POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES, PRIVACIDAD Y HÁBEAS DATA

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

Razón social: CONTROL MEDICAL GROUP S.A.S.
Nombre comercial: EXAMINARTE
NIT: 901.398.154
Dirección: Avenida Calle 147 No. 19-50 Local 18, Centro Comercial Futuro 147, Bogotá D.C., Colombia
Correo electrónico general: contacto@controlmedgroup.com
Correo electrónico general de atención: contacto@examinarte.com
Canal de atención al usuario y protección de datos personales: sac@controlmedgroup.com

CONTROL MEDICAL GROUP S.A.S., actuando bajo su marca comercial EXAMINARTE, en su calidad de responsable del tratamiento de datos personales, adopta la presente Política de Tratamiento de Datos Personales, Privacidad y Hábeas Data, con el fin de garantizar el derecho constitucional que tienen los titulares a conocer, actualizar, rectificar y controlar la información personal que repose en sus bases de datos, así como regular el tratamiento de dicha información conforme a la legislación colombiana vigente.

2. OBJETO

La presente política tiene por objeto establecer los criterios, condiciones, procedimientos y reglas bajo los cuales CONTROL MEDICAL GROUP S.A.S. recolecta, almacena, usa, circula, transmite, transfiere, actualiza, conserva, protege y, cuando sea procedente, suprime los datos personales de sus pacientes, usuarios, potenciales pacientes, beneficiarios, acudientes, representantes legales, proveedores, contratistas, aliados, trabajadores, aspirantes, visitantes y demás personas naturales con quienes se relacione en desarrollo de su objeto social.

Esta política busca garantizar el pleno y efectivo ejercicio del derecho de hábeas data, informar al titular sobre las finalidades del tratamiento, los canales de atención habilitados, sus derechos y los mecanismos para presentar consultas, solicitudes o reclamos relacionados con su información personal.

3. ALCANCE

La presente política aplica a todo tratamiento de datos personales realizado por CONTROL MEDICAL GROUP S.A.S., por sí misma o a través de terceros encargados, mediante medios físicos, electrónicos, telefónicos, digitales, automatizados o mixtos, incluyendo formularios físicos y virtuales, plataformas web, landing pages, herramientas de agendamiento, CRM, pasarelas de pago, correo electrónico, llamadas, WhatsApp, SMS, canales de atención presencial, historia clínica, archivos administrativos y demás sistemas utilizados en el marco de su operación.

También aplica a los terceros que, por cuenta de CONTROL MEDICAL GROUP S.A.S., realicen tratamiento de datos personales para fines asistenciales, administrativos, comerciales, tecnológicos, logísticos, contractuales o de soporte, quienes deberán actuar conforme a esta política, a la ley y a las instrucciones impartidas por el responsable.

4. MARCO NORMATIVO

La presente política se fundamenta, entre otras, en las siguientes disposiciones:

• Constitución Política de Colombia, artículo 15.
• Ley 1581 de 2012.
• Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015.
• Ley 1266 de 2008, cuando resulte aplicable.
• Resolución 1995 de 1999 y sus modificaciones.
• Decreto 2106 de 2019, cuando aplique a solicitudes de copia de historia clínica.
• Demás normas que modifiquen, adicionen, sustituyan o complementen el régimen de protección de datos personales y la regulación sectorial en salud. La Ley 1581 exige autorización previa e informada salvo excepciones legales; el Decreto 1377 desarrolló reglas específicas, incluyendo tratamiento de datos de niños, niñas y adolescentes; y la normativa de historia clínica mantiene su carácter reservado y su obligación de conservación.

5. DEFINICIONES

Para efectos de la presente política se adoptan, entre otras, las siguientes definiciones:

• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
• Aviso de privacidad: comunicación verbal o escrita puesta a disposición del titular para informarle sobre la existencia de esta política, la forma de acceder a ella y las finalidades del tratamiento.
• Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: dato calificado como tal por la ley o la Constitución, o aquel que no sea semiprivado, privado o sensible.
• Dato privado: dato que por su naturaleza íntima o reservada solo interesa a su titular.
• Dato semiprivado: dato que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento puede interesar no solo a su titular sino a cierto sector o grupo de personas.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, incluyendo datos relativos a la salud, biométricos, de vida sexual, convicciones religiosas o filosóficas, orientación política, origen racial o étnico, entre otros.
• Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.
• Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación, transmisión, transferencia, actualización, rectificación o supresión. Estas definiciones responden a la estructura del régimen general de protección de datos personales en Colombia.

6. PRINCIPIOS RECTORES

CONTROL MEDICAL GROUP S.A.S. aplicará en todo tratamiento de datos personales los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.

En consecuencia, los datos personales serán tratados de manera lícita, para finalidades legítimas e informadas al titular, con acceso restringido a personas autorizadas, bajo medidas razonables de seguridad y garantizando la reserva de la información, especialmente cuando se trate de datos sensibles o información clínica. Estos principios están previstos en la Ley 1581 y constituyen la base del tratamiento válido de datos personales en Colombia.

7. CATEGORÍAS DE DATOS PERSONALES QUE PODEMOS TRATAR

CONTROL MEDICAL GROUP S.A.S. podrá tratar, según la relación existente con el titular, las siguientes categorías de datos:

• Datos de identificación y contacto, tales como nombre, apellidos, tipo y número de documento, fecha de nacimiento, sexo, dirección, ciudad, correo electrónico, firma.
• Datos administrativos y transaccionales, tales como información de agendamiento, pagos, facturación, cartera, membresías, beneficios, descuentos, solicitudes, reclamos, PQRS, trazabilidad de servicios y soportes contractuales.
• Datos de salud e información clínica, tales como antecedentes, síntomas, diagnósticos, signos clínicos, órdenes médicas, resultados, incapacidades, remisiones, imágenes diagnósticas, historia clínica y demás información necesaria para la prestación de servicios de salud.
• Datos de navegación y uso de plataformas, tales como dirección IP, identificadores de sesión, logs, cookies, trazabilidad de formularios, comportamiento digital y registros de interacción con los canales electrónicos de EXAMINARTE.
• Datos de proveedores, contratistas, trabajadores, aspirantes y aliados, según la relación jurídica correspondiente.

8. FINALIDADES DEL TRATAMIENTO

CONTROL MEDICAL GROUP S.A.S. podrá tratar los datos personales para las siguientes finalidades, según el tipo de titular y la naturaleza de la relación:

8.1. Pacientes, usuarios, beneficiarios y potenciales pacientes

• Gestionar el registro, pre-registro, agendamiento, confirmación y coordinación de citas.
• Prestar servicios de salud presenciales o por telemedicina dentro del alcance habilitado y ofrecido por EXAMINARTE.
• Abrir, organizar, custodiar, actualizar y conservar la historia clínica y demás soportes asistenciales.
• Emitir órdenes, remisiones, resultados, incapacidades, recomendaciones y demás documentos derivados de la atención.
• Confirmar la identidad del paciente, su acudiente o representante legal.
• Facturar, recaudar, validar pagos, realizar devoluciones cuando proceda y gestionar cartera.
• Atender solicitudes, consultas, reclamos, PQRS y requerimientos judiciales o administrativos.
• Enviar recordatorios de citas, instrucciones pre y post atención, resultados, novedades operativas, enlaces de pago, soporte y demás comunicaciones necesarias para la prestación del servicio.

8.2. Membresías, planes y beneficios

Estructurar, comercializar, administrar, operar, recaudar o gestionar membresías, planes o beneficios, de forma directa o a través de terceros aliados, mandatarios, operadores, comercializadores, recaudadores o plataformas autorizadas por la empresa.

La participación de terceros en la gestión comercial, administrativa u operativa de membresías no modifica la condición de EXAMINARTE como prestador efectivo de los servicios de salud, salvo que se informe de manera expresa una condición distinta conforme a la ley.

8.3. Proveedores, contratistas y aliados

Gestionar procesos de vinculación, contratación, ejecución contractual, pagos, control documental, seguridad, auditoría y cumplimiento.

8.4. Trabajadores y aspirantes

Realizar procesos de selección, vinculación, afiliaciones, nómina, bienestar, seguridad social, gestión contractual y cumplimiento de obligaciones legales.

8.5. Usuarios de canales digitales

Gestionar formularios web, autenticación, seguridad, experiencia de usuario, soporte técnico, analítica, prevención de fraude y mejora de plataformas.

La finalidad del tratamiento debe ser legítima e informada al titular al momento de solicitar su autorización.

9. DATOS SENSIBLES

CONTROL MEDICAL GROUP S.A.S. podrá tratar datos sensibles, especialmente datos relativos a la salud, biométricos y demás información que por su naturaleza requiera protección reforzada, únicamente en los casos permitidos por la ley y bajo estrictas condiciones de confidencialidad, acceso restringido, necesidad y seguridad.

Cuando la ley exija autorización, esta será explícita. El titular será informado de que no está obligado a autorizar el tratamiento de datos sensibles, salvo en los eventos en que dicho tratamiento resulte necesario para salvaguardar su interés vital, cumplir una obligación legal, adelantar la prestación del servicio de salud o en los demás casos autorizados por la ley. La Ley 1581 prohíbe como regla general el tratamiento de datos sensibles, salvo excepciones como la autorización explícita del titular o la necesidad de proteger su interés vital.

CONTROL MEDICAL GROUP S.A.S. no vende historias clínicas ni divulga libremente información clínica reservada.

10. DATOS DE NIÑOS, NIÑAS Y ADOLESCENTES

El tratamiento de datos personales de niños, niñas y adolescentes se realizará con especial protección, respetando su interés superior y sus derechos fundamentales. Cuando sea necesario, se obtendrá la autorización del representante legal y se tendrá en cuenta la opinión del menor según su grado de madurez, autonomía y capacidad de comprensión.

En el ámbito asistencial, CONTROL MEDICAL GROUP S.A.S. podrá tratar los datos personales de menores cuando ello sea necesario para su valoración, atención, seguimiento, protección o continuidad en salud, siempre bajo el marco legal aplicable. El Decreto 1377 desarrolló reglas especiales para el tratamiento de datos de menores y exige que dicho tratamiento respete su interés superior y sus derechos fundamentales.

11. AUTORIZACIÓN DEL TITULAR

Salvo las excepciones legales, el tratamiento de datos personales por parte de CONTROL MEDICAL GROUP S.A.S. requerirá autorización previa, expresa e informada del titular, obtenida por cualquier medio que permita su consulta posterior, incluyendo formatos físicos, formularios digitales, registros electrónicos, casillas de aceptación, grabaciones, mensajes de datos, correos electrónicos u otros mecanismos equivalentes.

CONTROL MEDICAL GROUP S.A.S. conservará prueba o evidencia de la autorización otorgada, así como de la finalidad informada y de los derechos explicados al titular. La Ley 1581 exige autorización previa e informada, y el responsable debe conservar prueba de la autorización y de la información suministrada al titular.

La autorización podrá incluir el envío de comunicaciones asistenciales, administrativas, operativas y comerciales relacionadas con los servicios de EXAMINARTE, sin perjuicio del derecho del titular a revocar aquellas autorizaciones revocables conforme a la ley.

12. CASOS EN LOS QUE NO SE REQUIERE AUTORIZACIÓN

No será necesaria la autorización del titular en los casos previstos por la ley, entre ellos:

• información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial;
• datos de naturaleza pública;
• casos de urgencia médica o sanitaria;
• tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos;
• datos relacionados con el registro civil de las personas. Estas excepciones están previstas en el artículo 10 de la Ley 1581.

13. TRANSMISIÓN, TRANSFERENCIA Y COMPARTICIÓN DE DATOS

CONTROL MEDICAL GROUP S.A.S. podrá transmitir, transferir o compartir datos personales con terceros encargados o aliados, dentro o fuera del territorio nacional, cuando ello sea necesario para:

• la operación de su infraestructura tecnológica;
• el funcionamiento de herramientas de agendamiento, CRM, alojamiento, almacenamiento, mensajería, analítica o seguridad;
• la gestión de pagos, facturación, recaudos y prevención de fraude;
• la coordinación con laboratorios, centros diagnósticos, especialistas, proveedores tecnológicos, operadores logísticos o aliados asistenciales;
• la gestión comercial, administrativa u operativa de membresías, planes o beneficios;
• el cumplimiento de obligaciones legales, contractuales, regulatorias o judiciales.

En todos los casos, CONTROL MEDICAL GROUP S.A.S. exigirá a sus encargados y aliados el cumplimiento de estándares de confidencialidad, seguridad, acceso restringido y uso limitado a la finalidad autorizada.

14. SEGURIDAD DE LA INFORMACIÓN Y CONFIDENCIALIDAD

CONTROL MEDICAL GROUP S.A.S. adoptará medidas técnicas, humanas, administrativas y organizacionales razonables para proteger los datos personales contra adulteración, pérdida, uso indebido, consulta no autorizada, acceso fraudulento, modificación o tratamiento contrario a la ley.

La información clínica y los datos sensibles estarán sometidos a controles reforzados de acceso, reserva y custodia. Solo podrán acceder a ellos el titular, su representante cuando legalmente corresponda, el equipo de salud, las autoridades competentes en los casos previstos por la ley y las demás personas autorizadas legalmente.

La historia clínica es un documento privado, obligatorio y sometido a reserva, y debe ser conservada por el prestador conforme a la regulación vigente. El texto oficial publicado por el Ministerio de Salud señala actualmente una conservación mínima de veinte años contados desde la última atención, con un mínimo de cinco años en archivo de gestión y quince años en archivo central.

La supresión de datos personales no operará automáticamente respecto de documentos clínicos cuya conservación sea obligatoria por mandato legal, por seguridad del paciente, defensa judicial, auditoría o continuidad de la atención.

15. DERECHOS DEL TITULAR

El titular de los datos personales tiene derecho a:

• conocer, actualizar y rectificar sus datos personales;
• solicitar prueba de la autorización otorgada, salvo cuando la ley exceptúe ese requisito;
• ser informado sobre el uso dado a sus datos;
• presentar consultas y reclamos;
• solicitar la revocatoria de la autorización y/o la supresión del dato cuando sea procedente;
• acceder en forma gratuita a sus datos personales;
• presentar quejas ante la Superintendencia de Industria y Comercio en los términos de la ley.

Estos derechos forman parte del núcleo del régimen de protección de datos personales previsto en la Ley 1581.

16. CANALES DE ATENCIÓN PARA CONSULTAS Y RECLAMOS

El titular, su causahabiente, representante legal o apoderado podrá presentar consultas, solicitudes, reclamos, peticiones de actualización, rectificación, revocatoria o supresión a través de los siguientes canales:

• Dirección física: Avenida Calle 147 No. 19-50 Local 18, Centro Comercial Futuro 147, Bogotá D.C.
• Correo electrónico general: contacto@controlmedgroup.com
• Correo electrónico general de atención: contacto@examinarte.com
• Canal principal para solicitudes de protección de datos personales y SAC: sac@controlmedgroup.com

Para el trámite correspondiente, el solicitante deberá suministrar como mínimo su identificación, datos de contacto y una descripción clara de la solicitud.

17. PROCEDIMIENTO PARA CONSULTAS

Las consultas deberán contener, como mínimo, la identificación del titular, un medio válido para recibir respuesta y una descripción clara de la información que desea conocer.

CONTROL MEDICAL GROUP S.A.S. responderá las consultas dentro de los diez (10) días hábiles siguientes a su recepción. Si no fuere posible atender la consulta dentro de ese término, informará al interesado los motivos de la demora y señalará la fecha en que se atenderá, la cual no podrá superar cinco (5) días hábiles adicionales. Estos son los términos del artículo 14 de la Ley 1581.

18. PROCEDIMIENTO PARA RECLAMOS, ACTUALIZACIÓN, RECTIFICACIÓN O SUPRESIÓN

Los reclamos deberán presentarse por escrito o por los canales habilitados e incluir, como mínimo, la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la petición concreta, la dirección física o electrónica para recibir respuesta y los documentos que se quieran hacer valer.

Si el reclamo resulta incompleto, CONTROL MEDICAL GROUP S.A.S. podrá requerir al interesado dentro de los cinco (5) días hábiles siguientes a su recepción para que subsane las fallas. Si transcurren dos (2) meses desde el requerimiento sin que el solicitante presente la información necesaria, se entenderá que ha desistido del reclamo.

Una vez recibido el reclamo en debida forma, CONTROL MEDICAL GROUP S.A.S. lo atenderá en un término máximo de quince (15) días hábiles. Cuando no fuere posible resolverlo dentro de ese plazo, se informarán los motivos de la demora y la nueva fecha de respuesta, la cual no podrá superar ocho (8) días hábiles adicionales. Estos términos corresponden al artículo 15 de la Ley 1581.

19. REVOCATORIA DE LA AUTORIZACIÓN Y SUPRESIÓN DE DATOS

El titular podrá solicitar la revocatoria de la autorización o la supresión de sus datos personales cuando considere que el tratamiento no respeta los principios, derechos y garantías legales, o cuando los datos hayan dejado de ser necesarios para la finalidad autorizada, siempre que no exista un deber legal o contractual de conservarlos.

La solicitud de supresión no procederá, entre otros casos, cuando:

• el titular tenga un deber legal o contractual de permanecer en la base de datos;
• la información sea necesaria para la prestación, continuidad o trazabilidad de servicios de salud;
• la información haga parte de historia clínica o de soportes asistenciales sujetos a conservación obligatoria;
• la supresión obstaculice actuaciones judiciales, administrativas, regulatorias, de auditoría, defensa de derechos o cumplimiento de obligaciones legales;
• la información sea necesaria para la seguridad, prevención de fraude o protección de intereses jurídicamente tutelados.

20. HISTORIA CLÍNICA Y COPIAS DE INFORMACIÓN CLÍNICA

La historia clínica se manejará bajo estricta reserva y solo será entregada a las personas autorizadas por la ley.

Cuando el titular solicite copia o información de su historia clínica, CONTROL MEDICAL GROUP S.A.S. la entregará conforme a la regulación vigente y a los procedimientos internos de validación de identidad y legitimación. El Decreto 2106 de 2019 fijó un término máximo de cinco días calendario para la entrega de la copia de historia clínica por el prestador, y permite su remisión por medios electrónicos cuando el usuario así lo autorice.

21. COMUNICACIONES ELECTRÓNICAS

El titular autoriza a CONTROL MEDICAL GROUP S.A.S. para enviar comunicaciones asistenciales, administrativas, operativas y comerciales a través de correo electrónico, llamadas, WhatsApp, SMS y demás medios habilitados, incluyendo recordatorios de citas, confirmaciones, instrucciones pre y post atención, resultados, órdenes, novedades de agenda, enlaces de pago, soporte, validaciones y ofertas relacionadas con los servicios de EXAMINARTE.

La revocatoria de comunicaciones comerciales no afectará el envío de mensajes estrictamente necesarios para la atención, la seguridad del paciente, la continuidad del servicio, la gestión operativa o el cumplimiento de obligaciones legales o contractuales.

Si el titular bloquea, silencia, filtra, desactiva o restringe estos canales, CONTROL MEDICAL GROUP S.A.S. no será responsable por pérdida de turnos, no lectura de instrucciones, vencimiento de enlaces o retrasos derivados de la imposibilidad de contacto atribuible a esa decisión.

22. COOKIES Y TECNOLOGÍAS DE RASTREO

Los canales digitales de EXAMINARTE podrán utilizar cookies propias y de terceros, píxeles, etiquetas, registros de servidor y otras tecnologías similares para autenticación, seguridad, medición de tráfico, analítica, recordación de preferencias, prevención de fraude, funcionamiento de formularios, atribución de campañas y mejora de la experiencia del usuario.

El usuario podrá gestionar determinadas preferencias desde su navegador o dispositivo. No obstante, la desactivación de ciertas herramientas podría afectar funcionalidades esenciales del sitio o de los procesos de agendamiento y autenticación.

23. PRUEBA DE AUTORIZACIÓN Y TRAZABILIDAD

CONTROL MEDICAL GROUP S.A.S. podrá conservar prueba de la autorización del titular y de las actuaciones relevantes relacionadas con el tratamiento de datos, incluyendo formularios, registros electrónicos, fecha, hora, IP, identificadores de sesión, logs, comprobantes de transacción, grabaciones, soportes de aceptación y demás mecanismos idóneos para demostrar la legalidad del tratamiento y la celebración de la relación contractual o asistencial. La obligación de conservar prueba de la autorización y de informar la finalidad al titular deriva del régimen general de protección de datos.

24. AVISO DE PRIVACIDAD

Cuando no sea posible poner esta política a disposición del titular al momento de la recolección, CONTROL MEDICAL GROUP S.A.S. podrá poner a su disposición un aviso de privacidad que indique, como mínimo, la existencia de esta política, las finalidades del tratamiento, los derechos del titular, la identificación del responsable y la forma de acceder al texto completo de la política.

25. VIGENCIA Y MODIFICACIONES

La presente política rige a partir de su publicación y permanecerá vigente mientras CONTROL MEDICAL GROUP S.A.S. realice tratamiento de datos personales necesarios para el desarrollo de su objeto social, la prestación de servicios de salud, la gestión administrativa y comercial, el cumplimiento de obligaciones legales o contractuales y la conservación documental exigida por la normatividad aplicable.

CONTROL MEDICAL GROUP S.A.S. podrá modificar, actualizar o ajustar esta política por cambios legales, regulatorios, tecnológicos, operativos o corporativos. Toda modificación sustancial será publicada oportunamente a través de los canales oficiales de la compañía y regirá hacia el futuro.

Fecha de entrada en vigencia: [ESPACIO PARA FECHA]
Versión: [ESPACIO PARA VERSIÓN]

26. AUTORIZACIÓN GENERAL DEL TITULAR

Al suministrar sus datos personales por cualquiera de los canales habilitados por CONTROL MEDICAL GROUP S.A.S., y salvo que opere una excepción legal, el titular autoriza de manera previa, expresa e informada su tratamiento conforme a las finalidades descritas en esta política.

Dicha autorización comprende, cuando sea necesario y proporcional: la recolección, almacenamiento, organización, consulta, uso, circulación interna, transmisión a encargados, compartición con aliados estrictamente necesarios para la prestación del servicio, la gestión comercial y operativa de membresías, el soporte tecnológico, la facturación, el recaudo, la entrega de resultados, la coordinación asistencial, la atención al usuario, la seguridad de la información y el cumplimiento legal.

En ningún caso esta autorización implicará la venta de historias clínicas ni la libre divulgación de información clínica reservada.