Política de privacidad y tratamiento de datos personales
1. Responsable del tratamiento
El responsable del tratamiento de los datos descritos en esta política es:
| Nombre | Oscar Alejandro Carvajal, persona natural |
|---|---|
| Documento | [COMPLETAR (opcional): número de cédula de ciudadanía] |
| Domicilio | [COMPLETAR: ciudad y dirección], Colombia |
| Correo para consultas y reclamos | oscar.alejo@gmail.com |
| Sitio web | https://asistente.com.co (producto: ClinicFlow) |
Esta política se expide en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único 1074 de 2015) y demás normas que los modifiquen o complementen, y de la Política de datos de usuario de los servicios de las APIs de Google.
2. Alcance y roles
- Usuarios del panel (personal de las clínicas que ingresa a ClinicFlow) y visitantes de este sitio: el responsable es la persona indicada en el numeral 1.
- Pacientes y contactos de cada clínica (nombre, teléfono, citas, mensajes de WhatsApp): cada clínica es la responsable de los datos de sus pacientes y obtiene su autorización. ClinicFlow actúa como encargado: trata esos datos únicamente por cuenta y según las instrucciones de la clínica, para prestar el servicio.
ClinicFlow está en fase piloto y no se ofrece para gestionar historias clínicas ni odontogramas; las clínicas no deben cargar esa información en la plataforma.
3. Datos que tratamos
| Titular | Datos |
|---|---|
| Usuarios del panel | Nombre, correo electrónico, rol, contraseña (guardada solo como huella cifrada irreversible), registros de actividad (acciones realizadas y dirección IP). |
| Pacientes y contactos (por cuenta de la clínica) | Nombre, número de teléfono, citas (fecha, hora, servicio, profesional, estado), mensajes de WhatsApp intercambiados con la clínica o con la asistente Sofía y notas de recepción. Los mensajes pueden contener información de salud que el propio paciente decide escribir (ver numeral 5). |
| Usuarios que conectan Google Calendar | Correo de la cuenta de Google conectada, el permiso de acceso (refresh token, guardado cifrado), el identificador de cada evento creado y fecha del último envío. Ver numeral 6. |
| Visitantes del sitio | Datos técnicos mínimos de conexión (dirección IP, navegador, fecha y hora) registrados por el servidor con fines de seguridad. |
4. Finalidades
- Permitir el acceso seguro al panel y gestionar usuarios, roles y clínicas.
- Agendar, reprogramar, cancelar y recordar citas; atender conversaciones de WhatsApp (con apoyo de la asistente Sofía y con intervención humana cuando corresponda).
- Reflejar las citas en el Google Calendar del profesional que decida conectarlo.
- Garantizar la seguridad, prevenir abusos y atender requerimientos de autoridades competentes.
- Atender consultas, reclamos y solicitudes de soporte.
No vendemos datos personales, no los usamos para publicidad de terceros ni para elaborar perfiles comerciales.
5. Datos sensibles y menores de edad
Los datos relativos a la salud son datos sensibles (artículo 5 de la Ley 1581 de 2012). ClinicFlow no solicita historia clínica; sin embargo, un paciente puede mencionar información de salud en una conversación (por ejemplo, el motivo de su cita). Ese contenido solo se trata para atender la conversación y la cita. El titular no está obligado a suministrar datos sensibles y la clínica debe informarle esa facultad y obtener su autorización previa, expresa e informada.
Los datos de niños, niñas y adolescentes solo se tratan cuando la clínica cuenta con la autorización de sus representantes legales y respetando el interés superior del menor (artículo 7).
6. Datos de Google (Google Calendar)
La conexión con Google Calendar es opcional y la hace cada usuario desde su propio panel mediante el flujo oficial de Google (OAuth 2.0). Puede conectar o desconectar en cualquier momento.
Qué permisos solicitamos y para qué
| Permiso (scope) | Uso en ClinicFlow |
|---|---|
https://www.googleapis.com/auth/calendar.events | Crear, actualizar y eliminar en tu calendario los eventos que ClinicFlow genera a partir de las citas del profesional (nuevas, reprogramadas o canceladas). |
openid y email | Saber y mostrarte qué cuenta de Google quedó conectada. |
Cómo usamos esa información
- Cada evento contiene únicamente el nombre del servicio, el nombre del paciente, la fecha y hora y un identificador interno de la cita. No incluimos teléfono, notas ni datos de salud, y no agregamos invitados ni enviamos correos desde tu calendario.
- Solo modificamos eventos creados por ClinicFlow. No leemos, listamos ni almacenamos el resto de eventos de tu calendario ni otros datos de tu cuenta de Google.
- La información obtenida de Google se usa exclusivamente para ofrecer la función de sincronización de citas que ves en el panel.
Divulgación de uso limitado (Limited Use)
El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google por parte de ClinicFlow se ajustará a la Política de datos de usuario de los servicios de las APIs de Google, incluidos los requisitos de uso limitado.
ClinicFlow's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
En concreto: (a) no transferimos los datos de Google a terceros, salvo lo necesario para prestar la función, cumplir la ley o proteger la seguridad; (b) no los usamos para publicidad, ni los vendemos; (c) no los usamos para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o aprendizaje automático; y (d) ninguna persona los lee, salvo con tu consentimiento expreso, por razones de seguridad o abuso, o por exigencia legal.
Cómo desconectar y qué borramos
- Desde el panel (Ajustes → Google Calendar → Desconectar): eliminamos de inmediato el permiso guardado y lo revocamos en Google. Los eventos ya creados permanecen en tu calendario y puedes borrarlos tú mismo.
- Desde tu cuenta de Google: myaccount.google.com/permissions. Si revocas allí, ClinicFlow deja de sincronizar y te pedirá volver a conectar.
- También puedes pedirnos la eliminación escribiendo a oscar.alejo@gmail.com.
7. Terceros y transmisión internacional
Para prestar el servicio usamos proveedores que actúan como encargados y pueden estar fuera de Colombia (principalmente en Estados Unidos). La transmisión se hace con las garantías que exige la Ley 1581 de 2012 y el Decreto 1377 de 2013.
| Proveedor | Para qué |
|---|---|
| Render | Alojamiento de la aplicación y la base de datos. |
| Cloudflare | Dominio y DNS de asistente.com.co. |
| Twilio / WhatsApp | Envío y recepción de mensajes de WhatsApp. |
| Vapi | Atención telefónica con asistente de voz, solo si la clínica activa esa función. |
| OpenAI | Procesamiento del texto de las conversaciones para que la asistente Sofía responda, y transcripción de notas de voz. |
| Sincronización con Google Calendar, solo si el usuario la activa. |
Fuera de estos casos, solo compartimos datos con autoridades cuando exista una orden o un requerimiento legal.
8. Seguridad
Aplicamos medidas técnicas y administrativas razonables: conexión cifrada (HTTPS), contraseñas almacenadas con algoritmo de huella irreversible, permisos de Google guardados cifrados, control de acceso por roles y separación estricta de la información entre clínicas. Ningún sistema es infalible; si ocurre un incidente que afecte tus datos, lo gestionaremos y lo informaremos a quien corresponda conforme a la ley.
9. Conservación
Conservamos los datos mientras la clínica o el usuario tengan una relación activa con ClinicFlow y por el tiempo adicional que exija la ley. Al terminar el servicio, los datos se suprimen o se devuelven a la clínica según lo acordado, salvo obligación legal de conservarlos. El permiso de Google se elimina al desconectar, al desactivar al usuario o al borrar la clínica.
10. Derechos de los titulares y cómo ejercerlos
Como titular de datos personales tienes derecho a: conocer, actualizar y rectificar tus datos; solicitar prueba de la autorización otorgada; ser informado sobre el uso que se ha dado a tus datos; presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley; revocar la autorización y/o solicitar la supresión del dato cuando no se respeten los principios, derechos y garantías; y acceder de forma gratuita a tus datos (artículo 8 de la Ley 1581 de 2012).
- Canal: escribe a oscar.alejo@gmail.com con tu nombre, documento de identidad, la clínica involucrada (si aplica) y tu solicitud. Si eres paciente de una clínica, la solicitud también puede dirigirse a esa clínica, que es la responsable de tus datos; si nos escribes a nosotros, se la trasladaremos.
- Consultas: se responden en máximo diez (10) días hábiles; si no es posible, te informaremos los motivos y la nueva fecha, que no superará cinco (5) días hábiles adicionales (artículo 14).
- Reclamos (corrección, actualización, supresión o revocatoria): se resuelven en máximo quince (15) días hábiles, prorrogables por ocho (8) días hábiles más con aviso previo (artículo 15).
- Solo puedes acudir a la SIC después de haber agotado este trámite ante el responsable (artículo 16).
11. Almacenamiento local del navegador
El panel guarda en tu navegador (almacenamiento local) el token de tu sesión para que no tengas que ingresar a cada momento. No usamos cookies de publicidad ni herramientas de analítica de terceros en este sitio.
12. Cambios y contacto
Podemos actualizar esta política; publicaremos la nueva versión en esta página con su fecha y, si el cambio es sustancial, lo informaremos a los usuarios del panel. Para cualquier duda: oscar.alejo@gmail.com.
Consulta también los términos y condiciones.