1. Responsable del tratamiento y alcance
El Responsable del Tratamiento es Juan David Niño Chaves, persona natural que presta y organiza los servicios ofrecidos bajo la marca Vadea.
Esta política aplica al tratamiento de datos personales realizado por Vadea en su sitio web, agenda, pagos, comunicaciones, consentimiento informado, atención psicológica, historias y registros clínicos, actividades de seguridad, recursos o productos digitales y demás procesos administrativos relacionados. También aplica, en lo pertinente, a datos de representantes de adolescentes, contactos de emergencia, terceros autorizados y personas que se comuniquen con Vadea.
2. Principios que orientan el tratamiento
Vadea trata datos personales conforme a los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Además, aplica criterios de necesidad y minimización: se solicita y conserva únicamente la información razonablemente necesaria para una finalidad concreta, especialmente cuando se trata de información clínica o sensible.
La privacidad forma parte de la experiencia de cuidado. Una autorización amplia no se interpreta como permiso para utilizar la información en cualquier finalidad futura, y la creación de una cuenta, una cita o un proceso clínico no autoriza automáticamente marketing, investigación, docencia, publicaciones, creación de contenido ni desarrollo de producto.
3. Qué datos puede tratar Vadea
Según la relación que una persona tenga con Vadea, pueden tratarse las siguientes categorías de información:
- Datos de identificación: nombre, tipo y número de documento, edad o fecha de nacimiento cuando sea necesaria.
- Datos de contacto: correo, teléfono, WhatsApp, municipio o ciudad y, cuando exista una necesidad de seguridad, ubicación suficiente para activar ayuda.
- Datos de agenda y administración: citas, horarios, estado de reserva, comunicaciones operativas, solicitudes de reprogramación o cancelación y referencias administrativas.
- Datos de pago y facturación: estado de la transacción, valor, referencia e identificadores necesarios para conciliar el pago. Vadea no almacena los datos completos del instrumento de pago.
- Datos clínicos y de salud: motivo de consulta, antecedentes pertinentes, valoraciones, evolución, objetivos, intervenciones, recomendaciones, remisiones, información aportada durante la atención y demás contenido que deba integrar la historia clínica.
- Datos de seguridad: contacto de emergencia, relación con la persona, teléfono, adultos seguros cuando corresponda y datos necesarios para valorar o activar una ruta de protección o emergencia.
- Datos de adolescentes y representantes: información del adolescente, del padre, madre, representante o adulto autorizado y evidencia de las decisiones y autorizaciones que correspondan.
- Datos de consentimiento y evidencia: versión del consentimiento, decisiones aceptadas o rechazadas, fecha y hora, identificadores de registro y soportes asociados.
- Datos técnicos de navegación y seguridad: dirección IP, registros técnicos, identificadores o información generada por la infraestructura necesaria para entregar y proteger el sitio.
- Comunicaciones: mensajes enviados por correo, WhatsApp u otros canales de Vadea, limitados al propósito por el que fueron enviados.
- Datos temporales de transcripción o apoyo con inteligencia artificial: únicamente cuando la función esté habilitada, exista autorización específica y se cumplan las condiciones informadas para ese flujo.
Vadea no busca recolectar categorías sensibles que no sean necesarias para la atención o la finalidad concreta. Si durante una sesión aparece información sensible distinta a la salud, su tratamiento se limita a lo clínicamente pertinente y se mantiene bajo reserva.
4. De dónde obtenemos la información
La información puede provenir directamente del Titular; de su representante o adulto autorizado cuando corresponda; de la interacción con el profesional durante la atención; de los sistemas utilizados para agenda o pago cuando estos devuelven a Vadea el estado necesario de una reserva o transacción; de terceros autorizados por el Titular; o de autoridades cuando exista una obligación legal válida.
Vadea no compra bases de datos de pacientes ni utiliza información clínica obtenida de terceros con fines de publicidad.
5. Para qué tratamos los datos
Vadea podrá tratar los datos personales únicamente para finalidades compatibles con el contexto en que fueron obtenidos. Entre ellas:
- Permitir el funcionamiento, seguridad, disponibilidad y prevención de abuso del sitio vadea.co.
- Gestionar solicitudes de información, agenda, confirmaciones, reprogramaciones, cancelaciones y comunicaciones relacionadas con una sesión o servicio.
- Verificar y conciliar pagos, relacionarlos con una reserva y atender devoluciones o reclamaciones económicas cuando correspondan.
- Prestar, documentar y dar continuidad a la atención psicológica, incluyendo valoración, formulación, intervención, seguimiento, remisión y cierre.
- Crear, conservar y custodiar la historia clínica y sus anexos, así como atender solicitudes legítimas de acceso o copia.
- Documentar consentimientos, autorizaciones, decisiones del adolescente y del representante y demás evidencia necesaria para demostrar qué se informó y aceptó.
- Proteger la seguridad de la persona atendida o de terceros, gestionar contactos de emergencia y activar rutas de salud, protección o emergencia cuando exista fundamento clínico o legal.
- Atender consultas, reclamos, solicitudes de actualización, rectificación, supresión o revocatoria relacionadas con datos personales.
- Cumplir obligaciones profesionales, éticas, sanitarias, contables, tributarias, contractuales, de consumidor y requerimientos válidos de autoridades.
- Mantener seguridad, trazabilidad, respaldo, recuperación y gestión de incidentes en los sistemas autorizados.
- Cuando exista autorización específica, utilizar transcripción o inteligencia artificial como apoyo documental para organizar información y preparar borradores que siempre requieren revisión humana.
La información clínica identificable no se utiliza automáticamente para investigación, docencia, publicaciones, contenido, entrenamiento de profesionales, entrenamiento de modelos, marketing o desarrollo de producto. Si en el futuro se propone una finalidad secundaria de esa naturaleza, deberá evaluarse su pertinencia y, cuando corresponda, obtenerse una autorización independiente, específica y voluntaria.
Las comunicaciones promocionales no forman parte de la atención psicológica ni de la autorización clínica. Si Vadea implementa marketing directo, solicitará una autorización separada y permitirá retirarla sin afectar el acceso a los servicios.
6. Datos sensibles y datos de niños, niñas y adolescentes
Los datos relativos a la salud y a la salud mental son datos sensibles. Su tratamiento exige especial cuidado y, salvo las excepciones legales, autorización explícita. El Titular no está obligado a autorizar finalidades opcionales que involucren datos sensibles.
En una atención psicológica existen datos de salud que son inherentes y necesarios para prestar y documentar el servicio. Si una persona decide no autorizar un tratamiento indispensable para esa finalidad, Vadea le explicará las consecuencias prácticas y si resulta posible prestar el servicio de otra manera. Esta situación es diferente de funciones opcionales, como transcripción o inteligencia artificial, cuya negativa no impide la atención.
Vadea atiende inicialmente adolescentes de 14 a 17 años bajo un modelo de autonomía progresiva, participación activa del adolescente y actuación del adulto responsable cuando corresponda. El tratamiento de sus datos se realiza atendiendo su interés superior, su derecho a ser escuchado, la finalidad concreta, la seguridad y la confidencialidad. La participación de un representante no autoriza acceso irrestricto al contenido de las sesiones.
7. Autorización y otras bases que permiten el tratamiento
Cuando la ley exige autorización, Vadea procura obtenerla de forma previa, expresa e informada y conservar evidencia consultable de la decisión. El consentimiento para recibir atención psicológica, la autorización para tratar datos personales y sensibles y la autorización opcional para transcripción o inteligencia artificial son decisiones diferenciables.
Existen situaciones en las que la ley permite o exige tratar información sin una autorización adicional, por ejemplo ante una orden válida de autoridad competente, determinados deberes legales, protección de intereses vitales en los supuestos previstos por la ley u otras excepciones expresamente establecidas. En esos casos Vadea limitará el uso a la finalidad que justifica la excepción.
8. Confidencialidad, historia clínica y acceso
La protección de datos no reemplaza el secreto profesional ni las reglas de reserva de la historia clínica. La información clínica se comparte únicamente con personas autorizadas, con el propio Titular o quien tenga legitimación para acceder, o cuando exista un fundamento clínico o legal que lo permita o exija.
Freud es el repositorio clínico definitivo seleccionado por Vadea para historias, valoraciones, evoluciones y anexos clínicos. HubSpot, WhatsApp, correo, audio temporal, transcripciones o chats de inteligencia artificial no constituyen por sí mismos una historia clínica longitudinal.
Cuando una comunicación recibida por un canal administrativo contiene información clínicamente relevante, el profesional puede incorporarla al registro clínico correspondiente para conservar continuidad, trazabilidad y reserva.
9. Proveedores, encargados y circulación de datos
Vadea utiliza proveedores tecnológicos para funciones concretas. El acceso de un proveedor a datos personales no autoriza usos incompatibles con la finalidad del servicio. Según la función y las condiciones del proveedor, este puede actuar como Encargado del Tratamiento por cuenta de Vadea o como Responsable independiente respecto de determinados datos.
- Cloudflare Pages: publicación, entrega, disponibilidad, seguridad y registros técnicos de vadea.co.
- GitHub: código fuente y despliegue del sitio. No está destinado a almacenar datos de pacientes ni contenido clínico identificable.
- HubSpot: agendamiento, CRM y administración del contacto, la reserva y estados administrativos necesarios.
- Wompi: procesamiento y verificación de pagos. Los datos completos del instrumento de pago se gestionan dentro del entorno del proveedor.
- Google Workspace de Vadea: correo, videollamadas y almacenamiento autorizado de comunicaciones, citas, consentimientos y anexos restringidos.
- Freud: repositorio oficial de historia clínica y documentación clínica.
- WhatsApp y telefonía corporativa: comunicaciones operativas y complementarias, sin monitoreo continuo ni terapia por chat.
- Equipo local del profesional: procesamiento temporal únicamente cuando un flujo autorizado lo requiere y con controles de acceso y eliminación.
- Buzz/Whisper y ChatGPT/OpenAI: herramientas opcionales de transcripción o apoyo de redacción cuando estén habilitadas, exista autorización específica y se apliquen los controles definidos por Vadea.
Vadea revisará, según corresponda, las condiciones contractuales, medidas de seguridad, acceso, retención, exportación, eliminación, transmisión y transferencia de los proveedores utilizados con datos reales.
10. Transmisión y transferencia internacional
Algunos proveedores tecnológicos pueden procesar o alojar información fuera de Colombia. Cuando exista transmisión internacional por cuenta de Vadea o una transferencia de datos a otro Responsable, Vadea procurará utilizar los mecanismos contractuales y jurídicos aplicables, evaluar el rol del tercero y limitar los datos a lo necesario para la finalidad autorizada.
El uso de infraestructura internacional no cambia los derechos del Titular ni autoriza a Vadea a ampliar las finalidades del tratamiento.
11. Conservación y eliminación
Vadea conserva la información durante el tiempo necesario para la finalidad que justificó su tratamiento y durante los plazos legales aplicables. La supresión solicitada por un Titular no obliga a destruir información que deba mantenerse por una obligación legal, profesional, contractual o de defensa de derechos.
- Historia clínica: se conserva por el periodo mínimo legal aplicable, actualmente quince años contados desde la última atención, sin perjuicio de casos que exijan una conservación mayor.
- Consentimientos y evidencia clínica: se conservan de forma vinculada al proceso y durante el tiempo necesario para demostrar la atención, las autorizaciones y las obligaciones profesionales correspondientes.
- Datos administrativos, pagos y soportes: se mantienen durante el tiempo necesario para prestar el servicio y cumplir obligaciones contables, tributarias, contractuales, de consumidor o de defensa de derechos.
- Mensajes de correo o WhatsApp: se conservan mientras sean necesarios para la finalidad operativa o legal. La información clínicamente relevante se traslada al registro clínico cuando corresponde.
- Registros técnicos y de seguridad: su conservación depende de la necesidad de seguridad y de las condiciones de la infraestructura utilizada.
- Audio temporal para transcripción: cuando el flujo opcional esté autorizado y activo, se elimina después de verificar que la transcripción sea utilizable.
- Transcripción temporal: se elimina después de revisar e incorporar la nota definitiva y, como límite operativo ordinario, no se conserva más de siete días calendario salvo una razón clínica, técnica o legal concreta y documentada.
Cuando la finalidad desaparece y no existe una obligación de conservación, Vadea podrá eliminar, anonimizar o desvincular la información de manera razonable y verificable.
12. Derechos de los titulares
De acuerdo con la Ley 1581 de 2012, el Titular puede, según corresponda:
- Conocer, acceder, actualizar y rectificar sus datos personales.
- Solicitar prueba de la autorización otorgada cuando esta sea exigible.
- Ser informado sobre el uso que se ha dado a sus datos personales.
- Presentar consultas y reclamos sobre el tratamiento.
- Solicitar la revocatoria de la autorización o la supresión de datos cuando sea jurídicamente procedente.
- Acceder gratuitamente a sus datos personales en los términos legales.
- Presentar una queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante Vadea, cuando ese requisito resulte aplicable.
La revocatoria o supresión no opera sobre información que Vadea deba conservar por una obligación legal o profesional. En esos casos se limitarán los tratamientos no necesarios y se explicará al Titular el motivo de la conservación.
13. Cómo ejercer los derechos: consultas y reclamos
El canal principal para solicitudes de protección de datos es hola@vadea.co. Para facilitar la trazabilidad, recomendamos utilizar como asunto “Protección de datos personales” e indicar nombre del Titular, información o derecho que desea ejercer, datos de contacto y, cuando corresponda, documentos que acrediten identidad, representación o legitimación.
Vadea solicitará únicamente la información razonablemente necesaria para verificar quién presenta la solicitud y evitar entregar datos personales a una persona no autorizada.
Consultas
Las consultas sobre información personal serán atendidas en un término máximo de diez días hábiles desde su recepción. Si no es posible responder dentro de ese término, se informará el motivo y la nueva fecha, que no podrá exceder cinco días hábiles adicionales.
Reclamos
Las solicitudes de corrección, actualización, supresión, revocatoria o los reclamos por posible incumplimiento se tramitan conforme al artículo 15 de la Ley 1581 de 2012. Si el reclamo está incompleto, Vadea podrá requerir la información faltante dentro de los cinco días siguientes. Si pasan dos meses desde ese requerimiento sin que se complete, se entenderá desistido.
El reclamo completo será atendido en un término máximo de quince días hábiles contados desde el día siguiente a su recepción. Si no es posible resolverlo dentro de ese término, se informará el motivo y la nueva fecha, que no podrá exceder ocho días hábiles adicionales.
14. Seguridad e incidentes
Vadea aplica medidas técnicas, administrativas y organizativas proporcionales a la sensibilidad de la información: accesos restringidos, credenciales individuales cuando corresponda, separación entre entornos administrativos y clínicos, minimización de datos, revisión de permisos, conservación controlada y eliminación de archivos temporales.
Ningún sistema puede garantizar riesgo cero. Ante un incidente, Vadea procurará contenerlo, documentar los hechos, preservar la evidencia mínima necesaria, valorar las notificaciones o reportes exigibles, corregir el acceso o procedimiento afectado y adoptar medidas para reducir la probabilidad de repetición.
16. Inteligencia artificial, transcripción y decisiones automatizadas
La inteligencia artificial y la transcripción pueden utilizarse como apoyos opcionales cuando exista autorización específica y el flujo haya sido habilitado. La negativa o revocatoria de esta función no afecta el acceso a la atención psicológica.
Vadea no delega en una inteligencia artificial decisiones clínicas autónomas sobre diagnóstico, tratamiento, nivel de riesgo, seguridad, remisiones o revelaciones a terceros. Los borradores generados por herramientas tecnológicas requieren revisión profesional antes de incorporarse a la historia clínica.
Vadea tampoco utiliza decisiones automatizadas opacas para obligar a una persona a comprar terapia, un producto o un nivel de atención. Cuando una herramienta sugiera un siguiente paso, la recomendación debe poder explicarse y conservar la capacidad de decisión de la persona.
17. Cambios a esta política y vigencia
Esta política entra en vigencia desde su publicación en vadea.co y permanecerá vigente mientras Vadea realice tratamiento de datos personales. Las bases y registros podrán tener periodos de conservación diferentes según su finalidad y las obligaciones legales aplicables.
Vadea revisará esta política cuando cambien de manera material las finalidades, datos recolectados, proveedores, canales, tecnologías o requisitos legales. Los cambios sustanciales que requieran una nueva autorización serán informados antes de aplicar la nueva finalidad cuando corresponda.
18. Marco normativo principal
Esta política se interpreta, entre otras normas aplicables, conforme a la Ley 1581 de 2012 y el Decreto 1074 de 2015 sobre protección de datos personales; la Ley 1090 de 2006 sobre ejercicio profesional de la psicología; la Resolución 1995 de 1999 y la Resolución 839 de 2017 sobre historia clínica y conservación; la regulación vigente de telesalud y telemedicina; las normas aplicables a autonomía progresiva de adolescentes; y las instrucciones vigentes de la Superintendencia de Industria y Comercio en materia de protección de datos, responsabilidad demostrada y transferencias de tecnología.