Política de Privacidad

1. Responsable del tratamiento

Surco Health (en adelante, "la Plataforma") opera el software de historia clínica electrónica, agenda y gestión clínica para consultorios médicos, dentales y psicológicos (en adelante, "la Clínica"). La Clínica es el responsable del tratamiento de los datos personales y sensibles de salud de sus pacientes. Surco Health actúa como encargado del tratamiento conforme a:

• Ley Estatutaria 1581 de 2012 — Habeas Data
• Decreto Reglamentario 1377 de 2013
• Resolución 1995 de 1999 — Manejo de Historia Clínica
• Resolución 839 de 2017 — Retención de HCE 15 años
• Resolución 866 de 2021 — Interoperabilidad FHIR

2. Datos recolectados

• Identificación: nombre, documento, fecha de nacimiento, sexo.
• Contacto: teléfono, correo, dirección, contacto de emergencia.
• Datos sensibles de salud: historia clínica, diagnósticos, exámenes, prescripciones, evolución, signos vitales, notas psicológicas SOAP, odontograma.
• Datos administrativos: aseguradora (EPS), plan de salud, facturación.
• Metadatos técnicos: IP, navegador, fecha y hora de acceso a registros.

3. Finalidades

• Prestación del servicio de salud y registro de la historia clínica.
• Gestión de agenda, recordatorios de cita y comunicación clínica.
• Facturación, glosas y recobro a aseguradoras.
• Cumplimiento de obligaciones legales (HCE 15 años, reportes SIVIGILA, etc.).
• Interoperabilidad FHIR con otros prestadores de salud, previa autorización.
• Estadística agregada y anonimizada para mejora del servicio.

4. Datos sensibles de salud

Los datos clínicos son datos sensibles (Art. 5 Ley 1581) y requieren autorización previa, expresa e informada. La Clínica obtendrá esta autorización al primer contacto con el paciente. El paciente puede negarse a entregar datos sensibles, pero esto puede impedir la prestación del servicio.

5. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS 1.2+).
• Cifrado at-rest con pgcrypto sobre campos sensibles: notas SOAP psicológicas, antecedentes médicos, motivos de consulta psicológica.
• Audit log inmutable: cada acceso a HCE queda registrado con usuario, IP, timestamp y registro consultado (Res 1995/1999).
• HCE append-only: una vez firmada digitalmente (SHA-256), no se puede editar; solo se crean adendas con `previousRecordId` (Res 1995/1999).
• Control de acceso por rol: Recepción no ve HCE clínica.
• Copias de seguridad cifradas, retenidas por 15 años.

6. Derechos del titular (ARCO)

El paciente, como titular de sus datos, tiene derecho a:

• Acceso: conocer y obtener copia de su historia clínica (Bundle FHIR o PDF).
• Rectificación: solicitar corrección de datos inexactos. (En HCE, la corrección se hace por adenda — no se borra el registro original.)
• Cancelación / supresión: solicitar eliminación cuando no haya obligación legal de conservar los datos. Excepción: la HCE debe conservarse 15 años desde la última atención (Res 839/2017).
• Oposición: revocar la autorización para usos no obligatorios (estudios, marketing, interoperabilidad opcional).
• Portabilidad: recibir tus datos en formato estándar FHIR R4.

Para ejercer estos derechos, contacta a la Clínica donde recibiste atención. Si la respuesta no es satisfactoria, puedes radicar reclamación ante la Superintendencia de Industria y Comercio (SIC).

7. Conservación

La historia clínica se conserva durante 15 años desde la última atención, conforme a la Resolución 839 de 2017. Otros datos administrativos se conservan según el plazo legal aplicable (ej. facturación: 5 años — Art. 28 Decreto 624/1989, Estatuto Tributario).

8. Compartición

No vendemos ni cedemos datos a terceros. Compartimos solo con:

• Aseguradoras (EPS/prepagada) para facturación, con autorización del titular.
• Otros prestadores vía FHIR cuando el titular lo autoriza expresamente.
• Autoridades sanitarias cuando la ley lo exige (SIVIGILA, RIPS, etc.).
• Proveedores tecnológicos (hosting, mensajería) bajo contrato de encargo.

9. Contacto

Para consultas sobre esta política puedes escribir al correo de la Clínica donde recibiste atención, o a Surco Health en soporte@surcoapp.tech.

Oficial de protección de datos: dpo@surcoapp.tech