POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES

1. Responsable del tratamiento

• Razón social: IMPACTA EXPERIENCIAS ACTIVAS S.A.S. BIC
• NIT: 900117595-9
• Domicilio: Rionegro, Antioquia, Colombia
• Dirección de notificaciones: Calle 32 # 52B – 150 TO 2
• Correo electrónico: info@impacta.com.co (asunto “Protección de datos personales”)
• Teléfonos: 301 762 5867 y 310 437 8901
• Sitio web: www.impacta.com.co

2. Objeto y alcance

Esta política establece cómo IMPACTA recolecta, almacena, usa, circula y suprime los datos personales de las personas naturales con las que se relaciona, y cómo pueden ejercer sus derechos. Aplica a todas las bases de datos físicas y digitales de IMPACTA, a sus colaboradores, facilitadores y contratistas, y a los encargados que traten datos por su cuenta. Sustituye cualquier versión o extracto anterior.

3. Marco legal

Artículo 15 de la Constitución Política; Ley Estatutaria 1581 de 2012; Decreto 1074 de 2015, capítulos 25 y 26 (que compilan los Decretos 1377 de 2013 y 886 de 2014); Decreto 090 de 2018; Título V de la Circular Única de la Superintendencia de Industria y Comercio (SIC); Circulares Externas SIC 002 de 2024, 002 de 2025 y 003 de 2025; Ley 2300 de 2023; Resolución 2764 de 2022 del Ministerio del Trabajo y Ley 1090 de 2006, y las normas que las modifiquen.

4. Definiciones

• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• Aviso de privacidad: comunicación verbal o escrita que informa al titular sobre la existencia de esta política, las finalidades y la forma de acceder a ella.
• Base de datos: conjunto organizado de datos personales.
• Dato personal: información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato público, semiprivado y privado: según su grado de reserva, en los términos del artículo 3 del Decreto 1377 de 2013 y la Ley 1266 de 2008.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los relativos a la salud física o mental, el origen racial o étnico, las convicciones religiosas o filosóficas, la orientación política, la vida sexual y los datos biométricos.
• Encargado del tratamiento: quien trata datos personales por cuenta del responsable.
• Responsable del tratamiento: quien decide sobre la base de datos y su tratamiento.
• Titular: persona natural cuyos datos son objeto de tratamiento.
• Transferencia: envío de datos a un receptor, en Colombia o en el exterior, que a su vez es responsable.
• Transmisión: comunicación de datos a un encargado, en Colombia o en el exterior, para que los trate por cuenta de IMPACTA.
• Incidente de seguridad: violación de los códigos de seguridad, o pérdida, robo o acceso no autorizado a datos personales.

5. Principios

IMPACTA aplica los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad del artículo 4 de la Ley 1581 de 2012. Además, aplica los criterios de necesidad y minimización: solo recolecta los datos pertinentes y adecuados para cada finalidad, y los conserva por el tiempo estrictamente necesario.

6. Bases de datos, titulares y finalidades

Para todas las bases, IMPACTA también trata los datos para atender requerimientos de autoridades competentes, cumplir obligaciones legales, contables y tributarias, y ejercer o defender derechos en procesos judiciales o administrativos. IMPACTA no usará los datos para finalidades distintas a las aquí informadas sin una nueva autorización.

7. Datos sensibles

Algunos servicios de IMPACTA pueden implicar datos sensibles: el diagnóstico e intervención del riesgo psicosocial, el Laboratorio de Evolución Emocional, y las condiciones de salud relevantes para la seguridad en actividades Outdoor. Para estos datos IMPACTA:

1. Informa al titular que no está obligado a suministrarlos y que su entrega es facultativa.
2. Obtiene autorización explícita, separada de la autorización general, que indica qué datos sensibles se tratarán y para qué.
3. Recolecta solo los estrictamente necesarios y restringe el acceso al personal que los requiere.
4. No condiciona ninguna actividad a la entrega de datos sensibles, salvo que sean indispensables para la seguridad del participante, lo cual se le informará.
5. Aplica medidas de seguridad reforzadas y no los comparte con terceros salvo autorización del titular o mandato legal.

En la evaluación del riesgo psicosocial, los instrumentos se aplican, califican y custodian por psicólogos especialistas con licencia en seguridad y salud en el trabajo, conforme a la Resolución 2764 de 2022. La empresa cliente recibe únicamente informes agregados, sin identificación individual, y no puede conservar los instrumentos ni los informes individuales. Los profesionales de psicología guardan el secreto profesional de la Ley 1090 de 2006. Las conversaciones y contenidos personales compartidos en los laboratorios son confidenciales.

8. Datos de niños, niñas y adolescentes

Los servicios de IMPACTA están dirigidos a adultos. Si de forma excepcional participa un menor de edad, IMPACTA solo tratará datos de naturaleza pública o los que respondan a su interés superior, con autorización de su representante legal y previo ejercicio del derecho del menor a ser escuchado, conforme al artículo 7 de la Ley 1581 de 2012 y al artículo 12 del Decreto 1377 de 2013.

9. Imagen, testimonios y contenidos

Las fotografías, videos y testimonios de participantes solo se publican en el sitio web, redes o materiales comerciales con autorización previa y escrita del titular, que indica el medio y el tiempo de uso. El titular puede revocarla en cualquier momento para publicaciones futuras.

10. Autorización

IMPACTA solicita la autorización a más tardar al momento de recolectar los datos, por escrito, de forma oral o mediante conductas inequívocas del titular que permitan concluir razonablemente que la otorgó. En ningún caso el silencio se entenderá como autorización. IMPACTA conserva prueba de cada autorización: fecha, medio, versión del texto informado y, en canales digitales, registro técnico.

La autorización no se requiere en los casos del artículo 10 de la Ley 1581 de 2012: información requerida por autoridad en ejercicio de sus funciones, datos de naturaleza pública, urgencia médica o sanitaria, tratamiento autorizado por ley con fines históricos, estadísticos o científicos, y datos del registro civil.

La autorización para recibir comunicaciones comerciales es independiente y opcional; negarla no impide recibir el servicio solicitado.

11. Derechos de los titulares

El titular, sus causahabientes o representantes pueden:

1. Conocer, actualizar y rectificar sus datos, incluidos los parciales, inexactos, incompletos, fraccionados o que induzcan a error.
2. Solicitar prueba de la autorización otorgada.
3. Ser informados, previa solicitud, del uso dado a sus datos.
4. Presentar quejas ante la SIC, una vez agotado el trámite de consulta o reclamo ante IMPACTA.
5. Revocar la autorización o solicitar la supresión cuando no se respeten los principios, derechos y garantías legales, salvo que exista un deber legal o contractual de permanecer en la base de datos.
6. Acceder en forma gratuita a sus datos, al menos una vez cada mes calendario y cada vez que haya cambios sustanciales en esta política.

12. Deberes de IMPACTA

Como responsable, IMPACTA cumple los deberes del artículo 17 de la Ley 1581 de 2012, entre ellos: garantizar el ejercicio del habeas data, conservar copia de las autorizaciones, informar la finalidad, conservar la información con seguridad, actualizarla y rectificarla, tramitar consultas y reclamos en los términos legales, exigir a los encargados el cumplimiento de la ley e informar a la SIC los incidentes de seguridad. Cuando actúa como encargado, cumple los deberes del artículo 18 y solo trata los datos según las instrucciones del responsable.

13. IMPACTA como encargado de sus clientes

Cuando una empresa cliente contrata un diagnóstico o programa y entrega datos de sus trabajadores, el cliente es el responsable del tratamiento y debe contar con la autorización de sus trabajadores. IMPACTA actúa como encargado bajo un contrato o cláusula de transmisión que define el alcance, las finalidades, las medidas de seguridad, la confidencialidad y la devolución o supresión de los datos al terminar el servicio, conforme al artículo 25 del Decreto 1377 de 2013.

14. Transmisión y transferencia de datos

IMPACTA puede transmitir datos a proveedores que actúan como encargados, por ejemplo, servicios de alojamiento web, correo electrónico y almacenamiento en la nube, plataforma de formación virtual, mensajería instantánea, gestión de relaciones con clientes, facturación electrónica y contabilidad. Algunos de estos proveedores pueden estar ubicados fuera de Colombia, entre ellos en Estados Unidos.

Toda transmisión se ampara en un contrato que obliga al encargado a cumplir esta política y la ley. Las transferencias y transmisiones internacionales solo se realizan a países con nivel adecuado de protección según el Título V de la Circular Única de la SIC, o bajo las excepciones del artículo 26 de la Ley 1581 de 2012, o mediante las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos adoptadas por la Circular Externa 003 de 2025. IMPACTA no vende ni cede bases de datos.

Listado de encargados vigente:

15. Procedimiento para consultas y reclamos

Canales: correo info@impacta.com.co con el asunto “Protección de datos personales”, o escrito radicado en la dirección de notificaciones.

Contenido mínimo: nombre e identificación del titular, descripción de lo solicitado, dirección física o electrónica para la respuesta y documentos que se quieran hacer valer. Si actúa un causahabiente o representante, debe acreditar esa calidad.

Consultas: se responden en máximo 10 días hábiles desde el día siguiente a su recibo. Si no es posible, IMPACTA informará los motivos y la nueva fecha, que no superará 5 días hábiles adicionales.

Reclamos (corrección, actualización, supresión, revocatoria o presunto incumplimiento):

1. Si el reclamo está incompleto, IMPACTA requerirá al interesado dentro de los 5 días hábiles siguientes para que lo complete. Si pasan 2 meses sin respuesta, se entenderá desistido.
2. Recibido el reclamo completo, se incluirá en la base de datos la leyenda “reclamo en trámite” en máximo 2 días hábiles, hasta que se decida.
3. Se responde en máximo 15 días hábiles desde el día siguiente a su recibo. Si no es posible, se informarán los motivos y la nueva fecha, que no superará 8 días hábiles adicionales.
4. Si el reclamo no corresponde a IMPACTA, se trasladará a quien corresponda en máximo 2 días hábiles y se informará al interesado.

El titular solo puede presentar queja ante la SIC después de agotar este trámite (artículo 16 de la Ley 1581 de 2012).

16. Área responsable

El [cargo designado como responsable de protección de datos] atiende las consultas y reclamos, vela por el cumplimiento de esta política, coordina la capacitación del equipo y la gestión de incidentes.

17. Seguridad e incidentes

IMPACTA adopta medidas técnicas, humanas y administrativas proporcionales al riesgo: control de accesos por rol, contraseñas robustas y doble factor, copias de seguridad, cifrado en los servicios que lo permiten, acuerdos de confidencialidad con colaboradores y facilitadores, y prohibición de almacenar datos personales en cuentas o dispositivos personales. Los incidentes de seguridad se reportan a la SIC dentro de los 15 días hábiles siguientes a su detección, y a los titulares afectados cuando el riesgo lo amerite. Las responsabilidades, controles y procedimientos de seguridad se detallan en el Programa Integral de Gestión de Datos Personales (POL-PDP-003), que hace parte de esta política.

18. Uso de inteligencia artificial

Si IMPACTA usa herramientas de inteligencia artificial que traten datos personales, lo hará previa evaluación de impacto en privacidad, con minimización y, cuando sea posible, anonimización, y sin tomar decisiones con efectos jurídicos basadas solo en tratamientos automatizados, conforme a la Circular Externa SIC 002 de 2024.

19. Comunicaciones comerciales

Los mensajes comerciales por correo, SMS, WhatsApp o llamada solo se envían a quien lo haya autorizado, de lunes a viernes de 7:00 a.m. a 7:00 p.m. y sábados de 8:00 a.m. a 3:00 p.m., nunca domingos ni festivos, sin usar varios canales con la misma persona en una semana ni contactarla más de una vez al día. Cada mensaje incluye un mecanismo sencillo para dejar de recibirlos (Ley 2300 de 2023).

20. Conservación y supresión

Los datos se conservan mientras se requieran para la finalidad informada y, después, durante los plazos legales aplicables: 10 años para documentos contables y soportes (artículo 28 de la Ley 962 de 2005), los plazos laborales y de seguridad social para colaboradores, y los de historia clínica ocupacional para la información psicosocial custodiada por los psicólogos. Las hojas de vida de aspirantes no seleccionados se conservan hasta 2 años, salvo solicitud de supresión. Cumplido el plazo, los datos se suprimen o anonimizan de forma segura.

21. Registro Nacional de Bases de Datos

Si los activos totales de IMPACTA superan 100.000 UVT, sus bases de datos se inscribirán y actualizarán en el Registro Nacional de Bases de Datos administrado por la SIC, conforme al Decreto 090 de 2018.

22. Vigencia y cambios

Esta política rige desde su publicación el 24 otubre de 2026 Las bases de datos estarán vigentes mientras subsistan las finalidades descritas. Los cambios sustanciales se comunicarán a los titulares antes de implementarlos, por correo electrónico o aviso en el sitio web, y cuando afecten la finalidad se pedirá una nueva autorización.