Política de tratamiento de datos personales

DataLock (en adelante, "el Responsable") es el responsable del tratamiento de los datos personales recopilados a través de la plataforma de software de gestión para terapeutas disponible en este sitio web.

El Responsable trata los datos personales de los usuarios del Servicio con las siguientes finalidades:

• Prestación del Servicio: gestión de la cuenta de usuario, acceso a los módulos contratados, soporte técnico y atención de solicitudes.
• Gestión de suscripciones y facturación: procesamiento de pagos, emisión de comprobantes y gestión del ciclo de vida de la suscripción.
• Cumplimiento legal: atención de requerimientos de autoridades competentes, cumplimiento de obligaciones contables y tributarias.
• Comunicaciones del Servicio: notificaciones sobre el estado de la cuenta, cambios en los Términos y Condiciones, actualizaciones relevantes del Servicio y recordatorios de renovación.
• Mejora del Servicio: análisis de uso agregado y anonimizado para mejorar las funcionalidades. No se realizan perfiles individuales con fines de marketing sin consentimiento adicional.
• Seguridad: prevención de fraude, autenticación de usuarios y protección de la integridad del sistema.

En cuanto a los datos clínicos de los consultantes registrados por los Terapeutas, el Responsable actúa como encargado del tratamiento, ya que el Terapeuta es el responsable frente a sus pacientes. El Responsable no utiliza dichos datos para ninguna finalidad distinta a la prestación del Servicio al Terapeuta.

Datos del Terapeuta: nombre, correo electrónico, número de tarjeta profesional, título profesional, firma digital. Estos datos se utilizan para identificar al usuario y prestar el Servicio.

Datos de los consultantes del Terapeuta: nombres, documento de identidad, fecha de nacimiento, información de contacto, datos clínicos y de salud mental (diagnósticos, evoluciones, resultados de tests, consentimientos informados, archivos clínicos). Estos datos son de categoría especial (sensibles) en los términos de la Ley 1581 de 2012 y reciben el nivel de protección más alto disponible.

Datos de uso: registros de acceso, dirección IP de sesión (para firma de documentos y seguridad), logs de actividad.

Datos de pago: información necesaria para procesar la suscripción. El Responsable no almacena números de tarjetas de crédito ni datos completos de instrumentos de pago.

Conforme a la Ley 1581 de 2012, los titulares de los datos personales tienen los siguientes derechos:

• Conocer los datos personales que el Responsable tiene sobre usted y el tratamiento que se les da.
• Actualizar y rectificar sus datos personales cuando sean inexactos, incompletos o estén desactualizados.
• Solicitar prueba de la autorización otorgada para el tratamiento.
• Ser informado del uso dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012.
• Revocar la autorización y/o solicitar la supresión de sus datos cuando no exista obligación legal o contractual de mantenerlos.
• Acceder gratuitamente a sus datos personales que hayan sido objeto de tratamiento.

Para los datos clínicos de consultantes, el Terapeuta actúa como responsable frente a sus pacientes y debe garantizar el ejercicio de estos derechos. El Responsable apoya al Terapeuta en dicha gestión dentro de las funcionalidades del Servicio.

Para ejercer cualquiera de los derechos mencionados en la sección anterior, el titular puede dirigir su solicitud al Responsable a través de:

• El formulario de Contacto disponible en este sitio web.
• El correo electrónico indicado en la sección de Información de contacto.

El Responsable dará respuesta a las solicitudes en un término máximo de quince (15) días hábiles contados a partir de la fecha de recibo de la solicitud, conforme a lo dispuesto en el artículo 14 de la Ley 1581 de 2012.

Si la solicitud resulta imposible de atender dentro de dicho plazo, el Responsable informará al titular sobre los motivos y la nueva fecha estimada de respuesta, la cual no podrá superar los ocho (8) días hábiles adicionales.

Los datos personales se conservarán durante el tiempo necesario para cumplir con la finalidad para la que fueron recopilados, incluyendo el período requerido por obligaciones legales, contables o de reporte.

• Datos de cuenta del Terapeuta: mientras la cuenta esté activa y, tras su cancelación, por el período mínimo exigido por la normativa tributaria y comercial colombiana (generalmente diez años para documentos contables).
• Datos clínicos de consultantes: mientras el Terapeuta mantenga cuenta activa. Tras la cancelación de la cuenta, el Responsable conservará los datos durante un período de gracia para facilitar la portabilidad, tras el cual serán eliminados de forma segura. El período exacto será definido en la versión definitiva de esta política.
• Registros de seguridad y acceso: conforme a las mejores prácticas de seguridad informática y la normativa vigente.

El Responsable no vende, arrienda ni cede datos personales a terceros con fines comerciales.

El Responsable puede compartir datos con los siguientes tipos de terceros, siempre con la finalidad exclusiva de prestar el Servicio:

• Proveedores de infraestructura tecnológica (hospedaje web, servidores): actúan como encargados del tratamiento y están sujetos a acuerdos de confidencialidad y protección de datos.
• Proveedor de inteligencia artificial (para el módulo de asistente de redacción): el texto de la nota clínica que el Terapeuta decida enviar al asistente es transmitido a la API del proveedor de IA para generar el borrador. El Terapeuta puede optar por no usar esta funcionalidad. El proveedor de IA está sujeto a acuerdos de confidencialidad y no utiliza los datos para entrenar sus modelos (según la versión del acuerdo vigente en la fecha de publicación de esta política).
• Proveedores de correo electrónico: para el envío de notificaciones del Servicio.
• Autoridades competentes: cuando así lo exija la ley colombiana o una orden judicial.

El Responsable exige a sus proveedores niveles de protección de datos equivalentes a los establecidos en la legislación colombiana y en esta política.

El Responsable implementa medidas técnicas y organizativas orientadas a proteger los datos personales contra el acceso no autorizado, la pérdida, la alteración o la destrucción. Entre otras:

• Transmisión cifrada de datos mediante TLS/HTTPS.
• Contraseñas almacenadas con algoritmo bcrypt.
• Tokens sensibles (integraciones de calendario) cifrados en reposo.
• Integridad de documentos firmados verificada mediante hash SHA-256.
• Archivos clínicos almacenados fuera del directorio público del servidor web.
• Cabeceras de seguridad HTTP en todas las respuestas del Servicio.

Ante un incidente de seguridad que pueda comprometer datos personales, el Responsable notificará a los titulares afectados y a la Superintendencia de Industria y Comercio en los términos exigidos por la legislación vigente.

El Responsable puede actualizar esta Política de Privacidad. Los cambios sustanciales serán comunicados a los titulares por correo electrónico con al menos quince (15) días de antelación a su entrada en vigor. La versión actualizada estará siempre disponible en esta página.