Política unificada de tratamiento de datos personales

Control documental

1. Objetivo

Establecer las reglas para la recolección, obtención, almacenamiento, uso, circulación, transmisión, transferencia, actualización, conservación, anonimización y supresión de datos personales tratados por CAIMED S.A.S. en el desarrollo de sus actividades de prestación y orientación en servicios de salud, investigación clínica y en salud, programas preventivos y digitales incluida la línea YO VITAL y sus programas, relaciones laborales, comerciales, contractuales, administrativas y académicas.

2. Alcance

Esta política aplica a CAIMED S.A.S., sus colaboradores y a las personas autorizadas que intervengan en el tratamiento de datos bajo su responsabilidad. Comprende datos de pacientes, participantes o potenciales participantes en investigación, usuarios y afiliados de programas, contactos de emergencia, colaboradores, aspirantes, proveedores, contratistas, clientes, representantes de aliados y demás titulares cuyos datos sean tratados por CAIMED.

Aplica a información recolectada en medios físicos y digitales, formularios, páginas web, plataformas y aplicaciones, llamadas, correos, mensajería, entrevistas, sedes de CAIMED o aliados, atención clínica, facturación, actividades laborales y procesos de investigación. Los protocolos, consentimientos informados y acuerdos de cada estudio pueden establecer condiciones adicionales; deben leerse conjuntamente con esta política y no se reemplazan por ella.

3. Identificación del responsable

El responsable del tratamiento es Centro de Atención e Investigación Médica S.A.S. – CAIMED S.A.S., NIT 900.187.738-4. Los datos de contacto, dirección física, domicilio y canales de atención deberán verificarse y mantenerse actualizados en los documentos publicados. YO VITAL es una marca/línea de servicios de CAIMED y no se presenta en los documentos fuente como una persona jurídica distinta.

4. Marco normativo

Esta política se interpreta conforme a la normativa colombiana aplicable y sus modificaciones vigentes. Los documentos fuente citan, entre otras, las siguientes disposiciones:

• Constitución Política de Colombia, artículos 15 y 20.
• Ley Estatutaria 1581 de 2012 y su reglamentación, compilada en el Decreto 1074 de 2015, incluidos los contenidos de los Decretos 1377 de 2013 y 886 de 2014.
• Circular Única de la Superintendencia de Industria y Comercio (SIC), Título V, en lo aplicable.
• Ley 23 de 1981, sobre ética médica y secreto profesional, cuando corresponda.
• Resolución 8430 de 1993 del Ministerio de Salud, en lo aplicable a investigación en salud.
• Ley 527 de 1999, respecto de mensajes de datos y aceptación electrónica.
• Ley 1273 de 2009, respecto de la protección de la información y los datos en sistemas informáticos.
• Ley 1480 de 2011 y Ley 2300 de 2023, cuando sean aplicables a relaciones de consumo y comunicaciones comerciales.

La enumeración no sustituye la verificación jurídica de vigencia, modificaciones, aplicabilidad y requisitos específicos para cada actividad o estudio.

5. Definiciones

• Dato personal: Información vinculada o que puede asociarse a una persona natural identificada o identificable.
• Dato sensible: Dato que afecta la intimidad o cuyo uso indebido puede generar discriminación; incluye, entre otros, datos de salud, vida sexual y biométricos.
• Titular: Persona natural a quien se refieren los datos personales.
• Responsable del tratamiento: Persona natural o jurídica que decide sobre la base de datos o los fines y medios del tratamiento; en el marco de esta política, CAIMED S.A.S.
• Encargado del tratamiento: Persona natural o jurídica que trata datos por cuenta del responsable y siguiendo sus instrucciones.
• Autorización: Consentimiento previo, expreso e informado del titular, salvo excepciones previstas legalmente.
• Tratamiento: Operaciones sobre datos personales, como recolección, almacenamiento, uso, circulación, actualización, transmisión o supresión.
• Transmisión: Comunicación de datos a un encargado para que los trate por cuenta del responsable, dentro o fuera de Colombia.
• Transferencia: Envío de datos a otro responsable, dentro o fuera del país, que los tratará para sus propias finalidades.
• Anonimización: Proceso que impide razonablemente identificar al titular de forma irreversible.
• Seudonimización: Sustitución de identificadores directos por un código. Si existe posibilidad de reidentificación, los datos siguen sujetos al régimen de protección de datos.

6. Principios

• Legalidad: el tratamiento se desarrolla conforme a las normas aplicables.
• Finalidad: los datos se utilizan para fines legítimos, específicos e informados.
• Libertad: se obtiene autorización previa, expresa e informada cuando sea exigible.
• Veracidad y calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: el titular puede conocer la existencia y el uso de sus datos.
• Acceso y circulación restringida: solo acceden quienes estén autorizados y lo necesiten para sus funciones.
• Seguridad: se adoptan medidas técnicas, humanas y administrativas razonables para evitar pérdida, adulteración, consulta, uso o acceso no autorizado.
• Confidencialidad: quienes intervienen en el tratamiento deben proteger la información incluso después de finalizar su relación con CAIMED.
• Responsabilidad demostrada: CAIMED debe poder acreditar medidas y procedimientos de cumplimiento.

7. Categorías de datos y fuentes

Según la relación con el titular y el servicio, CAIMED podrá tratar únicamente los datos pertinentes y necesarios para cada finalidad, que pueden incluir:

• Identificación y contacto: nombres, documento, fecha de nacimiento, teléfonos, correo, dirección, municipio, país de residencia y datos de contacto de representantes.
• Datos administrativos, laborales y contractuales: cargo, información laboral o profesional, relación contractual, facturación, pagos, afiliación y datos necesarios para gestionar proveedores, colaboradores y clientes.
• Datos clínicos y de salud: antecedentes, diagnósticos, medicamentos, alergias cuando se registren, signos vitales, medidas antropométricas, resultados de laboratorio, evaluaciones, cuestionarios, notas clínicas, alertas y seguimiento.
• Datos de investigación: información fuente y variables definidas en el protocolo, resultados, eventos y datos requeridos para el seguimiento, análisis, auditoría y trazabilidad del estudio.
• Datos de bienestar y programas digitales: respuestas a cuestionarios, puntuaciones, indicadores, módulos, uso de la plataforma, agenda, comunicaciones y preferencias.
• Datos de terceros aportados por el titular, como contactos de emergencia o representantes; el titular que los suministra debe contar con fundamento para hacerlo e informar a la persona cuando corresponda.
• Datos técnicos y de seguridad: registros de acceso, identificadores de sesión, navegador, actividad en plataforma, registros de auditoría y datos técnicos necesarios para seguridad.

Las fuentes pueden incluir directamente al titular, profesionales de salud, registros derivados de la atención, formularios y plataformas de CAIMED (YO VITAL), aliados y fuentes autorizadas por ley. La fuente concreta debe informarse cuando corresponda. La lista no significa que todos los datos se recolecten en todos los procesos.

8. Datos sensibles, salud y menores de edad

Los datos de salud y los datos relativos a la vida sexual son sensibles. Su tratamiento se limita a finalidades legítimas, con acceso restringido y las salvaguardas legalmente exigibles. Cuando la autorización sea la base del tratamiento, será explícita e informada y se indicará al titular que responder preguntas sobre datos sensibles es facultativo, salvo que el dato sea estrictamente necesario para el servicio solicitado y exista fundamento legal aplicable.

La atención clínica, la investigación y los programas preventivos deben observar la reserva de la información, el secreto profesional y las reglas especiales que les resulten aplicables. Esta política general no sustituye el consentimiento informado de atención ni el consentimiento informado específico de participación en investigación.

El tratamiento de datos de niños, niñas y adolescentes requiere observar su interés superior y sus derechos fundamentales, las reglas legales especiales y la intervención de su representante cuando corresponda. No se entenderá que una autorización genérica habilita cualquier uso de datos de menores. La plataforma de YO VITAL indica que el programa está dirigido a mayores de 18 años; cualquier excepción deberá revisarse y documentarse antes de tratar datos de menores.

9. Finalidades del tratamiento

• Gestionar la relación asistencial: registro, identificación, prestación y coordinación de servicios de salud, historia clínica, seguimiento, orientación, continuidad de la atención y contacto ante alertas relacionadas con la seguridad del titular.
• Gestionar investigación clínica y en salud: evaluar elegibilidad cuando esté permitido, administrar estudios, documentar actividades, verificar datos, hacer seguimiento, gestionar seguridad y calidad, realizar auditorías y cumplir obligaciones legales, éticas, contractuales y regulatorias aplicables.
• Administrar programas preventivos y digitales: crear cuentas, realizar evaluaciones y cuestionarios, calcular indicadores o puntuaciones, generar reportes, orientar rutas de prevención, agendar entrevistas, dar seguimiento y prestar soporte.
• Realizar actividades administrativas y de soporte: facturación, contabilidad, gestión de pagos, contratos, auditoría, atención al usuario, gestión de PQRS, cumplimiento de obligaciones legales y defensa de derechos.
• Gestionar relaciones laborales, comerciales, contractuales y académicas, de acuerdo con el vínculo y los datos estrictamente necesarios.
• Proteger seguridad, disponibilidad e integridad de los sistemas; prevenir fraude, accesos no autorizados y errores; mantener registros de auditoría y mejorar la calidad del servicio.
• Elaborar estadísticas, análisis epidemiológicos e informes científicos con datos anonimizados o agregados. El uso de datos identificables o seudonimizados para un estudio debe contar con la base jurídica, autorización y revisión ética que correspondan.
• Contactar al titular para comunicaciones necesarias para el servicio o el estudio. Las comunicaciones comerciales, publicitarias y el uso de tecnologías no esenciales de publicidad requieren autorización separada cuando sea legalmente exigible.

CAIMED no venderá datos personales que identifiquen a los titulares. No utilizará datos de salud para decisiones de empleo, aseguramiento o crédito ni los entregará a terceros para esos fines, según el compromiso expresado en la política YO VITAL. Cualquier uso diferente deberá contar con fundamento jurídico válido, transparencia y autorización cuando corresponda.

10. Tratamiento para investigación clínica, epidemiología y estadística

CAIMED podrá tratar datos en el contexto de investigaciones clínicas y en salud conforme a la normativa aplicable, al protocolo, a las autorizaciones obtenidas y a las aprobaciones o revisiones éticas requeridas. La política de protección de datos no equivale a consentimiento informado para participar en un estudio y no reemplaza el protocolo ni la documentación aprobada por el comité de ética.

10.1 Niveles de uso de información

Estadística agregada y anonimizada: resultados de grupo, indicadores, prevalencias, promedios y tendencias que no permitan razonablemente identificar a una persona.

Bases anonimizadas o seudonimizadas para estudios: cuando los datos mantengan un código o exista posibilidad de reidentificación, seguirán tratándose como datos personales. Su uso requiere evaluar la base jurídica, autorización y controles aplicables al estudio.

Invitación a estudios: el contacto para invitar a una persona a un estudio futuro debe realizarse únicamente cuando exista autorización o fundamento jurídico aplicable. La invitación no obliga a participar; cada estudio requiere su propio proceso de consentimiento informado.

10.2 Salvaguardas para investigación

Aplicar minimización de datos y limitar el conjunto de variables a las necesarias para los objetivos aprobados.

Retirar identificadores directos y aplicar técnicas adicionales para reducir el riesgo de identificación indirecta antes de compartir bases, cuando sea posible y adecuado.

Mantener separada y con acceso restringido cualquier llave de reidentificación.

Evaluar el riesgo de reidentificación, especialmente en grupos pequeños, variables raras, texto libre y combinaciones de fechas, ubicación o diagnósticos.

Formalizar acuerdos con investigadores, instituciones y proveedores que regulen finalidad, confidencialidad, seguridad, prohibición de reidentificación, acceso, conservación, devolución o destrucción y restricciones de divulgación.

Publicar o entregar externamente resultados agregados o anonimizados, salvo que exista un fundamento jurídico específico para otro tratamiento.

Documentar la aprobación o evaluación ética que corresponda conforme al tipo de estudio y a las normas aplicables.

En la plataforma de YO VITAL se propone ocultar cifras de grupos de menos de cinco personas. Este umbral es una regla interna propuesta para esa línea, no una garantía jurídica universal ni prueba suficiente por sí sola de anonimización. Su aplicación debe evaluarse según el riesgo real de reidentificación y extenderse a otras líneas solo cuando CAIMED lo apruebe formalmente.

11. Autorización y prueba

CAIMED solicitará autorización previa, expresa e informada por medios físicos, electrónicos, sonoros u otros mecanismos idóneos, cuando la ley la exija. La información entregada al titular debe indicar quién es el responsable, las finalidades, los derechos, el carácter facultativo de las respuestas sobre datos sensibles y los canales para ejercer derechos. CAIMED conservará prueba de la autorización y de la versión del texto aceptado.

La autorización puede requerir casillas separadas para finalidades opcionales, por ejemplo comunicaciones comerciales, publicidad digital, invitación a investigaciones futuras, uso de datos seudonimizados en estudios o tratamientos específicos de datos sensibles. No se presumirá la autorización por silencio ni se condicionará un servicio a autorizaciones que no sean necesarias para prestarlo.

Las excepciones legales a la autorización se aplicarán únicamente cuando se cumplan sus requisitos. La existencia de una excepción no elimina los deberes de seguridad, finalidad, confidencialidad y respeto de los derechos del titular.

12. Compartición, encargados y aliados

CAIMED podrá permitir acceso a personal autorizado que necesite los datos para cumplir sus funciones. Los proveedores tecnológicos, de alojamiento, mensajería, soporte, analítica u otros que traten datos por cuenta de CAIMED actuarán como encargados y deberán estar sujetos a instrucciones y obligaciones contractuales de confidencialidad, seguridad, uso limitado y devolución o supresión cuando corresponda.

Los aliados podrán recibir o registrar datos cuando exista una relación contractual y una finalidad informada y jurídicamente válida. Debe limitarse el acceso a los datos necesarios para el convenio. Si el aliado utiliza los datos para finalidades propias y decide sobre ellas, actuará como responsable independiente y se deberá informar al titular y obtener la autorización que corresponda.

Los datos también podrán ser comunicados a autoridades competentes cuando exista obligación legal, requerimiento válido o necesidad autorizada por la ley. En todos los casos, se limitará la comunicación a la información pertinente para la finalidad o requerimiento.

13. Transmisión y transferencia internacional

Antes de realizar operaciones internacionales, CAIMED debe identificar proveedor, país, tipo de operación, categorías de datos, finalidad, rol del receptor y mecanismo jurídico aplicable. La transmisión a un encargado y la transferencia a otro responsable son figuras distintas y deben analizarse por separado conforme a la Ley 1581 de 2012 y las instrucciones vigentes de la SIC.

YO VITAL informa que su plataforma utiliza proveedores con infraestructura principalmente en São Paulo, Brasil, y para algunos servicios en Estados Unidos.

Cuando se utilicen proveedores fuera de Colombia, CAIMED documentará las salvaguardas, contratos y autorizaciones o excepciones legales aplicables; informará al titular cuando corresponda y conservará evidencia del análisis. La ubicación de los servidores no debe confundirse automáticamente con una transferencia a otro responsable: puede tratarse de transmisión a un encargado.

14. Plataformas, perfilamiento y decisiones automatizadas

La documentación de YO VITAL describe cálculos automáticos de puntuaciones, semáforos, alertas, rutas de módulos y priorización de contactos. Cuando se utilicen estos procesos, CAIMED informará sus finalidades y los datos relevantes de manera comprensible. Las alertas relacionadas con salud deben contar con supervisión clínica conforme al diseño del servicio y no deben presentarse como diagnóstico definitivo si no lo son.

El titular podrá solicitar información sobre el uso de sus datos y, cuando corresponda, pedir explicación o revisión humana de resultados. Si se incorporan nuevas tecnologías, incluida inteligencia artificial que trate datos personales, CAIMED deberá evaluar previamente la finalidad, necesidad, seguridad, proveedores, transferencias, riesgos y avisos o autorizaciones requeridos. No se presume que todos los sistemas de CAIMED usan inteligencia artificial.

15. Cookies, analítica y publicidad digital

En los sitios y plataformas que utilicen cookies o tecnologías similares, CAIMED informará cuáles son necesarias

16. Seguridad y confidencialidad

CAIMED adoptará medidas técnicas, humanas y administrativas razonables y proporcionales al riesgo y a la sensibilidad de los datos. Entre las medidas descritas en la plataforma YO VITAL se encuentran cifrado en tránsito, mecanismos de cifrado de contraseñas, controles de acceso, registros de auditoría, protección contra intentos de acceso abusivo, copias de respaldo y compromisos de confidencialidad del personal. Su vigencia y funcionamiento deben comprobarse periódicamente.

El acceso se concederá por necesidad funcional y se revisará cuando cambien las responsabilidades o termine la relación con CAIMED. Los datos no deben enviarse por canales no autorizados ni incorporarse a herramientas externas sin evaluación y aprobación. Los incidentes de seguridad se documentarán, evaluarán, contendrán y gestionarán de acuerdo con las obligaciones legales y los procedimientos internos vigentes, incluidos los reportes a autoridades y titulares que resulten exigibles.

17. Conservación, archivo y supresión

Los datos se conservarán durante el tiempo necesario para cumplir las finalidades informadas y los plazos legales, clínicos, contractuales, contables, regulatorios y de investigación que resulten aplicables. No se establece en esta política un plazo único para todas las bases: cada proceso debe contar con una tabla o criterio de retención documentado, incluida la historia clínica y los documentos esenciales de investigación cuando correspondan.

Cuando los datos dejen de ser necesarios y no exista deber de conservación, se suprimirán o anonimizarán de forma segura. Las copias de respaldo podrán conservar datos durante el ciclo de rotación definido, sin que ello habilite su uso ordinario. Una solicitud de supresión no implica eliminar documentos que deban conservarse por obligación legal, contractual o para atender responsabilidades; CAIMED deberá explicar la limitación al titular.

18. Derechos de los titulares

• Conocer, actualizar y rectificar los datos personales.
• Solicitar prueba de la autorización, cuando proceda.
• Ser informado, previa solicitud, sobre el uso dado a sus datos.
• Presentar consultas y reclamos ante CAIMED y, una vez agotado el trámite correspondiente, quejas ante la Superintendencia de Industria y Comercio (SIC).
• Revocar la autorización y solicitar supresión cuando sea legalmente procedente y no exista deber de conservación u otra base jurídica que lo impida.
• Acceder gratuitamente a sus datos en los términos previstos por la ley.

19. Procedimiento para consultas y reclamos

Canales indicados en los documentos fuente: correo gerencia@caimed.com; correo medicinapreventiva@caimed.com; correo atencionalusuario@caimed.com; y canales físicos, telefónicos y PQRS publicados por CAIMED.

La solicitud deberá permitir identificar al titular o representante, describir la petición y señalar un canal de respuesta. CAIMED podrá verificar identidad y representación de forma proporcional y segura.

19.1 Consultas

Las consultas serán atendidas dentro de diez (10) días hábiles contados desde su recepción. Si no es posible responder en ese plazo, se informará al interesado la razón y la nueva fecha, que no podrá superar cinco (5) días hábiles adicionales.

19.2 Reclamos

Los reclamos por corrección, actualización, supresión, revocatoria o presunto incumplimiento se tramitarán dentro de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no es posible resolver en ese plazo, se informará el motivo y la nueva fecha, que no podrá superar ocho (8) días hábiles adicionales. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes para que lo subsane; si transcurren dos (2) meses desde el requerimiento sin respuesta, se entenderá desistido en los términos legales. Se aplicará la marca de “reclamo en trámite” en los plazos previstos por la normativa.

El titular debe agotar primero el trámite de consulta o reclamo ante CAIMED antes de presentar una queja ante la SIC, según las reglas aplicables.

20. Deberes de CAIMED

• Garantizar al titular el ejercicio efectivo de sus derechos.
• Solicitar y conservar la autorización cuando sea exigible e informar las finalidades.
• Conservar la información bajo condiciones de seguridad y confidencialidad.
• Actualizar, rectificar o suprimir datos cuando corresponda.
• Tramitar consultas y reclamos dentro de los términos legales.
• Exigir a encargados y terceros el respeto de las condiciones de tratamiento y seguridad.
• Gestionar los incidentes de seguridad y cumplir los reportes que resulten exigibles.
• Evaluar y documentar las bases de datos y las obligaciones de inscripción o actualización en el Registro Nacional de Bases de Datos (RNBD), cuando aplique.
• Capacitar al personal y mantener procedimientos, controles y evidencias de cumplimiento.

21. Cambios, publicación y vigencia

CAIMED podrá actualizar esta política. Cuando los cambios sean sustanciales, informará a los titulares por los canales apropiados y solicitará una nueva autorización cuando la ley lo exija. La versión vigente estará disponible en los canales institucionales. Esta política entra en vigor desde su aprobación formal y reemplaza o integra las políticas previas en la medida que se defina en el control documental; hasta entonces, no debe considerarse aprobada ni publicada.

22. Documentos relacionados

• Formatos de autorización de tratamiento de datos personales de CAIMED, incluidos los formatos identificados en la política corporativa como FR-PCG-329 y FR-PCG-227, sujetos a verificación de vigencia y código.
• Consentimientos informados y documentos aprobados de cada estudio clínico o de investigación.
• Procedimientos de gestión de historia clínica, seguridad de la información, atención de consultas y reclamos, gestión de incidentes y conservación documental.
• Acuerdos de transmisión de datos, contratos con encargados, convenios con aliados y acuerdos de uso de datos para investigación.