Clínica Cardiovascular — DEMO: política de tratamiento de datos personales

Versión 1.0 · Vigente desde el 1 de octubre de 2026 · Publicada en https://clinica-demo.nexus.zoanas.com/politica-de-datos

1. Responsable del tratamiento

Esta política se adopta en cumplimiento de la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único Reglamentario 1074 de 2015), la Ley 23 de 1981, la Resolución 1995 de 1999 sobre historia clínica y las demás normas que las modifiquen o complementen.

2. Alcance

Aplica a los datos personales de pacientes, familiares, acompañantes, cuidadores y personas que contactan a la clínica por cualquier canal: presencial, teléfono, correo, sitio web y WhatsApp, incluido el asistente virtual de citas.

3. Datos que tratamos

• Identificación y contacto: nombres, apellidos, tipo y número de documento, fecha de nacimiento, sexo, dirección, teléfono, correo electrónico.
• Afiliación: EPS, régimen, categoría, plan de medicina prepagada, números de autorización.
• Datos sensibles de salud: motivo de consulta, órdenes médicas, diagnósticos, resultados, historia clínica y la información de las citas.
• Datos de la conversación: mensajes, imágenes y documentos enviados por WhatsApp u otros canales, con su fecha y hora.

4. Finalidades

Tratamos los datos para:

1. Agendar, confirmar, reprogramar y cancelar citas, y enviar recordatorios.
2. Verificar la identidad del paciente y sus derechos de afiliación ante la EPS o el plan.
3. Leer las órdenes médicas que el paciente envía, para gestionar la cita que corresponde.
4. Tramitar autorizaciones y facturar los servicios a la EPS, el plan o el paciente.
5. Prestar la atención en salud y mantener la historia clínica, según la ley.
6. Atender peticiones, quejas, reclamos y sugerencias.
7. Cumplir obligaciones legales y reportes a las autoridades de salud.
8. Medir la calidad y la oportunidad del servicio, con datos agregados.

No vendemos ni cedemos datos personales. Solo los compartimos con la EPS o el plan del paciente, con los encargados que nos prestan servicios tecnológicos (numeral 9) y con las autoridades que los pidan en ejercicio de sus funciones.

5. Datos sensibles

Los datos de salud son datos sensibles (artículo 5 de la Ley 1581 de 2012). Por eso:

• su tratamiento requiere la autorización previa, expresa e informada del titular;
• el titular no está obligado a autorizar el tratamiento de datos sensibles, pero sin esa autorización la clínica no puede gestionar sus citas por los canales digitales y le ofrecerá la atención por teléfono o en forma presencial;
• se aplican medidas reforzadas de seguridad y acceso restringido.

Los datos de niñas, niños y adolescentes se tratan respetando su interés superior y con la autorización de su representante legal.

6. Derechos de los titulares

El titular de los datos tiene derecho a:

1. Conocer, actualizar y rectificar sus datos.
2. Pedir prueba de la autorización otorgada.
3. Ser informado del uso que se ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, después de agotar el trámite ante la clínica.
5. Revocar la autorización y pedir la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos. La historia clínica se conserva por el tiempo que fija la ley.
6. Acceder gratuitamente a sus datos.

7. Autorización

La autorización se obtiene por escrito, por medios electrónicos o por conductas inequívocas. En WhatsApp, el titular la otorga al elegir la opción «Acepto» después de recibir el aviso de privacidad con el enlace a esta política. La clínica conserva la constancia de la aceptación con la fecha y la hora en el registro de la conversación.

El titular puede revocarla en cualquier momento escribiendo «revoco mi autorización» en el mismo canal o por los medios del numeral 8.

8. Consultas y reclamos

Canales: correo datospersonales@demo-cardio.invalid, ventanilla de atención al usuario de la sede principal o el call center 601 000 0000 (datos ficticios).

Consultas (conocer qué datos tenemos y cómo los usamos): se responden en un máximo de 10 días hábiles desde que se reciben. Si no es posible, se informa el motivo y la nueva fecha, que no superará 5 días hábiles adicionales.

Reclamos (corregir, actualizar, suprimir o revocar, o denunciar un incumplimiento):

1. El reclamo debe incluir la identificación del titular, la descripción de los hechos, la dirección de respuesta y los documentos que quiera hacer valer.
2. Si está incompleto, se pide completarlo dentro de los 5 días siguientes. Si pasan 2 meses sin que se complete, se entiende desistido.
3. Al recibirlo completo, se marca en la base de datos como «reclamo en trámite» en máximo 2 días hábiles.
4. Se responde en un máximo de 15 días hábiles. Si no es posible, se informa el motivo y la nueva fecha, que no superará 8 días hábiles adicionales.

9. Encargados y transmisión de datos

Para prestar sus servicios digitales, la clínica se apoya en proveedores de tecnología que tratan datos personales por cuenta de la clínica y siguiendo sus instrucciones. Son encargados del tratamiento, en los términos de la Ley 1581 de 2012:

Reglas que se aplican a todos los encargados:

1. Contrato de transmisión. Los datos se entregan bajo un contrato de transmisión de datos personales, conforme al artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015). El contrato fija el alcance, las actividades autorizadas, las medidas de seguridad y la confidencialidad.
2. Transferencia internacional. Cuando un encargado esté fuera de Colombia, la transmisión se hace a países con un nivel adecuado de protección o con garantías adecuadas: cláusulas contractuales, medidas de seguridad equivalentes a las exigidas en Colombia y el compromiso de cumplir esta política.
3. Minimización y enmascaramiento. Antes de enviar un texto al modelo de lenguaje, la plataforma reemplaza, cuando es posible, los datos personales (documentos, nombres, teléfonos, correos, direcciones, cuentas) por marcadores. El modelo trabaja con los marcadores, y los valores reales solo se usan dentro de los sistemas de la clínica. Las imágenes que envía el paciente, como la foto de una orden médica, se procesan tal como llegan.
4. Sin fines propios. Los encargados no usan los datos para fines propios: no los venden, no los usan para publicidad ni para entrenar sus modelos, y no los comparten con terceros sin instrucción de la clínica.
5. Devolución o supresión. Al terminar el contrato, el encargado devuelve o suprime los datos, salvo que la ley exija conservarlos.

La clínica sigue siendo la responsable frente al titular: las consultas y reclamos se presentan ante ella (numeral 8).

10. Seguridad

La clínica aplica medidas técnicas, humanas y administrativas para proteger los datos: control de acceso por roles, cifrado, registro de auditoría y enmascaramiento de datos personales antes de enviarlos a servicios de inteligencia artificial, cuando la tecnología lo permite.

11. Vigencia

Esta política rige desde el 1 de octubre de 2026. Las bases de datos se conservan mientras dure la finalidad del tratamiento y por los plazos legales, en especial los de la historia clínica. Los cambios importantes se informarán por los canales de la clínica antes de aplicarlos.