Política de Tratamiento de Datos Personales

1.Responsable del Tratamiento

Kuidate, sociedad identificada con NIT 1128428008, con domicilio principal en Cra. 83 #15a-81, Medellín, Antioquia, Colombia (en adelante KUIDATE), actúa como Responsable del Tratamiento de los datos personales descritos en esta política.

• Correo para el ejercicio de derechos: jtpartners89@gmail.com
• Teléfono: 3003412112
• Dirección de notificaciones: Cra. 83 #15a-81, Medellín, Antioquia

2.Doble rol de KUIDATE: Responsable y Encargado

KUIDATE es una plataforma de gestión del Sistema de Gestión de Seguridad y Salud en el Trabajo (SG-SST). Esa naturaleza hace que la plataforma trate dos conjuntos de datos con roles legales distintos, y es importante que quede claro cuál aplica en cada caso:

• KUIDATE como Responsable. Respecto de los datos de las personas que crean y administran una cuenta (nombre, correo, cargo, teléfono, datos de facturación y de uso de la plataforma), KUIDATE decide las finalidades del tratamiento y responde directamente ante el titular.
• KUIDATE como Encargado. Respecto de los datos de los trabajadores que la empresa cliente carga en la plataforma (personal, exámenes médicos ocupacionales, accidentes de trabajo, incapacidades, capacitaciones, certificaciones), el Responsable del Tratamiento es la empresa empleadora, que es quien tiene la relación laboral y la obligación legal de custodiar esa información. KUIDATE los trata únicamente por cuenta de esa empresa, siguiendo sus instrucciones y solo para prestarle el servicio contratado.

En consecuencia, obtener la autorización de los trabajadores para cargar sus datos —especialmente los de salud— es responsabilidad de la empresa empleadora, no de KUIDATE. Al usar la plataforma, la empresa cliente declara que cuenta con dichas autorizaciones.

3.Datos personales que se tratan

3.1. Datos de la cuenta y de la empresa cliente

• Nombre completo, correo electrónico, cargo, rol dentro del SG-SST y teléfono de contacto.
• Razón social, NIT, actividad económica (código CIIU), número de trabajadores, clase de riesgo, centros de trabajo, ARL y caja de compensación de la empresa.
• Imagen de perfil y logotipo corporativo, cuando el usuario opta por cargarlos.
• Datos de facturación y del medio de pago. KUIDATE no almacena números de tarjeta: el procesamiento se realiza a través de la pasarela Wompi, que devuelve únicamente un token de pago, la franquicia y los últimos cuatro dígitos.
• Datos técnicos de uso: registros de acceso, dirección IP, fecha y hora de las acciones realizadas en la plataforma (trazabilidad exigida para el valor probatorio de los documentos del SG-SST).

3.2. Datos de los trabajadores de la empresa cliente

• Identificación y datos laborales: nombres, documento de identidad, fecha de nacimiento, cargo, área, tipo de contrato, fecha de ingreso, centro de trabajo, EPS, AFP y ARL.
• Registros del SG-SST: asistencia a capacitaciones, participación en comités, certificaciones vigentes y sus fechas de vencimiento, y firmas electrónicas de los documentos del sistema.
• Registros de seguridad ocupacional: accidentes e incidentes de trabajo, su investigación y las acciones correctivas, conforme a la Resolución 1401 de 2007.

4.Qué NO almacena KUIDATE: información clínica

Esta es una decisión de diseño de la plataforma, no solo una promesa: KUIDATE no almacena historias clínicas ocupacionales, resultados de exámenes médicos, paraclínicos, diagnósticos ni ningún soporte médico de los trabajadores. La plataforma no ofrece ningún campo ni carga de archivos donde registrarlos.

La razón es doble. Primero, jurídica: la historia clínica ocupacional es de custodia exclusiva del médico especialista en seguridad y salud en el trabajo o de la IPS que practica la evaluación; el empleador no tiene ni debe tener acceso a ella. La Resolución 0312 de 2019 lo reconoce de forma expresa: su estándar 3.1.5 se titula “Custodia de Historias Clínicas” y lo que le exige al empleador es verificar que un tercero las custodia, no conservarlas. Segundo, de principio: el artículo 4 de la Ley 1581 de 2012 impone que el tratamiento se limite a los datos pertinentes y necesarios para la finalidad perseguida.

Lo que sí se registra de una evaluación médica ocupacional

Únicamente el contenido del certificado de aptitud, que es el documento que la normativa sí entrega al empleador y que no contiene diagnóstico alguno:

• Trabajador, tipo de evaluación (ingreso, periódica, egreso, retorno, seguimiento) y fechas.
• IPS o médico ocupacional que la practicó.
• Concepto de aptitud: apto, apto con restricciones o no apto.
• Restricciones y recomendaciones laborales —qué puede y qué no puede hacer el trabajador en su puesto—, seleccionadas de un catálogo cerrado. No existe un campo de texto libre: por diseño, no hay dónde escribir una patología.
• La confirmación de que la historia clínica quedó en custodia de la IPS o del médico.

Del mismo modo, las incapacidades médicas se registran solo por número de días, que es lo único que requiere el indicador de ausentismo del artículo 30 de la Resolución 0312 de 2019, y los casos de enfermedad laboral se clasifican por grupo de la Tabla de Enfermedades Laborales (Decreto 1477 de 2014), nunca por diagnóstico individual.

Protecciones adicionales

• El acceso dentro de la plataforma está restringido por rol: un usuario con rol trabajador solo ve su propia información, no la de sus compañeros.
• Cada empresa cliente está aislada de las demás mediante políticas de seguridad a nivel de fila (Row Level Security) en la base de datos. Ninguna empresa puede consultar datos de otra.
• Nadie está obligado a autorizar el tratamiento de datos sensibles, y la empresa empleadora debe informarlo así al recabar la autorización de sus trabajadores.

5.Finalidades del tratamiento

1. Prestar el servicio de la plataforma: generar, diligenciar, versionar y conservar los documentos, matrices, programas y registros que componen el SG-SST de la empresa cliente.
2. Calcular indicadores legales de seguridad y salud en el trabajo (frecuencia y severidad de accidentalidad, prevalencia e incidencia de enfermedad laboral, ausentismo) conforme al artículo 30 de la Resolución 0312 de 2019.
3. Generar alertas y recordatorios de vencimientos legales (exámenes médicos, certificaciones, obligaciones periódicas) por la plataforma y por correo electrónico.
4. Gestionar el registro, la autenticación y la administración de las cuentas de usuario.
5. Facturar y cobrar la suscripción, y llevar el historial de pagos.
6. Atender solicitudes de soporte y responder peticiones, consultas y reclamos.
7. Cumplir obligaciones legales de conservación documental y atender requerimientos de autoridades competentes, incluidas las visitas de inspección del Ministerio del Trabajo y de la ARL.
8. Enviar comunicaciones sobre cambios normativos, nuevas funcionalidades y avisos operativos del servicio.

6.Derechos del titular

De acuerdo con el artículo 8 de la Ley 1581 de 2012, todo titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a KUIDATE o frente a su empleador, según corresponda al rol descrito en la sección 2.
• Solicitar prueba de la autorización otorgada, salvo en los casos en que la ley no la exige.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante KUIDATE.
• Revocar la autorización y/o solicitar la supresión del dato, cuando no exista un deber legal o contractual que lo impida. Nota importante: el artículo 2.2.4.6.13 del Decreto 1072 de 2015 obliga al empleador a conservar ciertos registros del SG-SST por veinte (20) años contados desde la terminación del vínculo laboral —entre ellos los soportes de las evaluaciones médicas y los registros de exposición a agentes de riesgo—, de modo que una solicitud de supresión puede ser legítimamente denegada mientras corra ese término.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

7.Procedimiento para consultas y reclamos

Las solicitudes se radican al correo jtpartners89@gmail.com, indicando el nombre completo del titular, el documento de identidad, el motivo de la solicitud y un canal de respuesta.

• Consultas (art. 14). Se atienden en un término máximo de diez (10) días hábiles. Cuando no sea posible, se informará al interesado antes del vencimiento, y la respuesta se dará dentro de los cinco (5) días hábiles siguientes.
• Reclamos (art. 15). Se atienden en un término máximo de quince (15) días hábiles. Si no fuere posible, se informará al interesado antes del vencimiento y la respuesta se dará dentro de los ocho (8) días hábiles siguientes. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para que lo subsane; transcurridos dos (2) meses sin respuesta, se entenderá desistido.

Si la solicitud se refiere a datos de un trabajador cargados por su empleador, KUIDATE la trasladará a la empresa responsable e informará de ello al titular, sin perjuicio de brindar el apoyo técnico necesario para atenderla.

8.Encargados y proveedores de infraestructura

Para operar el servicio, KUIDATE se apoya en proveedores tecnológicos que actúan como Encargados del Tratamiento, bajo obligaciones contractuales de confidencialidad y seguridad:

• Supabase — base de datos y almacenamiento de los archivos cargados en la plataforma.
• Vercel — alojamiento y ejecución de la aplicación web.
• Resend — envío de los correos transaccionales y de alertas de vencimiento.
• Wompi — procesamiento de pagos de la suscripción.
• Mistral AI — lectura automática de documentos, únicamente cuando el usuario la activa de forma expresa: al subir su RUT para completar los datos de la empresa, o al usar la función “Leer de un archivo” para prellenar un formulario a partir de un documento que ya tiene diligenciado. Es una función opcional y bajo demanda: si no se usa, ningún documento sale de la plataforma. El archivo se procesa en memoria y no se almacena —ni en KUIDATE ni como copia persistente—; solo se conservan los campos de datos que el usuario acepta guardar. Los documentos con contenido médico están excluidos por diseño de esta función, en coherencia con la sección 4.

Algunos de estos proveedores procesan información en servidores ubicados fuera de Colombia. Estas transferencias y transmisiones internacionales se realizan al amparo de los artículos 24 y 26 de la Ley 1581 de 2012, bajo contratos que exigen a los encargados estándares de protección equivalentes a los previstos en la normativa colombiana. KUIDATE no vende ni comercializa datos personales con terceros.

9.Seguridad de la información

KUIDATE aplica medidas técnicas, humanas y administrativas razonables para proteger los datos contra adulteración, pérdida, consulta, uso o acceso no autorizado: cifrado en tránsito (HTTPS/TLS) y en reposo, autenticación de usuarios, control de acceso por rol, aislamiento de datos entre empresas mediante Row Level Security, enlaces de descarga firmados y con expiración, y registro de auditoría de los cambios sobre documentos del SG-SST.

Ninguna medida de seguridad es infalible. Si se produjera un incidente que afecte datos personales, KUIDATE lo informará a los titulares y a la Superintendencia de Industria y Comercio en los términos que exija la normativa vigente.

10.Conservación de los datos

Los datos se conservan mientras exista la relación contractual con la empresa cliente y, después de terminada, durante los términos que impongan las obligaciones legales aplicables —en particular las de conservación documental del SG-SST y las de naturaleza tributaria y contable—. Vencidos esos términos, los datos se suprimen o se anonimizan de forma irreversible.

La empresa cliente puede solicitar en cualquier momento una copia exportable de su información antes de dar por terminado el servicio.

11.Cookies

KUIDATE utiliza únicamente cookies estrictamente necesarias para el funcionamiento del servicio: mantener la sesión iniciada y preservar la seguridad de la autenticación. No se usan cookies de publicidad ni de seguimiento de terceros. Bloquear estas cookies impide iniciar sesión en la plataforma.

12.Vigencia y cambios

Esta política rige desde la fecha indicada al inicio del documento y permanece vigente mientras KUIDATE realice tratamiento de datos personales. Cualquier cambio sustancial se comunicará por correo electrónico o mediante un aviso visible en la plataforma antes de su entrada en vigor.

Consulta también nuestros Términos de Uso.