Política de Tratamiento y Protección de Datos Personales

1. Introducción LUZ (en adelante, "LUZ" o "la Entidad responsable"), en cumplimiento de las disposiciones establecidas en la Ley 1581 del 17 de octubre de 2012, sus decretos reglamentarios compilados en el Decreto Único 1074 de 2015, el Decreto 1377 de 2013 y las demás normas que la modifiquen, deroguen o subroguen, expide la presente Política de Tratamiento y Protección de Datos Personales (en adelante, "la Política"), con el fin de regular la responsabilidad que le asiste en materia de Tratamiento de Datos Personales y el manejo de la información personal de los Titulares que interactúan con la plataforma. La presente Política reconoce los derechos, libertades y garantías consagradas en los artículos 15 y 20 de la Constitución Política de Colombia, garantizando el derecho fundamental que le asiste a toda persona a conservar su intimidad personal y familiar, así como a conocer, actualizar y rectificar la información que se haya recogido sobre ella en virtud del uso del aplicativo LUZ. LUZ, enfocada en procurar la debida protección y tratamiento de datos personales —y en particular de los datos sensibles relacionados con el estado emocional y la salud mental de sus usuarios—, asegura que los Titulares estén plenamente informados sobre la recopilación, utilización, almacenamiento y protección de sus datos. Con esta Política, LUZ reitera su compromiso con la transparencia, la seguridad y la responsabilidad, procurando en todo momento proteger la confianza de sus Titulares. Objeto. La presente Política tiene como objeto establecer los principios, criterios y procedimientos que regulan la Protección y Tratamiento de Datos Personales de los Titulares del aplicativo LUZ, desde su recolección, almacenamiento, uso, circulación y supresión, en cumplimiento de la normativa vigente en materia de protección de los derechos fundamentales de los Titulares relacionados con el Tratamiento de sus datos personales, incluyendo sus derechos a la privacidad, intimidad y buen nombre. 2. Alcance La presente Política es aplicable y tiene alcance sobre toda la información personal que sea recolectada a través del aplicativo móvil y/o web de LUZ, del dashboard administrativo dirigido a clientes corporativos, de los canales de atención al usuario, y de cualquier otro medio, formato o soporte (físico, digital, electrónico, en la nube o cualquier otra modalidad) a través del cual se realice Tratamiento de datos personales en desarrollo de la actividad de LUZ. Asimismo, la presente Política es aplicable y de obligatorio cumplimiento para todas las personas naturales y jurídicas, colaboradores, contratistas, equipo clínico interdisciplinario, administradores y todas aquellas personas que directa o indirectamente tengan acceso y/o guarden relación con el Tratamiento de la información personal, bases de datos, archivos y/o documentos de los cuales LUZ sea Responsable o Encargada. 3. Definiciones Con el propósito de facilitar la comprensión de la presente Política, se deben tener en cuenta las siguientes definiciones: - Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales. - Aviso de Privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el Tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de Tratamiento que le serán aplicables, la forma de acceder a las mismas y las finalidades del Tratamiento que se pretende dar a los datos personales. - Base de datos: Conjunto estructurado de datos personales que se encuentran almacenados en un soporte electrónico, documental o en otro formato que permita su consulta y procesamiento. - Chatbot / Asistente conversacional: Aplicación de software que simula mantener una conversación con una persona al proveer respuestas generadas mediante modelos de inteligencia artificial a partir de las entradas realizadas por el usuario. Cuando LUZ incorpore esta funcionalidad, su Tratamiento de datos se sujeta íntegramente a la presente Política. - Consentimiento: Manifestación libre, previa, explícita e informada del Titular de los datos personales, mediante la cual autoriza el Tratamiento de sus datos. - Datos personales: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables, clasificados en cuatro categorías: públicos, semiprivados, privados y sensibles. - Datos públicos: Es el dato que la ley o la Constitución Política determina como tal, así como todos aquellos que no sean semiprivados o privados. - Datos privados: Es el dato que por su naturaleza íntima o reservada solo es relevante para el Titular de la información (por ejemplo, sus datos de contacto o de uso de la aplicación). - Datos semiprivados: Es el dato que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo a su Titular sino a cierto sector o grupo de personas (por ejemplo, información laboral básica asociada a la vinculación con un cliente corporativo). - Datos sensibles: Aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como los datos relativos a la salud, la vida sexual y los datos biométricos. Para efectos de esta Política, tienen especial relevancia los datos relativos al estado emocional, el bienestar psicológico y la salud mental del Titular. - Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el Tratamiento de datos personales por cuenta del Responsable, en virtud de una relación jurídica que lo faculta para ello. - Responsable del Tratamiento: Persona natural o jurídica que, por sí misma o en asocio con otros, tenga poder de decisión sobre las bases de datos y/o el Tratamiento de los datos personales, identificada en el numeral 5 de esta Política. - Titular: Persona natural cuyos datos personales sean objeto de Tratamiento; para efectos de esta Política, principalmente el usuario del aplicativo LUZ. - Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. - Transferencia: Tiene lugar cuando el Responsable y/o Encargado del Tratamiento, ubicado en Colombia, envía la información o los datos personales a un receptor que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país. - Transmisión: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de la República de Colombia, cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del Responsable. 4. Principios Rectores Aplicables en Materia de Protección y Tratamiento de Datos Personales LUZ, consciente de la importancia de salvaguardar la privacidad y la seguridad de la información personal —en especial de la información sensible relacionada con la salud mental de sus usuarios—, se compromete a adherirse y cumplir con los principios fundamentales establecidos en el artículo 4 de la Ley 1581 de 2012: a) Principio de legalidad en materia de Tratamiento de datos: el Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen. b) Principio de finalidad: el Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular. c) Principio de libertad: el Tratamiento solo puede ejercerse con el consentimiento previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento. d) Principio de veracidad o calidad: la información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el Tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error. e) Principio de transparencia: en el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable o del Encargado, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan. f) Principio de acceso y circulación restringida: el Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones legales y la Constitución. Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros medios de divulgación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido solo a los Titulares o terceros autorizados. g) Principio de seguridad: la información sujeta a Tratamiento se deberá manejar con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. h) Principio de confidencialidad: todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con LUZ. 5. Responsable del Tratamiento de Datos Personales Razón social: [NOMBRE O RAZÓN SOCIAL DE LA SOCIEDAD, A COMPLETAR UNA VEZ FORMALIZADA LA CONSTITUCIÓN DE LA PERSONA JURÍDICA] NIT: [A COMPLETAR TRAS EL REGISTRO MERCANTIL] Domicilio: [CIUDAD Y DIRECCIÓN DE CONTACTO EN COLOMBIA] Correo de privacidad: [privacidad@luzapp.com — sugerido] Teléfono de contacto: [NÚMERO DE ATENCIÓN AL USUARIO] Aplicativo: LUZ — aplicación móvil y/o web de bienestar de salud mental LUZ, en calidad de titular del aplicativo y de la relación con sus usuarios, actuará como Responsable del Tratamiento de los datos personales que sean recolectados en el marco de su actividad, en cumplimiento de lo dispuesto en la presente Política. El Tratamiento se lleva a cabo en estricta conformidad con las finalidades específicas descritas en el numeral 6, así como en cumplimiento de cualquier obligación legal o contractual que resulte aplicable. Los campos identificados entre corchetes se completarán una vez la sociedad titular del proyecto LUZ se encuentre legalmente constituida e inscrita en el registro mercantil correspondiente, dado que la plena identificación del Responsable es un requisito de validez de la presente Política frente a la Superintendencia de Industria y Comercio (SIC). 6. Finalidad del Tratamiento de los Datos Personales LUZ, como Responsable del Tratamiento de datos personales, realiza dicho Tratamiento con base en las siguientes finalidades, segmentadas de acuerdo con el grupo de interés al que pertenezca el Titular: a) Usuarios del aplicativo (Titulares finales) - Administrar y gestionar la cuenta de usuario, autenticación y recuperación de acceso al aplicativo LUZ. - Generar el seguimiento personal de bienestar del Titular a partir de sus registros de estado de ánimo (check-in diario), respuestas a cuestionarios de bienestar y demás contenido que voluntariamente ingrese en la aplicación. - Ofrecer contenidos, recomendaciones y funcionalidades personalizadas de bienestar (meditaciones, ejercicios de respiración, psicoeducación, rutinas). - Activar el protocolo interno de detección y derivación en situaciones de riesgo, cuando el sistema identifique señales asociadas a crisis emocional aguda (numeral 12). - Gestionar y tramitar de manera eficiente las peticiones, quejas o reclamos presentados directamente por el Titular a través de los canales oficiales de atención. - Contactar al Titular por medios físicos y electrónicos autorizados (correo electrónico, notificaciones push, chat) para el envío de información relevante sobre el servicio. - Analizar, evaluar y generar datos estadísticos e indicadores agregados y anonimizados para la mejora continua del producto. - Cumplir con las obligaciones tributarias, contractuales y de registro que resulten aplicables a la relación con el Titular, cuando este contrate directamente un plan de suscripción individual. b) Colaboradores, contratistas y equipo clínico interdisciplinario - Administrar la información de los colaboradores, contratistas, psicólogos, psiquiatras, desarrolladores y demás perfiles vinculados al proyecto LUZ, para el cumplimiento de los fines propios de la operación. - Ejecutar las actividades necesarias para dar cumplimiento a las obligaciones legales, laborales y regulatorias aplicables a cada tipo de vinculación (laboral, civil o de prestación de servicios). - Gestionar los procesos de selección, contratación y vinculación del equipo clínico y técnico, incluyendo la verificación de idoneidad y tarjeta profesional cuando aplique. - Administrar el acceso restringido a la información de usuarios que cada colaborador requiera para el cumplimiento de sus funciones, en especial en la validación de contenidos clínicos y en la gestión del protocolo de riesgo. c) Clientes corporativos (empresas, ARL, Cajas de Compensación), proveedores y terceros - Administrar y gestionar el contrato comercial suscrito con la empresa, Administradora de Riesgos Laborales (ARL) o Caja de Compensación Familiar que contrate LUZ como beneficio para sus trabajadores. - Generar y entregar reportes agregados y anonimizados de bienestar organizacional a través del dashboard administrativo, conforme a los límites descritos en el numeral 11. - Administrar la información de contacto de los usuarios autorizados del dashboard (correo corporativo, cargo) para la gestión de su acceso a la cuenta empresarial. - Gestionar la relación con proveedores tecnológicos (infraestructura en la nube, proveedores de inteligencia artificial, herramientas de soporte) que actúen como Encargados del Tratamiento. - Dar cumplimiento a obligaciones tributarias, contractuales, contables y regulatorias frente a clientes corporativos y proveedores. - Atender requerimientos de información de entes de control, en ejercicio de sus funciones legales. 7. Derechos de los Titulares de Datos Personales LUZ, en su compromiso con la protección de los datos personales y en cumplimiento de la Ley 1581 de 2012, garantiza el ejercicio pleno de los siguientes derechos a todos los Titulares de datos personales recolectados, conforme al artículo 8 de dicha ley: a) Conocer, actualizar y rectificar sus datos personales frente a LUZ como Responsable del Tratamiento. Este derecho se podrá ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado. b) Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el Tratamiento. c) Ser informado por LUZ, previa solicitud, respecto del uso que se le ha dado a sus datos personales. d) Presentar ante la Superintendencia de Industria y Comercio (SIC) quejas por infracciones a lo dispuesto en la Ley 1581 de 2012 y demás normas concordantes. e) Revocar la autorización y/o solicitar la supresión del dato, cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, y no exista un deber legal o contractual que impida su eliminación. f) Acceder de forma gratuita a sus datos personales que hayan sido objeto de Tratamiento. 8. Autorización del Titular de Datos Personales LUZ se compromete a tratar los datos personales únicamente con la autorización previa, expresa e informada de sus Titulares, y siempre dentro del alcance, condiciones y finalidades establecidas en dicha autorización, de acuerdo con el artículo 9 de la Ley 1581 de 2012. Dicha autorización deberá ser obtenida por un medio que pueda ser objeto de consulta posterior. De conformidad con el artículo 10 de la Ley 1581 de 2012, no se requiere autorización del Titular cuando se trate de: (i) información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; (ii) datos de naturaleza pública; (iii) casos de urgencia médica o sanitaria; (iv) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; o (v) datos relacionados con el registro civil de las personas. 8.1 Autorización general de tratamiento de datos personales Se solicita al momento de la creación de la cuenta, mediante la aceptación expresa (marcación de casilla, inicialmente desmarcada) de esta Política y de los Términos y Condiciones de Uso del aplicativo. [El documento de Términos y Condiciones de Uso está pendiente de redacción — esta versión de la Política se muestra y se autoriza de forma independiente mientras tanto.] 8.2 Autorización específica y diferenciada para datos sensibles De conformidad con el artículo 6 de la Ley 1581 de 2012, el Tratamiento de datos sensibles está prohibido, excepto cuando el Titular haya otorgado su autorización explícita. Por ello, LUZ solicita esta autorización de forma independiente y adicional, antes de que el Titular registre por primera vez información sobre su estado de ánimo o salud emocional, en los siguientes o similares términos: [PÁRRAFO AÑADIDO POR EL EQUIPO DE PRODUCTO — PENDIENTE DE CONFIRMACIÓN DE LA ABOGADA] "Toda la información que compartís con Luz se cifra en nuestra base de datos apenas la enviás, con una llave que solo la aplicación de Luz tiene — nadie puede simplemente entrar a la base de datos y leerla en texto plano. Nunca se usa para entrenar futuros modelos de Luz. Luz es para vos, para tu desarrollo y tu crecimiento." Texto sugerido de autorización de datos sensibles "Autorizo el tratamiento de mis datos personales sensibles relacionados con mi estado de ánimo y bienestar emocional, conforme a la Política de Tratamiento de Datos Personales de LUZ. Entiendo que la entrega de estos datos es completamente facultativa, que no estoy obligado(a) a autorizarla, y que puedo revocar esta autorización en cualquier momento sin que ello afecte el uso general de la aplicación." [ ] Acepto (casilla desmarcada por defecto — el Titular debe marcarla activamente) El sistema debe conservar un registro técnico verificable de cada autorización otorgada (marca de tiempo, identificador de usuario y versión de la Política aceptada), como prueba de la autorización frente a una eventual verificación de la SIC. 8.3 Revocatoria de la autorización El Titular podrá revocar su autorización en cualquier momento a través de la configuración de la aplicación o del canal de contacto señalado en el numeral 5, sin perjuicio de que dicha revocatoria no tenga efectos retroactivos sobre los Tratamientos ya realizados conforme a la autorización previamente otorgada. 9. Deberes del Responsable del Tratamiento de Datos Personales LUZ, en su calidad de Responsable del Tratamiento de Datos Personales, se compromete a observar y dar cumplimiento a los deberes establecidos en el artículo 17 de la Ley 1581 de 2012: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. b) Solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular. c) Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada. d) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. e) Garantizar que la información que se suministre a los Encargados del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible. f) Actualizar la información, comunicando de forma oportuna a los Encargados del Tratamiento todas las novedades respecto de los datos previamente suministrados. g) Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento. h) Suministrar a los Encargados del Tratamiento únicamente datos cuyo Tratamiento esté previamente autorizado. i) Exigir a los Encargados del Tratamiento, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular. j) Tramitar las consultas y reclamos formulados en los términos señalados en la ley y en el numeral 14 de esta Política. k) Adoptar un procedimiento interno para garantizar el adecuado cumplimiento de la normativa de protección de datos y, en especial, para la atención de consultas y reclamos. l) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares. m) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio. 10. Deberes de LUZ como Encargada del Tratamiento de Datos Personales En el marco del modelo de negocio B2B2C, cuando una empresa, ARL o Caja de Compensación Familiar contrata LUZ como beneficio para sus trabajadores, LUZ puede asumir adicionalmente el rol de Encargada del Tratamiento respecto de determinada información administrada por cuenta de dicho cliente corporativo (por ejemplo, la nómina de empleados habilitados para acceder al beneficio). En dichos casos, LUZ garantizará el cumplimiento de los deberes establecidos en el artículo 18 de la Ley 1581 de 2012, entre ellos: a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data. b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. c) Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la ley. d) Actualizar la información reportada por el cliente corporativo Responsable dentro de los cinco (5) días hábiles siguientes a su recibo. e) Tramitar las consultas y los reclamos formulados por los Titulares en los términos señalados en la ley. f) Abstenerse de utilizar la información suministrada por el cliente corporativo para finalidades distintas a la prestación del servicio contratado. g) Permitir el acceso a la información únicamente a las personas que, dentro de la organización de LUZ, requieran dicho acceso para el cumplimiento de sus funciones. h) Informar al cliente corporativo Responsable y, cuando corresponda, a la Superintendencia de Industria y Comercio, cuando se presenten violaciones a los códigos de seguridad que comprometan la información de los Titulares. 11. Tratamiento de Datos Personales de Acuerdo con su Clasificación a) Tratamiento de datos personales públicos LUZ realiza el Tratamiento de los datos personales de carácter público conforme a lo dispuesto en la Ley 1581 de 2012, respetando el principio de transparencia y la finalidad con la cual dichos datos fueron recolectados. Estos datos podrán ser tratados sin requerir autorización previa del Titular, siempre que su uso se circunscriba a los fines específicos para los cuales fueron recolectados. b) Tratamiento de datos personales privados LUZ realiza el Tratamiento de los datos personales privados (por ejemplo, datos de contacto, credenciales de acceso, datos de uso de la aplicación) mediante autorización previa, expresa e informada del Titular, implementando medidas de seguridad que protejan la confidencialidad, integridad y disponibilidad de esta información, asegurando que solo las personas debidamente autorizadas accedan a estos datos. c) Tratamiento de datos personales semiprivados LUZ adopta un enfoque garantista en el Tratamiento de los datos personales semiprivados (por ejemplo, la vinculación de un usuario a un cliente corporativo determinado), tratándolos con el mismo nivel de protección y cuidado que los datos privados, bajo las mismas condiciones de autorización, seguridad y confidencialidad. d) Tratamiento de datos personales sensibles LUZ realiza el Tratamiento de datos personales sensibles —en particular, los relacionados con el estado de ánimo, el bienestar emocional y la salud mental de sus usuarios— bajo criterios de máxima precaución y protección, asegurando que esta información solo sea procesada cuando sea absolutamente necesario y estrictamente para las finalidades permitidas por la ley y descritas en esta Política. LUZ exige siempre la autorización explícita, previa e informada del Titular, conforme al numeral 8.2, quien es debidamente informado sobre la naturaleza sensible de los datos, los fines específicos para los cuales serán utilizados, y los riesgos potenciales asociados a su Tratamiento. LUZ implementa medidas y controles de seguridad técnicos, administrativos y jurídicos para proteger los datos sensibles, garantizando que su integridad y confidencialidad no sean comprometidas en ninguna circunstancia. Se respeta la decisión del Titular de no suministrar información sensible, y en ningún caso se condiciona el uso general de la aplicación a la entrega de este tipo de datos. 12. Tratamiento Especial de Datos en el Protocolo de Manejo de Situaciones de Riesgo Dado el carácter especialmente sensible de la información tratada, LUZ cuenta con un protocolo interno, validado por su equipo clínico interdisciplinario (psicólogos y psiquiatras), para la detección de señales de riesgo vital (ideación suicida, autolesión o crisis aguda) a partir de la información que el Titular ingresa voluntariamente en la aplicación. - Cuando el sistema detecte una señal de riesgo, la aplicación mostrará al Titular información de derivación a líneas de atención en salud mental y/o servicios de emergencia disponibles en su país. - El acceso a la información asociada a una alerta de riesgo se restringe al personal estrictamente necesario para la gestión del protocolo, bajo el principio de acceso y circulación restringida. - LUZ no comparte esta información con el empleador, la ARL o la Caja de Compensación contratante, salvo autorización expresa, adicional y específica del Titular, o una obligación legal que exija su reporte a la autoridad competente. - Este protocolo no sustituye la atención profesional de salud mental ni constituye un servicio médico o de urgencias; LUZ se posiciona como una herramienta de bienestar y acompañamiento, según se informa expresamente en los Términos y Condiciones de Uso del aplicativo. 13. Aclaraciones En el marco de la presente Política, LUZ presenta las siguientes aclaraciones: a) LUZ es una herramienta de bienestar y acompañamiento emocional. No presta servicios de salud, no diagnostica ni sustituye la atención profesional de psicología o psiquiatría, y no debe utilizarse en situaciones de crisis o emergencia, para las cuales el Titular debe acudir a los servicios de urgencias o líneas de atención correspondientes. b) Tratamiento de datos de niños, niñas y adolescentes: en atención a la especial protección constitucional de los menores de edad y a lo dispuesto en el artículo 7 de la Ley 1581 de 2012 y el artículo 12 del Decreto 1377 de 2013, el Tratamiento de datos de usuarios menores de 18 años requeriría la autorización de su representante legal, previo ejercicio del derecho del menor a ser escuchado. Mientras no se implemente un mecanismo robusto de verificación de edad y autorización parental, LUZ restringe su registro a personas mayores de 18 años, restricción que se informa expresamente en los Términos y Condiciones de Uso. c) Modelo B2B2C — datos frente a clientes corporativos: cuando el Titular accede a LUZ como beneficiario de un programa contratado por su empleador, una ARL o una Caja de Compensación Familiar, conserva la totalidad de sus derechos como Titular frente a LUZ, con independencia de que el servicio sea pagado por un tercero. El cliente corporativo únicamente recibe reportes agregados y anonimizados de bienestar organizacional (numeral 6.c), sin acceso a información individualizada ni identificable de ningún trabajador, y el contrato suscrito con cada cliente corporativo incluye la prohibición expresa de utilizar cualquier información derivada de la plataforma como criterio en decisiones laborales individuales. d) Funcionalidades de inteligencia artificial: cuando LUZ incorpore funcionalidades de asistente conversacional o recomendaciones generadas mediante inteligencia artificial, el contenido que el Titular comparta en dichas interacciones se trata conforme a los mismos estándares de protección de datos sensibles descritos en esta Política, y puede ser tratado por proveedores de infraestructura de inteligencia artificial que actúen como Encargados del Tratamiento, conforme al numeral 16. 14. Protocolo para la Atención de Consultas, Reclamos, Peticiones y Mecanismos para Ejercer los Derechos de los Titulares El Titular de los datos personales, así como sus causahabientes, representantes y/o apoderados debidamente legalizados, podrán ejercer sus derechos relacionados con la protección de datos personales a través de los siguientes canales de contacto: - Correo electrónico de privacidad: [xxxxxxxx.com — a confirmar]. - Canal de atención dentro del aplicativo (sección de soporte / configuración de cuenta). - Los demás canales de atención al usuario que LUZ habilite y publique en su sitio web o en el propio aplicativo. El área responsable de la atención de consultas y reclamos de LUZ será la encargada de recibir y dar trámite interno con las áreas que sean requeridas para dar respuesta a las solicitudes remitidas, en los términos establecidos en la ley vigente y aplicable. a) Plazo de respuesta a consultas de datos personales. Según el artículo 14 de la Ley 1581 de 2012, la consulta relacionada con los datos personales se responderá en diez (10) días hábiles a partir de su recepción. En caso de que no sea posible resolverla dentro de este período, se notificará al interesado, explicando las razones de la demora y especificando la nueva fecha para atender la consulta, la cual no podrá exceder los cinco (5) días hábiles posteriores al vencimiento del primer plazo. b) Plazo de respuesta de reclamos de datos personales. En virtud de lo establecido en el artículo 15 de la Ley 1581 de 2012, el reclamo debe ser presentado incluyendo la identificación del Titular, una descripción de los hechos, la dirección y los documentos pertinentes. Si el reclamo está incompleto, se solicitará al interesado que lo complete en un plazo de cinco (5) días, y si no se hace dentro de los dos (2) meses siguientes, se considerará retirado. Una vez recibido el reclamo completo, se registrará con la leyenda "reclamo en trámite" en un plazo no mayor a dos (2) días hábiles. El plazo para atender el reclamo es de quince (15) días hábiles; si no se puede cumplir, se informará al interesado sobre la demora y la nueva fecha de resolución, que no deberá superar los ocho (8) días hábiles adicionales. c) Requisito de procedibilidad. Conforme al artículo 16 de la Ley 1581 de 2012, el Titular de los datos o su causahabiente solo podrá presentar una queja ante la Superintendencia de Industria y Comercio después de haber agotado previamente el procedimiento de consulta o reclamo ante LUZ. 15. Condiciones Generales para el Ejercicio del Derecho Fundamental del Habeas Data Para garantizar una correcta radicación y atención de la solicitud, se requiere que el Titular y/o interesado suministre la siguiente información, con el fin de validar adecuadamente la titularidad de la solicitud: - Nombres y apellidos. - Número de identificación. - Datos de contacto (correo electrónico y/o teléfono). - Medio para recibir respuesta a la solicitud. - Motivo(s) o hecho(s) que dan lugar a la solicitud, con una breve descripción del derecho que desea ejercer (conocer, actualizar, rectificar, solicitar prueba de la autorización otorgada, revocarla, suprimir el dato, o acceder a la información). En caso de que las consultas y/o reclamos se presenten sin el cumplimiento de los requisitos anteriores, se podrá solicitar al Titular que complete o subsane la información requerida. 16. Personas a Quienes se les Puede Suministrar la Información Relacionada con Datos Personales LUZ, de conformidad con el artículo 13 de la Ley 1581 de 2012, podrá suministrar la información concerniente a datos personales a las siguientes personas: - A los Titulares, sus causahabientes o sus representantes legales. - A las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial. - A los Encargados del Tratamiento con los que LUZ mantenga una relación contractual (proveedores de infraestructura en la nube, hosting, proveedores de inteligencia artificial, herramientas de analítica o soporte al cliente), únicamente respecto de la información necesaria para la prestación del servicio contratado. - A los clientes corporativos (empresas, ARL, Cajas de Compensación), exclusivamente en la forma agregada y anonimizada descrita en el numeral 13.c, sin que en ningún caso se les suministre información sensible individualizada del Titular. - A los terceros autorizados expresamente por el Titular. Cuando alguno de los Encargados del Tratamiento se encuentre domiciliado fuera de Colombia, se activa el régimen de Transferencia y Transmisión Internacional de Datos descrito en el numeral 19. 17. Vigencia de las Bases de Datos Personales Las bases de datos de LUZ tendrán una vigencia igual al tiempo en que se mantenga la relación con el Titular y, en general, mientras subsista la finalidad para la cual fueron recolectados los datos, conforme a los principios de necesidad y proporcionalidad, sin perjuicio de los términos de prescripción legales aplicables a las obligaciones que de ella puedan derivarse. Una vez cumplida la finalidad del Tratamiento y no exista un deber legal o contractual de conservar la información, los datos personales serán suprimidos, salvo que deban conservarse por disposición legal o para atender requerimientos de autoridades competentes. 18. Medidas de Seguridad La información personal recolectada por LUZ será debidamente custodiada y protegida mediante la implementación de medidas de seguridad técnicas, humanas y administrativas, proporcionales a la sensibilidad de la información tratada, entre ellas, de manera enunciativa: - Cifrado de la información en tránsito y en reposo. - Control de acceso basado en roles, restringido al personal que requiera la información para el cumplimiento de sus funciones. - Registros de auditoría sobre el acceso y Tratamiento de datos sensibles. - Protocolos de respuesta ante incidentes de seguridad, incluyendo el deber de informar a la Superintendencia de Industria y Comercio y a los Titulares afectados en los casos y términos que establezca la ley. - Minimización de datos: solo se recolecta la información estrictamente necesaria para las finalidades informadas en esta Política. 19. Transferencia Internacional de Datos e Integraciones con Sistemas de Terceros Para la prestación del servicio, LUZ puede apoyarse en proveedores tecnológicos que actúan como Encargados del Tratamiento por cuenta del Responsable, entre ellos proveedores de infraestructura en la nube y de modelos o servicios de inteligencia artificial. Cuando alguno de estos Encargados se encuentre domiciliado fuera de Colombia —escenario previsible dado que los proveedores de infraestructura de IA suelen operar desde el exterior—, se activa el régimen de Transferencia y Transmisión Internacional de Datos del Decreto 1377 de 2013 y del Decreto 090 de 2018. - LUZ verificará si el país de destino cuenta con un nivel adecuado de protección de datos según los criterios de la Superintendencia de Industria y Comercio. - De no contar con dicho nivel, LUZ implementará cláusulas contractuales tipo u otro mecanismo idóneo que garantice un nivel de protección equivalente al colombiano. - Con cada Encargado se suscribe un contrato o cláusulas de Tratamiento de datos que delimitan el alcance, la finalidad autorizada y las medidas de seguridad exigidas, conforme al artículo 17, literal g), de la Ley 1581 de 2012. Cuando LUZ integre técnicamente su dashboard con los sistemas de información de un cliente corporativo (por ejemplo, para el cargue de la nómina de empleados habilitados), dicha integración se realizará garantizando la protección de la seguridad de la información de los Titulares, la utilización de estándares técnicos que minimicen el riesgo de acceso no autorizado, y la restricción del intercambio de información a los datos estrictamente necesarios para la administración del beneficio contratado. 20. Anonimización de Datos Personales La anonimización y/o despersonalización de los datos personales es un proceso que LUZ podrá aplicar, en particular respecto de la información utilizada para la generación de los reportes agregados dirigidos a clientes corporativos (numeral 13.c) y para el análisis estadístico de mejora del producto, siempre que la información sea depurada de elementos que permitan vincularla con la identidad del Titular. LUZ implementará umbrales mínimos de agregación en dichos reportes, de forma que, incluso en equipos de tamaño reducido, no sea posible inferir razonablemente la información de un trabajador determinado. LUZ podrá aplicar procedimientos de anonimización o de borrado de información una vez se determine que esta ha cumplido con su finalidad, necesidad o periodo de Tratamiento. 21. Área de Protección de Datos Personales En cumplimiento del deber legal establecido en el artículo 17 de la Ley 1581 de 2012, que exige la asignación de responsabilidades directas para la protección de datos personales, y conforme a lo dispuesto en el artículo 23 del Decreto 1377 de 2013, LUZ designará a una persona, equipo o área específica para asumir la función de protección de datos dentro de la organización, de acuerdo con los deberes señalados en la presente Política. Dicha área o responsable será encargada de velar por la implementación efectiva de las políticas y procedimientos necesarios para cumplir con la normativa vigente en materia de protección de datos personales, así como de coordinar con el equipo clínico interdisciplinario lo relativo al protocolo de manejo de situaciones de riesgo (numeral 12), dado su impacto directo en la seguridad de los usuarios. [A designar formalmente una vez conformado el equipo definitivo de LUZ]. 22. Protocolo de Auditoría de Cumplimiento y Revisión Periódica Para garantizar el cumplimiento continuo de la presente Política y la efectividad de las medidas de seguridad, LUZ llevará a cabo una auditoría y revisión periódica de sus prácticas y procedimientos, con una periodicidad mínima anual, evaluando su alineación con la normativa vigente y los estándares de protección de datos personales. Los resultados de dichas auditorías se documentarán en informes que identificarán oportunidades de mejora y propondrán planes de acción correctiva. El seguimiento de las recomendaciones derivadas de las auditorías será responsabilidad del área de protección de datos designada conforme al numeral 21, la cual coordinará también la revisión y actualización periódica de la presente Política. 23. Registro Nacional de Bases de Datos (RNBD) En caso de que LUZ supere los umbrales de activos totales definidos por la Superintendencia de Industria y Comercio para la inscripción obligatoria en el Registro Nacional de Bases de Datos (RNBD), procederá a inscribir sus bases de datos conforme a la normativa vigente. Independientemente de dicho umbral, LUZ podrá optar por realizar dicha inscripción de manera voluntaria como buena práctica de transparencia frente a sus Titulares. 24. Modificaciones y Entrada en Vigencia de la Política LUZ podrá modificar la presente Política en cualquier momento, en cuyo caso comunicará dichos cambios con antelación razonable a través del aplicativo y/o del correo electrónico registrado por el Titular, indicando la fecha de entrada en vigencia de la nueva versión. El uso continuado del aplicativo con posterioridad a dicha fecha implicará la aceptación de los cambios introducidos, sin perjuicio del derecho del Titular a revocar su autorización en cualquier momento. Vigencia de la Política. Rige desde su publicación en el aplicativo, prevista a partir del [DÍA] de [MES] de [AÑO], conforme al cronograma de lanzamiento comercial. Vigencia de las bases de datos. Conforme a lo señalado en el numeral 17 de la presente Política. Anexo No. 1 — Aviso de Privacidad De conformidad con lo dispuesto en la Ley Estatutaria 1581 de 2012, sus decretos reglamentarios compilados en el Decreto Único 1074 de 2015 y las demás normas que la modifiquen, deroguen o subroguen, LUZ, como Responsable del Tratamiento de Datos Personales, realizará el Tratamiento de sus datos personales y se compromete a protegerlos. El Tratamiento que realizará LUZ de los datos personales recolectados se hará conforme a lo establecido en las finalidades determinadas en la Política de Tratamiento y Protección de Datos Personales, disponible para su consulta en el aplicativo y en el sitio web de LUZ, con el fin de: a) administrar y gestionar la cuenta de usuario y el uso del aplicativo; b) generar el seguimiento personal de bienestar y ofrecer contenidos y recomendaciones personalizadas; c) activar, cuando corresponda, el protocolo de manejo de situaciones de riesgo; d) gestionar y tramitar peticiones, quejas o reclamos; e) cuando el Titular sea trabajador de un cliente corporativo, alimentar reportes agregados y anonimizados de bienestar organizacional; y f) las demás finalidades descritas en la Política de Tratamiento y Protección de Datos Personales. Le informamos que, como Titular de la información, tiene derecho a conocer, consultar, actualizar y rectificar sus datos personales y, en los casos que sea procedente, a suprimirlos o revocar la autorización otorgada, a través de los canales de atención señalados en el numeral 14 de la Política. Anexo No. 2 — Autorización General para el Tratamiento de Datos Personales De conformidad con lo dispuesto en la Ley 1581 de 2012, sus decretos reglamentarios compilados en el Decreto Único 1074 de 2015 y las demás normas que la modifiquen, deroguen o subroguen, manifiesto que he sido informado(a) por LUZ de lo siguiente: - LUZ actuará como Responsable del Tratamiento de Datos Personales de los cuales soy Titular, y podrá recolectar, usar y tratar dichos datos conforme a las finalidades establecidas en la Política de Tratamiento y Protección de Datos Personales, disponible en el aplicativo y en el sitio web de LUZ. - Conozco que puedo ejercer mis derechos como Titular de la información, en especial el derecho a conocer, actualizar y rectificar mi información personal, así como a suprimirla y/o revocar el consentimiento otorgado, a través de los canales que LUZ ha habilitado. - Conozco que existen casos en los que no se requiere mi autorización, conforme al artículo 10 de la Ley 1581 de 2012 (información requerida por autoridad pública o judicial, datos de naturaleza pública, urgencia médica o sanitaria, fines históricos, estadísticos o científicos, y datos del registro civil). - Declaro que la información y los datos personales que dispongo para el Tratamiento por parte de LUZ los he suministrado de forma voluntaria y son veraces. Teniendo en cuenta lo anterior, autorizo a LUZ para tratar mis datos personales de acuerdo con los fines descritos en la Política de Tratamiento y Protección de Datos Personales. [ ] Acepto Anexo No. 3 — Autorización Específica para el Tratamiento de Datos Sensibles De conformidad con el artículo 6 de la Ley 1581 de 2012, manifiesto que he sido informado(a) de que la información relativa a mi estado de ánimo y bienestar emocional que registre en el aplicativo LUZ constituye un dato sensible, cuya entrega es completamente facultativa. [PÁRRAFO AÑADIDO POR EL EQUIPO DE PRODUCTO — PENDIENTE DE CONFIRMACIÓN DE LA ABOGADA] "Toda la información que compartís con Luz se cifra en nuestra base de datos apenas la enviás, con una llave que solo la aplicación de Luz tiene — nadie puede simplemente entrar a la base de datos y leerla en texto plano. Nunca se usa para entrenar futuros modelos de Luz. Luz es para vos, para tu desarrollo y tu crecimiento." Texto de autorización "Autorizo el tratamiento de mis datos personales sensibles relacionados con mi estado de ánimo y bienestar emocional, conforme a la Política de Tratamiento de Datos Personales de LUZ. Entiendo que la entrega de estos datos es completamente facultativa, que no estoy obligado(a) a autorizarla, y que puedo revocar esta autorización en cualquier momento sin que ello afecte el uso general de la aplicación." [ ] Acepto (casilla desmarcada por defecto)