Política de tratamiento de datos personales

La presente Política se adopta en cumplimiento de la Ley 1581 de 2012, el Decreto 1074 de 2015 (que compila el Decreto 1377 de 2013), la Ley 1098 de 2006 y la Resolución 8430 de 1993 del Ministerio de Salud, y se aplica a todo tratamiento de datos personales realizado a través de la plataforma HealthLab Monse.

Son Titulares de los datos los Estudiantes, sus Acudientes y los Docentes y Administradores que utilizan la Plataforma.

Conviene declararlo desde el principio y sin rodeos: HealthLab Monse es una aplicación de uso interno y restringido, sin ánimo de lucro, cuyos Titulares son en su mayoría menores de edad y sobre los que se tratan datos sensibles de salud. No es un servicio abierto al público, no hay registro libre, no hay publicidad y los datos no se venden, ceden ni comparten con terceros con fin comercial alguno. Esa naturaleza es la que explica cada una de las decisiones recogidas en esta Política.

El tratamiento se realiza en el marco de la gestión académica del área de Educación Física y del estudio de investigación «Efecto de un entrenamiento de alta intensidad aplicando el protocolo Tabata sobre la condición física relacionada con la salud, el nivel de actividad física y la calidad de vida en estudiantes de secundaria», aprobado por el Consejo Directivo ([acta y fecha del Consejo Directivo]) y avalado por el Consejo Académico ([acta y fecha del Consejo Académico]) de la Institución.

3.1 Datos de identificación y contacto

Nombres, apellidos, correo electrónico, fecha de nacimiento, sexo, grado y grupo. En el caso de los Acudientes, adicionalmente el parentesco con el Estudiante y el vínculo con este.

3.2 Datos sensibles

De conformidad con el artículo 5 de la Ley 1581 de 2012, la Plataforma trata datos sensibles relativos a la salud, a saber:

• Medidas antropométricas: peso, estatura, índice de masa corporal, perímetro de cintura y pliegues cutáneos tricipital y subescapular.
• Resultados de las pruebas de condición física: fuerza de prensión manual, salto de longitud a pies juntos, velocidad-agilidad 4×10 metros, test de ida y vuelta de 20 metros y consumo máximo de oxígeno estimado.
• Respuestas a los cuestionarios IPAQ, KIDSCREEN-27 —en sus versiones de estudiante y de padres— y SF-36, que comprenden información sobre estado de ánimo, bienestar emocional y relaciones familiares y sociales.

3.3 Datos de niñas, niños y adolescentes

La mayoría de los Titulares de esta Plataforma son niñas, niños y adolescentes. El tratamiento de sus datos se realiza atendiendo al interés superior del menor y al respeto de sus derechos fundamentales, conforme al artículo 7 de la Ley 1581 de 2012 y a la Ley 1098 de 2006. Requiere la autorización previa del representante legal, otorgada después de que el menor haya ejercido su derecho a ser escuchado, valorada su opinión según su madurez y su edad.

Para los datos recogidos con fines de investigación, esa autorización se instrumenta en el Consentimiento Informado, documento que el representante legal firma en papel ante la Institución y que exige de forma acumulativa el consentimiento del representante legal y el asentimiento del propio Estudiante, conforme al artículo 25 de la Resolución 8430 de 1993. Sin ambos, el Estudiante no participa en el estudio, y ello no produce consecuencia académica ni disciplinaria alguna.

Alcanzada la mayoría de edad, el Estudiante ejerce por sí mismo los derechos que hasta entonces ejercía su representante legal, incluida la revocación de la autorización.

3.4 Datos de uso y seguridad

Registro de las sesiones de entrenamiento realizadas —fecha, sesión completada, grupo asignado en el estudio y observaciones del propio Estudiante sobre cómo se sintió— e historial de los intentos de inicio de sesión —fecha, hora y resultado—, este último necesario para la seguridad de la cuenta y la prevención de accesos no autorizados.

3.5 Datos que no son objeto de Tratamiento

La Plataforma no recolecta fotografías ni videos de los Usuarios, datos de geolocalización, datos financieros ni datos biométricos de identificación. Los videos disponibles en la sección de entrenamiento son demostraciones de ejercicios grabadas por el Docente, en las que no aparecen identificados los Estudiantes.

• 4.1 Crear y administrar la cuenta del Usuario, autenticarlo y prestar las funcionalidades de la Plataforma.
• 4.2 Registrar las evaluaciones de condición física y los cuestionarios, calcular sus resultados y ponerlos a disposición del Titular, de su Acudiente y del Docente responsable.
• 4.3 Realizar el seguimiento académico del área de Educación Física, incluido el registro de las sesiones del programa de entrenamiento efectivamente realizadas por el Estudiante.
• 4.4 Adelantar el estudio sobre el efecto de un entrenamiento de alta intensidad con protocolo Tabata aprobado por el Consejo Directivo y avalado por el Consejo Académico de la Institución, previo consentimiento informado específico y asentimiento del Estudiante. Comprende la comparación entre el grupo de entrenamiento y el grupo control. Las publicaciones derivadas emplearán exclusivamente datos agregados o anonimizados, sin que sea posible identificar a ningún Estudiante a partir de ellas.
• 4.5 Garantizar la seguridad de las cuentas y de la infraestructura.
• 4.6 Remitir comunicaciones operativas: verificación del correo electrónico, recuperación de contraseña y avisos sobre el servicio.

Los datos personales no se emplean con fines publicitarios ni comerciales, ni se venden, ceden o comercializan con terceros. No se elaboran perfiles comerciales, no se toman decisiones automatizadas con efectos jurídicos sobre el Titular y no se emplea ningún tipo de cookie o tecnología de seguimiento con fines analíticos o publicitarios. Las únicas cookies que utiliza la Plataforma son las estrictamente necesarias: la que mantiene la sesión iniciada y la que recuerda la preferencia de la casilla «Recordarme» del inicio de sesión.

El Tratamiento requiere la autorización previa, expresa e informada del Titular o de su representante legal. Dicha autorización se recaba en el momento del registro mediante casilla de aceptación no preseleccionada, y queda registrada con la fecha, la hora y la versión del documento aceptado. El Titular puede solicitar copia de ese registro en cualquier momento.

El Titular no está obligado a autorizar el tratamiento de datos sensibles ni de datos de menores de edad, ni a responder las preguntas que versen sobre ellos. La negativa no genera consecuencia académica ni disciplinaria alguna.

Estas restricciones se aplican mediante políticas de seguridad a nivel de fila en la base de datos, y no únicamente en la interfaz de usuario.

El Responsable se apoya en el proveedor Supabase para los servicios de base de datos, autenticación y almacenamiento, que actúa en calidad de Encargado del Tratamiento y trata los datos únicamente conforme a las finalidades de esta Política.

Los servidores se encuentran ubicados en [país], por lo que existe una transferencia internacional de datos que el Titular autoriza expresamente al aceptar la presente Política.

Los videos demostrativos de los ejercicios se muestran incrustados desde YouTube, en su modalidad de privacidad mejorada (youtube-nocookie.com), que no instala cookies de seguimiento publicitario. Aun así, al reproducir un video el navegador del Usuario se conecta a servidores de Google, que puede registrar la dirección IP y datos técnicos del dispositivo conforme a sus propias políticas. La Plataforma no envía a YouTube el nombre, el correo ni ningún dato de salud del Estudiante. Ningún otro tercero recibe datos de los Titulares.

De conformidad con el artículo 8 de la Ley 1581 de 2012, el Titular o su representante legal tiene derecho a:

• 8.1 Conocer, actualizar y rectificar sus datos personales frente al Responsable. Este derecho se ejerce, entre otros, sobre datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
• 8.2 Solicitar prueba de la autorización otorgada, salvo cuando la ley la exceptúe como requisito.
• 8.3 Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
• 8.4 Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante el Responsable.
• 8.5 Revocar la autorización y solicitar la supresión de los datos cuando no exista un deber legal o contractual que imponga su conservación.
• 8.6 Acceder de forma gratuita a sus datos personales.

Varios de estos derechos pueden ejercerse directamente en la Plataforma: la consulta y rectificación de los datos del perfil, la revisión del historial de accesos y la verificación de la versión aceptada de los documentos legales.

9.1 Canal y requisitos

Las solicitudes se remiten a [correo institucional] desde la dirección de correo registrada, indicando el nombre completo del Titular y, cuando corresponda, de su representante legal; la descripción de los hechos y la petición concreta; y una dirección de notificación. Podrán adjuntarse los documentos que se quieran hacer valer.

9.2 Consultas

Se atenderán en un término máximo de diez (10) días hábiles contados desde su recepción. Cuando no fuere posible atenderlas dentro de ese término, se informará al interesado, expresando los motivos y la fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

9.3 Reclamos

Se atenderán en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recepción, prorrogables por ocho (8) días hábiles más, previa comunicación al interesado de los motivos de la prórroga y de la fecha de respuesta. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas; transcurridos dos meses sin que presente la información requerida, se entenderá que ha desistido.

El Responsable adopta las medidas técnicas, humanas y administrativas razonables para garantizar la seguridad de la información y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre otras: cifrado del tráfico mediante HTTPS, almacenamiento de contraseñas mediante funciones de derivación de clave, verificación del correo electrónico, limitación de intentos de inicio de sesión, control de acceso por rol aplicado en la base de datos y registro de auditoría de accesos.

En caso de incidente que comprometa datos personales, el Responsable lo comunicará a los Titulares afectados y a la autoridad competente en los términos previstos en la ley.

Los datos se conservarán mientras subsista la vinculación del Estudiante con la Institución y el uso de la Plataforma y, con posterioridad, durante [N] años con fines de verificación científica del estudio de investigación. Cumplido dicho plazo serán anonimizados de forma irreversible o suprimidos.

El historial de intentos de inicio de sesión se purga de forma automática una vez superado su periodo de retención.

La presente Política rige a partir del [fecha de aprobación]. Las modificaciones sustanciales se comunicarán dentro de la Plataforma y por correo electrónico con una antelación mínima de diez (10) días hábiles a su entrada en vigor, y se solicitará una nueva autorización cuando la modificación afecte la finalidad del Tratamiento.

El uso de la Plataforma se rige, además, por los Términos y Condiciones. La participación en el estudio de investigación se rige por el Consentimiento Informado firmado en papel, que se otorga y se revoca de forma independiente.