Política de tratamiento

Política de tratamiento de datos personales.

Qué recogemos, para qué, con quién se comparte, cuánto se guarda y cómo pedir que lo borremos. En vigencia desde el 26 de agosto de 2026.

01 · Quién responde

El responsable del tratamiento.

Razón social: LEX LEARNING EXPERIENCE S.A.S., que opera su Centro de Educación Continua bajo las marcas HIKI y Xiruela.
NIT: 901.592.613-2
Domicilio: Cali, Valle del Cauca, Colombia
Dirección: Calle 38N # 6N-45, Hall Empresarial, oficina 608, Cali, Valle del Cauca
Correo electrónico: hola@hiki.es
Teléfono: +57 300 204 0487

El Instituto de Educación de la Cruz Roja Colombiana Seccional Valle del Cauca avala y certifica los programas. Sus datos los trata HIKI, y solo se comparten con el Instituto lo indispensable para emitir la constancia de quien efectivamente estudió: nombre, documento, programa, horas y resultado.

02 · Qué recogemos

La información que pedimos,
y ninguna más.

Si deja su contacto: Nombre y apellido, correo, teléfono y, si quiere contarlo, qué necesita resolver.
Si se matricula: Lo anterior y, si estudió antes en el Instituto, ese dato. Después de pagar, su documento de identidad, su ciudad y su fecha de nacimiento, con los que el Instituto respalda la constancia y, si lo pide, la factura lleva su documento, y un contacto de emergencia (nombre y celular) para avisarle si algo le pasa durante una sesión. Si la matrícula es para otra persona, el nombre, el correo y, si lo da, el celular de quien estudia, a quien le pedimos su propia autorización. Si pide la factura a nombre de una empresa o de otra persona, el nombre o la razón social, el NIT o la cédula y el correo para la factura. Del contacto de emergencia guardamos solo su nombre y su celular, y solo los usamos para eso.
Cuando paga: El valor, la fecha y el resultado de la transacción. Los datos de su tarjeta los recibe la pasarela de pago, no este portal: aquí nunca se digitan ni se guardan.
Mientras estudia: Su asistencia, su avance, sus entregas y el resultado con el que se aprueba el programa.
La prueba de su autorización: La fecha y hora, la dirección desde la que envió el formulario, el navegador que usó y la versión de esta política que estaba publicada en ese momento. Si autorizó por WhatsApp, el número desde el que escribió, el texto del aviso que recibió y lo que respondió. No es vigilancia: el artículo 9 de la Ley 1581 de 2012 exige que la autorización se pueda consultar después, y esa prueba también lo protege a usted.

Por regla general no pedimos datos sensibles. Ni origen étnico, ni convicciones religiosas, políticas o filosóficas, ni datos biométricos, ni orientación sexual. Y nunca los pedimos para matricularse, para pagar ni para acceder a un programa.

Hay una excepción y la decimos con nombre propio: los formularios de caracterización. Después del sismo del 10 de agosto de 2026 abrimos formularios que preguntan cómo ha estado usted, y eso puede contener datos relacionados con su salud, que la ley trata como datos sensibles. Cuando eso ocurre:

Se le dice expresamente que esa parte es facultativa y que usted no está obligado a autorizar el tratamiento de datos sensibles, como lo exige el artículo 6 del Decreto 1377 de 2013.
La autorización va aparte de la autorización general, en su propia casilla, y solo cubre esa información.
Si dice que no, el formulario sigue funcionando y usted no pierde acceso a nada. Ningún programa, beca ni cupo depende de que entregue esos datos.
Esa información se usa solo para dimensionar y diseñar los programas de formación, y se publica siempre en conjunto, nunca con su nombre y nunca de forma individual.
El formulario no diagnostica nada. Las preguntas de salud son un tamizaje de uso público en lenguaje corriente: sirven para dimensionar cuánta gente quedó afectada, no para decirle a usted qué tiene. Nadie lo va a calificar y no recibirá un resultado clínico, porque este instrumento no puede darlo.
Le entregamos la ruta de atención responda lo que responda, y también si decide no autorizar y cerrar la página. La Línea 106 es gratuita y atiende salud mental; el 123 es para cuando hay riesgo para la vida. Eso no depende de ningún permiso suyo ni de que nos deje un dato.
Responder no le da ni le quita un cupo. Ni un descuento, ni prioridad, ni acceso a una beca. Si algún día lo invitamos a algo, será porque usted marcó por separado que quería que le contáramos.
La base donde quedan esas respuestas no se comparte con enlace. Tiene su documento de identidad al lado de sus respuestas de salud, así que el acceso es nominal y persona por persona. Con las instituciones que difunden el formulario compartimos resultados agregados de su población, sin nombres y sin documentos.

El artículo 5 de la Ley 1581 de 2012 clasifica los datos de salud como sensibles y su artículo 6 prohíbe tratarlos, salvo cuando el titular da una autorización explícita. Por eso esa autorización se pide aparte, se puede negar sin consecuencia, y se puede revocar después escribiendo a hola@hiki.es.

03 · Para qué

Las finalidades. Estas y no otras.

Responderle sobre el programa por el que preguntó y avisarle cuando abra
Gestionar su matrícula, cobrar y facturar el programa
Darle acceso al campus y acompañarlo mientras estudia
Registrar su asistencia y su avance, y emitir la constancia sobre ese registro
Avisar a la persona que usted deje como contacto de emergencia si algo le pasa durante una sesión; de esa persona guardamos solo el nombre y el celular, y usted le cuenta que nos lo dejó
Verificar los requisitos de una beca o de un reconocimiento de egresado, si los pide
Cumplir las obligaciones contables, tributarias y de facturación electrónica
Informarle sobre la oferta académica de Xiruela, hasta que usted diga que no
Atender sus peticiones, consultas y reclamos, y dejar constancia de la respuesta
Medir el resultado de nuestra publicidad, para saber qué anuncio trajo una matrícula y dejar de pagar por los que no sirven
Solo en los formularios de caracterización: entender el impacto psicoemocional del sismo del 10 de agosto de 2026, diseñar la oferta formativa que responda a ese impacto y sustentar ante terceros los recursos que la financien, siempre con resultados agregados y nunca individuales

Lo que no hacemos: no vendemos ni cedemos bases de datos, no enviamos correo a quien no lo pidió, no cruzamos su información con la de otros clientes de la compañía, y no tomamos decisiones automatizadas sobre usted.

04 · Con qué autorización

Cómo la pedimos y cómo la probamos.

La autorización se pide antes de recoger el dato. En el portal, con una casilla que usted marca y que nunca viene marcada de antemano. Marcarla no es un trámite: es lo que nos habilita a tratar su información para las finalidades de arriba.

Por WhatsApp, cuando usted le escribe a nuestro número, el asistente le envía al empezar la conversación un aviso con estas mismas finalidades, los canales por los que le escribiríamos (WhatsApp y correo, o solo uno si usted lo pide) y la forma de revocar. Seguir la conversación después de ese aviso es su autorización: una conducta inequívoca, como la define el artículo 7 del Decreto 1377 de 2013; el silencio nunca lo es. El aviso se envía una sola vez por conversación y no se le vuelve a pedir nada al inscribirse o al dejar sus datos. La autorización para el registro post-sismo, por tratar datos sensibles, se pide aparte y con sus propias palabras.

Puede revocarla en cualquier momento: en el mismo chat de WhatsApp, pidiéndolo con sus palabras (el asistente se lo confirma antes de retirarlo y desde ese momento no le escribimos más), o escribiendo a hola@hiki.es. La revocatoria no procede sobre los datos que tenemos el deber legal o contractual de conservar, y en la sección 07 se explica cuáles son y por qué.

05 · Sus derechos

Lo que usted puede exigir.

Conocer, actualizar y rectificar sus datos, en particular los parciales, inexactos, incompletos o que induzcan a error
Pedir prueba de la autorización que dio, salvo cuando la ley no la exija
Ser informado del uso que se les ha dado a sus datos
Presentar quejas ante la Superintendencia de Industria y Comercio
Revocar la autorización y pedir la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos
Acceder gratuitamente a sus datos

Son los del artículo 8 de la Ley 1581 de 2012. Los ejerce el titular, sus causahabientes, su representante o apoderado, y quien actúe por estipulación a favor de otro.

06 · Cómo se ejercen

A quién le escribe,
y en cuánto le respondemos.

La función de protección de datos personales está a cargo del área de Administración de LEX LEARNING EXPERIENCE S.A.S., que atiende peticiones, consultas y reclamos en hola@hiki.es. Es la designación que exige el artículo 23 del Decreto 1377 de 2013.

Escriba desde el correo con el que dejó sus datos, diga qué quiere (conocer, actualizar, rectificar, suprimir o revocar) y sobre qué información. Si escribe desde otro correo le pediremos cómo verificar que es usted, porque entregarle sus datos a quien no es el titular sería la falla más grave posible.

Consulta: Se responde en un máximo de diez (10) días hábiles desde que se recibe. Si no alcanzamos, le informamos el motivo y la fecha, y se atiende dentro de los cinco (5) días hábiles siguientes al vencimiento del primer plazo. Artículo 14 de la Ley 1581 de 2012.
Reclamo: Se resuelve en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no alcanzamos, le informamos el motivo y la fecha, y se resuelve dentro de los ocho (8) días hábiles siguientes. Artículo 15 de la misma ley.
Si el reclamo está incompleto: Le pedimos completarlo dentro de los cinco (5) días siguientes. Si pasa un mes sin que responda, se entiende que desistió.
Mientras se resuelve: Dentro de los dos (2) días hábiles siguientes, el dato reclamado queda marcado con la leyenda «reclamo en trámite» hasta que el reclamo se decida.
Si no somos los competentes: Damos traslado a quien corresponda en un máximo de dos (2) días hábiles y se lo informamos.
Costo: Ninguno. Consultar y reclamar es gratuito.
Queja ante la Superintendencia: Puede presentarla después de haber agotado la consulta o el reclamo ante nosotros. Es el requisito de procedibilidad del artículo 16 de la Ley 1581 de 2012.

07 · Quién más los ve

Dónde viven sus datos
y en qué país.

Para operar usamos proveedores que tratan datos por cuenta nuestra y bajo nuestras instrucciones. Ninguno puede usarlos para algo distinto de lo que le encargamos.

Odoo: Sistema de gestión donde vive su contacto, su matrícula, su factura y su pago. Servicio en la nube, con servidores en Canadá.
Campus: Aula virtual donde queda su actividad académica. Corre en un servidor propio alojado en Estados Unidos.
Cloudflare: Entrega este portal y recibe los formularios. Estados Unidos.
Google: Aloja los formularios de caracterización y la hoja donde quedan las respuestas, y mide la navegación de este portal. Estados Unidos.
Meta: Recibe la medición de la publicidad. Cuando usted se matricula, le informamos que hubo una compra, con su valor y el programa, y con su correo, su teléfono y su nombre convertidos en un código irreversible que solo sirve para que Meta reconozca si ya lo tenía. Estados Unidos.
Facturatech: Proveedor tecnológico autorizado por la DIAN que emite y radica su factura electrónica. Recibe su nombre, su documento y el detalle de lo que compró, porque es lo que la factura debe contener. Colombia.
Wompi: Pasarela de pago de Bancolombia. Recibe los datos de la transacción y los de su medio de pago, que no pasan por nosotros. Colombia.
Resend: Envía los correos del campus. Brasil.
Instituto de la Cruz Roja Colombiana, Seccional Valle: Recibe lo indispensable para emitir y respaldar su constancia. Colombia.

Que parte de la operación esté fuera del país significa que hay transferencia y transmisión internacional de datos, y eso hay que decirlo con nombre propio.

Estados Unidos: La Superintendencia de Industria y Comercio lo declaró país con nivel adecuado de protección en la Circular Externa 005 de 2017, incorporada al Capítulo Tercero del Título V de su Circular Única.
Canadá: La misma circular reconoce además a los países declarados con nivel adecuado por la Comisión Europea, y Canadá es uno de ellos.
Brasil: No está en esa lista. El envío de los correos se hace como transmisión a un encargado que trata los datos por cuenta nuestra y bajo contrato, en los términos de los artículos 24 y 25 del Decreto 1377 de 2013, y con la autorización expresa que usted da al aceptar esta política, que es la excepción del literal a) del artículo 26 de la Ley 1581 de 2012.

08 · Cuánto tiempo

Qué se conserva, cuánto
y por qué no se borra todo.

Este es el punto que más sorprende, así que va sin rodeos: hay información que no se borra aunque usted lo pida, porque la ley obliga a conservarla. Si usted compró, la factura y sus soportes se quedan. Si terminó un programa, la constancia y el registro que la sustenta también, porque una constancia que no podemos verificar no le sirve a nadie, empezando por usted.

Todo lo demás sí se borra: su usuario y su actividad en el campus, y su contacto queda anonimizado. Le respondemos por escrito diciéndole qué se borró, qué se conservó y por qué.

Factura, orden de matrícula, pago y libros: Diez (10) años, por el artículo 60 del Código de Comercio y el artículo 28 de la Ley 962 de 2005.
Constancia y el registro que la sustenta: Diez (10) años. Una constancia que no se puede verificar no vale nada, ni para usted ni para quien se la pida.
Datos de quien dejó su contacto y no se matriculó: Hasta dos (2) años desde el último contacto, o antes si usted lo pide.
Respuestas de los formularios de caracterización: Hasta dos (2) años desde que responde, o antes si usted lo pide. Cumplido el plazo se conserva únicamente el dato agregado y anónimo, que ya no permite llegar a ninguna persona: sin nombre, sin documento y sin contacto.
Datos sin obligación legal de conservación: Hasta que usted revoque la autorización.
Periodo de vigencia de las bases de datos: Las bases se mantienen mientras dure la relación con el titular y, después, por los plazos de arriba. Cumplido el plazo, el dato se suprime o se anonimiza.

09 · Seguridad

Cómo se cuida la información.

El portal y el campus viajan cifrados. El acceso a los sistemas es nominal y por perfiles: quien no necesita un dato para su trabajo no lo ve. Los datos de medios de pago no se reciben ni se almacenan aquí. Si llegara a ocurrir un incidente que afecte sus datos, lo reportamos a la Superintendencia de Industria y Comercio y se lo informamos.

10 · Navegación

Cookies y medición.

Este portal usa Google Analytics, para saber qué páginas se leen y de qué campaña llegó la visita, con la dirección IP anonimizada, el pixel de Meta, para medir el resultado de la publicidad y Microsoft Clarity, que registra cómo se usa cada página (dónde se hace clic y hasta dónde se baja) con lo que usted escribe enmascarado, para mejorar el diseño del sitio. Son cookies de medición: puede bloquearlas desde su navegador sin perder ninguna función del sitio.

Y hay una medición que no pasa por su navegador, así que bloquear cookies no la detiene. Cuando usted se matricula, nuestro servidor le informa a Meta que hubo una compra, con su valor y el programa. Su correo, su teléfono y su nombre viajan convertidos en un código irreversible, que no se puede devolver al dato original y solo le sirve a Meta para reconocer si usted ya estaba en su base. No viaja su documento, ni lo que estudia, ni nada de lo que responda en un formulario de caracterización.

Se hace para saber qué anuncio trajo una matrícula y dejar de pagar por los que no sirven. Si no quiere que ocurra, escriba a hola@hiki.es y lo excluimos: es su derecho a oponerse a esta finalidad concreta sin perder ninguna otra, y no afecta su matrícula, su acceso al campus ni su constancia.

11 · Menores de edad

La matrícula es para personas mayores de edad.

Nuestros programas se venden a personas mayores de edad y no pedimos datos de niñas, niños ni adolescentes para matricular a nadie. El tratamiento de datos de un menor solo procede con autorización de su representante legal, previa opinión del menor y respondiendo a su interés superior, en los términos del artículo 7 de la Ley 1581 de 2012 y del artículo 12 del Decreto 1377 de 2013.

Los formularios de caracterización son abiertos y por ahí sí puede llegar un menor, porque el sismo no preguntó la edad. Cuando eso ocurre y hay datos de salud de por medio, la ley exige el consentimiento del representante legal: si detectamos una respuesta de una persona menor de edad sin esa autorización, la suprimimos de la base y no la usamos para nada, ni siquiera para el conteo agregado. Y le hacemos llegar la ruta de atención igual, porque eso no depende de ningún permiso.

12 · Vigencia

Desde cuándo rige y qué pasa si cambia.

Entrada en vigencia: 26 de agosto de 2026. Versión 1.3, actualizada el 19 de septiembre de 2026: el documento, la ciudad, la fecha de nacimiento y el contacto de emergencia se piden después del pago (sección 02) y se añade la finalidad de avisar a ese contacto (sección 03); aplica a quien se matricula desde esta versión. Versión 1.2, actualizada el 16 de septiembre de 2026: se añadió cómo se autoriza y se revoca por WhatsApp (sección 04).
Si cambia: Todo cambio sustancial se le comunica antes de aplicarlo, por el correo con el que usted dejó sus datos. Si el cambio altera la finalidad, se le pide una autorización nueva.
Marco: Ley 1581 de 2012, Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), Ley 1266 de 2008 y Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio.

Ver el aviso de privacidad, que es el resumen →

Educación informal en los términos del artículo 2.6.6.8 del Decreto 1075 de 2015. No conduce a título ni a certificado de aptitud ocupacional.