Política de tratamiento de la información y protección de datos personales

1. IDENTIFICACIÓN DEL RESPONSABLE

En adelante, "Treli" o "nosotros".

Prestación desde el exterior. Treli presta el servicio Treli AI desde fuera de Colombia, por medios electrónicos y sobre infraestructura de computación en la nube ubicada fuera del territorio colombiano. Esta circunstancia determina el régimen de transmisión y transferencia internacional de la Sección 13 y las precisiones sobre el Registro Nacional de Bases de Datos de la Sección 19. El correo de atención en español se ofrece por conveniencia y no constituye domicilio, establecimiento ni representación en Colombia.

2. ALCANCE

2.1. Esta Política aplica exclusivamente al tratamiento de datos personales realizado en el marco del servicio Treli AI, plataforma de gestión y cobranza de cartera con componentes de inteligencia artificial y comunicaciones por WhatsApp y correo electrónico. Los demás servicios de Treli, incluido Treli Suscripciones, se rigen por sus propias políticas.

2.2. Cubre los datos de:

a) Deudores y demás personas contactadas a través del servicio por cuenta de una empresa acreedora; b) representantes, usuarios y contactos de las empresas que contratan Treli AI; c) prospectos y visitantes que interactúan con Treli en el contexto de este servicio; d) proveedores y aliados vinculados a su operación.

2.3. Esta Política no regula el tratamiento que cada empresa cliente realice directamente en sus propias relaciones con sus deudores, clientes, empleados o terceros. Cada empresa cliente es responsable de su propia política de tratamiento, de sus avisos de privacidad y de las obligaciones legales que le resulten aplicables.

3. DEFINICIONES

• Autorización: consentimiento previo, expreso e informado del Titular para el Tratamiento.
• Base de Datos: conjunto organizado de Datos Personales objeto de Tratamiento.
• Dato Personal: información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato Sensible: el que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación (salud, vida sexual, datos biométricos, origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos).
• Deudor: persona que figura como obligada al pago frente a una empresa cliente y cuyos datos son tratados en Treli AI.
• Empresa cliente o Comercio: persona jurídica o natural comerciante que contrata Treli AI para gestionar su cartera.
• Encargado del Tratamiento: quien realiza el Tratamiento por cuenta del Responsable.
• Responsable del Tratamiento: quien decide sobre la base de datos y/o el Tratamiento.
• Titular: persona natural cuyos Datos Personales son objeto de Tratamiento.
• Transferencia: envío de datos a un receptor que es Responsable, dentro o fuera del país.
• Transmisión: comunicación de datos a un Encargado para que trate por cuenta del Responsable.
• Tratamiento: cualquier operación sobre Datos Personales (recolección, almacenamiento, uso, circulación, supresión).

4. QUIÉN ES RESPONSABLE DE CADA DATO

Esta es la distinción más importante de esta Política.

4.1. Qué significa que Treli sea Encargado. Respecto de los datos de los Deudores, Treli no decide las finalidades ni los medios del Tratamiento: ejecuta las instrucciones de la empresa acreedora. Treli no obtiene la autorización de esos Titulares —obtenerla y conservarla es obligación legal y contractual de la empresa acreedora— y no decide a quién se contacta, con qué frecuencia ni con qué contenido.

4.2. Formalización. Este rol está formalizado en el Anexo A de los Términos y Condiciones de Treli AI — publicado en treli.ai/tratamiento-de-datos —, que constituye el contrato de transmisión exigido por el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 y desarrolla los deberes del artículo 18 de la Ley 1581 de 2012.

4.3. Consultas y reclamos. Las consultas y reclamos de los Deudores deben dirigirse a la empresa acreedora. Si Treli recibe una directamente, la trasladará a esa empresa dentro de los dos (2) días hábiles siguientes e informará al Titular la identidad del Responsable.

4.4. Los acuerdos entre Treli y la empresa cliente no le afectan a usted. Lo que Treli y la empresa acreedora pacten entre ellas sobre distribución de riesgos, límites de responsabilidad, foro competente o solución de controversias rige únicamente entre esas dos partes. No afecta, restringe ni sustituye los derechos que la Ley 1581 de 2012 le reconoce como Titular, ni las facultades de supervisión, investigación y sanción de la Superintendencia de Industria y Comercio, conforme a las instrucciones impartidas por dicha entidad, en particular la Circular Externa 003 de 2025.

5. SI USTED RECIBIÓ UN MENSAJE DE COBRANZA

La empresa que le está cobrando es la responsable de sus datos, no Treli. Ella decidió contactarlo, definió el contenido del mensaje y debe contar con su autorización.

Usted puede, en cualquier momento:

• Solicitar que dejen de contactarlo, o indicar el canal, el día y la hora de contacto de su preferencia. Puede hacerlo respondiendo directamente en la conversación: su solicitud se escala como caso de atención para que un agente de la empresa acreedora la gestione, o dirigiéndola a esa empresa por sus propios canales. En los correos electrónicos también encontrará un enlace de baja.
• Conocer, actualizar, rectificar o suprimir sus datos, revocar su autorización o solicitar prueba de ella, dirigiéndose a la empresa acreedora.
• Solicitar la intervención de una persona frente a cualquier resultado producido por un análisis automatizado, exponer su punto de vista y controvertirlo.
• Abstenerse de responder preguntas sobre datos sensibles.

Si no sabe a quién dirigirse, escríbanos a privacidad@treli.co: le indicaremos la identidad del responsable y trasladaremos su solicitud dentro de los dos (2) días hábiles siguientes.

6. PRINCIPIOS

Treli aplica los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Adicionalmente aplica los principios de minimización de datos, privacidad desde el diseño y por defecto, responsabilidad demostrada y supervisión humana sobre los procesos automatizados.

7. DATOS PERSONALES QUE TRATAMOS

7.1. Datos de Deudores (Treli como Encargado)

7.2. Datos de representantes, usuarios y contactos (Treli como Responsable)

Nombre completo, tipo y número de documento, cargo y relación con la organización, correo electrónico corporativo, teléfono, razón social y NIT de la empresa, credenciales y datos de autenticación, identificador de usuario, rol y permisos, registros de inicio de sesión, dirección IP, identificador de dispositivo y navegador, registros de actividad y auditoría dentro del servicio, datos de facturación e historial de pagos de la suscripción, registros de comunicaciones con Treli, e información necesaria para validación, debida diligencia y consulta en listas restrictivas.

7.3. Datos de prospectos y visitantes (Treli como Responsable)

Datos de contacto suministrados en formularios, solicitudes de demostración o eventos; dirección IP; datos de navegador, dispositivo y sistema operativo; páginas visitadas y eventos de uso; e identificadores obtenidos mediante cookies conforme a la Sección 18.

7.4. Datos sensibles

Treli no solicita ni requiere datos sensibles, y las empresas clientes tienen prohibido cargarlos deliberadamente. Si un Titular los remite espontáneamente en un mensaje o adjunto —por ejemplo, información de salud al explicar un motivo de no pago— se tratan únicamente para la finalidad de cobranza y con las medidas reforzadas de la Sección 15. Ninguna persona está obligada a suministrar datos sensibles ni a responder preguntas sobre ellos.

7.5. Datos de menores de edad

Treli AI no está dirigido a menores y no se recolectan deliberadamente sus datos. Si se detecta el tratamiento de datos de un menor sin la autorización de su representante legal y sin respeto del interés superior del niño (artículo 7 de la Ley 1581 de 2012 y Sentencia C-748 de 2011), se procederá a su supresión y se informará a la empresa cliente correspondiente.

7.6. Datos financieros y crediticios

Treli no es fuente, operador ni usuario de información en los términos de la Ley 1266 de 2008 y no reporta información a centrales de riesgo. Los datos de la obligación se tratan exclusivamente para la gestión de cobranza instruida por la empresa cliente. Cualquier reporte a operadores de información es decisión y responsabilidad exclusiva de esa empresa, que debe cumplir el deber de notificación previa y las demás obligaciones de la Ley 1266 de 2008 y la Ley 2157 de 2021.

8. FINALIDADES DEL TRATAMIENTO

8.1. Como Encargado (por instrucción de la empresa cliente)

1. Registrar, normalizar y mantener la información de cartera.
2. Programar, generar y enviar comunicaciones de cobranza por WhatsApp y correo electrónico, según las plantillas y cadencias que la empresa configura.
3. Recibir, almacenar y procesar las respuestas de los Titulares.
4. Analizar automáticamente el contenido de mensajes y adjuntos mediante modelos de inteligencia artificial, conforme a la Sección 11.
5. Escalar conversaciones a los agentes humanos de la empresa y gestionar casos de operación.
6. Generar estados de cuenta y cartas de cobranza en PDF.
7. Registrar y honrar preferencias de contacto y solicitudes de no contacto, conforme a la Sección 17.
8. Producir indicadores de recaudo y analítica para la empresa.
9. Conservar registros de auditoría de las comunicaciones y de las invocaciones a los modelos de IA.

8.2. Como Responsable (finalidades propias de Treli)

1. Gestionar el proceso comercial: atender solicitudes de información, cotizaciones, demostraciones y pilotos.
2. Celebrar, ejecutar, administrar y terminar el contrato de prestación del servicio.
3. Crear y administrar cuentas, credenciales, roles y permisos.
4. Facturar, recaudar y gestionar la cartera propia derivada de la suscripción.
5. Prestar soporte técnico, capacitación y acompañamiento en la implementación.
6. Enviar comunicaciones operativas: avisos de servicio, mantenimientos, incidentes y cambios contractuales o normativos.
7. Garantizar la seguridad del servicio: prevención de fraude, detección de accesos no autorizados, auditoría y trazabilidad.
8. Elaborar estadísticas internas y métricas de uso, preferentemente sobre datos agregados o desidentificados.
9. Mantener, mejorar y desarrollar el producto.
10. Cumplir obligaciones legales, contables, tributarias y de reporte ante autoridades competentes.
11. Adelantar verificaciones en materia de lavado de activos, financiación del terrorismo, sanciones internacionales y anticorrupción.
12. Ejercer y defender derechos en sede administrativa, judicial o arbitral.
13. Gestionar relaciones con proveedores y procesos de selección de personal.
14. Enviar comunicaciones comerciales sobre productos y servicios de Treli, únicamente cuando exista autorización y con mecanismo permanente de baja.

9. AUTORIZACIÓN Y BASES DEL TRATAMIENTO

9.1. Bases aplicables. Treli trata datos personales con fundamento en: la autorización previa, expresa e informada del Titular cuando sea requerida; la ejecución de una relación contractual o de medidas precontractuales; el cumplimiento de obligaciones legales o regulatorias; la atención de requerimientos o procesos administrativos, judiciales o arbitrales; y las demás bases habilitantes previstas por la ley.

9.2. Obtención. Como Responsable, Treli obtiene la autorización por medios que permiten su posterior consulta: casillas de aceptación en formularios y en el registro, cláusulas en contratos y órdenes de servicio, correos de aceptación y registros electrónicos con sello de tiempo. Conforme a la Ley 527 de 1999, estos medios tienen plena validez probatoria.

9.3. Casos en que no se requiere autorización. Conforme al artículo 10 de la Ley 1581 de 2012: información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el Registro Civil de las Personas.

9.4. Autorización de los Deudores. Conforme a la Sección 4, la autorización de los Deudores es obtenida y conservada por la empresa acreedora, que declara contractualmente contar con ella y que dicha autorización comprende la transmisión y transferencia internacional de los datos a Treli y a sus encargados. El Anexo I contiene un texto modelo.

9.5. Revocatoria. El Titular puede revocar su autorización en cualquier momento, total o parcialmente, salvo que exista un deber legal o contractual que lo impida.

9.6. Aviso de privacidad. Cuando no sea posible poner esta Política a disposición del Titular al momento de la recolección, se le entregará un aviso de privacidad con la información mínima exigida por el artículo 2.2.2.25.3.2 del Decreto 1074 de 2015. El Anexo II contiene un texto modelo.

10. TRATAMIENTO AUTOMATIZADO E INTELIGENCIA ARTIFICIAL

10.1. Qué se analiza. Treli AI utiliza modelos de lenguaje de gran escala y otros modelos de aprendizaje automático, ejecutados mediante Amazon Bedrock, para procesar el contenido de las conversaciones y adjuntos con el fin de: clasificar la intención de la respuesta, extraer datos de comprobantes de pago (incluidas imágenes y notas de voz), resolver fechas y compromisos expresados en lenguaje natural, generar borradores de respuesta en español colombiano, analizar el cumplimiento de plantillas y cartas, y producir puntajes de priorización de gestión.

10.2. Las salidas son asistenciales. Los resultados son probabilísticos y no deterministas y pueden contener errores, imprecisiones u omisiones. Las decisiones con efectos jurídicos o significativos sobre una persona —reportar información a terceros, iniciar acciones de apremio, aceptar o rechazar un pago o un acuerdo, emitir un paz y salvo— corresponden a la empresa acreedora y deben contar con revisión humana. El servicio ofrece mecanismos de escalamiento a agente humano y de pausa de la automatización.

10.3. Derecho a intervención humana. Todo Titular puede solicitar la intervención de una persona, expresar su punto de vista y controvertir el resultado de un tratamiento automatizado, conforme a la Sección 5.

10.4. Entrenamiento de modelos y datos agregados. Los modelos se ejecutan a través de servicios gestionados de nube contratados bajo condiciones que excluyen el uso del contenido de los clientes de Treli para entrenar o mejorar los modelos del proveedor, y Treli no cede ese contenido a proveedores de modelos con fines de entrenamiento. Si en el futuro Treli incorporara un proveedor que no ofrezca esa garantía, lo notificará antes de habilitarlo. Treli sí puede usar datos agregados, desidentificados e irreversibles para medir calidad y mejorar el servicio.

10.5. Trazabilidad. Cada invocación se registra (finalidad, modelo, marca de tiempo, identificadores y, según el caso, entradas y salidas) con fines de auditoría, control de calidad, defensa jurídica y atención de requerimientos de autoridades, por el término de la Sección 16.

10.6. Contenido no confiable. El contenido remitido por terceros se trata como no confiable y las instrucciones de sistema incorporan defensas contra la manipulación de los modelos. Ninguna medida garantiza infalibilidad.

11. CÓMO VIAJA UN MENSAJE

11.1. WhatsApp. Un mensaje enviado o recibido por WhatsApp no viaja directamente entre la empresa acreedora y el Titular: transita por la infraestructura de Treli, de Twilio Inc. (proveedor de servicios de mensajería) y de Meta Platforms, Inc. (operador de la WhatsApp Business Platform), todas ubicadas fuera de Colombia.

Respecto de los números telefónicos y los metadatos de entrega, Meta trata la información bajo sus propios términos y como responsable independiente, no como simple proveedor de Treli. Para ejercer derechos sobre ese tratamiento propio de Meta, el Titular debe dirigirse directamente a Meta conforme a las políticas de WhatsApp.

11.2. Correo electrónico. Los mensajes se envían a través de un proveedor de correo transaccional y se entregan al proveedor de correo del destinatario, que aplica sus propias políticas de filtrado y conservación, ajenas al control de Treli y de la empresa acreedora.

12. ENCARGADOS Y PROVEEDORES

Treli comparte Datos Personales, en la medida estrictamente necesaria, con los siguientes terceros. Ninguno trata datos dentro del territorio colombiano.

El listado actualizado se publica en [https://treli.ai/subencargados]. Con cada encargado Treli suscribe acuerdos de tratamiento que imponen obligaciones de seguridad y confidencialidad no menos exigentes que las de esta Política, restringen el uso de los datos a las finalidades instruidas y regulan la subcontratación.

13. TRANSMISIONES Y TRANSFERENCIAS INTERNACIONALES

13.1. Todo el tratamiento ocurre fuera de Colombia. Treli no tiene infraestructura en Colombia. Treli AI se opera íntegramente sobre servicios de Amazon Web Services en los Estados Unidos de América — región us-east-1, y los modelos de inteligencia artificial se ejecutan allí mismo. En consecuencia, los datos salen del territorio colombiano desde el momento en que se cargan.

13.2. Dos figuras distintas.

a) Transmisión internacional. Es el envío de datos a quien los trata por cuenta y bajo instrucción de otro: el flujo de la empresa acreedora hacia Treli, y de Treli hacia sus encargados técnicos (Amazon Web Services, incluido Amazon Bedrock; Twilio como proveedor de mensajería; el proveedor de correo transaccional). Conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, la transmisión internacional no requiere ser informada al Titular ni contar con su consentimiento cuando medie un contrato de transmisión entre Responsable y Encargado. El Anexo A de los Términos y Condiciones de Treli AI, publicado en treli.ai/tratamiento-de-datos, es ese contrato.

b) Transferencia internacional. Es el envío de datos a quien determina sus propias finalidades: principalmente el flujo hacia Meta Platforms, Inc. Se rige por el artículo 26 de la Ley 1581 de 2012 y se ampara en la autorización expresa del Titular obtenida por la empresa acreedora —que debe cubrir expresamente el contacto por WhatsApp y el envío de datos al exterior— y, subsidiariamente, en la excepción del literal b) de ese artículo (datos necesarios para la ejecución de un contrato entre el Titular y el Responsable).

c) Nivel adecuado de protección. Los Estados Unidos de América figuran en la lista de países con un nivel adecuado de protección de datos personales reconocida por la Superintendencia de Industria y Comercio en el numeral 3.2 del Capítulo Tercero del Título V de su Circular Única (Circular Externa 005 de 2017 y normas que la modifican). Por tanto, la transferencia del literal b) está amparada directamente por el literal a) del artículo 26 de la Ley 1581 de 2012 —adecuación del país de destino— y la autorización del Titular opera como base concurrente, no como único sustento.

13.3. Cláusulas contractuales modelo (Circular Externa 003 de 2025). Mediante la Circular Externa 003 de 2025, la Superintendencia de Industria y Comercio impartió instrucciones sobre las cláusulas contractuales modelo aprobadas por la Red Iberoamericana de Protección de Datos para la transferencia y la transmisión internacional de datos personales. Su suscripción es facultativa y no sustituye la verificación de las causales del artículo 26 de la Ley 1581 de 2012, sino que se integra a ellas como salvaguarda adicional. El Anexo A de los Términos y Condiciones de Treli AI, publicado en treli.ai/tratamiento-de-datos, cumple los requisitos del contrato de transmisión exigido por el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Treli pone a disposición de las empresas clientes que lo soliciten el Acuerdo Modelo de Transferencia Internacional de Datos Personales entre Responsable y Encargado de dicha Circular, como instrumento complementario.

13.4. Obligación reforzada de la empresa cliente. Como no existe alternativa de alojamiento en Colombia, la autorización que la empresa cliente recabe de cada Titular debe mencionar expresamente la transmisión y transferencia internacional a proveedores ubicados fuera de Colombia, incluidos los servicios de nube, de inteligencia artificial y de mensajería por WhatsApp.

13.5. Residencia de datos. Treli no ofrece alojamiento de datos en Colombia. Las empresas sujetas a una obligación sectorial de residencia local deben informarlo antes de contratar.

13.6. Punto de contacto. La Ley 1581 de 2012 no exige a los encargados domiciliados en el exterior designar representante en Colombia. Treli mantiene un punto de contacto en español, atendido en horario colombiano, en privacidad@treli.co.

14. OTRAS REVELACIONES

14.1. Treli puede revelar Datos Personales: (i) a autoridades competentes en cumplimiento de una orden legal o judicial, colombiana o extranjera; (ii) a sus asesores legales y auditores, sujetos a confidencialidad; (iii) en el marco de una fusión, adquisición, escisión, reorganización, inversión o venta de activos, manteniendo el nivel de protección; (iv) para ejercer o defender derechos en procesos administrativos, judiciales o arbitrales; y (v) para investigar fraude, incidentes de seguridad o actividades ilícitas.

14.2. Treli no vende Datos Personales ni los comparte con terceros para su mercadeo propio. Treli no utiliza datos de Deudores para campañas de mercadeo propias.

14.3. Requerimientos de autoridades extranjeras. Por estar la infraestructura ubicada en los Estados Unidos, los datos pueden quedar sujetos a requerimientos de autoridades de esa jurisdicción. Treli se obliga a: exigir que todo requerimiento sea jurídicamente válido y motivado; limitar la entrega a lo estrictamente exigido; oponer los recursos razonablemente disponibles frente a requerimientos excesivos o manifiestamente improcedentes; y notificar a la empresa cliente afectada, salvo prohibición legal expresa.

15. SEGURIDAD DE LA INFORMACIÓN

Treli aplica medidas técnicas, humanas y administrativas proporcionales al riesgo, entre ellas:

• Cifrado TLS 1.2 o superior en tránsito; cifrado en reposo de bases de datos, archivos y respaldos.
• Cifrado adicional a nivel de campo de los datos personales identificadores, con llaves criptográficas segregadas por cada empresa cliente, e índices de búsqueda construidos con funciones hash con clave (HMAC), de modo que una consulta no requiere descifrar el dato original.
• Segregación lógica multi-inquilino, validada en la capa de autorización y en cada consulta.
• Control de acceso por roles con privilegio mínimo, autenticación individual, doble factor disponible, revisión periódica de accesos y revocación al cese de funciones.
• Arquitectura de red con bases de datos y recursos sensibles en red privada virtual sin exposición directa a Internet.
• Gestión de secretos en un servicio dedicado, sin credenciales en el código.
• Registros de auditoría con identificadores de correlación y alertas ante comportamientos anómalos.
• Desarrollo seguro: control de versiones, revisión de código, análisis de dependencias y separación de entornos.
• Respaldos automáticos con pruebas periódicas de restauración.
• Defensas específicas de IA: contenido de terceros tratado como no confiable, defensas contra inyección de instrucciones, validación de salidas y registro íntegro de las invocaciones.
• Personal sujeto a acuerdos de confidencialidad vigentes incluso después de terminada la relación, y capacitación anual en seguridad y protección de datos.

Ninguna medida de seguridad es infalible. Treli no garantiza la inviolabilidad absoluta de sus sistemas, pero se obliga a mantener un estándar de diligencia acorde con el estado de la técnica y con la naturaleza de los datos tratados.

16. CONSERVACIÓN Y SUPRESIÓN

16.1. Criterio general. Los datos se conservan durante el tiempo necesario para cumplir las finalidades que justificaron su recolección y, posteriormente, durante los términos legales de prescripción, caducidad y conservación de documentos.

16.2. Plazos de referencia.

16.3. Excepciones. Treli podrá conservar datos más allá de estos plazos cuando exista proceso judicial, arbitral o administrativo en curso, requerimiento de autoridad competente, disputa pendiente u obligación legal imperativa.

16.4. Supresión. Cumplidos los plazos y en ausencia de causa legítima de conservación, los datos se suprimen de forma segura o se anonimizan de manera irreversible. La eliminación en respaldos y sistemas de recuperación no será necesariamente inmediata y ocurrirá conforme a los ciclos normales de rotación y depuración.

17. COMUNICACIONES, PREFERENCIAS DE CONTACTO Y LEY 2300 DE 2023

17.1. Los mensajes de cobranza se envían por cuenta y bajo instrucción de la empresa acreedora, que es la Responsable de la relación con el Deudor y de cumplir la Ley 2300 de 2023: límites de horario, día y frecuencia de contacto, prohibición de contactar a terceros ajenos a la obligación y deber de identificarse plenamente.

17.2. Treli AI pone a disposición de la empresa cliente controles configurables de ventanas horarias, calendario de días hábiles y festivos colombianos, límites de frecuencia por canal, listas de exclusión y de no contacto. Estos controles se entregan habilitados por defecto; su desactivación requiere un acto expreso de un administrador de la empresa cliente y queda registrada en la auditoría del servicio. La configuración y supervisión de los controles es responsabilidad de la empresa cliente.

17.3. Cómo solicitar que dejen de contactarlo. Conforme a la Sección 5: respondiendo en la conversación, usando el enlace de baja de los correos, dirigiéndose a la empresa acreedora, o escribiendo a privacidad@treli.co para que Treli traslade la solicitud a la empresa acreedora, que es quien la gestiona.

17.4. Comunicaciones de mercadeo de Treli. Las comunicaciones comerciales propias de Treli se envían únicamente a quienes lo hayan autorizado e incluyen siempre un mecanismo de baja de un solo paso, atendido dentro de los cinco (5) días hábiles siguientes.

18. COOKIES Y TECNOLOGÍAS SIMILARES

Treli no utiliza cookies de mercadeo, publicidad comportamental ni remarketing en el sitio y la plataforma de Treli AI.

El usuario puede gestionar o eliminar las cookies desde la configuración de su navegador, que permite bloquearlas, recibir aviso antes de su instalación o borrar las ya almacenadas. La desactivación de las cookies estrictamente necesarias puede impedir el funcionamiento del servicio.

19. REGISTRO NACIONAL DE BASES DE DATOS (RNBD)

19.1. La obligación de inscripción en el RNBD administrado por la Superintendencia de Industria y Comercio recae sobre los responsables del tratamiento domiciliados en Colombia. Treli, al no tener domicilio, sucursal ni establecimiento permanente en Colombia y al actuar como Encargado respecto de los datos de cartera, no se encuentra obligada a inscribir bases de datos en el RNBD.

19.2. Cada empresa cliente es responsable de inscribir y mantener actualizadas sus propias bases de datos en el RNBD, y de reportar allí los reclamos presentados por los Titulares y los incidentes de seguridad. Treli suministrará la información técnica razonablemente necesaria para completar dicho registro, incluida su identificación como encargado y la ubicación del tratamiento.

19.3. Si en el futuro Treli establece presencia en Colombia o la normativa extiende la obligación a encargados del exterior, procederá a la inscripción y actualizará esta Política.

20. INCIDENTES DE SEGURIDAD

20.1. Treli cuenta con un procedimiento documentado de detección, clasificación, contención, erradicación, recuperación y notificación de incidentes.

20.2. Incidentes sobre datos de cartera (Treli como Encargado). Treli notificará a la empresa cliente afectada sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a la confirmación del incidente, con la información disponible sobre su naturaleza, los datos comprometidos y las medidas adoptadas y recomendadas. El reporte a la Superintendencia de Industria y Comercio corresponde a la empresa cliente, en su calidad de Responsable inscrito en el RNBD. Treli cooperará razonablemente en la contención, la investigación y la elaboración de ese reporte.

20.3. Incidentes sobre datos propios (Treli como Responsable). Treli notificará a los Titulares afectados cuando la normativa lo exija o el riesgo lo amerite, y atenderá los reportes que corresponda presentar ante las autoridades competentes. Al no estar inscrita en el RNBD conforme a la Sección 19, los incidentes que afecten a Titulares en Colombia se comunicarán directamente a los afectados y, cuando proceda, a la SIC por los canales de radicación disponibles.

21. DERECHOS DE LOS TITULARES

Conforme al artículo 8 de la Ley 1581 de 2012, todo Titular tiene derecho a:

1. Conocer, actualizar y rectificar sus Datos Personales, especialmente cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o cuyo Tratamiento esté prohibido o no autorizado.
2. Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
3. Ser informado, previa solicitud, sobre el uso dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, previo trámite de consulta o reclamo ante el Responsable.
5. Revocar la autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías legales y constitucionales. La supresión no procede cuando exista un deber legal o contractual de permanencia en la base de datos.
6. Acceder gratuitamente a sus Datos Personales objeto de Tratamiento. La consulta se suministrará al menos una vez cada mes calendario de forma gratuita, conforme al artículo 2.2.2.25.4.4 del Decreto 1074 de 2015.
7. Abstenerse de responder preguntas sobre datos sensibles o sobre datos de niñas, niños y adolescentes.
8. Solicitar la intervención de una persona frente a un tratamiento automatizado, conforme a la Sección 10.3.

Estos derechos pueden ser ejercidos por el Titular; sus causahabientes, acreditando tal calidad; su representante o apoderado; y quien actúe por estipulación a favor de otro.

22. PROCEDIMIENTO PARA EJERCER LOS DERECHOS

22.1. Canales

Área responsable: Oficial de Protección de Datos — Área Legal y de Cumplimiento.

Treli no tiene oficina ni dirección de correspondencia en Colombia. El correo electrónico es el canal principal y suficiente; los términos de respuesta se cuentan desde su recepción allí.

22.2. Contenido de la solicitud

a) nombre completo e identificación del Titular y, si aplica, de quien lo representa, acreditando esa calidad; b) descripción clara de los hechos y de la petición (consulta, actualización, rectificación, supresión, revocatoria o prueba de la autorización); c) dirección física o electrónica de notificación; d) documentos que se quieran hacer valer.

Treli podrá solicitar información adicional razonable para verificar la identidad del solicitante y evitar accesos no autorizados.

22.3. Enrutamiento

Cuando la solicitud se refiera a datos de cartera —es decir, a un tratamiento controlado por una empresa acreedora— Treli la trasladará a esa empresa dentro de los dos (2) días hábiles siguientes e informará al Titular la identidad del Responsable. Los términos de respuesta corren entonces a cargo de esa empresa.

22.4. Consultas

Se atenderán en un término máximo de diez (10) días hábiles contados desde el día siguiente a su recibo. Cuando no fuere posible atenderlas dentro de ese término, se informará al interesado antes de su vencimiento, expresando los motivos y la fecha en que se atenderá, la cual no superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

22.5. Reclamos

a) Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane. Transcurridos dos (2) meses desde el requerimiento sin respuesta, se entenderá que ha desistido.

b) Si Treli no es competente para resolverlo, dará traslado al Responsable competente dentro de los dos (2) días hábiles siguientes e informará al interesado.

c) Recibido el reclamo completo, se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo, en un término no mayor a dos (2) días hábiles, que se mantendrá hasta que el reclamo sea decidido.

d) El término máximo para atender el reclamo será de quince (15) días hábiles contados desde el día siguiente a su recibo, prorrogable, informando los motivos, por ocho (8) días hábiles adicionales.

22.6. Requisito de procedibilidad

Conforme al artículo 16 de la Ley 1581 de 2012, el Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante el Responsable o Encargado.

22.7. Gratuidad

El ejercicio de estos derechos es gratuito, sin perjuicio de lo previsto en el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015 respecto de consultas de periodicidad superior a una por mes calendario.

23. CAMBIOS A ESTA POLÍTICA

23.1. Treli podrá modificar esta Política. La versión vigente se publicará en [https://treli.ai/politicas-privacidad/] con indicación de su fecha de expedición y de entrada en vigencia.

23.2. Los cambios sustanciales —en particular los relativos a las finalidades del Tratamiento— se comunicarán con al menos diez (10) días hábiles de antelación a su entrada en vigor, por correo electrónico o mediante aviso destacado en el servicio, antes de implementar las nuevas finalidades. Cuando el cambio implique una finalidad no cubierta por la autorización original, se solicitará nueva autorización.

24. VIGENCIA

24.1. Esta Política rige a partir del 01 de junio de 2026 y permanece vigente hasta que sea modificada o derogada.

24.2. Las bases de datos administradas por Treli permanecerán vigentes mientras sea necesario para cumplir las finalidades de la Sección 8 y durante los plazos de conservación de la Sección 16.

25. AUTORIDAD DE CONTROL

La autoridad competente en materia de protección de datos personales en Colombia es la Superintendencia de Industria y Comercio – Delegatura para la Protección de Datos Personales.

• Sitio web: https://www.sic.gov.co
• Dirección: Carrera 13 No. 27 – 00, Bogotá D.C., Colombia

---

ANEXO I — MODELO DE AUTORIZACIÓN PARA EMPRESAS CLIENTES

Para uso de las empresas que contratan Treli AI al recolectar autorizaciones de sus deudores. Debe ser revisado y adaptado por su propio asesor legal; Treli no asume responsabilidad por su uso.

Autorizo de manera previa, expresa, informada e inequívoca a [RAZÓN SOCIAL], NIT [NIT], en calidad de Responsable del Tratamiento, para recolectar, almacenar, usar, circular, actualizar, analizar mediante herramientas automatizadas y de inteligencia artificial y suprimir mis datos personales —incluidos mi nombre, documento de identidad, número de teléfono móvil, correo electrónico, dirección y la información de las obligaciones a mi cargo— con la finalidad de gestionar el cobro y la administración de dichas obligaciones, incluyendo el envío de comunicaciones por WhatsApp y correo electrónico y la atención de mis respuestas.

Autorizo de manera expresa e inequívoca la transmisión y la transferencia internacional de mis datos personales a proveedores ubicados fuera de Colombia, en particular a Treli Payments, Inc. (Estados Unidos), proveedor de la plataforma tecnológica; a Amazon Web Services, Inc. (Estados Unidos), proveedor de la infraestructura en la nube y de los servicios de inteligencia artificial que analizan el contenido de mis mensajes y documentos; a Twilio Inc. (Estados Unidos), proveedor del servicio de mensajería; y a Meta Platforms, Inc., operador de la WhatsApp Business Platform, bajo acuerdos contractuales que garantizan un nivel adecuado de protección.

Declaro conocer que puedo conocer, actualizar, rectificar y suprimir mis datos, revocar esta autorización, solicitar prueba de la misma, ser informado sobre su uso, solicitar la intervención de una persona frente a decisiones basadas en análisis automatizados, indicar mi canal, día y hora de contacto preferidos y solicitar que no se me contacte, dirigiéndome a [canal de atención]. Conozco la Política de Tratamiento de Datos Personales de [RAZÓN SOCIAL], disponible en [URL].

[ ] Acepto

Por qué el segundo párrafo no es opcional. Como todo el tratamiento ocurre fuera de Colombia y parte del flujo constituye una transferencia a un responsable independiente (Meta), la autorización del Titular es la base legal que lo sostiene. Una autorización genérica que no mencione el envío de datos al exterior ni el contacto por WhatsApp no cubre el flujo real y deja a la empresa expuesta ante la Superintendencia de Industria y Comercio.

ANEXO II — AVISO DE PRIVACIDAD RESUMIDO PARA PIE DE MENSAJES

Este mensaje es enviado por [RAZÓN SOCIAL] (NIT [NIT]) para gestionar la obligación a su cargo, a través de la plataforma tecnológica Treli AI. Usted puede conocer, actualizar, rectificar o suprimir sus datos, revocar su autorización, indicar su horario y canal de contacto preferidos o solicitar que no se le contacte, escribiendo a [correo] o respondiendo BAJA a este mensaje. Consulte la política de privacidad en [URL].

FIN DEL DOCUMENTO

*Versión 1.0 — 01/06/2026