Política de tratamiento de datos personales

1. Identificación del Responsable del Tratamiento

El Responsable del Tratamiento es Milton Yezid Luna Ramírez, persona natural que desarrolla su actividad bajo el nombre comercial ML Impulso (en adelante, «ML Impulso»).

1.1 Doble rol de ML Impulso

ML Impulso actúa en dos calidades distintas, y de cuál se trate dependen sus obligaciones:

• Como Responsable del Tratamiento. Respecto de los datos que recoge directamente del Titular en el formulario de registro de la plataforma, de los que genera la propia plataforma (avance, evaluaciones, certificados), de los datos de sus trabajadores y candidatos, y de los datos de contacto comercial de clientes y proveedores. En estos casos ML Impulso define por sí misma las finalidades y recoge la autorización.
• Como Encargado del Tratamiento. Respecto de los datos personales que la empresa cliente carga en la plataforma o instruye tratar en el marco del contrato de prestación de servicios (por ejemplo, la carga masiva de empleados o la asignación de sede). En ese ámbito la empresa cliente es el Responsable, y ML Impulso trata los datos únicamente conforme a sus instrucciones, en los términos del anexo contractual de transmisión de datos (anexo-contractual-clientes.md).

Esta política cubre ambos roles. Cuando una regla aplique solo a uno de ellos, se indica.

2. Objeto, alcance y definiciones

Objeto. Establecer los criterios, principios, finalidades, derechos y procedimientos que ML Impulso aplica en la recolección, almacenamiento, uso, circulación y supresión de datos personales, en cumplimiento de la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios.

Alcance. Aplica a todas las bases de datos personales administradas por ML Impulso, sea cual sea su soporte, y vincula a todos sus trabajadores, contratistas y Encargados.

Definiciones (artículo 3 de la Ley 1581 de 2012 y artículo 2.2.2.25.1.3 del Decreto 1074 de 2015):

3. Marco legal

• Constitución Política de Colombia, artículos 15 y 20.
• Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013 y Decreto 886 de 2014, compilados en el Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25.
• Decreto 090 de 2018, sobre los sujetos obligados a inscribirse en el Registro Nacional de Bases de Datos.
• Ley 1266 de 2008, en lo pertinente a información financiera y crediticia.
• Ley 1273 de 2009, sobre delitos informáticos.
• Ley 2300 de 2023, sobre contacto con fines comerciales o publicitarios.
• Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio (SIC), sobre transferencia internacional de datos personales, y Circulares Externas 002 de 2015 y 003 de 2018, sobre el Registro Nacional de Bases de Datos.
• Sentencias C-1011 de 2008 y C-748 de 2011 de la Corte Constitucional.

Nota de vigencia. A la fecha de expedición de esta política, la Ley 1581 de 2012 se mantiene vigente. Cursa en el Congreso un proyecto de ley estatutaria que la modificaría parcialmente. Esta política debe revisarse si dicha reforma se sanciona.

4. Principios rectores

Todo Tratamiento realizado por ML Impulso se sujeta a los principios del artículo 4 de la Ley 1581 de 2012:

1. Legalidad. El Tratamiento es una actividad reglada que se sujeta a la ley.
2. Finalidad. El Tratamiento obedece a una finalidad legítima, informada al Titular.
3. Libertad. Solo se trata con el consentimiento previo, expreso e informado del Titular, o por mandato legal o judicial.
4. Veracidad o calidad. La información es veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe tratar datos parciales, incompletos o que induzcan a error.
5. Transparencia. Se garantiza al Titular el derecho a obtener información sobre sus datos.
6. Acceso y circulación restringida. Los datos solo pueden ser tratados por quienes estén autorizados. La plataforma aplica aislamiento por empresa cliente a nivel de base de datos.
7. Seguridad. Se adoptan medidas técnicas, humanas y administrativas para evitar adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
8. Confidencialidad. Todas las personas que intervienen en el Tratamiento están obligadas a garantizar la reserva de la información, aun después de terminada su relación con ML Impulso.

5. Categorías de Titulares y datos tratados

5.1 Aprendices (trabajadores de las empresas clientes que usan la plataforma)

No se recogen documentos de identidad, datos financieros, datos biométricos ni datos sensibles de los aprendices.

5.2 Trabajadores, contratistas y candidatos de ML Impulso

Datos de identificación y contacto; hoja de vida y trayectoria laboral y académica; datos de la relación laboral o contractual (cargo, salario, novedades, evaluaciones de desempeño); afiliaciones al sistema de seguridad social; información de nómina y bancaria para el pago; datos de contacto de emergencia; y, cuando la ley lo exige, datos de salud derivados de incapacidades, exámenes médicos ocupacionales y del Sistema de Gestión de Seguridad y Salud en el Trabajo. Estos últimos son datos sensibles y se tratan conforme a la sección 7.

5.3 Contactos de empresas clientes, prospectos y proveedores

Nombre, cargo, correo electrónico corporativo, teléfono corporativo, empresa a la que pertenecen y el contenido de las comunicaciones sostenidas con ML Impulso por correo, WhatsApp u otros canales de contacto habilitados en el sitio web.

5.4 Terceros que verifican un certificado

De quien consulta la página pública de verificación no se solicita ningún dato personal. Solo se registran datos técnicos de la solicitud para prevenir abuso y enumeración de códigos.

6. Finalidades del Tratamiento

6.1 Aprendices

1. Crear y administrar la cuenta y autenticar el acceso a la plataforma.
2. Entregar el contenido formativo contratado por su empleador y registrar el avance.
3. Aplicar evaluaciones, calificarlas y determinar si se cumplen las reglas de certificación.
4. Emitir certificados y permitir su verificación pública mediante un código.
5. Informar a la empresa empleadora el desempeño individual identificado del Titular, lo que incluye su avance, sus resultados de evaluación y su posición en el escalafón (ranking) de personas de esa misma empresa. Esta finalidad se detalla en la sección 6.2.
6. Enviar comunicaciones operativas: verificación de correo, recuperación de contraseña, avisos de inicio o vencimiento de un módulo y recordatorios de avance.
7. Atender peticiones, consultas y reclamos del Titular.
8. Generar estadísticas agregadas y anonimizadas para medir y mejorar el producto.
9. Garantizar la seguridad de la plataforma, prevenir fraude en las evaluaciones y en la verificación de certificados, y atender requerimientos de autoridades competentes.
10. Conservar la evidencia de la formación prestada, en los términos de la sección 13.

6.2 Finalidad específica: desempeño individual visible para el empleador

Esta finalidad se declara de forma separada y explícita porque es la de mayor impacto para el Titular, en aplicación del principio de finalidad y del deber de información:

El Titular queda informado de que la empresa que lo contrata como trabajador podrá ver, con su nombre, su avance en los módulos, los resultados de sus evaluaciones y su posición relativa frente a las demás personas de esa misma empresa dentro de la plataforma. Esa información se pone a disposición del administrador designado por la empresa empleadora.

Condiciones que ML Impulso se obliga a mantener sobre esta finalidad:

• Ninguna empresa cliente puede ver datos de personas de otra empresa cliente.
• El aprendiz ve su propia posición en el escalafón y únicamente la suya; no ve la posición nominal de sus compañeros.
• El escalafón se ordena por módulos certificados y se desempata por promedio de evaluación. No se ordena por tiempo de conexión.
• Esta funcionalidad solo opera cuando existe una versión publicada y vigente de esta política. Es una restricción implementada en el producto, no una promesa operativa.

6.3 Trabajadores, contratistas y candidatos de ML Impulso

Adelantar el proceso de selección y vinculación; ejecutar y administrar el contrato laboral o de prestación de servicios; liquidar y pagar la remuneración y las prestaciones; cumplir las obligaciones en materia de seguridad social, parafiscales, tributarias y contables; ejecutar el Sistema de Gestión de Seguridad y Salud en el Trabajo; gestionar la formación y la evaluación de desempeño; controlar el acceso a las instalaciones y a los sistemas; atender requerimientos de autoridades; y expedir las certificaciones laborales que el trabajador solicite o que exija la ley.

6.4 Contactos de clientes, prospectos y proveedores

Atender solicitudes de información; presentar propuestas comerciales; celebrar y ejecutar contratos; facturar y recaudar; gestionar la relación comercial y el soporte; y remitir información sobre productos y servicios de ML Impulso, siempre que medie autorización y respetando el derecho del Titular a oponerse en cualquier momento, conforme a la Ley 2300 de 2023.

7. Datos sensibles y datos de niñas, niños y adolescentes

Datos sensibles. ML Impulso no recoge datos sensibles de los aprendices. Respecto de sus propios trabajadores trata datos de salud cuando la ley laboral y de seguridad y salud en el trabajo se lo imponen. En esos casos:

• El Titular no está obligado a autorizar el Tratamiento de datos sensibles y se le informa expresamente cuál de los datos solicitados tiene esa naturaleza y con qué finalidad se tratará.
• Se obtiene autorización explícita y separada, salvo en los casos del artículo 6 de la Ley 1581 de 2012.
• Se aplican controles de acceso reforzados: solo accede el personal que lo requiera para cumplir una obligación legal.

Menores de edad. La plataforma está dirigida a personas mayores de edad vinculadas laboralmente a una empresa cliente. ML Impulso no recoge de forma consciente datos de menores de dieciocho (18) años. Si se detecta una cuenta de un menor, se suspende y se contacta a la empresa cliente. Cualquier Tratamiento excepcional de datos de menores respetará el interés superior del menor y sus derechos fundamentales, conforme al artículo 7 de la Ley 1581 de 2012 y al artículo 2.2.2.25.2.9 del Decreto 1074 de 2015.

8. Autorización del Titular

8.1 Forma de obtenerla

La autorización es previa, expresa e informada. ML Impulso la obtiene:

• De los aprendices, mediante una casilla de verificación de marcación obligatoria y no premarcada en el formulario de registro, con enlace visible a esta política. El texto es el de autorizaciones.md, sección 1.
• De sus trabajadores y candidatos, mediante documento escrito o formulario electrónico firmado al inicio del proceso de selección o de la vinculación.
• De los contactos comerciales, mediante el formulario o canal a través del cual la persona inicia el contacto, o por aceptación expresa registrada en la comunicación.

8.2 Prueba de la autorización

ML Impulso conserva prueba de la autorización de cada aprendiz registrando, junto a su perfil, la fecha y hora exacta en que autorizó y la versión de la política que aceptó. Cada versión de esta política se conserva íntegra e inalterada, de modo que en cualquier momento puede reconstruirse el texto exacto que la persona aceptó.

8.3 Casos en los que no se requiere autorización

Conforme al artículo 10 de la Ley 1581 de 2012, no es necesaria la autorización cuando se trate de: información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; Tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el Registro Civil de las Personas.

9. Derechos de los Titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales frente a ML Impulso. Este derecho puede ejercerse, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o cuyo Tratamiento esté expresamente prohibido o no haya sido autorizado.
2. Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
3. Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante ML Impulso.
5. Revocar la autorización y solicitar la supresión del dato cuando el Tratamiento no respete los principios, derechos y garantías constitucionales y legales, o cuando así lo determine la SIC. La revocatoria y la supresión proceden con los límites de la sección 13.
6. Acceder en forma gratuita a sus datos personales que hayan sido objeto de Tratamiento.

Quién puede ejercerlos: el Titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro, acreditando debidamente su calidad.

10. Deberes de ML Impulso

Como Responsable (artículo 17 de la Ley 1581 de 2012): garantizar al Titular el ejercicio pleno y efectivo del habeas data; solicitar y conservar copia de la autorización; informar debidamente la finalidad y los derechos; conservar la información bajo condiciones de seguridad; actualizar, rectificar y suprimir la información cuando corresponda; informar al Encargado cuando determinada información esté en discusión; informar a solicitud del Titular sobre el uso dado a sus datos; informar a la SIC las violaciones a los códigos de seguridad y los riesgos en la administración de la información; y cumplir las instrucciones que imparta la SIC.

Como Encargado (artículo 18 de la Ley 1581 de 2012): realizar el Tratamiento únicamente conforme a las instrucciones del Responsable; garantizar la seguridad y la confidencialidad; actualizar, rectificar o suprimir los datos cuando el Responsable lo instruya; permitir el acceso a la información únicamente a quien tenga derecho; tramitar las consultas y los reclamos que reciba directamente, trasladándolos al Responsable cuando corresponda; abstenerse de circular información que esté siendo controvertida; y registrar la leyenda «reclamo en trámite» cuando proceda.

11. Encargados, transmisión y transferencia internacional

11.1 Encargados y proveedores de infraestructura

Para operar la plataforma, ML Impulso se apoya en proveedores que actúan como Encargados del Tratamiento, con los que mantiene el acuerdo de tratamiento de datos correspondiente. Estas son las categorías de servicio que prestan y el país donde tratan los datos:

La identidad de cada Encargado consta en el contrato de tratamiento de datos suscrito con él. El Titular que quiera conocerla puede solicitarla por el canal de la sección 14, y se le responde dentro del término previsto para una consulta. Las empresas clientes la tienen identificada en el anexo contractual, que además obliga a ML Impulso a informarles con antelación la incorporación de un nuevo Encargado que trate datos personales.

El reproductor de video se sirve en modo sin cookies de seguimiento. Aun así, el proveedor de video puede recibir la dirección IP y los datos técnicos del dispositivo necesarios para entregar el contenido.

11.2 Transferencia de datos a la empresa empleadora

ML Impulso transfiere a la empresa cliente que contrata el servicio los datos de sus propios trabajadores descritos en la sección 6.2. La empresa cliente actúa, respecto de esa información, como Responsable independiente, y responde por el uso que le dé dentro de su relación laboral. Las obligaciones recíprocas constan en el anexo contractual de tratamiento de datos suscrito con cada cliente.

11.3 Transferencia y transmisión internacional

Los datos se alojan y procesan fuera de Colombia, principalmente en Estados Unidos. Esa operación se ampara en que dicho país está incluido en el listado de países con nivel adecuado de protección de datos personales de la Circular Externa 005 de 2017 de la SIC y, de forma concurrente, en la autorización expresa e inequívoca que el Titular otorga al aceptar esta política, conforme al literal a) del artículo 26 de la Ley 1581 de 2012.

Si ML Impulso incorpora un proveedor ubicado en un país no incluido en ese listado, adoptará previamente una de estas medidas: suscribir cláusulas contractuales que garanticen un nivel equivalente de protección, recabar autorización específica del Titular, o solicitar la declaración de conformidad ante la SIC.

12. Seguridad de la información

ML Impulso aplica, como mínimo:

• Aislamiento entre empresas clientes aplicado en el motor de base de datos mediante políticas de seguridad a nivel de fila, no solo en la capa de aplicación. Ninguna consulta puede devolver filas de una empresa distinta a la del usuario autenticado.
• Control de acceso por rol, con el principio de mínimo privilegio y revocación de los permisos de ejecución por defecto sobre las funciones de base de datos.
• Cifrado en tránsito mediante TLS en todas las comunicaciones, y cifrado en reposo del almacenamiento gestionado por el proveedor de base de datos.
• Contraseñas almacenadas mediante funciones de derivación de clave irreversibles. Ni ML Impulso ni su personal pueden consultarlas. Longitud mínima exigida: diez caracteres.
• Respaldos periódicos de la base de datos, con un objetivo de punto de recuperación declarado para la etapa productiva, y restauración probada.
• Registro de eventos de la aplicación y monitoreo de errores.
• Códigos de verificación de certificados aleatorios y no secuenciales, con limitación de frecuencia de consulta para impedir la enumeración de códigos.
• Acuerdos de confidencialidad con todo el personal y con los contratistas.
• Separación de ambientes: los datos de producción no se usan en desarrollo ni en pruebas.

En caso de incidente de seguridad que comprometa datos personales, ML Impulso lo reportará a la Superintendencia de Industria y Comercio en los términos y plazos exigidos por la normativa vigente, e informará a los Titulares y a las empresas clientes afectadas.

13. Conservación, anonimización y supresión

13.1 Vigencia de las bases de datos

Los datos se conservan mientras subsista la finalidad que justificó su recolección y, en todo caso, por los plazos que imponga la ley. Terminada la finalidad, los datos se suprimen o se anonimizan.

13.2 Tres niveles de terminación de una cuenta

13.3 Conservación de los certificados frente al derecho de supresión

Advertencia expresa al Titular: cuando se atiende una solicitud de supresión mediante la anonimización del perfil, el certificado emitido conserva los datos congelados en el momento de su emisión, incluido el nombre completo del Titular, y la página pública de verificación sigue funcionando con ese certificado.

El fundamento de esta conservación es doble:

1. El certificado es la evidencia de un servicio efectivamente prestado y facturado en el marco del contrato entre ML Impulso y la empresa empleadora. Ambas partes tienen un interés jurídicamente tutelado en conservarlo, y el propio Titular puede necesitarlo para acreditar su formación.
2. El artículo 2.2.2.25.2.4 del Decreto 1074 de 2015 establece que la supresión no procede cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos, cuando la eliminación obstaculice actuaciones judiciales o administrativas, o cuando los datos sean necesarios para proteger intereses jurídicamente tutelados del Titular.

El certificado solo expone lo estrictamente necesario para verificarlo: nombre, módulo, empresa y fecha de emisión. No expone el perfil, el detalle de puntajes ni el historial de actividad. Transcurrido el plazo de conservación de la sección 13.1, el certificado se elimina.

Si el Titular no acepta esta limitación, puede solicitar la eliminación total, que se evalúa caso por caso y que implica la destrucción del certificado.

14. Área responsable de la atención de peticiones, consultas y reclamos

El correo electrónico es el canal preferente. Toda solicitud recibida por cualquier otro canal se traslada internamente a esta área.

15. Procedimiento para el ejercicio de los derechos

15.1 Requisitos de la solicitud

La solicitud debe indicar: nombre completo del Titular; documento de identidad; correo electrónico de contacto y de notificación; descripción clara de los hechos y de lo que se pide; y los documentos que se quieran hacer valer. Si actúa un tercero, debe acreditar su calidad de causahabiente, representante o apoderado.

15.2 Consultas

El Titular puede consultar la información personal que repose en cualquier base de datos de ML Impulso.

• Plazo: la consulta se atiende en un término máximo de diez (10) días hábiles contados desde su recibo.
• Prórroga: cuando no sea posible atenderla en ese plazo, se informará al interesado antes del vencimiento, expresando los motivos y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.

15.3 Reclamos

El Titular que considere que la información debe ser corregida, actualizada o suprimida, o que advierta un presunto incumplimiento de la ley, puede presentar un reclamo.

• Reclamo incompleto: ML Impulso requerirá al interesado dentro de los cinco (5) días siguientes a su recibo para que subsane. Transcurridos dos (2) meses sin respuesta, se entenderá que ha desistido.
• Falta de competencia: si ML Impulso no es competente, dará traslado a quien corresponda en un máximo de dos (2) días hábiles e informará al interesado.
• Anotación: una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda «reclamo en trámite» y el motivo, en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.
• Plazo: el reclamo se atiende en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recibo.
• Prórroga: cuando no sea posible atenderlo en ese plazo, se informará al interesado antes del vencimiento, y el nuevo plazo no superará los ocho (8) días hábiles siguientes al vencimiento del primero.

15.4 Supresión y revocatoria de la autorización

Se tramitan por el procedimiento de reclamo. ML Impulso informará al Titular, antes de ejecutarla, el alcance de la supresión y las limitaciones de la sección 13.3. La revocatoria puede ser total o limitada a finalidades específicas, por ejemplo únicamente a la finalidad de la sección 6.2 o al envío de comunicaciones comerciales.

La supresión o la revocatoria no proceden cuando exista un deber legal o contractual de permanencia en la base de datos.

15.5 Requisito de procedibilidad ante la SIC

Conforme al parágrafo del artículo 16 de la Ley 1581 de 2012, el Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante ML Impulso.

16. Cookies y tecnologías similares

La plataforma usa únicamente las cookies y el almacenamiento local estrictamente necesarios para su funcionamiento: mantener la sesión iniciada, aplicar medidas de seguridad y recordar la preferencia de tema visual. No se usan cookies publicitarias ni de creación de perfiles con fines de mercadeo. El reproductor de video se sirve desde un dominio sin cookies de seguimiento.

Si en el futuro se incorporan cookies analíticas o de terceros, se implementará previamente un mecanismo de consentimiento y se actualizará esta política.

17. Registro Nacional de Bases de Datos

Conforme al Decreto 090 de 2018, están obligadas a inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) las sociedades y entidades sin ánimo de lucro con activos totales superiores a cien mil (100.000) UVT y las personas jurídicas de naturaleza pública.

Situación de ML Impulso. El Responsable es una persona natural y, por lo tanto, no se encuentra dentro de los sujetos obligados a inscribirse en el RNBD. Esta condición se evalúa anualmente. Si la actividad se formaliza como sociedad y esta supera el umbral de activos señalado, se inscribirán las bases de datos dentro de los dos (2) meses siguientes a su creación y se actualizará la información conforme a las circulares de la SIC.

La no obligación de inscripción en el RNBD no exime a ML Impulso de ninguno de los demás deberes de la Ley 1581 de 2012, que le son plenamente aplicables.

18. Vigencia, versiones y actualizaciones

Esta política rige desde el 19 de septiembre de 2026 y permanece vigente mientras ML Impulso desarrolle su objeto social, sin perjuicio de sus actualizaciones. La versión que aquí se publica rige desde el 23 de septiembre de 2026.

Cada versión se identifica con un número y una fecha de entrada en vigencia, se publica en mlimpulso.com/politica-de-datos y se conserva íntegra e inalterada, de modo que pueda acreditarse el texto exacto que cada Titular aceptó.

Cuando una actualización introduzca cambios sustanciales en las finalidades del Tratamiento, ML Impulso lo comunicará a los Titulares antes de su entrada en vigencia y, si la ley lo exige, recabará una nueva autorización. Las modificaciones meramente formales se publicarán con aviso en la propia página.

Control de versiones