Política de Tratamiento de Datos Personales

1. Identificación del Responsable del Tratamiento

El responsable del tratamiento de los datos personales recopilados a través de la plataforma NotaRapidaMD (en adelante, la “Plataforma”) es:

• Razón social: TruLab Consulting
• País de constitución: Panamá
• Sitio web: https://notarapidamd.com
• Correo electrónico de contacto: privacidad@notarapidamd.com
• Dirección para notificaciones: Las comunicaciones formales relacionadas con el tratamiento de datos personales deben dirigirse a privacidad@notarapidamd.com. La dirección física será suministrada por escrito a solicitud del Titular mediante el mismo correo.

TruLab Consulting opera la Plataforma en cumplimiento de la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 y demás normas concordantes de la República de Colombia en materia de protección de datos personales.

2. Definiciones

Para efectos de la presente Política, se adoptan las siguientes definiciones conforme al artículo 3 de la Ley 1581 de 2012 y al Decreto 1377 de 2013:

• Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato sensible: Dato personal que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación. Incluye, entre otros, datos relativos a la salud, la vida sexual, datos biométricos y datos de origen racial o étnico.
• Titular: Persona natural cuyos datos personales son objeto de tratamiento. En el contexto de la Plataforma, se refiere tanto a los profesionales de la salud que utilizan el servicio como a los pacientes cuyos datos clínicos son procesados.
• Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decide sobre la base de datos y/o el tratamiento de los datos. En este caso, TruLab Consulting.
• Encargado del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realiza el tratamiento de datos personales por cuenta del Responsable.
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales.
• Base de datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
• Aviso de privacidad: Comunicación verbal o escrita generada por el Responsable, dirigida al Titular para el tratamiento de sus datos personales, mediante la cual se le informa acerca de la existencia de las políticas de tratamiento de información que le serán aplicables.
• Transferencia: La transferencia de datos tiene lugar cuando el Responsable y/o Encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del tratamiento y se encuentra dentro o fuera del país.
• Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el Encargado por cuenta del Responsable.

3. Datos que Recopilamos

En el desarrollo de la operación de la Plataforma, TruLab Consulting recopila y trata las siguientes categorías de datos personales:

3.1 Datos de identificación y cuenta

• Nombre completo del profesional de la salud
• Dirección de correo electrónico
• Especialidad médica
• Institución prestadora de servicios de salud (IPS)
• Código de referido (si aplica)

3.2 Datos clínicos (dato sensible)

La Plataforma procesa datos de salud de pacientes que los profesionales de la salud ingresan para la generación de documentación clínica. Estos datos son clasificados como datos sensibles conforme al artículo 5 de la Ley 1581 de 2012. Incluyen:

• Notas clínicas y transcripciones de consultas médicas
• Motivo de consulta, historia de la enfermedad actual
• Signos vitales, hallazgos del examen físico
• Resultados de laboratorio e imágenes diagnósticas
• Diagnósticos, planes de tratamiento y disposición
• Instrucciones al momento del alta
• Grabaciones de audio de consultas de telemedicina (cuando el profesional de la salud utiliza la función de transcripción)

3.3 Datos de uso

• Registros de actividad en la Plataforma (funcionalidades utilizadas, horarios de acceso)
• Dirección IP, tipo de navegador, sistema operativo, resolución de pantalla
• Preferencias de configuración del usuario

3.4 Datos de pago

Los datos financieros de pago (número de tarjeta de crédito, datos bancarios) son procesados exclusivamente por nuestro procesador de pagos, LemonSqueezy, en calidad de comerciante registrado (merchant of record). TruLab Consulting no almacena ni tiene acceso a números de tarjetas de crédito ni datos bancarios completos. Únicamente recibimos confirmaciones de transacciones, identificadores de suscripción y estado del pago.

4. Finalidades del Tratamiento

Los datos personales recopilados serán utilizados para las siguientes finalidades:

1. Prestación del servicio de documentación clínica: Generar, almacenar y gestionar notas clínicas y documentación médica asistida por inteligencia artificial.
2. Generación de RIPS: Producir los Registros Individuales de Prestación de Servicios de Salud en formato JSON para su transmisión por parte de la IPS a través del Mecanismo Único de Validación (MUV) del Ministerio de Salud.
3. Inteligencia de facturación: Analizar la documentación clínica para sugerir niveles de evaluación y manejo (E/M) y apoyar la gestión administrativa de la IPS.
4. Servicios de telemedicina: Facilitar consultas de telemedicina interactiva mediante videoconferencia, incluyendo la transcripción de audio en tiempo real para generación de notas clínicas.
5. Mejora del servicio: Analizar patrones de uso agregados y anonimizados para mejorar la funcionalidad, la experiencia del usuario y el rendimiento de la Plataforma.
6. Cumplimiento normativo: Cumplir con obligaciones legales, regulatorias y contractuales aplicables, incluyendo las disposiciones de la Ley 1581 de 2012, la Resolución 1995 de 1999 y las normas de telemedicina vigentes.
7. Comunicaciones del servicio: Enviar notificaciones técnicas, actualizaciones de seguridad, comunicaciones sobre cambios en el servicio y avisos administrativos.
8. Soporte al usuario: Atender consultas, solicitudes y reclamos de los Titulares en relación con el servicio.

Los datos personales no serán utilizados para finalidades diferentes a las aquí expresadas sin la autorización previa, expresa e informada del Titular.

5. Tratamiento de Datos Sensibles

De conformidad con los artículos 5 y 6 de la Ley 1581 de 2012, los datos de salud de los pacientes procesados a través de la Plataforma constituyen datos sensibles.

TruLab Consulting informa al Titular que:

• El suministro de datos sensibles de salud no es obligatorio. Ninguna persona está obligada a proporcionar datos relativos a su estado de salud.
• Sin embargo, el suministro de dichos datos es necesario para la prestación del servicio de documentación clínica. Sin ellos, la Plataforma no puede generar las notas clínicas ni la documentación médica que constituyen su función principal.
• La consecuencia de no autorizar el tratamiento de datos sensibles es la imposibilidad de utilizar las funcionalidades clínicas de la Plataforma.
• El tratamiento de datos sensibles se realiza exclusivamente para las finalidades descritas en la Sección 4 de esta Política, con las protecciones reforzadas que establece la ley.

De conformidad con el artículo 6 de la Ley 1581 de 2012, se requiere autorización explícita y específica para el tratamiento de datos sensibles, la cual se obtiene mediante un formulario de consentimiento independiente presentado al Titular antes de la recopilación de cualquier dato de salud.

Protecciones reforzadas aplicadas a datos sensibles

• Cifrado de datos en reposo y en tránsito
• Control de acceso basado en roles (Row-Level Security en la base de datos)
• Registros de auditoría de todos los accesos a datos clínicos
• Acuerdos de procesamiento de datos con todos los Encargados del tratamiento
• Acceso limitado estrictamente al profesional de la salud que creó la nota clínica

6. Derechos del Titular

De conformidad con el artículo 8 de la Ley 1581 de 2012, los Titulares de datos personales tienen los siguientes derechos:

1. Derecho de Acceso: Conocer, actualizar y solicitar copia de los datos personales que obren en las bases de datos de TruLab Consulting, así como conocer el uso que se ha dado a los mismos.
2. Derecho de Rectificación: Solicitar la actualización o corrección de los datos personales cuando estos sean parciales, inexactos, incompletos, fraccionados, induzcan a error o aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
3. Derecho de Cancelación (Supresión): Solicitar la supresión de los datos personales cuando: (a) no se respeten los principios, derechos y garantías constitucionales y legales; (b) los datos hayan dejado de ser necesarios o pertinentes para la finalidad para la cual fueron recabados; (c) se haya superado el período necesario para el cumplimiento de los fines.
4. Derecho de Oposición: Oponerse al tratamiento de datos personales cuando exista un motivo legítimo y fundado, referido a una situación personal concreta, salvo en los casos en que la ley no permita dicha oposición.
5. Derecho a revocar la autorización: Revocar en cualquier momento la autorización otorgada para el tratamiento de sus datos personales.
6. Derecho a presentar quejas: Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a lo dispuesto en la Ley 1581 de 2012.

Cómo ejercer sus derechos

El Titular podrá ejercer sus derechos mediante comunicación escrita dirigida a TruLab Consulting a través de los siguientes canales:

• Correo electrónico: privacidad@notarapidamd.com
• Asunto del correo: “Ejercicio de Derechos — Protección de Datos Personales”

La solicitud deberá contener como mínimo:

• Nombre completo e identificación del Titular o de su representante legal
• Descripción precisa de los hechos que dan lugar a la solicitud
• Dirección de correspondencia y/o correo electrónico
• Documentos que soporten la solicitud (cuando sea aplicable)

Plazos de respuesta

Conforme al artículo 15 de la Ley 1581 de 2012:

• Consultas: Se atenderán en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la solicitud. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado y se atenderá en un plazo máximo de cinco (5) días hábiles adicionales.
• Reclamos: El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Si no fuere posible atenderlo dentro de dicho término, se informará al Titular los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

7. Transferencia Internacional de Datos

Para la prestación del servicio, los datos personales pueden ser transferidos o transmitidos a los siguientes países:

• Estados Unidos: Donde se alojan los servidores de la base de datos (Supabase), los proveedores de inteligencia artificial (Anthropic, Google), la plataforma de videoconferencia (Daily.co) y el procesador de pagos (LemonSqueezy).

Conforme a la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, los Estados Unidos se encuentran en la lista de países que cuentan con un nivel adecuado de protección de datos personales. En consecuencia, la transferencia internacional de datos a dicho país no requiere autorización adicional del Titular más allá de la autorización general de tratamiento.

En todo caso, TruLab Consulting ha suscrito acuerdos de procesamiento de datos con cada Encargado del tratamiento internacional para garantizar que los datos personales cuenten con protecciones equivalentes a las establecidas en la legislación colombiana. Si en el futuro se utilizaran servidores ubicados en países no incluidos en la lista de países con nivel adecuado de protección, se obtendrá la autorización previa y expresa del Titular.

8. Medidas de Seguridad

TruLab Consulting implementa medidas técnicas, humanas y administrativas para proteger los datos personales contra el acceso no autorizado, la pérdida, la alteración, la destrucción o el uso indebido, incluyendo:

• Cifrado en tránsito: Todas las comunicaciones entre el navegador del usuario y los servidores de la Plataforma se realizan mediante protocolo TLS/HTTPS.
• Cifrado en reposo: Los datos almacenados en la base de datos se encuentran cifrados utilizando algoritmos de cifrado estándar de la industria (AES-256).
• Control de acceso basado en roles: Se implementa Row-Level Security (RLS) en la base de datos PostgreSQL, lo que garantiza que cada profesional de la salud solo pueda acceder a los datos clínicos que él mismo ha creado.
• Autenticación segura: Autenticación de usuarios mediante protocolos seguros gestionados por Supabase Auth, con soporte para autenticación de doble factor (2FA).
• Registros de auditoría: Se mantienen registros de los accesos y modificaciones realizadas a los datos personales y clínicos.
• Respaldo y recuperación: Copias de seguridad periódicas y procedimientos de recuperación ante desastres para garantizar la disponibilidad de la información.
• Evaluación continua: Revisión periódica de las medidas de seguridad para adaptarlas a las mejores prácticas y requisitos regulatorios vigentes.

9. Conservación de Datos

Los datos personales serán conservados durante el tiempo que sea necesario para cumplir con las finalidades descritas en esta Política, de acuerdo con los siguientes criterios:

• Datos clínicos: Se conservarán durante la vigencia de la cuenta del profesional de la salud y, como mínimo, durante quince (15) años contados a partir de la última anotación, de conformidad con la Resolución 1995 de 1999 del Ministerio de Salud que establece los períodos de retención para historias clínicas. Nota: La IPS que utiliza la Plataforma es la custodia legal de la historia clínica. TruLab Consulting facilita el almacenamiento como Encargado del tratamiento.
• Datos de cuenta: Se conservarán mientras la cuenta se encuentre activa y durante un período razonable posterior a la terminación del servicio para atender solicitudes o reclamos.
• Datos de pago: Los registros transaccionales se conservarán conforme a las obligaciones tributarias aplicables (mínimo cinco (5) años conforme a la legislación tributaria colombiana).
• Datos de uso: Se conservarán en forma agregada y anonimizada por períodos indefinidos para fines estadísticos. Los datos de uso identificables se eliminarán dentro de los veinticuatro (24) meses siguientes a su recolección.

Al vencer los períodos de conservación, los datos personales serán eliminados de forma segura o anonimizados de manera irreversible.

10. Encargados del Tratamiento (Procesadores de Datos)

Para la prestación del servicio, TruLab Consulting comparte datos personales con los siguientes Encargados del tratamiento, con quienes se han suscrito los correspondientes acuerdos de procesamiento de datos:

Cada Encargado del tratamiento está contractualmente obligado a tratar los datos personales únicamente para las finalidades autorizadas, implementar medidas de seguridad adecuadas y no compartir los datos con terceros sin autorización previa.

11. Procedimiento de Consultas y Reclamos

11.1 Consultas

Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en las bases de datos de TruLab Consulting. El Responsable garantizará el derecho de consulta suministrando a los Titulares la información que soliciten, previa verificación de identidad.

11.2 Reclamos

El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrán presentar un reclamo ante TruLab Consulting, el cual será tramitado conforme al siguiente procedimiento:

1. El reclamo se formulará mediante solicitud dirigida a privacidad@notarapidamd.com con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo y los documentos que se quieran hacer valer.
2. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
3. Una vez recibido el reclamo completo, se incluirá en la base de datos una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles.
4. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.

11.3 Escalamiento ante la SIC

Si el Titular no recibe respuesta dentro de los términos legales, o si la respuesta es insatisfactoria, podrá presentar queja ante la Superintendencia de Industria y Comercio (SIC):

• Portal web: www.sic.gov.co
• Línea telefónica: (601) 592 04 00
• Dirección: Carrera 13 No. 27 — 00, Bogotá D.C., Colombia

El requisito de procedibilidad para acudir ante la SIC es haber presentado previamente la consulta o el reclamo ante el Responsable del tratamiento.

12. Vigencia y Modificaciones

La presente Política de Tratamiento de Datos Personales entra en vigencia a partir de la fecha indicada al inicio del presente documento.

TruLab Consulting se reserva el derecho de modificar esta Política en cualquier momento. Cualquier cambio sustancial será comunicado a los Titulares mediante:

• Aviso destacado en la Plataforma al momento del inicio de sesión
• Notificación por correo electrónico a la dirección registrada en la cuenta del usuario
• Publicación de la versión actualizada en notarapidamd.com/privacy

El uso continuado de la Plataforma después de la notificación de cambios se entenderá como aceptación de la Política modificada. Si el Titular no está de acuerdo con las modificaciones, podrá solicitar la supresión de sus datos y la cancelación de su cuenta.

13. Contacto

Para cualquier consulta, reclamo o solicitud relacionada con esta Política de Tratamiento de Datos Personales o con el ejercicio de sus derechos como Titular, puede comunicarse con nosotros a través de:

• Responsable del tratamiento: TruLab Consulting
• Correo electrónico: privacidad@notarapidamd.com
• Sitio web: https://notarapidamd.com
• Dirección para notificaciones: Las comunicaciones formales relacionadas con el tratamiento de datos personales deben dirigirse a privacidad@notarapidamd.com. La dirección física será suministrada por escrito a solicitud del Titular mediante el mismo correo.