En pocas palabras
tú decides sobre los datos de tus pacientes y nosotros solo los tratamos para prestarte el servicio. Los protegemos, no los usamos para otros fines, te avisamos de incidentes en máximo 72 horas, te ayudamos con las solicitudes de tus pacientes y te los devolvemos cuando termine el contrato.
1. Partes, objeto y aceptación
Son partes: el Cliente, en calidad de Responsable del tratamiento, y Gestión Desarrollo e Innovación S.A.S., NIT 901427309-2, en calidad de Encargado.
Este acuerdo forma parte de los Términos y Condiciones y se entiende aceptado al contratar el servicio. Si el Cliente lo requiere, iSalud puede suscribir una versión firmada con el mismo contenido.
2. Alcance del tratamiento
Titulares: pacientes del Cliente, sus acompañantes, acudientes o representantes legales, y los profesionales y empleados del Cliente que usan la Plataforma.
Categorías de datos: identificación y contacto; afiliación al sistema de salud; datos de salud (datos sensibles), como historia clínica, diagnósticos, procedimientos, medicamentos, resultados, imágenes y adjuntos; datos de agenda y de videoconsultas de telemedicina; RIPS; facturación electrónica; RDA; firmas y consentimientos registrados.
Actividades del Encargado: alojar, almacenar, organizar, consultar, respaldar y recuperar los datos; generar y transmitir documentos (RIPS, facturas, RDA) a las entidades que el Cliente indique; crear las videoconsultas de telemedicina y enviar el enlace al paciente por correo y SMS; enviar recordatorios y mensajes que el Cliente configure; y dar soporte técnico cuando el Cliente lo solicite.
Duración: mientras esté vigente el servicio, más el periodo de devolución previsto en este acuerdo.
3. Instrucciones del Responsable
iSalud tratará los datos solo según las instrucciones documentadas del Cliente. Se consideran instrucciones estos términos, la configuración que el Cliente haga en la Plataforma y sus solicitudes escritas. Si una instrucción parece contraria a la ley, iSalud lo informará al Cliente y podrá abstenerse de ejecutarla.
4. Obligaciones del Cliente (Responsable)
- Contar con la autorización previa, expresa e informada de los titulares para el tratamiento de sus datos, incluidos los sensibles, o con otra base legal válida.
- Informar a los titulares que sus datos se alojan en una plataforma tecnológica operada por un encargado.
- Garantizar que la información registrada sea veraz, completa y actualizada.
- Atender las consultas y reclamos de los titulares dentro de los términos legales.
- Gestionar las cuentas y permisos de sus Usuarios.
5. Obligaciones de iSalud (Encargado)
De acuerdo con el artículo 18 de la Ley 1581 de 2012, iSalud se obliga a:
- Tratar los datos conforme a los principios de la ley y solo para las finalidades de este acuerdo. No los usará para fines propios, no los venderá y no los usará para publicidad.
- Aplicar las medidas de seguridad descritas en la página de Seguridad de la Información para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
- Guardar confidencialidad y exigirla por escrito a su personal y contratistas con acceso a los datos. Solo accederán a los datos quienes lo necesiten para prestar el servicio o el soporte solicitado. iSalud no forma parte del equipo de salud, así que no consultará el contenido clínico salvo que sea estrictamente necesario para el soporte que el Cliente pida, y siempre bajo reserva legal (artículo 14 de la Resolución 1995 de 1999).
- Actualizar, rectificar o suprimir los datos dentro de los cinco (5) días hábiles siguientes a que el Cliente se lo notifique, cuando el Cliente no pueda hacerlo directamente en la Plataforma.
- Registrar la leyenda “reclamo en trámite” o “información en discusión judicial” cuando corresponda, y no hacer circular la información controvertida.
- Trasladar al Cliente, en máximo dos (2) días hábiles, cualquier solicitud de titulares que reciba directamente.
- Permitir el acceso a los datos solo a quienes estén autorizados.
- Informar a la Superintendencia de Industria y Comercio sobre violaciones a los códigos de seguridad y riesgos en la administración de la información, cuando corresponda.
- Mantener registros de auditoría del acceso a la historia clínica que permitan su trazabilidad.
6. Subencargados
El Cliente autoriza de forma general a iSalud a apoyarse en subencargados para prestar el servicio, en las siguientes categorías:
- Infraestructura y alojamiento: centros de datos en Colombia y servicios en la nube de Google Cloud y Microsoft Azure.
- Almacenamiento de archivos adjuntos de la historia clínica: Google Drive (Google Workspace).
- Videoconsulta de telemedicina: Google Meet y Google Calendar (Google LLC) y GoToMeeting (GoTo Technologies).
- Correo electrónico transaccional y mensajes de texto (SMS) para citas, recordatorios y enlaces de videoconsulta.
- Servicios para la emisión y validación de facturación electrónica.
iSalud exigirá a cada subencargado obligaciones de protección de datos al menos iguales a las de este acuerdo y responderá por su cumplimiento. iSalud avisará con treinta (30) días calendario de anticipación si incorpora o cambia un subencargado que trate datos de pacientes. Si el Cliente tiene una objeción razonable, podrá terminar el servicio sin penalidad.
7. Transmisiones internacionales
Cuando un subencargado trate datos fuera de Colombia, iSalud se asegurará de que el país tenga un nivel adecuado de protección según la Superintendencia de Industria y Comercio, o de que exista un contrato de transmisión en los términos del Decreto 1074 de 2015, de modo que los datos reciban una protección equivalente a la exigida en Colombia.
8. Incidentes de seguridad
Si iSalud confirma un incidente que comprometa datos del Cliente, se lo notificará sin demoras injustificadas y a más tardar dentro de las setenta y dos (72) horas siguientes a su confirmación. La notificación incluirá, en la medida en que se conozca: la naturaleza del incidente, las categorías y el volumen aproximado de datos y titulares afectados, las posibles consecuencias y las medidas adoptadas o propuestas.
iSalud colaborará con el Cliente para que este pueda reportar el incidente a la Superintendencia de Industria y Comercio dentro del término legal (quince días hábiles desde su detección) y comunicarlo a los titulares cuando sea necesario.
9. Apoyo al Cliente y auditoría
iSalud apoyará razonablemente al Cliente en la atención de derechos de los titulares, las evaluaciones de impacto y los requerimientos de autoridades.
Una vez al año, con aviso previo de treinta (30) días calendario, el Cliente puede pedir información sobre las medidas de seguridad y cumplimiento de iSalud (cuestionarios, políticas, certificaciones de los proveedores de infraestructura). Las auditorías presenciales se acordarán por escrito, estarán sujetas a confidencialidad, no podrán afectar la seguridad de otros clientes y su costo lo asume el Cliente, salvo que revelen un incumplimiento material de iSalud.
10. Devolución y eliminación al terminar
- Durante la vigencia del servicio y hasta treinta (30) días calendario después de terminado, el Cliente puede exportar sus datos, incluida la historia clínica, en formatos estructurados de uso común.
- Vencido ese plazo, iSalud eliminará los datos del Cliente de sus sistemas productivos dentro de los sesenta (60) días calendario siguientes. Las copias de respaldo se eliminan cuando se completa su ciclo de rotación.
- iSalud solo conservará los datos que una norma le obligue a conservar, y únicamente para esa finalidad.
- Importante: la obligación legal de conservar la historia clínica (Resolución 839 de 2017) es del prestador de salud. El Cliente debe exportarla antes de que venza el plazo. Si lo necesita, puede contratar con iSalud un servicio de custodia prolongada.
11. Responsabilidad y vigencia
Cada parte responde por el cumplimiento de sus obligaciones legales en su respectiva calidad de Responsable o Encargado. La responsabilidad derivada de este acuerdo sigue lo previsto en los Términos y Condiciones, sin perjuicio de lo que la ley disponga de forma imperativa.
Este acuerdo rige mientras iSalud trate datos por cuenta del Cliente. Las obligaciones de confidencialidad y seguridad continúan después de terminar el servicio.