Política de Tratamiento de Datos Personales

Documento marco aplicable a las empresas suscriptoras de la plataforma ActaLista.

1. Objeto

La presente Política de Tratamiento de Datos Personales (“la Política”) regula la forma en que ActaLista (en adelante, “el Encargado”) recolecta, almacena, usa, circula y suprime los datos personales —incluyendo datos sensibles— cargados en la plataforma por ActaLista, identificada con NIT [POR DEFINIR: NIT de la empresa suscriptora] (en adelante, “el Cliente” o “el Responsable”), en el marco de los servicios de auditoría documental prestados a través de la plataforma.

Esta Política se expide en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), la Ley Estatutaria 1266 de 2008 y demás normas que las modifiquen, adicionen o sustituyan, así como los lineamientos de la Superintendencia de Industria y Comercio (SIC).

2. Responsable y Encargado del Tratamiento

2.1 Encargado del Tratamiento

2.2 Responsable del Tratamiento

Cada empresa que se suscribe a la plataforma actúa como Responsable del Tratamiento respecto de los datos personales que carga en ella. Sus datos de identificación son:

3. Definiciones

• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido genera discriminación, tales como datos de salud, seguridad social, vida sexual y biométricos.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Responsable del Tratamiento: la empresa suscriptora que decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del Tratamiento: ActaLista, quien trata los datos por cuenta del Responsable para fines de auditoría documental.
• Tratamiento: cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales.

4. Principios aplicables

ActaLista aplica en todo tratamiento los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad establecidos en el artículo 4 de la Ley 1581 de 2012. En particular:

• Finalidad: los datos solo se usan para los fines de auditoría documental informados y autorizados.
• Circulación restringida: los datos no circulan más allá de lo necesario para prestar el servicio de auditoría.
• Seguridad: se aplican medidas técnicas, humanas y administrativas para proteger los datos frente a accesos no autorizados, pérdida o alteración.
• Confidencialidad: toda persona que intervenga en el tratamiento está obligada a garantizar la reserva de la información, incluso después de finalizada su relación con el Encargado.

5. Datos objeto de tratamiento

En el marco de la suscripción, la empresa Cliente puede cargar en la plataforma, entre otros, los siguientes tipos de datos personales de sus titulares:

5.1 Datos básicos

• Nombre completo, tipo y número de documento de identidad.
• Correo electrónico y teléfono de contacto.
• Cargo y relación con la empresa Cliente.

5.2 Datos sensibles

Dado que la plataforma soporta procesos de auditoría documental, pueden cargarse datos sensibles, tales como:

• Datos de salud (historias clínicas, certificados médicos, incapacidades).
• Datos de seguridad social (afiliaciones a EPS, ARL, AFP, planillas de aportes).
• Contratos laborales o civiles y sus anexos.
• Otros documentos que la empresa Cliente determine necesarios para la auditoría.

5.3 Titulares de los datos

Para efectos de esta suscripción, los titulares de los datos cargados son: [POR DEFINIR: Titulares de los datos tratados].

En caso de que dentro de la documentación auditada existan datos de niños, niñas o adolescentes (p. ej. beneficiarios de seguridad social, pólizas familiares), aplica adicionalmente el Protocolo de Datos de Menores de Edad, que exige la autorización de los padres, madres o representantes legales y el interés superior del menor como criterio rector.

5.4 Datos de enfoque diferencial y de estabilidad laboral reforzada

Para diligenciar las secciones de enfoque diferencial y de género del acta (Parte III del Acta de Inspección General, conforme a la Resolución MinTrabajo 4179 de 2025) y para aplicar las medidas de protección que correspondan, la plataforma permite que cada persona trabajadora suministre, de manera voluntaria, a través de la Encuesta de caracterización del trabajador, datos sobre su identidad de género, pertenencia étnica, discapacidad, situación de desplazamiento, condición campesina, condición de mujer víctima de violencia de género, gestación, lactancia, licencias de maternidad o paternidad, recomendaciones médico-laborales vigentes y reubicación por recomendación médica. Estos datos:

• Solo se recogen con autorización previa, expresa e informada del titular, separada de la autorización general, en la que se le indica que se trata de datos sensibles y que no está obligado a suministrarlos. Todas las preguntas incluyen la opción «Prefiero no responder» y negarse no afecta la relación con la empresa Cliente.
• Se almacenan separados del resto de la información de la persona y solo pueden consultarlos los roles que la empresa Cliente designa para talento humano y seguridad y salud en el trabajo dentro de la plataforma (propietario, administrador y consultor de la organización).
• Se usan únicamente con fines estadísticos, para diligenciar los totales del acta y para aplicar las medidas de protección y enfoque diferencial. No se usan para decisiones de selección, promoción, remuneración o terminación, ni se analizan de forma individual con herramientas de inteligencia artificial.
• La plataforma no solicita diagnósticos ni historias clínicas.
• La orientación sexual no se solicita por persona: esa sección del acta se diligencia con datos numéricos agregados.

El registro de trabajadores con fuero o estabilidad laboral reforzada (maternidad, paternidad, salud, prepensión, fuero sindical, cabeza de familia, queja de acoso laboral en trámite) tiene el mismo acceso restringido y sirve para que la empresa Cliente respete esas protecciones.

6. Finalidades del tratamiento

Los datos cargados en la plataforma serán tratados para las siguientes finalidades:

• Realizar el proceso de auditoría documental contratado por la empresa Cliente.
• Verificar el cumplimiento normativo de la documentación cargada (laboral, seguridad social, contractual).
• Generar reportes, alertas y resultados de auditoría para la empresa Cliente.
• Caracterizar la planta de personal, contrastar la información de cada persona con los registros de la empresa Cliente y aplicar las medidas de enfoque diferencial y de estabilidad laboral reforzada descritas en la sección 5.4.
• Administrar la relación contractual de suscripción y facturación del servicio.
• Cumplir obligaciones legales y atender requerimientos de autoridades competentes.
• Mejorar la seguridad y funcionamiento de la plataforma.

ActaLista no utilizará los datos cargados para fines distintos a los aquí descritos, ni los venderá, arrendará o cederá a terceros no autorizados.

7. Derechos de los titulares

De conformidad con el artículo 8 de la Ley 1581 de 2012, los titulares de los datos tienen derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, salvo que la ley no la exija.
• Ser informados sobre el uso dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley.
• Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que impida eliminarlo.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Dado que la relación contractual de la plataforma es con la empresa Cliente (Responsable), las solicitudes de los titulares se canalizarán a través de ActaLista, quien podrá apoyarse en el Encargado para su atención técnica dentro de la plataforma.

8. Procedimiento para ejercer los derechos (PQRS)

Los titulares, o sus causahabientes, podrán presentar consultas, quejas y reclamos relacionados con el tratamiento de sus datos a través de:

• Correo electrónico del Responsable: [POR DEFINIR: Correo de contacto de la empresa]
• Correo electrónico del Encargado: notificacionesjudiciales@confuturolaboral.com

Plazos:

• Consultas: máximo diez (10) días hábiles, prorrogables por cinco (5) días hábiles adicionales, informando los motivos de la prórroga.
• Reclamos: máximo quince (15) días hábiles desde la fecha de recibo, prorrogables por ocho (8) días hábiles adicionales.

Si el reclamo está incompleto, se requerirá al titular dentro de los cinco (5) días siguientes para que subsane las fallas; transcurridos dos (2) meses sin respuesta del titular, se entenderá desistido el reclamo.

9. Autorización y consentimiento reforzado

Por tratarse de datos sensibles, la carga de dicha información en la plataforma requiere autorización previa, expresa e informada del titular, en la cual se le indique de manera explícita que el dato es sensible y que no está obligado a autorizar su tratamiento.

Cuando los datos sensibles se recogen con la Encuesta de caracterización del trabajador, la plataforma solicita esa autorización directamente al titular, guarda la prueba (texto aceptado y fecha) y no guarda ninguna respuesta sensible si el titular no la otorga.

Para los demás casos, es responsabilidad de ActaLista —en su calidad de Responsable del Tratamiento y empleador o contraparte contractual de los titulares— obtener y conservar prueba de dicha autorización antes de cargar los documentos a la plataforma. El Encargado podrá solicitar evidencia de esta autorización en cualquier momento.

Cuando existan datos de menores de edad dentro de la documentación, se exige adicionalmente la autorización de los padres, madres o representantes legales.

10. Transferencia y transmisión de datos

El Encargado solo transmite los datos a terceros cuando sea estrictamente necesario para la prestación del servicio (p. ej. proveedores de infraestructura tecnológica), mediante contratos que garanticen niveles adecuados de protección.

Ubicación de alojamiento de los datos: infraestructura en la nube de Supabase Inc., región sa-east-1 (São Paulo, Brasil), con transferencia internacional sujeta a los artículos 26 y 27 de la Ley 1581 de 2012.

En caso de transferencia internacional de datos, se dará cumplimiento a lo dispuesto en los artículos 26 y 27 de la Ley 1581 de 2012 y se informará oportunamente a la empresa Cliente.

11. Seguridad de la información

El Encargado implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales, entre ellas:

• Cifrado de datos en tránsito y en reposo.
• Control de acceso basado en roles, con registro de accesos y de toda mutación documental en una bitácora de actividad inalterable para el usuario.
• Segmentación de la información por empresa Cliente: aislamiento de datos entre suscriptores aplicado en la base de datos, no solo en la interfaz.
• Copias de seguridad periódicas y plan de continuidad.
• Protocolo de gestión de incidentes y notificación de brechas de seguridad a la SIC y a los titulares afectados, conforme a la normativa vigente.

12. Tiempo de conservación de los datos

Los datos y documentos cargados en la plataforma se conservarán durante tres (3) años contados a partir de la fecha de su cargue o de la finalización del proceso de auditoría correspondiente, salvo que exista una obligación legal, contractual o un proceso judicial o administrativo en curso que exija un plazo mayor. Vencido este término, los datos serán eliminados o anonimizados de forma segura, salvo instrucción distinta de la empresa Cliente dentro del marco legal aplicable.

13. Área responsable y canal de atención

El área o persona responsable de la protección de datos personales dentro de la organización suscriptora es: [POR DEFINIR: Responsable de protección de datos en la empresa].

Por parte del Encargado, el canal de atención es notificacionesjudiciales@confuturolaboral.com.

14. Vigencia y modificaciones

Esta Política rige a partir de la fecha de su publicación y permanecerá vigente mientras subsista la relación de suscripción y durante el tiempo de conservación de los datos indicado en la sección 12. El Encargado podrá modificar esta Política en cualquier momento, informando previamente a la empresa Cliente y, cuando aplique, a los titulares.

Aceptada por [POR DEFINIR: Representante legal], en representación de ActaLista.

Esta es la minuta marco. Cada empresa suscriptora genera y acepta su versión, con sus propios datos, al registrarse en la plataforma; queda archivada en Organización. ActaLista es una herramienta privada de preparación, no un canal oficial del Ministerio del Trabajo.