Anexo de Encargo del Tratamiento de Datos Personales

Última actualización: 9 de septiembre de 2026. Versión: 1.0. Documento: ANX-ENC-01.

Este anexo es el contrato de transmisión de datos personales previsto en el artículo 25 del Decreto 1377 de 2013 (norma compilada en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015). Se suscribe entre el odontólogo o la clínica que usa el software (el RESPONSABLE) y quien presta el servicio de software (el ENCARGADO), y define exactamente qué puede y qué no puede hacer el ENCARGADO con los datos de los pacientes.

1. Identificación de las partes

1.1. ENCARGADO del Tratamiento — prestador del servicio de software

Dato	Contenido
Nombre	YHEISON DARÍO JARAMILLO MUÑOZ
Calidad	Persona natural comerciante matriculada. No es una sociedad ni una persona jurídica; por eso el documento habla de «nombre» y no de «razón social».
Marca comercial del servicio	Historia Clínica Duo Software
Identificación	Cédula de ciudadanía 1053765161 — NIT 1053765161-4
Matrícula mercantil	No. 18239912, Cámara de Comercio de Pereira
Fecha de matrícula	2 de septiembre de 2026
Domicilio	Belén de Umbría, Risaralda, Colombia
Dirección de notificación	CR 11 6 20 AP 502, Belén de Umbría, Risaralda. [DECIDIR: esta es la dirección registrada y corresponde a un domicilio residencial. Debe confirmarse si se publica completa en la web o si en la versión pública se muestra solo el municipio y el departamento, dejando la dirección completa únicamente en el anexo firmado con cada cliente.]
Actividades registradas	CIIU Q8622 (actividades de la práctica odontológica) y J6201 (desarrollo de sistemas informáticos). Actividad adicional J6311 (procesamiento de datos y alojamiento)
Tamaño	Microempresa
Correo para asuntos de datos personales (hábeas data)	[COMPLETAR: correo definitivo y exclusivo para protección de datos. Recomendado: datos@historiaclinicaduo.com. Hoy circulan tres direcciones distintas —el correo registrado en el RUES, el correo comercial y el destinatario real del formulario web— y deben unificarse antes de publicar este documento.]
Persona designada para la función de protección de datos personales (artículo 23 del Decreto 1377 de 2013)	[COMPLETAR: nombre de la persona designada y su correo. Puede ser el propio titular de la matrícula, pero la designación debe constar por escrito.]
Otros canales de atención	Correo historiaclinicaduo2023@gmail.com — WhatsApp +57 312 6482249
Verificación independiente	El RESPONSABLE puede verificar por su cuenta estos datos consultando el NIT 1053765161 (sin dígito de verificación) o la matrícula 18239912 en el Registro Único Empresarial y Social, rues.org.co. La consulta es pública y gratuita.

1.2. RESPONSABLE del Tratamiento — odontólogo o clínica que usa el software

Dato	Contenido
Nombre o razón social	[COMPLETAR por el cliente]
NIT o cédula	[COMPLETAR por el cliente]
Representante legal (si es persona jurídica)	[COMPLETAR por el cliente]
Domicilio y dirección de notificación	[COMPLETAR por el cliente]
Correo electrónico y teléfono de contacto	[COMPLETAR por el cliente]
Código de habilitación o inscripción en el REPS, si aplica	[COMPLETAR por el cliente]
Persona o área que atiende peticiones, consultas y reclamos de datos personales	[COMPLETAR por el cliente]
Plan contratado y fecha de inicio	[COMPLETAR]

2. Qué es este documento y por qué existe

2.1. La Ley 1581 de 2012 distingue dos papeles. El Responsable del Tratamiento es quien decide sobre la base de datos y sobre para qué se usan los datos. El Encargado del Tratamiento es quien trata esos datos por cuenta del Responsable, es decir, siguiendo sus instrucciones y sin decidir por su cuenta qué se hace con ellos.

2.2. Aplicado a este servicio: el odontólogo o la clínica que usa el software es el RESPONSABLE de los datos de sus pacientes, porque él los recolecta, decide para qué se usan, obtiene la autorización del paciente y conserva la historia clínica. Historia Clínica Duo Software es el ENCARGADO, porque aloja y procesa esos datos por cuenta del RESPONSABLE. La Corte Constitucional, en la Sentencia C-748 de 2011, usó precisamente este ejemplo: el hospital que crea la historia clínica es el responsable, y la persona contratada para procesar esas historias es el encargado.

2.3. Este anexo cumple lo que exige el artículo 25 del Decreto 1377 de 2013 (compilado en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015): señalar los alcances del tratamiento, las actividades que el ENCARGADO realiza por cuenta del RESPONSABLE, y las obligaciones del ENCARGADO frente al Titular de los datos y frente al RESPONSABLE.

2.4. Este anexo hace parte de los Términos y Condiciones del servicio y prevalece sobre ellos en todo lo relativo a datos personales. Si algo se contradice, manda este anexo.

3. Definiciones que se usan aquí

Titular: la persona natural dueña de los datos. En este servicio, normalmente el paciente; también los acompañantes, acudientes y el personal del RESPONSABLE que use el sistema.
Tratamiento: cualquier operación sobre los datos: recolectar, almacenar, usar, circular o suprimir.
Dato sensible: el que afecta la intimidad o cuyo uso indebido puede generar discriminación. El artículo 5 de la Ley 1581 de 2012 incluye expresamente los datos relativos a la salud. Casi todo lo que vive dentro de este software es dato sensible.
Transmisión: el envío de datos del RESPONSABLE al ENCARGADO para que este los procese por cuenta de aquel. No es una cesión ni una venta: la decisión sobre los datos sigue siendo del RESPONSABLE.
Subencargado: el tercero que el ENCARGADO usa para poder prestar el servicio (por ejemplo, el proveedor de alojamiento de los servidores).
Incidente de seguridad: cualquier evento dirigido a violar los códigos de seguridad, o que implique adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de datos personales.

4. Objeto y alcance del encargo

4.1. Por este anexo el RESPONSABLE encarga al ENCARGADO el tratamiento de los datos personales que el RESPONSABLE y su personal cargan en la plataforma Historia Clínica Duo Software, con el único fin de prestar el servicio contratado.

4.2. Actividades que el ENCARGADO realiza por cuenta del RESPONSABLE:

Alojar y almacenar la información en la infraestructura descrita en la sección 12.
Permitir el registro, la consulta, la corrección trazada y la exportación de la historia clínica y de sus secciones (antecedentes, examen estomatológico, odontograma inicial y final, higiene oral e índice de placa, índices COP y CEO, evoluciones, planes de tratamiento).
Operar la agenda odontológica y, si el RESPONSABLE los activa, los recordatorios por correo, mensaje de texto o notificación al celular.
Generar documentos clínicos y administrativos: fórmulas, incapacidades, cotizaciones, facturación, contabilidad básica, inventario de insumos y trazabilidad de esterilización.
Generar los archivos e informes que el RESPONSABLE debe reportar conforme a la normativa vigente en cada momento, para que sea él quien los valide y los presente ante las autoridades.
Realizar copias de seguridad y tareas de mantenimiento, actualización y corrección de errores del software.
Prestar soporte técnico cuando el RESPONSABLE lo solicite.
Registrar los accesos y las operaciones para efectos de seguridad y auditoría.
Ejecutar las solicitudes de actualización, rectificación, supresión o exportación que le imparta el RESPONSABLE.

4.3. El ENCARGADO no realiza ninguna otra actividad sobre estos datos. Cualquier actividad adicional exige instrucción escrita previa del RESPONSABLE.

4.4. La custodia legal de la historia clínica sigue siendo del RESPONSABLE. La Resolución 1995 de 1999 del Ministerio de Salud asigna la custodia al prestador de servicios de salud que generó la historia, y la Ley 2015 de 2020 mantiene en cabeza del prestador la guarda y custodia en sus propios sistemas tecnológicos. Este anexo no traslada esa custodia al ENCARGADO: el ENCARGADO aloja y procesa, no sustituye ni libera al RESPONSABLE.

5. Categorías de titulares y de datos tratados

5.1. Titulares: pacientes del RESPONSABLE; acudientes, representantes legales y acompañantes de pacientes menores de edad o con apoyo; y el personal del RESPONSABLE que tiene usuario en la plataforma.

5.2. Categorías de datos:

Categoría	Ejemplos concretos dentro del software	¿Es dato sensible?
Identificación del paciente	Nombres y apellidos, tipo y número de documento, fecha de nacimiento, sexo, estado civil, ocupación, país, departamento y municipio	No, salvo cuando revela pertenencia étnica u otra categoría protegida
Contacto	Dirección, teléfono, correo electrónico	No
Afiliación al sistema de salud	Entidad aseguradora, tipo de afiliación, régimen, origen de la atención	Asociado a la condición de salud; se trata con el mismo cuidado
Datos de salud del paciente	Motivo de consulta, antecedentes personales y familiares, examen estomatológico, odontograma inicial y final, índice de placa, índices COP y CEO, diagnósticos, planes y procedimientos, evoluciones, fórmulas, incapacidades, imágenes y archivos clínicos adjuntos	Sí. Dato sensible (artículo 5 de la Ley 1581 de 2012)
Menores de edad	Datos de pacientes niños, niñas y adolescentes y de sus acudientes	Sí, y además con el régimen especial del artículo 7 de la Ley 1581 de 2012
Datos económicos del paciente	Cotizaciones, facturas, pagos, cuentas por cobrar asociadas a la atención	No, pero revelan la existencia de una atención en salud
Personal del RESPONSABLE	Nombre, documento, correo, rol asignado, credenciales de acceso, registro de sus accesos y operaciones	No

5.3. Como los datos de salud son sensibles, su tratamiento está prohibido salvo que exista autorización explícita del Titular u otra de las excepciones del artículo 6 de la Ley 1581 de 2012. Obtener y conservar esa autorización es obligación del RESPONSABLE (sección 9), no del ENCARGADO.

5.4. Los datos de contacto, facturación y uso de la cuenta del propio cliente (el odontólogo o la clínica) no se rigen por este anexo: respecto de ellos el ENCARGADO actúa como Responsable y aplica su propia Política de Tratamiento de Datos Personales.

6. Finalidades autorizadas y prohibición de usar los datos para fines propios

6.1. El ENCARGADO trata los datos única y exclusivamente para las finalidades que el RESPONSABLE autorizó, que son las actividades listadas en la sección 4.2, y siempre dentro de la finalidad que los Titulares autorizaron al RESPONSABLE.

6.2. El ENCARGADO se obliga a aplicar la Política de Tratamiento de la Información fijada por el RESPONSABLE. El RESPONSABLE la entrega al ENCARGADO al suscribir este anexo y le comunica sus cambios.

6.3. Prohibiciones expresas. El ENCARGADO no podrá, en ningún caso:

Usar los datos de los pacientes para finalidades propias, comerciales o de mercadeo.
Vender, ceder, arrendar, publicar o poner los datos a disposición de terceros, salvo los subencargados de la sección 12 y las autoridades que los requieran conforme a la ley.
Usar los datos, ni siquiera de forma parcial, para entrenar modelos de inteligencia artificial o de aprendizaje automático.
Cruzar los datos de un RESPONSABLE con los de otro cliente, ni construir bases de datos consolidadas de pacientes.
Contactar directamente a los pacientes del RESPONSABLE por cualquier medio, salvo cuando ejecute, por instrucción del RESPONSABLE, los recordatorios de cita configurados en la plataforma.
Retener, bloquear, ocultar o borrar los datos como medio de presión para el cobro de sumas adeudadas (ver sección 17).
Acceder al contenido clínico de un paciente sin instrucción del RESPONSABLE o sin necesidad técnica registrada (ver sección 10).

6.4. Estadísticas agregadas y anonimizadas. Por defecto no se producen. El ENCARGADO solo podría elaborar estadísticas a partir de información previamente anonimizada —es decir, información de la que se ha eliminado de forma irreversible todo lo que permita identificar al paciente— si el RESPONSABLE lo autoriza expresamente y por escrito. [DECIDIR: si se ofrece esta opción, debe describirse el procedimiento de anonimización y ofrecerse como casilla de aceptación separada, nunca como cláusula por defecto.]

7. Instrucciones documentadas

7.1. El ENCARGADO trata los datos únicamente conforme a las instrucciones del RESPONSABLE. Se consideran instrucciones documentadas: (i) este anexo; (ii) la Política de Tratamiento del RESPONSABLE; (iii) la configuración que el RESPONSABLE hace dentro de la plataforma (roles, permisos, recordatorios, plantillas); y (iv) las solicitudes escritas que el RESPONSABLE envíe al canal de la sección 21.

7.2. Toda instrucción adicional debe constar por escrito, por correo electrónico o por el canal de soporte, y queda registrada con fecha y hora.

7.3. Si una instrucción del RESPONSABLE, a juicio razonable del ENCARGADO, infringe la Ley 1581 de 2012 o las normas de historia clínica, el ENCARGADO se lo informará por escrito y podrá abstenerse de ejecutarla mientras el RESPONSABLE la confirme o la corrija. Esta abstención no es incumplimiento del ENCARGADO.

7.4. Si una autoridad competente exige al ENCARGADO entregar datos del RESPONSABLE, el ENCARGADO se lo informará antes de entregarlos, salvo que la ley se lo prohíba, y entregará únicamente lo estrictamente requerido.

8. Deberes del ENCARGADO

8.1. Las tres obligaciones mínimas del artículo 25 del Decreto 1377 de 2013. El ENCARGADO se compromete expresamente a: (i) dar tratamiento, a nombre del RESPONSABLE, a los datos personales conforme a los principios que los tutelan —legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad—; (ii) salvaguardar la seguridad de las bases de datos en las que se contengan datos personales; y (iii) guardar confidencialidad respecto del tratamiento de los datos personales.

8.2. Los deberes del artículo 18 de la Ley 1581 de 2012, uno por uno. Estos deberes son del ENCARGADO por mandato de la ley, con independencia de lo que diga el contrato:

Deber legal	Cómo se cumple en este servicio
a) Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data	El ENCARGADO mantiene un canal publicado de atención (sección 21), no obstruye ninguna solicitud, la registra con fecha y hora y, cuando la decisión corresponde al RESPONSABLE, la traslada a este dentro de dos (2) días hábiles informando al Titular.
b) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento	Medidas descritas en la sección 11, sin promesas de seguridad absoluta.
c) Realizar oportunamente la actualización, rectificación o supresión de los datos	El ENCARGADO ejecuta estas operaciones por instrucción del RESPONSABLE. En la historia clínica, la corrección no borra: se agrega el dato nuevo con fecha, hora, nombre e identificación de quien corrige, sin suprimir lo corregido, como exige la Ley 2015 de 2020.
d) Actualizar la información reportada por el Responsable dentro de los cinco (5) días hábiles contados a partir de su recibo	Plazo máximo comprometido: cinco (5) días hábiles desde la recepción de la novedad por el canal de la sección 21.
e) Tramitar las consultas y los reclamos formulados por los Titulares	Procedimiento y plazos de la sección 14.
f) Adoptar un manual interno de políticas y procedimientos para garantizar el cumplimiento de la ley y, en especial, la atención de consultas y reclamos	El ENCARGADO declara que cuenta con un manual interno propio, distinto de la política que el RESPONSABLE tiene para sus pacientes, y lo pone a disposición del RESPONSABLE cuando este lo solicite. [COMPLETAR: fecha de adopción y versión del manual interno.]
g) Registrar en la base de datos la leyenda «reclamo en trámite»	El ENCARGADO inserta esa leyenda, junto con el motivo, dentro de los dos (2) días hábiles siguientes a la recepción del reclamo, y la mantiene hasta que el reclamo se decida.
h) Insertar la leyenda «información en discusión judicial» una vez notificado por la autoridad competente	El ENCARGADO la inserta al ser notificado e informa al RESPONSABLE el mismo día hábil.
i) Abstenerse de circular información controvertida por el Titular y cuyo bloqueo haya ordenado la Superintendencia de Industria y Comercio	El ENCARGADO bloquea la circulación del dato afectado y lo comunica al RESPONSABLE.
j) Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella	Control de acceso por roles dentro de la plataforma, definido por el RESPONSABLE, y régimen de acceso del personal técnico del ENCARGADO descrito en la sección 10.
k) Informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información	Reporte por el módulo de reporte de incidentes de seguridad del micrositio de la Delegatura para la Protección de Datos Personales, dentro de los quince (15) días hábiles siguientes a que el incidente se detecte y se ponga en conocimiento de la persona designada. Ver sección 15.
l) Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio	El ENCARGADO los cumple e informa al RESPONSABLE, salvo prohibición legal.

8.3. Adicionalmente, el ENCARGADO se obliga a:

Mantener designada por escrito una persona que asuma la función de protección de datos personales, conforme al artículo 23 del Decreto 1377 de 2013, y publicar sus datos de contacto.
Conservar los registros de origen, destino, fecha y hora de las operaciones sobre la información, de modo que la conservación de documentos a través de un tercero cumpla las condiciones de la Ley 527 de 1999, que es la norma que permite al RESPONSABLE conservar sus registros mediante un tercero.
Poner a disposición del RESPONSABLE las funciones que le permitan entregar al paciente su historia clínica completa, por medio electrónico, de forma gratuita y rápida, y el acceso gratuito del Titular a sus datos.
Informar al RESPONSABLE, con antelación razonable, los cambios de infraestructura, de subencargados o de funcionalidad que afecten el tratamiento de los datos.

9. Deberes del RESPONSABLE

9.1. El RESPONSABLE declara y garantiza que:

Obtuvo la autorización explícita de cada Titular para tratar sus datos de salud, informándole previamente cuáles datos son sensibles, cuál es su finalidad, y que no está obligado a autorizar el tratamiento de datos sensibles; y que no condicionó ninguna actividad a la entrega de esos datos. Estos avisos son exigidos por el Decreto 1377 de 2013 para datos sensibles.
Conserva copia de esas autorizaciones y puede probarlas. El ENCARGADO no obtiene ni valida autorizaciones de pacientes.
Cuenta con su propia Política de Tratamiento de la Información y con el aviso de privacidad que corresponde, y los entrega o pone a disposición de sus pacientes.
Suministra al ENCARGADO únicamente datos cuyo tratamiento esté previamente autorizado, y garantiza que la información que entrega es veraz, completa, exacta, actualizada, comprobable y comprensible, como exige el artículo 17 de la Ley 1581 de 2012.
Cuenta con la inscripción y la habilitación que le corresponden como prestador de servicios de salud, cuando aplique. Ese trámite recae sobre el prestador, no sobre el software.

9.2. El RESPONSABLE se obliga a:

Atender las consultas, reclamos y solicitudes de supresión de sus pacientes, y comunicar al ENCARGADO las decisiones que este deba ejecutar.
Comunicar oportunamente al ENCARGADO las novedades, rectificaciones y bloqueos que deban reflejarse en el sistema, y avisarle cuando un dato esté en discusión por un reclamo.
Administrar los usuarios y los roles de su personal, dar de baja de inmediato a quien deje de estar autorizado, y no compartir credenciales. El ENCARGADO no puede saber quién dentro del consultorio debe ver qué.
Exigir al ENCARGADO, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular. Este deber está en el artículo 17 de la Ley 1581 de 2012 y es la razón por la que este anexo existe: el RESPONSABLE tiene la obligación legal de pedirle cuentas a su proveedor.
Instruir a su personal auxiliar sobre la guarda del secreto profesional, deber que para el odontólogo establece la Ley 35 de 1989.
Descargar y conservar sus propias copias de la historia clínica. La obligación de retener y conservar la historia clínica por un mínimo de quince (15) años contados desde la última atención —cinco en archivo de gestión y diez en archivo central— es del responsable de su custodia, es decir del RESPONSABLE, conforme a la Resolución 839 de 2017. El respaldo que hace el ENCARGADO no sustituye ese archivo propio.
Cumplir sus obligaciones de reporte e interoperabilidad ante las autoridades del sector salud. El software genera y exporta información; la validación, la firma y la presentación son del RESPONSABLE.

10. Confidencialidad y personal autorizado

10.1. La historia clínica es un documento privado, obligatorio y sometido a reserva, que solo puede ser conocido por terceros previa autorización del paciente o en los casos previstos en la ley (Resolución 1995 de 1999). El ENCARGADO trata toda la información de este anexo bajo ese régimen de reserva.

10.2. El deber de confidencialidad es indefinido: subsiste después de terminada la relación contractual y después de la supresión de los datos.

10.3. Personal. El ENCARGADO garantiza que toda persona que, por cualquier título, pueda acceder a los datos —incluidos colaboradores ocasionales y contratistas de desarrollo o soporte— ha suscrito un compromiso escrito de confidencialidad con los mismos alcances de este anexo, y ha recibido instrucción sobre el manejo de datos sensibles de salud.

10.4. Acceso del personal técnico del ENCARGADO a datos de pacientes. Es el punto de mayor exposición y se regula así:

El acceso al contenido clínico solo procede cuando el RESPONSABLE lo solicita para resolver un caso de soporte, o cuando es estrictamente necesario para corregir una falla técnica o restaurar el servicio.
El acceso se limita a lo mínimo necesario y por el tiempo mínimo necesario.
Todo acceso queda registrado con usuario, fecha, hora y motivo, y ese registro está disponible para el RESPONSABLE cuando lo pida.
El ENCARGADO no extrae, copia ni conserva fuera de la infraestructura del servicio información clínica de pacientes con ocasión del soporte.

[CONFIRMAR: que el registro de accesos del personal técnico a datos de producción exista efectivamente y sea consultable antes de publicar este compromiso.]

11. Medidas de seguridad

11.1. El principio de seguridad del artículo 4 de la Ley 1581 de 2012 obliga a adoptar las medidas técnicas, humanas y administrativas necesarias para proteger la información. Es una obligación de medios: ningún proveedor puede prometer seguridad absoluta, y este anexo no la promete.

11.2. Medidas que el ENCARGADO aplica hoy:

Conexión cifrada entre el navegador del usuario y la plataforma (HTTPS/TLS).
Autenticación por usuario individual. Las contraseñas no se almacenan en texto legible: se guardan con una función criptográfica de resumen.
Control de acceso basado en roles y permisos, configurable por el RESPONSABLE.
Separación lógica de la información de cada cliente.
Registro de acceso y de operaciones, con identificación del autor de cada anotación clínica.
Copias de seguridad periódicas. [COMPLETAR: frecuencia real de las copias, cuánto tiempo se conservan y dónde se guardan. No declarar una frecuencia que no se ejecute.]
Actualizaciones correctivas del software.
[CONFIRMAR: cifrado de la base de datos en reposo. Si la infraestructura actual no lo provee, debe decirse así, no omitirse. El anexo técnico de la Resolución 1888 de 2025 fija AES-256 o superior como referencia para los datos en tránsito y en reposo en el marco de la interoperabilidad.]
[CONFIRMAR: si la firma del profesional dentro del sistema es una firma electrónica en el sentido del artículo 7 de la Ley 527 de 1999, o una firma digital con certificado de entidad de certificación autorizada en el sentido del artículo 28 de esa misma ley. Debe nombrarse con exactitud aquí y en todo el material del producto.]

11.3. Lo que el ENCARGADO no tiene y no afirma tener. El ENCARGADO declara con franqueza que: no cuenta con certificación ISO 27001; no cuenta con informe SOC 2; no ha sido sometido a auditoría externa de seguridad ni a pruebas de intrusión por un tercero independiente; y no ostenta habilitación, aval, certificación ni aprobación de ninguna autoridad. Un software no se habilita: se habilita el prestador de servicios de salud. Lo que el software hace es permitir al RESPONSABLE cumplir requisitos normativos.

11.4. El nivel de medidas exigible es proporcional a la naturaleza jurídica y al tamaño del ENCARGADO —microempresa—, a la naturaleza de los datos, al tipo de tratamiento y a los riesgos, criterio que fija el Decreto 1377 de 2013 en materia de responsabilidad demostrada. La naturaleza sensible de los datos de salud eleva ese estándar.

12. Subencargados y ubicación de la infraestructura

12.1. El RESPONSABLE autoriza al ENCARGADO a apoyarse en los subencargados listados abajo, indispensables para prestar el servicio.

12.2. Con cada uno el ENCARGADO se obliga a: (i) contratar por escrito; (ii) trasladarle las mismas obligaciones de seguridad y confidencialidad de este anexo; (iii) limitar su acceso a lo necesario; y (iv) responder ante el RESPONSABLE por su actuación como si fuera propia. El ENCARGADO no traslada al RESPONSABLE ni al Titular la responsabilidad por las fallas de sus subencargados.

Subencargado	Función	País donde se procesan o alojan los datos
[COMPLETAR: nombre del proveedor de alojamiento]	Alojamiento de la aplicación y de la base de datos; copias de seguridad	[COMPLETAR: país exacto de los servidores. Debe verificarse, no suponerse: de este dato depende si hay transmisión internacional.]
[COMPLETAR si está activo: proveedor de correo transaccional]	Envío de correos del sistema y recordatorios	[COMPLETAR]
[COMPLETAR si está activo: proveedor de notificaciones al celular]	Notificaciones push	[COMPLETAR]
[COMPLETAR si está activo: proveedor de mensajes de texto]	Recordatorios por SMS	[COMPLETAR]
[COMPLETAR: pasarela de pago]	Cobro de la suscripción al cliente. No accede a datos de pacientes.	[COMPLETAR]

[DECIDIR: listar únicamente los servicios que estén realmente activos en producción. Declarar un subencargado que no se usa, o dejar de declarar uno que sí se usa, es una declaración inexacta frente al RESPONSABLE.]

12.3. Cambios. El ENCARGADO avisará al RESPONSABLE, por correo electrónico y dentro de la plataforma, con al menos treinta (30) días calendario de antelación, antes de incorporar o sustituir un subencargado que trate datos de pacientes. Dentro de ese plazo el RESPONSABLE podrá oponerse por escrito y, si la objeción es razonable y no hay alternativa, terminar el contrato sin penalidad y con derecho a la exportación de la sección 17.

13. Transmisión internacional de datos

13.1. Si alguno de los subencargados aloja o procesa los datos fuera de Colombia, existe una transmisión internacional: el envío de datos a un tercero que los trata por cuenta del RESPONSABLE.

13.2. El Decreto 1377 de 2013 dispone que las transmisiones internacionales entre un responsable y un encargado, para que el encargado realice el tratamiento por cuenta del responsable, no requieren ser informadas al Titular ni contar con su consentimiento adicional cuando existe un contrato en los términos de su artículo 25. Este anexo es ese contrato.

13.3. Lo anterior aplica a la transmisión. No autoriza ninguna transferencia —envío de datos a un tercero que actúe como responsable propio—, que se rige por el artículo 26 de la Ley 1581 de 2012 y que este anexo prohíbe.

14. Asistencia al RESPONSABLE: consultas, reclamos y requerimientos de la autoridad

14.1. Quién decide. Las solicitudes de los pacientes sobre sus datos las decide el RESPONSABLE. El ENCARGADO asiste, ejecuta y, cuando la ley lo permite dirigir la solicitud al encargado, tramita dentro de su competencia.

14.2. Si el paciente escribe al ENCARGADO. El ENCARGADO registra la solicitud con fecha y hora, y la traslada al RESPONSABLE dentro de los dos (2) días hábiles siguientes, informando al interesado que su solicitud fue trasladada.

14.3. Plazos legales que ambas partes respetan (Ley 1581 de 2012):

Trámite	Plazo
Consulta	Máximo diez (10) días hábiles desde el recibo. Si no es posible, se informa al interesado con los motivos y la fecha en que se atenderá, sin superar cinco (5) días hábiles más.
Reclamo incompleto	Se requiere al interesado dentro de los cinco (5) días siguientes. Si pasan dos (2) meses sin respuesta, se entiende desistido.
Reclamo recibido por quien no es competente	Traslado en máximo dos (2) días hábiles, informando al interesado.
Leyenda «reclamo en trámite»	Máximo dos (2) días hábiles desde el recibo del reclamo completo.
Reclamo	Máximo quince (15) días hábiles desde el día siguiente al recibo, prorrogables por máximo ocho (8) días hábiles más, informando los motivos.

14.4. Requisito previo para acudir a la Superintendencia. Conforme al artículo 16 de la Ley 1581 de 2012, el Titular solo puede presentar queja ante la Superintendencia de Industria y Comercio después de haber agotado el trámite de consulta o reclamo ante el Responsable o el Encargado.

14.5. Apoyo del ENCARGADO. A solicitud del RESPONSABLE y sin costo adicional, el ENCARGADO le entregará, dentro de los cinco (5) días hábiles siguientes: la información necesaria para responder a un Titular; la exportación de los datos de un paciente determinado; el registro de accesos relacionado con un caso; y la información que el RESPONSABLE requiera para atender un requerimiento de la Superintendencia de Industria y Comercio o de la Superintendencia Nacional de Salud.

14.6. Registro Nacional de Bases de Datos (RNBD). Tras el Decreto 090 de 2018, están obligadas a inscribir sus bases de datos únicamente las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública; además, el registro es deber de los responsables y no de los encargados. Por esas dos razones el ENCARGADO no está obligado a inscribirse. Esta no obligación no es un aval, un registro obtenido ni una certificación, y no lo releva de ningún otro deber de la Ley 1581 de 2012. Si el RESPONSABLE sí está obligado a registrar, el ENCARGADO le entregará, cuando lo solicite, sus datos de identificación y ubicación y su canal de atención, para que los reporte como Encargado.

15. Incidentes de seguridad

15.1. Qué se considera incidente. Cualquier evento dirigido a violar los códigos de seguridad, o que implique adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento de datos personales.

15.2. Aviso al RESPONSABLE. El ENCARGADO le informará sin dilación indebida y, a más tardar, dentro de las setenta y dos (72) horas siguientes al momento en que tenga conocimiento del incidente. [DECIDIR: confirmar que este plazo es sostenible con la operación real. Si no lo es, fijar un plazo mayor y cumplirlo, en lugar de anunciar uno que no se pueda honrar.]

15.3. Contenido del aviso. Como mínimo: qué ocurrió y cuándo; qué categorías de datos y qué volumen aproximado resultaron afectados; las consecuencias probables; las medidas adoptadas o propuestas; y los datos de contacto de la persona designada para protección de datos. Si no se cuenta con toda la información, se envía lo que se tenga y se completa después.

15.4. Reporte a la autoridad. El ENCARGADO reportará el incidente a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes al momento en que se detecte y sea puesto en conocimiento de la persona designada para atenderlo, por el módulo de reporte de incidentes de seguridad del micrositio de la Delegatura para la Protección de Datos Personales. Este deber propio del encargado corresponde al artículo 18 de la Ley 1581 de 2012 y es independiente del deber que el artículo 17 impone al RESPONSABLE.

15.5. Comunicación a los pacientes. Decidir si se informa a los Titulares, y en qué términos, corresponde al RESPONSABLE. El ENCARGADO no se dirigirá a los pacientes por su cuenta.

15.6. El ENCARGADO conservará un registro interno de los incidentes, de su causa y de las medidas correctivas, y lo pondrá a disposición del RESPONSABLE cuando lo solicite.

16. Auditoría y verificación

16.1. El RESPONSABLE tiene derecho a verificar que el ENCARGADO cumple este anexo. Los mecanismos, proporcionales al tamaño del ENCARGADO, son:

Cuestionario escrito. Una vez al año, el RESPONSABLE puede enviar un cuestionario de seguridad y protección de datos. El ENCARGADO responderá por escrito dentro de los quince (15) días hábiles siguientes.
Documentación. El ENCARGADO entregará, a solicitud, su manual interno de políticas y procedimientos, la designación de la persona a cargo de protección de datos, la descripción de sus medidas de seguridad, la lista vigente de subencargados y el registro de incidentes.
Verificación directa. Una vez al año, con aviso de quince (15) días hábiles, el RESPONSABLE o un auditor externo por él designado puede realizar una verificación remota o presencial, en día y hora acordados. Fuera de esa periodicidad procede una verificación adicional si ocurrió un incidente que afecte los datos del RESPONSABLE.
Condiciones. El auditor suscribe compromiso de confidencialidad; no puede acceder a información de otros clientes del ENCARGADO ni al código fuente; y el costo de la auditoría lo asume quien la solicita, salvo que se acredite un incumplimiento del ENCARGADO, caso en el cual el costo razonable corre por cuenta de este.

16.2. Ninguna verificación, ni su resultado favorable, exonera al ENCARGADO de sus deberes legales ni constituye certificación de cumplimiento.

17. Devolución y supresión de los datos

17.1. Regla que gobierna toda esta sección: el RESPONSABLE debe conservar la historia clínica por un mínimo de quince (15) años desde la última atención (Resolución 839 de 2017). Por eso el ENCARGADO no borra ni retiene los datos de manera que impida al RESPONSABLE cumplir esa obligación.

17.2. Durante la vigencia del servicio. El RESPONSABLE puede exportar su información en cualquier momento, cuantas veces quiera, sin costo adicional y sin pedir autorización.

17.3. Mora y suspensión. Si el servicio se suspende por falta de pago, la información se conserva íntegra y sigue siendo exportable. El ENCARGADO no retiene, bloquea ni borra datos clínicos como medio de presión para el cobro. [COMPLETAR: días de gracia antes de la suspensión y duración máxima de la suspensión antes de la terminación, en coherencia con los Términos y Condiciones.]

17.4. Al terminar la relación, por cualquier causa:

Ventana de exportación: sesenta (60) días calendario contados desde la fecha de terminación, durante los cuales el RESPONSABLE conserva acceso para descargar su información. [DECIDIR: confirmar la ventana de 60 días.]
Formatos de entrega: historia clínica por paciente en PDF; datos tabulares en hojas de cálculo; archivos comprimidos con los adjuntos; y los archivos de reporte normativo generados por el sistema. [DECIDIR: si además se entrega la base de datos completa en un formato estándar (por ejemplo CSV o un volcado SQL), y en qué plazo. Es la garantía más fuerte que se puede ofrecer frente a la pregunta «¿y si usted deja de operar?».]
Costo: la exportación por los medios propios de la plataforma no tiene costo. [DECIDIR: si una entrega asistida o en formato especial tiene un costo, debe fijarse aquí con una cifra, no dejarse abierto.]
Plazo de entrega asistida: si el RESPONSABLE la solicita, el ENCARGADO la entregará dentro de los quince (15) días hábiles siguientes a la solicitud.
Supresión: vencida la ventana de exportación, el ENCARGADO suprimirá los datos de los sistemas activos dentro de los treinta (30) días calendario siguientes, y de las copias de seguridad al vencer el ciclo de rotación de respaldos, que es de [COMPLETAR: días del ciclo de rotación]. Mientras las copias existan seguirán protegidas por este anexo.
Constancia: a solicitud del RESPONSABLE, el ENCARGADO expedirá una constancia escrita de la supresión, con fecha y alcance.
Excepción: el ENCARGADO podrá conservar aquello que una norma le obligue a conservar, y únicamente por el tiempo y para el fin que esa norma imponga.

17.5. Cuentas de prueba. Si el RESPONSABLE cargó datos reales de pacientes durante la prueba gratuita y no continúa con el servicio, esos datos se conservan durante [COMPLETAR: número de días] contados desde el vencimiento de la prueba, con aviso previo por correo, y se suprimen después. Antes de la supresión el RESPONSABLE puede exportarlos por los mismos medios de esta sección.

17.6. Cese de operaciones del ENCARGADO. Si el ENCARGADO decide cesar la prestación del servicio, lo avisará por escrito con al menos [COMPLETAR: número de días; se sugiere no menos de noventa (90)] días calendario de antelación y garantizará durante ese periodo la exportación completa de la información en los formatos del numeral 17.4.

18. Duración, modificaciones y terminación

18.1. Este anexo entra en vigencia en la fecha de su aceptación o suscripción y se mantiene mientras el ENCARGADO trate datos por cuenta del RESPONSABLE.

18.2. Terminado el contrato de servicio, este anexo sigue rigiendo hasta que se complete la devolución y la supresión de los datos.

18.3. Sobreviven sin límite de tiempo las obligaciones de confidencialidad (sección 10) y las de responsabilidad (sección 19).

18.4. Modificaciones. El ENCARGADO podrá actualizar este anexo para ajustarlo a cambios normativos o de infraestructura. Todo cambio sustancial se comunicará al RESPONSABLE por correo electrónico y dentro de la plataforma con al menos treinta (30) días calendario de antelación a su entrada en vigencia. Si el cambio disminuye las garantías del RESPONSABLE, este podrá terminar el contrato sin penalidad antes de que el cambio aplique, conservando la ventana de exportación de la sección 17. Las versiones anteriores permanecerán publicadas y consultables.

19. Responsabilidad de cada parte

19.1. Cada parte responde por sus propios deberes. El RESPONSABLE responde por la autorización de los Titulares, por su política de tratamiento, por la veracidad de lo que carga, por la administración de los usuarios de su equipo y por la custodia y conservación de la historia clínica. El ENCARGADO responde por el cumplimiento de este anexo, de las instrucciones recibidas, de las medidas de seguridad declaradas y de los deberes que la ley le impone como encargado.

19.2. El ENCARGADO no se exime de responsabilidad frente al Titular. Así lo precisó la Corte Constitucional en la Sentencia C-748 de 2011: el hecho de actuar por cuenta de un responsable no libera al encargado frente a la persona dueña de los datos.

19.3. Régimen sancionatorio. Las sanciones de la Ley 1581 de 2012 pueden imponerse tanto al responsable como al encargado, e incluyen la más grave del régimen cuando el tratamiento involucra datos sensibles. Ninguna cláusula de este anexo excluye esa exposición para ninguna de las dos partes.

19.4. Indemnidad del ENCARGADO. El RESPONSABLE mantendrá indemne al ENCARGADO frente a reclamaciones de Titulares o de autoridades que tengan por causa la ausencia o insuficiencia de la autorización de los pacientes, la falta de política de tratamiento o de aviso de privacidad, o el uso del sistema para finalidades no autorizadas por los Titulares.

19.5. Indemnidad del RESPONSABLE. El ENCARGADO mantendrá indemne al RESPONSABLE frente a reclamaciones que tengan por causa el incumplimiento de los deberes propios del ENCARGADO conforme a este anexo y a la Ley 1581 de 2012.

19.6. Límite de responsabilidad. Salvo lo dispuesto en el numeral 19.7, la responsabilidad total del ENCARGADO derivada de este anexo se limita a la suma efectivamente pagada por el RESPONSABLE en los doce (12) meses anteriores al hecho generador, y no cubre el lucro cesante ni los daños indirectos. [DECIDIR: si se incluye este tope. Es defendible entre empresarios, pero debe conservarse íntegra la salvedad del numeral siguiente, que es lo que impide que la cláusula entera se caiga.]

19.7. Lo que nunca se limita. Nada en este anexo limita ni excluye la responsabilidad por dolo o culpa grave, por daños a la vida o a la integridad de las personas, por las obligaciones indelegables en materia de protección de datos personales, ni por aquello que la ley colombiana no permita limitar. El Código Civil no admite la condonación del dolo futuro.

19.8. Sin garantía de resultado. El ENCARGADO se obliga a adoptar las medidas técnicas, humanas y administrativas necesarias para proteger la información. No garantiza la inviolabilidad de los sistemas ni la ausencia total de riesgo, porque ningún proveedor puede hacerlo con veracidad.

20. Lo que este anexo no hace ni cubre

No traslada la custodia de la historia clínica al ENCARGADO. La custodia y la conservación por quince años siguen siendo del RESPONSABLE.
No sustituye la autorización del paciente, ni la política de tratamiento, ni el aviso de privacidad que el RESPONSABLE debe tener.
No es una habilitación, un aval ni una certificación de ninguna autoridad, ni acredita cumplimiento normativo del RESPONSABLE ante nadie.
No constituye asesoría jurídica, contable ni de habilitación en salud. El software genera archivos y facilita el cumplimiento; no lo certifica ni lo sustituye.
No cubre los datos que el RESPONSABLE trate por fuera de la plataforma, ni los datos de la cuenta del propio cliente, que se rigen por la Política de Tratamiento del ENCARGADO.

21. Notificaciones y canales

21.1. Las comunicaciones entre las partes se surten por los correos electrónicos indicados en la sección 1 y, adicionalmente, por los avisos dentro de la plataforma.

21.2. Canal para asuntos de datos personales del ENCARGADO: [COMPLETAR: correo definitivo de hábeas data]. Toda solicitud recibida por ese canal queda registrada con número de radicado, fecha y hora, y esa constancia se envía a quien la presentó.

21.3. Persona designada para la función de protección de datos personales del ENCARGADO: [COMPLETAR: nombre y datos de contacto].

21.4. Cualquier cambio de correo, dirección o teléfono debe comunicarse a la otra parte dentro de los cinco (5) días hábiles siguientes.

22. Ley aplicable y solución de controversias

22.1. Este anexo se rige por la ley colombiana, en particular por la Ley 1581 de 2012 y el Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015.

22.2. Antes de acudir a la vía judicial, las partes intentarán un arreglo directo durante treinta (30) días calendario contados desde la comunicación escrita de la controversia.

22.3. Agotada esa etapa, las controversias se someten a los jueces colombianos competentes. Ninguna de las partes renuncia a su fuero ni a las acciones que la ley le concede, y nada de lo aquí pactado limita las facultades de la Superintendencia de Industria y Comercio ni de la Superintendencia Nacional de Salud.

23. Aceptación, versión y control documental

23.1. Este anexo puede aceptarse de dos maneras, ambas válidas: (i) mediante firma —física o electrónica— del documento por ambas partes; o (ii) mediante aceptación electrónica expresa dentro de la plataforma, con casilla no premarcada. La Ley 527 de 1999 reconoce validez y fuerza probatoria a los mensajes de datos.

23.2. Cuando la aceptación sea electrónica, el ENCARGADO conservará el registro del usuario que aceptó, la fecha, la hora, la dirección IP y la versión del documento aceptado, y lo pondrá a disposición del RESPONSABLE cuando lo solicite.

Control documental	Dato
Documento	ANX-ENC-01 — Anexo de Encargo del Tratamiento de Datos Personales
Versión	1.0
Fecha de última actualización	9 de septiembre de 2026
Fecha de entrada en vigencia	[COMPLETAR]
Historial de cambios	Versión 1.0: versión inicial.

24. Campos que deben completarse antes de firmar

Sección	Campo	Quién lo completa
1.1	Dirección de notificación que se publica; correo definitivo de hábeas data; persona designada para protección de datos	ENCARGADO
1.2	Todos los datos del RESPONSABLE, plan contratado y fecha de inicio	RESPONSABLE
6.4	Si se autoriza o no la elaboración de estadísticas anonimizadas	Ambas partes
8.2 f)	Fecha y versión del manual interno del ENCARGADO	ENCARGADO
11.2	Frecuencia y retención real de las copias de seguridad; cifrado en reposo; naturaleza de la firma dentro del sistema	ENCARGADO
12.2	Nombre y país de cada subencargado activo, incluida la pasarela de pago	ENCARGADO
15.2	Plazo de aviso de incidentes al RESPONSABLE	ENCARGADO
17.3, 17.4, 17.5, 17.6	Días de gracia y de suspensión; ventana de exportación; formatos y costo; ciclo de rotación de respaldos; plazo de conservación de cuentas de prueba; preaviso de cese de operaciones	ENCARGADO
19.6	Si se incluye el tope de responsabilidad	Ambas partes
23	Fecha de entrada en vigencia y forma de aceptación	Ambas partes

Normas citadas en este anexo: Ley 1581 de 2012; Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015; Decreto 090 de 2018; Ley 527 de 1999; Ley 2015 de 2020; Ley 35 de 1989; Resolución 1995 de 1999 del Ministerio de Salud; Resolución 839 de 2017 del Ministerio de Salud y el Ministerio de Cultura; Resolución 1888 de 2025 del Ministerio de Salud; Corte Constitucional, Sentencia C-748 de 2011; Código Civil. El texto oficial de la Ley 1581 de 2012 puede consultarse en el Gestor Normativo de la Función Pública.