POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES

1. INTRODUCCIÓN Y OBJETO

TRUSTCARE MED S.A.S. (en adelante, "TRUSTCARE") es responsable del tratamiento de los datos personales que recolecta y administra en desarrollo de su actividad como plataforma tecnológica de intermediación en turismo médico. Para TRUSTCARE, la protección de los datos personales de quienes utilizan la plataforma —y, de manera especial, de la información relativa a su salud— constituye un compromiso esencial.

La presente Política de Tratamiento de la Información y Protección de Datos Personales (en adelante, la "Política") tiene por objeto dar a conocer las reglas bajo las cuales TRUSTCARE recolecta, almacena, usa, circula, transmite, transfiere y, en general, trata los datos personales de los titulares, así como los derechos que les asisten y los mecanismos dispuestos para ejercerlos.

Esta Política se expide en cumplimiento de lo dispuesto en la Ley 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales; en el Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015; y en las demás normas que las modifiquen, adicionen o reglamenten. En consecuencia, todo tratamiento de datos personales que realice TRUSTCARE se sujetará a lo previsto en dichas normas y en el presente documento.

El uso de la plataforma y la entrega de datos personales a TRUSTCARE suponen el conocimiento y la aceptación de las condiciones establecidas en esta Política.

2. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de los datos personales objeto de esta Política es:

Razón social: TRUSTCARE MED S.A.S.
NIT: 902.026.992
Domicilio: Medellín, Colombia
Correo electrónico de contacto: protecciondedatos@trustcaremed.com
Sitio web: https://trustcaremed.co/

Para todos los efectos relacionados con el ejercicio de sus derechos como titular de datos personales, el titular podrá contactar a TRUSTCARE a través del canal indicado en esta sección, conforme al procedimiento descrito en el numeral 11 de la presente Política.

3. DEFINICIONES

Para la correcta comprensión de esta Política, los siguientes términos tendrán el significado que la Ley 1581 de 2012 y sus normas reglamentarias les otorgan:

1. Dato personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables (por ejemplo, el nombre, el número de identificación, el correo o el teléfono).
2. Dato sensible: Aquel que afecta la intimidad del titular o cuyo uso indebido puede generar su discriminación, como los datos relativos a la salud. La información de salud que el titular comparte a través de la plataforma —incluidas fotografías clínicas y antecedentes médicos— tiene el carácter de dato sensible y recibe una protección reforzada.
3. Titular: La persona natural cuyos datos personales son objeto de tratamiento.
4. Tratamiento: Cualquier operación sobre datos personales, tales como su recolección, almacenamiento, uso, circulación, transmisión, transferencia o supresión.
5. Responsable del tratamiento: Quien decide sobre la base de datos y el tratamiento de los mismos. Para efectos de esta Política, TRUSTCARE actúa como responsable respecto de los datos que recolecta directamente de los titulares.
6. Encargado del tratamiento: Quien trata datos personales por cuenta del responsable (por ejemplo, los proveedores de tecnología e infraestructura que apoyan la operación de la plataforma).
7. Autorización: El consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de sus datos.
8. Aviso de privacidad: La comunicación mediante la cual se informa al titular sobre la existencia de esta Política, la forma de acceder a ella y las finalidades del tratamiento.
9. Transmisión de datos: El envío de datos personales a un encargado, dentro o fuera del país, para que los trate por cuenta del responsable.
10. Transferencia de datos: El envío de datos personales a un receptor que es, a su vez, responsable del tratamiento, dentro o fuera del país.
11. Supresión: La eliminación de los datos personales del titular, cuando así proceda conforme a la ley.

4. ÁMBITO DE APLICACIÓN

Esta Política aplica al tratamiento de todos los datos personales que reposen en las bases de datos de TRUSTCARE o que sean tratados por esta en desarrollo de su actividad como plataforma tecnológica de intermediación en turismo médico.

En particular, la Política cobija los datos personales de:

a. Los usuarios que acceden, se registran o utilizan la plataforma para explorar, coordinar o contratar servicios de turismo médico.

b. Las personas que se contactan con TRUSTCARE a través de sus canales de atención, por cualquier motivo relacionado con la plataforma.

c. Las personas naturales vinculadas a las clínicas, profesionales de salud, aliados y proveedores con quienes TRUSTCARE se relaciona en desarrollo de su actividad, cuyos datos sean tratados por TRUSTCARE.

Esta Política aplica con independencia del lugar donde se encuentre el titular. En consecuencia, cobija tanto a los titulares ubicados en Colombia como a los usuarios ubicados en el exterior que utilizan la plataforma, sin perjuicio de los derechos adicionales que la legislación de su país de residencia pueda reconocerles y que no puedan ser renunciados.

5. PRINCIPIOS RECTORES DEL TRATAMIENTO

Todo tratamiento de datos personales que realice TRUSTCARE se sujetará a los principios establecidos en la Ley 1581 de 2012:

1. Legalidad: El tratamiento de datos es una actividad reglada que se sujeta a lo dispuesto en la ley y en las demás normas aplicables.
2. Finalidad: El tratamiento obedece a finalidades legítimas, informadas al titular conforme a la Constitución y la ley.
3. Libertad: El tratamiento solo se ejerce con el consentimiento previo, expreso e informado del titular. Los datos no podrán ser obtenidos o divulgados sin autorización previa, salvo mandato legal o judicial que releve el consentimiento.
4. Veracidad o calidad: La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. No se tratarán datos parciales, incompletos, fraccionados o que induzcan a error.
5. Transparencia: Se garantiza al titular el derecho a obtener, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
6. Acceso y circulación restringida: El tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos. Los datos personales, salvo la información pública, no podrán estar disponibles en medios de divulgación masiva, sino únicamente para las personas autorizadas.
7. Seguridad: La información sujeta a tratamiento se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
8. Confidencialidad: Todas las personas que intervienen en el tratamiento de datos personales están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con alguna de las labores que comprende el tratamiento.

6. TIPOS DE DATOS QUE SE TRATAN

En desarrollo de su actividad, TRUSTCARE trata las siguientes categorías de datos personales:

1. Datos de identificación y contacto: nombre, número de identificación, edad, nacionalidad, país de residencia, correo electrónico, número de teléfono y datos similares necesarios para la creación y gestión de la cuenta del usuario.
2. Datos de la interacción con la plataforma: la información que el usuario suministra al describir sus objetivos, preferencias e inquietudes durante su conversación con la plataforma y con la asistente virtual, así como los registros de uso necesarios para la coordinación de su experiencia.
3. Datos de pago: la información necesaria para procesar los pagos realizados a través de la plataforma, gestionada a través de los medios de pago dispuestos para tal efecto.
4. Datos sensibles relativos a la salud: la información de salud que el titular comparte con el fin de que un profesional de salud evalúe la viabilidad de un procedimiento, incluidas, entre otras, fotografías clínicas y antecedentes médicos.

El suministro de datos sensibles, incluidos los datos de salud, es facultativo. El titular no está obligado a autorizar su tratamiento; no obstante, dado que la valoración médica constituye un paso necesario dentro del proceso, la no entrega de dicha información puede impedir la prestación de los servicios coordinados a través de la plataforma. El tratamiento de estos datos se rige por lo dispuesto en el numeral 8 de esta Política.

7. FINALIDADES DEL TRATAMIENTO

TRUSTCARE trata los datos personales de los titulares para las finalidades que se describen a continuación.

7.1. Finalidades relacionadas con la operación de la plataforma:

a. Crear, gestionar y administrar la cuenta del usuario en la plataforma.

b. Facilitar la conexión entre el usuario y las clínicas, profesionales de salud y aliados independientes, presentándole opciones conforme a la información que suministra.

c. Coordinar los aspectos administrativos y logísticos de la experiencia de turismo médico del usuario.

d. Transmitir a los profesionales de salud y prestadores correspondientes la información necesaria para que estos evalúen la viabilidad del procedimiento y presten sus servicios.

e. Gestionar el recaudo y la dispersión de los pagos asociados a los servicios contratados a través de la plataforma.

f. Enviar al usuario notificaciones, recordatorios y comunicaciones relacionadas con su proceso.

7.2. Otras finalidades:

a. Atender las peticiones, consultas, quejas y reclamos de los titulares.

b. Cumplir las obligaciones legales, tributarias, contables y regulatorias a cargo de TRUSTCARE, y atender requerimientos de autoridades competentes.

c. Evaluar, mejorar y desarrollar la calidad y la seguridad de la plataforma y de los servicios que en ella se coordinan.

d. Enviar información comercial, promocional o de novedades sobre la plataforma, siempre que el titular lo haya autorizado y sin perjuicio de su derecho a solicitar en cualquier momento que se suspenda este tipo de comunicaciones.

PARÁGRAFO — Finalidad del tratamiento de datos sensibles: Los datos sensibles relativos a la salud se tratan con la única finalidad de permitir que los profesionales de salud evalúen la viabilidad del procedimiento y presten la atención correspondiente, así como de coordinar los aspectos asociados a dicha atención. TRUSTCARE no utiliza los datos de salud para finalidades distintas de las aquí señaladas.

8. TRATAMIENTO DE DATOS SENSIBLES Y DE SALUD

Dada la naturaleza de la actividad de TRUSTCARE, el tratamiento de los datos sensibles relativos a la salud se sujeta a las siguientes reglas especiales:

1. Carácter facultativo y autorización cualificada: La entrega de datos de salud es facultativa. Su tratamiento requiere la autorización previa, expresa e informada del titular, otorgada de manera específica para dichos datos. Al recolectarlos, TRUSTCARE informa al titular que no está obligado a autorizar su tratamiento.
2. Finalidad restringida: Los datos de salud se tratan únicamente para las finalidades señaladas en el parágrafo del numeral 7 de esta Política, esto es, permitir la valoración de la viabilidad del procedimiento por parte del profesional de salud, la prestación de la atención y la coordinación de los aspectos asociados a ella.
3. Rol de TRUSTCARE respecto de los datos de salud: La información clínica que el titular comparte con el fin de ser valorado por un profesional de salud está destinada a dicho profesional y a la institución prestadora correspondiente. En relación con esta información, TRUSTCARE actúa como un canal que la transmite de forma segura al prestador, quien la incorpora a sus propios sistemas y es responsable de su conservación conforme a la normativa que le resulte aplicable en su calidad de prestador de servicios de salud. La relación clínica y la custodia de la historia clínica corresponden al prestador, no a TRUSTCARE.
4. Acceso restringido: El acceso a los datos de salud dentro del ecosistema se limita a las personas y roles que requieren conocerlos para las finalidades autorizadas, bajo deberes de confidencialidad y medidas de seguridad.
5. Medidas de seguridad reforzadas: La información de salud se protege mediante medidas de seguridad acordes con su carácter sensible, conforme a lo señalado en el numeral 14 de esta Política.

9. AUTORIZACIÓN DEL TITULAR

9.1. Obtención de la autorización: TRUSTCARE recolecta la autorización del titular de manera previa, expresa e informada, por medios que permiten conservar prueba de su otorgamiento. La autorización se solicita al momento del registro o, a más tardar, antes de la recolección de los datos correspondientes.

9.2. Autorización para datos sensibles: Tratándose de datos sensibles relativos a la salud, la autorización se obtiene de manera específica y diferenciada, informando al titular que no está obligado a otorgarla, conforme al numeral 8 de esta Política.

9.3. Prueba de la autorización: TRUSTCARE conserva la evidencia de la autorización otorgada por el titular, en los términos exigidos por la normativa aplicable.

9.4. Casos en que no se requiere autorización: Conforme al artículo 10 de la Ley 1581 de 2012, no será necesaria la autorización cuando se trate de: (i) información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; (ii) datos de naturaleza pública; (iii) casos de urgencia médica o sanitaria; (iv) tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; y (v) datos relacionados con el Registro Civil de las Personas.

9.5. Revocatoria de la autorización: El titular puede revocar la autorización otorgada en cualquier momento, conforme al procedimiento descrito en el numeral 11 de esta Política, salvo que exista un deber legal o contractual que impida su supresión.

10. DERECHOS DEL TITULAR

Conforme a la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos:

a. Conocer, actualizar y rectificar sus datos personales frente a TRUSTCARE. Este derecho se puede ejercer, entre otros, respecto de datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.

b. Solicitar prueba de la autorización otorgada a TRUSTCARE, salvo en los casos en que la ley exceptúa la autorización como requisito para el tratamiento.

c. Ser informado por TRUSTCARE, previa solicitud, respecto del uso que se ha dado a sus datos personales.

d. Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a la Ley 1581 de 2012 y sus normas reglamentarias, una vez agotado el trámite de consulta o reclamo ante TRUSTCARE.

e. Revocar la autorización y solicitar la supresión de sus datos, cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, o cuando la autoridad haya determinado que en el tratamiento TRUSTCARE incurrió en conductas contrarias a la ley. La revocatoria y supresión procederán salvo que exista un deber legal o contractual que imponga conservar los datos.

f. Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

PARÁGRAFO — Legitimación para el ejercicio de los derechos: Los derechos de los titulares podrán ser ejercidos por el titular, por sus causahabientes, por su representante o apoderado, o por quien resulte legitimado conforme a la ley. Tratándose de menores de edad, los derechos serán ejercidos por sus representantes legales, conforme al numeral 15 de esta Política.

11. PROCEDIMIENTO PARA EL EJERCICIO DE DERECHOS: CONSULTAS Y RECLAMOS

El titular podrá ejercer sus derechos a través del canal de atención dispuesto por TRUSTCARE, indicado en el numeral 2 de esta Política. Las solicitudes se tramitarán conforme al siguiente procedimiento.

11.1. Consultas

El titular podrá consultar la información personal que repose en las bases de datos de TRUSTCARE. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de su recibo. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado antes del vencimiento de los 10 días, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

11.2. Reclamos

Cuando el titular considere que su información debe ser corregida, actualizada o suprimida, o cuando advierta un presunto incumplimiento de sus derechos, podrá presentar un reclamo, que se tramitará así:

a. El reclamo se formula mediante solicitud dirigida a TRUSTCARE, con la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección de contacto, y los documentos que se quieran hacer valer.

b. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.

c. El reclamo será atendido en un término máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

11.3. Requisito de procedibilidad

El titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante TRUSTCARE.

11.4. Atención de solicitudes de supresión y revocatoria

Las solicitudes de supresión de datos y de revocatoria de la autorización se atenderán conforme al procedimiento de reclamo descrito en este numeral. La supresión procederá cuando no exista un deber legal o contractual de conservar los datos. Cuando la supresión total no proceda por dicha razón, TRUSTCARE lo informará al titular y conservará únicamente los datos respecto de los cuales exista el referido deber, por el tiempo que este imponga.

12. ENCARGADOS Y TERCEROS CON ACCESO A LOS DATOS

En desarrollo de su actividad, TRUSTCARE puede permitir el acceso a datos personales a terceros que los tratan por su cuenta, en calidad de encargados, o que los reciben en su propia calidad de responsables. En todos los casos, dicho acceso se limita a lo necesario para las finalidades autorizadas y se sujeta a deberes de confidencialidad y seguridad.

12.1. Encargados del tratamiento: TRUSTCARE se apoya en proveedores de servicios tecnológicos y de infraestructura que tratan datos personales por su cuenta y siguiendo sus instrucciones —tales como proveedores de alojamiento en la nube y de procesamiento de la información—. Estos encargados están obligados, por virtud de la relación contractual con TRUSTCARE, a tratar los datos únicamente para las finalidades autorizadas y a implementar las medidas de seguridad correspondientes.

12.2. Prestadores de servicios de salud y aliados: Las clínicas, profesionales de salud y aliados a quienes se transmite la información necesaria para la prestación de los servicios tratan los datos en su propia calidad y bajo su propia responsabilidad, conforme a la normativa que les resulte aplicable. En particular, respecto de los datos clínicos, el prestador de salud es responsable de su tratamiento y conservación, conforme a lo señalado en el numeral 8 de esta Política.

12.3. Terceros por mandato legal: TRUSTCARE podrá suministrar datos personales a autoridades administrativas o judiciales cuando medie requerimiento en ejercicio de sus funciones, o cuando exista un deber legal de hacerlo.

PARÁGRAFO: La transmisión de datos a encargados ubicados fuera de Colombia se sujeta a lo dispuesto en el numeral 13 de esta Política sobre transferencia y transmisión internacional de datos.

13. TRANSFERENCIA Y TRANSMISIÓN INTERNACIONAL DE DATOS

Para la operación de la plataforma, TRUSTCARE trata datos personales a través de proveedores e infraestructura ubicados fuera de Colombia. En consecuencia, al aceptar esta Política, el titular conoce y autoriza que sus datos puedan ser objeto de transmisión y transferencia internacional, en los términos que se describen a continuación.

13.1. Transmisión internacional a encargados: Los datos tratados por proveedores de infraestructura y tecnología ubicados en el exterior se sujetan a un contrato de transmisión de datos entre TRUSTCARE y el respectivo encargado, que impone a este el deber de aplicar las medidas de seguridad y confidencialidad correspondientes y de tratar los datos únicamente conforme a las instrucciones y finalidades autorizadas por TRUSTCARE, de conformidad con el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.

13.2. Transferencia internacional: Cuando haya lugar a transferencia internacional de datos a un responsable ubicado en el exterior, TRUSTCARE observará lo dispuesto en el artículo 26 de la Ley 1581 de 2012, adoptando los mecanismos que la normativa prevé para el efecto, tales como la autorización del titular u otros que resulten aplicables.

13.3. Autorización del titular: La aceptación de esta Política constituye autorización expresa del titular para la transmisión y transferencia internacional de sus datos personales, en los términos aquí descritos y para las finalidades señaladas en el numeral 7.

14. MEDIDAS DE SEGURIDAD

TRUSTCARE adopta medidas técnicas, humanas y administrativas razonables y apropiadas para proteger los datos personales de los titulares y evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento, en aplicación del principio de seguridad de la Ley 1581 de 2012.

Estas medidas incluyen, entre otras:

a. El cifrado de la información en su transmisión y en su almacenamiento, mediante protocolos y estándares reconocidos en la industria.

b. La gestión de accesos basada en roles, de manera que cada persona acceda únicamente a la información que requiere para el cumplimiento de sus funciones.

c. El aislamiento de la información, de modo que la información asociada a un prestador no sea accesible por otros.

d. La sujeción de los proveedores de infraestructura y tecnología a estándares de seguridad reconocidos, acreditados mediante las certificaciones correspondientes.

e. Deberes de confidencialidad a cargo de quienes intervienen en el tratamiento de los datos.

PARÁGRAFO: TRUSTCARE revisa y actualiza periódicamente sus medidas de seguridad, con el fin de adecuarlas a la evolución de los riesgos y de las mejores prácticas aplicables. El detalle de las medidas de seguridad aplicables a la información se describe en la Política de Privacidad de TRUSTCARE.

15. TRATAMIENTO DE DATOS DE MENORES DE EDAD

El uso de la plataforma está reservado a personas mayores de edad, conforme a los Términos y Condiciones de TRUSTCARE. En consecuencia, TRUSTCARE no recolecta ni trata de manera consciente datos personales de menores de edad directamente de estos.

No obstante, cuando el tratamiento de datos de un menor resulte necesario —por ejemplo, cuando un procedimiento se coordine en favor de un menor a través de su representante legal—, dicho tratamiento se sujetará a las siguientes reglas:

a. El tratamiento responderá al interés superior del menor y asegurará el respeto de sus derechos fundamentales.

b. La autorización será otorgada por el representante legal del menor, previo ejercicio del derecho del menor a ser escuchado, valorando su opinión en función de su madurez, autonomía y capacidad para entender el asunto.

c. El representante legal será responsable de acreditar su condición y de la veracidad de la información suministrada respecto del menor.

16. VIGENCIA DE LA POLÍTICA Y PERÍODO DE CONSERVACIÓN DE LOS DATOS

16.1. Vigencia de la Política: La presente Política rige a partir de su fecha de publicación y permanece vigente mientras TRUSTCARE desarrolle su actividad. Su fecha de entrada en vigencia es el _____________________.

16.2. Período de conservación de los datos: Los datos personales se conservarán durante el tiempo que resulte necesario para cumplir las finalidades que justificaron su tratamiento, y por los términos adicionales que impongan las obligaciones legales, contables, tributarias o contractuales aplicables a TRUSTCARE, o que sean necesarios para atender eventuales reclamaciones.

Una vez cumplidas las finalidades del tratamiento y vencidos los términos de conservación aplicables, los datos serán suprimidos o sometidos a medidas que impidan su identificación, salvo que una obligación legal imponga su conservación.

16.3. Conservación de los datos clínicos: La conservación de la historia clínica y de la información médica corresponde al prestador de servicios de salud que la genera e incorpora a sus sistemas, conforme a los términos que la normativa aplicable le imponga en su calidad de prestador, según lo señalado en el numeral 8 de esta Política.

17. MODIFICACIONES A LA POLÍTICA

TRUSTCARE podrá modificar esta Política en cualquier momento, con el fin de adecuarla a cambios normativos, a nuevas exigencias regulatorias, o a ajustes en la operación de la plataforma o en las finalidades del tratamiento.

Cuando se realicen modificaciones, TRUSTCARE publicará la versión actualizada en la plataforma, indicando su fecha de vigencia. Cuando las modificaciones sean sustanciales —en particular, cuando afecten las finalidades del tratamiento o los derechos de los titulares—, TRUSTCARE lo comunicará a los titulares por un medio razonable con antelación a su entrada en vigencia.

Cuando la modificación de las finalidades lo requiera conforme a la ley, TRUSTCARE solicitará nuevamente la autorización de los titulares antes de tratar sus datos para las nuevas finalidades.