Política de Tratamiento de Datos Personales

1. Identificación del responsable

2. Objeto y alcance

Esta Política explica cómo Faro Healthtech recolecta, almacena, usa, circula, transmite y suprime datos personales, y cómo los titulares pueden ejercer sus derechos. Aplica a todas las bases de datos y archivos con datos personales que Faro Healthtech trate en Colombia o desde el exterior, cuando la ley colombiana sea aplicable.

3. Marco normativo

• Constitución Política de Colombia, artículos 15 (hábeas data e intimidad) y 20.
• Ley Estatutaria 1581 de 2012, de protección de datos personales.
• Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulos 25 y 26. Compila el Decreto 1377 de 2013 y el Decreto 886 de 2014, este último sobre el Registro Nacional de Bases de Datos.
• Instrucciones de la Superintendencia de Industria y Comercio (SIC), en especial la Circular Externa 002 de 2024, sobre tratamiento de datos personales en sistemas de inteligencia artificial, y la Circular Externa 003 de 2025, sobre cláusulas contractuales modelo para transferencias y transmisiones internacionales.

4. Definiciones

Se usan las definiciones del artículo 3 de la Ley 1581 de 2012 y del Decreto 1074 de 2015. Las principales son:

• Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación. Incluye, entre otros, los datos relativos a la salud (artículo 5 de la Ley 1581 de 2012).
• Titular: la persona natural cuyos datos son objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.
• Responsable del tratamiento: quien decide sobre la base de datos o el tratamiento de los datos.
• Encargado del tratamiento: quien trata datos personales por cuenta del Responsable.
• Autorización: consentimiento previo, expreso e informado del titular.
• Aviso de privacidad: comunicación que informa al titular sobre la existencia de la política, la forma de acceder a ella y las finalidades del tratamiento.
• Transferencia: envío de datos a un receptor que, a su vez, es Responsable del tratamiento, dentro o fuera de Colombia.
• Transmisión: comunicación de datos a un Encargado, dentro o fuera de Colombia, para que los trate por cuenta del Responsable.

5. Principios

Faro Healthtech aplica los principios del artículo 4 de la Ley 1581 de 2012:

• Legalidad: trata los datos conforme a la ley.
• Finalidad: solo para propósitos legítimos que informa al titular.
• Libertad: solo con autorización, salvo las excepciones legales.
• Veracidad o calidad: datos completos, exactos y actualizados.
• Transparencia: el titular puede saber qué datos suyos se tratan.
• Acceso y circulación restringida: solo acceden las personas autorizadas.
• Seguridad: medidas técnicas, humanas y administrativas adecuadas.
• Confidencialidad: reserva de la información, incluso después de terminada la relación.

Además, Faro Healthtech aplica el principio de responsabilidad demostrada: documenta sus medidas para poder demostrar ante la SIC que cumple la ley.

6. Los dos roles de Faro Healthtech: Responsable y Encargado

Faro Healthtech trata datos personales en dos calidades distintas, y es importante diferenciarlas porque cambian las obligaciones y a quién debe dirigirse el titular.

6.1 Como RESPONSABLE: datos de sus propios clientes

Faro Healthtech decide por qué y cómo trata los datos de los profesionales de la salud que contratan o consultan sus servicios, de sus contactos comerciales, de los visitantes de su sitio web, de sus proveedores y de sus colaboradores. En este rol, Faro Healthtech:

• Define las finalidades, que se describen en la sección 7.1.
• Solicita directamente la autorización de los titulares.
• Atiende directamente las consultas y reclamos de esos titulares.

6.2 Como ENCARGADO: datos de los pacientes de sus clientes

Cuando un paciente agenda una cita, escribe al chatbot o llena un formulario en la página web de un profesional de la salud desarrollada por Faro Healthtech, el Responsable de esos datos es el profesional de la salud. Es el profesional quien decide para qué los usa: agendar, recordar citas, programar controles o contactar al paciente. Faro Healthtech solo los trata por cuenta y siguiendo las instrucciones del profesional, para que la herramienta funcione. En este rol, Faro Healthtech:

• No usa los datos de los pacientes para fines propios: ni publicidad, ni venta, ni entrenamiento de modelos de inteligencia artificial, ni ningún otro.
• Trata los datos únicamente según las instrucciones del profesional y el contrato de transmisión de datos firmado con él (artículo 2.2.2.25.5.2 del Decreto 1074 de 2015).
• Cumple los deberes de los Encargados del artículo 18 de la Ley 1581 de 2012.
• Si recibe directamente una consulta o reclamo de un paciente, la traslada al profesional responsable y colabora con él para que se responda dentro de los plazos legales.

6.3 Resumen de roles

7. Finalidades del tratamiento

7.1 Cuando Faro Healthtech es Responsable

Clientes y prospectos (profesionales de la salud):

• Contactarlos, agendar asesorías y enviar propuestas comerciales.
• Celebrar y ejecutar contratos, desarrollar los proyectos, prestar soporte y gestionar renovaciones.
• Facturar, cobrar y cumplir obligaciones contables y tributarias.
• Enviar información sobre servicios, novedades y eventos de Faro Healthtech, solo con autorización. El titular puede retirarla en cualquier momento.
• Medir la satisfacción y mejorar los servicios.
• Mencionar el proyecto en el portafolio, salvo oposición del cliente.

Visitantes del sitio web de Faro Healthtech: responder solicitudes de contacto y analizar de forma agregada el uso del sitio (sección 12).

Proveedores y colaboradores: gestionar la relación contractual o laboral, los pagos y las obligaciones legales.

7.2 Cuando Faro Healthtech es Encargado

Faro Healthtech trata los datos de los pacientes únicamente para las finalidades que define el profesional de la salud. Típicamente son estas:

• Gestionar el agendamiento, la confirmación, la reprogramación y la cancelación de citas.
• Enviar recordatorios de citas y de controles o seguimientos programados.
• Responder, mediante el chatbot o el formulario, preguntas administrativas: horarios, ubicación, tipos de valoración y requisitos previos.
• Canalizar mensajes de contacto hacia el consultorio por WhatsApp, teléfono o correo.
• Mantener, respaldar y proteger la información para que la herramienta funcione.

8. Datos sensibles: datos de salud

8.1 Qué datos sensibles pueden tratarse

Al agendar una cita o escribir al chatbot o al formulario, el paciente puede compartir datos relativos a su salud: por ejemplo, el motivo general de la consulta, el tipo de valoración que necesita o el seguimiento de un tratamiento. Estos son datos sensibles según el artículo 5 de la Ley 1581 de 2012.

8.2 Reglas que se aplican

Conforme al artículo 6 de la Ley 1581 de 2012 y al Decreto 1074 de 2015:

• Los datos sensibles solo se tratan con autorización explícita del titular, salvo las excepciones previstas en la ley.
• Antes de recolectarlos, se informa al titular que no está obligado a autorizar su tratamiento ni a responder preguntas sobre datos sensibles. También se le informa cuáles de los datos solicitados son sensibles y para qué se usarán.
• Ninguna actividad se condiciona a que el titular entregue datos sensibles, salvo que sean estrictamente necesarios para prestar el servicio solicitado. Por ejemplo, es necesario el tipo de valoración para asignar la cita correcta.

8.3 Minimización en las herramientas

Faro Healthtech configura las herramientas para recoger solo lo necesario para gestionar la cita:

• Los formularios y el chatbot piden datos de identificación y contacto y, como máximo, el tipo de valoración o un motivo general de consulta.
• El chatbot muestra un aviso para que el paciente no comparta detalles clínicos, como diagnósticos, resultados de exámenes o síntomas detallados, y le indica que esa información se trata directamente en la consulta.
• El chatbot no hace diagnósticos ni orientación médica, ni toma decisiones automatizadas que produzcan efectos clínicos sobre el paciente. Ante una urgencia, indica que debe comunicarse con la línea de emergencias 123 o acudir al servicio de urgencias más cercano.
• Las herramientas no reemplazan la historia clínica, que es responsabilidad exclusiva del profesional de la salud y se rige por su propia normativa.

8.4 Niños, niñas y adolescentes

Cuando el paciente sea menor de edad, la autorización la otorga su representante legal, respetando el interés superior del menor y su derecho a ser escuchado, conforme al artículo 7 de la Ley 1581 de 2012 y al Decreto 1074 de 2015.

9. Autorización del titular

• La autorización se obtiene antes de recolectar los datos, por escrito, de forma oral o mediante conductas inequívocas, y queda constancia que permite consultarla después.
• En medios digitales, se obtiene mediante una casilla no marcada previamente junto al enlace a esta Política o al aviso de privacidad. En el chatbot, se obtiene mediante un mensaje de autorización que el usuario acepta antes de entregar sus datos.
• Faro Healthtech conserva la prueba de las autorizaciones que obtiene como Responsable. Como Encargado, conserva en las herramientas el registro de las autorizaciones que se obtienen por cuenta del profesional y lo pone a su disposición.
• No se requiere autorización en los casos del artículo 10 de la Ley 1581 de 2012: información requerida por una entidad pública en ejercicio de sus funciones o por orden judicial, datos de naturaleza pública, casos de urgencia médica o sanitaria, tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, y datos del Registro Civil.

10. Derechos de los titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, salvo cuando la ley no la exija.
• Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, después de agotar el trámite de consulta o reclamo ante el Responsable o el Encargado.
• Revocar la autorización o solicitar la supresión de sus datos, cuando no exista un deber legal o contractual que obligue a conservarlos.
• Acceder en forma gratuita a sus datos personales.

11. Procedimiento para consultas y reclamos

11.1 Canales

Las consultas y los reclamos se reciben en farohealthtech@gmail.com y por WhatsApp al +57 333 277 8630. Los atiende el equipo de Faro Healthtech. Pueden presentarlos el titular, sus causahabientes, su representante o apoderado, o quien estipule a su favor, acreditando su identidad o calidad.

11.2 Consultas (artículo 14 de la Ley 1581 de 2012)

Sirven para conocer la información personal que reposa en las bases de datos.

• Se responden en un máximo de diez (10) días hábiles desde su recibo.
• Si no es posible responder en ese plazo, se informan al titular los motivos y la nueva fecha, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

11.3 Reclamos (artículo 15 de la Ley 1581 de 2012)

Sirven para solicitar la corrección, actualización o supresión de datos, revocar la autorización o denunciar un incumplimiento.

• El reclamo debe incluir la identificación del titular, la descripción de los hechos, la dirección de respuesta y los documentos que se quieran hacer valer.
• Si el reclamo está incompleto, se pide al interesado que lo complete dentro de los cinco (5) días siguientes a su recepción. Si pasan dos (2) meses sin que lo complete, se entiende que desistió del reclamo.
• Cuando quien recibe el reclamo no es competente para resolverlo, lo traslada a quien corresponda en un máximo de dos (2) días hábiles e informa al interesado.
• Una vez recibido el reclamo completo, se incluye en la base de datos la leyenda "reclamo en trámite" en un máximo de dos (2) días hábiles, y se mantiene hasta que se resuelva.
• El reclamo se resuelve en un máximo de quince (15) días hábiles desde el día siguiente a su recibo. Si no es posible, se informan los motivos y la nueva fecha, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

11.4 Requisito previo para acudir a la SIC

Conforme al artículo 16 de la Ley 1581 de 2012, el titular solo podrá presentar una queja ante la Superintendencia de Industria y Comercio después de agotar el trámite de consulta o reclamo ante el Responsable o el Encargado.

11.5 Solicitudes de pacientes de los clientes

Si la solicitud se refiere a datos tratados por Faro Healthtech como Encargado, Faro Healthtech la trasladará al profesional de la salud responsable dentro de los dos (2) días hábiles siguientes. Luego colaborará con él para que pueda responder dentro de los plazos de los artículos 14 y 15 de la Ley 1581 de 2012, e informará de ello al interesado.

12. Uso de cookies en las páginas web

Las páginas web de Faro Healthtech y las que desarrolla para sus clientes pueden usar cookies y tecnologías similares. Una cookie es un pequeño archivo que el sitio guarda en el navegador del visitante. Hoy, el sitio www.farohealthtech.com solo usa almacenamiento esencial para funcionar, como la sesión del panel del equipo, y no usa cookies de analítica ni de publicidad.

• En Colombia no existe una ley específica de cookies. Cuando las cookies recogen datos personales, se aplica la Ley 1581 de 2012. Por eso, las cookies no esenciales solo se activan después de que el visitante las acepta en el banner de cookies, que permite aceptar, rechazar o configurar cada categoría.
• El visitante puede cambiar su decisión en cualquier momento desde el banner de cookies, o eliminar las cookies desde su navegador.
• Las cookies de terceros, como Google o Meta, se rigen además por las políticas de esos terceros.

13. Medidas de seguridad

Faro Healthtech adopta medidas técnicas, humanas y administrativas razonables, proporcionales a la sensibilidad de los datos. Entre ellas:

• Cifrado de la información en tránsito (HTTPS/TLS) en todas las páginas, formularios, agendamiento y chatbot.
• Proveedores de hosting y de nube con estándares reconocidos de seguridad y cifrado de la información almacenada cuando el servicio lo permita.
• Control de accesos por roles, contraseñas robustas y verificación en dos pasos para cuentas administrativas.
• Acceso a los datos de pacientes limitado al personal estrictamente necesario, con compromisos de confidencialidad firmados.
• Copias de respaldo periódicas, actualizaciones de seguridad y registro de accesos.
• Minimización de datos y eliminación o anonimización cuando se cumple la finalidad.
• Procedimiento de gestión de incidentes: Faro Healthtech informa a la SIC de las violaciones a los códigos de seguridad que generen riesgos en la administración de la información de los titulares, como Responsable, conforme al literal n del artículo 17 de la Ley 1581 de 2012. Como Encargado, informa al profesional responsable sin dilación y en un máximo de setenta y dos (72) horas desde que detecta el incidente, y colabora con el reporte que él debe hacer.

14. Transferencia y transmisión de datos a proveedores

Para prestar sus servicios, Faro Healthtech puede transmitir datos personales a proveedores que actúan como Encargados, dentro o fuera de Colombia, con estos fines:

Para estas transmisiones, Faro Healthtech:

• Suscribe contratos de transmisión o acepta términos de tratamiento de datos que obliguen al proveedor a tratar los datos solo según las instrucciones recibidas, con medidas de seguridad y confidencialidad, conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Cuando existe ese contrato, la ley no exige una autorización adicional del titular para la transmisión.
• Para transferencias internacionales, verifica que el país de destino ofrezca un nivel adecuado de protección según los estándares de la SIC (artículo 26 de la Ley 1581 de 2012). Si no lo ofrece, se apoya en las excepciones legales, en la declaración de conformidad de la SIC o en las cláusulas contractuales modelo de la Circular Externa 003 de 2025, según corresponda.
• En los proveedores de inteligencia artificial, siguiendo la Circular Externa 002 de 2024 de la SIC, evalúa los riesgos antes de usarlos y prefiere servicios que contractualmente no usen los datos para entrenar sus modelos. Además, aplica minimización y deja siempre la posibilidad de hablar con una persona del consultorio.
• No vende ni cede los datos personales a terceros con fines comerciales. Solo los transfiere a otro Responsable cuando existe autorización del titular o un mandato legal.

15. Vigencia de las bases de datos y conservación

• Los datos de clientes se conservan mientras dure la relación contractual y, después, durante el tiempo necesario para cumplir obligaciones legales, contables y tributarias, o para atender reclamaciones.
• Los datos de prospectos que no contraten se conservan por veinticuatro (24) meses desde el último contacto, salvo que el titular autorice un plazo mayor o pida antes su supresión.
• Los datos de pacientes, tratados como Encargado, se conservan mientras esté vigente el contrato con el profesional de la salud. Al terminar, se le devuelven o se suprimen según sus instrucciones, salvo obligación legal de conservarlos.
• Las bases de datos de Faro Healthtech estarán vigentes mientras subsista su actividad.
• Registro Nacional de Bases de Datos (RNBD): Faro Healthtech inscribirá sus bases de datos en el RNBD de la SIC si está obligada a hacerlo según el Decreto 1074 de 2015 y las instrucciones de la SIC vigentes. Hoy están obligadas, entre otras, las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT.

16. Modificaciones y vigencia de la Política

Esta Política rige desde el 17 de octubre de 2026. Cualquier cambio sustancial se comunicará a los titulares antes de aplicarlo, por medio del sitio web o del correo electrónico. Si el cambio afecta las finalidades, se solicitará una nueva autorización.

¿Tienes preguntas sobre tus datos? Escríbenos a farohealthtech@gmail.com.