Política de Tratamiento de Datos Personales

1. Responsable, alcance y marco normativo

El responsable del tratamiento es el médico Paul Méndez Patarroyo, persona natural.

Alcance. Aplica a todos los datos personales que el consultorio recoge en consulta presencial, telemedicina, teleorientación, la página web de preconsulta, mensajes, llamadas y correo. Cubre a pacientes, sus representantes legales y acudientes, y a cualquier persona que contacte al consultorio.

Marco normativo. Ley Estatutaria 1581 de 2012, Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), Resolución 1995 de 1999 y Resolución 839 de 2017 sobre historia clínica, y Resolución 1644 de 2026 sobre telesalud y telemedicina.

Definiciones. Se usan las de la Ley 1581 de 2012. Las principales son:

• Titular: la persona a quien se refieren los datos.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los datos de salud.
• Encargado del tratamiento: quien trata datos por cuenta del responsable.
• Seudonimización: reemplazar los datos que identifican a una persona por un código, guardando aparte la tabla que permite unirlos (en este documento, la Llave).

2. Datos que se tratan y para qué

El consultorio maneja cuatro bases de datos, cada una con su propia finalidad.

Finalidades. Los datos se usan para:

• Prestar la atención médica presencial, por telemedicina o por teleorientación.
• Preparar cada consulta con el cuestionario de preconsulta.
• Llevar la historia clínica y sus anexos.
• Hacer seguimiento a la evolución, incluidas gráficas de resultados.
• Emitir fórmulas, órdenes, interconsultas y certificados cuando la modalidad de atención lo permite.
• Contactar al paciente para citas, resultados y recordatorios.
• Cumplir obligaciones legales, como RIPS y reportes obligatorios.

Solo con autorización expresa y separada, los datos también pueden usarse, previamente anonimizados, para estadística y mejora del servicio.

Datos sensibles. Los datos de salud son sensibles. Por eso el titular no está obligado a autorizar su tratamiento, y cada formulario señala cuáles preguntas recogen datos sensibles. La atención médica nunca se condiciona a que el paciente entregue datos sensibles por la página web: puede darlos directamente en la consulta.

Niños, niñas y adolescentes. Sus datos se tratan solo para su atención en salud y respetando su interés superior. La autorización la otorga su representante legal, teniendo en cuenta la opinión del menor según su madurez.

3. Cómo se protegen los datos

La medida central es la seudonimización: las herramientas que procesan información clínica la reciben con un código, nunca con el nombre o el documento del paciente.

Medidas de seguridad.

• Los datos de identificación se guardan separados de los clínicos. Solo el médico tiene acceso a la Llave, en una cuenta protegida con verificación en dos pasos.
• El personal administrativo recibe solo código, nombre y teléfono, sin datos clínicos.
• Ninguna herramienta de inteligencia artificial tiene acceso a la Llave.
• Antes de procesar un examen o documento, se retiran sus encabezados de identificación.
• El acceso a la historia clínica en PULSE es personal y con contraseña.

Encargados del tratamiento. El consultorio usa estos servicios de terceros, que tratan datos por su cuenta y solo para las finalidades de esta política:

Transmisión internacional. Google, Netlify, Meta (WhatsApp) y Anthropic pueden almacenar o procesar datos fuera de Colombia. Esa transmisión se hace con la autorización expresa del titular y bajo los términos de servicio de cada proveedor. A Anthropic solo se le entrega información seudonimizada.

4. Derechos del titular y deberes del consultorio

El titular puede ejercer sus derechos en cualquier momento, sin costo, con el procedimiento de la sección 5.

Derechos del titular (artículo 8 de la Ley 1581 de 2012):

• Conocer, actualizar y rectificar sus datos.
• Solicitar prueba de la autorización que otorgó.
• Ser informado, si lo pide, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio, después de agotar el trámite ante el consultorio.
• Revocar la autorización y pedir la supresión de sus datos. No procede para la historia clínica y sus anexos mientras la ley obligue a conservarlos.
• Acceder gratuitamente a sus datos.

Deberes del consultorio (artículo 17 de la Ley 1581 de 2012):

• Tratar los datos solo con autorización y para las finalidades informadas.
• Conservar prueba de cada autorización.
• Mantener los datos seguros, veraces y actualizados.
• Exigir a los encargados el cumplimiento de esta política.
• Responder consultas y reclamos en los plazos de ley.
• Informar a la Superintendencia de Industria y Comercio los incidentes de seguridad que afecten los datos.

5. Consultas y reclamos

Las atiende directamente el Dr. Paul Méndez Patarroyo, por correo a doctor.paul.mendez.reumatologo@gmail.com o por escrito en Calle 126 # 7-26, consultorio 903, Bogotá.

Pueden presentarlas el titular, su representante legal o apoderado, o sus causahabientes. Quien no sea el titular debe acreditar su calidad.

Pasos del reclamo (artículo 15 de la Ley 1581 de 2012):

1. El reclamo incluye la identificación del titular, la descripción de los hechos, la dirección de respuesta y los documentos de soporte.
2. Si está incompleto, el consultorio pide completarlo dentro de los 5 días siguientes al recibo. Si pasan 2 meses sin respuesta del solicitante, se entiende que desistió.
3. En máximo 2 días hábiles desde el recibo del reclamo completo, el dato queda marcado como "reclamo en trámite" hasta que se resuelva.
4. El consultorio responde dentro del plazo indicado en la tabla.

Antes de acudir a la Superintendencia de Industria y Comercio, el titular debe haber agotado este trámite ante el consultorio (artículo 16 de la Ley 1581 de 2012).

6. Conservación, cambios y vigencia

La historia clínica y todos sus anexos se conservan mínimo 15 años desde la última atención, según la Resolución 839 de 2017.

Conservación por base de datos.

• Historia clínica (PULSE) y anexos: 15 años desde la última atención. Son anexos el cuestionario de preconsulta, las hojas de puntajes, los exámenes y el registro de la autorización.
• Llave de identidad: el mismo plazo, porque permite reidentificar esos anexos.
• Agenda y contacto: mientras el paciente esté activo o hasta que pida la supresión.
• Conversaciones de trabajo en herramientas de inteligencia artificial: se trabajan solo con información seudonimizada y se eliminan cuando su contenido ya está incorporado a la historia clínica. Las conversaciones antiguas que contenían nombres se están migrando a información seudonimizada y se eliminan unos 30 días después de migrarlas.

Cambios a esta política. Los cambios sustanciales se informan a los titulares antes de aplicarlos, por la página web y por correo a los pacientes activos. Cada versión queda numerada y fechada.

Vigencia. Esta política, versión 1.0, rige desde el 20 de octubre de 2026 en la página web del consultorio. Las bases de datos estarán vigentes mientras se cumplan sus finalidades y durante los plazos de conservación de esta sección.