POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN

Y PROTECCIÓN DE DATOS PERSONALES

AKXUM S.A.S.

NIT 900.274.974-9 | Versión 2.0 | Vigente a partir del 23 de octubre de 2026

1. Identificación del responsable del tratamiento

AKXUM S.A.S. (la “Compañía” o el “Responsable”), sociedad por acciones simplificada constituida bajo las leyes de la República de Colombia, identificada con NIT 900.274.974-9, con domicilio principal en Bogotá D.C., Colombia, actúa como Responsable del Tratamiento de los datos personales recolectados a través de los canales descritos en esta Política.

• Portal web oficial: https://ximenaduquevalencia.com/
• Correo electrónico para el ejercicio del habeas data: [email protected]
• Teléfono: +57 321 304 2822
• Área responsable de peticiones, consultas y reclamos: Representante Legal, Gerencia y/o Administración de AKXUM S.A.S.
• Función de protección de datos personales: Representante Legal, Gerencia y/o Administración de AKXUM S.A.S.

2. Nota de transición sobre el cambio de denominación social

AKXUM S.A.S. corresponde a la misma persona jurídica anteriormente denominada KORADI S.A.S., cuya denominación social fue modificada mediante reforma estatutaria inscrita en el registro mercantil de la Cámara de Comercio de Bogotá. El cambio no alteró la persona jurídica, su NIT ni la titularidad de las bases de datos, razón por la cual las autorizaciones otorgadas por los titulares con anterioridad conservan plena validez y eficacia, en los mismos términos y para las mismas finalidades para las que fueron concedidas.

3. Marca, canales digitales y determinación del responsable

La Compañía cuenta con derechos para comercializar y explotar la marca “Ximena Duque Valencia”, en los términos del contrato de licencia suscrito con su titular. Derechos equivalentes ostenta DRAKONIA LLC, sociedad de responsabilidad limitada constituida en el Estado de Florida, Estados Unidos de América.

Los sitios web, micrositios y canales digitales que operan bajo dicha marca pueden ser utilizados por cualquiera de las dos compañías. Para evitar ambigüedad, se precisa que la titularidad o el uso licenciado de la marca no determinan quién es el Responsable del Tratamiento. Esa condición recae en la entidad que decide las finalidades y los medios del tratamiento y que contrata el servicio con el titular.

Criterio de asignación por objeto del contrato. AKXUM S.A.S. es Responsable respecto de los programas, la formación, las metodologías propias y los servicios conexos, con independencia del lugar de residencia del titular. DRAKONIA LLC es Responsable respecto de (i) los servicios internacionales de marca personal que no constituyen programas de formación, tales como conferencias, apariciones, licenciamiento y patrocinios, y (ii) la producción, postproducción y explotación de contenido audiovisual. El criterio determinante es el objeto del contrato y la entidad que factura, no la nacionalidad ni la residencia del titular.

Etapa previa a la contratación. En los canales de marca compartida, los formularios de captación informarán al interesado, de manera previa, expresa y visible, cuál de las dos compañías actuará como Responsable de los datos allí suministrados, y remitirán a la política correspondiente. Mientras dicha información no se despliegue, AKXUM S.A.S. actuará como Responsable respecto de los datos recolectados a través de canales dedicados a programas y formación.

Cambio de entidad responsable. Cuando un titular vinculado a AKXUM S.A.S. contrate posteriormente servicios prestados por DRAKONIA LLC, o viceversa, dicho traslado constituirá una transferencia en los términos del numeral 16 y se sujetará a la información previa al titular y a la obtención de su autorización expresa e inequívoca.

Las compañías han suscrito un acuerdo de asignación de responsabilidades que precisa, frente a los canales de marca compartida, cuál de ellas atiende las consultas y reclamos, cuál notifica los incidentes de seguridad y cuál responde ante las autoridades competentes. El titular podrá dirigir su solicitud a cualquiera de las dos y esta será encauzada a la entidad competente, sin costo ni carga adicional.

4. Marco legal y reglamentario aplicable

• Constitución Política de Colombia, artículo 15.
• Ley Estatutaria 1581 de 2012.
• Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25, que compiló los Decretos 1377 de 2013 y 886 de 2014.
• Ley 1480 de 2011, Estatuto del Consumidor.
• Ley 2300 de 2023, en materia de contacto comercial.
• Ley 1090 de 2006, cuando intervengan profesionales de la psicología habilitados.
• Circular Única de la Superintendencia de Industria y Comercio, Título V.
• Sentencias C-1011 de 2008 y C-748 de 2011 de la Corte Constitucional.

Las anteriores referencias se entienden hechas a dichas normas y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia.

5. Definiciones

• Titular: persona natural cuyos datos personales sean objeto de tratamiento. La condición de titular se predica exclusivamente de personas naturales.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: el que no sea semiprivado, privado o sensible.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, incluidos los que revelen origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, así como los datos relativos a la salud, a la vida sexual y los datos biométricos.
• Tratamiento: cualquier operación sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Autorización: manifestación de voluntad libre, específica, informada y explícita mediante la cual el titular consiente el tratamiento.
• Responsable del Tratamiento: persona natural o jurídica que decide sobre la base de datos y el tratamiento.
• Encargado del Tratamiento: persona natural o jurídica que realiza el tratamiento por cuenta del Responsable.
• Transferencia: envío de datos a un receptor que a su vez es Responsable, dentro o fuera del país.
• Transmisión: comunicación de datos a un Encargado para que realice el tratamiento por cuenta del Responsable.
• Aviso de privacidad: comunicación dirigida al titular mediante la cual se le informa la existencia de esta Política, la forma de acceder a ella y las finalidades del tratamiento.

6. Ámbito de aplicación

Esta Política aplica al tratamiento de datos personales registrados en cualquier base de datos automatizada, física o repositorio electrónico administrado por la Compañía. El ámbito se extiende de manera expresa a la información recolectada en soporte físico y presencial, incluyendo planillas de asistencia a eventos o talleres, evaluaciones de satisfacción impresas, cuadernos de trabajo, guías de transformación diligenciadas a mano, notas de facilitación tomadas en sesiones presenciales y cualquier cuestionario o test en papel.

Sus destinatarios son participantes, clientes, prospectos, proveedores, contratistas, facilitadores, aliados, colaboradores, candidatos en procesos de selección y visitantes.

7. Principios rectores

El tratamiento se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, consagrados en el artículo 4 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. El deber de la Compañía en materia de circulación restringida es de medio.

8. Categorías de datos personales tratados

8.1. Datos de identificación y contacto

Nombres, apellidos, tipo y número de documento de identidad, fecha y lugar de nacimiento, género, dirección de correspondencia, correo electrónico, teléfono fijo y móvil, profesión u oficio, país y ciudad de residencia, e información familiar o laboral necesaria para el contacto.

8.2. Datos profesionales, socioeconómicos y de facturación

Cargo, empresa, sector, nivel educativo, e información requerida para el recaudo y la facturación electrónica. La Compañía no almacena números completos de tarjetas de crédito o débito ni códigos de verificación; dicha información es procesada directamente por pasarelas de pago certificadas bajo el estándar PCI-DSS.

8.3. Datos del programa y de la metodología

Información compartida en formularios de diagnóstico, sesiones, evaluaciones e interacciones dentro de los programas de formación.

8.4. Datos sensibles

En desarrollo de los servicios, la Compañía puede eventualmente recolectar datos relacionados con la salud emocional, el bienestar psicosocial o el historial personal del titular, así como fotografías y registros de video captados en actividades presenciales o virtuales.

El tratamiento de datos sensibles requiere autorización previa, expresa, informada y explícita del titular, obtenida por medio que permita consulta y verificación posterior, salvo los eventos exceptuados por el artículo 6 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. El titular no está obligado a autorizarlo y su negativa no condicionará ni impedirá su participación en los programas, salvo cuando el tratamiento resulte indispensable para la finalidad esencial del servicio contratado, circunstancia que le será informada de manera previa y expresa.

8.5. Tratamiento reforzado de datos de salud emocional y bienestar psicosocial

• Acceso restringido. Únicamente el personal directamente involucrado en la prestación del servicio accederá a estos registros, bajo obligación reforzada de confidencialidad que subsistirá aun después de finalizada su relación contractual o laboral.
• Naturaleza del servicio. Los programas de la Compañía no constituyen prestación de servicios de salud, diagnóstico clínico ni tratamiento médico o psicológico en los términos del Sistema General de Seguridad Social en Salud, salvo indicación expresa para un programa determinado. Cuando el servicio sea prestado por un profesional de la psicología habilitado, este se sujetará adicionalmente a las obligaciones de reserva y secreto profesional previstas en la Ley 1090 de 2006 y su Código Deontológico y Bioético y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia.
• Prohibición de uso secundario. Los datos recolectados en el marco de sesiones individuales o procesos reflexivos no podrán ser utilizados para finalidades comerciales, de mercadeo, de perfilamiento ni de producción audiovisual sin autorización expresa, previa, específica e independiente del titular, distinta del consentimiento otorgado para la prestación del servicio.
• Protocolo de derivación. Cuando en el desarrollo de una sesión se identifiquen situaciones que excedan el alcance del servicio, el facilitador remitirá al titular a atención profesional especializada conforme al protocolo interno de la Compañía.

8.6. Datos técnicos y de navegación

Dirección IP, identificadores de dispositivo, cookies y datos de uso de las plataformas.

8.7. Reserva de propiedad sobre metodologías

La recolección de datos derivados de los programas no otorga al titular derecho de propiedad, licencia, explotación o autoría alguna sobre las metodologías propias, herramientas de diagnóstico, marcos de trabajo o materiales de formación de la Compañía, que continúan siendo de su propiedad exclusiva y constituyen información confidencial.

9. Datos de niños, niñas y adolescentes

Los servicios de la Compañía están dirigidos a personas mayores de dieciocho (18) años. Queda proscrito el tratamiento de datos personales de menores, salvo aquellos de naturaleza pública y siempre que se atienda su interés superior y prevalente, se aseguren sus derechos fundamentales y medie autorización del representante legal, conforme al artículo 7 de la Ley 1581 de 2012 y a los artículos 2.2.2.25.2.9 y siguientes del Decreto 1074 de 2015 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. Advertida la recolección inadvertida de datos de un menor, se procederá a su supresión inmediata.

10. Finalidades del tratamiento

10.1. Respecto de clientes y participantes

• Gestión de inscripciones, matrículas, seguimiento académico y emisión de certificaciones de participación o aprobación.
• Coordinación, programación y prestación de los servicios contratados.
• Envío de material pedagógico, guías de estudio, recordatorios de sesiones y evaluaciones de satisfacción.
• Elaboración de diagnósticos, evaluaciones y planes de desarrollo individual.
• Gestión administrativa, contable, de facturación electrónica y verificación de medios de pago.
• Atención de peticiones, consultas, quejas y reclamos.
• Comunicaciones de mercadeo, promoción, boletines y divulgación de eventos, previa autorización y con opción permanente de retiro.
• Encuestas de satisfacción y análisis estadísticos, preferentemente sobre datos agregados o anonimizados.

10.2. Respecto del uso de imagen y registros audiovisuales

La captura de fotografías y videograbaciones durante clases, talleres, cursos o ceremonias de certificación, y su difusión institucional, promocional, publicitaria o académica, se sujeta a autorización previa, expresa, escrita e independiente del titular, otorgada mediante el formato de Autorización Modular de la Compañía. Dicha autorización distingue de manera separada e independiente: (i) la difusión institucional y promocional por parte de AKXUM S.A.S.; (ii) la cesión del material a DRAKONIA LLC para producción audiovisual comercial; y (iii) el tratamiento del material mediante herramientas de inteligencia artificial. Cada módulo es aceptado o rechazado de forma autónoma y es revocable en cualquier momento sin afectar la prestación del servicio contratado.

La grabación de sesiones individuales está prohibida, salvo acuerdo previo, independiente y escrito suscrito por ambas partes. En las sesiones grupales que vayan a grabarse se desplegará un aviso de consentimiento activo al inicio, y los participantes podrán desactivar cámara y micrófono.

10.3. Respecto de colaboradores y procesos de selección

• Administración de la relación laboral, procesos de selección, afiliaciones al Sistema de Seguridad Social Integral y cumplimiento de normas de Seguridad y Salud en el Trabajo.
• Gestión de accesos y soporte en plataformas tecnológicas de la organización.
• Verificación de datos laborales ante terceros que la soliciten, limitada a la confirmación de la información y no a su suministro.
• Detección de necesidades de capacitación y procesos de promoción interna.

10.4. Respecto de proveedores, facilitadores y contratistas

• Verificación de idoneidad técnica, profesional y comercial.
• Gestión y seguimiento de la relación contractual, órdenes de compra, pagos y retenciones tributarias.

10.5. Respecto de visitantes

• Garantizar la seguridad de las personas y de las instalaciones.

Las finalidades no contempladas en esta Política, cuyo origen no sea normativo, deberán ser expresamente autorizadas por el titular.

11. Derechos del titular

Conforme al artículo 8 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia, el titular tiene derecho a conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización, salvo los casos exceptuados; ser informado sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio; revocar la autorización y solicitar la supresión cuando no exista deber legal o contractual que lo impida; y acceder de forma gratuita a sus datos objeto de tratamiento.

12. Deberes del titular y del Responsable

El titular debe garantizar la veracidad de la información suministrada y actualizarla oportunamente.

La Compañía asume los deberes previstos en el artículo 17 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia, entre ellos garantizar el ejercicio pleno del habeas data; conservar copia de la autorización; informar la finalidad de la recolección; conservar la información bajo condiciones de seguridad; mantenerla veraz, completa, exacta y actualizada; rectificarla cuando sea incorrecta; tramitar consultas y reclamos en los términos legales; identificar la información en discusión; informar a la autoridad de control las violaciones a los códigos de seguridad; permitir el acceso únicamente a personas autorizadas; y abstenerse de circular información cuyo bloqueo haya sido ordenado por la Superintendencia de Industria y Comercio.

13. Autorización: obtención, medios y prueba

La Compañía obtiene la autorización previa, expresa e informada del titular mediante documento físico, electrónico, mensaje de datos, sitios web o cualquier formato que permita acreditar el consentimiento a través de conductas inequívocas, y de manera previa al tratamiento. La autorización podrá ser otorgada por el titular, por su representante o apoderado debidamente acreditado, o por quien esté legitimado conforme a la ley.

La Compañía conservará la prueba de la autorización, registrando la forma y la fecha en que fue obtenida, mediante archivos físicos o repositorios electrónicos administrados directamente o a través de terceros contratados para tal fin.

No se requerirá autorización en los eventos previstos en el artículo 10 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia, a saber: información requerida por entidad pública o administrativa en ejercicio de funciones legales o por orden judicial; datos de naturaleza pública; casos de urgencia médica o sanitaria; tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y datos relacionados con el Registro Civil de las Personas.

14. Aviso de privacidad

El aviso de privacidad contendrá, como mínimo: la identidad, domicilio y datos de contacto del Responsable; el tipo de tratamiento y su finalidad; los derechos del titular; los mecanismos dispuestos para conocer esta Política y sus cambios sustanciales; y el carácter facultativo de la respuesta relativa a preguntas sobre datos sensibles.

15. Procedimiento para el ejercicio de los derechos

Consultas. Se atenderán en un término máximo de diez (10) días hábiles contados desde su recibo. Cuando no fuere posible, se informará al interesado los motivos de la demora y la fecha de atención, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Reclamos. El reclamo se formulará mediante solicitud dirigida al correo indicado en el numeral 1, con identificación del titular, descripción de los hechos, dirección de notificación y documentos de soporte. Si resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes para subsanar; transcurridos dos (2) meses sin respuesta, se entenderá desistido. Si quien recibe el reclamo no es competente, dará traslado en un término máximo de dos (2) días hábiles e informará al interesado. Recibido el reclamo completo, se incluirá en la base de datos la leyenda “reclamo en trámite” y su motivo, en término no mayor a dos (2) días hábiles, que se mantendrá hasta la decisión. El término máximo para atenderlo será de quince (15) días hábiles, prorrogables por ocho (8) días hábiles adicionales.

Rectificación, actualización y supresión. Se tramitan bajo el procedimiento y los términos anteriores. La supresión podrá negarse cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, cuando la eliminación obstaculice actuaciones judiciales o administrativas, o cuando los datos sean necesarios para proteger intereses jurídicamente tutelados.

Revocatoria de la autorización. El titular podrá revocar la autorización de manera total o parcial, respecto de finalidades específicas. La revocatoria parcial de módulos de imagen, voz o mercadeo no afectará la prestación de los servicios contratados.

Requisito de procedibilidad. Conforme al parágrafo del artículo 16 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia, el titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante la Compañía.

Garantía del derecho de acceso. Previa acreditación de identidad o de representación, la Compañía pondrá a disposición del titular, sin costo y de manera detallada, sus datos personales, incluyendo medios electrónicos que permitan su consulta y actualización en línea.

16. Transferencia y transmisión de datos personales

La Compañía podrá transmitir datos personales a Encargados del Tratamiento —proveedores de alojamiento, plataformas de formación, gestión de relaciones con clientes, pasarelas de pago, comunicación y analítica— ubicados dentro o fuera del territorio nacional, mediante contratos de transmisión que incorporen las cláusulas mínimas del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. Dichas transmisiones no requieren ser informadas al titular ni contar con su consentimiento cuando medie el respectivo contrato.

Las transferencias internacionales se sujetan al artículo 26 de la Ley 1581 de 2012 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. La Compañía se abstiene de transferir datos a países que no cuenten con niveles adecuados de protección, salvo que concurra alguna de las excepciones legales, entre ellas la autorización expresa e inequívoca del titular para la transferencia, el intercambio de datos de carácter médico exigido por razones de salud o higiene pública, las transferencias bancarias o bursátiles, las acordadas en tratados internacionales de los que Colombia sea parte, y las necesarias para la ejecución de un contrato entre el titular y el Responsable.

Transferencia a DRAKONIA LLC. La Compañía podrá transferir datos personales a DRAKONIA LLC, en su calidad de Responsable independiente, cuando el titular contrate servicios de esa sociedad o cuando autorice expresamente la cesión de material audiovisual para producción comercial. Dicha transferencia requiere autorización específica e independiente del titular, no se ampara en la aceptación general de esta Política y se acompaña de compromisos contractuales vinculantes que garanticen estándares equivalentes a los de la legislación colombiana.

Se deja constancia expresa de que esta Política no contiene ni admite autorizaciones abiertas para transferir la totalidad de los datos personales a cualquier tercero o para relaciones indeterminadas. Toda transferencia debe corresponder a una finalidad informada y autorizada.

17. Terceros con quienes se comparte información

La Compañía comparte datos personales con: (i) procesadores de pagos; (ii) proveedores de tecnología, alojamiento, comunicación, analítica y gestión de relaciones con clientes; (iii) asesores profesionales, contadores y abogados, cuando resulte necesario para el cumplimiento legal o tributario; (iv) DRAKONIA LLC, en los términos del numeral 16; y (v) autoridades administrativas o judiciales, cuando la ley lo exija, incluidas autoridades fiscales y organismos de investigación.

La Compañía no vende bases de datos personales.

Publicidad y analítica de terceros. Los sitios web de la Compañía incorporan tecnologías publicitarias, de medición y de analítica de terceros. A través de ellas se comparten identificadores en línea, identificadores de cookies y de dispositivo, dirección IP y datos de navegación e interacción, con la finalidad de medir el desempeño de las campañas y presentar información sobre los programas a personas con interés probable. Estos proveedores pueden actuar como responsables independientes conforme a sus propias políticas. La compartición solo se activa previa aceptación de las cookies publicitarias y puede revocarse en cualquier momento.

Exclusión de datos sensibles. Las tecnologías publicitarias, de medición y de analítica no se despliegan en formularios de diagnóstico, páginas de evaluación, plataformas de sesiones ni en ningún otro canal a través del cual los titulares suministren información relativa a su bienestar físico, mental o emocional. Ningún dato sensible se comparte con socios publicitarios bajo ninguna circunstancia.

18. Comunicaciones comerciales

El envío de comunicaciones comerciales por correo electrónico, mensajes de texto, llamadas telefónicas o mensajería instantánea se sujeta a la autorización previa del titular y a la Ley 2300 de 2023 y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia, incluyendo el respeto de los horarios permitidos, la limitación en la frecuencia de contacto y la atención de las solicitudes de no ser contactado. Toda comunicación incluirá un mecanismo gratuito y visible de revocatoria. El titular podrá manifestar su negativa al tratamiento con fines informativos o promocionales escribiendo al correo indicado en el numeral 1.

19. Cookies y tecnologías similares

Las cookies estrictamente necesarias operan sin consentimiento. Las cookies analíticas, funcionales y publicitarias solo se activarán previa aceptación del usuario mediante el mecanismo de consentimiento dispuesto en el sitio. El rechazo de las cookies publicitarias implica la exclusión de la compartición descrita en el numeral 17. El detalle de las cookies utilizadas, su finalidad, su duración y los destinatarios de los datos que generan consta en la Política de Cookies disponible en https://ximenaduquevalencia.com/politica-de-cookies/.

20. Seguridad de la información

La Compañía adopta las medidas técnicas, humanas y administrativas necesarias para evitar la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de los datos personales, incluyendo protocolos de cifrado, restricciones de acceso por roles y almacenamiento seguro de registros confidenciales.

20.1. Gestión y notificación de incidentes de seguridad

• Detección y contención. Detectado el incidente se activará el protocolo interno de respuesta, orientado a contener el riesgo y evitar su propagación.
• Evaluación de impacto. Se evaluará la naturaleza y gravedad del incidente, el tipo de datos comprometidos y el número de titulares afectados.
• Comunicación a los titulares. Cuando el incidente represente un riesgo significativo para los derechos y libertades de los titulares, se les informará oportunamente la naturaleza del incidente, los datos comprometidos y las medidas adoptadas o recomendadas.
• Reporte a la autoridad. La Compañía reportará el incidente dentro de los quince (15) días hábiles siguientes al momento en que sea detectado y puesto en conocimiento del área encargada de atenderlo, conforme al Título V de la Circular Única de la Superintendencia de Industria y Comercio y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. Si la Compañía se encuentra obligada a inscribir sus bases de datos, el reporte se efectuará a través del Registro Nacional de Bases de Datos; en caso contrario, mediante el aplicativo dispuesto en el micrositio de la Delegatura para la Protección de Datos Personales. Este deber subsiste con independencia de la obligación de registro.
• Registro interno. Todo incidente quedará documentado en un registro interno que hará parte del Programa Integral de Gestión de Datos Personales.

20.2. Programa Integral de Gestión de Datos Personales

En cumplimiento del principio de responsabilidad demostrada, la Compañía mantiene implementado un Programa Integral que incluye: inventario actualizado de bases de datos; matriz de riesgos con atención especial a las bases que contienen datos sensibles; capacitaciones periódicas al personal y contratistas con acceso a datos personales; cláusulas de confidencialidad y de tratamiento en los contratos con Encargados, proveedores y contratistas; y revisiones periódicas de esta Política, cuya evidencia reposa en la Oficina de Protección de Datos Personales.

21. Conservación y supresión

Los datos se conservarán durante el tiempo necesario para cumplir las finalidades descritas, atender obligaciones legales, contables y tributarias, resolver controversias y hacer valer los acuerdos suscritos. Los soportes contables y de facturación se conservarán por el término previsto en el artículo 28 de la Ley 962 de 2005 y en el artículo 632 del Estatuto Tributario y/o las normas que lo modifiquen, adicionen, reemplacen o regulen la materia. Los registros de programa se conservarán durante la relación y por 10 años posteriores; las grabaciones de sesiones, por 24 meses, salvo pacto expreso en contrario. Vencido el período aplicable, los datos serán suprimidos de forma segura o anonimizados de manera irreversible.

22. Registro Nacional de Bases de Datos

La obligación de inscripción en el Registro Nacional de Bases de Datos recae sobre las sociedades y entidades sin ánimo de lucro con activos totales superiores a cien mil (100.000) UVT y sobre las personas jurídicas de naturaleza pública. El criterio es el de activos totales y no el de ingresos o ventas brutas. La Compañía verificará anualmente su posición frente a dicho umbral y, de superarlo, inscribirá y mantendrá actualizadas sus bases de datos, sin perjuicio de que el régimen general de protección de datos le resulta exigible con independencia del registro.

23. Titulares residentes en el exterior

Cuando la Compañía dirija su oferta de programas a personas residentes fuera de Colombia, reconocerá adicionalmente los derechos que les confiera la legislación de su lugar de residencia, incluyendo, según corresponda, el derecho de acceso, corrección, eliminación, portabilidad, oposición al tratamiento, exclusión de publicidad dirigida, limitación del uso de información sensible y no discriminación por el ejercicio de tales derechos. Las solicitudes se atenderán dentro de los plazos que establezca la legislación aplicable y, a falta de término expreso, dentro de los previstos en el numeral 15. Cuando una solicitud sea negada total o parcialmente, el titular podrá apelar la decisión ante la dirección indicada en el numeral 1.

24. Vigencia y modificaciones

Esta Política rige a partir del 23 de octubre de 2026 y permanecerá vigente mientras la Compañía desarrolle su objeto social. Las bases de datos se conservarán durante el tiempo indicado en el numeral 21. Cualquier modificación sustancial en las políticas de tratamiento, en las finalidades o en la identificación del Responsable será comunicada a los titulares antes de su entrada en vigencia, a través de los canales habituales de contacto y mediante publicación en el sitio web oficial, indicando la fecha y el número de la nueva versión. Las versiones anteriores se archivan y están disponibles previa solicitud. La versión oficial y vigente se encuentra publicada en https://ximenaduquevalencia.com/politica-tratamiento-informacion/.

AKXUM S.A.S.

Representante Legal