Política de Tratamiento de Datos Personales

1. Identificación del responsable

2. Objeto y ámbito

Esta política regula el tratamiento de datos personales que realiza ACS, INC SAS (en adelante ACS) en desarrollo de su actividad de servicios contables, tributarios, de nómina, de educación financiera y de organización patrimonial, así como en la operación de su portal de automatización contable (el Portal).

Aplica a los usuarios del Portal; a los clientes personas naturales; a los contactos y representantes de las empresas clientes; a los empleados, candidatos y contratistas de ACS; a los terceros cuya información es tratada por cuenta de las empresas clientes; y a las firmas contables que adquieran el Portal y a sus usuarios.

Marco legal: artículo 15 de la Constitución Política, Ley Estatutaria 1581 de 2012, Decreto 1074 de 2015 (Capítulos 25 y 26), Circular Única de la Superintendencia de Industria y Comercio (Título V), Circular Externa 002 de 2024, Ley 527 de 1999, Ley 1480 de 2011, Ley 2300 de 2023 y demás normas concordantes.

3. Principios

Todo tratamiento se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, conforme al artículo 4 de la Ley 1581 de 2012.

4. Calidad en que actúa ACS

ACS puede actuar simultáneamente como responsable en unos flujos de información y como encargada en otros. El titular puede solicitar en cualquier momento, al correo indicado en la sección 1, precisión sobre la calidad en que ACS trata sus datos.

ACS no utiliza los datos que trata en calidad de encargada para finalidades propias. No los emplea para prospección comercial, analítica de producto identificable, demostraciones comerciales ni entrenamiento de modelos de inteligencia artificial.

5. Categorías de datos tratados

• Identificación y contacto: nombres y apellidos, tipo y número de documento, NIT, dirección, teléfono, correo electrónico, cargo o rol.
• Datos tributarios y patrimoniales: información de declaraciones y soportes tributarios, ingresos, deducciones, activos, pasivos, patrimonio, documentos electrónicos emitidos y recibidos, retenciones e impuestos.
• Datos contables y comerciales: información de terceros, facturas, comprobantes y movimientos registrados en el sistema contable.
• Datos laborales y de nómina: información de vinculación, remuneración, novedades, aportes y descuentos, cuando ACS presta servicios de nómina.
• Datos de facturación y pago: información necesaria para facturar y recaudar los servicios. Cuando el pago se realice por medios electrónicos, este es procesado por una pasarela de pagos que actúa como encargada; ACS no almacena los datos completos de tarjetas ni las credenciales bancarias del titular.
• Datos de uso del Portal: registros de actividad, dirección IP, identificador de sesión, información técnica del dispositivo y navegador, y conversaciones con el asistente de inteligencia artificial.

5.1 Datos sensibles

ACS trata datos sensibles en los términos del artículo 5 de la Ley 1581 de 2012 únicamente cuando resultan necesarios para el servicio contratado, y siempre con autorización explícita e independiente del titular:

• Datos relativos a la salud. Aparecen, entre otros casos, en los soportes de deducciones de la declaración de renta de personas naturales, como los pagos de medicina prepagada y seguros de salud y la certificación de dependientes en situación de discapacidad; y, cuando ACS presta servicios de nómina, en incapacidades médicas, entidad promotora de salud y certificados asociados.
• Pertenencia a sindicatos. Aparece en los descuentos de nómina por cuota sindical.

El titular no está obligado a autorizar el tratamiento de datos sensibles ni a responder preguntas sobre ellos. Las preguntas y campos relativos a datos sensibles están identificados como facultativos en cada formulario. La negativa a autorizarlos no impide el acceso a los servicios que no dependan de esa información, aunque puede impedir la aplicación de deducciones o beneficios que requieran el respectivo soporte.

ACS no trata datos biométricos ni datos relativos a la vida sexual, la orientación política o las convicciones religiosas o filosóficas de los titulares. Si ello cambia, se expedirá una nueva versión de esta política y se solicitará autorización a quien corresponda.

5.2 Datos de niños, niñas y adolescentes

ACS trata datos de menores de edad de forma excepcional, cuando resultan necesarios para el cumplimiento de obligaciones tributarias del titular, de manera principal la acreditación de dependientes en la declaración de renta, y siempre en respeto del interés superior del menor y de sus derechos fundamentales, conforme al artículo 7 de la Ley 1581 de 2012 y al Capítulo 25 del Decreto 1074 de 2015. La autorización corresponde al representante legal del menor, previo ejercicio del derecho del menor a ser escuchado.

6. Finalidades del tratamiento

Cada finalidad se identifica con un número estable. El registro de aceptación del titular indica cuáles autorizó.

Los datos no se utilizarán para finalidades distintas de las enunciadas. Toda finalidad nueva dará lugar a una versión nueva de esta política y, cuando la ley lo exija, a una nueva autorización del titular.

Alcance de la finalidad F6. Los servicios de educación financiera y organización patrimonial de ACS tienen carácter informativo, educativo y de ordenamiento de la información del titular. ACS no presta asesoría en el mercado de valores, no recomienda productos financieros específicos, no administra recursos de terceros y no realiza intermediación, actividades reservadas a entidades vigiladas por la Superintendencia Financiera de Colombia. Las decisiones de inversión son exclusivas del titular.

Alcance de la finalidad F7. Las comunicaciones y recordatorios se realizan únicamente por los canales que el titular haya autorizado, que puede cambiar o restringir en cualquier momento escribiendo a datos@acs.com.co. Los recordatorios de pago se envían de lunes a viernes entre las 7:00 y las 19:00 horas y los sábados entre las 8:00 y las 15:00 horas, sin contacto en domingos ni días festivos, por un solo canal al día. ACS no contacta a referencias personales ni a terceros distintos del titular por razones de cobro, y no indaga los motivos del incumplimiento.

7. Bases del tratamiento

El tratamiento se apoya en la autorización previa, expresa e informada del titular, conforme al artículo 9 de la Ley 1581 de 2012, salvo en los casos en que la ley no la exige, previstos en el artículo 10 de la misma ley, en particular respecto de la información requerida por entidades públicas en ejercicio de sus funciones legales y de los datos de naturaleza pública.

Cuando ACS actúa como encargada, la obtención de la autorización corresponde a la empresa o firma responsable, que declara contar con ella en el respectivo contrato de transmisión de datos personales.

8. Tratamiento mediante inteligencia artificial

El Portal incorpora un asistente basado en inteligencia artificial que procesa información del titular con las siguientes finalidades concretas: clasificar y extraer información de documentos electrónicos, sugerir la imputación contable de documentos, responder consultas del usuario sobre su propia información, y generar borradores de comunicaciones y análisis.

• El sistema no adopta decisiones automatizadas con efectos jurídicos sobre el titular. Toda conclusión relevante es revisada por un profesional de ACS antes de ser utilizada.
• Los resultados del asistente tienen carácter de apoyo y no sustituyen el juicio profesional. Ningún documento se presenta, radica ni paga con base exclusiva en una salida del asistente.
• Los datos del titular no se utilizan para entrenar modelos de inteligencia artificial. ACS accede al servicio bajo los términos comerciales del proveedor, que excluyen el uso del contenido del cliente para entrenamiento de modelos y prevén la eliminación de las entradas y salidas dentro de los treinta (30) días siguientes a su recepción o generación, con las excepciones que el propio proveedor señala.
• El tratamiento se realiza en Estados Unidos, en calidad de transmisión a un encargado, con contrato en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.
• ACS documenta, para cada caso de uso, la ponderación de idoneidad, necesidad, razonabilidad y proporcionalidad exigida por la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio, y realiza estudio de impacto de privacidad cuando identifica un riesgo alto.
• Si en el futuro ACS incorpora funciones de inteligencia artificial que impliquen decisiones automatizadas con efectos jurídicos o económicos sobre el titular, lo informará mediante una versión nueva de esta política y garantizará el derecho a solicitar revisión e intervención humana.
• El titular puede oponerse a esta finalidad escribiendo a datos@acs.com.co, sin perder acceso a los servicios que no dependan de ella.

9. Transmisiones y transferencias

9.1 Nacionales. ACS comunica datos personales a la DIAN y a otras autoridades cuando la ley lo exige, al sistema contable que soporta la operación, a la pasarela de pagos cuando el titular pague por medios electrónicos, y a los profesionales y contratistas vinculados a la prestación del servicio, sujetos a deber de confidencialidad.

9.2 Internacionales. Parte de la infraestructura tecnológica del Portal opera fuera de Colombia, principalmente en Estados Unidos. Esas operaciones constituyen transmisiones a encargados que tratan los datos por cuenta de ACS y bajo sus instrucciones, con contrato en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Conforme al artículo 2.2.2.25.5.1, numeral 2, del mismo decreto, estas transmisiones no requieren autorización adicional del titular.

Adicionalmente, Estados Unidos figura entre los países que garantizan un nivel adecuado de protección de datos personales, según el numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio.

En cumplimiento del principio de responsabilidad demostrada, ACS exige contractualmente a cada encargado medidas de seguridad, confidencialidad, limitación de finalidad y notificación de incidentes, y conserva la evidencia correspondiente. Los encargados vigentes constan en el Anexo D, que se actualiza con su propia fecha sin necesidad de modificar esta política. El titular puede solicitar información sobre destinatarios concretos al correo de la sección 1.

Si ACS requiere trasladar el tratamiento a un país que no figure en el listado de la Circular Única, adoptará previamente el instrumento habilitante que corresponda —autorización expresa del titular, contrato en los términos del artículo 2.2.2.25.5.2 o declaración de conformidad de la Superintendencia— e informará el cambio mediante una versión nueva de esta política.

10. Derechos del titular

El titular, y en caso de fallecimiento sus causahabientes, pueden: conocer, actualizar y rectificar los datos; solicitar prueba de la autorización otorgada; ser informados sobre el uso dado a los datos; presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley; revocar la autorización y solicitar la supresión del dato en los términos de la sección 12; y acceder de forma gratuita a los datos personales.

El acceso gratuito procede al menos una vez cada mes calendario y cada vez que existan modificaciones sustanciales de esta política. Para consultas de mayor frecuencia, ACS solo podrá cobrar los gastos de envío, reproducción y certificación de documentos, debidamente soportados.

11. Procedimiento para el ejercicio de los derechos

Canal: datos@acs.com.co, el formulario disponible en el Portal, o el mismo medio por el cual fue recogida la información. Toda solicitud recibe constancia de recepción.

Quién puede presentarla: el titular; su representante legal o apoderado, acreditando esa calidad; o sus causahabientes, acreditando esa calidad con el documento correspondiente.

La solicitud debe indicar el nombre completo y documento de identidad del titular y de quien la presenta, la descripción de los hechos y de lo solicitado, la dirección de notificación, y los documentos que se quieran hacer valer. ACS verificará la identidad y la legitimación del solicitante antes de entregar información.

Si el reclamo está incompleto, ACS requerirá al interesado dentro de los 5 días siguientes; transcurridos 2 meses sin respuesta, se entenderá desistido. Si ACS no es competente, dará traslado al responsable dentro de los 2 días hábiles siguientes e informará al interesado. Mientras el reclamo se resuelve, el registro correspondiente se marcará con la leyenda "reclamo en trámite".

Requisito de procedibilidad: el titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante ACS, conforme al artículo 16 de la Ley 1581 de 2012.

12. Revocatoria de la autorización y supresión

El titular puede revocar la autorización y solicitar la supresión en cualquier momento. Toda solicitud recibe una de estas tres respuestas, con su fundamento:

1. Suprimido. El dato no está sujeto a deber de conservación y se elimina de los sistemas activos y de las copias de respaldo dentro del ciclo de rotación declarado en la sección 13.
2. Bloqueado. El dato debe conservarse por un deber legal o contractual. Se conserva exclusivamente para esa finalidad, con acceso restringido, y se excluye de toda otra finalidad, incluidas las comerciales, de comunicación y de tratamiento mediante inteligencia artificial. La respuesta indica el fundamento y la fecha en que vence el plazo.
3. Improcedente. Existe una relación contractual vigente que hace imperativa la conservación. Se explica al titular y se le informa a partir de cuándo puede solicitarla de nuevo.

13. Plazos de conservación

Vencido el plazo, los datos se suprimen o se anonimizan de forma irreversible.

14. Cookies y tecnologías similares

El Portal utiliza cookies y tecnologías equivalentes —almacenamiento local del navegador, identificadores de sesión y etiquetas— clasificadas así:

Situación actual. A la fecha de entrada en vigencia de esta versión, el Portal utiliza únicamente cookies técnicas o necesarias. No hay analítica, publicidad ni seguimiento entre sitios.

Si ACS habilita cookies de preferencia o de medición, lo hará cumpliendo estas reglas, que se declaran desde ya y son exigibles a ACS:

1. Se solicitará el consentimiento antes de instalarlas, mediante un mecanismo que permita rechazar con la misma facilidad con la que se acepta, sin casillas premarcadas y sin condicionar el acceso al Portal.
2. Se publicará en el Portal una tabla de cookies con el nombre de cada una, su proveedor, su finalidad y su duración, con fecha de actualización.
3. La decisión del usuario quedará registrada y podrá modificarse en cualquier momento desde un enlace permanente en el pie del Portal.
4. No se instalarán cookies de publicidad comportamental ni de seguimiento entre sitios sin una versión nueva de esta política.
5. ACS incorporará el proveedor correspondiente al Anexo D antes de activar la herramienta.

El titular puede además bloquear o eliminar cookies desde la configuración de su navegador. El bloqueo de las cookies técnicas puede impedir el funcionamiento del Portal.

15. Evolución del Portal

El Portal está en desarrollo y sus módulos se amplían de forma progresiva. Los módulos previstos —entre ellos conciliación, información exógena, nómina, pasarela de pagos y recordatorios automáticos— quedan comprendidos dentro de las finalidades declaradas en la sección 6 y de las categorías de datos de la sección 5.

Esta previsión no habilita usos indeterminados. ACS expedirá una versión nueva de esta política, y solicitará nueva autorización cuando la ley lo exija, en cualquiera de estos casos:

1. Incorporación de una finalidad no comprendida en la sección 6.
2. Tratamiento de una categoría de datos sensibles distinta de las declaradas en la sección 5.1.
3. Incorporación de un tipo de destinatario o de un país de tratamiento distinto de los declarados.
4. Implementación de decisiones automatizadas con efectos jurídicos o económicos sobre el titular.
5. Habilitación de cookies de preferencia o de medición, en los términos de la sección 14.
6. Uso de datos para finalidades propias de ACS distintas de la prestación del servicio, incluidos el entrenamiento de modelos, la analítica identificable y las demostraciones comerciales.

16. Seguridad de la información

ACS aplica medidas técnicas, humanas y administrativas proporcionales a la naturaleza de los datos y a los riesgos del tratamiento: cifrado de la información en tránsito y en reposo; control de acceso por rol bajo el principio de mínimo privilegio; autenticación reforzada en cuentas administrativas; aislamiento lógico de la información de cada cliente en el Portal; registros de acceso; copias de respaldo cifradas con pruebas de restauración; gestión de credenciales fuera del código fuente; acuerdos de confidencialidad con todo el personal y contratistas con acceso a información; y prohibición de usar información real de clientes en ambientes de desarrollo o prueba sin anonimizarla previamente.

17. Incidentes de seguridad

ACS mantiene un procedimiento de gestión de incidentes que contempla la contención, el registro, la evaluación del impacto, el reporte a la Superintendencia de Industria y Comercio conforme al artículo 17, literal n) de la Ley 1581 de 2012 y a las instrucciones vigentes de esa entidad, y la notificación a los titulares afectados cuando el incidente represente un riesgo para sus derechos. Cuando el incidente afecte información tratada por cuenta de un tercero responsable, ACS lo notificará a ese responsable en el plazo pactado.

18. Registro Nacional de Bases de Datos

ACS no se encuentra obligada a inscribir sus bases de datos en el Registro Nacional de Bases de Datos, por no superar el umbral de activos totales previsto en el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015, modificado por el Decreto 090 de 2018. ACS verifica el cumplimiento de ese umbral en cada cierre contable y procederá a la inscripción si llegara a superarlo.

19. Autoridad competente

Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales.

20. Vigencia, versiones y modificaciones

Esta política rige a partir del 1 de agosto de 2026 y estará vigente mientras ACS trate datos personales. Las bases de datos tendrán la vigencia necesaria para cumplir las finalidades de la sección 6 y los plazos de la sección 13.

Toda modificación da lugar a una versión nueva, identificada y fechada, publicada en el Portal con acceso permanente a las versiones anteriores. ACS informará las modificaciones por el canal habitual de comunicación con el titular. Cuando la modificación sea sustancial, en los términos de la sección 15, ACS solicitará nueva autorización a los titulares afectados. El Portal registra la versión aceptada por cada titular.

ANEXO A · Aviso de privacidad

ACS, INC SAS (NIT 901.011.073-3, Cra. 73 A 3 62, Bogotá, tel. 302 317 9512, datos@acs.com.co) trata sus datos personales para prestarle los servicios contables, tributarios y de organización patrimonial contratados, cumplir las obligaciones legales asociadas y comunicarse con usted. Usted puede conocer, actualizar, rectificar y suprimir sus datos, solicitar prueba de la autorización y revocarla, escribiendo a datos@acs.com.co. No está obligado a autorizar el tratamiento de datos sensibles ni de datos de menores de edad, ni a responder las preguntas señaladas como facultativas. Consulte la Política de Tratamiento de Datos Personales completa y sus versiones en acsaccounting.co/legal/politica-datos.

ANEXO B · Autorización para el registro en el Portal

☐ Autorizo a ACS, INC SAS, NIT 901.011.073-3, a tratar mis datos personales para las finalidades descritas en la Política de Tratamiento de Datos Personales v1.0, que declaro haber leído y que puedo consultar en acsaccounting.co/legal/politica-datos/v1-0, incluidas la transmisión a los encargados relacionados en su Anexo D y su tratamiento fuera de Colombia. Conozco mi derecho a conocer, actualizar, rectificar y suprimir mis datos y a revocar esta autorización escribiendo a datos@acs.com.co.

☐ Facultativo. Autorizo expresamente el tratamiento de mis datos sensibles relativos a la salud y, cuando corresponda, de los datos de los menores de edad que declare como dependientes, únicamente para acreditar deducciones y beneficios tributarios y para la prestación de los servicios contratados. Entiendo que no estoy obligado a otorgar esta autorización ni a responder las preguntas correspondientes.

ANEXO C · Texto para solicitudes de documentos y formularios sin sesión

Los documentos que cargue aquí serán tratados por ACS, INC SAS (NIT 901.011.073-3) únicamente para preparar y soportar sus obligaciones tributarias y prestar los servicios contratados, y se conservarán por los plazos exigidos por las normas contables y tributarias. Si carga documentos que contengan datos de otras personas, como dependientes, cónyuge o empleados, manifiesta contar con su autorización. No está obligado a cargar documentos que contengan datos sensibles; los que decida aportar se usarán solo para acreditar las deducciones o beneficios que le correspondan. Puede ejercer sus derechos escribiendo a datos@acs.com.co. Política completa: acsaccounting.co/legal/politica-datos.

ANEXO D · Encargados y subencargados

Vigente desde: 1 de agosto de 2026

Las comunicaciones por aplicaciones de mensajería implican que el proveedor de la aplicación trate metadatos de la comunicación como responsable independiente, bajo sus propias políticas. ACS recomienda el Portal como canal para el intercambio de documentos e información tributaria.