Política de Tratamiento de Datos Personales

1. Quién responde por esta política

El artículo 13 del Decreto 1377 de 2013 (hoy artículo 2.2.2.25.3.1 del Decreto 1074 de 2015) exige que esta política identifique al Responsable con nombre, domicilio, dirección, correo electrónico y teléfono. Estos son nuestros datos:

El país donde reposa la infraestructura que almacena la información es Estados Unidos de América. La cláusula 14 explica qué significa eso, qué proveedores intervienen y bajo qué figura jurídica.

2. Dos universos de datos: cuándo somos Responsables y cuándo Encargados

La ley colombiana reparte las obligaciones según quién decide sobre los datos. Estas tres palabras se usan en todo el documento con su sentido legal exacto:

Titular

La persona natural a quien se refieren los datos. Eres tú: el paciente, el profesional que usa la plataforma, quien nos escribe por el formulario o quien contrata la suscripción.

Responsable del Tratamiento

Quien decide sobre la base de datos y sobre la finalidad del tratamiento. Es quien debe pedirte la autorización, atender tus consultas y reclamos y responder ante la Superintendencia de Industria y Comercio.

Encargado del Tratamiento

Quien trata los datos por cuenta del Responsable y siguiendo sus instrucciones. No decide para qué se usan ni puede darles un destino propio. Sigue obligado por la ley: los artículos 18 y 23 de la Ley 1581 de 2012 le imponen deberes y lo hacen sancionable directamente.

Dental Polaris ocupa las dos posiciones, según de qué datos se trate. Esta tabla es el mapa del resto del documento:

Si eres paciente, esto es lo único que necesitas retener: la dueña de tu historia clínica ante la ley es tu clínica. Nosotros no podemos borrarla, ni cambiar para qué se usa, ni entregársela a nadie sin instrucción de ella. Las condiciones bajo las que la tratamos por su cuenta están en el Acuerdo de Encargo del Tratamiento, publicado en /encargo-de-datos, que es el contrato que exige el artículo 25 del Decreto 1377 de 2013.

3. Principios que rigen el tratamiento

Aplicamos los ocho principios del artículo 4 de la Ley 1581 de 2012, tanto cuando somos Responsables como cuando actuamos por cuenta de una clínica:

• Legalidad: el tratamiento es una actividad reglada y se sujeta a la ley.
• Finalidad: los datos se tratan para finalidades legítimas, informadas de antemano al titular.
• Libertad: el tratamiento solo se hace con tu consentimiento previo, expreso e informado, salvo en los casos que la ley exceptúa. Ningún dato se obtiene ni divulga sin autorización o sin mandato legal o judicial.
• Veracidad o calidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. No tratamos datos parciales, incompletos, fraccionados o que induzcan a error.
• Transparencia: puedes obtener en cualquier momento y sin restricciones información sobre los datos tuyos que tengamos.
• Acceso y circulación restringida: solo accede a tus datos quien deba hacerlo. En la plataforma la autorización se decide en la base de datos y no en la pantalla, y el profesional solo consulta a los pacientes que trata.
• Seguridad: adoptamos medidas técnicas, humanas y administrativas para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento (cláusula 15).
• Confidencialidad: quienes intervienen en el tratamiento están obligados a reservar la información, incluso después de terminada su relación con nosotros.

4. Qué datos tratamos como Responsables y para qué

Recogemos solo los datos pertinentes y adecuados para la finalidad que los justifica (artículo 4 del Decreto 1377 de 2013). Estas son las cuatro situaciones en las que somos Responsables:

Los datos de los pacientes no están en esta tabla porque no somos sus Responsables. Qué contienen y por qué son sensibles se explica en la cláusula 7; con qué alcance los tratamos, en el Acuerdo de Encargo del Tratamiento.

No vendemos, arrendamos ni cedemos datos personales a terceros para finalidades propias de esos terceros, y no usamos la información de los pacientes para ninguna finalidad nuestra: ni para estadísticas comerciales, ni para entrenar, ajustar o evaluar modelos de inteligencia artificial.

5. Datos que el sitio web recoge automáticamente

Además de lo que escribes, al usar el sitio se recogen algunos datos sin que tengas que teclearlos. Los declaramos uno por uno porque también son datos personales cuando permiten identificarte, y porque saber qué se recoge es condición para poder oponerse:

• Tu dirección IP real, que nuestro servidor intermedio toma de Cloudflare. Se usa para verificar que quien envía un formulario es una persona y no un programa automatizado, para aplicar límites de uso y para registrar desde dónde se consultó información clínica. La solicitud que dejas en el formulario no guarda tu IP.
• El país y la ciudad aproximados que Cloudflare deduce de esa IP. Se guardan junto a tu solicitud para saber desde qué región nos escribes.
• Los parámetros de campaña de la dirección con la que llegaste (los llamados UTM: origen, medio, campaña, contenido y término), la página de llegada, la página desde la que enviaste el formulario y el sitio de procedencia. Sirven para saber qué campaña o qué contenido generó la solicitud.
• El desenlace del envío del formulario, es decir, si salió bien o falló.

No usamos Google Analytics, Google Tag Manager, píxeles de redes sociales, mapas de calor ni ninguna herramienta equivalente. No construimos perfiles publicitarios, no te seguimos por otros sitios y no compartimos nada de esto con redes de publicidad. El detalle de cookies y almacenamiento del navegador está en la Política de Cookies (/cookies).

Por la misma razón desactivamos el registro de invocaciones de nuestro servidor intermedio: ese registro guardaría la dirección completa de cada petición, incluidos los enlaces de un solo uso que reciben los pacientes.

6. El formulario de contacto: qué autorizas y cómo te das de baja

Antes de que envíes nada te informamos quiénes somos, qué datos recogemos, para qué y dónde están tus derechos. La autorización la das marcando tú una casilla que nace desmarcada: ni la usamos premarcada ni entendemos el silencio o la simple lectura como autorización, porque la norma lo prohíbe expresamente (artículo 7 del Decreto 1377 de 2013). Registramos la fecha y la hora de tu autorización y la versión de esta política que estaba publicada en ese momento, para poder acreditarla si alguna vez la pides.

Las finalidades van en dos casillas separadas y nunca empaquetadas:

• Contactarte para atender lo que pediste y agendar la demostración. Es la casilla obligatoria: sin ella no podemos tratar tus datos y el formulario no se envía.
• Enviarte novedades y contenido comercial. Es una casilla APARTE y opcional. Dejarla sin marcar no te cuesta nada: el formulario se envía igual y la demostración se agenda igual. Mientras no la marques, no te enviamos ese tipo de mensajes.

Para el contacto comercial cumplimos el horario que fija el artículo 5, parágrafo 3, de la Ley 2300 de 2023, por remisión a su artículo 3: de lunes a viernes entre las 7:00 a. m. y las 7:00 p. m., los sábados entre las 8:00 a. m. y las 3:00 p. m., y nunca los domingos ni los días festivos. Respetamos además la franja horaria que hayas indicado, no insistimos con frecuencia desproporcionada y atendemos de inmediato tu petición de no ser contactado. Antes de cualquier campaña consultamos el Registro de Números Excluidos, y si estás inscrito en él entendemos revocada cualquier autorización de prospección comercial anterior a tu inscripción, conforme a la Circular Externa 001 de 2024 de la Superintendencia de Industria y Comercio.

Puedes revocar tu autorización o pedir la supresión de estos datos en cualquier momento y gratis, escribiendo a contacto@dentalpolaris.com: la atendemos dentro de los plazos de la cláusula 11 y dejamos de contactarte de inmediato. Aquí la supresión procede sin límites, porque —a diferencia de la historia clínica— no existe ningún deber legal de conservar tu solicitud comercial. Nos obligamos además a incorporar un enlace de baja directo en cada comunicación comercial dentro de los tres (3) meses siguientes a la fecha de vigencia de esta política; hasta entonces, el correo anterior es el canal, y basta una línea sin explicación.

7. Datos sensibles y el carácter facultativo de entregarlos

El artículo 5 de la Ley 1581 de 2012 llama sensibles a los datos que afectan tu intimidad o cuyo uso indebido puede generar discriminación, y nombra expresamente los relativos a la salud y los biométricos. Prácticamente todo el contenido clínico que guarda la plataforma cae ahí:

No estás obligado a autorizar el tratamiento de tus datos sensibles ni a responder las preguntas que versen sobre ellos (artículo 6, numeral 1, del Decreto 1377 de 2013, y artículo 12, literal b, de la Ley 1581 de 2012). Ninguna actividad puede condicionarse a que los suministres. Ten en cuenta, eso sí, que la ausencia de información clínica puede impedir médicamente una atención segura: esa es una consecuencia asistencial, no una sanción por no autorizar.

La autorización sobre estos datos te la pide tu clínica, que es la Responsable, antes o al momento de recogerlos. Nosotros solo proveemos el mecanismo para pedirla y para conservar su prueba, y la tratamos únicamente para prestarle el servicio a la clínica.

Los datos de identificación y contacto del paciente —nombre, documento, fecha de nacimiento, sexo, teléfono, correo, dirección y ciudad— no son sensibles en sí mismos, pero se tratan con el mismo cuidado porque van unidos al expediente clínico.

8. Niños, niñas y adolescentes

El artículo 7 de la Ley 1581 de 2012 proscribe el tratamiento de datos de menores de edad, salvo los de naturaleza pública. El artículo 12 del Decreto 1377 de 2013 lo habilita cuando se cumplen dos condiciones que deben verificarse antes y no después:

• Que el tratamiento responda y respete el interés superior del niño, niña o adolescente.
• Que asegure el respeto de sus derechos fundamentales.

Cumplidas esas condiciones, la autorización la otorga el representante legal del menor, y debe hacerlo después de haber escuchado al propio menor, cuya opinión se valora según su madurez, autonomía y capacidad para entender el asunto. La respuesta a las preguntas sobre datos de menores es facultativa, igual que la de los datos sensibles.

Cuando quien firma la evolución clínica es el acudiente y no el paciente, la plataforma registra esa calidad junto con el nombre y el documento de quien firma, para que la clínica pueda acreditar quién autorizó y en calidad de qué. Dejamos constancia de que la autorización de tratamiento de datos todavía no captura esos campos —la registra sin distinguir si la otorgó el titular o su representante— y nos obligamos a incorporarlos dentro de los tres (3) meses siguientes a la fecha de vigencia de esta política. Los derechos del menor los ejercen quienes estén facultados para representarlo (artículo 20 del Decreto 1377 de 2013).

9. Cómo pedimos tu autorización y cómo la revocas

La regla en Colombia es el consentimiento previo, expreso e informado (artículo 9 de la Ley 1581 de 2012). No existe aquí la figura europea del «interés legítimo»: fuera de las excepciones tasadas del artículo 10 de la ley, sin autorización no hay tratamiento.

Pedimos la autorización a más tardar en el momento de recoger los datos y te informamos, de forma clara y expresa, cuatro cosas que exige el artículo 12 de la ley: el tratamiento y su finalidad; el carácter facultativo de responder cuando se trata de datos sensibles o de menores; los derechos que te asisten; y nuestra identificación, dirección y canal de contacto.

Conservamos prueba de cada autorización con la fecha, el canal y la versión exacta del texto que se mostró. Esa versión no se retira nunca de la publicación aunque se sustituya por otra, precisamente para poder enseñar el texto que leíste y no el que rige hoy.

La ley reconoce casos en los que la autorización no es necesaria (artículo 10), entre ellos la urgencia médica o sanitaria. Esa excepción dispensa de la autorización, no de los deberes: quien accede sin ella sigue obligado por toda la ley. Por eso el acceso de urgencia de la plataforma exige un motivo escrito, caduca a las veinticuatro (24) horas, queda registrado y se notifica a la administración de la clínica (cláusula 15).

Puedes revocar tu autorización en cualquier momento y de forma gratuita, por el procedimiento de la cláusula 11. La revocatoria y la supresión tienen un límite legal que explicamos en la cláusula 12.

10. Tus derechos y quién puede ejercerlos

Como titular tienes los derechos del artículo 8 de la Ley 1581 de 2012:

• Conocer, actualizar y rectificar tus datos frente al Responsable o al Encargado. Procede sobre datos parciales, inexactos, incompletos, fraccionados, que induzcan a error o cuyo tratamiento esté prohibido o no autorizado.
• Solicitar prueba de la autorización que otorgaste, salvo cuando la ley exceptúe ese requisito.
• Ser informado, previa solicitud, sobre el uso que se les ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante nosotros.
• Revocar la autorización y solicitar la supresión de tus datos, con los límites que explica la cláusula 12.
• Acceder de forma gratuita a tus datos que hayan sido objeto de tratamiento.

Estos derechos pueden ejercerlos, según el artículo 20 del Decreto 1377 de 2013:

• Tú, como titular, acreditando tu identidad.
• Tus causahabientes, acreditando esa calidad.
• Tu representante o apoderado, acreditando la representación o el apoderamiento.
• Quien esté facultado por estipulación a favor de otro o para otro.
• Tratándose de niños, niñas y adolescentes, quienes estén facultados para representarlos.

11. Cómo presentar una consulta o un reclamo

Toda solicitud se presenta por escrito a contacto@dentalpolaris.com, dirigida al Área de Protección de Datos Personales, o en la dirección física indicada en la cláusula 1. Usamos el correo porque permite mantener prueba de la solicitud y de su fecha, que es lo que exige el artículo 14 de la Ley 1581 de 2012.

1. Verifica a quién debes dirigirte. Si tu solicitud es sobre tu historia clínica, el Responsable es tu clínica. Si la presentas ante nosotros y no somos competentes, damos traslado a quien corresponda dentro de los dos (2) días hábiles siguientes y te informamos de ello.
2. Presenta una CONSULTA si quieres conocer tus datos. Te suministraremos toda la información contenida en tu registro individual o vinculada con tu identificación. La atendemos en un máximo de diez (10) días hábiles contados desde la fecha en que la recibimos. Si no fuera posible, te informaremos los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los cinco (5) días hábiles siguientes al vencimiento del primer término.
3. Presenta un RECLAMO si quieres corregir, actualizar o suprimir datos, o si adviertes un presunto incumplimiento de la ley. Debe contener: tu identificación, la descripción de los hechos que lo motivan, tu dirección y los documentos que quieras hacer valer.
4. Si el reclamo resulta incompleto, te requeriremos dentro de los cinco (5) días siguientes a su recepción para que lo subsanes. Si transcurren dos (2) meses desde ese requerimiento sin que aportes lo solicitado, se entenderá que has desistido del reclamo.
5. Una vez recibido el reclamo completo, en un término no mayor a dos (2) días hábiles marcaremos tu registro con la leyenda «reclamo en trámite» junto con el motivo, y la mantendremos hasta que el reclamo sea decidido. Dejamos constancia de que la plataforma todavía no tiene un campo propio para esa leyenda: hasta que lo tenga —nos obligamos a construirlo dentro de los seis (6) meses siguientes— la marca se lleva por procedimiento operativo documentado, y quien consulte tu registro es advertido por ese mismo procedimiento.
6. Resolvemos el reclamo en un máximo de quince (15) días hábiles contados a partir del día siguiente a la fecha en que lo recibimos. Si no fuera posible, te informaremos los motivos de la demora y la fecha en que se atenderá, que en ningún caso superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
7. Si tu solicitud es de revocatoria de la autorización o de supresión, se tramita como reclamo. Antes de presentarla, lee la cláusula 12: hay un caso en que la ley no permite suprimir.
8. Si vencido el término legal no hemos suprimido tus datos, puedes pedir a la Superintendencia de Industria y Comercio que ordene la revocatoria de la autorización o la supresión, conforme al artículo 22 de la Ley 1581 de 2012.

La consulta es gratuita al menos una vez cada mes calendario y cada vez que haya modificaciones sustanciales de esta política que motiven nuevas consultas. Para consultas más frecuentes solo podríamos cobrarte los gastos de envío, reproducción y, si la pides, certificación de documentos, sin que el costo de reproducción supere el de recuperación del material (artículo 21 del Decreto 1377 de 2013).

Entregamos la información en formato legible y, cuando el volumen lo justifica, de forma asistida: hoy la plataforma no tiene una función de exportación masiva por sí sola, así que esa entrega la preparamos nosotros dentro de los plazos anteriores.

Antes de acudir a la Superintendencia de Industria y Comercio debes agotar el trámite de consulta o reclamo ante nosotros o ante tu clínica: es un requisito de procedibilidad del artículo 16 de la Ley 1581 de 2012. Una queja presentada sin ese paso previo será devuelta, y entretanto habrás perdido tiempo. Agotado el trámite, puedes presentarla en www.sic.gov.co.

12. Cuándo no podemos suprimir tus datos

El derecho de supresión no es absoluto. El artículo 9, inciso 2, del Decreto 1377 de 2013 (hoy artículo 2.2.2.25.2.6 del Decreto 1074 de 2015) dispone que la solicitud de supresión y la revocatoria de la autorización no proceden cuando el titular tenga un deber legal o contractual de permanecer en la base de datos.

Tu historia clínica está sujeta a un término legal de retención —hoy quince (15) años, conforme a la Resolución 839 de 2017 del Ministerio de Salud y Protección Social, que modificó el régimen de retención y disposición final previsto en la Resolución 1995 de 1999— y por esa razón no puede suprimirse a tu solicitud mientras ese término corra. No es una decisión nuestra ni de tu clínica: la historia clínica es un documento cuya conservación impone la norma sectorial de salud.

Lo que sí procede durante ese término: conocerla, pedir copia, solicitar la corrección de un dato inexacto y revocar autorizaciones que no sean necesarias para la atención ni para el cumplimiento de un deber legal. Y una corrección clínica nunca borra lo anterior: se registra como un asiento nuevo, porque el expediente debe poder leerse en secuencia.

Fuera de la historia clínica no hay deber legal de permanencia: los datos del formulario de contacto se suprimen cuando lo pidas. Los datos de facturación y los soportes contables se conservan durante los términos que impone la ley comercial y tributaria a nuestros documentos, y solo para esa finalidad.

13. Período de vigencia de las bases de datos

El artículo 13, numeral 6, del Decreto 1377 de 2013 exige declarar cuánto tiempo permanecen vivas las bases de datos. Este es el término de cada una:

En todos los casos aplicamos la regla del artículo 11 del Decreto 1377 de 2013: los datos se conservan solo por el tiempo razonable y necesario para las finalidades que justificaron su tratamiento, atendiendo también las normas que rigen cada actividad.

14. Proveedores, transmisión internacional y alojamiento fuera de Colombia

Para operar nos apoyamos en proveedores que tratan datos por nuestra cuenta. La ley distingue dos figuras según quién sea el receptor, y la distinción cambia el régimen aplicable:

Transmisión

El envío de datos a alguien que los trata por cuenta y bajo instrucciones de quien decide sobre ellos, es decir, a un Encargado. No requiere ser informada al titular ni contar con su consentimiento cuando existe un contrato en los términos del artículo 25 del Decreto 1377 de 2013 (hoy artículo 2.2.2.25.5.2 del Decreto 1074 de 2015). Aun así lo informamos aquí, porque esa dispensa lo es del consentimiento, no de la transparencia.

Transferencia

El envío de datos a alguien que es a su vez Responsable, porque decide sobre finalidades propias. Se rige por el artículo 26 de la Ley 1581 de 2012, que prohíbe enviar datos a países sin nivel adecuado de protección.

La infraestructura que almacena la información está en Estados Unidos de América. Ese país figura en la lista de países con nivel adecuado de protección del numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la Superintendencia de Industria y Comercio, adicionado por la Circular Externa 005 de 2017. Lo decimos como dato verificable, no como fundamento: la base que habilita el envío es el contrato de transmisión, y la propia Superintendencia se reservó revisar esa lista en cualquier tiempo.

Que el país de destino tenga nivel adecuado no nos exime de nada. Bajo el principio de responsabilidad demostrada seguimos obligados a acreditar que adoptamos medidas apropiadas y efectivas sobre los datos que enviamos, y a exigir a cada proveedor el mismo estándar aguas abajo.

Antes de añadir o cambiar un proveedor avisamos a la clínica con antelación suficiente, porque para ella ese cambio es sustancial y puede obligarla a actualizar su registro ante la autoridad. El Registro Nacional de Bases de Datos lo diligencia la clínica, que es la Responsable; nosotros le entregamos lo que necesita para hacerlo: identificación y país de cada proveedor, finalidades, categorías de datos, medidas de seguridad y constancia de que existe el contrato de transmisión.

15. Seguridad: qué hacemos y qué no podemos prometerte

Estas son las medidas concretas que aplicamos. Las describimos como mecanismos porque eso es lo que son: ningún sistema puede ofrecer un resultado garantizado, y una promesa de seguridad absoluta sería la primera afirmación que se volvería en nuestra contra.

• Toda la comunicación entre tu navegador y nuestros servidores viaja cifrada con TLS.
• La nota clínica se cifra en la aplicación con AES-256 antes de guardarse, de modo que en la base de datos no reposa en claro.
• El documento de identidad del paciente también se cifra antes de guardarse, con llaves generadas dentro de la propia base de datos y custodiadas en su bóveda de secretos, fuera del código del producto. Somos precisos sobre su alcance: ese cifrado es una capa AÑADIDA y no sustituye todavía a la columna sin cifrar, que se conserva mientras trasladamos a la columna cifrada los puntos del sistema que la leen. El documento de quien firma una evolución no está cifrado.
• El resto de la información se protege con el cifrado en reposo del proveedor de infraestructura y con los controles de acceso descritos abajo.
• Todo ingreso a la plataforma exige un segundo factor: además de la contraseña, un código de un solo uso enviado al correo, con vigencia e intentos limitados.
• La autorización vive en la base de datos, no en la pantalla: cada consulta y cada escritura se evalúa contra las políticas de la propia base, de manera que una petición que la interfaz no ofrezca tampoco se puede lograr manipulando la aplicación.
• Rige la necesidad de saber: el profesional solo accede a los pacientes que trata, no a todo el expediente de la clínica.
• Los accesos a información clínica se registran en una bitácora que ninguna cuenta de usuario puede modificar ni borrar, con la fecha, el actor y la dirección de origen. Somos precisos sobre sus límites, porque de ellos depende lo que esa bitácora prueba: la dirección de origen la aporta hoy una cabecera de nuestra red de borde, y mantenemos un programa de revisión con hallazgos abiertos —entre ellos, asegurar que ninguna lectura pueda quedar sin registrar—. Preferimos decirlo a presentarla como infalible.
• El acceso de urgencia —pensado para los casos de urgencia médica del artículo 10 de la Ley 1581 de 2012— exige escribir un motivo, dura veinticuatro (24) horas, deja doble traza y se notifica a la administración de la clínica.
• La sesión se guarda en cookies que el JavaScript de la página no puede leer, y la información clínica nunca se almacena en la caché del navegador.

Esto no es cifrado de extremo a extremo. Las llaves de cifrado las custodiamos nosotros, así que Dental Polaris tiene la capacidad técnica de descifrar la nota clínica. Lo decimos porque callarlo sería engañoso: por eso ese acceso está restringido al personal estrictamente necesario para operar y dar soporte, prohibido para cualquier otra finalidad, y sujeto a registro. Si alguien te ofrece una plataforma clínica «imposible de leer por su proveedor», pídele que te explique dónde vive la llave.

Tampoco decimos que todos los datos estén cifrados en la aplicación: el cifrado propio cubre la nota clínica y el documento del paciente, no cada campo del sistema. Y mantenemos un programa de revisión de seguridad con hallazgos abiertos, como cualquier producto vivo; lo que no hacemos es presentarlo como si no los tuviera.

Quienes intervienen en el tratamiento están obligados a reserva, también después de terminada su relación con nosotros. Ese deber no nace del secreto profesional médico —que vincula al profesional de la salud, no a un proveedor tecnológico—, sino del contrato de encargo y del artículo 18 de la Ley 1581 de 2012, que nos obliga a permitir el acceso únicamente a quienes pueden tenerlo.

16. Incidentes de seguridad

Se considera incidente la violación de los códigos de seguridad o la pérdida, robo o acceso no autorizado a información de una base de datos. La definición es amplia a propósito: no exige que haya daño consumado ni que alguien se haya llevado nada.

Cuando detectamos uno, contenemos el hecho, evaluamos qué datos y cuántos titulares resultaron afectados, y actuamos así:

• Informamos a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a que el incidente sea puesto en conocimiento del área encargada de atenderlos. Este deber es nuestro y directo, también cuando actuamos como Encargados (artículo 18, literal k, de la Ley 1581 de 2012); no se agota avisándole a la clínica.
• Avisamos a la clínica afectada sin dilación indebida y, en todo caso, dentro de las veinticuatro (24) horas siguientes, con un reporte preliminar, para que ella pueda cumplir su propio deber de reporte, cuyo plazo corre desde que se entera.
• Cuando el incidente comprometa datos sensibles de salud, informamos también a los titulares afectados. La ley no lo impone en todos los casos, pero un dato clínico comprometido que su titular ignora es un derecho que no puede ejercerse.
• Documentamos causa, alcance, nivel de riesgo, medidas de contención y de prevención de recurrencia. Ese expediente es parte del principio de responsabilidad demostrada.

17. Área de Protección de Datos Personales

El artículo 23 del Decreto 1377 de 2013 obliga a todo Responsable y a todo Encargado —sin umbral de tamaño ni excepción— a designar una persona o área que asuma la función de protección de datos personales y dé trámite a las solicitudes de los titulares. La nuestra es el Área de Protección de Datos Personales, y se contacta escribiendo a contacto@dentalpolaris.com o en la dirección de la cláusula 1.

Esa área recibe consultas, reclamos, revocatorias, solicitudes de supresión, avisos de incidentes y cualquier requerimiento de autoridad, y es la que responde dentro de los plazos de la cláusula 11. Si tu solicitud corresponde a datos de los que es Responsable tu clínica, la trasladamos a ella dentro de los dos (2) días hábiles siguientes y te lo informamos.

18. Cambios a esta política

Publicamos cualquier versión nueva en esta misma dirección, con número de versión y fecha de vigencia propios. Los cambios sustanciales —los que afecten a nuestra identificación como Responsable o a la finalidad del tratamiento— te los comunicaremos de manera eficiente antes de implementarlos, o a más tardar al momento de hacerlo, como exigen el artículo 13, inciso final, y el artículo 5 del Decreto 1377 de 2013.

Si el cambio se refiere a la finalidad del tratamiento, no basta con avisarte: te pediremos una nueva autorización. Una finalidad nueva no se puede apoyar en un consentimiento que se dio para otra cosa.

Una modificación sustancial de esta política te habilita, además, para consultar gratuitamente tus datos, aunque ya hubieras consultado ese mes (artículo 21 del Decreto 1377 de 2013).

19. Normas aplicables, vigencia y documentos relacionados

Esta política se rige por las siguientes normas, y las citas del documento remiten a ellas:

• Constitución Política, artículos 15 y 74.
• Ley Estatutaria 1581 de 2012, régimen general de protección de datos personales.
• Decreto 1377 de 2013, que la reglamenta parcialmente y hoy está compilado en el Capítulo 25 del Libro 2, Parte 2, Título 2 del Decreto 1074 de 2015. Lo citamos por su articulado original, que es como se le conoce, y añadimos la numeración compilada en los artículos de los que depende una obligación concreta.
• Circular Única de la Superintendencia de Industria y Comercio, Título V, sobre registro de bases de datos y transferencia internacional.
• Resolución 1995 de 1999 y Resolución 839 de 2017 del Ministerio de Salud y Protección Social, sobre manejo, retención y disposición final de la historia clínica.
• Ley 23 de 1981, sobre ética médica y reserva de la historia clínica.

Documentos relacionados: los Términos y Condiciones del servicio (/terminos), la Política de Cookies y Almacenamiento Local (/cookies) y el Acuerdo de Encargo del Tratamiento entre la clínica y Dental Polaris (/encargo-de-datos), que es donde constan las condiciones bajo las que tratamos los datos de los pacientes por cuenta de la clínica.

Esta versión rige desde su fecha de entrada en vigencia y sustituye a las anteriores. Para cualquier duda sobre su contenido, escribe a contacto@dentalpolaris.com.