Política de Privacidad de Datos Personales — ENDOCIRUJANOS SAS
Versión: Entrada en vigor: 30 de mayo de 2026                                                  1.0

Responsable del tratamiento: JENIFFER BORRERO DOMÍNGUEZ, mayor de edad,
identificada con cédula de ciudadanía No. 31.566.273, actuando en mi calidad de
Representante Legal de ENDOCIRUJANOS S.A.S., sociedad debidamente constituida y
domiciliada en la ciudad de Cali/Valle del Cauca en la Carrera 42 # 5 B – 53, con NIT
805.019.877-Tel. 5536524 – 5532737 – 3188373183,
Correo: endocirujanos@endocirujanos.com.

1. Objetivo: Establecer las reglas, responsabilidades y medidas para el tratamiento
(recolección, uso, almacenamiento, circulación y supresión) de los datos personales
y datos sensibles en salud que ENDOCIRUJANOS S.A.S. procesa, garantizando el
respeto a la intimidad, la legalidad y las obligaciones derivadas de la normativa
colombiana aplicable.
2. Alcance: Aplica a todos los titulares (pacientes,acudientes,
familiares), profesionales de la salud, colaboradores, contratistas y terceros que
interactúen con los sistemas y procesos de ENDOCIRUJANOS S.A.S., y a todas las
unidades, sedes y servicios prestados por la entidad.
3. Marco normativo: La presente política se basa, entre otras, en las siguientes
normas:
* Constitución Política de Colombia — art. 15 (derecho a la intimidad).
* Ley 1581 de 2012 y normas reglamentarias (Decreto 1377 de 2013).
* Ley 23 de 1981 (secreto profesional).
* Ley 1751 de 2015 (derecho a la salud).
* Normas sectoriales sobre historia clínica, conservación de registros y reportes
sanitarios.
* Circulares y directrices de la Superintendencia de Industria y Comercio (SIC) y
del Ministerio de Salud y Protección Social.
4. Definiciones esenciales:
* Dato personal: información que identifica o hace identificable a una persona
natural.
* Dato sensible: información sobre salud, condición genética, orientación sexual,
entre otros, que requiere especial protección.
* Titular: la persona natural propietaria de los datos.
* Responsable del Tratamiento: ENDOCIRUJANOS S.A.S., que decide sobre
las finalidades y medios del tratamiento.
* Encargado del Tratamiento: tercero que procesa datos por cuenta de
ENDOCIRUJANOS S.A.S. (laboratorios, proveedores de TI, etc.).
* Tratamiento: cualquier operación sobre datos personales (recolección, uso,
almacenamiento, supresión, transferencia).
5. Principios aplicables: Los tratamientos se regirán por los principios de legalidad,
finalidad, libertad, veracidad y calidad, transparencia, acceso y circulación
restringida, seguridad y confidencialidad y responsabilidad, conforme a la Ley
1581/2012.
6. Finalidades del tratamiento: ENDOCIRUJANOS S.A.S tratará datos personales
para las siguientes finalidades, entre otras:
* Prestación integral de servicios de salud (atención, diagnóstico, tratamiento y
seguimiento).
* Gestión administrativa y facturación (relación con EPS, ARL, cobro y auditoría).
* Gestión de la historia clínica y cumplimiento de obligaciones legales y regulatorias.
* Investigación y actividades docentes (cuando aplique, con consentimiento y
salvaguardas).
* Control de calidad, gestión de riesgos y notificación de eventos adversos.
* Comunicaciones operativas (citas, resultados, recordatorios).
7. Bases legales y consentimiento: El tratamiento de datos sensibles en salud
requerirá el consentimiento previo, expreso e informado del titular, salvo
excepciones legales (urgencia médica, obligaciones legales, interés público en
salud, investigación autorizada por comité ético con garantías, etc.).
El tratamiento de datos no sensibles se realizará con las bases legales previstas en
la normatividad vigente (incluido el consentimiento informado cuando proceda).
8. Derechos de los titulares: Los titulares podrán ejercer en los términos de la ley
los derechos de:
* Conocer (confirmar o conocer el tratamiento).
* Acceder a sus datos.
* Actualizar y rectificar información inexacta o incompleta.
* Suprimir datos cuando proceda.
* Revocar la autorización y revocar el consentimiento.
* Oponerse y restringir el tratamiento.
* Solicitar prueba de la autorización otorgada.
9. Deberes de ENDOCIRUJANOS S.A.S:
* Garantizar confidencialidad, integridad y disponibilidad de los datos.
* Implementar medidas técnicas y administrativas de seguridad apropiadas.
* Mantener un Registro de Actividades de Tratamiento.
* Celebrar contratos de encargo con proveedores que impliquen obligaciones de
seguridad y confidencialidad.
* Reportar brechas de seguridad a la autoridad y/o titulares cuando la normativa lo
exija.
* Conservar la documentación y soportes de tratamiento conforme a los términos
legales aplicables.
10. Medidas de seguridad mínimas:
* Control de accesos y principio de mínimo privilegio; autenticación robusta para
sistemas clínicos.
* Registro de auditoría de accesos y consultas a la historia clínica.
* Cifrado de datos sensibles en tránsito y, cuando aplique, en reposo.
* Políticas de respaldo y recuperación ante desastres.
* Antimalware, gestión de parches y monitoreo de seguridad.
* Contratos y cláusulas de confidencialidad en relación con terceros y encargados.
* Plan de respuesta a incidentes y notificación de brechas.
* Programas de formación y sensibilización periódica a todo el personal.
11. Transferencias y comunicación de datos:
* Las transferencias a terceros (EPS, ARL, laboratorios, autoridades sanitarias,
proveedores tecnológicos, investigadores, etc.) se harán con base legal y mediante
acuerdos contractuales que obliguen al tercero a implementar medidas de seguridad,
limitar el uso a la finalidad autorizada y notificar incumplimientos.
* Las transferencias internacionales se sujetarán a requisitos adicionales y evaluación
de la idoneidad del receptor conforme a la normatividad vigente.
12. Tratamiento en situaciones especiales:
* Urgencias médicas: ENDOCIRUJANOS S.A.S podrá tratar y compartir datos
esenciales sin consentimiento previo para proteger la vida o la salud, dejando
constancia posterior.
* Menores y personas incapaces: El consentimiento lo ejercerán sus
representantes legales y el tratamiento será acorde con la normativa de protección
de menores.
* Investigación: requerirá consentimiento informado específico y aprobación de
comité de ética; preferiblemente anonimización o seudonimización.
13. Conservación y disposición final:
* La IPS conservará la historia clínica y documentos por los plazos legales aplicables;
una vez cumplidos, procederá a su supresión segura o anonimización y registro de
la disposición final.
* No procede la supresión cuando exista obligación legal de conservación (procesos
judiciales, auditorías fiscales, obligaciones contractuales).
14. Obligaciones específicas del personal médico y administrativo:
* Mantener secreto profesional y deber de reserva aun después de terminada la
relación laboral.
* Acceder únicamente a la información necesaria para la prestación del servicio.
* Registrar el motivo y la justificación de cada consulta a la historia clínica.
* No divulgar información sin consentimiento o sin base legal.
* Reportar incidentes de seguridad al Oficial de Protección de Datos.
* Información al paciente / titular al momento de la atención
ENDOCIRUJANOS S.A.S informará de manera clara y accesible sobre:
* Identidad del responsable del tratamiento y datos de contacto.
* Finalidades del tratamiento.
* Derechos de los titulares y procedimiento para ejercerlos.
* Posibles destinatarios y transferencias de datos.
* Plazo de conservación de la historia clínica.
* Mecanismos para revocar consentimiento o presentar consultas y reclamos.
Se entregará al titular, al inicio del proceso asistencial, un Formulario de Información y
Consentimiento.
15. Gestión de incidentes y brechas: ENDOCIRUJANOS S.A.S mantendrá un
procedimiento documentado para detección, contención, investigación y mitigación
de brechas. Cuando la brecha implique riesgo significativo para los titulares, se
notificará a la autoridad competente y a los titulares afectados, conforme a las
disposiciones aplicables.
16. Encargados y contratos: La selección de proveedores se hará con criterios de
idoneidad y capacidad en seguridad de la información. Todos los encargos de
tratamiento deberán formalizarse mediante contrato que incluya obligaciones de
confidencialidad, medidas de seguridad, prohibición de subcontratación sin
autorización y cláusulas de responsabilidad.
17. Capacitación y vigilancia: ENDOCIRUJANOS S.A.S desarrollará programas de
formación periódica para personal sobre protección de datos, manejo de la historia
clínica y obligaciones de secreto profesional. Se realizarán auditorías internas y
revisiones de cumplimiento.
18. Revisión y actualización: Esta política se revisará al menos una vez al año o
cuando haya cambios normativos, tecnológicos o de operación que lo exijan. Las
actualizaciones se documentarán en el historial de versiones.
19. Procedimiento para consultas, reclamos y ejercicio de derechos:
ENDOCIRUJANOS S.A.S., en cumplimiento de la normatividad vigente sobre
protección de datos personales, garantizará a los titulares de la información
mecanismos adecuados, accesibles y razonables para el ejercicio de sus derechos
relacionados con el tratamiento de datos personales y datos sensibles en salud.
Los titulares de la información, sus causahabientes, representantes legales o
apoderados debidamente acreditados podrán presentar consultas, solicitudes,
reclamos o peticiones relacionadas con:
* conocimiento de la información objeto de tratamiento
* acceso a datos personales
* actualización de información
* rectificación de datos inexactos
* revocatoria de autorizaciones
* supresión de datos cuando legalmente proceda
* solicitud de prueba de autorización
* consultas relacionadas con tratamiento de datos sensibles
* y cualquier actuación relacionada con el ejercicio del derecho de habeas data.
ENDOCIRUJANOS S.A.S. garantizará la atención de dichas solicitudes bajo
criterios de confidencialidad, trazabilidad, seguridad de la información y respeto por
los derechos fundamentales de los titulares.
20. Presentación de la solicitud: Las consultas, reclamos o solicitudes relacionadas
con protección de datos personales podrán presentarse por el titular de la
información o por su representante autorizado mediante cualquiera de los canales
institucionales habilitados por ENDOCIRUJANOS S.A.S., incluyendo:
* atención presencial.
* comunicación escrita.
* correo electrónico institucional.
* canales de atención al usuario.
* formularios institucionales o cualquier otro medio autorizado por la institución.
Las solicitudes deberán dirigirse a la Oficina de Protección de Datos, Atención al Paciente
o dependencia institucional encargada del tratamiento de datos personales.
ENDOCIRUJANOS S.A.S. podrá implementar mecanismos de validación de identidad con
el fin de proteger la confidencialidad de la información y evitar accesos no autorizados.
21. Requisitos: Las solicitudes relacionadas con el ejercicio de derechos de protección de
datos deberán contener como mínimo: nombre completo del titular de la información;
tipo y número de documento de identidad; datos de contacto; descripción clara, concreta
y detallada de la solicitud; documentos soporte cuando resulten necesarios y prueba de
representación o autorización cuando la solicitud sea presentada por un tercero.
Cuando la solicitud resulte incompleta, ENDOCIRUJANOS S.A.S. podrá requerir
información adicional necesaria para su adecuada atención.
Si el solicitante no presenta la información requerida dentro de los términos establecidos
por la normatividad vigente, la institución podrá entender desistida la solicitud conforme
a las disposiciones legales aplicables.
22. Plazo de respuesta: ENDOCIRUJANOS S.A.S. atenderá las consultas y reclamos
relacionados con protección de datos personales dentro de los términos establecidos
en la Ley 1581 de 2012 y demás normas concordantes.
Las consultas serán atendidas dentro de los términos legalmente aplicables contados a
partir de la fecha de recepción de la solicitud completa