Política de tratamiento de datos

1. Marco legal

Esta Política de Tratamiento de Datos Personales se expide en ejercicio del derecho fundamental al habeas data reconocido por el artículo 15 de la Constitución Política, y en cumplimiento de la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales) y su desarrollo jurisprudencial en la Sentencia C-748 de 2011 de la Corte Constitucional, el Decreto 1377 de 2013 compilado en el Decreto 1074 de 2015 (Título 2, Capítulo 25, Único Reglamentario del Sector Comercio, Industria y Turismo), la Ley 1751 de 2015 (Ley Estatutaria de Salud) y el artículo 34 de la Ley 23 de 1981 en lo relativo a la reserva de la historia clínica, la Resolución 1995 de 1999 y la Resolución 839 de 2017 sobre manejo y conservación de la historia clínica, la Resolución 866 de 2021 sobre interoperabilidad de la historia clínica electrónica, así como de la Circular Única de la Superintendencia de Industria y Comercio (SIC), autoridad de vigilancia y control en materia de protección de datos personales en Colombia.

2. Identificación del responsable

BINSTARH SAS, identificada con NIT 901.747.658-0, con domicilio en Bogotá, Colombia, correo electrónico info@binstarh.com, es la entidad que actúa como Responsable o Encargado del Tratamiento de datos personales, según el rol que le corresponda de acuerdo con lo descrito en la sección 4 de esta política.

3. Definiciones

• Dato personal: cualquier información vinculada a una o varias personas naturales determinadas o determinables.
• Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, como los datos de salud e historia clínica (Ley 1581 de 2012, art. 5; Ley 1751 de 2015).
• Historia clínica: el documento privado, obligatorio y sometido a reserva en el que se registra cronológicamente la información relativa a la atención en salud de un paciente, conforme al artículo 1 de la Resolución 1995 de 1999.
• Titular: la persona natural cuyos datos personales son objeto de tratamiento — en el caso de la historia clínica, el paciente.
• Responsable del tratamiento: quien decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del tratamiento: quien realiza el tratamiento de datos personales por cuenta del Responsable, conforme a sus instrucciones.
• Subencargado: el tercero que un Encargado del Tratamiento vincula para procesar datos por su cuenta (por ejemplo, un proveedor de infraestructura en la nube).
• Tratamiento: cualquier operación sobre datos personales, como su recolección, almacenamiento, uso, circulación, transmisión, transferencia o supresión.
• Autorización: el consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales.
• Transmisión: el tratamiento de datos personales que implica su comunicación entre un Responsable y un Encargado, o entre Encargados, para el desarrollo del tratamiento por cuenta del Responsable, sin requerir autorización adicional del titular.
• Transferencia internacional: el envío de datos personales a un receptor ubicado fuera de Colombia, distinto del Encargado, sujeto a los requisitos del Capítulo VII de la Ley 1581 de 2012.
• Dato anonimizado o disociado: aquel del que se ha eliminado toda posibilidad de identificar, directa o indirectamente, a su titular, y que por tanto no está sujeto a la Ley 1581 de 2012.

4. El doble rol de Binstarh: Responsable y Encargado

Dada la naturaleza del servicio que presta, Binstarh actúa frente a los datos personales en dos calidades distintas, que conviene diferenciar con claridad:

4.1. Binstarh como Responsable del Tratamiento

Binstarh es Responsable del Tratamiento respecto de los datos personales de las personas que visitan este sitio web, se contactan por WhatsApp o correo electrónico, o agendan una demo del software (nombre, número de contacto, correo electrónico, nombre de la IPS, consultorio o clínica). Sobre estos datos, Binstarh decide las finalidades y medios del tratamiento, y responde directamente por su correcto manejo.

4.2. Binstarh como Encargado del Tratamiento

Cuando una IPS, consultorio o clínica contrata y usa el software Binstarh para llevar su historia clínica y su facturación en salud, y carga en la plataforma información de sus propios pacientes —incluyendo diagnósticos, tratamientos y demás datos sensibles de salud—, Binstarh actúa como Encargado del Tratamiento, procesando esa información por instrucción y en representación del prestador que la ingresó. En ese escenario, el Responsable del Tratamiento es el prestador cliente de Binstarh (la IPS, consultorio o clínica), quien es la entidad obligada a contar con la autorización correspondiente de sus propios pacientes y a responder frente a ellos por las finalidades del tratamiento. Binstarh, como Encargado, se compromete a tratar esa información únicamente para prestar el servicio contratado, a implementar medidas de seguridad reforzadas acordes con la sensibilidad de los datos de salud, a no usarla para fines distintos a los autorizados por su cliente, y a suprimirla o devolverla al terminar la relación contractual en los términos de la sección 17. La aceptación de los Términos y Condiciones al registrarse en la Plataforma —incluida la aceptación expresa de esta política— constituye, entre Binstarh y cada cliente, el Acuerdo de Encargo de Tratamiento de Datos exigido por el artículo 25 del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015), sin necesidad de un documento físico o digital adicional, con plena validez conforme al principio de equivalencia funcional de la Ley 527 de 1999. Como parte de este Encargo, el cliente, en su calidad de Responsable del Tratamiento, podrá solicitar a Binstarh información razonable sobre las medidas de seguridad implementadas y evidencia de cumplimiento de esta política, la cual será atendida en un plazo razonable, sin que ello implique acceso directo a la infraestructura de Binstarh ni a la información de otros clientes. Las partes podrán, adicionalmente, suscribir un Acuerdo de Encargo de Tratamiento de Datos específico por escrito cuando el volumen o la naturaleza de los Datos del Cliente lo justifiquen, el cual prevalecerá sobre esta política en lo que resulte incompatible.

5. Finalidades del tratamiento

Cuando Binstarh actúa como Responsable, trata los datos para: responder solicitudes de información o agendar demos, gestionar la relación comercial y contractual, enviar comunicaciones sobre el servicio, y cumplir obligaciones legales y contables propias.

Cuando Binstarh actúa como Encargado, trata los datos exclusivamente para permitir que su cliente use las funcionalidades del software: agenda y registro de pacientes, custodia y actualización de la historia clínica, captura de consentimientos informados, generación de la Factura Electrónica de Venta en salud (FEV), el RIPS en formato JSON, el CUV y el CUCON, y transmisión de la información a las autoridades o entidades pagadoras cuando la normatividad lo exija, siempre bajo las instrucciones y para los fines definidos por ese cliente.

6. Autorización y consentimiento informado

Cuando Binstarh actúa como Responsable, la autorización del titular se obtiene mediante la aceptación de formularios de contacto, la aceptación de esta política al agendar una demo, o mensajes explícitos por WhatsApp o correo electrónico. Dentro del software, Binstarh pone a disposición del cliente módulos configurables de consentimiento informado para que este los use frente a sus propios pacientes; corresponde exclusivamente al cliente, como Responsable del Tratamiento frente a sus pacientes, configurar, obtener, conservar y poder demostrar dicha autorización antes de registrar información clínica en la plataforma, conforme al artículo 9 de la Ley 1581 de 2012 y a la Ley 1751 de 2015. Cuando el paciente sea menor de edad o se encuentre en incapacidad para consentir, la autorización debe ser otorgada por su representante legal, sin perjuicio de la autonomía progresiva reconocida por la jurisprudencia constitucional a los adolescentes para determinados servicios de salud; esa valoración corresponde al criterio del profesional tratante y es responsabilidad exclusiva del cliente, no de Binstarh.

7. Historia clínica y datos sensibles de salud

La historia clínica y los demás datos relacionados con la salud de un paciente —incluyendo diagnósticos y servicios de salud prestados— son datos sensibles bajo la Ley 1581 de 2012 y están además protegidos por la reserva legal especial de la historia clínica prevista en el artículo 34 de la Ley 23 de 1981 y en el artículo 2 de la Ley 1751 de 2015, por lo que solo pueden ser conocidos por el paciente, el equipo de salud tratante, y terceros expresamente autorizados por el paciente o por mandato legal o de autoridad judicial competente. Cuando Binstarh procesa este tipo de datos actuando como Encargado del Tratamiento, es responsabilidad del cliente de Binstarh (la IPS, consultorio o clínica, como Responsable frente a sus pacientes) obtener y conservar dicha autorización. Binstarh, por su parte, aplica medidas de seguridad reforzadas para el tratamiento de esta información —incluidos controles de acceso basados en el rol de cada Usuario y trazabilidad de quién consulta o modifica cada historia clínica—, y conserva la información por un período mínimo de quince (15) años contados desde la fecha de la última atención registrada, conforme al artículo 16 de la Resolución 1995 de 1999, modificado por la Resolución 839 de 2017. Binstarh podrá dar acceso a esta información a la Superintendencia Nacional de Salud, al Ministerio de Salud y Protección Social o a otra autoridad competente, cuando la requieran en ejercicio de sus funciones de inspección, vigilancia y control sobre el cliente, informando a este salvo que la reserva de la actuación lo impida.

8. Interoperabilidad y reporte a autoridades de salud

En cumplimiento de la Resolución 866 de 2021, Binstarh podrá transmitir la información de historia clínica que corresponda a la Plataforma de Interoperabilidad de Historia Clínica Electrónica administrada por el Ministerio de Salud y Protección Social, siempre por instrucción y en representación del cliente que la generó. Asimismo, la generación de la FEV, el RIPS-JSON, el CUV y el CUCON implica, por mandato de las Resoluciones 2275, 1557, 1884 y 948, la transmisión de información a la DIAN, al Ministerio de Salud y a las entidades responsables de pago; esta transmisión es una obligación normativa del prestador de salud (el cliente), y Binstarh actúa únicamente como el medio tecnológico que la ejecuta por su instrucción.

9. Integración con Billu

Cuando un cliente de Binstarh activa la integración con Billu —plataforma hermana operada también por BINSTARH SAS, enfocada en contabilidad, nómina y facturación electrónica general—, se comparte entre ambas plataformas únicamente la información estrictamente necesaria para evitar doble digitación (por ejemplo, datos de facturación asociados a la operación del prestador). Esta integración no implica la transferencia de historia clínica ni de otros datos sensibles de salud a Billu, salvo lo estrictamente necesario y ya cubierto por el rol de Binstarh como Encargado del Tratamiento frente a su cliente. Billu, en lo que le corresponda, actúa igualmente como Encargado del Tratamiento del prestador respecto de la información de facturación y contabilidad que procesa.

10. Subencargados y proveedores de infraestructura

Binstarh podrá apoyarse en Subencargados —en particular, proveedores de infraestructura tecnológica en la nube— para el almacenamiento, procesamiento y respaldo de los Datos del Cliente. Estos Subencargados actúan bajo instrucciones contractuales de confidencialidad y seguridad equivalentes a las asumidas por Binstarh, y no están autorizados a usar la información para fines distintos a la prestación del servicio contratado por Binstarh.

11. Derechos del titular

Como titular de datos personales, tienes derecho a:

• Conocer, actualizar y rectificar tus datos personales frente al Responsable del Tratamiento.
• Solicitar prueba de la autorización otorgada, salvo que la ley exima de este requisito.
• Ser informado sobre el uso que se le ha dado a tus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante el Responsable.
• Revocar la autorización otorgada y/o solicitar la supresión de tus datos, cuando no exista un deber legal o contractual que impida su eliminación, incluida la obligación de conservación de la historia clínica por quince (15) años que exige la normatividad de salud.
• Acceder de forma gratuita a tus datos personales que hayan sido objeto de tratamiento.

Si tus datos —incluida tu historia clínica— fueron cargados en Binstarh por una IPS, consultorio o clínica de la que eres paciente, estos derechos deben ejercerse en primer lugar frente a esa entidad, que actúa como Responsable del Tratamiento de tu información; Binstarh, como Encargado, colaborará con su cliente para atenderlos dentro de los plazos legales.

12. Procedimiento para ejercer tus derechos

Puedes ejercer tus derechos escribiendo a info@binstarh.com indicando tu solicitud y los datos que permitan identificarte. Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados desde su recepción; si no es posible atenderlas en ese plazo, se informará al interesado antes del vencimiento, expresando los motivos de la demora y señalando la fecha en que se atenderá, la cual no podrá superar cinco (5) días hábiles adicionales. Los reclamos serán atendidos en un término máximo de quince (15) días hábiles, prorrogable por ocho (8) días hábiles adicionales, informando previamente al titular. Si transcurridos los plazos anteriores el titular considera que su solicitud no fue atendida, puede acudir en subsidio al derecho de petición general de la Ley 1755 de 2015 o presentar queja ante la SIC.

13. Área responsable de atención

Las solicitudes relacionadas con el tratamiento de datos personales serán atendidas por el área de soporte de Binstarh, a través del correo info@binstarh.com.

14. Medidas de seguridad

Binstarh implementa medidas técnicas, humanas y administrativas razonables para proteger los datos personales bajo su custodia —incluida la historia clínica—, tales como cifrado de la información sensible en tránsito y en reposo, control de acceso basado en roles y perfiles, registros de trazabilidad (auditoría) sobre quién consulta o modifica cada historia clínica, copias de respaldo periódicas, y acuerdos de confidencialidad con su personal y proveedores, conforme al principio de seguridad establecido en el artículo 4 literal g) de la Ley 1581 de 2012 y al modelo de interoperabilidad de la Resolución 866 de 2021.

15. Gestión de incidentes de seguridad

Ante cualquier incidente que constituya una violación de los códigos de seguridad o ponga en riesgo la administración de la información de los titulares, Binstarh: (i) adoptará medidas inmediatas para contener y mitigar el incidente; (ii) informará al cliente afectado, cuando actúe como Encargado, dentro de un plazo razonable desde su detección, para que este pueda cumplir sus propios deberes de notificación frente a sus pacientes; y (iii) reportará el incidente a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a su detección, cuando corresponda, conforme a las instrucciones de la Circular Externa 002 de 2015 de la SIC.

16. Transferencia y transmisión internacional de datos

La comunicación de datos personales entre Binstarh y sus Subencargados para la ejecución del servicio constituye una transmisión y no requiere autorización adicional del titular, conforme al artículo 10 numeral 6 de la Ley 1581 de 2012, siempre que exista un vínculo contractual que imponga a dichos Subencargados los mismos deberes de confidencialidad y seguridad. Los proveedores de infraestructura en la nube de Binstarh se encuentran fuera de Colombia; en consecuencia, la transmisión de datos hacia ellos se realiza conforme a lo dispuesto en el Capítulo VII de la Ley 1581 de 2012 sobre transferencia internacional de datos, mediante cláusulas contractuales u otras garantías reconocidas por la Superintendencia de Industria y Comercio que aseguren un nivel adecuado de protección —dado que Colombia no cuenta actualmente con una lista de países declarados de nivel adecuado equivalente a la de otras jurisdicciones—. BINSTARH SAS debe mantener suscritas y vigentes dichas cláusulas contractuales con sus proveedores de infraestructura como condición de licitud de esta transferencia.

17. Conservación y supresión al terminar la relación contractual

Al terminar la relación contractual con un cliente, Binstarh pondrá a disposición de este sus Datos del Cliente para exportación durante treinta (30) días calendario, en formatos estructurados de uso común (JSON, CSV o PDF, según el tipo de información), transcurridos los cuales procederá a eliminarlos o anonimizarlos de sus sistemas activos, salvo la información que deba conservar por mandato legal: la historia clínica, por un mínimo de quince (15) años desde la última atención (Resolución 1995 de 1999, modificada por la Resolución 839 de 2017), y los soportes contables y tributarios asociados a la facturación, por el término del artículo 28 del Código de Comercio y del artículo 632 del Estatuto Tributario. Durante ese período de conservación legal, Binstarh mantiene la información bajo las mismas medidas de seguridad descritas en esta política, sin que el cliente conserve acceso operativo a la plataforma.

18. Registro Nacional de Bases de Datos

El deber de inscribir las bases de datos que contienen datos sensibles —como la historia clínica— ante el Registro Nacional de Bases de Datos (RNBD) que administra la Superintendencia de Industria y Comercio, conforme al Decreto 1074 de 2015, recae sobre el Responsable del Tratamiento y aplica a: (i) toda entidad pública, sin excepción; y (ii) toda persona jurídica de naturaleza privada cuyos activos totales superen 100.000 UVT. Las personas naturales no están sujetas a esta obligación de registro, sin perjuicio de que deban cumplir igualmente los principios de la Ley 1581 de 2012. Corresponde a cada Responsable del Tratamiento (el cliente, respecto de la historia clínica de sus pacientes, y BINSTARH SAS, respecto de sus propias bases de datos) verificar con base en sus estados financieros si supera dicho umbral y, en caso afirmativo, adelantar el registro correspondiente; Binstarh, como Encargado, colabora suministrando la información técnica necesaria para el registro de su cliente cuando este la solicite.

19. Vigencia

Esta política rige a partir de su fecha de publicación y permanecerá vigente mientras Binstarh realice tratamiento de datos personales, sin perjuicio de las actualizaciones que se realicen para reflejar cambios normativos u operativos, las cuales se publicarán en este mismo sitio con su respectiva fecha de actualización.