Política de tratamiento de datos personales

POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES — VERSIÓN 1.3 VIGENTE 1. Identidad y alcance Le Concept marketing, NIT 9016372682-1, con domicilio en Cra 74A # 168A - 85, Bogotá, Colombia, opera VReal Solutions, su marca de Seguridad y Salud en el Trabajo (SST). El responsable de atención de solicitudes de datos personales es la Gerencia de Le Concept marketing, correo gerencia@leconcept.com. Le Concept marketing es responsable cuando decide las finalidades y medios del tratamiento, y encargado cuando procesa información siguiendo instrucciones de una empresa. Cada empresa responde por las finalidades y autorizaciones de sus trabajadores. Los roles se precisan en el contrato de encargo, no por el nombre de la marca. 2. Datos y finalidades Tratamos nombre, identificación, correo, cargo, celular, inscripciones, actividades, evaluaciones y certificados; también nombres, cargos e imágenes de firmas de responsables. Se usan para responder solicitudes, administrar acceso, impartir formación, registrar resultados, emitir y verificar certificados privados, prestar soporte y proteger la seguridad. No se autorizan campañas comerciales mediante la aceptación de formación. La Academia está destinada exclusivamente a adultos y no admite datos de salud ni biométricos. No incluya información sensible en mensajes, archivos ni métricas. 3. Autorización Cuando sea exigible, se obtiene autorización previa, expresa e informada y se conserva prueba consultable, con texto, versión, finalidad, fecha y procedencia. No hay aceptación por silencio, casillas preseleccionadas ni autorizaciones retroactivas. Las empresas deben acreditar autorización o excepción legal antes de entregar datos de trabajadores. Una declaración del administrador no sustituye la prueba del titular. El titular puede solicitar esa prueba y revocar autorización, sujeto a obligaciones legales o contractuales aplicables. 4. Derechos y atención Puede conocer sus datos, pedir prueba de autorización, saber su uso, actualizar, rectificar, revocar y solicitar supresión, y acceder gratuitamente a ellos. Puede usar Mis datos con su cuenta, o escribir a gerencia@leconcept.com para solicitudes fuera de la plataforma. Se verifica la identidad de manera proporcional sin pedir sistemáticamente una fotografía de cédula. Indique el derecho, hechos, datos afectados y contacto de respuesta. No se requiere permiso del administrador empresarial para presentar la solicitud. Consultas: máximo 10 días hábiles desde recepción; extensión justificada de hasta 5 hábiles adicionales informada antes del vencimiento. Reclamos: máximo 15 días hábiles desde el día siguiente a recepción; extensión justificada de hasta 8 hábiles adicionales. Si el reclamo está incompleto se requiere subsanación dentro de 5 días siguientes; a los 2 meses del requerimiento sin subsanación se entiende desistido. Si no somos competentes trasladamos en máximo 2 días hábiles e informamos. En reclamos completos se registra «reclamo en trámite» y su motivo en máximo 2 días hábiles hasta su decisión. Puede acudir a la SIC después de agotar el trámite previo que exige la ley. 5. Conservación y supresión Plazos de conservación adoptados por Leconcept. Los períodos internos son decisiones de política, no plazos universales impuestos por la Ley 1581. Contactos sin contrato: 12 meses. Inicio: Última gestión de la solicitud. Fundamento y destino: Plazo interno; eliminar o anonimizar al vencer. Cuentas y datos operativos del trabajador: 24 meses. Inicio: Retiro de la Academia o cierre de la cuenta, lo que ocurra después. Fundamento y destino: Plazo interno; desactivar acceso al retiro. Separar evidencias sujetas a otro plazo; no borrar cuentas compartidas con otra Academia activa. Datos corporativos y de representantes: 5 años. Inicio: Cierre de la relación contractual con la Academia. Fundamento y destino: Plazo interno para trazabilidad contractual; no incluye conservación indefinida de perfiles operativos. Autorizaciones y prueba de consentimiento: 5 años. Inicio: Fin del tratamiento de los datos al que sirve de prueba. Fundamento y destino: Plazo interno. Si respalda evidencia SST aún conservada, el cómputo comienza al terminar ese tratamiento. Solicitudes de derechos y respuestas: 5 años. Inicio: Cierre definitivo de la solicitud. Fundamento y destino: Plazo interno para prueba de atención y defensa. Resultados y evidencias de formación no SST: 5 años. Inicio: Finalización de la formación. Fundamento y destino: Plazo interno; incluye certificados no SST y sus evidencias, salvo obligación específica documentada. Registros de capacitación y entrenamiento SST: Mínimo 20 años cuando aplique. Inicio: Fin de la relación laboral del trabajador con el empleador. Fundamento y destino: Decreto 1072 de 2015, art. 2.2.4.6.13: obligación del empleador para los registros enumerados, no para todos los datos. La Academia debe informar la fecha real y documentar custodia o entrega; el retiro de la plataforma no equivale al fin laboral. Firmas y logos incorporados a certificados: Mismo plazo del certificado. Inicio: Evento inicial aplicable al certificado SST o no SST. Fundamento y destino: Conservar solo la versión incorporada para trazabilidad. Los archivos reutilizables dejan de usarse al retirar la autorización; no se eliminan versiones históricas protegidas indiscriminadamente. Registros técnicos propios de seguridad: 12 meses. Inicio: Creación del registro. Fundamento y destino: Plazo interno; incidentes o litigios documentados pueden justificar una conservación restringida adicional. No atribuye este plazo a registros gestionados por proveedores. Copias de respaldo de datos cuya supresión fue aprobada: Objetivo: 90 días. Inicio: Supresión aprobada y ejecutada en el sistema principal. Fundamento y destino: Objetivo operativo pendiente de confirmar con cada proveedor, no garantía de borrado automático. Copias aisladas del uso habitual; reaplicar supresiones al restaurar. Los respaldos de certificados sujetos a conservación siguen el plazo del certificado. Analítica Lovable: datos detallados: 90 días. Inicio: Registro de la visita o evento. Fundamento y destino: Plazo del proveedor; sin cookies, sin almacenamiento en dispositivo, sin IP conservada y sin identificación del visitante. Analítica Lovable: resúmenes diarios: 1 año. Inicio: Día resumido. Fundamento y destino: Plazo del proveedor para resúmenes diarios. Al vencer el plazo se revisa y documenta la supresión o anonimización y se conserva únicamente lo necesario bajo fundamento legal, contractual o litigioso específico, con acceso restringido y revisión anual. No se amplían todos los datos por una excepción de un solo registro. Si falta el evento inicial, se solicita y documenta, sin inventar fechas ni declarar vencimiento. Una solicitud de supresión recibe decisión motivada sobre lo eliminado y lo conservado. Estos plazos no implementan borrado automático ni acreditan eliminación de copias de proveedores; la ejecución y capacidades deben verificarse y registrarse. Fuente SST: https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=72173 6. Proveedores y tratamiento internacional REVISIÓN CONTRACTUAL PREVIA A LA APROBACIÓN DEFINITIVA Estado: documentación pública localizada; contratos aplicables a Leconcept, aceptación, países efectivos y subencargados pendientes de acreditar. No se declara verificación contractual concluida ni cumplimiento integral. Una política publicada o una autorización de Academia no subsana esta falta. Inventario de flujos y evidencia requerida: • Lovable Cloud: alojamiento, cuentas, autenticación, registros y archivos privados. Recibe datos de contacto, identificación, inscripciones, resultados y certificados necesarios para operar. Lovable también recoge analítica sin identificación del visitante, según la sección de analítica. Se localizó un DPA público y una referencia a subencargados, pero deben comprobarse entidad contratante, plan cubierto, incorporación del DPA al contrato, fecha de aceptación, región real de alojamiento y acceso remoto, subencargados y alcance del correo y de IA. El DPA publicado indica cobertura para planes Business/Enterprise; su disponibilidad no acredita que este proyecto esté cubierto. Fuentes: https://lovable.dev/data-processing-agreement y https://lovable.dev/subprocessors. • Correo administrado por Lovable: recibe destinatario y contenido mínimo del mensaje de acceso, operación o derechos (radicado, estado y plazo; no descripción de la solicitud de derechos). Confirmar proveedor efectivo y subencargados, cobertura contractual, países de entrega/soporte, registros, conservación y supresión. No se infiere entrega ni contrato a partir de tener el envío configurado. • Server online (almacenamiento privado de Google): materiales, presentaciones, logos y respaldos de certificados, que pueden contener datos personales. Se localizó el Cloud Data Processing Addendum de Google, pero debe acreditarse si la cuenta utilizada está cubierta por Google Workspace u otro contrato empresarial aplicable, entidad, incorporación/aceptación y fecha, países y subencargados. No se presume cobertura empresarial para una cuenta de consumidor. Fuente: https://cloud.google.com/terms/data-processing-addendum. • IA mediante Lovable: para análisis recibe métricas agrupadas y categorías permitidas con empresas seudónimas, no nombres, cédulas o correos enviados por esa función. La seudonimización no equivale a anonimización; revisar grupos pequeños. La generación de cursos recibe título y programa, que no deben contener datos personales. Confirmar proveedor/modelo efectivo por flujo, contrato y subencargados, ubicaciones, acceso, conservación y condiciones sobre uso para entrenamiento; no prometer exclusión de entrenamiento o retención cero sin evidencia contractual. • Asistentes externos opcionales: pueden recibir los datos personales de cursos y resultados que su usuario autorice. Identificar el receptor y su rol, verificar términos aplicables y base legal antes de habilitar cada conexión; el permiso de una herramienta no acredita por sí solo un contrato de encargo. • Google Fonts y Google/YouTube: las fuentes reciben información de conexión al cargar; los vídeos embebidos reciben conexión y reproducción cuando se carga o usa el reproductor, incluso sin abrir otra página. Sus términos deben revisarse según el servicio real; no extenderles automáticamente el DPA de Workspace. Fuente de privacidad: https://policies.google.com/privacy. • WhatsApp/Meta: recibe información de conexión al seguir el enlace y los mensajes que el usuario envía. No se carga un píxel publicitario mediante ese enlace. Verificar términos y rol del canal efectivamente usado, sin atribuirle un contrato empresarial inexistente. Fuente: https://www.whatsapp.com/legal/privacy-policy. Procedimiento de verificación por flujo: 1. Gerencia identifica responsable/encargado, entidad contratante, cuenta y servicio, datos, finalidades, destinatarios, países de almacenamiento, respaldo, soporte y acceso remoto, y subencargados. Se distingue transmisión a un encargado que sigue instrucciones de transferencia a otro responsable que decide fines y medios. 2. Archiva contrato y DPA realmente incorporados o aceptados (versión, fecha y prueba de aceptación), no solo un enlace web; verifica alcance, instrucciones, finalidad limitada, confidencialidad, seguridad, incidentes, asistencia en derechos, devolución/supresión y copias, subcontratación, cambios de ubicación y mecanismos de comprobación. Confirma capacidades de borrado y el objetivo de 90 días de respaldos sin garantizarlo antes de acreditarlo. 3. Para transmisión internacional verifica contrato con el alcance y obligaciones del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Para transferencia internacional documenta la vía del artículo 26 de la Ley 1581: nivel adecuado o excepción aplicable y, cuando corresponda, declaración de conformidad de la SIC. Revisa las cláusulas modelo de la Circular Externa 003 de 2025 de la SIC; un DPA extranjero, cláusulas europeas o una casilla de aceptación no sustituyen automáticamente los requisitos colombianos. Fuente: https://sedeelectronica.sic.gov.co/sites/default/files/normativa/Circular%20Externa%20003%20de%202025.pdf. 4. Registra por servicio la referencia privada de evidencia, fecha, revisor, hallazgos, medidas, decisión motivada y próxima revisión anual; reevalúa ante cambios de contrato, país, subencargado, finalidad o incidente. Usa los registros privados de Proveedor y contrato, sin publicar contratos ni credenciales. 5. Mientras falte evidencia el flujo queda pendiente de aprobación definitiva. Gerencia debe decidir y documentar restricción, sustitución o regularización del flujo existente; este texto no lo desactiva técnicamente ni certifica que haya cesado. No habilitar nuevos flujos sin la revisión aplicable. La aprobación definitiva requiere identidad jurídica real, contratos aplicables y bases legales verificadas por flujo, responsables de custodia y ejecución de los plazos adoptados. Las versiones provisionales y sus aceptaciones se conservan como historial, sin transformarlas en aprobación definitiva. No vendemos datos personales. La sesión conserva credenciales de acceso en el navegador y la interfaz puede conservar preferencias; esto es distinto de la analítica. 7. Analítica del sitio La analítica de Lovable está activada. No usa cookies, no almacena nada en el dispositivo, no conserva direcciones IP ni identifica visitantes. Registra páginas visitadas, procedencia, país, navegador, sistema operativo y tipo de dispositivo, permanencia, velocidad de carga y errores. Registra también eventos propios de uso de herramientas con nombre técnico, resultado y duración, sin el contenido de los registros consultados. En el estado actual sin banner que comunique una elección, los eventos se registran para todos los visitantes; las visitas, permanencia, rendimiento y errores se registran sin cookies y sin identificar a nadie. Los datos detallados se conservan 90 días y los resúmenes diarios un año. Lovable recopila estos datos para nosotros. Su política explica cómo los trata: https://lovable.dev/privacy. El estado del seguimiento de clics no ha sido confirmado; no se atribuye aquí un comportamiento no verificado. 8. Seguridad y operación Aplicamos acceso por cuenta y permisos, separación entre Academias, archivos privados y descarga de certificados por su propietario. El personal mantiene confidencialidad y atención de incidentes. Estas medidas no son garantía de ausencia de incidentes ni certificación legal. Se documentan recepción, contención, evaluación de notificaciones y acciones correctivas. El responsable revisa deberes RNBD con naturaleza jurídica y activos reales; no estar obligado al registro no exime de protección de datos. 9. Vigencia y cambios Versión 1.3 aprobada por instrucción de Milton Lara para publicación y aceptación en las Academias. La identidad de Le Concept marketing corresponde a los datos definitivos declarados por Milton, sin contraste registral independiente. Se conserva el historial; cada Academia debe aceptar esta versión antes de nuevas inscripciones, asignaciones y archivos con logo. La autorización empresarial no sustituye la autorización individual ni limita el ejercicio de derechos. La revisión contractual internacional sigue pendiente de las evidencias descritas en la sección 6. Esta aprobación operativa no certifica cumplimiento integral, verificación de contratos ni cierre definitivo de las brechas. Marco: Ley 1581 de 2012 y Decreto 1074 de 2015.