Política de Tratamiento de la Información y Datos Personales

Historia Clínica Duo Software · Documento PTD-01 · Versión 1.0 · Última actualización: 9 de septiembre de 2026 · Fecha de entrada en vigencia: 9 de septiembre de 2026.

Esta política explica qué datos personales tratamos, para qué, con qué reglas y cómo puede cualquier persona ejercer sus derechos. Está escrita en lenguaje claro y sencillo, como lo exige el Decreto 1377 de 2013, y se adopta en cumplimiento de la Ley 1581 de 2012, que es la ley estatutaria colombiana de protección de datos personales. Cuando aparece un término jurídico, se explica en la misma frase en que se usa.

1. Quién publica esta política (identificación del responsable)

Historia Clínica Duo Software es la marca comercial con la que un comerciante persona natural matriculado en el registro mercantil ofrece un programa de computador para consultorios y clínicas odontológicas. No es una sociedad, no es una S.A.S. y no es una persona jurídica. Por eso este documento usa la palabra nombre y no la expresión razón social, que solo corresponde a las sociedades.

Dato	Información
Nombre	YHEISON DARÍO JARAMILLO MUÑOZ — persona natural comerciante matriculada
Marca comercial del servicio	Historia Clínica Duo Software
Documento de identidad	Cédula de ciudadanía 1053765161
NIT	1053765161-4
Matrícula mercantil	No. 18239912 de la Cámara de Comercio de Pereira, inscrita el 2 de septiembre de 2026, estado activa
Tamaño de empresa	Microempresa (Grupo NIIF III)
Actividades registradas	CIIU Q8622 (actividades de la práctica odontológica), J6201 (desarrollo de sistemas informáticos) y J6311 (procesamiento de datos, alojamiento y actividades relacionadas)
Domicilio	Belén de Umbría, Risaralda, Colombia
Dirección física de notificación	Carrera 11 No. 6-20, apartamento 502, Belén de Umbría, Risaralda, Colombia
Correo electrónico de atención	historiaclinicaduo2023@gmail.com
Teléfono y WhatsApp	+57 312 6482249
Sitio web	https://www.historiaclinicaduo.com

Cómo verificar esta identidad. Cualquier persona puede comprobar estos datos gratis y sin registrarse en el Registro Único Empresarial y Social, consultando el NIT 1053765161 (sin el dígito de verificación) o la matrícula 18239912: https://www.rues.org.co/buscar/RM/1053765161.

Nota sobre canales, para que la verificación no confunda. El correo y el teléfono que figuran en los registros oficiales (Cámara de Comercio y DIAN) son los que reciben las notificaciones de esas entidades y pueden ser distintos de los que aparecen arriba. Los canales de esta política, y en particular el correo historiaclinicaduo2023@gmail.com, son los canales de atención al público y son los que se deben usar para cualquier asunto de protección de datos personales.

Qué no somos. Historia Clínica Duo Software no es un prestador de servicios de salud: no atiende pacientes, no abre historias clínicas propias y no sustituye al odontólogo en ninguna de sus obligaciones. Tampoco está habilitado, avalado, aprobado ni certificado por el Ministerio de Salud y Protección Social, la Superintendencia Nacional de Salud, la Superintendencia de Industria y Comercio, la DIAN ni por ninguna otra autoridad: un programa de computador no se habilita; se habilita el prestador de servicios de salud. Lo que el software hace es permitirle al odontólogo cumplir sus propias obligaciones.

2. A quién se aplica esta política

Esta política se aplica a todos los datos personales que tratamos, y distingue tres grupos de personas:

Visitantes del sitio web y personas interesadas que nos escriben por el formulario de contacto, por correo o por WhatsApp.
Clientes (odontólogos, clínicas y su personal) que contratan o prueban el servicio, y los usuarios que ellos crean dentro de su cuenta.
Pacientes cuyos datos el odontólogo o la clínica registra dentro del software. Frente a estos datos nuestra posición es distinta y se explica en la sección 5.

3. Definiciones que hacen falta para entender el resto

Término	Qué significa
Dato personal	Cualquier información que se refiere a una persona identificada o que se puede identificar: su nombre, su cédula, su teléfono, su diagnóstico.
Titular	La persona a la que pertenecen los datos. En una historia clínica, el titular es el paciente.
Tratamiento	Cualquier cosa que se haga con los datos: recolectarlos, guardarlos, usarlos, consultarlos, compartirlos o borrarlos.
Responsable del tratamiento	Quien decide sobre la base de datos y sobre el tratamiento: para qué se usan los datos y con qué medios (Ley 1581 de 2012, artículo 3).
Encargado del tratamiento	Quien trata los datos por cuenta del responsable, siguiendo sus instrucciones y sin decidir por su cuenta las finalidades (Ley 1581 de 2012, artículo 3).
Dato sensible	El que afecta la intimidad o cuyo uso indebido puede generar discriminación. La ley incluye expresamente los datos de salud (Ley 1581 de 2012, artículo 5).
Autorización	El permiso previo, expreso e informado que da el titular para que sus datos sean tratados.
Transmisión	Enviar datos a un encargado para que los trate por cuenta del responsable, sin cambiar quién decide sobre ellos.
Transferencia	Enviar datos a otro responsable, que pasa a decidir sobre ellos.
Aviso de privacidad	Documento corto que se entrega al titular, a más tardar cuando se recogen sus datos, cuando no es posible ponerle a disposición la política completa.

4. Marco normativo

Esta política se rige por la Constitución Política (derecho de hábeas data), la Ley 1581 de 2012, el Decreto 1377 de 2013 —hoy compilado en el Decreto 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25— y el Decreto 090 de 2018. En materia de historia clínica se tienen en cuenta, además, la Resolución 1995 de 1999 del Ministerio de Salud, la Resolución 839 de 2017 del Ministerio de Salud y del Ministerio de Cultura, la Ley 2015 de 2020 sobre historia clínica electrónica interoperable, la Resolución 866 de 2021 y la Ley 527 de 1999 sobre mensajes de datos. La autoridad de vigilancia en protección de datos personales es la Superintendencia de Industria y Comercio.

4.1 Principios que aplicamos siempre

El artículo 4 de la Ley 1581 de 2012 fija ocho principios que gobiernan todo tratamiento y que asumimos como reglas de operación: legalidad (el tratamiento es una actividad reglada), finalidad (los datos se usan solo para lo que se informó), libertad (solo con autorización previa del titular o mandato legal), veracidad o calidad (información exacta y actualizada), transparencia (el titular puede saber qué datos suyos tenemos), acceso y circulación restringida (los datos no se publican ni circulan más allá de lo autorizado), seguridad (medidas técnicas, humanas y administrativas) y confidencialidad (reserva sobre la información, incluso después de terminada la relación).

5. Nuestra doble posición: responsables de unos datos, encargados de otros

Este es el punto más importante del documento y conviene decirlo sin rodeos, porque de él depende quién responde por qué.

5.1 Somos RESPONSABLES de los datos de nuestros clientes y visitantes

Frente a los datos de los odontólogos, las clínicas, su personal y las personas que nos contactan, nosotros decidimos la finalidad y los medios del tratamiento: somos el responsable. Esto significa que nos corresponde obtener la autorización de esas personas, informarles para qué usamos sus datos, atender sus consultas y reclamos, mantener la información actualizada y segura, y responder ante ellas y ante la Superintendencia de Industria y Comercio por ese tratamiento.

5.2 Somos ENCARGADOS de los datos de los pacientes que el odontólogo administra

Frente a los datos de los pacientes que viven dentro del software —historia clínica, odontograma, índices de higiene oral, evoluciones, fórmulas, incapacidades, agenda, facturación del paciente— el odontólogo o la clínica es el Responsable y Historia Clínica Duo Software es el Encargado: tratamos esos datos por cuenta y bajo las instrucciones del odontólogo, no por decisión propia.

Este reparto no es una interpretación nuestra. La Corte Constitucional, al revisar el proyecto que se convirtió en la Ley 1581 de 2012 (Sentencia C-748 de 2011), usó exactamente este ejemplo: es responsable del dato el hospital que crea la historia clínica de su paciente y, si contrata a una compañía para procesar esas historias, esa compañía es el encargado. La Corte hizo además dos precisiones que asumimos: el encargado no se exime de su responsabilidad frente al titular, y responsable y encargado deben ser dos personas distintas e identificables.

5.3 Quién responde por qué

Datos	Responsable (quien decide)	Encargado (quien trata por cuenta ajena)	Qué le corresponde a cada uno
Datos de los pacientes dentro del software: historia clínica, odontograma, evoluciones, diagnósticos, fórmulas, incapacidades, agenda y facturación del paciente	El odontólogo o la clínica que usa el software	Historia Clínica Duo Software	El odontólogo define las finalidades, obtiene y conserva la autorización explícita del paciente, entrega el aviso de privacidad, tiene su propia política de tratamiento, atiende las consultas y reclamos de sus pacientes, custodia la historia clínica y la conserva por el tiempo que exige la norma sanitaria. Nosotros tratamos esos datos solo según sus instrucciones y las finalidades autorizadas, salvaguardamos la seguridad de la base de datos, guardamos confidencialidad, le ayudamos a atender los derechos de sus pacientes y no usamos esa información para fines propios.
Datos de la cuenta del cliente y de los usuarios que él crea: identificación, contacto, credenciales, facturación, registros de acceso y soporte	Historia Clínica Duo Software	Proveedores de infraestructura y servicios técnicos que actúan por nuestra cuenta	Nosotros respondemos por la finalidad, la autorización, la seguridad y la atención de los derechos de estos titulares.
Datos de visitantes del sitio y de personas que nos escriben por formulario, correo o WhatsApp	Historia Clínica Duo Software	No aplica	Nosotros respondemos por todo el tratamiento.

5.4 El contrato de transmisión de datos con cada odontólogo

Cuando un responsable entrega datos a un encargado para que los trate por su cuenta, el Decreto 1377 de 2013 (artículo 25, hoy artículo 2.2.2.25.5.2 del Decreto 1074 de 2015) exige un contrato de transmisión que señale el alcance del tratamiento, las actividades que el encargado realiza por cuenta del responsable y las obligaciones del encargado frente al responsable y frente al titular. Por eso ofrecemos a cada cliente un anexo de encargo del tratamiento, separado de esta política y de los términos y condiciones, en el que asumimos por escrito, como mínimo, tres obligaciones: (i) dar tratamiento a los datos, a nombre del responsable, conforme a los principios que los tutelan; (ii) salvaguardar la seguridad de las bases de datos; y (iii) guardar confidencialidad. Ese anexo también recoge nuestro compromiso de aplicar la política de tratamiento que fije el responsable y de tratar los datos solo conforme a la finalidad que los pacientes hayan autorizado.

Lo que esto implica para el odontólogo. Ningún proveedor de software lo releva de sus deberes personales: obtener la autorización de sus pacientes, entregarles el aviso de privacidad, tener su propia política de tratamiento, custodiar la historia clínica y conservarla por el término legal. Nosotros somos una herramienta que le permite cumplirlos; no somos el custodio de sus historias clínicas ni el titular de su base de datos.

6. Qué datos tratamos como responsables y para qué

Grupo de titulares	Datos que tratamos	Finalidades
Visitantes e interesados	Nombre, correo electrónico, teléfono o WhatsApp, ciudad, profesión, contenido del mensaje y datos técnicos básicos de la navegación	Responder la solicitud; agendar y realizar demostraciones del software; enviar información sobre el servicio, sus precios y sus condiciones; atender peticiones, quejas y reclamos; y dejar constancia de la comunicación.
Clientes y usuarios de su cuenta	Nombre, documento de identidad, NIT cuando aplique, registro profesional cuando el cliente lo suministre, correo, teléfono, dirección, datos de facturación y de pago, nombre de usuario y contraseña cifrada, y registros de uso de la plataforma como fecha, hora y dirección IP de acceso	Crear y administrar la cuenta y sus usuarios; prestar, mantener y dar soporte al servicio; cobrar y facturar la suscripción; enviar avisos operativos, de seguridad, de mantenimiento y de cambios normativos que afecten el uso del software; conservar la prueba de la aceptación de los términos y de esta política; cumplir obligaciones contables, tributarias y comerciales; atender requerimientos de autoridades; y remitir información sobre nuevas funciones o planes, de lo cual el cliente puede desuscribirse en cualquier momento.
Proveedores y contratistas	Datos de identificación, contacto y pago	Gestionar la relación contractual y cumplir obligaciones legales.

Dos límites que asumimos expresamente. Primero: como responsables no pedimos datos sensibles a nuestros clientes ni a los visitantes; no necesitamos su información de salud para venderles ni para prestarles el servicio. Segundo: los datos clínicos de los pacientes que viven dentro del software no se usan para fines propios —ni publicidad, ni analítica comercial, ni estadísticas de mercado, ni entrenamiento de modelos de inteligencia artificial— porque sobre esos datos no decidimos nosotros.

7. Datos sensibles de salud: régimen reforzado

7.1 Por qué son especiales

El artículo 5 de la Ley 1581 de 2012 clasifica como sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, e incluye expresamente los datos relativos a la salud, a la vida sexual y los datos biométricos. Toda la información que un odontólogo registra en una historia clínica —motivo de consulta, antecedentes, diagnósticos, tratamientos, medicamentos, imágenes, odontograma— es dato sensible.

7.2 La prohibición general del artículo 6 y sus excepciones

El artículo 6 de la Ley 1581 de 2012 parte de una prohibición: por regla general está prohibido el tratamiento de datos sensibles. Solo se permite en los casos que la misma norma enumera:

Cuando el titular ha dado su autorización explícita, salvo en los casos en que por ley no se requiera autorización.
Cuando el tratamiento es necesario para salvaguardar el interés vital del titular y este se encuentra física o jurídicamente incapacitado; en esos casos deben obrar sus representantes legales.
Cuando el tratamiento lo efectúa, en el curso de sus actividades legítimas y con las debidas garantías, una fundación, ONG, asociación u organismo sin ánimo de lucro con finalidad política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a quienes mantengan contactos regulares por razón de su finalidad, y que los datos no se comuniquen a terceros sin autorización.
Cuando el tratamiento se refiere a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
Cuando el tratamiento tiene una finalidad histórica, estadística o científica, caso en el cual deben adoptarse medidas conducentes a suprimir la identidad de los titulares.

En la práctica odontológica la excepción que opera es la primera: la autorización explícita del paciente, que debe obtener y conservar el odontólogo, no el proveedor del software.

7.3 Tres deberes adicionales al pedir datos sensibles

El artículo 6 del Decreto 1377 de 2013 (hoy artículo 2.2.2.25.2.3 del Decreto 1074 de 2015) agrega tres deberes que deben cumplirse al pedir datos sensibles, y que trasladamos íntegros a nuestros clientes porque son ellos quienes recogen esos datos:

Informar al titular que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento. Esta advertencia debe ser explícita y previa, y debe quedar registrada.
Informar de forma explícita y previa cuáles de los datos que se piden son sensibles y con qué finalidad se van a tratar, y obtener el consentimiento expreso del titular.
Ninguna actividad puede condicionarse a que el titular entregue datos personales sensibles. No se le puede negar un servicio por negarse a autorizar el tratamiento de datos sensibles, sin perjuicio de que la atención en salud requiera, por su propia naturaleza y por norma sanitaria, registrar la historia clínica.

Cuando somos nosotros quienes pedimos datos —a clientes y visitantes— no solicitamos datos sensibles. Si en algún momento llegáramos a necesitarlos, cumpliríamos estos tres deberes antes de recogerlos.

7.4 Datos de niñas, niños y adolescentes

El artículo 7 de la Ley 1581 de 2012 y el Decreto 1377 de 2013 someten el tratamiento de datos de menores de edad a reglas especiales: debe responder y respetar el interés superior del menor, asegurar el respeto de sus derechos fundamentales y tener en cuenta su opinión según su madurez. En la consulta odontológica, la autorización la otorga el representante legal del menor; obtenerla y conservarla es deber del odontólogo como responsable.

7.5 Medidas reforzadas que aplicamos sobre datos de salud

El acceso a la información clínica dentro de la plataforma está controlado por usuario y contraseña individuales y por perfiles de acceso según el rol de cada usuario, de modo que cada persona vea únicamente lo que le corresponde. Esto responde al deber legal de permitir el acceso a la información solamente a quienes pueden tenerlo.
Nuestro personal técnico no consulta datos clínicos de pacientes por iniciativa propia. Solo accede a la información cuando es indispensable para resolver una solicitud de soporte del responsable o para corregir una falla que impida la prestación del servicio, por el tiempo estrictamente necesario y dejando registro de ese acceso.
Quien tenga acceso a información clínica está sujeto a deber de confidencialidad permanente, que subsiste incluso después de terminada la relación con nosotros.
No divulgamos, no vendemos, no cedemos ni publicamos información clínica, ni la usamos para elaborar perfiles comerciales.
La historia clínica es, además, un documento privado, obligatorio y sometido a reserva según la Resolución 1995 de 1999 del Ministerio de Salud, que solo puede ser conocido por terceros con autorización del paciente o en los casos previstos en la ley. Esa reserva se suma a los deberes de la Ley 1581 de 2012 y opera dentro de la plataforma.

8. Autorización del titular

Como responsables, pedimos autorización previa, expresa e informada antes de tratar datos personales, y conservamos prueba de ella. La autorización puede constar por escrito, de forma oral o mediante conductas inequívocas que permitan concluir razonablemente que el titular la otorgó; en nuestro caso se recoge por medios electrónicos, con casilla de aceptación que no viene marcada de antemano, y se guarda el registro del usuario, la fecha, la hora y la versión del documento aceptado.

No se requiere autorización cuando se trate de información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial, de datos de naturaleza pública, de casos de urgencia médica o sanitaria, de tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, o de datos relacionados con el registro civil de las personas (Ley 1581 de 2012, artículo 10).

Respecto de los pacientes, la autorización la obtiene y la conserva el odontólogo o la clínica, que es el responsable. El software le permite registrar, fechar y exportar esa autorización para que pueda probarla cuando se la exijan.

9. Derechos del titular (artículo 8 de la Ley 1581 de 2012)

Toda persona cuyos datos tratemos tiene los siguientes derechos, que puede ejercer por sí misma, por su representante o apoderado, o por sus causahabientes cuando corresponda:

Conocer, actualizar y rectificar sus datos personales frente a los responsables o encargados. Este derecho se puede ejercer, entre otros, frente a datos parciales, inexactos, incompletos, fraccionados, que induzcan a error, o cuyo tratamiento esté prohibido o no haya sido autorizado.
Solicitar prueba de la autorización otorgada al responsable, salvo en los casos en que la ley exceptúa la autorización como requisito del tratamiento.
Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012 y a las normas que la modifiquen, adicionen o complementen.
Revocar la autorización y solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, en los términos del artículo 8 de la Ley 1581 de 2012.
Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Para hacer sencillo el ejercicio de estos derechos, el Decreto 1377 de 2013 exige mecanismos ágiles y permanentemente disponibles; los nuestros están descritos en las secciones 10 a 14.

Una precisión útil para pacientes. Si usted es paciente y quiere una copia de su historia clínica, su interlocutor es el odontólogo o la clínica que lo atendió, que es el responsable y el custodio de ese documento. La Ley 2015 de 2020 establece que todo paciente tiene derecho a que le suministren su historia clínica por medio electrónico, de forma gratuita, completa y rápida. Si usted nos escribe directamente, atenderemos su solicitud en los términos de la Ley 1581 de 2012 —que permite dirigir consultas y reclamos también al encargado— y la trasladaremos al odontólogo responsable, informándole a usted de ese traslado.

10. Área responsable de la atención de peticiones, consultas y reclamos

En cumplimiento del artículo 23 del Decreto 1377 de 2013, que obliga tanto a responsables como a encargados a designar una persona o área que asuma la función de protección de datos personales, se ha designado la siguiente:

Elemento	Información
Área designada	Área de Protección de Datos Personales de Historia Clínica Duo Software
Persona que asume la función	Yheison Darío Jaramillo Muñoz, titular de la matrícula mercantil
Canal principal (escrito)	Correo electrónico historiaclinicaduo2023@gmail.com, indicando en el asunto la palabra HABEAS DATA
Canal alterno	WhatsApp o llamada al +57 312 6482249. Las solicitudes recibidas por este canal se radican por escrito y se responden por correo electrónico, para que quede constancia.
Canal físico	Comunicación escrita dirigida a Carrera 11 No. 6-20, apartamento 502, Belén de Umbría, Risaralda, Colombia
Constancia de recepción	Toda solicitud recibe un acuse de recibo con número de radicado, fecha y hora, dentro del día hábil siguiente a su recepción

Los términos de esta política se cuentan en días hábiles, es decir, sin contar sábados, domingos ni festivos, salvo donde expresamente se diga otra cosa.

11. Procedimiento para consultas (artículo 14 de la Ley 1581 de 2012)

Una consulta es la solicitud con la que el titular pide conocer la información que reposa sobre él, o pide que se le informe el uso que se le ha dado a sus datos. La ley permite dirigirla al responsable o al encargado.

El titular, su causahabiente, su representante o apoderado envía la consulta por cualquiera de los canales de la sección 10, identificándose con su nombre y número de documento y describiendo lo que solicita.
Enviamos acuse de recibo con número de radicado, fecha y hora.
La consulta se atiende en un término máximo de diez (10) días hábiles, contados desde la fecha de recibo.
Si no es posible atenderla dentro de ese término, se lo informamos al interesado antes de que venza, explicándole los motivos de la demora y señalándole la fecha en que se atenderá su consulta. Esa fecha en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término, es decir, quince (15) días hábiles en total.
El acceso del titular a sus propios datos es gratuito.

12. Procedimiento para reclamos (artículo 15 de la Ley 1581 de 2012)

Un reclamo es la solicitud con la que el titular pide corregir, actualizar o suprimir sus datos, o denuncia un presunto incumplimiento de los deberes de la ley.

12.1 Cómo se presenta

El reclamo se dirige a los canales de la sección 10 y debe contener: la identificación del titular, la descripción de los hechos que dan lugar al reclamo, la dirección de contacto y los documentos que se quieran hacer valer.

12.2 Plazos exactos

Reclamo incompleto: si el reclamo resulta incompleto, requerimos al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Si transcurren dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información pedida, se entiende que ha desistido del reclamo.
Falta de competencia: si quien recibe el reclamo no es competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. Esto ocurre, por ejemplo, cuando un paciente nos reclama a nosotros algo que solo puede resolver el odontólogo responsable de su historia clínica.
Leyenda «reclamo en trámite»: una vez recibido el reclamo completo, se incluye en la base de datos, sobre el dato reclamado, una leyenda que dice «reclamo en trámite» junto con el motivo, en un término no mayor a dos (2) días hábiles. Esa leyenda se mantiene hasta que el reclamo sea decidido.
Término para resolver: el término máximo para atender el reclamo es de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo.
Prórroga: cuando no sea posible atenderlo dentro de ese término, informaremos al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

12.3 Cuando el reclamo se refiere a datos de un paciente

Si el reclamo se refiere a datos que tratamos como encargados, lo tramitamos en coordinación con el odontólogo o la clínica responsable: le informamos del reclamo, ejecutamos las correcciones, actualizaciones o supresiones que él nos instruya, y actualizamos la información que nos reporte dentro de los cinco (5) días hábiles siguientes a su recibo, como lo exige el artículo 18 de la Ley 1581 de 2012. Al titular le informamos siempre el traslado y el resultado.

13. Queja ante la Superintendencia de Industria y Comercio

El artículo 16 de la Ley 1581 de 2012 establece un requisito de procedibilidad: el titular solo puede elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el responsable o el encargado. Es decir, primero hay que escribirnos a nosotros —o al odontólogo, según el caso— y esperar la respuesta o el vencimiento de los términos. La Superintendencia de Industria y Comercio es la autoridad de protección de datos personales en Colombia: https://www.sic.gov.co.

14. Revocación de la autorización y supresión de datos

El titular puede en cualquier momento solicitar la supresión de sus datos y/o revocar la autorización que otorgó, por los mismos canales de la sección 10. El procedimiento es el siguiente:

La solicitud se radica y se acusa recibo con número, fecha y hora.
Se tramita con los plazos del reclamo descritos en la sección 12: quince (15) días hábiles desde el día siguiente al recibo, prorrogables por máximo ocho (8) días hábiles más informando los motivos.
La revocación puede ser total —sobre todas las finalidades— o parcial, sobre finalidades específicas; por ejemplo, se puede revocar la autorización para recibir comunicaciones comerciales y mantener la necesaria para prestar el servicio contratado.
Si la solicitud procede, suprimimos los datos de nuestras bases activas y damos instrucción de eliminación a los proveedores que actúan por nuestra cuenta. Las copias de seguridad se sobrescriben en el ciclo normal de rotación; mientras tanto permanecen bloqueadas para cualquier uso distinto de la restauración ante una falla.
Confirmamos por escrito al titular lo que se hizo.

Cuándo no procede la supresión. La supresión no es absoluta. No procede cuando el titular tiene un deber legal o contractual de permanecer en la base de datos, ni cuando la eliminación obstaculiza actuaciones judiciales o administrativas relacionadas con obligaciones fiscales, investigaciones o el cumplimiento de una obligación legal. El caso más importante en este negocio es el de la historia clínica: la norma sanitaria obliga al prestador a conservarla por un tiempo determinado (sección 15), de modo que un paciente no puede pedir que se borre su historia clínica mientras corre ese término. En estos casos informamos al titular la razón concreta y la norma que impide la supresión, y limitamos el tratamiento a la finalidad de conservación.

15. Conservación de la información y vigencia de las bases de datos

15.1 Historia clínica: quince años

De acuerdo con la Resolución 839 de 2017 del Ministerio de Salud y Protección Social y del Ministerio de Cultura, que modificó la Resolución 1995 de 1999, la historia clínica debe retenerse y conservarse por el responsable de su custodia durante un período mínimo de quince (15) años contados a partir de la fecha de la última atención: los cinco (5) primeros años en el archivo de gestión y los diez (10) siguientes en el archivo central. Cuando se trata de historias clínicas de víctimas de violaciones de derechos humanos o de infracciones graves al Derecho Internacional Humanitario, esos términos se duplican; y si la historia clínica hace parte de un proceso por delitos de lesa humanidad, su conservación es permanente.

Ese deber de custodia y conservación es del prestador —el odontólogo o la clínica—, no del proveedor del software. Por eso el servicio está diseñado para que el prestador pueda descargar y archivar su información en cualquier momento, y por eso recomendamos expresamente que mantenga sus propias copias: las copias de seguridad del proveedor no sustituyen el archivo propio del prestador.

La Ley 527 de 1999 permite que la obligación de conservar documentos en mensajes de datos se cumpla directamente o a través de terceros, siempre que la información sea accesible para consulta posterior, se conserve en el formato en que se generó o en uno que lo reproduzca con exactitud, y se conserven los datos de origen, destino, fecha y hora. Ese es el fundamento legal de que un odontólogo pueda guardar sus historias clínicas en un servicio como el nuestro, y la razón por la cual el sistema registra la autoría, la fecha y la hora de cada anotación.

15.2 Salida de datos al terminar el servicio

Suspensión por mora: mientras la cuenta está suspendida, la información se conserva íntegra y sigue siendo exportable. Nunca retenemos datos clínicos como medio de presión para el cobro, porque eso impediría al prestador cumplir su deber legal de conservación.
Terminación: a partir de la terminación del servicio el responsable dispone de una ventana de sesenta (60) días calendario para exportar su información, en los formatos que ofrece la plataforma (PDF, Excel y archivos comprimidos). Vencida esa ventana, y salvo instrucción escrita en contrario del responsable, la información se elimina de los sistemas activos.
Cuentas de prueba no convertidas: si una cuenta de prueba no se convierte en suscripción, los datos cargados se conservan sesenta (60) días calendario contados desde la terminación de la prueba, plazo durante el cual pueden exportarse; vencido ese término se eliminan. Advertimos a nuestros clientes que no carguen datos de pacientes reales en cuentas que no piensen conservar.

15.3 Vigencia de cada base de datos

Base de datos	Período de vigencia
Datos de visitantes e interesados que no se convierten en clientes	Hasta dos (2) años desde el último contacto, o antes si el titular revoca su autorización o solicita la supresión.
Datos de clientes y de los usuarios de su cuenta	Mientras esté vigente la relación contractual y, después de terminada, por el tiempo necesario para atender obligaciones legales, contables, tributarias y comerciales, y para la defensa de eventuales reclamaciones. La conservación de libros y papeles del comerciante se rige por el Código de Comercio.
Datos de pacientes tratados como encargados	Mientras esté vigente el contrato con el responsable, más la ventana de exportación de sesenta (60) días. El término legal de conservación de quince (15) años corre en cabeza del prestador que custodia la historia clínica.
Registros de consultas, reclamos y autorizaciones	Por el tiempo necesario para probar el cumplimiento de esta política y de la Ley 1581 de 2012.

En todo caso, ninguna base de datos se conserva más allá del tiempo razonable y necesario para las finalidades que justificaron su recolección, salvo obligación legal o contractual de conservación.

16. Medidas de seguridad

El principio de seguridad del artículo 4 de la Ley 1581 de 2012 obliga a adoptar las medidas técnicas, humanas y administrativas necesarias para impedir la adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de la información. Es una obligación de medio y de diligencia proporcional al tamaño de la organización, a la naturaleza de los datos y al riesgo (Decreto 1377 de 2013, artículos 26 y 27); no es una promesa de que nada puede fallar. Por eso describimos lo que efectivamente hacemos, sin ofrecer garantías absolutas.

16.1 Medidas técnicas

Acceso a la plataforma mediante usuario y contraseña individuales; las contraseñas se almacenan cifradas y no son visibles para nosotros.
Control de acceso por roles: cada usuario ve y hace únicamente lo que su perfil permite.
Conexión cifrada (HTTPS/TLS) entre el navegador o el celular del usuario y la plataforma.
Trazabilidad: el sistema registra la autoría, la fecha y la hora de las anotaciones clínicas y de las operaciones relevantes, de manera que se pueda identificar quién hizo cada registro.
Copias de seguridad periódicas de la base de datos, conservadas con las mismas restricciones de acceso que la información original.
Exportación de la información en formatos utilizables (PDF, Excel y archivos comprimidos), de modo que el responsable pueda mantener su propio archivo.
Actualización de la plataforma y de sus componentes cuando se publican correcciones de seguridad.

16.2 Medidas humanas y administrativas

Deber de confidencialidad permanente para toda persona que intervenga en la operación del servicio, que subsiste después de terminada la relación.
Acceso mínimo necesario a bases de datos de producción, limitado a la atención de solicitudes de soporte o a la corrección de fallas, con registro de esos accesos.
Manual interno de políticas y procedimientos para garantizar el cumplimiento de la Ley 1581 de 2012 y para la atención de consultas y reclamos, en los términos del artículo 18 de esa ley.
Traslado contractual de las obligaciones de seguridad y confidencialidad a los proveedores que intervienen en la prestación del servicio.

16.3 Lo que no tenemos, dicho con claridad

Historia Clínica Duo Software no cuenta con certificación ISO 27001, ni con informe SOC 2, ni con auditoría externa de seguridad, ni con sellos de terceros, y no afirma tenerlos. La plataforma se ejecuta sobre infraestructura de alojamiento web compartida administrada por un tercero. Preferimos decirlo antes que insinuar respaldos que no existen: una afirmación falsa sobre seguridad, en un servicio que trata datos sensibles, sería a la vez un engaño al cliente y una infracción.

17. Incidentes de seguridad

Un incidente de seguridad es cualquier evento dirigido a violar los códigos de seguridad, o que implique adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de datos personales. Frente a un incidente:

Contenemos el evento y evaluamos qué información resultó comprometida.
Informamos al responsable afectado —el odontólogo o la clínica— tan pronto tengamos elementos suficientes, describiendo lo ocurrido, los datos involucrados y las medidas adoptadas, para que él pueda cumplir sus propios deberes frente a sus pacientes.
Reportamos el incidente a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes al momento en que se detecte y sea puesto en conocimiento del área responsable de atenderlo, por el canal que la Superintendencia dispone para ello. Este deber está en los artículos 17 y 18 de la Ley 1581 de 2012 y aplica también a los encargados.
Documentamos el incidente, sus causas y las medidas correctivas adoptadas.

18. Transferencia y transmisión de datos

18.1 La diferencia, en una línea

Hay transmisión cuando enviamos datos a un tercero para que los trate por cuenta de quien decide sobre ellos, sin cambiar de manos la decisión; hay transferencia cuando los datos se envían a otro responsable, que pasa a decidir sobre ellos por su cuenta.

18.2 Qué hacemos

No transferimos ni vendemos datos personales a terceros para que los usen con fines propios. Tampoco cedemos información clínica.
Sí realizamos transmisiones a proveedores que actúan por nuestra cuenta y bajo nuestras instrucciones: el proveedor de infraestructura de alojamiento donde se ejecutan la plataforma y la base de datos, y —cuando el cliente activa esas funciones— los proveedores de correo transaccional, de mensajería SMS y de notificaciones. A todos se les trasladan por contrato las obligaciones de seguridad y confidencialidad.
Podemos entregar información a autoridades públicas o judiciales cuando lo exija una norma o una orden legítima, verificando previamente la competencia de quien la solicita e informando al responsable cuando la ley lo permita.

18.3 Transmisión internacional

Si la infraestructura que aloja los datos está ubicada fuera de Colombia, la operación es una transmisión internacional de datos entre responsable y encargado. El artículo 24 del Decreto 1377 de 2013 (hoy artículo 2.2.2.25.5.1 del Decreto 1074 de 2015) dispone que las transmisiones internacionales entre un responsable y un encargado, para que este realice el tratamiento por cuenta de aquel, no requieren ser informadas al titular ni contar con su consentimiento adicional cuando existe un contrato en los términos del artículo 25 del mismo decreto. Ese contrato es precisamente el anexo de encargo del tratamiento descrito en la sección 5.4.

La transferencia internacional —a otro responsable— es distinta: el artículo 26 de la Ley 1581 de 2012 prohíbe enviar datos a países que no ofrezcan niveles adecuados de protección, salvo excepciones como la autorización expresa e inequívoca del titular, el intercambio de datos de carácter médico cuando lo exija el tratamiento del titular por razones de salud o higiene pública, o los casos previstos en tratados internacionales. No realizamos transferencias internacionales de información clínica.

Informamos a cada cliente, cuando lo solicite, el proveedor de infraestructura y el país donde se alojan los datos, y le avisamos con antelación razonable cualquier cambio de proveedor.

19. Registro Nacional de Bases de Datos

El Decreto 090 de 2018 dejó como obligados a inscribir bases de datos en el Registro Nacional de Bases de Datos únicamente a las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a las personas jurídicas de naturaleza pública; las personas naturales quedaron excluidas. Además, ese registro es un deber de los responsables, no de los encargados. Por esas dos razones independientes, Historia Clínica Duo Software no está obligado a inscribirse en ese registro.

Conviene ser preciso sobre lo que eso significa: no es un aval, ni una certificación, ni un permiso. Es simplemente una exclusión del ámbito de aplicación, y el propio decreto advierte que no releva del cumplimiento de los demás deberes de la Ley 1581 de 2012, que sí cumplimos y que este documento describe. Dato útil para nuestros clientes: la mayoría de los consultorios odontológicos, por ser personas naturales o sociedades pequeñas, tampoco está obligada a ese registro.

20. Lo que esta política no afirma

Para que nadie tenga que deducirlo, dejamos escrito lo siguiente:

No somos una sociedad ni una persona jurídica; somos una persona natural comerciante matriculada.
El software no está habilitado, avalado, certificado ni aprobado por ninguna autoridad. Un programa de computador no se habilita; se habilita el prestador de servicios de salud.
No tenemos certificaciones de seguridad de la información ni auditorías externas.
No prometemos seguridad infalible ni un porcentaje de disponibilidad garantizado.
No somos custodios de la historia clínica: la custodia y la conservación son del prestador que la generó.
No sustituimos el cumplimiento del odontólogo: la autorización de sus pacientes, su aviso de privacidad, su política de tratamiento y su habilitación como prestador son deberes suyos, personales e indelegables.

21. Vigencia de esta política y cambios

Esta política entra en vigencia el 9 de septiembre de 2026 y permanece vigente mientras no sea sustituida por una versión posterior publicada en https://www.historiaclinicaduo.com. Los períodos de vigencia de cada base de datos están en la sección 15.3.

Cualquier cambio sustancial se comunicará a los titulares por correo electrónico o dentro de la plataforma antes de implementar la nueva política, y cuando el cambio se refiera a la finalidad del tratamiento se solicitará una nueva autorización, como lo exige el Decreto 1377 de 2013. Mantenemos disponibles las versiones anteriores de este documento, identificadas por número de versión y fecha, para que cualquier titular pueda saber qué reglas regían en un momento determinado.

Versión	Fecha	Cambios
1.0	9 de septiembre de 2026	Versión inicial.

22. Aviso de privacidad

El siguiente texto es el aviso de privacidad de Historia Clínica Duo Software, en los términos del Decreto 1377 de 2013. Se entrega al titular a más tardar en el momento de la recolección de sus datos, cuando no es posible ponerle a disposición esta política completa. Puede copiarse tal cual en formularios, correos y pantallas de registro.

Aviso de privacidad — Historia Clínica Duo Software

Responsable: Yheison Darío Jaramillo Muñoz, persona natural comerciante matriculada, NIT 1053765161-4, matrícula mercantil No. 18239912 de la Cámara de Comercio de Pereira, domicilio en Belén de Umbría, Risaralda, Colombia; dirección Carrera 11 No. 6-20, apartamento 502; correo historiaclinicaduo2023@gmail.com; teléfono y WhatsApp +57 312 6482249; sitio web www.historiaclinicaduo.com. Marca comercial del servicio: Historia Clínica Duo Software.

Tratamiento y finalidad. Sus datos personales de identificación y contacto serán tratados para atender su solicitud, agendar y realizar demostraciones del servicio, enviarle información sobre el software, sus planes y sus condiciones, crear y administrar su cuenta si contrata o prueba el servicio, prestarle soporte, facturar y cobrar la suscripción, enviarle avisos operativos y de seguridad, atender sus peticiones, consultas y reclamos, y cumplir obligaciones legales, contables y tributarias.

Datos sensibles. No solicitamos datos personales sensibles para estas finalidades. Si en algún caso se le llegara a preguntar por datos sensibles —entre ellos los relativos a la salud, a la vida sexual o los datos biométricos—, la respuesta a esas preguntas es facultativa: usted no está obligado a autorizar su tratamiento, ninguna actividad se condicionará a que los suministre y se le informará previamente cuáles son esos datos y para qué se usarían.

Sus derechos. Como titular usted puede conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización que otorgó; ser informado sobre el uso que se ha dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, previo agotamiento del trámite de consulta o reclamo ante nosotros; revocar la autorización y solicitar la supresión de sus datos en los casos que la ley permite; y acceder gratuitamente a sus datos personales (Ley 1581 de 2012, artículo 8).

Cómo ejercerlos. Escríbanos al correo historiaclinicaduo2023@gmail.com con el asunto HABEAS DATA, o al WhatsApp +57 312 6482249, o a la dirección física indicada arriba. Su solicitud recibirá acuse de recibo con radicado, fecha y hora. Las consultas se atienden en máximo diez (10) días hábiles, prorrogables por cinco (5) días hábiles más; los reclamos, en máximo quince (15) días hábiles contados desde el día siguiente al recibo, prorrogables por ocho (8) días hábiles más.

Dónde consultar la política completa. La Política de Tratamiento de la Información y Datos Personales, con el detalle de las finalidades, los procedimientos, las medidas de seguridad y la vigencia de las bases de datos, está publicada de forma permanente en www.historiaclinicaduo.com y se remite por correo electrónico a quien la solicite. Los cambios sustanciales se comunicarán antes de su entrada en vigencia por correo electrónico o dentro de la plataforma.

Advertencia para odontólogos y clínicas. Este aviso es el nuestro, sobre los datos de nuestros clientes y visitantes. No sustituye el aviso de privacidad que usted debe entregar a sus pacientes como responsable del tratamiento de sus datos de salud, ni la autorización explícita que debe obtener de ellos.

23. Aceptación

El uso del sitio web, el envío de información por cualquiera de nuestros canales, la creación de una cuenta de prueba o la contratación del servicio implican que el titular conoce esta política y las finalidades aquí descritas, sin perjuicio de la autorización expresa que se recoge por separado y de la que se conserva prueba.