Política de tratamiento de datos personales
1. Introducción
NEBULA MEDICAL S.A.S. (NIT 901962749-3), en adelante "LA COMPAÑÍA", es una sociedad por acciones simplificada constituida bajo las leyes de la República de Colombia, dedicada al desarrollo y prestación de servicios de software basado en inteligencia artificial para la documentación clínica en el sector salud, con el propósito de estructurar y agilizar la elaboración de registros clínicos conforme a la normativa vigente. En el desarrollo de su objeto social, LA COMPAÑÍA recolecta y administra datos personales de sus diferentes grupos de interés. Con el fin de dar cumplimiento a las disposiciones constitucionales y legales consagradas en el artículo 15 de la Constitución Política, la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas que regulen la protección de datos personales, LA COMPAÑÍA ha adoptado la presente Política. LA COMPAÑÍA tiene los siguientes datos de contacto: Razón social: Nebula Medical S.A.S. NIT: 901962749-3 Dirección y domicilio: Carrera 18 # 93-80 Teléfono: 315 632 0743 Página web: https://nebula.med Correo electrónico de contacto: privacy@nebula.med Correo electrónico del Oficial de Protección de Datos: privacy@nebula.med
2. Objeto
La presente Política tiene por objeto desarrollar el derecho constitucional al Hábeas Data que tienen todas las personas sobre las cuales LA COMPAÑÍA realice Tratamiento de información de carácter personal. El alcance del Tratamiento está delimitado por las finalidades que han sido informadas y autorizadas por el Titular. Adicionalmente, se describen los lineamientos definidos para proteger los Datos Personales de los Titulares con los cuales se relaciona LA COMPAÑÍA, las finalidades de tratamiento de la información, el responsable de atender las consultas, peticiones, quejas y reclamos, y los procedimientos que se deben tener en cuenta para que los Titulares puedan ejercer su derecho a conocer, actualizar, rectificar y suprimir su información, así como los canales a través de los cuales pueden ejercerlos.
3. Aplicación y Alcance
La presente Política se aplica a las bases de datos y archivos físicos y digitales que contengan datos personales y que estén bajo la administración de LA COMPAÑÍA, o que puedan ser conocidas por esta en virtud de relaciones comerciales, alianzas, convenios o acuerdos de interoperabilidad tecnológica con instituciones prestadoras de servicios de salud (IPS), entidades promotoras de salud (EPS), profesionales de la salud independientes u otros actores del sistema de salud. En los casos en que LA COMPAÑÍA administre directamente las bases de datos (ej. datos de cuenta de usuarios, empleados, proveedores), actuará como Responsable del Tratamiento. Cuando LA COMPAÑÍA reciba o procese datos personales de salud de pacientes a través del uso de la plataforma por parte del médico, actuará única y exclusivamente como Encargada del Tratamiento, procesando la información por cuenta y mandato del profesional o institución de salud (Responsable del Tratamiento). La Política aplica cuando el tratamiento de los datos se dé en territorio colombiano. En aquellos casos en que el tratamiento suponga la participación de un encargado no establecido en Colombia, se buscará que sus estándares y políticas permitan a LA COMPAÑÍA cumplir con los deberes fundamentales que tiene bajo el marco legal colombiano.
La presente Política está dirigida a los usuarios de la plataforma (profesionales de la salud, instituciones de salud), pacientes cuyos datos puedan ser procesados a través de los servicios de LA COMPAÑÍA, candidatos, empleados, exempleados, proveedores, aliados y, en general, los grupos de interés sobre los cuales LA COMPAÑÍA realice tratamiento de información personal. Todos los colaboradores de LA COMPAÑÍA deben cumplir esta Política. LA COMPAÑÍA adelantará las campañas pedagógicas y de capacitación necesarias para que las áreas con mayor nivel de interacción con la administración de datos personales conozcan la ley y las disposiciones internas adoptadas para asegurar su cumplimiento.
4. Definiciones
Autorización: Consentimiento previo, expreso e informado que da el Titular para llevar a cabo el tratamiento de sus datos personales.
Dato personal: Cualquier información que pueda asociar o identificar a una persona natural determinada (como su nombre o número de identificación) o determinable (como sus rasgos físicos).
Dato sensible: Aquellos datos que afectan la intimidad del Titular o pueden dar lugar a que sea discriminado. Incluyen los datos relativos a la salud, vida sexual y datos biométricos. En el contexto de LA COMPAÑÍA, los datos de salud procesados corresponden única y exclusivamente a los pacientes; LA COMPAÑÍA no recolecta ni trata datos de salud de los médicos. Los profesionales de la salud únicamente podrían llegar a aportar datos sensibles de tipo biométrico (ej. para autenticación en la plataforma).
Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realice el tratamiento de datos personales por cuenta del Responsable del Tratamiento. LA COMPAÑÍA actúa como Encargada cuando procesa datos clínicos de pacientes por cuenta del médico o institución de salud.
Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que decide sobre la finalidad de las bases de datos y/o el tratamiento de los mismos. El médico o institución de salud actúa como Responsable frente a los datos clínicos de sus pacientes.
Titular: Persona natural cuyos datos personales son objeto de tratamiento. En el contexto de LA COMPAÑÍA, pueden ser pacientes (respecto de los cuales LA COMPAÑÍA es Encargada de sus datos de salud), profesionales de la salud, empleados y proveedores (respecto de los cuales LA COMPAÑÍA es Responsable únicamente de sus datos de cuenta, contacto, comerciales o biometría de acceso).
Tratamiento: Cualquier conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión. En el contexto de LA COMPAÑÍA, incluye el procesamiento mediante algoritmos de inteligencia artificial.
PQR: Manifestación de inconformidad o solicitud expresada por un Titular respecto del tratamiento de sus datos personales.
Datos inferidos: Datos obtenidos a partir del procesamiento analítico de datos personales, las interacciones de los Titulares con los servicios de LA COMPAÑÍA, hábitos, preferencias, tendencias y comportamientos como usuario.
Documentación clínica asistida: Funcionalidad de software que estructura, organiza y formatea la información clínica suministrada por el profesional de la salud en un registro conforme a la normativa vigente, sin capacidad de diagnóstico, prescripción o decisión clínica autónoma.
5. Principios
Es un compromiso de LA COMPAÑÍA entender y desarrollar de manera armónica los principios establecidos en la Ley 1581 de 2012 y sus normas reglamentarias: legalidad, finalidad, libertad, veracidad, transparencia, acceso restringido, seguridad, confidencialidad, y proporcionalidad.
6. Tratamiento A. Tratamiento de datos sensibles (Datos clínicos de pacientes)
En el desarrollo de su actividad de proveer software de inteligencia artificial para la documentación clínica, LA COMPAÑÍA procesa datos personales de carácter sensible relativos a la salud de los pacientes. LA COMPAÑÍA aclara expresamente que no recolecta, solicita ni procesa datos relativos a la salud de los profesionales médicos o usuarios de la cuenta.
En relación con estos datos clínicos de pacientes, LA COMPAÑÍA actúa de manera exclusiva en calidad de Encargado del Tratamiento. Corresponde única y exclusivamente al profesional de la salud o institución médica (actuando como Responsable del Tratamiento) obtener la autorización o consentimiento informado previo, expreso y documentado del paciente (Titular) para el ingreso y procesamiento de sus datos sensibles de salud en la plataforma.
LA COMPAÑÍA procesará dichos datos ciñéndose estrictamente a las instrucciones del Responsable y a la finalidad de estructurar la documentación clínica asistida. En ningún caso LA COMPAÑÍA utilizará los datos sensibles de los pacientes para fines de comercialización, perfilamiento no autorizado o propósitos ajenos a la prestación del servicio contratado por el médico.
Los datos biométricos que eventualmente se soliciten al profesional de la salud (como autenticación en la plataforma) tienen por finalidad garantizar la identidad del usuario y prevenir fraude.
B. Tratamiento de datos mediante inteligencia artificial
LA COMPAÑÍA utiliza algoritmos de inteligencia artificial y técnicas de procesamiento de datos para estructurar la documentación clínica y reducir la carga administrativa del profesional de la salud. Este tratamiento incluye:
Procesamiento de datos clínicos (audio y texto) para la estructuración de la documentación clínica según las indicaciones del profesional de la salud.
Análisis estadístico y de uso para el mantenimiento y mejora técnica de la plataforma.
LA COMPAÑÍA se compromete a que el tratamiento de datos mediante IA cumpla con los estándares de seguridad de la información aplicables al sector salud en Colombia.
C. Naturaleza del servicio y responsabilidad médica
LA COMPAÑÍA opera una herramienta de documentación clínica asistida. El sistema estructura y organiza la información clínica suministrada por el profesional de la salud, sin capacidad de diagnóstico, prescripción o decisión clínica autónoma. Todo contenido generado por la plataforma tiene carácter orientativo y debe ser verificado, complementado y validado por el profesional de la salud tratante, quien conserva la plena autonomía y responsabilidad sobre las decisiones clínicas, conforme a la Ley 23 de 1981 (Código de Ética Médica), la Resolución 1995 de 1999 y la jurisprudencia constitucional aplicable. En ningún caso la salida de la plataforma reemplaza el juicio clínico del médico tratante ni constituye un acto médico. La responsabilidad sobre el contenido final de la historia clínica recae exclusivamente en el profesional de la salud que la suscribe, en los términos del artículo 34 de la Ley 23 de 1981 y de la Sentencia T-323 de 2024 de la Corte Constitucional.
7. Finalidades del tratamiento de los datos A. Usuarios de la plataforma (profesionales de la salud e instituciones como Titulares de datos de cuenta y registro)
Utilizar los datos de registro (nombre, email, pago) para la debida prestación del servicio y facturación.
Desarrollar las actividades propias de los contratos celebrados, incluyendo el envío de información relevante para su ejecución.
Medir el nivel de satisfacción respecto de los productos y/o servicios contratados.
Enviar información sobre innovaciones en los productos y servicios a través de los medios autorizados.
B. Pacientes (datos tratados a través de la plataforma como Encargados)
Cuando LA COMPAÑÍA procese datos de pacientes ingresados por el médico, la finalidad exclusiva será:
Procesar la información clínica (audio y texto) en el contexto de la prestación del servicio de software contratado por el médico o institución.
Estructurar y generar el borrador de la documentación clínica asistida para optimizar el tiempo médico, quedando sujeto a la revisión final del médico.
Cumplir con las obligaciones de seguridad de la información derivadas de su rol como Encargado del Tratamiento.
C. Candidatos, empleados, exempleados y proveedores
Desarrollar relaciones laborales, comerciales o contractuales, verificar referencias, pago de nómina u honorarios, afiliaciones al sistema de seguridad social, y control de acceso a instalaciones mediante videovigilancia, según corresponda.
8. Período de vigencia y duración del tratamiento
Los datos personales estarán sujetos a tratamiento por LA COMPAÑÍA durante el término en el que el Titular tenga vigente el producto, servicio, contrato o relación, más el término que establezca la ley. Adicionalmente, los datos se conservarán de acuerdo con los principios de necesidad y razonabilidad. Respecto de los datos clínicos de pacientes (donde Nebula es Encargado), estos serán mantenidos de acuerdo con los periodos de retención configurados en la cuenta del médico o institución (Responsable), quienes son los encargados de velar por el cumplimiento de los tiempos de retención de la historia clínica (Resolución 1995 de 1999).
9. Derechos del Titular
LA COMPAÑÍA garantiza y respeta los derechos que asisten a los Titulares (médicos, empleados, proveedores) frente a los cuales actúa como Responsable, los cuales incluyen:
Conocer, actualizar y rectificar sus datos personales.
Solicitar prueba de la autorización otorgada a LA COMPAÑÍA.
Ser informado respecto del uso dado a sus datos.
Revocar la autorización y/o solicitar la supresión del dato (cuando proceda legalmente).
Presentar quejas ante la SIC.
Aclaración: Los pacientes que deseen ejercer sus derechos de Habeas Data respecto de su información clínica procesada en Nebula deberán dirigir su petición directamente a su médico tratante o IPS (Responsable del Tratamiento). LA COMPAÑÍA apoyará técnica y operativamente al Responsable para que pueda dar respuesta a estas peticiones, pero no atenderá directamente las PQR de los pacientes.
10. Persona o área responsable de la atención de consultas, peticiones, quejas y reclamos
LA COMPAÑÍA ha designado un Oficial de Protección de Datos, con quien se pueden contactar al: Correo electrónico: privacy@nebula.med Teléfono: 315 632 0743
11. Procedimientos para garantizar el ejercicio de los derechos de los Titulares
Los Titulares frente a los cuales LA COMPAÑÍA es Responsable (usuarios, empleados) pueden consultar su información o presentar reclamos (actualización, supresión) enviando comunicación al correo privacy@nebula.med acompañando su documento de identidad. La consulta será atendida en un término máximo de 10 días hábiles. Los reclamos para corrección o supresión se atenderán en un término máximo de 15 días hábiles. El Titular deberá agotar el trámite previo de consulta o reclamo ante LA COMPAÑÍA antes de dirigirse a la Superintendencia de Industria y Comercio.
12. Canales para ejercer los derechos del Titular
Correo electrónico: privacy@nebula.med Teléfono: 315 632 0743
13. Entrada en vigencia de la política
Esta Política de Tratamiento de Datos Personales fue adoptada por NEBULA MEDICAL S.A.S. en Marzo y puede ser objeto de actualización conforme a la normatividad legal vigente aplicable. La presente versión fue aprobada en el mes de Marzo.