Acuerdo de Encargo del Tratamiento de Datos Personales

1. Objeto y para qué sirve este documento

La clínica decide qué datos de sus pacientes recoge, para qué y por cuánto tiempo: es el Responsable del Tratamiento. Dental Polaris pone la plataforma donde esos datos se registran, se guardan y se consultan, y los trata únicamente por cuenta de la clínica y siguiendo sus instrucciones: es el Encargado del Tratamiento. Este Acuerdo escribe esa relación.

Sirve para tres cosas concretas, y conviene tenerlas presentes porque explican por qué varias cláusulas están redactadas como están:

• Es la base jurídica de la operación. La transmisión internacional de datos entre un responsable y su encargado no necesita ser informada al Titular ni contar con su consentimiento cuando existe un contrato en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Sin ese contrato, la dispensa desaparece.
• Es prueba de cumplimiento del Responsable. El artículo 17 literal i) de la Ley 1581 de 2012 obliga a la clínica a exigir al Encargado, en todo momento, el respeto de las condiciones de seguridad y privacidad. Este documento y los entregables que prevé son la forma de acreditarlo.
• Es insumo del Registro Nacional de Bases de Datos. La clínica obligada a inscribirse debe declarar, respecto de cada transmisión internacional, quién es el encargado, en qué país está y si existe contrato en estos términos. La cláusula 19 fija el entregable con esa información.

2. Definiciones

Los términos definidos aquí se usan con este significado en todo el documento. Cuando aparecen en mayúscula inicial es porque remiten a esta cláusula.

el Responsable

La clínica, la institución prestadora de servicios de salud o el profesional independiente que contrata la plataforma y decide sobre la base de datos de sus pacientes. Es quien conforma y custodia la historia clínica y quien obtiene la autorización del Titular.

el Encargado

[[RAZÓN SOCIAL]], NIT [[NIT]], con domicilio en [[CIUDAD]], Colombia, que opera la plataforma Dental Polaris y trata los datos por cuenta del Responsable.

Titular

La persona natural cuyos datos personales se tratan: principalmente el paciente, y también su representante legal o acudiente cuando firma por él, y las personas que integran el equipo de la clínica.

Tratamiento

Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión (artículo 3 de la Ley 1581 de 2012).

Transmisión

La comunicación de datos personales, dentro o fuera de Colombia, cuando tiene por objeto que el Encargado realice el Tratamiento por cuenta del Responsable. Es la figura que describe esta relación.

Transferencia

El envío de datos a un receptor que a su vez es Responsable del Tratamiento, es decir, que decide por sí mismo medios y finalidades. No es lo que ocurre aquí, salvo en el caso declarado en la cláusula 13.

Subencargado

El tercero del que el Encargado se vale para prestar el servicio y que, por esa vía, trata datos del Responsable. Los vigentes están nominados en la cláusula 13.

Datos sensibles

Los que afectan la intimidad del Titular o cuyo uso indebido puede generar discriminación, entre ellos los relativos a la salud y los datos biométricos (artículo 5 de la Ley 1581 de 2012). Toda la historia clínica y la firma manuscrita del paciente lo son.

Historia clínica

El registro de las condiciones de salud del paciente y de los actos asistenciales que se le prestan. Es un documento privado sometido a reserva y está sujeta a un término legal de retención que impide suprimirla mientras corra.

Política de Tratamiento del Responsable

La política de tratamiento de la información que la clínica adopta y publica conforme al artículo 13 del Decreto 1377 de 2013. El Encargado se obliga a darle aplicación en los términos de la cláusula 7.

Incidente de seguridad

La violación de los códigos de seguridad, o la pérdida, el robo o el acceso no autorizado a información de una base de datos administrada por el Responsable o por su Encargado. No exige daño consumado ni extracción probada de información.

la SIC

La Superintendencia de Industria y Comercio, autoridad colombiana de protección de datos personales.

3. Roles de las partes y naturaleza de la operación

Las partes declaran expresamente, y así lo hacen constar para todos los efectos legales:

1. El Responsable del Tratamiento de los datos personales de los pacientes es la clínica. Es quien decide las finalidades y los medios del Tratamiento, quien obtiene y conserva la autorización del Titular, quien conforma y custodia la historia clínica y quien atiende, en primer lugar, las consultas y los reclamos de sus pacientes.
2. El Encargado del Tratamiento es Dental Polaris. Trata los datos por cuenta del Responsable, no determina por sí mismo ninguna finalidad y no adquiere sobre ellos derecho alguno distinto de los que este Acuerdo le concede para prestar el servicio.
3. La comunicación de datos del Responsable al Encargado, y la que el Encargado realiza hacia sus Subencargados para prestar el servicio, constituye una TRANSMISIÓN de datos personales en los términos del artículo 3 y del artículo 2.2.2.25.5.1 numeral 2 del Decreto 1074 de 2015, y no una transferencia. La única excepción declarada es la de Mercado Pago respecto de los datos de la suscripción, descrita en la cláusula 13.
4. En consecuencia, y por existir este contrato, la transmisión internacional no requiere ser informada al Titular ni contar con su consentimiento. Ello no releva al Responsable de su deber de transparencia: la cláusula 14 explica qué debe declarar de todos modos en su Política de Tratamiento.

Esta declaración no es una formalidad: es lo que activa la dispensa del artículo 2.2.2.25.5.1 numeral 2. Si este Acuerdo no existiera o no contuviera los ocho requisitos de la cláusula 4, el alojamiento de la historia clínica fuera del país quedaría sin base habilitante. Consérvelo en su expediente de cumplimiento.

4. Contenido obligatorio del contrato de transmisión (los ocho requisitos)

El artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 (antes artículo 25 del Decreto 1377 de 2013) exige que el contrato entre el Responsable y el Encargado señale tres elementos, contenga dos compromisos e incluya tres obligaciones expresas en cabeza del Encargado. Se transcriben con las palabras de la norma y se indica dónde se desarrolla cada uno:

1. Los ALCANCES DEL TRATAMIENTO: se señalan en la cláusula 5.
2. Las ACTIVIDADES QUE EL ENCARGADO REALIZARÁ POR CUENTA DEL RESPONSABLE para el tratamiento de los datos personales: se señalan en la cláusula 6.
3. Las OBLIGACIONES DEL ENCARGADO PARA CON EL TITULAR Y EL RESPONSABLE: se señalan en las cláusulas 8 a 12 y 17 a 22.
4. El Encargado SE COMPROMETE A DAR APLICACIÓN A LAS OBLIGACIONES DEL RESPONSABLE BAJO LA POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN FIJADA POR ESTE: se desarrolla en la cláusula 7.
5. El Encargado se compromete a REALIZAR EL TRATAMIENTO DE DATOS DE ACUERDO CON LA FINALIDAD QUE LOS TITULARES HAYAN AUTORIZADO Y CON LAS LEYES APLICABLES: se desarrolla en las cláusulas 7 y 18.
6. DAR TRATAMIENTO, A NOMBRE DEL RESPONSABLE, A LOS DATOS PERSONALES CONFORME A LOS PRINCIPIOS QUE LOS TUTELAN. El Encargado asume esta obligación respecto de los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad del artículo 4 de la Ley 1581 de 2012.
7. SALVAGUARDAR LA SEGURIDAD DE LAS BASES DE DATOS EN LOS QUE SE CONTENGAN DATOS PERSONALES: se desarrolla en la cláusula 11.
8. GUARDAR CONFIDENCIALIDAD RESPECTO DEL TRATAMIENTO DE LOS DATOS PERSONALES: se desarrolla en la cláusula 12.

Los ocho se entienden asumidos por el Encargado con el alcance literal de la norma, con independencia de cómo se desarrollen en el resto del documento. Ninguna cláusula de este Acuerdo puede interpretarse en un sentido que los reduzca.

5. Alcances del Tratamiento: qué datos, de quién y por cuánto tiempo

El Encargado trata las siguientes categorías de datos personales por cuenta del Responsable:

Titulares afectados: los pacientes del Responsable, incluidos los niños, niñas y adolescentes cuyos datos se tratan a través de su representante legal; los acudientes y demás personas que firman por el paciente; y las personas que integran el equipo del Responsable y usan la plataforma.

• Finalidad: únicamente la prestación del servicio contratado y las actividades de la cláusula 6, por cuenta del Responsable. El Encargado no determina finalidades propias (cláusula 18).
• Duración: mientras esté vigente la relación contractual, y después solo durante lo que dure el procedimiento de terminación de la cláusula 22 y con el alcance limitado que allí se define.
• El Encargado no recibe ni procesa los datos de la tarjeta ni de los medios de pago de los pacientes: los pacientes no pagan a través de la plataforma. Lo que se registra es si el abono se recibió, no un pago en línea.
• El Encargado puede tratar los datos, además, para cumplir sus propios deberes legales como Encargado —en particular el reporte de incidentes a la SIC y la atención de órdenes de autoridad competente—, informando de ello al Responsable en los términos de las cláusulas 15 y 17.

6. Actividades que el Encargado realiza por cuenta del Responsable

Cualquier actividad distinta de las anteriores que implique tratar datos del Responsable requiere su instrucción previa. El Encargado no realizará por iniciativa propia ninguna operación que no sea necesaria para prestar el servicio contratado.

7. Instrucciones del Responsable y aplicación de su Política de Tratamiento

El Encargado trata los datos únicamente conforme a las instrucciones del Responsable, impartidas a través del uso de la plataforma o por escrito al canal de la cláusula 21.

1. El Responsable entregará al Encargado su Política de Tratamiento de la información y le comunicará cada actualización. El Encargado dará aplicación a las obligaciones que dicha Política ponga a su cargo dentro de los diez (10) días hábiles siguientes a su recibo, o en el término que la propia Política señale si es menor, y advertirá por escrito si alguna de ellas excede lo que la plataforma puede ejecutar, indicando qué parte requiere un procedimiento operativo y cuál un desarrollo.
2. Mientras el Responsable no entregue su Política, el Encargado aplicará la Ley 1581 de 2012, sus decretos reglamentarios y este Acuerdo. La falta de entrega no es excusa del Responsable frente al Titular ni del Encargado frente a este Acuerdo.
3. El Responsable declara que ha obtenido de cada Titular la autorización previa, expresa e informada que la ley exige para el tratamiento de sus datos sensibles de salud, y que conserva prueba de ella. El Encargado tratará los datos únicamente de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables.
4. Si una instrucción del Responsable es, a juicio razonable del Encargado, contraria a la Ley 1581 de 2012 o a la normativa de historia clínica, el Encargado lo advertirá por escrito y se abstendrá de ejecutarla mientras la instrucción se mantenga. La advertencia se documenta y se conserva. En particular, el Encargado no ejecutará instrucciones de suprimir historia clínica sujeta a término legal de retención (cláusula 22).
5. El Responsable es el único que decide quién de su equipo accede a la plataforma y con qué rol, y responde por la asignación de esos accesos y por el uso que su personal haga de sus credenciales.

8. Deberes del Encargado (artículo 18 de la Ley 1581 de 2012)

El Encargado asume expresamente, uno por uno, los doce deberes que el artículo 18 de la Ley 1581 de 2012 impone a los Encargados del Tratamiento:

El literal l) es el deber de cierre del artículo 18 y con frecuencia se omite al enumerarlo, porque las listas que circulan se detienen en el literal k). Sin él, el Responsable no podría acreditar su propio deber del artículo 17 literal i) —exigir al Encargado en todo momento el respeto de las condiciones de seguridad—, porque tendría un encargado que contractualmente no se obligó a acatar a la autoridad.

9. Leyendas legales y bloqueo por orden de la autoridad

Tres deberes del artículo 18 exigen marcar o restringir un registro concreto: la leyenda «reclamo en trámite» (literal g), la leyenda «información en discusión judicial» (literal h) y el bloqueo de circulación ordenado por la SIC (literal i). Como el plazo legal del Responsable es breve —dos (2) días hábiles para insertar la leyenda del reclamo, contados desde que lo recibe completo—, el Encargado asume plazos inferiores:

1. Recibida la instrucción escrita del Responsable en el canal de la cláusula 21, el Encargado insertará la leyenda «reclamo en trámite», con el motivo, dentro del día hábil siguiente, y la mantendrá visible para quien consulte el registro hasta que el Responsable le informe que el reclamo fue decidido.
2. En los mismos términos y plazo insertará la leyenda «información en discusión judicial» cuando el Responsable le comunique la notificación de la autoridad competente.
3. Recibida una orden de bloqueo de la SIC, sea a través del Responsable o notificada directamente al Encargado, este restringirá la circulación del registro afectado dentro del día hábil siguiente, sin suprimirlo, y lo mantendrá así hasta que la propia autoridad levante la orden. Si la orden se notifica al Encargado, este informará al Responsable dentro de las veinticuatro (24) horas siguientes.
4. De cada una de estas ejecuciones el Encargado dejará constancia escrita, fechada e identificable, y la entregará al Responsable para su expediente dentro de los tres (3) días hábiles siguientes.

Constancia de alcance, hecha a propósito y no por omisión: a la fecha de vigencia de esta versión la plataforma NO tiene un campo propio para las dos leyendas ni una función de bloqueo selectivo de un registro. Lo que el Encargado se obliga a hacer es ejecutar la instrucción por procedimiento operativo documentado dentro de los plazos anteriores, y a desarrollar la función correspondiente dentro de los seis (6) meses siguientes a esta fecha. El Responsable conserva íntegro su propio deber frente al Titular y frente a la SIC, y por eso se le entrega constancia de cada ejecución.

10. Colaboración en consultas, reclamos y ejercicio de derechos

Las consultas y los reclamos de los pacientes se dirigen, en primer lugar, al Responsable, que es quien conoce la relación asistencial. Cuando lleguen al Encargado, este no los devolverá sin trámite.

1. Si el Encargado recibe una consulta o un reclamo de un Titular y no es competente para resolverlo, dará traslado al Responsable dentro de los dos (2) días hábiles siguientes e informará de ello al interesado, conforme al artículo 15 numeral 1 de la Ley 1581 de 2012.
2. Si es competente, atenderá la consulta dentro de los diez (10) días hábiles siguientes a su recibo, prorrogables por cinco (5) días hábiles más informando los motivos y la fecha; y el reclamo dentro de los quince (15) días hábiles contados desde el día siguiente a su recibo, prorrogables por ocho (8) días hábiles más en las mismas condiciones.
3. El Encargado prestará al Responsable la colaboración necesaria para que este atienda las solicitudes de sus pacientes dentro de sus propios plazos. Si el Responsable requiere información o una ejecución técnica para responder, el Encargado la entregará dentro de los cinco (5) días hábiles siguientes a la solicitud, y en menos si el plazo del Responsable está por vencer y así se le indica.
4. A instrucción del Responsable, el Encargado actualizará, rectificará, bloqueará o entregará la información de un Titular determinado, y la suprimirá cuando la supresión sea legalmente procedente. La entrega de la información de un Titular concreto se hará dentro de los cinco (5) días hábiles siguientes a la instrucción.
5. El Encargado colaborará con el Responsable en la atención de requerimientos, visitas e investigaciones de la SIC relacionados con el tratamiento objeto de este Acuerdo, y le entregará la documentación que obre en su poder dentro del plazo que el requerimiento imponga.

El Titular solo puede elevar queja ante la SIC una vez agotado el trámite de consulta o reclamo (artículo 16 de la Ley 1581 de 2012). Ninguna estipulación de este Acuerdo limita los derechos del Titular ni le es oponible.

11. Medidas de seguridad

El Encargado salvaguarda la seguridad de las bases de datos con las siguientes medidas, que son las que efectivamente operan a la fecha de vigencia de esta versión:

• La información viaja siempre por conexión cifrada y el proveedor de infraestructura la cifra en reposo.
• La nota de evolución clínica se cifra en la propia aplicación con AES-256-GCM antes de guardarse, de modo que no reposa en claro en la base de datos.
• El número de documento del paciente se cifra en la base de datos con llaves generadas y custodiadas en ella, y se busca por un índice ciego que no expone el número.
• La autorización vive en la base de datos y no en la interfaz: el control de acceso por filas es la frontera de todo acceso que llega desde el navegador. Las funciones de servidor del Encargado operan con privilegio elevado —no están sujetas a ese control— y replican la misma autorización en código, con revisión periódica; el Encargado lo declara en vez de presentarlas como cubiertas por la barrera de la base de datos.
• Acceso por necesidad de saber: el profesional solo puede CONSULTAR el expediente de los pacientes que trata. El Encargado deja constancia de que, a la fecha de vigencia de esta versión, esa misma acotación se está extendiendo a las operaciones de escritura sobre el registro clínico, y se compromete a completarla dentro de los tres (3) meses siguientes.
• Segundo factor obligatorio para abrir sesión, mediante código de un solo uso enviado al correo del usuario. Abierta la sesión, esta se renueva sin repetir el código mientras siga vigente su testigo de renovación, cuya duración se declara en la Política de Cookies.
• Bitácora de accesos a información clínica y de modificaciones, que las cuentas de usuario no pueden escribir, alterar ni borrar. La dirección de origen que registra se toma de la cabecera que inyecta la red de borde; el Encargado se obliga a rechazar ese dato cuando no provenga de ella, dentro de los tres (3) meses siguientes a la fecha de vigencia de esta versión.
• El acceso excepcional de urgencia exige un motivo escrito de 20 a 500 caracteres, caduca a las 24 horas, deja doble traza y avisa al administrador de la clínica.
• La historia clínica no se borra: la base de datos rechaza el borrado físico del paciente, de sus atenciones y de las concesiones de acceso de urgencia, y las bajas son lógicas y reversibles. El Encargado se obliga a extender ese mismo bloqueo a las notas clínicas, los consentimientos, los archivos clínicos y los planes y cobros ya aceptados, dentro de los tres (3) meses siguientes.
• La sesión vive en cookies que el JavaScript no puede leer, con protección contra falsificación de peticiones y una política de seguridad de contenido estricta.
• Los archivos clínicos se guardan en almacenamiento privado y se sirven mediante enlaces firmados de vigencia corta. Los que sube el equipo de la clínica se validan por el contenido real del archivo y no por lo que declare quien los sube; el Encargado deja constancia de que las firmas que el paciente traza en los portales públicos se validan hoy solo por su forma y tamaño, y se obliga a validarlas también por contenido dentro de los tres (3) meses siguientes.

Y lo que el Encargado NO afirma, porque afirmarlo sería falso:

• No hay cifrado de extremo a extremo. El Encargado conserva la llave con la que se descifra la nota clínica y, por tanto, técnicamente puede leerla. Ver cláusula 12.
• El cifrado propio es parcial: alcanza a la nota de evolución y al número de documento del paciente. El resto de la historia clínica está protegido por el control de acceso y por el cifrado en reposo del proveedor, no por un cifrado adicional de la aplicación.
• El número de documento del paciente se conserva además, hoy, en una columna sin cifrar, mientras se completa el traslado de sus lectores a la columna cifrada; y el documento de quien firma la evolución no está cifrado.

El Encargado se obliga, además, a lo siguiente, que constituye obligación a plazo y no descripción del estado actual:

1. Adoptar y documentar una política de gestión de llaves de cifrado —custodia, rotación y recuperación—, y entregar su resumen al Responsable que lo solicite, dentro de los seis (6) meses siguientes a la fecha de vigencia de esta versión.
2. Documentar los parámetros de copia de seguridad, los objetivos de punto y de tiempo de recuperación y el plan de continuidad del servicio, y ponerlos a disposición del Responsable, dentro de los seis (6) meses siguientes a la fecha de vigencia de esta versión.
3. Completar el retiro de la columna sin cifrar del número de documento del paciente y extender el cifrado al documento de quien firma, informando al Responsable cuando se cierre cada punto.
4. No degradar ninguna de las medidas vigentes sin sustituirla por otra equivalente o superior, e informar al Responsable de todo cambio relevante en ellas.

Constancia expresa: a la fecha de vigencia de esta versión el Encargado no cuenta con documentación propia de copias de seguridad, objetivos de recuperación ni plan de continuidad, ni con política escrita de gestión de llaves. Los numerales 1 y 2 anteriores son obligaciones con plazo, no descripciones de algo existente. Se dice aquí para que el Responsable pueda evaluarlo hoy y exigirlo después, y no lo descubra en una auditoría.

12. Confidencialidad, reserva y personas con acceso

El Encargado guarda confidencialidad respecto del tratamiento de los datos personales, aun después de terminada la relación contractual y sin límite temporal mientras la información conserve su carácter reservado.

El Encargado no es profesional de la salud y no invoca para sí el secreto profesional: su deber de reserva nace de la Ley 1581 de 2012 y de este contrato. Actúa respecto de la historia clínica como auxiliar de quien la custodia, y por eso la reserva se extiende a cada persona natural que pueda acceder, y no solo a la sociedad.

1. Toda persona natural —empleado, contratista o administrador— que pueda acceder a datos del Responsable suscribe un compromiso individual de confidencialidad, por escrito, que sobrevive a la terminación de su vínculo y cuya vigencia el Encargado verifica antes de conceder cualquier acceso.
2. El Encargado mantiene una lista nominada de las personas que técnicamente pueden descifrar contenido clínico. La entrega al Responsable que la solicite dentro de los diez (10) días hábiles siguientes, y comunica cualquier alta en ella dentro de los cinco (5) días hábiles siguientes al cambio. Esa lista se mantiene en el mínimo indispensable para operar y sostener el servicio.
3. Todo acceso administrativo a datos del Responsable requiere una causa justificada de operación, seguridad o soporte. El Encargado deja constancia expresa de que, a la fecha de vigencia de esta versión, la plataforma NO cuenta todavía con un registro propio de los accesos de su personal de operación: las dos bitácoras existentes identifican al usuario de la clínica y no al operador. El Encargado se obliga a construir ese registro —identidad del operador, fecha y motivo, sin posibilidad de edición ni borrado— dentro de los seis (6) meses siguientes, a llevar entretanto el control por procedimiento operativo documentado y a informar al Responsable de todo acceso administrativo a contenido clínico dentro de los cinco (5) días hábiles siguientes, salvo que su propia solicitud de soporte lo haya originado.
4. Está prohibido a cualquier persona del Encargado acceder a datos del Responsable para finalidad distinta de la operación, la seguridad y el soporte del servicio; en particular, para curiosidad, para uso comercial, para pruebas con datos reales o para las finalidades prohibidas por la cláusula 18.
5. El Encargado no divulga la existencia ni el contenido de la información del Responsable a terceros, salvo a sus Subencargados en lo estrictamente necesario y por orden de autoridad competente, en cuyo caso aplica la cláusula 15.

El Responsable debe saberlo antes de contratar y no después: la plataforma PUEDE técnicamente descifrar la nota clínica, porque la llave vive en el entorno de servidor del Encargado. Lo que este ofrece hoy es que no debe leerla y que si alguien lo hace queda registrado, no que no pueda. El Encargado se obliga a trabajar hacia un esquema en el que la llave quede fuera del alcance de su personal, y a informar al Responsable cuando eso se logre.

13. Subencargados

El Responsable autoriza al Encargado a valerse de los siguientes terceros. La lista es completa a la fecha de vigencia de esta versión: ningún otro tercero recibe datos tratados por cuenta del Responsable. Se incluye al proveedor de las tipografías porque, aunque no presta ningún servicio sobre datos clínicos, recibe la dirección de origen de cada visitante por el solo hecho de cargarse la página — el Encargado prefiere declararlo a omitirlo, y se obliga a alojar esas tipografías en su propia infraestructura dentro de los tres (3) meses siguientes, con lo que ese tercero desaparecerá de esta tabla.

Régimen aplicable a todos ellos:

1. La autorización del Responsable a los Subencargados listados es previa y consta en este Acuerdo. Ninguno distinto puede tratar datos del Responsable sin cumplir el procedimiento siguiente.
2. El Encargado avisará al Responsable, con una antelación mínima de treinta (30) días calendario, del alta de un nuevo Subencargado, del cambio de uno existente o del cambio del país donde trata los datos. El preaviso indicará el servicio, las categorías de datos y el país.
3. Dentro de ese plazo el Responsable puede oponerse por escrito y motivadamente. Si la objeción no puede resolverse con una alternativa razonable, el Responsable podrá terminar el servicio sin penalidad y con el procedimiento de la cláusula 22.
4. El Encargado impondrá a cada Subencargado, por escrito, obligaciones de protección de datos, seguridad y confidencialidad no menos exigentes que las de este Acuerdo, y verificará que se mantengan.
5. El Encargado responde ante el Responsable por los actos y omisiones de sus Subencargados en el tratamiento de los datos como si fueran propios. Ninguna estipulación de otro documento entre las partes reduce esta responsabilidad en materia de protección de datos personales.

El preaviso de treinta (30) días no es una cortesía: existe porque un cambio de encargado, de subencargado o de país de alojamiento es un cambio sustancial que obliga al Responsable inscrito a actualizar su Registro Nacional de Bases de Datos dentro de los primeros diez (10) días hábiles del mes siguiente a su ocurrencia. Sin ese margen, la clínica incumpliría un plazo que no depende de ella.

14. Transmisión internacional de datos

La información del Responsable se aloja en infraestructura ubicada en Estados Unidos de América. Las partes declaran expresamente que esa comunicación de datos es una TRANSMISIÓN internacional entre un Responsable y su Encargado, regida por el artículo 2.2.2.25.5.1 numeral 2 del Decreto 1074 de 2015, y no una transferencia sujeta al artículo 26 de la Ley 1581 de 2012.

• Por existir este contrato, la transmisión no requiere ser informada al Titular ni contar con su consentimiento. La base habilitante es el contrato, no la adecuación del país de destino.
• Con todo, el país de alojamiento figura en el listado de países con nivel adecuado de protección del numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la SIC, adicionado por la Circular Externa 005 de 2017. De modo que, aun si la operación se calificara como transferencia, tampoco estaría prohibida por el artículo 26.
• La dispensa de informar al Titular no releva al Responsable de su deber de transparencia. El Encargado recomienda —y le entrega la información para hacerlo— que la Política de Tratamiento del Responsable declare los destinatarios, sus países, la calidad de cada uno y la base habilitante. Incorporarlo no tiene costo, y es la forma de acreditar el contenido que el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 exige a esa política. Qué resuelva una autoridad en un caso concreto depende de circunstancias ajenas a este Acuerdo, y este Acuerdo no lo promete.
• Que el país de destino tenga nivel adecuado no exonera a ninguna de las partes del principio de responsabilidad demostrada: ambas deben poder acreditar que adoptaron medidas apropiadas y efectivas para garantizar el tratamiento adecuado de los datos que comunican.

15. Requerimientos de autoridades extranjeras

Como consecuencia directa del alojamiento fuera de Colombia, el Encargado asume las siguientes obligaciones frente a cualquier requerimiento de una autoridad extranjera —judicial, administrativa o de seguridad— que tenga por objeto datos del Responsable:

1. Notificarlo al Responsable sin dilación indebida y, siempre que sea legalmente posible, ANTES de darle cumplimiento, indicando la autoridad requirente, el fundamento invocado y el alcance de lo solicitado.
2. Agotar los recursos razonables para impugnar, limitar o diferir el requerimiento, y para que se dirija directamente al Responsable cuando ello sea procedente.
3. No entregar más información que la estrictamente comprendida en el requerimiento, y dejar constancia de lo entregado.
4. Si una norma extranjera le prohíbe notificar, informar al Responsable de la existencia de la prohibición y del hecho agregado tan pronto como le sea legalmente permitido, y en todo caso incluirlo en el informe periódico de la cláusula 20.
5. Trasladar de inmediato al Responsable, sin darle curso propio, cualquier requerimiento de autoridad colombiana relativo a la historia clínica, por corresponder a él la custodia y la reserva del documento.

16. Cambio normativo y adecuación

La lista de países con nivel adecuado del numeral 3.2 puede ser revisada por la SIC en cualquier tiempo, para incluir o para excluir. Este Acuerdo prevé qué ocurre si eso pasa, porque es el único riesgo regulatorio capaz de cambiar la operación de un día para otro.

1. El Encargado verificará al menos una vez al año el texto vigente del numeral 3.2 y de las instrucciones de la SIC sobre transferencia y transmisión internacional, y dejará constancia de la verificación.
2. Si el país de alojamiento o el de cualquier Subencargado sale del listado, o si un cambio normativo priva de base habilitante a la operación, el Encargado lo informará al Responsable dentro de los quince (15) días calendario siguientes a la publicación del cambio.
3. Dentro de los noventa (90) días calendario siguientes a esa publicación, el Encargado adoptará A SU COSTO las medidas necesarias para restablecer la conformidad, incluida la migración de la infraestructura a una región ubicada en un país con nivel adecuado o en Colombia, o la sustitución del Subencargado afectado.
4. Mientras se ejecuta la medida, el Encargado adoptará las salvaguardas provisionales que procedan y prestará al Responsable la colaboración necesaria para que este pueda acudir a la vía que corresponda, incluida la solicitud de declaración de conformidad ante la SIC o la comunicación a la Delegatura para la Protección de Datos Personales.
5. Si la adecuación resulta técnicamente inviable, el Responsable podrá terminar el servicio sin penalidad alguna y con derecho al procedimiento de la cláusula 22.

17. Incidentes de seguridad

Se considera incidente de seguridad la violación de los códigos de seguridad, o la pérdida, el robo o el acceso no autorizado a información de las bases de datos. No se exige daño consumado ni extracción probada: un acceso indebido a un expediente por parte de quien no debía verlo es un incidente reportable aunque nadie haya descargado nada.

1. El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro de las VEINTICUATRO (24) HORAS siguientes a que el incidente sea puesto en conocimiento de su área de protección de datos, mediante un reporte preliminar con lo que se sepa en ese momento.
2. Dentro de los cinco (5) días hábiles siguientes entregará un informe completo que contenga, como mínimo: identificación de la base de datos afectada; fecha y hora de ocurrencia, de detección y de puesta en conocimiento del área encargada; causa; tipo y volumen de datos comprometidos y número de Titulares afectados, indicando si hay datos sensibles; evaluación del nivel de riesgo para los Titulares y los factores tenidos en cuenta; medidas de contención, remediación y prevención de recurrencia; y constancia de las comunicaciones realizadas.
3. El Encargado reconoce que el artículo 18 literal k) de la Ley 1581 de 2012 le impone un deber PROPIO, DIRECTO Y NO DELEGABLE de informar a la SIC. Ese reporte no sustituye ni suple el del Responsable, y el Encargado no se libera informando únicamente a este. Ambas partes coordinarán sus reportes para que sean consistentes, sin que la coordinación pueda demorar el de ninguna.
4. El Encargado colaborará con el Responsable en la evaluación del riesgo para los Titulares y, cuando el Responsable decida comunicarles el incidente, en la preparación de esa comunicación. Tratándose de datos sensibles de salud, el Encargado recomendará siempre la comunicación al Titular y dejará constancia de la recomendación.
5. El Encargado conservará y protegerá la evidencia del incidente y no la alterará ni la destruirá mientras esté en curso el análisis, el reporte o cualquier actuación de la autoridad.

El plazo de veinticuatro (24) horas no es legal sino contractual, y la razón importa: el término legal de quince (15) días hábiles para reportar a la SIC corre para la clínica desde SU propio conocimiento, y ese conocimiento depende enteramente de que el Encargado le avise. Un plazo de notificación largo le consumiría a la clínica el término que la ley le da para cumplir.

18. Prohibición de tratamiento para finalidades propias e inteligencia artificial

El Encargado no trata los datos del Responsable para ninguna finalidad propia. En particular, y sin que la enumeración sea limitativa, se obliga a no:

• Usar los datos de pacientes para fines comerciales, de mercadeo, de elaboración de perfiles o de análisis de mercado, propios o de terceros.
• Vender, ceder, arrendar, monetizar ni poner a disposición de terceros los datos, ni siquiera en forma agregada, salvo instrucción escrita del Responsable y con anonimización irreversible previamente acreditada.
• Usar datos reales de pacientes en ambientes de desarrollo, pruebas o demostraciones comerciales.
• Cruzar los datos de un Responsable con los de otro, ni construir con ellos bases de datos propias.

Prohibición específica sobre inteligencia artificial:

1. El Encargado no usará datos de pacientes del Responsable para entrenar, ajustar, afinar, evaluar ni probar modelos de inteligencia artificial o de aprendizaje automático, propios o de terceros, ni permitirá que un tercero lo haga.
2. Esta prohibición se impone aguas abajo a todos los Subencargados y a cualquier proveedor que llegara a intervenir, incluida la obligación de configurar la retención cero de contenido cuando el proveedor la ofrezca.
3. La incorporación de cualquier funcionalidad de inteligencia artificial que trate datos de pacientes requiere autorización previa y escrita del Responsable, la evaluación de idoneidad, necesidad y proporcionalidad exigida por las instrucciones de la SIC en la materia, y la actualización de este Acuerdo y de la lista de Subencargados con el preaviso de la cláusula 13.
4. A la fecha de vigencia de esta versión ninguna funcionalidad de la plataforma envía datos de pacientes a un proveedor de inteligencia artificial.

19. Entregable: ficha para el Registro Nacional de Bases de Datos

La inscripción en el Registro Nacional de Bases de Datos es obligación del Responsable, no del Encargado, y solo alcanza a las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a las personas jurídicas de naturaleza pública. Quien está exceptuado del registro no queda relevado de los demás deberes de la ley.

Para que el Responsable obligado pueda diligenciarlo, el Encargado le entrega una ficha con, al menos:

• Razón social y país de cada uno de los Subencargados, con el servicio que presta cada uno.
• Finalidades de cada tratamiento realizado por cuenta del Responsable.
• Categorías y subcategorías de los datos tratados, con indicación expresa de cuáles son sensibles.
• Descripción de las medidas de seguridad adoptadas.
• Constancia de la existencia de este contrato de transmisión en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, con su versión y fecha de vigencia.
• Canal de atención del Encargado para consultas y reclamos.

1. La ficha se entrega al inicio de la relación y cada vez que ocurra un cambio sustancial, junto con el preaviso de la cláusula 13.
2. A solicitud del Responsable, se entrega actualizada dentro de los diez (10) días hábiles siguientes.
3. Los plazos de inscripción, actualización y reporte del Registro los fija la Superintendencia de Industria y Comercio; el Responsable debe verificarlos en su sitio oficial. Lo que este Acuerdo garantiza es que la información necesaria estará disponible a tiempo.

20. Derecho de verificación del Responsable

El artículo 17 literal i) de la Ley 1581 de 2012 obliga al Responsable a exigir al Encargado, en todo momento, el respeto de las condiciones de seguridad y privacidad de la información del Titular. Un contrato que no le diera ningún mecanismo de verificación le impediría cumplir su propio deber. El Encargado pone a su disposición:

• Las certificaciones y los informes de terceros que el Encargado o sus Subencargados obtengan sobre sus medidas de seguridad, cuando existan.
• Un informe anual sobre las medidas de seguridad vigentes, los cambios relevantes del periodo, los incidentes ocurridos y el estado de las obligaciones a plazo de las cláusulas 9 y 11.
• La respuesta a un cuestionario de seguridad del Responsable, una vez al año y adicionalmente después de cualquier incidente que le afecte.
• Una auditoría documental sobre el cumplimiento de este Acuerdo, ejercida por el Responsable o por un tercero independiente sujeto a confidencialidad.

1. Las solicitudes se atienden dentro de los quince (15) días hábiles siguientes a su recibo por el canal de la cláusula 21.
2. La verificación es documental y no comprende el acceso a los datos de otros clientes del Encargado ni a información que revele su información técnica sensible: permitirlo sería, en sí mismo, una infracción de la confidencialidad debida a terceros.
3. La verificación anual ordinaria es a costo del Encargado. Las adicionales que solicite el Responsable son a su costo, salvo que se practiquen a raíz de un incidente atribuible al Encargado o de un incumplimiento de este Acuerdo, en cuyo caso las asume el Encargado.

21. Área de protección de datos y canal de comunicación

El artículo 23 del Decreto 1377 de 2013 obliga a TODO Responsable y a TODO Encargado —sin umbral, sin excepción por tamaño— a designar una persona o área que asuma la función de protección de datos personales y dé trámite a las solicitudes de los Titulares.

Por el Encargado

Área de Protección de Datos Personales de [[RAZÓN SOCIAL]]. Correo: contacto@dentalpolaris.com. Dirección de notificación: [[DIRECCIÓN DE NOTIFICACIÓN]], [[CIUDAD]], Colombia. Es el canal para instrucciones, solicitudes de verificación, notificaciones de este Acuerdo y solicitudes de Titulares.

Por el Responsable

La persona o área que el Responsable designe y cuyos datos de contacto comunique al Encargado, y que debe mantener actualizados. Mientras no lo haga, el Encargado dirigirá sus comunicaciones —incluidas las notificaciones de incidente— al correo de la cuenta de administración de la clínica, y esa comunicación se tendrá por válidamente surtida.

Las notificaciones entre las partes se entienden recibidas el día hábil siguiente a su envío por correo electrónico a los canales anteriores. Cada parte debe informar a la otra, dentro de los cinco (5) días hábiles siguientes, cualquier cambio en su canal designado.

22. Terminación: devolución y supresión de la información

Al terminar la relación contractual, por cualquier causa, se aplica el siguiente procedimiento. Está redactado como obligación del Encargado con plazo y forma, no como descripción de una función que el Responsable pueda ejecutar por sí mismo desde la plataforma.

1. Desde la terminación, el Responsable puede solicitar por escrito, al canal de la cláusula 21, la entrega de su información. Ese derecho NO caduca a los sesenta días ni a ningún plazo: mientras el Encargado conserve la información —y la historia clínica no se puede borrar— sigue siendo del Responsable y de sus pacientes, y el Responsable sigue siendo su custodio legal por el término de la Resolución 839 de 2017. Mientras la conserve, el Encargado la mantiene con las mismas medidas de seguridad y no la trata para ninguna finalidad distinta de conservarla y entregarla.
2. El Encargado entregará la información dentro de los treinta (30) días calendario siguientes a la solicitud, en formato estructurado y reutilizable por medios automatizados —archivos delimitados o en notación de objetos, con su descripción de campos— y acompañará los archivos clínicos asociados. La entrega se hace por un medio seguro y acordado, y se deja constancia de qué se entregó y cuándo.
3. Entregada la información, el Encargado suprimirá a instrucción escrita del Responsable los datos que sí son suprimibles —facturación, cuentas de usuario y demás información no sujeta a retención— y certificará por escrito la supresión practicada. La historia clínica queda excluida por el numeral siguiente.
4. SALVEDAD DE RETENCIÓN LEGAL: la historia clínica está sujeta a un término legal de retención y su supresión mientras ese término corra sería ilícita. Por eso el Encargado no ejecutará ninguna instrucción de suprimirla mientras el término esté vigente, y lo advertirá por escrito. Recibida la entrega, la custodia de la historia clínica durante lo que reste del término corresponde al Responsable, que es su custodio legal; si desea que el Encargado la conserve, debe contratarlo expresamente.
5. La suspensión del servicio por mora en el pago no supone supresión ni pérdida de información: los datos se conservan y el procedimiento anterior queda igualmente disponible.
6. Las obligaciones de confidencialidad, de reserva del personal y de notificación de incidentes sobreviven a la terminación respecto de la información que el Encargado conserve por cualquier causa.

Constancia de alcance: a la fecha de vigencia de esta versión la plataforma NO tiene una función de exportación masiva ni de eliminación de la información al terminar el contrato; además, la base de datos rechaza por diseño el borrado físico de la historia clínica. En consecuencia, la entrega y la supresión se ejecutan por procedimiento operativo del Encargado a solicitud escrita del Responsable, en los plazos anteriores. La cancelación del servicio, por sí sola, no borra ningún dato clínico: si el Responsable quiere su información, debe pedirla.

23. Responsabilidad

Cada parte responde por el cumplimiento de los deberes que la ley le impone en su propia calidad. La SIC puede sancionar tanto a Responsables como a Encargados, con multas de hasta dos mil (2.000) salarios mínimos legales mensuales vigentes por sanción, sucesivas mientras subsista el incumplimiento, y con la suspensión o el cierre de la operación que involucre datos sensibles. El Encargado es sujeto sancionable directo y así lo reconoce.

• El Responsable responde por la obtención y conservación de la autorización de los Titulares, por el contenido y la veracidad de la información que registra, por las instrucciones que imparte, por la asignación de accesos a su equipo y por el cumplimiento de sus propios deberes como custodio de la historia clínica.
• El Encargado responde por el cumplimiento de este Acuerdo, de los deberes del artículo 18 de la Ley 1581 de 2012 y del deber de confidencialidad, y por los actos y omisiones de sus Subencargados en el tratamiento de los datos como si fueran propios.
• El Encargado mantendrá indemne al Responsable de las sanciones, condenas y gastos de defensa que le sean impuestos y que resulten atribuibles al incumplimiento del Encargado o de sus Subencargados, en la medida permitida por la ley.
• El Encargado no asume la responsabilidad profesional por el acto asistencial ni por el contenido clínico que el Responsable registra, ni sustituye al Responsable en su relación con el paciente.

Sobre los límites de responsabilidad, y para que no quede duda de su validez en Colombia:

1. Ninguna limitación, exclusión o tope de responsabilidad pactado en los Términos y Condiciones o en cualquier otro documento entre las partes se aplica a la responsabilidad del Encargado por infracciones a la normativa de protección de datos personales, por incumplimiento del deber de confidencialidad y reserva, ni por los actos de sus Subencargados en esas materias.
2. En ningún caso se limita ni se exonera la responsabilidad por dolo o por culpa grave: la condonación del dolo futuro no vale (artículo 1522 del Código Civil) y la culpa grave se equipara al dolo en materia civil (artículo 63 del Código Civil). Toda estipulación en contrario se tiene por no escrita.
3. Tampoco se limita la responsabilidad por los daños causados a los Titulares. Este Acuerdo no les es oponible y no restringe sus derechos ni las acciones que puedan ejercer.
4. Si el Responsable tiene la condición de consumidor en los términos de la Ley 1480 de 2011, no le será aplicable ninguna estipulación que la ley califique como abusiva —entre otras, las que limiten la responsabilidad por daños, inviertan la carga de la prueba o restrinjan sus derechos—, pues tales cláusulas se tienen por no escritas.
5. La razón de este reparto es aritmética y no retórica: la exposición sancionatoria por una sola infracción sobre datos sensibles de salud excede holgadamente el valor anual del servicio, de modo que un tope calculado sobre los honorarios pagados dejaría el riesgo entero del lado equivocado y sería, además, inoponible en los supuestos anteriores.

24. Vigencia, modificaciones y ley aplicable

1. Este Acuerdo rige desde la aceptación de los Términos y Condiciones (/terminos) o desde el inicio efectivo del servicio, lo que ocurra primero, y mientras el Encargado trate datos por cuenta del Responsable.
2. Los cambios se publican como una versión nueva, con su número y su fecha de vigencia, en esta misma dirección. Los cambios sustanciales se comunican al Responsable con una antelación mínima de treinta (30) días calendario; si no los acepta, puede terminar el servicio con el procedimiento de la cláusula 22.
3. La versión aplicable a una relación en curso es la vigente al momento de cada tratamiento. El Responsable debe archivar la versión que rija para su expediente de cumplimiento; el Encargado conserva y entrega, a solicitud, las versiones anteriores.
4. En caso de contradicción entre este Acuerdo y cualquier otro documento entre las partes en materia de protección de datos personales, prevalece este Acuerdo.
5. La nulidad o ineficacia de una cláusula no afecta a las demás, que conservan plena validez. Si una cláusula resulta inejecutable, las partes la sustituirán por otra que respete su finalidad dentro de lo permitido por la ley.
6. Este Acuerdo se rige por la ley colombiana y se otorga en castellano. Las controversias se someten a los jueces de la República de Colombia. La autoridad competente en materia de protección de datos personales es la Superintendencia de Industria y Comercio.

Para cualquier asunto relacionado con este Acuerdo, incluida la solicitud de la ficha de la cláusula 19 o del informe de la cláusula 20, escriba a contacto@dentalpolaris.com. Documentos relacionados: Términos y Condiciones (/terminos), Política de Tratamiento de Datos Personales (/privacidad) y Política de Cookies (/cookies).