Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales en la aplicación de usuarios de Medora es Prometio Group (en adelante, "Medora" o "nosotros"), del cual Medora es un producto. En esta aplicación, en la que tú te registras directamente y por tu propia cuenta, Medora actúa como Responsable del Tratamiento de tus datos personales, no como Encargado. Esto significa que nosotros decidimos para qué y cómo se tratan tus datos, dentro de los límites que tú autorizas y que la ley permite.

Tratamos tus datos conforme a la Ley 1581 de 2012, el Decreto 1377 de 2013, el Decreto 1074 de 2015 y demás normas colombianas de protección de datos personales y de habeas data.

Para cualquier asunto relacionado con tus datos, tu privacidad o el ejercicio de tus derechos (peticiones, quejas y reclamos - PQR), puedes contactarnos en:

• Correo de privacidad y derechos: [email protected]
• Dentro de la app: en la sección de privacidad de tu cuenta ("Mis datos").

2. Datos que tratamos

Según uses la aplicación, podemos tratar las siguientes categorías de datos:

• Datos de identificación y contacto: nombre, documento de identidad (cuando lo proporcionas), fecha de nacimiento, sexo, correo electrónico y número de celular.
• Datos de tu cuenta: nombre de usuario, seudónimo que elijas para la comunidad, contraseña (almacenada de forma cifrada) y preferencias.
• Datos sensibles de salud: la información clínica que tú decides cargar o registrar, como resultados de laboratorio, fórmulas, diagnósticos, evoluciones, imágenes, medicación, antecedentes y otras notas de salud. Esta categoría tiene protección reforzada (ver sección 3).
• Datos de uso y técnicos: registros de actividad dentro de la app, dispositivo y sistema operativo, dirección IP, identificadores de sesión, fecha y hora de acceso, y registros de auditoría.

3. Datos sensibles de salud

Tus datos de salud son datos sensibles conforme al artículo 5 de la Ley 1581 de 2012. La ley prohíbe tratarlos salvo que tú nos des tu autorización previa, expresa e informada.

Entregar tus datos de salud es completamente facultativo: la ley te garantiza el derecho a no entregar datos sensibles y nadie puede obligarte a hacerlo. No estás obligado a cargar tu información clínica para usar la aplicación, y puedes negarte a responder cualquier pregunta sobre datos sensibles.

Solo tratamos tus datos de salud para las finalidades que tú autorizas expresamente (ver sección 4). Si decides no compartir cierta información de salud, algunas funciones de la app podrían no estar disponibles o ser limitadas, pero esa decisión es tuya y la respetamos.

4. Finalidades del tratamiento

Tratamos tus datos únicamente para finalidades concretas, legítimas y que te informamos previamente. En la aplicación de usuarios, estas finalidades son:

• Crear y administrar tu cuenta y permitirte el acceso seguro a la aplicación.
• Organizar y estructurar tu información de salud en una línea de tiempo entendible.
• Explicarte tu información en lenguaje sencillo, para que comprendas mejor tus resultados, tus antecedentes y tu evolución.
• Ayudarte a identificar señales que vale la pena conversar con tu médico (por ejemplo, valores fuera de rango o patrones), siempre como información, nunca como diagnóstico.
• Comunicarnos contigo sobre tu cuenta, avisos de seguridad, códigos de verificación, cambios en esta política y soporte.
• Permitirte participar en la comunidad compartiendo experiencias de forma seudónima, si tú lo eliges (ver sección 11).
• Mejorar la calidad y seguridad del producto revisando, por personal autorizado, registros de uso para corregir errores y mejorar reglas y mensajes. Esto no implica reentrenar modelos de inteligencia artificial con tus datos (ver sección 6), ni vender ni compartir tu información.
• Cumplir obligaciones legales y atender requerimientos de autoridades competentes cuando la ley lo exija.

No usaremos tus datos para finalidades distintas de las autorizadas. Si en el futuro necesitamos tratar tus datos para una finalidad nueva e incompatible con las anteriores, te lo informaremos y te pediremos una nueva autorización antes de hacerlo.

5. Autorización: cómo se otorga y cómo se revoca

Tu autorización es la base del tratamiento de tus datos. La otorgas de forma previa, expresa e informada cuando, dentro de la aplicación, manifiestas activamente tu consentimiento (por ejemplo, marcando las casillas correspondientes y completando el flujo de aceptación) tras leer esta política. Para los datos sensibles de salud pedimos una autorización específica y reforzada, y te recordamos que entregarlos es facultativo.

Conservamos prueba de tu autorización (qué autorizaste, cuándo y desde qué dispositivo) para poder demostrar el cumplimiento de la ley y para que tú puedas consultarla.

Puedes revocar tu autorización total o parcialmente en cualquier momento, y solicitar la supresión de tus datos, a través de:

• la sección de privacidad de tu cuenta ("Mis datos") dentro de la app, o
• el correo [email protected].

Cuando revocas, dejaremos de tratar tus datos para las finalidades revocadas, salvo aquellas que debamos mantener por una obligación legal o por requerimiento de autoridad. La revocación no afecta la licitud del tratamiento realizado antes de que la solicitaras.

6. Transferencias y transmisiones internacionales

Para operar la aplicación utilizamos proveedores tecnológicos ubicados en los Estados Unidos de América, que tratan datos por nuestra cuenta y bajo nuestras instrucciones:

• Google LLC (Google Vertex AI): servicios de inteligencia artificial que ayudan a estructurar y explicar tu información de salud.
• Supabase Inc.: base de datos e infraestructura donde se almacena tu información de cuenta y de salud.

Esto implica que tus datos personales, incluidos datos sensibles de salud, se almacenan y procesan en servidores ubicados fuera de Colombia.

Por esa razón, amparamos el flujo internacional de tus datos en dos pilares:

• Tu autorización expresa e informada (artículo 26, literal a, de la Ley 1581 de 2012), que nos otorgas al aceptar esta política conociendo que tus datos viajarán a Estados Unidos.
• Cláusulas Contractuales Estándar (modelo adoptado por la SIC mediante la Circular Externa 003 de 2025) y contratos de transmisión o de encargo del tratamiento con nuestros proveedores, como garantía contractual adicional para proteger tus datos.

Adicionalmente, te informamos lo siguiente sobre estos proveedores:

• No se reentrenan modelos de inteligencia artificial con tus datos. Los términos con nuestros proveedores prohíben usar tu información para entrenar sus modelos.
• Nuestros proveedores pueden apoyarse en subencargados propios (por ejemplo, centros de datos) sujetos a obligaciones de confidencialidad y seguridad equivalentes. Si cambiamos de proveedor de forma sustancial, te lo informaremos.
• La legislación de los Estados Unidos (por ejemplo, el CLOUD Act y la Sección 702 de FISA) puede facultar a sus autoridades para requerir datos a proveedores estadounidenses, en ciertos casos sin aviso previo. Te informamos este riesgo para que tu autorización sea verdaderamente informada.

Puedes negarte a esta transferencia internacional. Si lo haces, es posible que no podamos prestarte el servicio mientras nuestra infraestructura resida en el exterior, ya que es necesaria para que la aplicación funcione.

7. Tus derechos y cómo ejercerlos

Como titular de tus datos, conforme al artículo 8 de la Ley 1581 de 2012, tienes derecho a:

• Conocer qué datos tuyos tratamos y para qué los usamos, y acceder a ellos de forma gratuita.
• Actualizar tus datos cuando estén desactualizados.
• Rectificar datos que sean inexactos o incompletos.
• Suprimir tus datos cuando consideres que no se están tratando conforme a la ley, o cuando dejen de ser necesarios.
• Revocar la autorización que nos diste, total o parcialmente.
• Solicitar prueba de tu autorización, salvo cuando la ley no la exija.
• Presentar quejas ante la SIC por infracciones a la normativa (ver sección 14).

Para ejercer cualquiera de estos derechos puedes usar la sección "Mis datos" dentro de la app o escribirnos a [email protected], identificándote e indicando con claridad tu solicitud.

Tiempos de respuesta:

• Consultas: las atendemos en un máximo de diez (10) días hábiles contados desde su recibo. Si no es posible en ese plazo, te informaremos los motivos y la nueva fecha, que no superará cinco (5) días hábiles adicionales.
• Reclamos: los atendemos en un máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no es posible en ese plazo, te informaremos los motivos y la nueva fecha, que no superará ocho (8) días hábiles adicionales.

8. Seguridad de la información

Adoptamos medidas técnicas, humanas y administrativas razonables para proteger tus datos contra pérdida, acceso no autorizado, alteración o divulgación indebida. Entre ellas:

• Cifrado de la información en tránsito (TLS) y en reposo.
• Control de acceso por roles y bajo el principio de mínimo necesario, de modo que solo personal autorizado pueda acceder a datos de salud y siempre con un fin legítimo.
• Registros de auditoría que dejan constancia de los accesos a información sensible.
• Separación lógica de la información de salud y pruebas periódicas de seguridad.
• Un plan de respuesta a incidentes que contempla la notificación a las autoridades competentes en los plazos legales.

Ninguna medida de seguridad es infalible, pero trabajamos de forma continua para reducir riesgos y proteger tu información.

9. Conservación y supresión de los datos

Conservamos tus datos mientras tengas una cuenta activa y mientras sean necesarios para las finalidades autorizadas. Cuando revoques tu autorización, solicites la supresión, o tus datos dejen de ser necesarios, procederemos a suprimirlos o anonimizarlos de forma segura, salvo que debamos conservarlos por un periodo adicional para cumplir una obligación legal, atender un requerimiento de autoridad o gestionar reclamaciones.

La supresión incluye solicitar a nuestros proveedores la eliminación correspondiente, según los mecanismos contractuales disponibles. Cierta información mínima puede conservarse de forma segura como prueba del cumplimiento de la ley (por ejemplo, evidencia de tu autorización o de tu solicitud de supresión).

10. Menores de edad

Al registrarte declaras que eres mayor de edad. Si detectamos que una cuenta pertenece a un menor de edad, procederemos a suspenderla y a suprimir sus datos. Durante la fase beta, el acceso es por invitación.

11. Comunidad: experiencias, no datos clínicos

Medora ofrece un espacio de comunidad donde puedes compartir experiencias con otras personas. Este espacio está diseñado con privacidad por defecto:

• En la comunidad se comparten experiencias y vivencias, no tu historia clínica ni tus datos clínicos. Tu información de salud estructurada permanece privada en tu cuenta y no se publica automáticamente.
• Tu identidad es seudónima por defecto: participas con un seudónimo, no con tu nombre real, salvo que tú decidas lo contrario.
• Lo que tú escribas y publiques voluntariamente en la comunidad será visible para otros participantes. Te pedimos prudencia: evita incluir datos que permitan identificarte o que revelen información sensible que no quieras hacer pública.

12. Cookies y tecnologías web

Utilizamos cookies y tecnologías similares (como identificadores de sesión y almacenamiento local) que son necesarias para que la aplicación funcione, para mantener tu sesión iniciada de forma segura y para recordar tus preferencias. También podemos usar tecnologías de medición agregada para entender el uso del producto y mejorarlo.

No vendemos tus datos ni los usamos para publicidad de terceros. Puedes gestionar las cookies desde la configuración de tu navegador o dispositivo; ten en cuenta que deshabilitar las cookies necesarias puede afectar el funcionamiento de la aplicación.

13. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales, técnicos u operativos. Cuando los cambios sean sustanciales (por ejemplo, nuevas finalidades o nuevos destinatarios de tus datos), te lo informaremos por un medio razonable (correo electrónico o aviso destacado en la app) y, cuando la ley lo exija, te pediremos una nueva autorización antes de que el cambio entre en vigor. La fecha de última actualización aparece al inicio de este documento.

14. Contacto y derecho a acudir a la SIC

Para cualquier asunto relacionado con esta política o con tus datos personales, escríbenos a [email protected] o usa la sección "Mis datos" de la aplicación. Atenderemos tu solicitud en los tiempos indicados en la sección 7.

Si consideras que no hemos atendido adecuadamente tu solicitud o que hemos infringido la normativa de protección de datos, tienes derecho a presentar una queja ante la Superintendencia de Industria y Comercio (SIC), autoridad colombiana de protección de datos, a través de www.sic.gov.co o en cualquiera de sus oficinas. Como regla general, deberás haber agotado primero el trámite de consulta o reclamo ante nosotros.