Política de tratamiento de datos personales

5.1 Forma y mecanismos para otorgar la autorización

La Autorización puede constar en un documento físico, electrónico, mensaje de datos (incluido WhatsApp), Internet, sitio web, o también de manera verbal o telefónica, o en cualquier otro formato que permita garantizar su posterior consulta; o mediante una conducta inequívoca del Titular que permita concluir de forma razonable que otorgó la autorización; o a través de un mecanismo técnico o tecnológico idóneo mediante el cual se pueda concluir de manera indiscutible que, de no haber obtenido el consentimiento del Titular, los datos nunca hubieren sido recolectados y almacenados en la Base de Datos.

Con el procedimiento de autorización consentida se garantiza que se ha puesto en conocimiento del Titular que su información personal será recogida y utilizada para fines determinados y conocidos, de acuerdo con la presente Política y el correspondiente Aviso de Privacidad, y el derecho que le asiste para solicitar el acceso, la actualización, rectificación y eliminación de sus Datos Personales en cualquier momento, a través de los mecanismos puestos a su disposición por EL RESPONSABLE.

La Autorización es una declaración que informa al Titular de los Datos Personales:

1. Quién recopila su información personal.
2. Qué recopila (datos que se recaban).
3. Para qué recoge los datos (las finalidades del Tratamiento).
4. Cómo ejercer los derechos de acceso, corrección, actualización o supresión de los Datos Personales suministrados.
5. Que, por tratarse de Datos Sensibles (si aplica), no está obligado a autorizar su Tratamiento.

Esta declaración se realiza a través del Aviso de Privacidad, según se define más adelante.

5.2 Prueba de la autorización

EL RESPONSABLE adoptará las medidas necesarias para mantener registros o mecanismos técnicos o tecnológicos idóneos de cuándo y cómo obtuvo la Autorización por parte de los Titulares de Datos Personales para el Tratamiento de los mismos.

6.1 Contenido mínimo del aviso de privacidad

El Aviso de Privacidad, como mínimo, deberá contener la siguiente información:

1. La identidad, domicilio y datos de contacto del Responsable del Tratamiento.
2. El tipo de Tratamiento al cual serán sometidos los datos y la finalidad del mismo.
3. Los derechos que le asisten al Titular.
4. Los mecanismos generales dispuestos por el Responsable para que el Titular conozca la política de Tratamiento de la información y los cambios sustanciales que se produzcan en ella o en el Aviso de Privacidad. En todos los casos, debe informar al Titular cómo acceder o consultar la política de Tratamiento de información.
5. Cuando se recolecten Datos Personales Sensibles, el Aviso de Privacidad señalará expresamente el carácter facultativo de la respuesta a las preguntas que versen sobre este tipo de datos.

7.1 Derechos de los titulares de la información

De conformidad con lo establecido en el artículo 8 de la Ley 1581 de 2012 y los artículos 21 y 22 del Decreto 1377 de 2013, el Titular de los Datos Personales tiene los siguientes derechos:

1. Conocer, actualizar y rectificar sus Datos Personales frente a EL RESPONSABLE, en su condición de Responsable del Tratamiento.
2. Solicitar prueba de la Autorización otorgada a EL RESPONSABLE.
3. Ser informado por EL RESPONSABLE, previa solicitud, respecto del uso que le ha dado a sus Datos Personales.
4. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen, una vez haya agotado el trámite de consulta o reclamo ante el Responsable del Tratamiento.
5. Revocar la Autorización y/o solicitar la supresión del dato cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
6. Acceder en forma gratuita a sus Datos Personales que hayan sido objeto de Tratamiento. EL RESPONSABLE mantendrá habilitados medios de contacto para que los Titulares puedan ejercer sus derechos y dar aplicación a los procedimientos previstos en esta Política.

7.2 Deberes de EL RESPONSABLE

EL RESPONSABLE tendrá presente, en todo momento, que los Datos Personales son propiedad de las personas a las que se refieren y que sólo ellas pueden decidir sobre los mismos. En este sentido, hará uso de ellos sólo para aquellas finalidades para las que se encuentra debidamente facultado, respetando en todo caso la Ley 1581 de 2012, el Decreto 1377 de 2013 y las demás normas aplicables. De conformidad con el artículo 17 de la Ley 1581 de 2012, EL RESPONSABLE se compromete a cumplir en forma permanente con los siguientes deberes:

1. Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data.
2. Solicitar y conservar, en las condiciones previstas en la ley, copia de la respectiva autorización otorgada por el Titular.
3. Informar debidamente al Titular sobre la finalidad de la recolección y los derechos que le asisten por virtud de la autorización otorgada.
4. Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
5. Garantizar que la información que se suministre al Encargado del Tratamiento sea veraz, completa, exacta, actualizada, comprobable y comprensible.
6. Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento todas las novedades respecto de los datos que previamente le haya suministrado.
7. Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.
8. Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo Tratamiento esté previamente autorizado.
9. Exigir al Encargado del Tratamiento, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.
10. Tramitar las consultas y reclamos formulados en los términos señalados en la ley.
11. Informar al Encargado del Tratamiento cuando determinada información se encuentre en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.
12. Informar, a solicitud del Titular, sobre el uso dado a sus datos.
13. Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
14. Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio.

EL RESPONSABLE garantiza y exige a toda persona que intervenga en cualquier fase del tratamiento de los datos de carácter personal privado, sensible o de menores, la confidencialidad respecto de los mismos.

7.3 Derecho de acceso

El poder de disposición o decisión que tiene el Titular sobre la información que le concierne conlleva necesariamente el derecho de acceder y consultar si su información personal está siendo objeto de Tratamiento, así como el alcance, condiciones y generalidades de dicho Tratamiento. De esta manera, EL RESPONSABLE debe garantizar al Titular su derecho de acceso en tres vías:

1. Que el Titular pueda conocer la efectiva existencia del Tratamiento a que son sometidos sus Datos Personales.
2. Que el Titular pueda tener acceso a sus Datos Personales que están en posesión del Responsable.
3. Que el Titular pueda conocer las circunstancias esenciales del Tratamiento, lo cual se traduce en el deber de EL RESPONSABLE de informar sobre el tipo de Datos Personales tratados y todas y cada una de las finalidades que justifican el Tratamiento.

Parágrafo: EL RESPONSABLE garantizará el derecho de acceso cuando, previa acreditación de la identidad del Titular o la calidad de su representante, se ponga a disposición de éste, de manera gratuita, el detalle de los Datos Personales a través de los medios habilitados para el efecto. El acceso a la historia clínica se regirá, además, por las normas especiales que la regulan.

7.4 Rectificación y actualización de datos

El Titular tiene derecho a solicitar la actualización o rectificación de sus Datos Personales. EL RESPONSABLE tiene la obligación de rectificar y actualizar, a solicitud del Titular, la información que resulte incompleta o inexacta, de conformidad con el procedimiento señalado en la presente Política. En las solicitudes de rectificación y actualización el Titular debe indicar las correcciones a realizar, para lo cual en algunos casos se solicitará la documentación que avale su petición.

EL RESPONSABLE podrá habilitar formularios, medios electrónicos y otros métodos simplificados que faciliten el ejercicio de este derecho, siempre que beneficien al Titular, los cuales serán informados a través de su página web.

7.5 Supresión de datos

El Titular tiene el derecho, en todo momento, a solicitar a EL RESPONSABLE la supresión de sus Datos Personales cuando:

1. Desee que sus datos sean eliminados de las Bases de Datos de EL RESPONSABLE.
2. Considere que los mismos no están siendo tratados conforme a los principios, deberes y obligaciones previstos en la Ley 1581 de 2012 y el Decreto 1377 de 2013.
3. Hayan dejado de ser necesarios o pertinentes para la finalidad para la cual fueron recabados.
4. Se haya superado el período necesario para el cumplimiento de los fines para los que fueron recabados.

La supresión implica la eliminación total o parcial de la información personal, de acuerdo con lo solicitado por el Titular, en los registros, archivos, Bases de Datos o Tratamientos realizados por EL RESPONSABLE.

El derecho de supresión no es absoluto, y EL RESPONSABLE puede negar su ejercicio cuando:

1. El Titular tenga un deber legal o contractual de permanecer en la Base de Datos.
2. La eliminación de datos obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas.
3. Los datos sean necesarios para proteger los intereses jurídicamente tutelados del Titular, para realizar una acción en función del interés público o para cumplir con una obligación legalmente adquirida por el Titular.
4. Se trate de información contenida en la historia clínica, que debe conservarse durante los términos que establezca la normatividad vigente en salud.

En caso de resultar procedente la supresión, EL RESPONSABLE la realizará de tal manera que la eliminación no permita la recuperación de la información.

7.6 Revocatoria de la autorización

Los Titulares pueden revocar el consentimiento al Tratamiento de sus Datos Personales en cualquier momento, siempre y cuando no lo impida una disposición legal o contractual. Para ello, EL RESPONSABLE establecerá mecanismos sencillos, de fácil acceso y gratuitos que permitan al Titular revocar su consentimiento, al menos por el mismo medio por el que lo otorgó.

La revocatoria puede ser total, sobre la totalidad de las finalidades consentidas, o parcial, sobre tipos de Tratamiento determinados, como por ejemplo fines publicitarios, el uso de fotografías o testimonios. Por lo anterior, el Titular deberá indicar en su solicitud si la revocatoria es total o parcial y, en este último caso, con cuál Tratamiento no está conforme.

Habrá casos en que el consentimiento, por su carácter necesario en la relación entre Titular y Responsable o por disposición legal, no podrá ser revocado. Los plazos para atender las solicitudes de revocatoria no podrán exceder los previstos en el artículo 15 de la Ley 1581 de 2012.

8.1 Consultas

De conformidad con el artículo 14 de la Ley 1581 de 2012 y el artículo 21 del Decreto 1377 de 2013, los Titulares podrán consultar su información personal que repose en cualquier Base de Datos de EL RESPONSABLE, bajo las siguientes reglas:

1. El Titular podrá consultar de forma gratuita sus datos personales al menos una vez cada mes calendario, y cada vez que existan modificaciones sustanciales de la Política que motiven nuevas consultas.
2. El derecho de consulta podrá ejercerse por: (I) el Titular, previa acreditación de su identidad; (II) su representante y/o apoderado, previa acreditación de la representación; (III) por estipulación a favor de otro o para otro; (IV) en el caso de niños, niñas o adolescentes, por las personas facultadas para representarlos. Cuando la solicitud sea formulada por persona distinta del Titular y no se acredite que actúa en su representación, se tendrá por no presentada.
3. La solicitud deberá contener: (I) nombre y domicilio del Titular o cualquier otro medio para recibir la respuesta; (II) documentos que acrediten su identidad o la de su representante; (III) descripción clara y precisa de los Datos Personales respecto de los cuales busca ejercer sus derechos; (IV) en caso dado, otros elementos que faciliten la localización de los datos.
4. Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible atenderlas dentro de dicho término, se informará al interesado antes de su vencimiento, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

8.2 Reclamos

De conformidad con el artículo 15 de la Ley 1581 de 2012, el Titular o sus causahabientes que consideren que la información contenida en una Base de Datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos en la ley, podrán presentar un reclamo ante EL RESPONSABLE, el cual será tramitado bajo las siguientes reglas:

1. El reclamo podrá ser presentado por las mismas personas señaladas para las consultas.
2. El reclamo deberá contener: (I) nombre y domicilio del Titular o medio para recibir la respuesta; (II) documentos que acrediten su identidad o la de su representante; (III) descripción clara y precisa de los datos respecto de los cuales busca ejercer sus derechos; (IV) descripción de los hechos que dan lugar al reclamo y los documentos que quiera hacer valer; (V) en caso dado, otros elementos que faciliten la localización de los datos.
3. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
4. Si se recibe un reclamo que no debería ir dirigido a EL RESPONSABLE, éste dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.
5. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

8.3 Canales de atención

Para presentar consultas, reclamos y solicitudes de revocatoria o supresión, el Titular podrá utilizar los siguientes canales:

• Dirección física: Calle 5E # 37A-56, Barrio San Fernando, Cali, Valle del Cauca.
• Correo electrónico: contacto@drjaimeconcha.com.
• Teléfono / WhatsApp: +57 310 447 6659.

9.1 Política

Para dar cumplimiento a la Ley Estatutaria 1581 de 2012 y demás normas que la modifiquen, adicionen o complementen, EL RESPONSABLE cuenta con procesos y lineamientos para el manejo de la información de pacientes, potenciales pacientes, proveedores, colaboradores y demás grupos de interés, en los siguientes aspectos:

• Adecuada prestación de los servicios de salud: comprende los datos necesarios para la valoración, el diagnóstico, la programación y realización de procedimientos, el seguimiento postoperatorio, la atención al paciente, la seguridad del paciente y, en general, toda la información indispensable para cumplir con la prestación del servicio y la normatividad vigente.
• Fines comerciales: comprende toda actividad encaminada a presentar información sobre servicios, publicidad, campañas, recordatorios y contenidos que puedan ser de interés de los pacientes y usuarios.
• Otras finalidades: eventualmente EL RESPONSABLE podrá establecer otras finalidades para el Tratamiento de los datos personales, para lo cual deberá contar con la autorización previa, expresa e informada del Titular.

9.2 Bases de datos

A. Bases de datos de pacientes. EL RESPONSABLE informará al Titular el Tratamiento que se hará de sus datos personales y su finalidad, y obtendrá de manera previa su autorización. Esta base de datos contiene datos sensibles relativos a la salud, incluida la historia clínica y los registros fotográficos clínicos, cuya conservación y reserva se rigen por las normas especiales de salud. El uso de fotografías, videos o testimonios del paciente con fines académicos, informativos o publicitarios (por ejemplo, en el sitio web o en redes sociales) sólo se realizará con autorización expresa, previa y por escrito del Titular, que podrá revocar en cualquier momento.

B. Bases de datos de potenciales pacientes. Contienen los datos de las personas que se comunican con EL RESPONSABLE a través del sitio web, WhatsApp, redes sociales, teléfono u otros canales para solicitar información o agendar una valoración. Su Tratamiento requiere autorización previa e información de sus finalidades.

C. Bases de datos de contratistas y proveedores. Contienen datos de personas naturales o jurídicas que mantienen un vínculo contractual o comercial con EL RESPONSABLE, cuyo Tratamiento tiene como finalidad cumplir con las disposiciones contractuales, el pago de obligaciones, el reporte a entidades gubernamentales y la entrega de información a autoridades que la requieran. Su Tratamiento para fines diferentes requiere autorización previa del Titular.

D. Bases de datos de colaboradores. Contienen los datos de las personas naturales que se vinculan laboral o contractualmente con EL RESPONSABLE, cuyo Tratamiento tiene como finalidad cumplir con las disposiciones legales y reglamentarias. En ningún caso EL RESPONSABLE dará Tratamiento a datos sensibles o de menores sin autorización previa.

Las bases de datos tendrán una duración igual a la que se disponga en virtud de la relación asistencial, contractual o legal, sin perjuicio de su revisión cada dos (2) años para evaluar la necesidad, proporcionalidad y/o existencia de un deber legal o contractual de permanencia, y de los términos especiales de conservación de la historia clínica.

9.3 Datos sensibles

Para el caso de datos personales sensibles, EL RESPONSABLE podrá hacer uso y Tratamiento de ellos cuando:

1. El Titular haya dado su autorización, salvo en los casos en que por ley no sea requerido el otorgamiento de dicha autorización.
2. El Tratamiento sea necesario para salvaguardar el interés vital del Titular y éste se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.
3. El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
4. El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de la identidad de los Titulares.

Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento de datos sensibles se requiere la autorización previa, expresa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta y verificación posterior. El Titular no está obligado a autorizar el Tratamiento de sus datos sensibles.

9.4 Finalidades del tratamiento

EL RESPONSABLE recolecta, almacena, usa, circula, transmite y transfiere Datos Personales de sus pacientes, potenciales pacientes, proveedores y colaboradores con el objeto de:

1. Prestar los servicios de salud solicitados: valoración, diagnóstico, procedimientos quirúrgicos y no quirúrgicos, controles y seguimiento postoperatorio.
2. Elaborar, custodiar y conservar la historia clínica y los registros clínicos, incluidos los fotográficos, conforme a la normatividad vigente.
3. Agendar, confirmar y recordar citas y procedimientos a través de llamadas, mensajes de texto, correo electrónico o WhatsApp.
4. Coordinar la atención con clínicas, IPS, laboratorios, anestesiólogos y demás profesionales que intervengan en la atención del paciente.
5. Cumplir con las obligaciones legales, contractuales, tributarias y contables, y atender los requerimientos de autoridades administrativas o judiciales.
6. Lograr una eficiente comunicación con el Titular, a través de cualquier medio de contacto, relacionada con los servicios, campañas, contenidos educativos, canales de atención y redes sociales.
7. Informar sobre cambios en los servicios o sobre nuevos servicios relacionados con los contratados.
8. Evaluar la calidad del servicio y realizar encuestas de satisfacción.
9. Enviar, de forma general o segmentada, información, contenido y/o publicidad de EL RESPONSABLE, cuando el Titular lo haya autorizado.
10. Publicar fotografías, videos o testimonios únicamente cuando el Titular lo haya autorizado de manera expresa y por escrito.
11. Dar cumplimiento a las obligaciones contraídas con pacientes, proveedores y colaboradores.
12. Velar por la seguridad y el bienestar de los pacientes, y prevenir el fraude.

En consecuencia, el Titular entiende y acepta que mediante la autorización concede al Responsable y a los Encargados del Tratamiento acceso a sus datos personales en la medida en que así lo requieran para la prestación de los servicios o por el vínculo que se desarrolle entre las partes.

10.1 Medidas de seguridad

En desarrollo del principio de seguridad establecido en la Ley 1581 de 2012, EL RESPONSABLE adoptará las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

10.2 Implementación de las medidas de seguridad

EL RESPONSABLE mantendrá protocolos de seguridad de obligatorio cumplimiento para el personal con acceso a los datos de carácter personal y a los sistemas de información, que considerarán como mínimo:

1. Capacitación del personal sobre la presente Política y sobre los mecanismos y protocolos de seguridad para el Tratamiento de datos.
2. Ámbito de aplicación del procedimiento, con especificación de los recursos protegidos.
3. Medidas, normas, procedimientos, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en la Ley 1581 de 2012 y el Decreto 1377 de 2013.
4. Funciones y obligaciones del personal.
5. Estructura de las Bases de Datos y descripción de los sistemas de información que las tratan.
6. Procedimiento de notificación, gestión y respuesta ante incidentes.
7. Procedimientos de copias de respaldo y de recuperación de los datos.
8. Controles periódicos para verificar el cumplimiento de lo dispuesto en el procedimiento de seguridad.
9. Medidas a adoptar cuando un soporte o documento sea transportado, desechado o reutilizado.
10. Actualización permanente del procedimiento, y su revisión siempre que se produzcan cambios relevantes en los sistemas de información.