CENTRO DE MEDICINA DEL EJERCICIO Y REHABILITACIÓN CARDIACA S.A.S – CEMDE S.A.S

1. IDENTIFICACIÓN DEL RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de los datos personales es:

• Razón social:Centro de Medicina del Ejercicio y Rehabilitación Cardíaca S.A.S – CEMDE S.A.S
• NIT:800-009-793-5
• Dirección Sede Principal:Calle 33A No. 74B-175, Medellín, Antioquia
• Teléfono:(604) 322 26 56
• Correo electrónico:cemdepacientes@cemde.com  
• Página web:cemde.com 

2. MARCO NORMATIVO

La presente Política de Tratamiento de Datos Personales se rige por las disposiciones constitucionales, legales y reglamentarias vigentes en Colombia, en especial por las siguientes normas:

• Normas constitucionales:

Constitución Política de Colombia – Artículo 15 (Derecho fundamental al habeas data y protección de datos personales).

2.2 Normatividad general de protección de datos personales:

• Ley 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013: Reglamenta parcialmente la Ley 1581 de 2012, especialmente en lo relacionado con autorización, avisos de privacidad y ejercicio de derechos.
• Decreto 1074 de 2015: Compila la normatividad del sector comercio, industria y turismo, incluyendo disposiciones sobre protección de datos personales.

2.3 Normatividad sector salud (datos sensibles)

• Resolución 1995 de 1999: Regula el manejo, diligenciamiento, custodia, confidencialidad y acceso a la historia clínica.
• Ley 1751 de 2015: Reconoce la salud como un derecho fundamental e implica el adecuado manejo de la información en salud.
• Decreto 780 de 2016: Establece disposiciones del Sistema General de Seguridad Social en Salud, incluyendo el manejo de información clínica y administrativa.

2.4 Normatividad complementaria relevante

• Ley 1266 de 2008: Regula el manejo de información financiera, crediticia y comercial.
• Ley 527 de 1999: Define el uso de mensajes de datos, comercio electrónico y firmas digitales.
• Ley 594 de 2000: Establece lineamientos para la gestión documental y conservación de la información.

2.5 Lineamientos y autoridades de control

• Circulares y guías emitidas por la Superintendencia de Industria y Comercio (SIC)en materia de protección de datos personales.
• Lineamientos del Ministerio de Salud y Protección Socialen relación con la gestión de la información en salud.

2.6 Otras disposiciones

La presente política se regirá igualmente por todas aquellas normas que adicionen, modifiquen o sustituyan las disposiciones anteriormente mencionadas, así como por las mejores prácticas en materia de protección de datos personales.

3. OBJETIVO

Establecer los lineamientos para la recolección, uso, almacenamiento, circulación, supresión y protección de los datos personales tratados por CEMDE S.A.S, garantizando los derechos de los titulares y el cumplimiento de la normatividad vigente.

4. ALCANCE

La presente Política de Tratamiento de Datos Personales aplica a todas las actividades de recolección, almacenamiento, uso, circulación, transmisión, transferencia y supresión de datos personales realizadas por el Centro de Medicina del Ejercicio y Rehabilitación Cardíaca S.A.S – CEMDE S.A.S, en desarrollo de su objeto social y de sus procesos estratégicos, misionales y de apoyo.

Esta política cobija todos los datos personales contenidos en bases de datos físicas y digitales, independientemente del medio de tratamiento, así como aquellos que sean tratados directamente por la institución o a través de terceros encargados.

El alcance de la presente política comprende, sin limitarse a, los datos personales de:

• Pacientes y usuarios de los servicios de salud
• Acompañantes y acudientes
• Empleados y exempleados
• Proveedores y contratistas
• Aliados estratégicos
• Titulares de datos recolectados a través de canales digitales, telefónicos o presenciales

Así mismo, aplica a todos los colaboradores, contratistas y terceros que, en ejercicio de sus funciones o relaciones con CEMDE S.A.S, tengan acceso o realicen tratamiento de datos personales, quienes deberán dar cumplimiento a lo establecido en la presente política.

5. DEFINICIONES

De acuerdo con el artículo 3 de la Ley 1581 de 2012, se establecen las siguientes definiciones, tal como se trascribe a continuación, las cuales serán tenidas en cuenta para llevar adelante su implementación que garantice una aplicación, así como las demás normas y principios que rigen los derechos fundamentales relacionados con el derecho de habeas data y protección de datos personales.

• Autorización:Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.
• Basede Datos: Conjunto organizado de datos personales que sea objeto de 
• Datopersonal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Encargadodel Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del
• Responsabledel Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el Tratamiento de los datos.
• Titular:Persona natural cuyos datos personales sean objeto de tratamiento de datos.
• Tratamiento:Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

6. PRINCIPIOS DEL TRATAMIENTO DE DATOS PERSONALES

El tratamiento de datos personales realizado por el Centro de Medicina del Ejercicio y Rehabilitación Cardíaca S.A.S – CEMDE S.A.S se regirá por los principios establecidos en la Ley 1581 de 2012, los cuales orientan todas las actuaciones relacionadas con la recolección, uso, almacenamiento, circulación y supresión de la información, así:

6.1 Principio de legalidad

El tratamiento de datos personales es una actividad reglada que debe sujetarse a lo establecido en la normatividad vigente, en especial a las disposiciones constitucionales y legales aplicables. En consecuencia, CEMDE S.A.S garantiza que el tratamiento de los datos se realizará conforme a la ley y a los derechos fundamentales de los titulares.

6.2 Principio de finalidad

El tratamiento de datos personales debe obedecer a una finalidad legítima, específica, explícita e informada al titular. Los datos serán recolectados únicamente para los propósitos previamente definidos por CEMDE S.A.S, y no serán utilizados para fines distintos a los autorizados.

6.3 Principio de libertad

El tratamiento de datos personales solo podrá ejercerse con el consentimiento previo, expreso e informado del titular, salvo en los casos exceptuados por la ley. En ningún caso los datos personales serán obtenidos o divulgados sin autorización o sin mandato legal o judicial que lo permita.

6.4 Principio de veracidad o calidad

La información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. CEMDE S.A.S se compromete a evitar el tratamiento de datos parciales, incompletos o que induzcan a error, y adoptará medidas para mantener la calidad de la información.

6.5 Principio de transparencia

En el tratamiento de datos personales, CEMDE S.A.S garantizará al titular el derecho a obtener, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan, así como del uso que se les ha dado.

6.6 Principio de acceso y circulación restringida

El tratamiento de los datos personales se realizará dentro de los límites derivados de su naturaleza, la ley y la Constitución. En este sentido, los datos solo podrán ser tratados por personas autorizadas por el titular o por la ley, y no estarán disponibles en medios de acceso público masivo, salvo que se garantice el acceso restringido.

6.7 Principio de seguridad

La información sujeta a tratamiento será protegida mediante la implementación de medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. CEMDE S.A.S adoptará controles que permitan salvaguardar la confidencialidad e integridad de los datos.

6.8 Principio de confidencialidad

Todas las personas que intervengan en el tratamiento de datos personales están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con CEMDE S.A.S. Los datos personales que no tengan naturaleza pública serán tratados con estricta confidencialidad.

7. FINALIDADES DEL TRATAMIENTO DE DATOS PERSONALES

CEMDE S.A.S tratará los datos personales para las siguientes finalidades:

7.1 Finalidades asistenciales

• Prestación de servicios de salud
• Gestión de historia clínica
• Diagnóstico, tratamiento y seguimiento
• Referencia y contrarreferencia

7.2 Finalidades administrativas

• Facturación y gestión de cartera
• Validación de derechos con aseguradoras
• Reportes a entidades de control
• Auditorías internas y externas

7.3 Finalidades operativas

• Asignación y confirmación de citas
• Contacto con usuarios
• Gestión de PQRS

7.4 Finalidades legales

• Cumplimiento de obligaciones legales y regulatorias
• Atención de requerimientos judiciales o administrativos

7.5 Finalidades comerciales

• Envío de información sobre servicios
• Campañas informativas o promocionales

8. TRATAMIENTO DE DATOS SENSIBLES

CEMDE S.A.S tratará datos sensibles, especialmente datos de salud, conforme a:

• Autorización del titular
• Necesidad para la prestación del servicio
• Cumplimiento de normas como la Resolución 1995 de 1999

9. AUTORIZACIÓN DEL TITULAR

El tratamiento requiere autorización previa, expresa e informada, salvo excepciones legales.

La autorización podrá obtenerse mediante:

• Medios electrónicos
• Grabaciones
• Formularios web

CEMDE conservará prueba de dicha autorización.

9.1 Casos en los que no se requiere autorización del titular

De conformidad con la normatividad vigente, en especial la Ley 1581 de 2012, no será necesaria la autorización del titular cuando se trate de:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial
• Datos de naturaleza pública
• Casos de urgencia médica o sanitaria
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos
• Datos relacionados con el Registro Civil de las Personas

10. TRANSFERENCIA Y TRANSMISIÓN DE DATOS

CEMDE S.A.S podrá compartir datos personales con:

• Entidades aseguradoras
• Autoridades competentes
• Proveedores tecnológicos
• Plataformas de agendamiento o comunicación

Estas transferencias se realizarán:

• Bajo acuerdos de confidencialidad
• Cumpliendo la normatividad vigente
• Garantizando la protección de los datos

11. DERECHOS DE LOS TITULARES DE LA INFORMACIÓN

De conformidad con lo establecido en la Ley 1581 de 2012 y demás normas concordantes, los titulares de los datos personales tratados por CEMDE S.A.S tienen los siguientes derechos:

11.1 Derecho a conocer, actualizar y rectificar

Conocer, actualizar y rectificar sus datos personales frente a CEMDE S.A.S, en aquellos casos en que la información sea parcial, inexacta, incompleta, fraccionada, induzca a error o su tratamiento esté prohibido o no haya sido autorizado.

11.2 Derecho a solicitar prueba de la autorización

Solicitar en cualquier momento prueba de la autorización otorgada para el tratamiento de sus datos personales, salvo en los casos en que dicha autorización no sea requerida conforme a la ley.

11.3 Derecho a ser informado

Ser informado, previa solicitud, respecto del uso que se le ha dado a sus datos personales, incluyendo las finalidades del tratamiento, transferencias realizadas y responsables involucrados.

11.4 Derecho a revocar la autorización

Revocar en cualquier momento la autorización otorgada para el tratamiento de sus datos personales, siempre que no exista un deber legal o contractual que impida dicha revocatoria.

11.5 Derecho a solicitar la supresión de datos

Solicitar la eliminación total o parcial de sus datos personales cuando considere que:

• No están siendo tratados conforme a la normatividad vigente
• Han dejado de ser necesarios para la finalidad para la cual fueron recolectados
• Se ha superado el periodo de conservación

Este derecho no procederá cuando exista una obligación legal o contractual de conservar la información.

11.6 Derecho a presentar quejas

Presentar quejas ante la autoridad competente, en particular ante la Superintendencia de Industria y Comercio (SIC), por infracciones a la normatividad sobre protección de datos personales.

11.7 Derecho de acceso gratuito

Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento, al menos una vez cada mes calendario, o cada vez que existan modificaciones sustanciales en las políticas de tratamiento.

11.8 Derecho a ejercer control sobre sus datos (opt-out)

Solicitar en cualquier momento la exclusión del uso de sus datos para fines comerciales, publicitarios o de mercadeo, a través de los canales dispuestos por CEMDE S.A.S, garantizando mecanismos ágiles, sencillos y gratuitos.

11.9 Legitimación para el ejercicio de los derechos

Los derechos de los titulares podrán ser ejercidos por:

• El titular, previa acreditación de su identidad
• Sus causahabientes
• El representante y/o apoderado debidamente acreditado
• Por estipulación a favor de otro

En el caso de niños, niñas y adolescentes, los derechos serán ejercidos por sus representantes legales, garantizando siempre su interés superior.

12. MECANISMOS PARA EJERCER LOS DERECHOS

Los titulares podrán presentar solicitudes a través de:

• Correo: cemdepacientes@cemde.com
• Dirección física
• Canales institucionales

13. CONSULTAS Y RECLAMOS

• Consultas: 10 días hábiles
• Reclamos: 15 días hábiles

Conforme a la Ley 1581 de 2012

14. REVOCATORIA DE LA AUTORIZACIÓN Y SUPRESIÓN DE DATOS (OPT-OUT)

De conformidad con lo establecido en la Ley 1581 de 2012, los titulares de los datos personales tienen derecho a solicitar en cualquier momento a CEMDE S.A.S:

14.1 Revocatoria de la autorización

El titular podrá revocar la autorización otorgada para el tratamiento de sus datos personales, de manera total o parcial, siempre que no exista un deber legal o contractual que impida su eliminación.

La revocatoria podrá solicitarse respecto de:

• Todas las finalidades del tratamiento
• Algunas finalidades específicas (por ejemplo, fines comerciales o publicitarios)

14.2 Supresión de datos personales

El titular podrá solicitar la supresión o eliminación de sus datos personales cuando:

• Considere que no están siendo tratados conforme a los principios, derechos y garantías legales
• Los datos hayan dejado de ser necesarios para la finalidad para la cual fueron recolectados
• Se haya superado el tiempo de conservación establecido

La supresión implica la eliminación total o parcial de la información contenida en bases de datos, archivos y sistemas de información de CEMDE S.A.S.

No obstante, este derecho no procederá cuando:

• Exista una obligación legal o contractual de conservar la información
• La información sea requerida para fines médicos, históricos, legales o regulatorios
• Se afecten actuaciones administrativas o judiciales en curso

14.3 Mecanismos para el ejercicio del derecho (OPT-OUT)

Para garantizar el ejercicio efectivo de estos derechos, CEMDE S.A.S dispondrá de mecanismos ágiles, sencillos y gratuitos, tales como:

• Solicitud a través del correo electrónico institucional
• Atención presencial o por canales de servicio al usuario

14.4 Tratamiento de datos con fines comerciales y publicitarios

En los casos en que los datos personales sean utilizados para el envío de información comercial, promocional o de mercadeo, CEMDE S.A.S garantizará:

• La obtención de autorización previa, expresa e informada del titular
• La inclusión de mecanismos visibles, accesibles y funcionales para la cancelación de la suscripción (opt-out) en cada comunicación
• La atención oportuna de las solicitudes de exclusión, dentro de los términos legales establecidos

14.5 Tiempos de respuesta

Las solicitudes de revocatoria y/o supresión serán atendidas conforme a los términos establecidos para los reclamos en la normativa vigente, especialmente en la Ley 1581 de 2012.

15. SEGURIDAD DE LA INFORMACIÓN

El Centro de Medicina del Ejercicio y Rehabilitación Cardíaca S.A.S – CEMDE S.A.S implementa medidas de seguridad orientadas a garantizar la protección de los datos personales, especialmente aquellos de carácter sensible como la información en salud, con el fin de prevenir su pérdida, adulteración, acceso no autorizado, uso indebido o fraude.

Estas medidas se adoptan conforme a lo dispuesto en la Ley 1581 de 2012 y demás normas aplicables, e incluyen controles de carácter técnico, administrativo y humano, así:

15.1 Medidas técnicas

CEMDE S.A.S implementa mecanismos tecnológicos que permiten proteger la información y los sistemas que la contienen, tales como:

• Control de accesos a sistemas de información mediante usuarios y contraseñas
• Restricción de perfiles según roles y funciones
• Copias de seguridad (backups) periódicas de la información
• Protección contra virus, malware y accesos no autorizados
• Sistemas de almacenamiento seguro de la información
• Uso de redes seguras y protocolos de transmisión de datos

15.2 Medidas administrativas

Se establecen lineamientos internos y procedimientos que garantizan la adecuada gestión de la información, tales como:

• Políticas internas de seguridad de la información
• Procedimientos para el manejo, almacenamiento y disposición de datos personales
• Control de acceso a archivos físicos y digitales
• Gestión documental conforme a la normatividad vigente
• Auditorías internas y seguimiento al cumplimiento de la política
• Acuerdos de confidencialidad con empleados, contratistas y terceros

15.3 Medidas humanas

CEMDE S.A.S promueve una cultura organizacional orientada a la protección de la información mediante:

• Capacitación periódica al personal sobre protección de datos personales
• Sensibilización en el manejo de información confidencial
• Compromisos de confidencialidad firmados por el personal
• Control de acceso físico a áreas restringidas

15.4 Gestión de incidentes de seguridad

En caso de presentarse incidentes que comprometan la seguridad de la información, CEMDE S.A.S:

• Adoptará medidas inmediatas para mitigar el riesgo
• Evaluará el impacto del incidente
• Notificará a la autoridad competente cuando sea requerido
• Implementará acciones correctivas para evitar su repetición

15.5 Alcance de las medidas de seguridad

Las medidas de seguridad aplican a:

• Bases de datos físicas y digitales
• Sistemas de información institucionales
• Información gestionada por terceros encargados del tratamiento

16. RESPONSABLE DE PROTECCIÓN DE DATOS PERSONALES

El Centro de Medicina del Ejercicio y Rehabilitación Cardíaca S.A.S – CEMDE S.A.S ha designado como área responsable de la atención de asuntos relacionados con la protección de datos personales al:

Área de Calidad y Atención al Usuario, quien actuará como instancia encargada de la gestión, seguimiento y control del cumplimiento de la normatividad en materia de protección de datos personales, conforme a lo establecido en la Ley 1581 de 2012.

16.1 Funciones del área responsable

El Área de Calidad y Atención al Usuario tendrá a su cargo, entre otras, las siguientes funciones:

• Recibir, gestionar y dar respuesta a las peticiones, quejas, reclamos y solicitudes (PQRS) relacionadas con el tratamiento de datos personales
• Tramitar las consultas y reclamos presentados por los titulares en ejercicio del derecho de habeas data
• Garantizar el cumplimiento de los términos legales para la atención de solicitudes
• Velar por la correcta aplicación de la presente Política de Tratamiento de Datos Personales
• Coordinar la implementación de medidas de protección de datos personales dentro de la institución
• Realizar seguimiento al cumplimiento normativo en materia de protección de datos
• Servir como canal de comunicación entre los titulares de la información y la institución
• Apoyar procesos de auditoría interna y externa relacionados con protección de datos

17. REGISTRO NACIONAL DE BASES DE DATOS

CEMDE S.A.S realizará el registro de sus bases de datos ante la SIC conforme a la normatividad vigente.