Política de Tratamiento de Datos Personales

1. MARCO LEGAL

Esta política se expide en cumplimiento de la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales) y del Decreto 1074 de 2015 (Decreto Único Reglamentario del Sector Comercio, Industria y Turismo), Libro 2, Parte 2, Título 2, Capítulos 25 y 26, que compila el Decreto 1377 de 2013 y el Decreto 886 de 2014, así como de las demás normas que los modifiquen o complementen.

2. RESPONSABLE DEL TRATAMIENTO

3. DATOS PERSONALES QUE TRATAMOS Y PARA QUÉ

3.1 Datos de identificación y contacto

• Nombres y apellidos, número de identificación, fecha de nacimiento, correo electrónico y número de celular.

Finalidad: identificarle como paciente, crear y administrar su cuenta, programar y confirmar sus citas, verificar que es mayor de edad, enviarle enlaces y códigos de verificación para firmar documentos y comunicarnos con usted sobre el servicio. Si usted es atendido de manera presencial, el personal de MediArt registra estos datos y verifica su documento de identidad físico; el correo electrónico y el celular son opcionales.

3.2 Datos de salud (datos sensibles)

• Síntomas o motivo de consulta registrados al solicitar una cita.
• Historia clínica, diagnósticos, tratamientos y resultados de exámenes.
• Imágenes médicas y demás archivos de salud que usted adjunte.

Finalidad: prestarle los servicios médicos que solicite, conservar la historia clínica y cumplir las obligaciones legales del sector salud. Estos son datos sensibles; su suministro es facultativo y su tratamiento requiere su autorización explícita (Ley 1581 de 2012, artículos 5 y 6).

3.3 Datos del formulario de contacto

• Nombre, correo electrónico, asunto y contenido del mensaje.

Finalidad: responder su mensaje y atender su solicitud.

3.4 Mensajes del chat y archivos adjuntos

• Mensajes intercambiados con los profesionales de la salud y archivos adjuntos (PDF, PNG, JPEG).

Finalidad: facilitar la comunicación entre usted y el profesional de la salud. Estos mensajes pueden contener datos sensibles de salud.

3.5 Datos técnicos y cookies

• Dirección IP, información del navegador y fecha y hora de acceso.
• Cookies de sesión session_token, user_id y user_type, usadas en el chat y en las funciones del personal de MediArt.
• Cookie de sesión consent_signer, usada solo en las páginas de firma de consentimientos (/consentimiento), después de verificar su identidad. Su sesión vence a los 30 minutos.
• Cookie de sesión consent_viewer, usada solo en la consulta de sus consentimientos firmados (/mis-consentimientos), después de verificar su identidad. Su sesión vence a los 15 minutos.

Finalidad: proteger la plataforma (prevención de spam y de abusos), mantener su sesión autenticada y permitir la firma y consulta segura de documentos. Todas son cookies de sesión: se eliminan al cerrar el navegador o al cerrar sesión. Las cookies session_token, consent_signer y consent_viewer no son accesibles desde JavaScript; en nuestros servidores solo se guarda una huella cifrada (SHA-256) de su valor, nunca el valor mismo.

3.6 Prueba de la autorización

• Fecha y hora de la autorización, versión de esta política, texto autorizado, dirección IP y navegador.
• Si autoriza de manera presencial: la imagen de su firma, la identificación del funcionario de MediArt que verificó su documento de identidad y el documento PDF de la autorización firmada.

Finalidad: conservar prueba de la autorización otorgada por usted (Ley 1581 de 2012, artículo 17 literal b; Decreto 1074 de 2015, artículo 2.2.2.25.2.5).

3.7 Consentimientos informados de procedimientos

• Número de identificación, imagen de su firma, fecha y hora de la firma, dirección IP y navegador.
• Medio de verificación de su identidad: código de un solo uso enviado a su correo electrónico o celular, o verificación de su documento físico por el personal de MediArt (que queda registrado como testigo).
• Documento PDF del consentimiento firmado y su huella (SHA-256), que permite comprobar que no ha sido modificado.

Finalidad: obtener y conservar su consentimiento informado antes de un procedimiento médico (Ley 23 de 1981, artículo 15; Resolución 1995 de 1999), con firma electrónica conforme a la Ley 527 de 1999 y al Decreto 2364 de 2012. El consentimiento firmado forma parte de su historia clínica. Usted puede descargar una copia en Mis consentimientos, verificando su identidad con su número de documento y un código de un solo uso.

4. FINALIDADES DEL TRATAMIENTO

4.1 Finalidades Principales

• ✅ Prestar servicios médicos y de salud
• ✅ Facilitar comunicación paciente-médico
• ✅ Programar y gestionar citas médicas
• ✅ Mantener historia clínica digital
• ✅ Cumplir obligaciones legales en salud
• ✅ Facturación y cobranza de servicios

4.2 Finalidades Secundarias

• 📊 Análisis estadístico de servicios
• 🔔 Notificaciones de citas y recordatorios
• 📈 Mejora de la calidad de servicios

5. USO DE DATOS ANONIMIZADOS PARA INTELIGENCIA ARTIFICIAL

5.1 Proceso de Anonimización

Antes del uso en IA, los datos pasan por un proceso de anonimización irreversible:

• 🗑️ Se eliminan: Nombres, cédulas, direcciones, teléfonos, emails
• 🔄 Se reemplazan: Fechas por rangos etarios
• 🏷️ Se codifican: Ubicaciones geográficas
• 🔐 Se encriptan: Identificadores únicos

5.2 Datos Utilizados en IA (Anonimizados)

Tipo de Dato	¿Se Usa en IA?	Propósito
Síntomas y signos	✅ SÍ	Diagnóstico asistido
Diagnósticos médicos	✅ SÍ	Patrones epidemiológicos
Tratamientos y medicamentos	✅ SÍ	Efectividad terapéutica
Edad y género (rangos)	✅ SÍ	Análisis demográfico
Nombres y apellidos	❌ NO	Protección identidad
Número de identificación	❌ NO	Protección identidad
Contacto (email, teléfono)	❌ NO	Protección privacidad

5.3 Revocación de la autorización para IA

Puede revocar esta autorización en cualquier momento a través de los canales indicados en la sección 9. Una vez revocada, sus datos no se usarán en nuevos entrenamientos de inteligencia artificial. Los datos que ya fueron anonimizados de manera irreversible no permiten identificarle y, por ello, no pueden individualizarse para su retiro.

6. CASOS EN LOS QUE NO SE REQUIERE AUTORIZACIÓN

De acuerdo con el artículo 10 de la Ley 1581 de 2012, no se requiere su autorización cuando se trate de:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las Personas.

7. DERECHOS DE LOS TITULARES

Conforme al artículo 8 de la Ley 1581 de 2012, usted tiene derecho a:

7.1 Quién puede ejercer los derechos

Según el artículo 13 de la Ley 1581 de 2012 y el artículo 2.2.2.25.4.1 del Decreto 1074 de 2015, los derechos pueden ser ejercidos por:

• El titular, acreditando su identidad.
• Sus causahabientes, acreditando tal calidad.
• El representante y/o apoderado del titular, previa acreditación de la representación o del apoderamiento.
• Otra persona, por estipulación a favor de otro o para otro.

Los derechos de niñas, niños y adolescentes se ejercen por las personas facultadas para representarlos.

7.2 Limitaciones del Derecho de Supresión

8. ÁREA RESPONSABLE DE LA ATENCIÓN DE CONSULTAS Y RECLAMOS

9. EJERCICIO DE DERECHOS: CONSULTAS Y RECLAMOS

Para ejercer sus derechos, puede contactarnos mediante:

9.1 Consultas

Conforme al artículo 14 de la Ley 1581 de 2012 y a la Sección 4 del Capítulo 25 del Decreto 1074 de 2015, usted puede consultar la información personal que repose en nuestras bases de datos. La consulta debe indicar su nombre completo, número de identificación, la información que desea consultar y el medio por el cual desea recibir la respuesta.

• La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo.
• Cuando no fuere posible atenderla dentro de dicho término, se le informarán los motivos de la demora y la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

9.2 Reclamos

Conforme al artículo 15 de la Ley 1581 de 2012 y a la Sección 4 del Capítulo 25 del Decreto 1074 de 2015, si usted considera que su información debe ser corregida, actualizada o suprimida, o advierte un presunto incumplimiento de la ley, puede presentar un reclamo, que debe contener:

• Su identificación.
• La descripción de los hechos que dan lugar al reclamo.
• Su dirección de contacto.
• Los documentos que quiera hacer valer.

El trámite es el siguiente:

• Si el reclamo resulta incompleto, se le requerirá dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que usted presente la información requerida, se entenderá que ha desistido del reclamo.
• Si MediArt no es competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
• Una vez recibido el reclamo completo, se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo del mismo en un término no mayor a dos (2) días hábiles. Dicha leyenda se mantendrá hasta que el reclamo sea decidido.
• El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se le informarán los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

9.3 Requisito de procedibilidad

Conforme al artículo 16 de la Ley 1581 de 2012, usted solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante MediArt.

10. ENCARGADOS DEL TRATAMIENTO Y TRANSMISIÓN INTERNACIONAL

La transmisión es la comunicación de datos personales a un encargado que los trata por cuenta de MediArt; la transferencia es el envío de datos a otro responsable. Los siguientes proveedores actúan como encargados y reciben datos mediante transmisión internacional a Estados Unidos, con fundamento en el artículo 26 de la Ley 1581 de 2012 y el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015:

Encargado	Categoría y servicio	Tipo de flujo y país
Amazon Web Services – Amazon SES	Proveedor de correo electrónico: envío de correos transaccionales de la plataforma (confirmaciones de cita, notificaciones)	Transmisión internacional – Estados Unidos
Google LLC – Gmail	Proveedor de correo electrónico: buzón institucional mediartcolombia@gmail.com, que recibe notificaciones (que pueden incluir notas de la cita y datos de salud) y las solicitudes de los titulares	Transmisión internacional – Estados Unidos
Amazon Web Services – Amazon SNS	Proveedor de mensajes de texto (SMS): envío de enlaces de firma y códigos de verificación al celular, cuando usted elige este medio. Los mensajes no incluyen datos de salud	Transmisión internacional – Estados Unidos
Meta Platforms – WhatsApp	Servicio de mensajería: cuando usted elige este medio, el personal de MediArt le envía el enlace de firma desde la cuenta de WhatsApp de la clínica. Los mensajes no incluyen datos de salud	Transmisión internacional – Estados Unidos
Amazon Web Services – AWS Lightsail	Proveedor de alojamiento/hosting: servidores donde funciona la plataforma y se almacenan las bases de datos	Transmisión internacional – Estados Unidos

Redes de distribución de contenido (CDN): jsDelivr y cdnjs (Cloudflare) entregan hojas de estilo y archivos de la página. Al cargar el sitio, su navegador se conecta a estas redes, que reciben datos técnicos (dirección IP e información del navegador). Estas redes operan servidores en distintos países, por lo que esta información puede ser tratada fuera de Colombia.

11. MEDIDAS DE SEGURIDAD

• 🔐 Cifrado de las comunicaciones con TLS 1.2 y TLS 1.3, y redirección automática de HTTP a HTTPS
• 🔑 Contraseñas almacenadas mediante hash con sal; nunca se guardan en texto plano
• 🚫 Protección contra spam en el formulario de contacto: campo trampa (honeypot), límite de solicitudes y bloqueo de direcciones IP y correos abusivos
• 👥 Control de acceso por roles para las funciones de administración
• ⏱️ Cookies de sesión que se eliminan al cerrar el navegador, con sesiones verificadas en el servidor y vencimiento automático
• 📱 Verificación de identidad con número de documento y código de un solo uso para firmar y consultar documentos, con bloqueo tras varios intentos fallidos
• 📄 Documentos firmados almacenados fuera de las áreas públicas del sitio, con huella SHA-256 que permite detectar cualquier modificación

12. TIEMPO DE CONSERVACIÓN

Tipo de Dato	Tiempo de Conservación	Base Legal
Historia clínica	15 años	Resolución 1995 de 1999, modificada por la Resolución 839 de 2017
Datos de identificación	Mientras esté activa la relación	Finalidad del tratamiento
Prueba de la autorización	Mientras se traten sus datos personales	Ley 1581 de 2012, art. 17 lit. b
Consentimientos informados firmados	15 años	Forman parte de la historia clínica (Resolución 1995 de 1999)
Sesiones y códigos de verificación	Hasta 30 días después de su vencimiento	Seguridad informática
Datos facturación	5 años	Obligaciones tributarias
Datos técnicos (logs)	12 meses	Seguridad informática
Datos anonimizados IA	Indefinido	No identificable

Los datos de salud sujetos a un plazo legal de retención no pueden ser suprimidos antes de que dicho plazo termine.

13. DATOS DE NIÑAS, NIÑOS Y ADOLESCENTES

Los servicios en línea de MediArt (registro en el chat y reserva de citas) están dirigidos exclusivamente a mayores de 18 años. Cuando, en la prestación presencial de servicios, se traten datos de niñas, niños y adolescentes, el tratamiento:

• Responderá y respetará su interés superior y asegurará el respeto de sus derechos fundamentales.
• Contará con la autorización de su representante legal.
• Tendrá en cuenta la opinión del menor, valorada según su madurez, autonomía y capacidad para entender el asunto.

La firma electrónica de autorizaciones y consentimientos informados está disponible solo para mayores de 18 años. Para niñas, niños y adolescentes, estos documentos se firman en formato físico por su representante legal.

14. MODIFICACIONES A LA POLÍTICA

Los cambios sustanciales a esta política le serán comunicados antes de implementar las nuevas políticas, mediante publicación en el sitio web y correo electrónico a los usuarios registrados. Si el cambio se refiere a la finalidad del tratamiento, se le solicitará una nueva autorización.

15. REGISTRO NACIONAL DE BASES DE DATOS

Las bases de datos de MediArt se encuentran inscritas en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio, de conformidad con el artículo 25 de la Ley 1581 de 2012 y el Capítulo 26 del Decreto 1074 de 2015.

16. AUTORIDAD DE CONTROL

Si considera que sus derechos han sido vulnerados, una vez agotado el trámite ante MediArt, puede presentar queja ante: