Política de tratamiento
de datos personales

Esta política aplica al tratamiento de datos personales realizado en Colombia por la compañía DERMAMEDIK ESPECIALISTAS S.A.S., y, cuando corresponda, a tratamientos efectuados fuera del territorio nacional respecto de los cuales resulte aplicable la legislación colombiana. La política obliga a directivos, trabajadores, contratistas, proveedores, encargados, subencargados y demás terceros que traten datos personales por cuenta de la compañía.

Esta política cubre datos personales ordinarios, semiprivados, privados, sensibles, datos de niños, niñas y adolescentes, imágenes, videograbaciones, datos biométricos, datos de salud y cualquier otro dato personal tratado por la compañía dentro de relaciones laborales, contractuales, comerciales, sociales, comunitarias, administrativas o corporativas.

Esta política se fundamenta, entre otras disposiciones aplicables, en los artículos 15 y 20 de la Constitución Política; la Ley 1266 de 2008, cuando corresponda; la Ley 1273 de 2009; la Ley 1581 de 2012; el Decreto 1074 de 2015, en especial el Capítulo 25 del Título 2 de la Parte 2 del Libro 2; la Circular Única de la Superintendencia de Industria y Comercio; y las demás normas que las modifiquen, sustituyan o complementen.

Buenas prácticas complementarias. Como buenas prácticas de compliance y gobierno del dato, la compañía adopta además criterios compatibles con las Directrices de Privacidad de la OCDE, limitación de recolección, calidad, finalidad, limitación de uso, seguridad, apertura, participación del titular y responsabilidad demostrada, y con los principios de la ONU sobre licitud, necesidad, proporcionalidad, seguridad y responsabilidad demostrable en el tratamiento de datos personales.

Glosario de términos. A raíz de lo anterior, y a efectos de la política, el glosario de términos relevantes, construido con base en la Ley 1581 de 2012 y el Decreto 1074 de 2015 vigentes en Colombia, es el siguiente:

• Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
• Aviso de privacidad: comunicación verbal o escrita generada por el responsable, dirigida al titular, mediante la cual se le informa la existencia de las políticas de tratamiento, la forma de acceder a ellas y las finalidades del tratamiento.
• Base de datos: conjunto organizado de datos personales que sea objeto de tratamiento.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Dato público: dato calificado como tal por la ley o la Constitución Nacional y aquel que no sea semiprivado, privado o sensible; por su naturaleza, puede estar contenido, entre otros, en registros públicos, documentos públicos y providencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva.
• Dato semiprivado: dato que no tiene naturaleza íntima, reservada ni pública, y cuyo conocimiento o divulgación puede interesar no solo al titular sino a cierto sector o grupo de personas o a la sociedad en general.
• Dato privado: dato que por su naturaleza íntima o reservada solo es relevante para el titular.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como aquellos que revelan origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos, organizaciones sociales o de derechos humanos, datos relativos a la salud, vida sexual y datos biométricos.
• Encargado del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros realiza el tratamiento de datos personales por cuenta del responsable del tratamiento.
• Responsable del tratamiento: persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decide sobre la base de datos y/o el tratamiento de los datos.
• Titular: persona natural cuyos datos personales son objeto de tratamiento.

• Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia de datos: envío de datos personales por parte del responsable o encargado ubicado en Colombia a un receptor que, a su vez, actúa como responsable del tratamiento y se encuentra dentro o fuera del país.
• Transmisión de datos: tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de Colombia cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable.
• Política de tratamiento de datos personales: documento adoptado por el responsable que contiene, entre otros aspectos, los principios, derechos de los titulares, procedimientos para consultas y reclamos, y los canales para ejercer el habeas data. El Decreto 1074 exige que los responsables cuenten con esta política y que informen al titular cómo consultarla.
• Consulta: solicitud del titular para conocer la información personal que repose en una base de datos o archivo. La Ley 1581 regula este derecho y su atención.
• Reclamo: solicitud del titular para corregir, actualizar, suprimir datos o para advertir un presunto incumplimiento del régimen de protección de datos personales.
• Niños, niñas y adolescentes (NNA): personas menores de edad cuyos datos personales tienen protección reforzada; su tratamiento está sujeto a requisitos especiales y debe responder al interés superior del menor y al respeto de sus derechos fundamentales.
• Principio de seguridad: obligación de manejar la información con medidas técnicas, humanas y administrativas que eviten su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
• Principio de confidencialidad: obligación de las personas que intervienen en el tratamiento de garantizar la reserva de la información, incluso después de finalizada su relación con alguna de las labores que comprende el tratamiento.

DERMAMEDIK ESPECIALISTAS S.A.S. es el responsable del tratamiento de los datos personales. Estos son sus datos de identificación y canales de atención:

Responsable

DERMAMEDIK ESPECIALISTAS S.A.S

Identificación

NIT. 901.326.480 – 0

Domicilio / dirección

CC Unicentro: Cra 66B # 34A-76 Local 242

Canales de atención hábeas data

Correo de hábeas data: citasweb@dermamedik.com Web: https://dermamedik.com/ Tel.: (+57) 3148766449

De conformidad con el artículo 8 de la Ley 1581 de 2012, los titulares tienen derecho a:

• Conocer, actualizar y rectificar sus datos personales frente a los responsables o encargados del tratamiento. Este derecho podrá ejercerse, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o respecto de aquellos cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
• Solicitar prueba de la autorización otorgada, salvo cuando expresamente se exceptúe como requisito para el tratamiento, de conformidad con la ley.
• Ser informados, previa solicitud, respecto del uso que se ha dado a sus datos personales.
• Presentar ante la Superintendencia de Industria y Comercio quejas por infracciones a lo dispuesto en la Ley 1581 de 2012 y las demás normas que la modifiquen, adicionen o complementen.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales. La revocatoria y/o supresión procederá cuando la autoridad haya determinado que el responsable o encargado ha incurrido en conductas contrarias a la ley y en los demás casos en que resulte procedente según el régimen aplicable.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

El ejercicio de los derechos podrá ser realizado por el titular, sus causahabientes, representantes o apoderados debidamente acreditados, por estipulación a favor de otro o para otro, y por las personas facultadas para representar a niños, niñas y adolescentes.

Los titulares podrán ejercer sus derechos mediante los canales físicos y electrónicos previstos en la política y en el aviso de privacidad correspondiente. La política deberá estar disponible permanentemente en la página web corporativa y, cuando aplique, en los micrositios o repositorios usados por el responsable.

Las consultas serán atendidas dentro de los diez (10) días hábiles siguientes a su recibo. Si no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes de su vencimiento, expresando los motivos de la demora y señalando la fecha de respuesta, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

Los reclamos deberán contener como mínimo la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección o medio para recibir respuesta y los documentos que se pretendan hacer valer. Si el reclamo está incompleto, se requerirá al interesado dentro de los cinco (5) días hábiles siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses sin que se presente la información requerida, se entenderá que ha desistido del reclamo.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

Cuando un reclamo proceda, el responsable o encargado incluirá en la base de datos una leyenda de “reclamo en trámite” o “información en discusión judicial”, según corresponda, en los términos legales aplicables.

Legalidad. Todo tratamiento será realizado conforme a la Constitución, la ley y las instrucciones de la autoridad de protección de datos.

Finalidad. Los datos solo serán tratados para finalidades legítimas, específicas, informadas y compatibles con la relación del titular con la compañía.

Libertad. La autorización será previa, expresa, informada e inequívoca cuando sea exigible legalmente.

Veracidad o calidad. La información deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible.

Transparencia. Se garantizará al titular el acceso razonable a información sobre la existencia y uso de sus datos.

Acceso y circulación restringida. El acceso a los datos personales se limitará a las personas autorizadas, con necesidad funcional y bajo controles adecuados.

Seguridad. Se implementarán medidas técnicas, humanas, físicas, administrativas y organizacionales proporcionales al riesgo.

Confidencialidad. Toda persona que intervenga en el tratamiento deberá preservar la reserva de la información no pública aun después de terminada su relación.

Minimización. Solo se recolectarán y conservarán los datos adecuados, pertinentes y estrictamente necesarios.

Privacidad desde el diseño y por defecto. Todo nuevo proceso, sistema, formulario, canal o herramienta tecnológica deberá diseñarse considerando los impactos sobre datos personales desde su concepción.

Responsabilidad demostrada (o Accountability). La compañía deberá poder demostrar cumplimiento, conservar evidencia, realizar verificaciones periódicas y alinear sus publicaciones externas con la realidad operativa y regulatoria.

Supervisión humana y uso responsable de IA. Los tratamientos soportados en herramientas automatizadas o de inteligencia artificial deberán tener propósito legítimo, control humano, restricciones de carga de datos personales y gestión de riesgos.

La compañía informará de manera previa y expresa el carácter facultativo de la entrega de datos sensibles y de los datos de niños, niñas y adolescentes cuando sea exigible, y solicitará autorización separada y explícita en los casos previstos por la ley. Los datos sensibles, entre ellos biométricos, de salud, vida sexual, afiliación sindical, creencias religiosas, origen étnico o cualquier otro que pueda generar discriminación, sólo se tratarán cuando exista habilitación legal, autorización explícita o una excepción legal aplicable.

El tratamiento de datos de niños, niñas y adolescentes se sujetará al interés superior de los menores, al respeto de sus derechos fundamentales y a la verificación de que el tratamiento responda y respete su interés superior. La compañía deberá adoptar mecanismos para evitar la exposición de imágenes o datos de NNA cuando no exista autorización válida de sus representantes legales.

Las fotografías, videograbaciones, banco de imágenes y demás registros audiovisuales que permitan identificar personas naturales constituyen datos personales. Su tratamiento deberá contar con la base de legitimación correspondiente, informar la finalidad, y establecer controles de exclusión, edición, desenfoque, etiquetado o no publicación cuando no exista autorización suficiente o cuando la finalidad no lo justifique.

DERMAMEDIK ESPECIALISTAS S.A.S., podrá recolectar, almacenar, organizar, usar, circular, actualizar, rectificar, transmitir, transferir, conservar, bloquear, suprimir o eliminar datos personales para las siguientes categorías y finalidades, sin perjuicio de finalidades específicas informadas en avisos o autorizaciones particulares.

Grupo de interés y base de datos

Cuando la compañía utilice proveedores, operadores, plataformas, hosting, nube, call centers, servicios médicos, analítica, herramientas corporativas, gestión documental u otros terceros que traten datos por cuenta suya, exigirá contratos o instrumentos equivalentes que regulen el tratamiento, la confidencialidad, la seguridad, la atención de incidentes, las restricciones de uso y la devolución o eliminación de la información.

Las transmisiones y transferencias nacionales o internacionales de datos personales solo se realizarán cuando exista base legal, contractual o autorización suficiente y bajo los mecanismos requeridos por la legislación aplicable. La compañía verificará la legitimidad del flujo, la necesidad del tratamiento, el nivel de protección, las obligaciones del receptor y, cuando corresponda, las declaraciones de conformidad o instrumentos contractuales pertinentes.

La compañía implementará medidas de seguridad administrativas, físicas y técnicas proporcionales a los riesgos del tratamiento. Tales medidas incluyen, entre otras, clasificación de la información, control de accesos, gestión de credenciales, segregación de funciones, respaldo, cifrado cuando sea procedente, monitoreo, registro de eventos, confidencialidad contractual, capacitación y gestión de incidentes.

Los colaboradores, contratistas y terceros autorizados deberán cumplir las políticas internas de protección de datos, seguridad de la información, uso aceptable de dispositivos, manejo de credenciales, teletrabajo o trabajo remoto, clasificación de la información y reporte de incidentes. El uso de dispositivos corporativos deberá ajustarse a principios de necesidad, seguridad, restricción de copias no autorizadas, software autorizado y devolución o borrado seguro de la información al finalizar la relación.

Queda prohibido cargar en herramientas de inteligencia artificial no autorizadas cualquier tipo de datos personales, secretos empresariales, información privilegiada o información confidencial. Cuando se usen herramientas automatizadas o de IA autorizadas, deberá aplicarse minimización, anonimización o seudonimización cuando proceda, control humano de los resultados, evaluación del riesgo y restricción de uso para fines compatibles con la finalidad original del tratamiento.

Toda sospecha de acceso no autorizado, pérdida, alteración, divulgación indebida, malware, exfiltración, uso indebido de credenciales, carga no autorizada en sistemas externos o cualquier otro incidente que comprometa datos personales deberá ser reportada inmediatamente al área competente definida por la compañía. El responsable deberá documentar, contener, investigar, remediar y, cuando proceda, reportar el incidente a la Superintendencia de Industria y Comercio dentro de los términos aplicables.

La compañía realizará revisiones periódicas de esta política, de sus avisos de privacidad, autorizaciones, formatos, contratos con encargados, inventario de bases de datos y publicaciones externas, con el fin de mantener consistencia material entre operación, documento aprobado, RNBD y sitio web.

Esta política rige a partir de su aprobación y publicación y sustituye cualquier versión anterior del documento externo.

Si un cambio sustancial modifica la finalidad del tratamiento o la relación del titular con la compañía en los términos legales aplicables, se obtendrá la autorización correspondiente cuando ello sea exigible.