Acuerdo de transmisión de datos personales (encargo del tratamiento)

Este acuerdo se celebra en el marco de la Ley 1581 de 2012 y del Decreto 1377 de 2013, compilado en el Decreto Único Reglamentario 1074 de 2015, cuyo artículo 2.2.2.25.5.2 regula el contrato de transmisión de datos personales entre el responsable y el encargado del tratamiento. Hace parte de los Términos y condiciones para profesionales y lo aceptas de forma electrónica en la plataforma (Ley 527 de 1999), antes de trabajar en el panel. Mientras no lo aceptes, el panel te lleva a la pantalla de aceptación; no se borra ningún dato tuyo ni de tus pacientes.

1. Partes y roles

• Responsable del tratamiento: tú, el o la fisioterapeuta que usa la plataforma, respecto de los datos de tus pacientes propios (los que registras y atiendes con la plataforma). Tú decides para qué y cómo se tratan esos datos.
• Encargado del tratamiento: Diana Carolina Cortés Mazo, que opera la plataforma con la marca DC Fisioterapia («DC Fisioterapia» o «nosotros»). Tratamos esos datos solo por cuenta tuya y según tus instrucciones. Contacto: dccortes@dcfisioterapia.co · Dirección de notificaciones: Carrera 50a sur 41b 12, Bogotá D.C..

Tus instrucciones son las de este acuerdo y las que resultan de cómo usas las funciones de la plataforma (por ejemplo, agendar una cita, firmar una nota o enviar un recordatorio).

Para los pacientes que llegan por la plataforma aplica la sección 11.

2. Datos y titulares

Tratamos por cuenta tuya los datos de tus pacientes y de sus acudientes o representantes:

• Identificación y contacto: nombre, documento, fecha de nacimiento, celular, correo y dirección de atención.
• Agenda y pagos: citas, avisos enviados y, si los usas, pagos y comprobantes.
• Datos de salud (sensibles): motivo de consulta, antecedentes, valoraciones, notas clínicas, planes en casa, transcripciones y, si el paciente lo autorizó, el audio de la sesión, además de firmas, documentos y archivos que cargues.
• Evidencia de autorizaciones: fecha, hora, dirección IP, navegador, versión del texto y firma.

Tus datos como profesional (por ejemplo, tus datos de facturación) no hacen parte de este encargo: DC Fisioterapia los trata como responsable, según su Política de tratamiento de datos.

3. Finalidad: solo prestarte el servicio

Usamos los datos de tus pacientes solo para prestarte el servicio de la plataforma: guardarlos y mostrártelos, agendar y enviar avisos, generar documentos y certificados, transcribir sesiones, preparar sugerencias con inteligencia artificial que tú revisas, hacer copias de seguridad, darte soporte cuando lo pidas, proteger la seguridad del sistema y cumplir obligaciones legales.

Nunca vendemos ni cedemos esos datos, no los usamos para publicidad ni para contactar a tus pacientes con fines propios, no los usamos para atenderlos nosotros y no los usamos para entrenar modelos de inteligencia artificial. Solo usamos cifras agregadas, que no identifican a nadie, para operar la plataforma (por ejemplo, contar las sesiones atendidas o las sesiones con IA de tu estado de cuenta).

4. Nuestras obligaciones como encargado

Según el artículo 18 de la Ley 1581 de 2012 y el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, nos comprometemos a:

1. Tratar los datos por cuenta tuya, conforme a los principios de la ley (legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad) y a tu política de tratamiento de datos.
2. Proteger la seguridad de la información (sección 6).
3. Guardar confidencialidad, también después de que termine este acuerdo. Las personas que trabajan con nosotros y pueden acceder a la información tienen la misma obligación de reserva.
4. Acceder a los datos de tus pacientes solo cuando sea necesario: para darte el soporte que pidas, mantener o restaurar el sistema o cumplir una orden de autoridad. Los accesos quedan en el registro de auditoría.
5. Ayudarte a atender las solicitudes de los titulares (sección 9).
6. Avisarte de los incidentes de seguridad (sección 8).
7. Usar solo los subencargados de la sección 7.
8. Devolver o suprimir los datos al terminar (sección 10).
9. Darte la información razonable que nos pidas para verificar que cumplimos este acuerdo.

5. Tus obligaciones como responsable

• Obtener la autorización previa, expresa e informada de tus pacientes para tratar sus datos, incluida la autorización para sus datos de salud, que son sensibles y de respuesta facultativa, e informarles que usas la plataforma de DC Fisioterapia como encargado. Puedes usar los formatos de la plataforma, que guardan la evidencia de la firma.
• Tener tu propia política de tratamiento de datos (puedes tomar como base la de la plataforma) y atender a tus pacientes cuando ejerzan sus derechos.
• Inscribir tus bases de datos en el Registro Nacional de Bases de Datos de la Superintendencia de Industria y Comercio, si la ley te obliga.
• Darnos solo instrucciones lícitas y no cargar datos que no necesites para la atención.
• Cuidar tu cuenta y avisarnos de inmediato de cualquier incidente.

6. Medidas de seguridad

• Cifrado en reposo de los datos más sensibles (número de documento, dirección, motivo de consulta, notas clínicas, transcripciones y audios) con la biblioteca criptográfica libsodium, y conexión cifrada (HTTPS) en todo el sitio.
• Control de acceso: contraseña y verificación en dos pasos para los profesionales; cada profesional ve solo a sus pacientes; las funciones de administración son limitadas.
• Registro de auditoría de los accesos y de las acciones relevantes.
• Copias de seguridad diarias, comprimidas y cifradas.
• Inteligencia artificial solo con información anonimizada: antes del envío se quitan nombres, documentos, teléfonos, correos y direcciones.
• El audio de las sesiones se borra automáticamente al cumplirse su plazo de conservación (hoy, 90 días).

El detalle está en la Política de seguridad de la información.

7. Subencargados

Para prestar el servicio usamos proveedores que tratan datos por cuenta nuestra (subencargados):

• Alojamiento del sitio, la base de datos y las copias de seguridad.
• Almacenamiento en la nube y calendario, donde se guardan copias de la historia clínica y los eventos de las citas.
• Inteligencia artificial, que recibe solo información anonimizada.
• Mensajería y correo electrónico para los avisos de citas (sin información clínica por WhatsApp) y el envío de documentos.
• Videollamadas para las sesiones virtuales y reconocimiento de voz del navegador para la transcripción.

La lista de proveedores y de los países donde guardan la información está en la Política de tratamiento de datos. Algunos están fuera de Colombia: la transmisión se hace con condiciones contractuales que les exigen proteger los datos en los términos de la ley. Te avisaremos antes de agregar un tipo nuevo de subencargado; si no estás de acuerdo, puedes terminar el servicio y pedir la devolución de los datos.

8. Incidentes de seguridad

Si conocemos un incidente que afecte los datos de tus pacientes (acceso no autorizado, pérdida o alteración), te avisaremos sin demora y a más tardar dentro de los tres (3) días hábiles siguientes, con lo que sabemos: qué pasó, qué datos se afectaron, qué medidas tomamos y qué te recomendamos. Te apoyaremos para que, como responsable, informes a la Superintendencia de Industria y Comercio cuando corresponda (artículos 17 y 18 de la Ley 1581 de 2012).

9. Derechos de los titulares

Tus pacientes pueden conocer, actualizar, rectificar y pedir la supresión de sus datos, pedir prueba de su autorización, revocarla y acudir a la Superintendencia de Industria y Comercio (artículo 8 de la Ley 1581 de 2012). Como responsable, atiendes sus consultas en máximo diez (10) días hábiles y sus reclamos en máximo quince (15) días hábiles (artículos 14 y 15 de esa ley).

La plataforma te da herramientas para consultar, corregir y exportar sus datos. Si un paciente tuyo nos escribe a nosotros, te trasladamos su solicitud dentro de los dos (2) días hábiles siguientes y te ayudamos con la respuesta; no respondemos por ti, salvo que nos lo pidas.

La historia clínica no se puede suprimir mientras corra el plazo de conservación que exige la Resolución 839 de 2017.

10. Duración, devolución y supresión

• Este acuerdo dura mientras uses la plataforma. La confidencialidad sigue después de que termine.
• Si tu plan vence, la plataforma pasa a un modo restringido, pero siempre conservas el acceso a los datos y a las historias clínicas de tus pacientes: no los bloqueamos ni los suprimimos por falta de pago.
• Al terminar, durante sesenta (60) días calendario puedes pedir la exportación de los datos de tus pacientes y de sus historias clínicas en formatos de uso común. Como debes conservar las historias clínicas por el plazo legal, te entregamos una copia completa antes de suprimir.
• Cuando confirmes que recibiste la copia, o al vencer ese plazo, suprimimos los datos de tus pacientes de la plataforma, salvo lo que la ley nos obligue a conservar o lo que acordemos por escrito (por ejemplo, que sigamos custodiando las historias clínicas por cuenta tuya). Las copias de seguridad cifradas que los contengan solo se usan para restaurar el sistema ante una falla y se eliminan según su ciclo de conservación.

11. Pacientes que llegan por la plataforma

Cuando un paciente llega por la plataforma, DC Fisioterapia es responsable de los datos que recoge para atender su solicitud (contacto, agenda y pagos, incluido el pago de sus sesiones cuando lo hace a la plataforma), según su Política de tratamiento de datos. La historia clínica que elaboras como profesional tratante la tratamos por cuenta tuya, en los mismos términos de este acuerdo. Los dos usamos esos datos solo para la atención del paciente.

12. Cambios y contacto

Si este acuerdo cambia, publicaremos la nueva versión y te pediremos aceptarla en la plataforma. Para cualquier asunto sobre datos personales, escríbenos a dccortes@dcfisioterapia.co (asunto sugerido: «Datos de mis pacientes») o al WhatsApp +57 302 783 4407.

Vigente desde el 22 de octubre de 2026 (versión 1.2).

---

Documento sujeto a validación por abogado.