Política de Privacidad y Tratamiento de Datos Personales

Esta Política se aplica al tratamiento de datos personales realizado a través de https://concienciasanate.com y sus páginas públicas; Elynthis Clinical; Elynthis Clinical Lite; Elynthis Care; aplicaciones web y móviles asociadas; formularios de contacto, soporte y demostraciones; cuentas, autenticación y administración de usuarios; agenda, teleconsulta, documentos, consentimientos, facturación, RIPS e integraciones habilitadas; comunicaciones transaccionales y de seguridad; e integraciones opcionales con Google, Apple y otros proveedores expresamente informados.

La Política aplica a visitantes, usuarios registrados, pacientes, profesionales de la salud, auxiliares, administradores de organizaciones, representantes legales, proveedores y personas que se comuniquen con Conciencia Sánate/Elynthis.

Para los datos personales tratados directamente por el sitio web Conciencia Sánate, las cuentas de usuario y las funcionalidades propias de Elynthis, el Responsable del Tratamiento es:

• Responsable: Laura Rojas, titular y operadora de Conciencia Sánate y del ecosistema Elynthis, salvo que una persona jurídica sea formalmente constituida y comunicada mediante actualización de esta Política.
• Domicilio: Bogotá D. C., Colombia.
• Dirección de notificaciones: CRA 29 31D 60 SUR, Bogotá, Colombia.
• Teléfono: +1 3124462648.
• Privacidad y protección de datos: privacidad@concienciasanate.com.
• Soporte: soporte@concienciasanate.com.
• Seguridad: seguridad@concienciasanate.com.
• Asuntos jurídicos: legal@concienciasanate.com.
• Sitio web: https://concienciasanate.com.

Cuando un profesional de la salud, consultorio, institución u organización utiliza Elynthis para prestar servicios a sus propios pacientes, dicho profesional u organización generalmente actúa como Responsable del Tratamiento de la historia clínica y de los datos derivados de la atención. En esos casos, Conciencia Sánate/Elynthis actúa como Encargado tecnológico, siguiendo las instrucciones del Responsable, los acuerdos aplicables y la normativa vigente.

Esta distribución de funciones no limita los derechos de los Titulares. Cuando una solicitud corresponda a un profesional u organización Responsable, Elynthis podrá remitirla o coordinar su gestión con esa parte.

El tratamiento se realiza conforme a la Constitución Política de Colombia, la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 compilado en el Decreto 1074 de 2015, la Ley 1266 de 2008 cuando resulte aplicable, las normas colombianas sobre historia clínica y atención en salud, y las disposiciones que las modifiquen o sustituyan.

Para las funcionalidades que utilizan APIs de Google también se observan la Google API Services User Data Policy, la Google Workspace User Data and Developer Policy y sus requisitos de Limited Use.

El tratamiento se rige por los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad, confidencialidad, necesidad, minimización y responsabilidad demostrada.

Elynthis trata únicamente los datos necesarios para las finalidades informadas y las funcionalidades habilitadas.

1. Crear, autenticar, proteger y administrar cuentas.
2. Verificar identidad, rol, permisos y pertenencia a una organización.
3. Prestar las funcionalidades de Elynthis, incluidas historia clínica electrónica, agenda, teleconsulta, documentos, consentimientos, firma, seguimiento, facturación, RIPS e interoperabilidad autorizada.
4. Permitir que profesionales e instituciones presten y documenten servicios de salud.
5. Sincronizar, cuando el Usuario lo active, citas con Google Calendar u otros calendarios compatibles.
6. Enviar comunicaciones transaccionales, recordatorios, alertas de seguridad y mensajes relacionados con el servicio.
7. Procesar pagos y administrar suscripciones mediante proveedores especializados, sin almacenar directamente los datos completos de tarjetas cuando el pago sea procesado por un tercero.
8. Prestar soporte, responder solicitudes y solucionar errores.
9. Prevenir fraude, abuso, accesos no autorizados e incidentes de seguridad.
10. Mantener logs, auditoría, integridad, continuidad y recuperación del servicio.
11. Cumplir obligaciones legales, sanitarias, contables, tributarias, contractuales y requerimientos de autoridad competente.
12. Elaborar métricas agregadas o anonimizadas para evaluar funcionamiento y calidad, sin intentar reidentificar a las personas.
13. Operar funciones asistivas de inteligencia artificial únicamente cuando estén habilitadas, sean visibles para el Usuario y se sometan a supervisión humana.

• Autorización previa, expresa e informada del Titular.
• Consentimiento informado para datos sensibles o atención en salud.
• Ejecución de una relación contractual o de medidas precontractuales.
• Cumplimiento de obligaciones legales o regulatorias.
• Atención de requerimientos de autoridad competente.
• Protección de intereses vitales o atención de urgencias, cuando legalmente proceda.
• Finalidades legítimas de seguridad y prevención de fraude compatibles con los derechos del Titular.
• Otras excepciones expresamente previstas por la ley.

El acceso opcional a Google Calendar requiere una acción afirmativa del Usuario y puede ser revocado sin impedir el uso de las funciones de Elynthis que no dependan de dicha integración.

Los datos de salud y salud mental son sensibles y reciben protección reforzada. El Titular será informado de que no está obligado a autorizar su tratamiento salvo cuando resulte indispensable para la prestación solicitada o exista una excepción legal.

Los datos clínicos son reservados. Su acceso se limita al Titular, al profesional tratante, al personal autorizado por necesidad de conocer y a terceros autorizados o habilitados por la ley. Los administradores organizacionales no deben acceder al contenido clínico salvo que su función, autorización y marco jurídico lo permitan expresamente.

La atención o registro de menores de edad debe respetar su interés superior, sus derechos prevalentes y la autorización de sus representantes cuando corresponda. Elynthis no habilita por regla general cuentas autónomas para menores sin un flujo de consentimiento y representación apropiado. El profesional o institución Responsable debe verificar la legitimidad de la autorización y aplicar las reglas clínicas correspondientes.

9.2 Datos de Google Sign-In. Cuando el Usuario elige “Continuar con Google”, Elynthis puede recibir, de acuerdo con los permisos openid, email y profile: identificador único de la cuenta de Google; nombre y apellidos; correo electrónico; y fotografía de perfil, cuando esté disponible. Estos datos se usan exclusivamente para autenticar, crear o vincular la cuenta, mostrar información básica de perfil, prevenir duplicados y proteger el acceso. Google Sign-In no concede por sí solo acceso a Gmail, Google Drive, contactos ni Google Calendar.

9.3 Datos de Google Calendar. Cuando el Usuario conecta voluntariamente Google Calendar, Elynthis puede acceder, dentro de los permisos exhibidos por Google, a: identificador del calendario seleccionado; identificador y estado de eventos; título, descripción y ubicación; fecha y hora de inicio y finalización; zona horaria; recurrencia, recordatorios y disponibilidad; asistentes y sus correos únicamente cuando formen parte del evento que el Usuario crea, selecciona o sincroniza; enlace de videoconferencia o Google Meet cuando el Usuario lo solicite; y metadatos técnicos necesarios para crear, consultar, actualizar, cancelar o evitar duplicados.

• Mostrar disponibilidad necesaria para gestionar la agenda.
• Crear en el calendario elegido las citas que el Usuario ordene sincronizar.
• Mantener coherencia entre la cita de Elynthis y su evento correspondiente.
• Actualizar o cancelar el evento cuando el Usuario ejecute esa acción.
• Prevenir conflictos y duplicados de agenda.
• Solucionar errores de sincronización y proteger la integración.

Elynthis no accede a Gmail, Google Drive, Google Contacts ni otros productos de Google mediante la integración de Calendar. Si en el futuro se incorpora una API o finalidad diferente, esta Política y la divulgación previa al consentimiento serán actualizadas antes de solicitar el nuevo permiso.

9.4 Acciones realizadas por cuenta del Usuario. Elynthis solo crea, consulta, actualiza o elimina eventos de Google Calendar como consecuencia de una acción del Usuario o de una regla de sincronización que este haya activado y pueda desactivar. La aplicación no envía correos, modifica archivos ni actúa en otros servicios de Google mediante los permisos de Calendar.

9.5 Almacenamiento y seguridad. Elynthis puede conservar el identificador de la cuenta de Google, el correo vinculado, el calendario seleccionado, identificadores de eventos, estados de sincronización y tokens OAuth mientras la integración permanezca activa. Los tokens OAuth deben almacenarse cifrados en reposo, disponibles únicamente en componentes de servidor autorizados y transmitirse mediante HTTPS/TLS. No se exponen en código cliente, URLs públicas, logs, herramientas analíticas ni mensajes de error. Elynthis evita incluir diagnósticos, notas clínicas u otra información sensible innecesaria en eventos de Calendar.

9.6 Compartición, transferencias y acceso humano. Los datos obtenidos mediante APIs de Google no se venden, alquilan ni comparten con plataformas publicitarias, corredores de datos, revendedores de información o entidades que determinen solvencia o concedan crédito. El personal de Conciencia Sánate/Elynthis no accede al contenido de datos de Google salvo consentimiento explícito del Usuario para soporte, investigación de incidentes, datos agregados y anonimizados, u obligación legal.

9.8 Desconexión, revocación y eliminación. El Usuario puede desconectar Google Calendar desde la configuración de integraciones de Elynthis. Al hacerlo se invalida o revoca el acceso, se eliminan los tokens OAuth de sistemas activos, se detienen nuevas sincronizaciones y se eliminan mapeos y datos derivados innecesarios, normalmente dentro de treinta (30) días calendario. La desconexión no elimina automáticamente los eventos ya creados en Google Calendar. También puede revocar el acceso en https://myaccount.google.com/connections o solicitar eliminación escribiendo a privacidad@concienciasanate.com.

Las funciones asistidas por inteligencia artificial, cuando existan, tienen finalidades de apoyo, como organización o asistencia de redacción. No sustituyen el juicio del profesional ni deben tomar decisiones clínicas o jurídicas autónomas sobre una persona.

El Usuario decide cuándo activar estas funciones y debe revisar cualquier resultado antes de incorporarlo a un documento o historia clínica. Se aplican minimización, control de acceso y separación de finalidades.

• Esenciales: autenticación, seguridad, preferencias de sesión y funcionamiento.
• De preferencias: idioma, zona horaria y configuración.
• Analíticas o de rendimiento: únicamente cuando estén habilitadas y exista la base o autorización correspondiente.
• De seguridad: prevención de abuso, limitación de tasa y protección de infraestructura.

Las cookies no esenciales se gestionan mediante información y controles de consentimiento cuando sean exigibles. Los datos obtenidos mediante APIs de Google no se emplean para publicidad personalizada ni se incorporan a perfiles publicitarios. El detalle opera bajo la Política de Cookies.

Elynthis puede apoyarse en proveedores tecnológicos sujetos a contratos, instrucciones, controles de acceso y deberes de confidencialidad.

Algunos proveedores pueden tratar información fuera de Colombia. Las transmisiones o transferencias internacionales se realizan conforme a la normativa aplicable, con finalidades limitadas, medidas de seguridad y acuerdos apropiados. Cada proveedor también puede actuar como Responsable independiente respecto de ciertos datos bajo sus propios términos (por ejemplo, Google o Stripe).

• HTTPS/TLS para datos en tránsito.
• Cifrado en reposo de datos y secretos que lo requieran.
• Almacenamiento cifrado y acceso restringido a tokens OAuth.
• Autenticación, expiración de sesiones y controles por rol.
• Segregación por organización y políticas de seguridad a nivel de datos.
• Mínimo privilegio y necesidad de conocer.
• Gestión de secretos fuera del código cliente.
• Registros de auditoría y monitoreo de eventos de seguridad.
• Respaldos, continuidad y procedimientos de recuperación.
• Revisión de dependencias, cambios y vulnerabilidades.
• Medidas para reducir la presencia de datos clínicos o secretos en logs.
• Procedimientos de respuesta y notificación de incidentes.

Ningún sistema es absolutamente invulnerable. Los Usuarios deben proteger sus credenciales, dispositivos y sesiones, y reportar sospechas a seguridad@concienciasanate.com.

Los datos se conservan únicamente durante el tiempo necesario para las finalidades informadas y los plazos exigidos por la ley.

• Conocer, acceder, actualizar y rectificar sus datos.
• Solicitar prueba de la autorización, salvo excepción legal.
• Conocer el uso dado a sus datos.
• Presentar consultas y reclamos.
• Revocar la autorización o solicitar la supresión cuando sea procedente.
• Solicitar copia o portabilidad cuando resulte aplicable.
• Acudir ante la Superintendencia de Industria y Comercio después de agotar el trámite correspondiente.
• Retirar el consentimiento para tratamientos opcionales sin afectar la licitud del tratamiento previo.
• Desconectar integraciones y revocar permisos de Google.

La supresión o revocación puede no proceder respecto de información que deba conservarse por ley, contrato vigente, seguridad, defensa de derechos o custodia de historia clínica.

Las solicitudes pueden enviarse a privacidad@concienciasanate.com e incluir: nombre completo; documento o mecanismo razonable de verificación de identidad; correo asociado a la cuenta; descripción clara de la solicitud; datos o documentos que faciliten su gestión; y calidad en la que actúa, si representa a otra persona.

• Consultas: respuesta dentro de diez (10) días hábiles; prórroga informada de hasta cinco (5) días hábiles adicionales.
• Reclamos: atención dentro de quince (15) días hábiles siguientes al día posterior a su recepción completa; prórroga informada de hasta ocho (8) días hábiles adicionales.
• Solicitud incompleta: se pedirá subsanación dentro de cinco (5) días; si transcurren dos (2) meses sin respuesta, se entenderá desistida.

Cuando Elynthis sea Encargado de un profesional u organización, podrá trasladar o coordinar la solicitud con el Responsable clínico sin abandonar sus propios deberes.

El Usuario puede solicitar la eliminación desde la configuración de la cuenta, cuando la función esté disponible, o escribiendo a privacidad@concienciasanate.com o soporte@concienciasanate.com.

La eliminación comprende credenciales, sesiones, preferencias, tokens de integraciones voluntarias y otros datos no sujetos a conservación obligatoria. Las historias clínicas, consentimientos, registros de facturación, RIPS y evidencias legalmente exigidas pueden permanecer bloqueadas y protegidas durante el término correspondiente.

La información detallada está en https://concienciasanate.com/eliminar-cuenta.

Las comunicaciones necesarias para la cuenta, citas, seguridad, facturación, soporte o cambios relevantes del servicio se consideran transaccionales. Las comunicaciones comerciales o educativas que requieran autorización ofrecerán un mecanismo para retirar el consentimiento. El retiro de comunicaciones comerciales no impide el envío de avisos necesarios para la prestación, seguridad o cumplimiento.

Ante un incidente que pueda comprometer datos personales, Elynthis aplicará procedimientos de detección, contención, investigación, recuperación y documentación. Cuando la ley o el nivel de riesgo lo exijan, se notificará a los Responsables, Titulares y autoridades competentes por los canales y dentro de los términos aplicables.

La Plataforma puede contener enlaces a servicios externos. El tratamiento efectuado directamente por esos terceros se rige por sus propias políticas. Esto no autoriza a Elynthis a transferir datos de Google ni datos clínicos fuera de las finalidades expresamente indicadas.

La Política puede actualizarse por cambios normativos, operativos, tecnológicos o de finalidades. La versión, fecha de actualización y entrada en vigor se publicarán en esta página. Si un cambio modifica sustancialmente el uso de datos personales o de Google, se informará de manera destacada y, cuando corresponda, se solicitará una nueva autorización.

Esta Política debe leerse junto con los Términos y Condiciones, la Política de Seguridad, la Política de Cookies, la Política de Datos Sensibles, la Política de Eliminación de Cuenta, los consentimientos clínicos y los acuerdos de tratamiento aplicables. Su publicación no sustituye la autorización de tratamiento de datos ni el consentimiento informado clínico cuando sean legalmente requeridos.