trabajo, podrá verificar biométricamente la identidad del evaluado con la única finalidad de impedir que una persona distinta presente la evaluación en su lugar.

20.6. Esta finalidad es legítima y proporcionada: un certificado obtenido por suplantación habilita a una persona no formada para ejecutar tareas de riesgo, con consecuencias directas sobre su vida y la de terceros; compromete la confiabilidad y validez que el artículo 2.2.6.12.2.4 del Decreto 1072 de 2015 exige al subsistema de evaluación y certificación de competencias, y la imparcialidad y confiabilidad del procedimiento que su artículo 2.2.6.12.3.3 impone a los organismos certificadores; y la conducta constituye falsedad personal en los términos del artículo 296 del Código Penal, modificado por la Ley 2502 de 2025, cuya sanción se agrava cuando se comete utilizando inteligencia artificial.

20.7. La verificación se ejecutará bajo las siguientes condiciones, que forman parte del diseño del servicio y no son renunciables:

Cotejo uno a uno. La imagen capturada se compara exclusivamente contra el documento de identidad o la imagen de enrolamiento del propio Titular. No se realizan búsquedas de coincidencia contra bases de terceros ni identificación de uno contra muchos.
Plantilla efímera. La plantilla biométrica generada para el cotejo se destruye una vez producido el resultado. Se conserva la evidencia de la verificación —resultado, fecha, hora, evaluación y medio empleado—, no el dato biométrico.
Sin base centralizada. No se constituyen bases de datos biométricos centralizadas o integradas, ni se comparten plantillas biométricas con terceros.
Revisión humana. Un resultado negativo no anula automáticamente la evaluación: habilita una verificación por parte del evaluador, conforme a la cláusula 14.4.

20.8. Alternativa. El Titular que no autorice la verificación biométrica no queda excluido de la evaluación: podrá presentarla de manera presencial, con verificación de identidad efectuada directamente por el evaluador mediante cotejo de su documento. Lo que no admite alternativa es la verificación de identidad en sí misma; lo que sí la admite es el medio por el cual se verifica.

C. Reconocimiento facial en puntos de acceso

20.9. El uso de reconocimiento facial para validar el ingreso en puntos de control se rige por la cláusula 32 y exige, en todo caso, una vía alternativa de ingreso no biométrica.

Reglas comunes a los tratamientos biométricos

20.10. El artículo 5 de la Ley 1581 de 2012 califica los datos biométricos como datos sensibles y el artículo 6 prohíbe su Tratamiento salvo que medie autorización explícita del Titular. En consecuencia, para los tratamientos descritos en los literales B y C, el Cliente y Acreditando deberán:

Obtener autorización previa, expresa, informada y específica, independiente y diferenciada de la aceptación de estos Términos y de cualquier autorización general, y separada por finalidad: una autorización para la verificación en evaluaciones no habilita el reconocimiento facial en accesos, ni a la inversa.
Informar al Titular que no está obligado a autorizar el Tratamiento de datos sensibles, indicarle cuáles de los datos recolectados lo son y explicarle por qué la recolección resulta necesaria para la finalidad declarada, conforme al literal b) del artículo 12 de la Ley 1581 de 2012 y al artículo 2.2.2.25.2.3 del Decreto 1074 de 2015.
Ofrecer y mantener operativa la alternativa que corresponda a cada finalidad.
Suprimir la plantilla o el dato biométrico una vez cumplida la finalidad, o cuando el Titular lo solicite.

20.11. La aceptación de estos Términos no sustituye ni reemplaza la autorización explícita exigida para el Tratamiento de datos biométricos.

21. Uso de la imagen con fines distintos de la identificación

21.1. La fotografía incorporada a una credencial o a un perfil se trata exclusivamente con fines de identificación, control de acceso y trazabilidad de la operación.

21.2. Su uso con fines promocionales, publicitarios, comerciales, de difusión o de registro del evento requiere autorización independiente y específica del Titular, que el Cliente deberá obtener y conservar. La autorización de acreditación no habilita el uso de la imagen en piezas de comunicación, redes sociales, memorias del evento ni material institucional.

21.3. Acreditando atiende como referencia técnica la "Guía para el Tratamiento Adecuado de las Fotografías como Datos Personales" expedida por la Superintendencia de Industria y Comercio en diciembre de 2020, que advierte que el rostro puede revelar información biométrica y debe protegerse en consecuencia.

22. Niños, niñas y adolescentes

22.1. El artículo 7 de la Ley 1581 de 2012 proscribe el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos de naturaleza pública, y ordena asegurar el respeto de sus derechos prevalentes.

22.2. El artículo 2.2.2.25.2.9 del Decreto 1074 de 2015 admite dicho Tratamiento cuando responda y respete el interés superior del menor y se asegure el respeto de sus derechos fundamentales, correspondiendo la autorización al representante legal, previo ejercicio del derecho del menor a ser escuchado, cuya opinión se valorará conforme a su madurez, autonomía y capacidad de entender el asunto.

22.3. En consecuencia, la acreditación de menores de edad solo se habilitará cuando el Cliente declare y acredite que: (i) la finalidad responde al interés superior del menor; (ii) cuenta con la autorización del representante legal; y (iii) la información recolectada es la estrictamente indispensable.

22.4. No se habilitará enrolamiento biométrico de menores de edad salvo que el Cliente acredite una base jurídica específica, la autorización explícita del representante legal y la existencia de una alternativa no biométrica plenamente operativa.

22.5. Cuando la operación involucre el ingreso o la permanencia de menores, el Cliente responde por el cumplimiento de las obligaciones especiales de protección que le impone la Ley 1098 de 2006.

TÍTULO V. CUENTAS, CREDENCIALES, RESTRICCIONES Y CONDUCTA

23. Cuentas de Usuario y credenciales de acceso

23.1. Las cuentas son personales, intransferibles y nominativas. Queda prohibido compartir contraseñas, sesiones, tokens, claves de API o códigos de un solo uso.

23.2. Cada Usuario es responsable de la custodia de sus credenciales de acceso y de informar de inmediato cualquier acceso no autorizado, pérdida o compromiso.

23.3. El Cliente es responsable de la creación, modificación y revocación oportuna de las cuentas y permisos dentro de su Dominio, así como de la desvinculación de los Usuarios que cesen en sus funciones.

23.4. Acreditando podrá exigir autenticación reforzada, aplicar límites de sesión, restringir orígenes de conexión, revocar tokens y aplicar bloqueos preventivos ante conductas anómalas o riesgos de seguridad.

24. Credenciales de acreditación

24.1. Las credenciales de acreditación podrán ser personales, nominativas, transferibles o no transferibles, según la configuración de cada operación.

24.2. Cuando sean personales, queda prohibido prestarlas, cederlas, duplicarlas, alterarlas, comercializarlas o permitir su uso por persona distinta del titular.

24.3. Queda prohibido manipular, clonar, emular o interferir códigos QR, códigos de barras, etiquetas NFC, elementos biométricos, carnés, escarapelas, manillas o mecanismos equivalentes con el fin de evadir controles.

24.4. La credencial es un instrumento de control operativo y no constituye por sí misma un título, licencia, habilitación profesional ni certificación de competencias.

25. Sistema de Restricciones de Acceso

25.1. La Plataforma permite registrar y administrar restricciones de acceso instruidas por el Cliente, Promotor u Organizador. Respecto de dichas restricciones, el Cliente actúa como Responsable del Tratamiento y Acreditando actúa como Encargado, limitándose a proveer la infraestructura que ejecuta la instrucción.

25.2. Acreditando no determina autónomamente la conducta atribuida a una persona, no califica su gravedad, no genera puntajes de riesgo ni elabora perfiles reputacionales.

25.3. Las restricciones podrán tener alcance de evento, operación, promotor o Dominio. Una restricción no se extenderá automáticamente a Dominios de Clientes distintos de quien la instruyó; su eventual circulación entre responsables requerirá base jurídica propia y quedará bajo la responsabilidad de estos.

25.4. Toda restricción deberá registrar, como mínimo: la identificación del solicitante, la fecha, el alcance, el motivo, la vigencia y los soportes disponibles, así como sus modificaciones posteriores. El Cliente deberá asignar a cada restricción un término de vigencia determinado, vencido el cual la Plataforma la marcará como inactiva.

25.5. Una restricción no constituye declaración judicial de responsabilidad, antecedente, sanción ni imputación de conducta punible. Su registro no puede utilizarse como fuente para decisiones ajenas a la finalidad de control de acceso declarada.

25.6. El Titular podrá presentar consulta o reclamo sobre una restricción que lo afecte, por los canales de la cláusula 48. Acreditando trasladará el reclamo al Cliente responsable y, cuando la instrucción resulte carente de soporte o de base jurídica, podrá suspender su ejecución.

26. Usos prohibidos

26.1. Queda prohibido, de manera enunciativa y no taxativa:

Suplantar personas, cargar información falsa, alterada o manipulada, o atribuirse calidades que no se ostentan.
Compartir cuentas, acceder sin autorización a Dominios o registros ajenos, o exceder los permisos asignados.
Evadir, neutralizar o interferir controles de acceso, aforo, autenticación o validación.
Introducir software malicioso, interferir la disponibilidad del servicio o degradar deliberadamente su rendimiento.
Realizar ataques, pruebas de intrusión, escaneos o explotación de vulnerabilidades sin autorización escrita y previa de Acreditando.
Efectuar extracción masiva o automatizada de datos, indexación no autorizada, consultas abusivas o elusión de límites técnicos y de tasa.
Realizar ingeniería inversa, descompilación o desensamblaje en contravención de la ley aplicable.
Tratar datos personales para finalidades distintas de las autorizadas, o cederlos a terceros sin base jurídica.
Infringir derechos de propiedad intelectual o industrial de Acreditando o de terceros.
Utilizar la Plataforma para actividades ilícitas, fraudulentas o contrarias al orden público.

26.2. Estas conductas pueden configurar los tipos penales previstos en el Título VII BIS del Código Penal, incorporado por la Ley 1273 de 2009, cuyas penas se agravan, entre otros supuestos, cuando se aprovecha la confianza depositada por el poseedor de la información o cuando el autor tiene a su cargo la administración de la información, conforme al artículo 269H del Código Penal.

26.3. Acreditando podrá aplicar bloqueos, controles de tasa, terminación de sesiones, revocación de tokens, limitación de funcionalidades y demás medidas razonables de protección, sin perjuicio de las acciones legales que correspondan.

27. Investigación de seguridad y divulgación responsable

27.1. Acreditando valora la investigación en seguridad informática realizada de buena fe. Quien identifique una vulnerabilidad deberá reportarla de inmediato a los canales de la cláusula 75, absteniéndose de explotarla, de acceder a datos de terceros, de degradar el servicio y de divulgarla públicamente hasta que haya sido remediada.

27.2. Las pruebas de seguridad sobre la Plataforma requieren autorización escrita, previa y de alcance delimitado. Sin ella, la conducta queda comprendida en la cláusula 26 y podrá configurar los delitos de los artículos 269A y siguientes del Código Penal.

TÍTULO VI. OPERACIÓN PRESENCIAL EN SEDES, VENUES Y EVENTOS (BIOCONTROL)

28. Alcance de la operación presencial y delimitación frente al régimen de seguridad privada

28.1. Biocontrol es el módulo de la Plataforma destinado al control de acceso de visitantes, contratistas, proveedores, personal y vehículos en sedes corporativas, venues, recintos, obras y eventos, incluyendo registro de visitas, agendamiento, bloqueos por fecha, hora, tipo o día, directorio de delegados, control de ingresos y salidas, gestión vehicular y de parqueadero, credencialización y reportería.

28.2. Según lo pactado en cada contrato comercial, la prestación puede comprender una o varias de las siguientes modalidades: (i) licenciamiento y operación del software; (ii) suministro, importación, comercialización, instalación o arrendamiento de dispositivos y equipos de control de acceso; y (iii) presencia de personal de Acreditando en el sitio de la operación.

28.3. Las partes reconocen que el Decreto Ley 356 de 1994, Estatuto de Vigilancia y Seguridad Privada, establece que: los servicios de vigilancia y seguridad privada solo pueden prestarse mediante licencia o credencial expedida por la Superintendencia de Vigilancia y Seguridad Privada (artículo 3); su campo de aplicación comprende los servicios prestados con cualquier medio humano, animal, tecnológico o material, los prestados a empresas u organizaciones empresariales y la fabricación, instalación, comercialización y utilización de equipos para vigilancia y seguridad privada (artículo 4, numerales 1, 3 y 7); las empresas de vigilancia sin armas comprenden expresamente las centrales de monitoreo, los circuitos cerrados, los equipos de detección y los controles de acceso (artículo 47); quienes fabriquen, importen, comercialicen, instalen o arrienden equipos para vigilancia y seguridad privada deben registrarse ante dicha Superintendencia y quedan sometidos a su control permanente (artículo 52); y las dependencias internas que proveen seguridad a la propia organización constituyen departamentos de seguridad sujetos a licencia de funcionamiento y póliza (artículos 17, 18 y 19).

28.4. En consecuencia, Acreditando declara y se obliga a que: (a) prestará la modalidad (ii) únicamente si se encuentra registrada ante la Superintendencia de Vigilancia y Seguridad Privada conforme al artículo 52 del Decreto Ley 356 de 1994, o si dicha actividad se ejecuta a través de un tercero que cuente con la habilitación exigible; y (b) prestará la modalidad (iii), cuando implique funciones de vigilancia, control, requisa, custodia o decisión de admisión, únicamente a través de un proveedor titular de licencia vigente o bajo el esquema de seguridad del propio Cliente, absteniéndose de prestarla de forma directa mientras no cuente con la habilitación correspondiente.

28.5. Cuando el personal de Acreditando presente en el sitio se limite a soporte técnico de la Plataforma —instalación lógica, configuración, operación del software, atención de incidencias y acompañamiento de usuarios—, sin ejercer vigilancia, requisa, retención de personas, custodia de bienes ni decisión sobre la admisión, dicha actividad no constituye prestación de servicios de vigilancia y seguridad privada.

28.6. El Cliente es responsable de contar con su propio esquema de seguridad, departamento de seguridad licenciado o proveedor de vigilancia habilitado, así como de las autorizaciones, permisos y planes que la operación exija ante las autoridades competentes.

29. Registro de visitantes

29.1. En Colombia no existe norma legal que obligue con carácter general a llevar un registro de visitantes en sedes empresariales, venues o recintos. La Ley 675 de 2001 impone al administrador de la propiedad horizontal llevar los libros de actas y de registro de propietarios y residentes (artículo 51), sin extenderlo a los visitantes. El registro de visitantes es, por tanto, una medida de seguridad adoptada por el Cliente.

29.2. Al no derivar de un mandato legal, el registro debe justificarse en una finalidad legítima, determinada y previamente informada, y limitarse a los datos adecuados, pertinentes y no excesivos, conforme a los principios de finalidad y libertad del artículo 4 de la Ley 1581 de 2012.

29.3. El Cliente deberá disponer en el punto de acceso un aviso de privacidad visible que informe, como mínimo, la identidad y datos de contacto del Responsable, la finalidad del Tratamiento, los derechos del Titular y el lugar donde puede consultarse la política de tratamiento, en cumplimiento del artículo 12 de la Ley 1581 de 2012. El silencio del visitante no constituye autorización.

29.4. Los datos del registro de visitantes se conservarán por el término que el Cliente parametrice, el cual deberá ser proporcionado a la finalidad de seguridad y trazabilidad perseguida. La Plataforma aplicará por defecto períodos de conservación cortos y permitirá su ajuste documentado.

29.5. Queda prohibido utilizar el registro de visitantes para finalidades comerciales, publicitarias o de perfilamiento sin autorización independiente del Titular, y sin observar la cláusula 43.

30. Documento de identidad del visitante

30.1. La exhibición del documento de identidad para verificar la identidad del visitante es admisible cuando resulte proporcionada a la finalidad de seguridad declarada. La Plataforma permitirá configurar niveles de exigencia distintos según el tipo de visita, la zona y el nivel de riesgo.

30.2. Queda expresamente prohibido retener el documento de identidad físico del visitante como condición o contraprestación del ingreso, o entregar a cambio una ficha, carné o autorización. El artículo 395 del Código Penal sanciona a quien haga desaparecer, posea o retenga cédula de ciudadanía ajena con prisión de cuatro (4) a ocho (8) años y multa de cincuenta (50) a doscientos (200) salarios mínimos legales mensuales vigentes. Adicionalmente, la retención es desproporcionada frente al principio de finalidad del artículo 4 de la Ley 1581 de 2012, pues la identificación se satisface con la exhibición y el registro de los datos mínimos.

30.3. Acreditando no habilitará funcionalidades cuya operación normal requiera la retención del documento físico. Si un Cliente impone esa práctica en su operación, lo hará bajo su exclusiva responsabilidad y mantendrá indemne a Acreditando en los términos de la cláusula 59.

30.4. Cuando se capture imagen o copia del documento, esta se almacenará cifrada, se conservará por el término mínimo necesario y no podrá utilizarse para finalidad distinta de la acreditación, la verificación de identidad y la trazabilidad de la visita.

Nota de precisión. El artículo 395 del Código Penal está ubicado entre los delitos contra los mecanismos de participación democrática y existe discusión sobre si exige un elemento finalístico electoral. No se ubicó jurisprudencia que resuelva si la retención en portería, sin propósito electoral, configura el tipo. Aun descontando ese debate, la práctica carece de norma que la autorice y es desproporcionada en clave de protección de datos, de modo que la prohibición contractual se sostiene por esa segunda vía con independencia del debate penal.

31. Videovigilancia

31.1. Cuando Biocontrol se integre con sistemas de circuito cerrado de televisión, la captación, grabación, transmisión, almacenamiento, conservación y reproducción de imágenes de personas identificadas o identificables constituye Tratamiento de datos personales sujeto a la Ley 1581 de 2012, criterio reiterado por la Superintendencia de Industria y Comercio.

31.2. El Cliente, en su condición de Responsable, deberá: instalar avisos visibles en las áreas videovigiladas; delimitar las zonas objeto de vigilancia a las estrictamente necesarias; abstenerse de instalar cámaras en lugares de expectativa razonable de intimidad, tales como baños, vestieres, camerinos y salas de lactancia; definir períodos de conservación proporcionados; y restringir el acceso a las grabaciones a personal autorizado y con registro de auditoría.

31.3. Acreditando actúa como Encargado respecto de las imágenes que trate por cuenta del Cliente, y adoptará controles de acceso, cifrado y trazabilidad sobre dicho material.

31.4. Acreditando atiende como referencia técnica la guía "Protección de Datos Personales en Sistemas de Videovigilancia" expedida por la Superintendencia de Industria y Comercio.

31.5. Acceso de autoridades a los circuitos. El artículo 48 de la Ley 2197 de 2022 adicionó a la Ley 1801 de 2016 el artículo 237B, que facultaba a la Policía Nacional para acceder a los circuitos cerrados de vigilancia y seguridad privada con fines de prevención, identificación o judicialización. La Corte Constitucional, mediante la Sentencia C-406 de 2022, lo declaró exequible de manera condicionada: el acceso con fines de identificación y judicialización requiere autorización judicial previa en el marco de investigaciones penales dirigidas por la Fiscalía, salvo los casos de urgencia, flagrancia y aquellos que legalmente no la requieren; y declaró inexequible el acceso con fines de prevención.

31.6. En consecuencia, Acreditando no habilitará acceso permanente, interconexión automática ni entrega masiva de video a terceros, incluidas autoridades, y atenderá los requerimientos únicamente cuando se ajusten al marco descrito, dejando registro del solicitante, la norma invocada, el alcance y la fecha. El Cliente que instruya una entrega por fuera de dicho marco asume la responsabilidad que de ello se derive.

32. Reconocimiento facial y comparación biométrica en puntos de acceso

32.1. El uso de reconocimiento facial, comparación biométrica o búsqueda de coincidencias en los puntos de acceso —directamente o mediante servicios integrados de terceros— se sujeta íntegramente a la cláusula 20 y al régimen de datos sensibles del artículo 6 de la Ley 1581 de 2012.

32.2. En todo punto de acceso que opere reconocimiento facial deberá existir, de manera efectiva y señalizada, una vía alternativa de ingreso que no implique Tratamiento de datos biométricos, sin que su uso imponga al visitante una carga, demora o exposición desproporcionada frente a quienes usan la vía biométrica.

32.3. Tratándose de recintos abiertos al público, la existencia del sistema deberá informarse antes del punto de control, de modo que la persona pueda optar por la vía alternativa sin haber entregado previamente su imagen.

32.4. Queda prohibido utilizar el reconocimiento facial para finalidades distintas del control de acceso autorizado, en particular para identificación masiva indiscriminada de asistentes, perfilamiento comercial, medición de audiencia, análisis de emociones, segmentación publicitaria o seguimiento de trayectorias dentro del recinto.

32.5. Las alertas, coincidencias o listas generadas a partir de comparación biométrica se sujetan a la cláusula 25 y a la cláusula 33, y no podrán ejecutarse de manera automática: toda denegación de ingreso derivada de una coincidencia debe ser confirmada por una persona antes de producir efectos, conforme a la cláusula 14.4.

32.6. La Plataforma privilegiará el almacenamiento de plantillas biométricas irreversibles sobre la conservación de galerías de rostros, y suprimirá las plantillas al finalizar el evento u operación, salvo instrucción documentada del Cliente amparada en una finalidad legítima y un plazo determinado.

33. No discriminación en el ingreso

33.1. En Colombia no existe una norma legal que consagre la llamada "reserva del derecho de admisión". La facultad de definir condiciones de ingreso deriva de la libertad de empresa reconocida en el artículo 333 de la Constitución Política y encuentra límites constitucionales, legales y penales.

33.2. La Corte Constitucional, en la Sentencia T-1090 de 2005, amparó a personas afrodescendientes a quienes se negó el ingreso a establecimientos abiertos al público y sostuvo que estos no pueden establecer restricciones de ingreso fundadas en discriminación racial. En la Sentencia T-314 de 2011 precisó que el derecho de admisión solo es legítimo en ejercicio razonable y fundado, que no puede apoyarse en criterios sospechosos y que, acreditada la pertenencia a un grupo protegido y el trato diferenciado frente a personas en situación comparable, corresponde al establecimiento probar que la negativa no se basó en un criterio sospechoso.

33.3. En el plano penal, el artículo 134A del Código Penal, incorporado por la Ley 1482 de 2011 y modificado por la Ley 1752 de 2015, sanciona a quien arbitrariamente impida, obstruya o restrinja el pleno ejercicio de los derechos de las personas por razón de su raza, nacionalidad, sexo, orientación sexual, discapacidad y demás razones de discriminación, con prisión de doce (12) a treinta y seis (36) meses y multa de diez (10) a quince (15) salarios mínimos legales mensuales vigentes. El artículo 134B tipifica el hostigamiento y el artículo 134C agrava la pena de una tercera parte a la mitad cuando la conducta se comete en espacio público.

33.4. En consecuencia, queda prohibido configurar en la Plataforma reglas de restricción, listas, filtros, segmentaciones o criterios de admisión que utilicen, aproximen o permitan inferir origen racial o étnico, nacionalidad, sexo, identidad de género, orientación sexual, convicciones religiosas o filosóficas, opinión o afiliación política, pertenencia sindical, discapacidad, estado de salud o condición socioeconómica. Acreditando no habilitará campos ni parámetros con esa finalidad y podrá deshabilitar unilateralmente los que detecte, sin que ello constituya incumplimiento contractual.

33.5. Toda restricción de ingreso debe fundarse en conducta individual documentada y verificable, no en la pertenencia de la persona a un grupo. La trazabilidad exigida por la cláusula 25.4 constituye, además de un deber contractual, el soporte probatorio del Cliente frente a la inversión de la carga de la prueba descrita en el numeral 33.2.

33.6. Cuando el visitante tenga la calidad de consumidor frente al Cliente, este deberá observar el derecho a ser tratado equitativamente y de manera no discriminatoria reconocido en el numeral 1.12 del artículo 3 de la Ley 1480 de 2011.

34. Accesibilidad de personas con discapacidad

34.1. La Ley Estatutaria 1618 de 2013 obliga a las entidades públicas y privadas prestadoras de servicios a seguir los postulados del diseño universal, de manera que no se excluya o limite el acceso en condiciones de igualdad (artículo 14, numeral 1); a brindar atención prioritaria en filas y turnos (artículo 14, numeral 7); y a que teatros, auditorios, cines y espacios culturales adecuen sus instalaciones (artículo 14, numeral 10). Su artículo 2, numeral 5, clasifica las barreras en actitudinales, comunicativas y físicas. La Ley 361 de 1997 exige, por su parte, que los edificios abiertos al público se construyan, amplíen y reformen de manera accesible (artículos 47, 48, 50 y 52).

34.2. En consecuencia, toda vía de acceso automatizada —torniquete, talanquera, lector biométrico o terminal de autoservicio— deberá contar con una alternativa accesible y atendida por personal, sin que ello implique demoras o condiciones desproporcionadas para la persona con discapacidad.

34.3. La Plataforma permitirá identificar y priorizar la atención de personas con discapacidad cuando el Titular lo autorice y bajo estricta minimización, sin que ello habilite el registro de diagnósticos ni de datos de salud. La adecuación física del recinto corresponde al Cliente o al titular del venue.

34.4. La discapacidad fue incorporada expresamente como causal de discriminación punible por la Ley 1752 de 2015, de modo que la exclusión derivada de un control de acceso inaccesible puede comprometer responsabilidad más allá de la contractual.

35. Menores de edad en sedes, venues y eventos

35.1. El Cliente deberá observar las obligaciones de protección de niños, niñas y adolescentes previstas en la Ley 1098 de 2006, en particular el derecho a ser protegidos contra el consumo de tabaco, sustancias psicoactivas y bebidas alcohólicas (artículo 20, numeral 3), el deber de las autoridades de diseñar mecanismos para prohibir su ingreso a establecimientos destinados a juegos de suerte y azar y a la venta de licores, cigarrillos y productos derivados del tabaco (artículo 30, parágrafo 1) y las funciones de control atribuidas a la Policía de Infancia y Adolescencia (artículo 89, numerales 4 y 5).

35.2. Las partes reconocen que el Título VI del Libro Segundo de la Ley 1801 de 2016, que contenía el régimen nacional de aglomeraciones de público y las obligaciones del organizador en materia de restricción etaria, fue declarado inexequible por la Corte Constitucional mediante la Sentencia C-223 de 2017, con efectos diferidos ya vencidos. En consecuencia, las restricciones de edad y los requisitos de autorización de eventos se rigen hoy por la reglamentación territorial aplicable y por las normas sectoriales vigentes, cuya identificación y cumplimiento corresponde al Cliente.

35.3. La Plataforma podrá parametrizar restricciones etarias, franjas horarias y zonas diferenciadas. La definición de dichas reglas, su legalidad y su correspondencia con la reglamentación local son responsabilidad exclusiva del Cliente.

35.4. El Tratamiento de datos personales de menores se sujeta íntegramente a la cláusula 22.

36. Vehículos, placas y parqueaderos

36.1. La placa de un vehículo, cuando se asocia en la Plataforma al nombre, documento, empresa o registro de ingreso de una persona natural determinada o determinable, constituye dato personal en los términos del artículo 3 de la Ley 1581 de 2012 y se tratará con las mismas garantías previstas en estos Términos.

36.2. Acreditando no es depositario, tenedor, custodio ni administrador de los vehículos, no presta el servicio de parqueadero y no responde por hurto, daño, pérdida de accesorios ni por objetos dejados en el interior de los vehículos. La Plataforma registra el ingreso, la salida y la ocupación; la custodia material corresponde a quien preste el servicio de parqueo.

36.3. Quien preste el servicio de parqueadero deberá cumplir las obligaciones que le correspondan cuando el usuario tenga la calidad de consumidor, entre ellas las del artículo 18 de la Ley 1480 de 2011, que exige expedir constancia de recibo con la fecha y hora de recepción, la identificación del bien, el estado en que se encuentra y el valor del servicio, mantener la debida custodia y responder, en zonas de parqueo gratuito, únicamente cuando medie dolo o culpa grave.

36.4. El registro electrónico de ingreso y salida generado por la Plataforma no sustituye por sí mismo dicha constancia, salvo que el Cliente lo configure expresamente para contener la información allí exigida.

36.5. El Cliente reconoce que, conforme al artículo 43 de la Ley 1480 de 2011, son ineficaces de pleno derecho las cláusulas que limiten la responsabilidad del proveedor frente al consumidor o trasladen indebidamente la carga de la prueba, de modo que un aviso de exoneración fijado en el parqueadero no produce ese efecto.

36.6. El reconocimiento automático de placas constituye Tratamiento de datos personales, se limitará a la finalidad de control de acceso y trazabilidad, y sus registros se conservarán por períodos proporcionados y parametrizados.

37. Equipos, dispositivos y personal en sitio

37.1. Cuando Acreditando suministre, instale o arriende equipos de control de acceso, lo hará observando el registro previsto en el artículo 52 del Decreto Ley 356 de 1994 y las condiciones de garantía, mantenimiento y soporte pactadas en el contrato comercial.

37.2. Salvo pacto expreso, corresponden al Cliente o al titular del venue la obra civil, las adecuaciones eléctricas, la conectividad, la energía, los permisos de instalación y las condiciones ambientales necesarias para la operación de los equipos.

37.3. El personal que Acreditando destine al sitio actúa bajo su exclusiva dirección, subordinación y dependencia, sin que se configure relación laboral, de intermediación ni de suministro de personal con el Cliente. Acreditando responde por la afiliación de dicho personal al Sistema de Seguridad Social Integral y por el cumplimiento de sus obligaciones en materia de seguridad y salud en el trabajo.

37.4. El Cliente informará a Acreditando, antes del inicio de la actividad, los peligros, riesgos y medidas de control existentes en el sitio, así como el deber de reportar accidentes de trabajo y enfermedades laborales, conforme a los numerales 4 y 5 del artículo 2.2.4.6.28 del Decreto 1072 de 2015.

37.5. Las operaciones presenciales críticas deberán contar con el plan de contingencia manual previsto en la cláusula 38.4, incluyendo modo de operación sin conectividad y procedimiento de validación alterna.

TÍTULO VII. OPERACIÓN TÉCNICA, SEGURIDAD Y TRAZABILIDAD

38. Disponibilidad, mantenimiento y niveles de servicio

38.1. Acreditando procura mantener altos niveles de disponibilidad, continuidad y desempeño, pero no garantiza un funcionamiento ininterrumpido, libre de errores o inmune a interrupciones.

38.2. Podrán presentarse ventanas de mantenimiento programado, actualizaciones, correcciones de emergencia, así como fallas de telecomunicaciones, conectividad, energía, dispositivos, redes locales, servicios de terceros o eventos ajenos al control razonable de Acreditando.

38.3. Los compromisos cuantitativos de disponibilidad, tiempos de respuesta, soporte y escalamiento, si los hubiere, serán exclusivamente los pactados en el acuerdo de nivel de servicio suscrito con el Cliente. En ausencia de tal acuerdo, el servicio se presta en la modalidad "según disponibilidad razonable".

38.4. Para operaciones presenciales críticas, el Cliente deberá prever procedimientos de contingencia manual que permitan continuar la operación ante indisponibilidad de conectividad, energía o dispositivos. La ausencia de dicho plan es responsabilidad del Cliente.

39. Proveedores, subencargados e infraestructura

39.1. Acreditando podrá apoyarse en proveedores tecnológicos y subencargados especializados de cómputo en la nube, almacenamiento, comunicaciones, mensajería, seguridad, verificación de identidad, analítica, procesamiento de pagos y servicios conexos.

39.2. Acreditando seleccionará proveedores que ofrezcan garantías suficientes en materia de seguridad y confidencialidad, y les impondrá obligaciones no menos exigentes que las asumidas por Acreditando frente al Cliente.

39.3. Acreditando no está obligada a revelar públicamente su arquitectura, configuraciones, marcas de proveedores, secretos empresariales ni detalles de sus controles de seguridad. A solicitud escrita y razonable del Cliente, y bajo acuerdo de confidencialidad, podrá informar las categorías de subencargados que traten datos personales por su cuenta.

39.4. La falla, suspensión o terminación de un servicio de tercero no imputable a Acreditando no constituye incumplimiento, sin perjuicio de su deber de adoptar medidas razonables de mitigación y continuidad.

40. Integraciones, APIs y desarrollos a la medida

40.1. El uso de APIs, webhooks e integraciones se sujeta a la documentación técnica vigente, a los límites de tasa establecidos y a las credenciales asignadas, cuya custodia corresponde al Cliente.

40.2. Acreditando podrá modificar, versionar o discontinuar interfaces, procurando avisar con antelación razonable y ofrecer períodos de transición cuando ello sea técnicamente viable.

40.3. El Cliente responde por el funcionamiento, la seguridad y el cumplimiento normativo de los sistemas propios o de terceros que integre a la Plataforma, así como por el Tratamiento de datos que realice a través de dichas integraciones.

41. Auditoría, trazabilidad y valor probatorio de los registros

41.1. La Plataforma podrá registrar, entre otros: identificación del Usuario, dirección IP, agente de usuario, navegador, dispositivo, fecha, hora, zona horaria configurada en el Dominio, sesiones, creaciones, modificaciones, importaciones, consultas, aprobaciones, rechazos, lecturas de credenciales, accesos, intentos fallidos y demás eventos relevantes.

41.2. Estos registros podrán utilizarse para seguridad de la información, auditoría, trazabilidad, soporte, prevención y detección de fraude, investigación de incidentes, cumplimiento contractual y regulatorio, reportería, resolución de controversias y defensa ante reclamaciones, investigaciones o procesos.

41.3. Los registros se conservan en condiciones que permiten su consulta posterior, la verificación de su integridad y la determinación de su origen, destino, fecha y hora, conforme al artículo 12 de la Ley 527 de 1999. Las partes reconocen su admisibilidad como medio de prueba y su apreciación conforme a los criterios del artículo 11 de la misma ley.

41.4. El Cliente podrá acceder a los registros de auditoría de su propio Dominio conforme a los permisos y herramientas que la Plataforma disponga.

42. Seguridad de la información e incidentes

42.1. Acreditando adopta medidas técnicas, humanas y administrativas razonables para proteger la información contra acceso no autorizado, pérdida, alteración, destrucción, uso fraudulento o divulgación indebida, en cumplimiento del principio de seguridad del literal g) del artículo 4 y del deber previsto en el literal d) del artículo 17 de la Ley 1581 de 2012.

42.2. Ninguna medida de seguridad ofrece protección absoluta. Acreditando no garantiza la inexistencia de incidentes, pero se obliga a gestionarlos con diligencia conforme a sus procedimientos internos.

42.3. Reporte a la autoridad. Acreditando informará a la Superintendencia de Industria y Comercio las violaciones a los códigos de seguridad y los riesgos en la administración de la información de los Titulares, conforme al literal n) del artículo 17 y al literal k) del artículo 18 de la Ley 1581 de 2012, dentro del término previsto en el Título V de la Circular Única de dicha entidad.

42.4. Reporte entre las partes. Acreditando notificará al Cliente afectado, sin dilación indebida desde que tenga conocimiento efectivo, los incidentes de seguridad que afecten datos personales tratados por su cuenta, con la información disponible sobre naturaleza, categorías afectadas, medidas adoptadas y punto de contacto. Correlativamente, el Cliente notificará a Acreditando cualquier incidente originado en su Dominio, credenciales o integraciones.

42.5. Cuando el Cliente actúe como Responsable, le corresponde a él evaluar y realizar los reportes que la ley le imponga frente a la autoridad y frente a los Titulares. Acreditando le prestará asistencia razonable.

43. Comunicaciones y contacto con los Titulares

43.1. Las comunicaciones transaccionales y operativas derivadas de una acreditación —confirmaciones, credenciales, alertas de vencimiento, cambios de estado, avisos de seguridad y notificaciones de servicio— son inherentes a la prestación del servicio.

43.2. El envío de comunicaciones de carácter comercial o publicitario mediante mensajes cortos de texto, mensajería por aplicaciones o web, correo electrónico o llamadas telefónicas se sujetará a lo dispuesto en la Ley 2300 de 2023, cuyo artículo 5 extiende su régimen a las relaciones entre productores o proveedores de bienes y servicios y el consumidor comercial, y cuyo artículo 3 establece las franjas horarias permitidas.

43.3. En consecuencia, el Cliente que utilice la Plataforma para remitir comunicaciones comerciales deberá: contar con la autorización del destinatario y respetar el canal autorizado; respetar las franjas horarias legalmente previstas; abstenerse de contactar fuera de ellas o en domingos y festivos; habilitar un mecanismo ágil, sencillo y eficiente de cancelación; y consultar previamente el Registro de Números Excluidos administrado por la Comisión de Regulación de Comunicaciones.

43.4. Acreditando podrá suspender el envío de campañas cuando existan indicios razonables de incumplimiento de esta cláusula.

TÍTULO VIII. PROTECCIÓN DE DATOS PERSONALES

44. Marco aplicable

44.1. El Tratamiento de datos personales se rige por la Ley 1581 de 2012, por el Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015, por la Circular Única de la Superintendencia de Industria y Comercio y por la Política de Tratamiento de Datos Personales de Acreditando, los avisos de privacidad y las autorizaciones aplicables a cada operación.

44.2. Cuando la operación se desarrolle fuera de Colombia, se observarán adicionalmente las disposiciones imperativas de la jurisdicción correspondiente, conforme al Título XI.

45. Roles: Responsable y Encargado

45.1. Acreditando actúa como Responsable del Tratamiento respecto de: la base de datos SkillPass, en los términos de la cláusula 15; los datos de sus propios clientes y contactos comerciales; los datos de las cuentas de Usuario en lo relativo a su administración, seguridad y autenticación; los registros de auditoría y seguridad; y los datos necesarios para el cumplimiento de sus obligaciones legales, contables y tributarias.

45.2. Acreditando actúa como Encargado del Tratamiento respecto de los datos personales de Acreditados y demás titulares que trate por cuenta y siguiendo instrucciones documentadas del Cliente o del Proveedor, según quién ostente la calidad de Responsable sobre la información de que se trate. Tratándose de la documentación del personal acreditado, el Responsable ordinario es el Proveedor que lo vincula.

45.3. La calificación de una operación concreta atenderá a quién determina las finalidades y los medios esenciales del Tratamiento, con independencia de la denominación que las partes empleen.

46. Obligaciones del Cliente y del Proveedor como Responsables

46.1. Las obligaciones de este numeral recaen sobre quien ostente la calidad de Responsable respecto de cada conjunto de datos: el Proveedor respecto de la información de su personal, y el Cliente respecto de la información que él determine y de la parametrización de su Dominio. Cada uno se obliga, en lo que le corresponda, a:

Obtener y conservar la prueba de las autorizaciones de los Titulares, incluida la autorización explícita cuando se traten datos sensibles, conforme al artículo 6 de la Ley 1581 de 2012.
Cumplir el deber de informar al Titular la finalidad, los derechos que le asisten y el carácter facultativo de responder preguntas sobre datos sensibles o de menores, conforme al artículo 12 de la Ley 1581 de 2012.
Adoptar y mantener una política de tratamiento de datos personales y un aviso de privacidad propios.
Impartir instrucciones lícitas, determinadas y documentadas, y abstenerse de utilizar la Plataforma para finalidades no autorizadas.
Atender las consultas y reclamos de los Titulares en los términos de los artículos 14 y 15 de la Ley 1581 de 2012.
Cumplir, cuando le sea exigible, la obligación de registrar sus bases de datos en el Registro Nacional de Bases de Datos, conforme al artículo 25 de la Ley 1581 de 2012 y a los artículos del Capítulo 26 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015, modificados por el Decreto 090 de 2018.
Informar oportunamente a Acreditando las supresiones, revocatorias de autorización y solicitudes de los Titulares que deban ejecutarse en la Plataforma.

46.2. El Cliente no responde por las autorizaciones que corresponda obtener al Proveedor, ni el Proveedor por las decisiones de admisión y parametrización que corresponden al Cliente. Ninguno de los dos puede trasladar a Acreditando las obligaciones que la ley le atribuye en su propia calidad.

47. Obligaciones de Acreditando como Encargado

47.1. En su calidad de Encargado, y conforme al artículo 18 de la Ley 1581 de 2012 y al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, Acreditando se obliga a: dar Tratamiento a los datos únicamente conforme a las instrucciones del Responsable y a los principios que los tutelan; salvaguardar la seguridad de las bases de datos; y guardar confidencialidad respecto de la información tratada.

47.2. Adicionalmente, Acreditando se obliga a: conservar la información en condiciones de seguridad; actualizar, rectificar o suprimir los datos cuando el Responsable lo instruya; permitir el acceso únicamente a personal autorizado y sujeto a deberes de confidencialidad; registrar en las bases de datos la leyenda "reclamo en trámite" cuando corresponda; abstenerse de circular información objeto de controversia; y prestar al Responsable asistencia razonable para atender consultas, reclamos y requerimientos de autoridad.

47.3. Acreditando no utilizará el Contenido del Cliente para finalidades propias distintas de la prestación, seguridad, soporte y mejora del servicio, ni lo cederá a terceros salvo obligación legal, orden de autoridad competente o instrucción del Responsable.

48. Derechos de los Titulares y canales de atención

48.1. Los Titulares podrán ejercer los derechos reconocidos en el artículo 8 de la Ley 1581 de 2012, incluyendo conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informados sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio; revocar la autorización y solicitar la supresión cuando proceda; y acceder gratuitamente a sus datos.

48.2. El canal de atención de Acreditando es [email protected]. Recibida una solicitud que corresponda a un Dominio de un Cliente, Acreditando la trasladará sin dilación a este en su calidad de Responsable, e informará al Titular dicho traslado.

48.3. Las consultas se atenderán en el término máximo de diez (10) días hábiles, prorrogable por cinco (5) días hábiles más, y los reclamos en el término máximo de quince (15) días hábiles, prorrogable por ocho (8) días hábiles más, en los términos de los artículos 14 y 15 de la Ley 1581 de 2012.

48.4. La revocatoria de la autorización o la supresión de datos no procederá cuando exista un deber legal o contractual de conservación en cabeza del Responsable, ni mientras subsista la finalidad que legitima el Tratamiento.

49. Transmisiones y transferencias internacionales

49.1. La prestación de la Plataforma puede requerir acceso, almacenamiento, procesamiento o transmisión de información mediante infraestructura o proveedores ubicados en jurisdicciones distintas de aquella en que se genera la información.

49.2. Las transferencias internacionales se sujetan al artículo 26 de la Ley 1581 de 2012, que prohíbe transferir datos a países que no proporcionen niveles adecuados de protección, salvo que concurra alguna de las excepciones allí previstas —entre ellas la autorización expresa e inequívoca del Titular, la necesidad para la ejecución de un contrato entre el Titular y el Responsable, o la existencia de tratados internacionales de los que Colombia sea parte— o que la Superintendencia de Industria y Comercio profiera la correspondiente declaración de conformidad.

49.3. Las transmisiones internacionales entre Responsable y Encargado no requieren ser informadas al Titular ni contar con su consentimiento cuando exista un contrato de transmisión de datos personales que cumpla los requisitos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, conforme lo prevé el artículo 2.2.2.25.5.1 del mismo decreto.

49.4. Acreditando podrá adoptar, como mecanismo adicional de garantía, las cláusulas contractuales modelo reconocidas por la Superintendencia de Industria y Comercio mediante la Circular Externa 003 de 2025, cuya suscripción es facultativa y no excluye otros mecanismos legalmente admisibles.

49.5. El Cliente que instruya tratamientos internacionales deberá cumplir las obligaciones que le correspondan según su calidad y jurisdicción, y garantizar la existencia de la base jurídica aplicable.

50. Conservación, gestión documental y supresión

50.1. Como regla general operativa, la información y documentación asociada a una acreditación se conservará durante la operación correspondiente y por un período de hasta un (1) año posterior a su finalización, para fines de trazabilidad, auditoría, reportería, gestión documental, soporte y atención de reclamaciones.

50.2. Se aplicarán períodos distintos cuando exista obligación legal o contractual de conservación, requerimiento de autoridad, investigación en curso, controversia, necesidad de defensa de derechos o una finalidad legítima que lo justifique, caso en el cual la conservación se extenderá por el tiempo que dicha circunstancia imponga.

50.3. Los registros de auditoría y seguridad podrán conservarse por períodos superiores a los del Contenido del Cliente, en tanto resultan necesarios para la seguridad de la Plataforma y la defensa de derechos.

50.4. Cumplidas las finalidades y los plazos aplicables, se ejecutarán los procedimientos de supresión, anonimización, archivo o disposición final que correspondan. La anonimización irreversible no se considera conservación de datos personales.

50.5. El Cliente podrá definir, dentro de su contrato, políticas de retención más cortas o más largas, siempre que respeten los límites legales y el principio de temporalidad.

TÍTULO IX. PROPIEDAD INTELECTUAL

51. Titularidad

51.1. El software, el código fuente y objeto, la arquitectura, las interfaces, los diseños, la documentación, las APIs, las bases tecnológicas, las marcas, los nombres comerciales, los desarrollos, las metodologías y demás activos de la Plataforma son de propiedad de Acreditando o se utilizan bajo licencia legítima.

51.2. En Colombia, el soporte lógico se considera una creación propia del dominio literario conforme al artículo 1 del Decreto 1360 de 1989, y los programas de ordenador se protegen en los mismos términos que las obras literarias, tanto en su código fuente como en su código objeto, según el artículo 23 de la Decisión 351 de la Comisión del Acuerdo de Cartagena, norma comunitaria andina de aplicación directa.

51.3. Tratándose de obras cuyo titular es una persona jurídica, el plazo de protección es de setenta (70) años conforme al artículo 27 de la Ley 23 de 1982, en la redacción dada por el artículo 4 de la Ley 1915 de 2018.

52. Licencia de uso

52.1. El uso de la Plataforma no transfiere derecho alguno de propiedad intelectual. Acreditando concede al Cliente y a sus Usuarios una licencia de uso limitada, revocable, no exclusiva, intransferible, no sublicenciable y restringida al ámbito, número de usuarios, módulos y vigencia de la relación contractual.

52.2. Queda prohibida la reproducción del programa por fuera de las excepciones legales, así como su distribución, comercialización, cesión, arrendamiento, transformación o puesta a disposición de terceros sin autorización escrita. El artículo 25 de la Decisión 351 exige la autorización del titular para la reproducción de un programa de ordenador, incluso para uso personal, con excepción de la copia de seguridad.

52.3. Queda prohibida la elusión de medidas tecnológicas de protección y la alteración o supresión de la información para la gestión de derechos, conforme al régimen incorporado por la Ley 1915 de 2018.

53. Contenido del Cliente, datos agregados y anonimizados

53.1. El Contenido del Cliente es y permanece de titularidad del Cliente o de los terceros de quienes provenga. El Cliente concede a Acreditando una licencia limitada para alojarlo, procesarlo, transmitirlo, respaldarlo y mostrarlo exclusivamente con el fin de prestar, mantener, asegurar y soportar el servicio.

53.2. Acreditando podrá generar y utilizar información estadística y agregada derivada del uso de la Plataforma, siempre que se encuentre irreversiblemente anonimizada y no permita identificar, directa ni indirectamente, a un Cliente, a un Usuario ni a un Acreditado.

53.3. Acreditando no utilizará el Contenido del Cliente para entrenar modelos que puedan reproducir o revelar dicho contenido a terceros.

54. Retroalimentación y sugerencias

54.1. Las sugerencias, ideas, solicitudes de mejora y comentarios que el Cliente o los Usuarios remitan voluntariamente podrán ser utilizados libremente por Acreditando para el desarrollo de la Plataforma, sin que ello genere obligación de pago, reconocimiento de cotitularidad ni derecho de exclusividad, salvo pacto escrito en contrario.

54.2. Los desarrollos específicos contratados por el Cliente se regirán por lo pactado en el respectivo contrato. En ausencia de pacto expreso, los desarrollos incorporados al núcleo de la Plataforma permanecen bajo titularidad de Acreditando y se licencian al Cliente en los términos de la cláusula 52.

55. Componentes y servicios de terceros

55.1. La Plataforma puede incorporar componentes de software de terceros, incluidos componentes de código abierto, cuyo uso se rige adicionalmente por sus respectivas licencias.

55.2. Los servicios de terceros integrados a solicitud del Cliente se rigen por los términos de dichos terceros, cuya aceptación y cumplimiento corresponde al Cliente.

TÍTULO X. GARANTÍAS, RESPONSABILIDAD E INDEMNIDAD

56. Alcance de las garantías

56.1. Acreditando garantiza que prestará el servicio con la diligencia profesional exigible a un proveedor especializado y conforme a lo pactado en el contrato comercial correspondiente.

56.2. Salvo lo expresamente pactado, la Plataforma se provee en el estado en que se encuentra, sin garantías implícitas de idoneidad para un propósito particular, ausencia total de errores, resultados comerciales determinados ni compatibilidad con todo entorno tecnológico del Cliente.

56.3. Acreditando no garantiza la exactitud, integridad ni actualización de la información suministrada por Clientes, Usuarios, Acreditados o fuentes externas.

57. Exclusiones de responsabilidad

Acreditando no será responsable por:

Las decisiones autónomas del Cliente, Promotor u Organizador en materia de admisión, rechazo, permanencia, contratación, restricción o exclusión.
La información falsa, incompleta, desactualizada o alterada suministrada por Usuarios, Clientes, Acreditados o terceros.
La indisponibilidad, el error, la desactualización o la limitación de cobertura de fuentes externas de consulta o verificación.
Las fallas de conectividad, energía, dispositivos, redes locales, infraestructura o servicios de terceros ajenas a su control razonable.
El uso de cuentas, credenciales de acceso o credenciales de acreditación en contravención de estos Términos, incluido el uso por terceros derivado del incumplimiento del deber de custodia.
El incumplimiento por parte del Cliente o del Proveedor de sus obligaciones legales propias en materia laboral, de seguridad social, de seguridad y salud en el trabajo, de seguridad privada, de aglomeraciones de público, tributaria o de protección de datos personales, incluidas la afiliación, la capacitación, el reentrenamiento y la vigencia de los certificados de su personal.
La ausencia o insuficiencia de planes de contingencia manual en operaciones presenciales críticas.
Los daños indirectos, lucro cesante, pérdida de oportunidad de negocio, pérdida de reputación o daños consecuenciales, en la medida en que la ley permita su exclusión.

58. Limitación de responsabilidad

58.1. Las partes reconocen que el inciso final del artículo 1616 del Código Civil colombiano faculta a los contratantes para modificar convencionalmente las reglas de extensión de los perjuicios indemnizables.

58.2. En consecuencia, y salvo pacto escrito en contrario en el contrato comercial, la responsabilidad total y acumulada de Acreditando frente al Cliente, por cualquier concepto y durante cualquier período de doce (12) meses, no excederá el valor efectivamente pagado por el Cliente a Acreditando por el servicio afectado durante los doce (12) meses anteriores al hecho generador.

58.3. Esta limitación no aplica, y por lo tanto no se entiende pactada, respecto de los perjuicios causados con dolo o con culpa grave. El artículo 1522 del Código Civil dispone que la condonación del dolo futuro no vale, y el artículo 63 del mismo código establece que la culpa grave equivale al dolo en materia civil.

58.4. Tampoco se entienden limitadas ni excluidas las responsabilidades que por mandato legal no puedan ser objeto de limitación, incluidas las derivadas del régimen de protección de datos personales frente a los Titulares y frente a la autoridad de control, ni las derivadas de daños a la vida o la integridad de las personas.

58.5. Las limitaciones y exclusiones de este título se pactan entre empresarios profesionales, en el marco de una relación que no constituye relación de consumo conforme a la cláusula 6, y forman parte del equilibrio económico del contrato.

59. Indemnidad

59.1. El Cliente y el Proveedor, cada uno en lo que le corresponda conforme a la cláusula 9.7, mantendrán indemne a Acreditando, a sus socios, administradores y empleados, frente a toda reclamación, demanda, investigación, sanción, multa, condena, costo o gasto razonable de defensa que se origine en: (i) la falta o insuficiencia de las autorizaciones de los Titulares cuyos datos hayan aportado o instruido tratar; (ii) la exigencia de documentos o datos carentes de base jurídica o desproporcionados; (iii) el uso de la Plataforma para finalidades no autorizadas; (iv) las decisiones de admisión, rechazo o restricción que adopten; (v) la falsedad, inexactitud o falta de vigencia de los soportes aportados; (vi) el incumplimiento de sus obligaciones legales propias en materia laboral, de seguridad social y de seguridad y salud en el trabajo; y (vii) la infracción de derechos de terceros mediante el contenido que aporten.

59.2. Acreditando notificará al Cliente la reclamación dentro de un término razonable y le permitirá participar en su defensa, sin que ello implique renuncia a sus propios derechos.

59.3. Correlativamente, Acreditando mantendrá indemne al Cliente frente a reclamaciones de terceros por infracción de derechos de propiedad intelectual imputable exclusivamente a la Plataforma, sujeto a los límites de la cláusula 58.

60. Fuerza mayor y caso fortuito

60.1. Ninguna de las partes será responsable por el incumplimiento de sus obligaciones cuando obedezca a fuerza mayor o caso fortuito en los términos del artículo 64 del Código Civil colombiano, incluyendo de manera enunciativa desastres naturales, conmoción interna, actos de autoridad, cortes generalizados de energía o telecomunicaciones, ataques informáticos masivos de terceros y restricciones sanitarias.

60.2. La parte afectada informará el hecho a la otra tan pronto como le sea posible y adoptará medidas razonables de mitigación. Si la circunstancia se prolonga por más de treinta (30) días calendario, cualquiera de las partes podrá terminar el contrato sin indemnización, sin perjuicio de las obligaciones causadas.

TÍTULO XI. SUSPENSIÓN, TERMINACIÓN Y MODIFICACIONES

61. Suspensión y limitación del servicio

61.1. Acreditando podrá suspender o limitar cuentas, sesiones, integraciones, módulos o accesos cuando concurra: incumplimiento de estos Términos o del contrato comercial; riesgo actual de seguridad; uso abusivo o fraudulento; requerimiento válido del Cliente; mora en el pago conforme a lo pactado; orden de autoridad competente; o necesidad razonable y proporcionada de proteger la Plataforma, a los Titulares o a terceros.

61.2. Salvo que la urgencia, la seguridad o una orden de autoridad lo impidan, Acreditando informará previamente la medida al Cliente o Usuario afectado, indicando su alcance y las condiciones para su levantamiento.

61.3. La suspensión se mantendrá solo por el tiempo necesario para conjurar la causa que la originó.

62. Terminación y salida ordenada

62.1. La terminación de la relación se regirá por lo pactado en el contrato comercial. En ausencia de pacto, cualquiera de las partes podrá terminarla mediante aviso escrito con treinta (30) días calendario de antelación.

62.2. Terminada la relación, y durante un período de treinta (30) días calendario, Acreditando pondrá a disposición del Cliente los mecanismos disponibles para la exportación del Contenido del Cliente en formatos de uso común, salvo que una orden de autoridad o un deber legal lo impidan.

62.3. Vencido dicho período, Acreditando procederá a la supresión o anonimización del Contenido del Cliente conforme a la cláusula 50, salvo la información que deba conservarse por obligación legal, contractual o para la defensa de derechos.

62.4. La terminación no afecta las obligaciones causadas con anterioridad ni las cláusulas que por su naturaleza deban sobrevivir, en particular las relativas a confidencialidad, propiedad intelectual, protección de datos personales, limitación de responsabilidad, indemnidad, ley aplicable y solución de controversias.

63. Modificación de los Términos

63.1. Acreditando podrá modificar estos Términos para reflejar cambios tecnológicos, operativos, comerciales, regulatorios o de seguridad. La versión vigente será la publicada o puesta a disposición en la Plataforma, con indicación de su número de versión y fecha.

63.2. Las modificaciones sustanciales que afecten derechos u obligaciones del Cliente se comunicarán con una antelación razonable, que no será inferior a quince (15) días calendario, salvo que la urgencia regulatoria o de seguridad exija su aplicación inmediata.

63.3. Cuando la modificación implique un cambio en las finalidades del Tratamiento de datos personales o en las condiciones esenciales de la autorización, se implementará el mecanismo de información o de nueva autorización que la ley exija; la aceptación de estos Términos no suple dicha autorización.

63.4. El uso continuado de la Plataforma con posterioridad a la entrada en vigencia de una modificación implica su aceptación. El Cliente que no acepte la modificación podrá terminar la relación conforme a la cláusula 62.

TÍTULO XII. LEY APLICABLE, CONTROVERSIAS Y OPERACIÓN INTERNACIONAL

64. Ley aplicable

64.1. Estos Términos se rigen e interpretan conforme a las leyes de la República de Colombia.

64.2. Lo anterior se entiende sin perjuicio de las disposiciones imperativas del país en que se desarrolle la operación que no puedan excluirse por acuerdo de las partes, y de los derechos inderogables de los titulares de datos personales y demás sujetos protegidos por normas de orden público.

65. Solución de controversias

65.1. Etapa de arreglo directo. Surgida una controversia, las partes intentarán resolverla de buena fe mediante arreglo directo, por un término de treinta (30) días calendario contados desde la comunicación escrita que la plantee.

65.2. Jurisdicción ordinaria. Agotada dicha etapa sin acuerdo, las controversias se someterán a los jueces competentes del circuito judicial de Bogotá D.C., salvo que las partes hayan pactado cláusula compromisoria conforme al numeral siguiente.

65.3. Pacto arbitral opcional. Las partes podrán someter sus controversias a arbitraje conforme a la Ley 1563 de 2012. De pactarse, el pacto arbitral deberá constar en el contrato comercial o en documento separado inequívocamente referido a él, conforme al artículo 4 de dicha ley, y precisará el número de árbitros, el centro de arbitraje, la sede y la naturaleza del laudo; a falta de estipulación sobre esta última, el laudo se proferirá en derecho, según el artículo 3 de la misma ley. La cláusula compromisoria es autónoma respecto del contrato que la contiene, conforme al artículo 5.

65.4. Tratándose de arbitraje internacional, el acuerdo deberá constar por escrito, requisito que puede satisfacerse mediante comunicaciones electrónicas, conforme al artículo 69 de la Ley 1563 de 2012.

65.5. Nada de lo previsto en esta cláusula limita el derecho de los Titulares de datos personales a presentar quejas y reclamaciones ante la autoridad de control competente.

66. Operación en la República de Chile

66.1. Cuando la Plataforma se utilice para tratar datos de personas ubicadas en Chile, el Cliente y Acreditando observarán la normativa chilena de protección de datos personales aplicable en cada momento.

66.2. A la fecha de expedición de estos Términos rige la Ley N° 19.628 sobre protección de la vida privada. La Ley N° 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, sustituye sustancialmente dicho régimen, crea la Agencia de Protección de Datos Personales, califica expresamente los datos biométricos como datos sensibles y establece un régimen propio de transferencias internacionales.

66.3. Las partes revisarán y ajustarán sus procesos y documentación antes de la entrada en vigencia de la Ley N° 21.719, cuya fecha deberá verificarse por tratarse de una materia sujeta a modificación legislativa.

67. Operación en la República Dominicana

67.1. Cuando la Plataforma se utilice para tratar datos de personas ubicadas en República Dominicana, resultará aplicable la Ley núm. 172-13 sobre protección de datos personales, cuyo artículo 8 define los datos sensibles y cuyo artículo 76 exige el consentimiento expreso y por escrito del afectado para su Tratamiento, así como el artículo 80 en materia de transferencia internacional.

67.2. La contratación y la prueba electrónica se rigen adicionalmente por la Ley núm. 126-02 sobre comercio electrónico, documentos y firmas digitales, cuyo artículo 4 reconoce efectos jurídicos a los documentos digitales, cuyo artículo 9 les otorga la misma fuerza probatoria de los actos bajo firma privada y cuyo artículo 11 regula su conservación.

67.3. El Cliente tendrá en cuenta que la Ley núm. 172-13 no enuncia expresamente los datos biométricos dentro de la categoría de datos sensibles; no obstante, Acreditando aplicará en esa jurisdicción los mismos estándares reforzados previstos en la cláusula 20, por razones de consistencia operativa y de gestión de riesgo.

68. Otras jurisdicciones

68.1. El despliegue de la Plataforma en una jurisdicción distinta de las mencionadas requerirá una revisión jurídica local previa, orientada a verificar, como mínimo: el régimen de protección de datos personales y de datos sensibles; las exigencias en materia de biometría; las reglas sobre menores de edad; los requisitos de contratación electrónica y valor probatorio; el régimen de seguridad privada y control de acceso; y las obligaciones aplicables a espectáculos públicos y aglomeraciones.

68.2. El Cliente que opere en una jurisdicción distinta declara conocer y cumplir la normativa local que le resulte aplicable, y se obliga a informar a Acreditando cualquier requisito que exija ajustes en la configuración de la Plataforma.

69. Cumplimiento normativo, sanciones y conducta empresarial

69.1. Las partes se obligan a cumplir la normativa aplicable en materia de prevención del lavado de activos y la financiación del terrorismo, anticorrupción y régimen de sanciones internacionales, y a abstenerse de utilizar la Plataforma para eludirla.

69.2. Cada parte declara que los recursos involucrados en la relación provienen de actividades lícitas y que no se encuentra incursa en listas restrictivas vinculantes para Colombia.

69.3. El incumplimiento de esta cláusula faculta a la parte cumplida para terminar la relación de manera inmediata, sin indemnización a su cargo.

TÍTULO XIII. DISPOSICIONES FINALES

70. Cesión

70.1. El Cliente no podrá ceder su posición contractual ni los derechos derivados de estos Términos sin autorización escrita previa de Acreditando.

70.2. Acreditando podrá ceder su posición contractual en casos de fusión, escisión, transformación, reorganización empresarial o enajenación de la línea de negocio, informando al Cliente y garantizando la continuidad de las condiciones pactadas y del régimen de protección de datos personales.

71. Divisibilidad

71.1. Si alguna disposición de estos Términos fuera declarada inválida, ineficaz o inaplicable por autoridad competente, dicha declaración no afectará la validez de las demás, que continuarán produciendo plenos efectos.

71.2. La disposición afectada se entenderá sustituida por aquella válida que más se aproxime a la intención original de las partes.

72. Notificaciones

72.1. Las comunicaciones entre las partes se surtirán por escrito, mediante correo electrónico a las direcciones registradas, a través de las notificaciones internas de la Plataforma o en las direcciones físicas informadas.

72.2. Las comunicaciones electrónicas se entenderán recibidas conforme a las reglas de la Ley 527 de 1999. Es obligación de cada parte mantener actualizados sus datos de contacto.

73. Integridad del acuerdo

73.1. Estos Términos, junto con el contrato comercial, sus anexos y las políticas referidas, constituyen el acuerdo íntegro entre las partes respecto de su objeto y sustituyen cualquier entendimiento previo, verbal o escrito, sobre la misma materia.

73.2. La tolerancia o el no ejercicio de un derecho no constituye renuncia al mismo ni modifica lo pactado.

74. Idioma

74.1. La versión en idioma castellano de estos Términos es la única auténtica y prevalece sobre cualquier traducción, que se entregará únicamente con fines informativos.

75. Contacto y canales de atención

75.1. Para asuntos relacionados con estos Términos, soporte general, consultas sobre la Plataforma, reporte de incidentes de seguridad y ejercicio de derechos de los Titulares, el canal de contacto es [email protected].

75.2. Las decisiones propias de acreditación, participación, contratación, admisión o restricción instruidas por un Cliente, Promotor u Organizador serán remitidas al responsable de la operación correspondiente, de lo cual se informará al solicitante.

76. Vigencia y control de versiones

76.1. Estos Términos entran en vigencia en la fecha indicada en su portada y sustituyen íntegramente las versiones 1.0, 2.0, 2.1 y 2.2.

76.2. Acreditando conservará el histórico de versiones y podrá acreditar, mediante sus registros electrónicos, la versión vigente al momento de cada aceptación, en los términos de las cláusulas 4 y 41.

ANEXO A. MATRIZ DE FUNDAMENTO NORMATIVO

Esta matriz vincula cada cláusula con la norma colombiana que la sustenta. Todas las normas citadas fueron verificadas contra fuentes oficiales o repositorios normativos de entidades públicas a la fecha de expedición de este documento. No se incluye ninguna norma cuya existencia o vigencia no haya podido confirmarse.

Cláusula	Materia	Norma / fuente	Artículo
Preámbulo; 4	Validez del contrato electrónico y de la aceptación	Ley 527 de 1999	Arts. 5, 6, 7, 14
4.2	Firma electrónica y requisitos de confiabilidad	Decreto 1074 de 2015 (compila Decreto 2364 de 2012), Cap. 47	Arts. 2.2.2.47.1 a 2.2.2.47.8
4.3; 41.3; 72.2	Conservación de mensajes de datos	Ley 527 de 1999	Art. 12
4.4; 41.3	Admisibilidad y valoración probatoria de los mensajes de datos	Ley 527 de 1999	Arts. 10 y 11
6	Definición de consumidor y exclusión de la relación de consumo B2B	Ley 1480 de 2011	Art. 5, num. 3
6.3 (nota)	Cláusulas abusivas — solo frente a consumidores	Ley 1480 de 2011	Arts. 42 y 43
8	Productor de espectáculo público y contribución parafiscal	Ley 1493 de 2011	Arts. 3, 7 y 10
8; 28.3	Licencia o credencial para prestar servicios de vigilancia y seguridad privada	Decreto Ley 356 de 1994	Art. 3
28.3	Campo de aplicación: medios tecnológicos, servicios a empresas y equipos de seguridad	Decreto Ley 356 de 1994	Art. 4, nums. 1, 3 y 7
28.3	Vigilancia sin armas: comprende expresamente los controles de acceso	Decreto Ley 356 de 1994	Art. 47
28.3; 37.1	Registro ante SuperVigilancia de quien fabrica, importa, comercializa, instala o arrienda equipos	Decreto Ley 356 de 1994	Art. 52
28.3	Departamentos de seguridad: definición, póliza y licencia de funcionamiento	Decreto Ley 356 de 1994	Arts. 17, 18 y 19
8; 15.15	Subsistema de Evaluación y Certificación de Competencias	Decreto 947 de 2022 (adiciona Cap. 12 al D. 1072 de 2015)	Arts. 2.2.6.12.1.1 y ss.
8	No operador de información financiera o crediticia	Ley 1266 de 2008	Arts. 1 y 2
11.2; 46	Deber de informar al Titular	Ley 1581 de 2012	Art. 12
12.2	Principios de finalidad y de acceso y circulación restringida	Ley 1581 de 2012	Art. 4, lits. b) y f)
13.1	Principio de veracidad o calidad	Ley 1581 de 2012	Art. 4, lit. d)
15.14	Deber del contratante de verificar afiliación a riesgos laborales y cumplimiento de SST de contratistas	Decreto 1072 de 2015	Art. 2.2.4.6.28, nums. 3 y 6
15.14	Obligaciones del contratante frente a contratistas por prestación de servicios	Decreto 1072 de 2015, mod. por Decreto 1273 de 2018	Art. 2.2.4.2.2.15, num. 6
15.14	Estándares Mínimos del SG-SST; cobertura de contratistas y trabajadores en misión	Resolución 0312 de 2019 (MinTrabajo)	Arts. 2 y 23
15.15	Certificado de capacitación o certificación de competencia para trabajo en alturas	Resolución 4272 de 2021 (MinTrabajo)	Arts. 9 y 10
14.3	Reglas de recaudo de aportes y planilla integrada (PILA)	Resolución 2388 de 2016 (MinSalud) y modificatorias	Norma general
16	Antecedente penal como dato negativo de circulación restringida	Corte Constitucional, Sentencia SU-458 de 2012	Ratio decidendi
15.3; 45.1	Deberes del Responsable del Tratamiento	Ley 1581 de 2012	Art. 17, lits. a) a o)
15.4	Autorización previa, expresa e informada, consultable con posterioridad	Ley 1581 de 2012	Art. 9
15.4	Deber de informar todas las finalidades específicas al momento de la recolección	Decreto 1074 de 2015	Art. 2.2.2.25.2.2
15.7	Contenido de la política de tratamiento y del aviso de privacidad; prueba del aviso	Decreto 1074 de 2015	Arts. 2.2.2.25.3.1 a 2.2.2.25.3.4
15.10	Definición de transferencia; el receptor es Responsable, dentro o fuera del país	Decreto 1074 de 2015	Art. 2.2.2.25.1.3
15.10	La exención de consentimiento aplica solo a transmisiones a Encargados	Decreto 1074 de 2015	Art. 2.2.2.25.5.1, num. 2
15.12; 15.13	Custodia y reserva de la historia clínica ocupacional; solo el concepto médico va al empleador	Resolución 1843 de 2025 (MinTrabajo), que derogó la Resolución 2346 de 2007	Arts. 4 lit. i), 30 y 31
15.13	Reserva de la historia clínica y quiénes pueden acceder a ella	Ley 23 de 1981; Resolución 1995 de 1999 (MinSalud)	Art. 34; art. 14
15.17	Limitaciones temporales: solo por el tiempo razonable y necesario	Decreto 1074 de 2015	Art. 2.2.2.25.2.8
15.18	Revocatoria de la autorización y supresión; causales de improcedencia	Decreto 1074 de 2015	Art. 2.2.2.25.2.6
15 (nota); 16 (nota)	Sanción a base transversal de antecedentes usada como filtro de contratación	SIC, Resolución 43121 de 2024, confirmada el 6 de agosto de 2025	Parte resolutiva
16.1	Supresión del certificado judicial y consulta en línea sujeta a la ley de datos	Decreto Ley 019 de 2012	Arts. 93 y 94
16.3; 16.8	Límites a la autonomía privada; nexo directo, individualización, motivación y no perpetuidad	C. Const., Sentencia T-113 de 2025	Ratio decidendi
16.7	Presunción de inocencia	Constitución Política	Art. 29
16.7	Distinción entre anotaciones y antecedentes penales	C. Const., Sentencia T-398 de 2023	Ratio decidendi
16.10	Inhabilidad y registro por delitos sexuales contra menores; verificación cada 4 meses	Ley 1918 de 2018	Arts. 1 a 5
16.10	Reglamentación: autorización escrita del aspirante y uso exclusivo para la selección	Decreto 753 de 2019	Art. 2
16.11	Inhabilidad de 20 años por delitos contra la administración pública	Ley 80 de 1993, art. 8 num. 1 lit. j), adicionado por Ley 1474 de 2011	Art. 1
16.11	Certificado judicial para determinados cargos en seguridad privada	Decreto Ley 356 de 1994	Arts. 9, 19, 62 y 70
2.2 (fines de la pena)	Resocialización y reinserción social como funciones de la pena	Ley 599 de 2000; Ley 65 de 1993	Art. 4; arts. 9 y 10
18.3	Falsedad en documento privado	Código Penal (Ley 599 de 2000)	Art. 289
18.3	Uso de documento público falso	Código Penal (Ley 599 de 2000)	Art. 291
18.3	Falsedad personal / suplantación	Código Penal (Ley 599 de 2000)	Art. 296
18.3; 26.2; 27.2	Delitos informáticos	Ley 1273 de 2009 (Título VII BIS del C.P.)	Arts. 269A a 269J
26.2	Agravantes por abuso de confianza y por administración de la información	Código Penal (Ley 599 de 2000)	Art. 269H
20.1	Los datos biométricos son datos sensibles	Ley 1581 de 2012	Art. 5
20.1; 20.2; 46	Prohibición y excepciones del tratamiento de datos sensibles; autorización explícita	Ley 1581 de 2012	Art. 6
20.2	Carácter facultativo de la respuesta sobre datos sensibles y de menores	Ley 1581 de 2012	Art. 12, lit. b)
20.2	Obligaciones especiales en la autorización para datos sensibles	Decreto 1074 de 2015	Art. 2.2.2.25.2.3
20.3	Alternativa de ingreso no biométrica y supresión a solicitud	SIC, Resolución 52185 de 2025	Parte resolutiva
21.3	Tratamiento de fotografías como datos personales	SIC, Guía de diciembre de 2020	Documento guía
22.1	Prohibición general de tratar datos de niños, niñas y adolescentes	Ley 1581 de 2012	Art. 7
22.2	Parámetros para el tratamiento de datos de menores	Decreto 1074 de 2015	Art. 2.2.2.25.2.9
22.5	Protección integral de niños, niñas y adolescentes	Ley 1098 de 2006	Régimen general
25	Régimen general de habeas data aplicable a listas no financieras	Ley 1581 de 2012; C. Const., Sentencia C-1011 de 2008	Régimen general
29.1	Libros a cargo del administrador: propietarios y residentes, no visitantes	Ley 675 de 2001	Arts. 3 y 51
29.2; 29.3	Principios de finalidad y libertad; deber de informar y aviso de privacidad	Ley 1581 de 2012	Art. 4, lits. b) y c); art. 12
30.2	Ocultamiento, retención y posesión ilícita de cédula ajena	Código Penal (Ley 599 de 2000)	Art. 395
31.1	La videovigilancia es Tratamiento de datos personales	Ley 1581 de 2012; SIC, Concepto 23-281341	Arts. 3 y 4
31.4	Guía oficial en materia de videovigilancia	SIC, "Protección de Datos Personales en Sistemas de Videovigilancia"	Documento guía
31.5	Acceso de la Policía a circuitos cerrados de vigilancia privada	Ley 2197 de 2022, art. 48 (adiciona art. 237B a la Ley 1801 de 2016)	Art. 237B
31.5	Exequibilidad condicionada: autorización judicial previa; inexequible el fin preventivo	C. Const., Sentencia C-406 de 2022	Parte resolutiva
33.1	Libertad de empresa como fundamento del derecho de admisión	Constitución Política	Art. 333
33.2	Prohibición de restricciones de ingreso por discriminación racial	C. Const., Sentencia T-1090 de 2005	Ratio decidendi
33.2; 33.5	Ejercicio razonable y fundado; criterios sospechosos; inversión de la carga de la prueba	C. Const., Sentencia T-314 de 2011	Ratio decidendi
33.3	Actos de racismo o discriminación	Código Penal, incorporado por Ley 1482 de 2011 y mod. Ley 1752 de 2015	Art. 134A
33.3	Hostigamiento y circunstancias de agravación en espacio público	Código Penal	Arts. 134B y 134C
33.6	Derecho del consumidor a trato equitativo y no discriminatorio	Ley 1480 de 2011	Art. 3, num. 1.12
34.1	Diseño universal, atención prioritaria y adecuación de escenarios culturales	Ley Estatutaria 1618 de 2013	Art. 2, num. 5; art. 14, nums. 1, 7 y 10
34.1	Accesibilidad de edificaciones abiertas al público	Ley 361 de 1997	Arts. 47, 48, 50 y 52
35.1	Protección de NNA frente a alcohol, tabaco y sustancias; control de ingreso	Ley 1098 de 2006	Art. 20, num. 3; art. 30, par. 1; art. 89, nums. 4 y 5
35.2	Inexequibilidad del régimen nacional de aglomeraciones (arts. 47 a 75)	C. Const., Sentencia C-223 de 2017	Parte resolutiva
36.1	La placa asociada a persona determinable es dato personal	Ley 1581 de 2012	Art. 3, lit. c)
36.3	Prestación de servicios que suponen la entrega de un bien; custodia y parqueo gratuito	Ley 1480 de 2011	Art. 18
36.5	Cláusulas abusivas ineficaces de pleno derecho	Ley 1480 de 2011	Art. 43
37.4	Deber de informar peligros y riesgos antes del inicio del contrato	Decreto 1072 de 2015	Art. 2.2.4.6.28, nums. 4 y 5
42.1	Principio de seguridad y deber de adoptar medidas	Ley 1581 de 2012	Art. 4, lit. g); art. 17, lit. d)
42.3	Deber de informar violaciones a los códigos de seguridad a la autoridad	Ley 1581 de 2012	Art. 17, lit. n); art. 18, lit. k)
42.3	Plazo y canal de reporte de incidentes	Circular Única SIC, Título V	Cap. 2, num. 2.1, lit. f)
43.2; 43.3	Canales, horarios y mensajes comerciales no solicitados	Ley 2300 de 2023	Arts. 2, 3 y 5
43.3	Competencias de la SIC y Registro de Números Excluidos	SIC, Circular Externa 001 de 2024	Instrucción
44.1; 45	Marco general de protección de datos y definiciones	Ley 1581 de 2012; Decreto 1074 de 2015, Cap. 25	Art. 3; Cap. 25
46	Registro Nacional de Bases de Datos	Ley 1581 de 2012; Decreto 1074 de 2015 (Cap. 26), mod. Decreto 090 de 2018	Art. 25; arts. 2.2.2.26.1.2 y 2.2.2.26.3.1
47.1	Deberes de los Encargados del Tratamiento	Ley 1581 de 2012	Art. 18
47.1; 49.3	Contrato de transmisión de datos personales	Decreto 1074 de 2015	Art. 2.2.2.25.5.2
48.1	Derechos de los Titulares	Ley 1581 de 2012	Art. 8
48.3	Términos de atención de consultas y reclamos	Ley 1581 de 2012	Arts. 14 y 15
49.2	Transferencia internacional: prohibición, excepciones y declaración de conformidad	Ley 1581 de 2012	Art. 26 y parágrafos
49.3	Transmisión internacional sin consentimiento cuando media contrato	Decreto 1074 de 2015	Art. 2.2.2.25.5.1
49.4	Cláusulas contractuales modelo para transferencia y transmisión	SIC, Circular Externa 003 de 2025	Modifica Título V, num. 3.2
51.2	El soporte lógico como creación del dominio literario	Decreto 1360 de 1989	Arts. 1 a 3
51.2; 52.2	Protección del programa de ordenador; reproducción sujeta a autorización	Decisión Andina 351 de 1993	Arts. 4 lit. l), 23, 24, 25 y 28
51.3	Plazo de protección cuando el titular es persona jurídica	Ley 23 de 1982, mod. por Ley 1915 de 2018	Art. 27 (mod. art. 4)
52.3	Medidas tecnológicas de protección e información de gestión de derechos	Ley 1915 de 2018	Régimen digital
58.1	Facultad de modificar convencionalmente la extensión de los perjuicios	Código Civil	Art. 1616, inc. final
58.3	Nulidad de la condonación del dolo futuro	Código Civil	Art. 1522
58.3	La culpa grave equivale al dolo en materia civil	Código Civil	Art. 63
60.1	Fuerza mayor y caso fortuito	Código Civil	Art. 64
65.3	Pacto arbitral, cláusula compromisoria y autonomía	Ley 1563 de 2012	Arts. 3, 4 y 5
65.4	Acuerdo de arbitraje internacional por escrito	Ley 1563 de 2012	Art. 69
20 (nota)	Sanciones aplicables por la autoridad de protección de datos	Ley 1581 de 2012	Arts. 19, 21, 22, 23 y 24

ANEXO B. NORMAS DE REFERENCIA PARA OPERACIÓN INTERNACIONAL

Marco de referencia para las jurisdicciones en que la Plataforma opera actualmente. Esta matriz no sustituye la revisión jurídica local exigida por la cláusula 68.

Jurisdicción	Materia	Norma	Referencia
Chile	Protección de la vida privada (régimen vigente a la fecha)	Ley N° 19.628	Régimen general
Chile	Nuevo régimen de datos personales y Agencia de Protección de Datos	Ley N° 21.719, publicada el 13 de diciembre de 2024	Vigencia diferida
Rep. Dominicana	Definición de datos sensibles	Ley núm. 172-13	Art. 8
Rep. Dominicana	Consentimiento expreso y por escrito para datos sensibles	Ley núm. 172-13	Art. 76
Rep. Dominicana	Transferencia internacional de datos	Ley núm. 172-13	Art. 80
Rep. Dominicana	Órgano de control (competencia acotada a información crediticia)	Ley núm. 172-13	Art. 29
Rep. Dominicana	Reconocimiento jurídico del documento digital	Ley núm. 126-02	Art. 4
Rep. Dominicana	Fuerza probatoria del documento digital	Ley núm. 126-02	Art. 9
Rep. Dominicana	Conservación de documentos digitales	Ley núm. 126-02	Art. 11
Rep. Dominicana	Requisitos de la firma digital	Ley núm. 126-02	Art. 31
Comunidad Andina	Protección del software como obra literaria	Decisión 351 de 1993	Art. 23