Política de Tratamiento de Datos Personales

1. Quién es responsable y quién es encargado del tratamiento

Es importante distinguir dos roles, porque Heka los ocupa de forma distinta según el tipo de dato:

• Datos de los pacientes de una clínica (datos clínicos, de salud, de contacto de pacientes): la clínica que usa Heka es la Responsable del Tratamiento. Es la clínica quien decide qué datos de sus pacientes recolecta, para qué los usa, y quien debe recabar la autorización de cada paciente. Heka actúa como Encargado del Tratamiento: procesamos y almacenamos esos datos únicamente por instrucción y por cuenta de la clínica, para prestarle el Servicio, y no los usamos para fines propios ni los compartimos con terceros salvo lo descrito en esta política.
• Datos de cuenta del personal de la clínica (nombre, correo, teléfono, credenciales de acceso, uso de la plataforma): aquí Heka es Responsable del Tratamiento, porque nosotros decidimos cómo se procesan esos datos para operar la plataforma, facturar el servicio y comunicarnos con usted.

Datos de identificación de Heka como responsable: Heka, operado bajo el dominio hekalife.com, con domicilio de operación en Colombia. Puede contactarnos a través del canal indicado en la sección 6 de este documento.

2. Qué datos tratamos

• Datos de cuenta: nombre, correo electrónico, teléfono, contraseña (almacenada con hash, nunca en texto plano), rol dentro de la clínica, e información de la clínica (nombre, país, plan contratado).
• Datos clínicos y de salud (tratados por cuenta de la clínica): nombre, documento de identidad, datos de contacto, historia clínica, odontograma, periodontograma, notas de evolución, tratamientos, radiografías e imágenes, consentimientos informados y facturación asociada a la atención. Estos datos tienen la categoría de datos sensibles bajo la ley colombiana, por tratarse de información relacionada con la salud, y reciben un nivel de protección reforzado.
• Datos técnicos: dirección IP, identificadores de dispositivo, tipo de navegador, registros de acceso y actividad (logs), y datos de uso agregados de la plataforma para fines de seguridad, soporte y mejora del Servicio.

3. Finalidades del tratamiento

Tratamos los datos anteriores para: (a) crear y administrar su cuenta y la de su clínica; (b) prestar las funciones del Servicio (agenda, historia clínica, facturación, comunicación con pacientes, funciones de inteligencia artificial contratadas); (c) procesar pagos y facturación electrónica; (d) dar soporte técnico y responder solicitudes; (e) enviar comunicaciones transaccionales y, cuando corresponda, informativas sobre el Servicio; (f) cumplir obligaciones legales y regulatorias aplicables al sector salud en Colombia (por ejemplo, generación de RIPS o reportes exigidos por autoridad competente, por instrucción de la clínica); y (g) prevenir fraude y proteger la seguridad e integridad de la plataforma.

4. Base de la autorización

El tratamiento de sus datos de cuenta se basa en su autorización, otorgada al crear la cuenta y aceptar estos documentos, y en la necesidad de ejecutar el contrato de prestación del Servicio.

Para los datos de salud de los pacientes, la autorización debe ser recabada por la clínica directamente de cada paciente (o de su representante legal, cuando aplique), típicamente a través del proceso de consentimiento informado dentro de la atención clínica. Heka pone a disposición de la clínica las herramientas para documentar y firmar digitalmente esa autorización, pero no sustituye la responsabilidad de la clínica como Responsable del Tratamiento frente a sus pacientes.

5. Derechos del titular (habeas data)

Como titular de datos personales, usted tiene derecho a: conocer, actualizar y rectificar sus datos personales; solicitar prueba de la autorización otorgada; ser informado sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012; revocar la autorización y/o solicitar la supresión de sus datos cuando no exista un deber legal o contractual que lo impida; y acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Si usted es paciente de una clínica que usa Heka, y quiere ejercer estos derechos sobre sus datos clínicos, debe dirigir su solicitud directamente a esa clínica, quien es la Responsable del Tratamiento de sus datos de salud. Heka, como Encargado, colaborará con la clínica para atender esa solicitud dentro de los plazos legales.

Si usted es personal de una clínica (usuario de la plataforma) y quiere ejercer estos derechos sobre sus datos de cuenta, o si tiene una consulta general sobre esta política, puede escribir a notificaciones@hekalife.com indicando su nombre, el dato sobre el que solicita información y el derecho que desea ejercer. Atenderemos las consultas dentro de los diez (10) días hábiles siguientes a su recepción, y los reclamos dentro de los quince (15) días hábiles siguientes, conforme a los plazos establecidos por la Ley 1581 de 2012. Si no es posible atender el reclamo dentro de dicho término, se informará al titular los motivos de la demora y la fecha en que se atenderá, la cual no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

6. Transferencias y transmisiones de datos

Para prestar el Servicio, usamos proveedores de infraestructura y software que procesan datos por nuestra instrucción (transmisión internacional de datos, en su condición de encargados del tratamiento), bajo obligaciones contractuales de confidencialidad y seguridad:

• Hetzner Online GmbH (Finlandia, Unión Europea): alojamiento (hosting) de la infraestructura, base de datos y archivos.
• Resend: envío de correos electrónicos transaccionales (confirmaciones, notificaciones, recuperación de contraseña).
• Anthropic: proveedor del modelo de inteligencia artificial (Claude) usado en las funciones de dictado por voz, asistente de tratamiento, reportes y chatbot, cuando la clínica tiene esas funciones activas.
• Deepgram / Speechmatics: proveedores de transcripción de voz a texto (speech-to-text) usados por la función de dictado por voz, cuando la clínica tiene ese complemento activo.

Estos proveedores pueden estar ubicados fuera de Colombia. Cuando aplique, dichas transmisiones se realizan bajo las salvaguardas exigidas por la normativa colombiana (contratos de transmisión de datos y obligaciones de confidencialidad y seguridad equivalentes a las de esta política), y únicamente para los fines aquí descritos. No vendemos datos personales a terceros ni los usamos con fines publicitarios ajenos al Servicio.

7. Medidas de seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger los datos personales, incluyendo: cifrado en tránsito (TLS) para todas las comunicaciones con la plataforma; cifrado en reposo de la base de datos; aislamiento de los datos de cada clínica mediante un esquema (“schema”) de base de datos independiente por clínica (arquitectura multi-tenant con aislamiento a nivel de esquema); control de acceso basado en roles dentro de cada clínica; autenticación mediante tokens firmados de vida corta; y registros de auditoría sobre accesos y cambios a información sensible. Ningún sistema es enteramente inmune a riesgos, por lo que trabajamos de forma continua para mantener y mejorar estas medidas.

8. Retención de los datos

Conservamos los datos de cuenta mientras su cuenta y la de su clínica permanezcan activas, y por el tiempo adicional necesario para cumplir obligaciones legales, contables o de defensa ante autoridades. Los datos clínicos y de salud se conservan por el término que indique la normativa de historia clínica aplicable en Colombia, bajo instrucción de la clínica como Responsable del Tratamiento (ver también la sección de retención de nuestros Términos y Condiciones). Al terminar la relación con una clínica, sus datos se eliminan o anonimizan conforme a lo descrito en esa sección, salvo obligación legal de conservación en contrario.

9. Datos de menores de edad

Heka está diseñado para uso por personal profesional de clínicas dentales, no por menores de edad como usuarios directos de la plataforma. Sin embargo, las clínicas atienden pacientes menores de edad y registran sus datos clínicos en el sistema. En esos casos, corresponde a la clínica, como Responsable del Tratamiento, recabar la autorización del representante legal del menor antes de registrar o tratar sus datos, conforme al interés superior del menor y a lo previsto en la Ley 1581 de 2012 y el Decreto 1377 de 2013 para el tratamiento de datos de niños, niñas y adolescentes.

10. Vigencia y cambios a esta política

Esta política rige a partir de la fecha de “Última actualización” indicada arriba y permanecerá vigente mientras el tratamiento de datos personales continúe. Podemos actualizarla para reflejar cambios en el Servicio o en la normativa aplicable; los cambios sustanciales se comunicarán por correo electrónico o mediante un aviso dentro del producto.