Manual de políticas y procedimientos para la protección de datos personales

Introducción

Este manual contempla las políticas y procedimientos que permiten desarrollar el objeto de la Ley Estatutaria 1581 de 2012 y el Decreto Reglamentario 1377 de 2013, orientados a garantizar el derecho constitucional de los ciudadanos colombianos a la protección de sus datos personales.

1. Marco Legal

El 17 de octubre de 2012, el Congreso de Colombia expidió la Ley 1581 de 2012, la cual tiene por objeto: Desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma.

Artículo 15 de la Constitución Política de Colombia de 1991

Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.

En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución.
La correspondencia y demás formas de comunicación privada son inviolables. Solo pueden ser interceptadas o registradas mediante orden judicial, en los casos y con las formalidades que establezca la ley.

Para efectos tributarios o judiciales, y para los casos de inspección, vigilancia e intervención del Estado, podrá exigirse la presentación de libros de contabilidad y demás documentos privados, en los términos que señale la ley.

Artículo 20 de la Constitución Política de Colombia de 1991

Se garantiza a toda persona la libertad de expresar y difundir su pensamiento y opiniones, la de informar y recibir información veraz e imparcial, y la de fundar medios masivos de comunicación.

Estos son libres y tienen responsabilidad social. Se garantiza el derecho a la rectificación en condiciones de equidad. No habrá censura.

Decreto 1377 de 2013:

Por el cual se reglamenta parcialmente la Ley 1581 de 2012 y se dictan disposiciones generales para la protección de datos personales.

Decreto 886 de 2014:

Expedido el 13 de mayo de 2014, mediante el cual se reglamenta el artículo 25 de la Ley 1581 de 2012, relacionado con el Registro Nacional de Bases de Datos ante la Superintendencia de Industria y Comercio.

Decreto 1074 del 2015:

Expedido el 26 de mayo de 2015, “Por medio del cual se expide el Decreto Único Reglamentario del Sector Comercio, Industria y Turismo”, cuyo capítulo 25 reglamenta parcialmente la Ley 1581 de 2012.

Decreto 1759 de 2016:

Expedido el 8 de noviembre de 2016, mediante el cual se reglamentan cambios en la fecha de inscripción de las bases de datos ante la Superintendencia de Industria y Comercio.

Circular Externa 002 del 3 de noviembre de 2015 – Superintendencia de Industria y Comercio

Por la cual se imparten instrucciones a los responsables del tratamiento de datos personales, personas jurídicas de naturaleza privada inscritas en las cámaras de comercio y sociedades de economía mixta, para efectos de realizar la inscripción de sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).

Circular Externa 001 del 11 de enero de 2017 – Superintendencia de Industria y Comercio

Por la cual se modifican algunos numerales de la Circular Externa 002 del 3 de noviembre de 2015 relacionados con el procedimiento de inscripción en el Registro Nacional de Bases de Datos (RNBD) y la información contenida en este, teniendo en cuenta la modificación de los plazos de inscripción.

2. Definiciones

2.1. Generales

Grupos de interés:

Se entiende como grupo de interés aquel conjunto de personas naturales o jurídicas que, como consecuencia de un vínculo jurídico o de intereses comunes, mantienen expectativas frente al desarrollo de las actividades de CHRISTUS SINERGIA, así como frente a los resultados obtenidos.

El presente manual aplicará únicamente a las personas naturales que hayan suministrado información de carácter personal a CHRISTUS SINERGIA.

A continuación, se definen los grupos de interés:

Accionistas / socios:

Para el presente manual, se realizará tratamiento de datos personales a los accionistas o socios personas naturales, así como a las personas naturales que tengan vínculo comercial con accionistas o socios titulares de cuotas sociales, partes de interés o acciones de CHRISTUS SINERGIA.

Acompañante:

Persona natural, familiar o no, que acompaña a un usuario que recibe servicios de salud en CHRISTUS SINERGIA.

Clientes:

Para el presente manual, se realizará tratamiento de datos personales a las personas naturales que tengan vínculo comercial con clientes persona jurídica de CHRISTUS SINERGIA y cuyos datos sean suministrados durante la oferta de servicios, negociación o ejecución contractual.

Ejemplo: representante legal, gerente general, gerente ejecutivo, gerente regional, director médico, director comercial, auditor médico, entre otros.

Colaboradores:

Personas naturales que prestan sus servicios personales a CHRISTUS SINERGIA mediante contrato de trabajo.

Estudiantes:

Estudiantes de cualquier nivel educativo vinculados a una institución educativa y que se encuentren en etapa práctica dentro de su formación.

Prestador:

Para el presente manual, se realizará tratamiento de datos personales a las personas naturales que tengan vínculo contractual con prestadores persona jurídica de CHRISTUS SINERGIA y cuyos datos sean suministrados durante el estudio de la oferta, negociación o ejecución contractual.

Ejemplo: representante legal, gerente general, gerente ejecutivo, gerente regional, director médico, director comercial, auditor médico, entre otros.

Profesional de la salud:

Persona natural perteneciente al área de la salud, en proceso de selección o con vínculo contractual con CHRISTUS SINERGIA.

Ejemplo: especialista, subespecialista, trabajador social, psicólogo, nutricionista, entre otros.

Proveedor:

Para el presente manual, se realizará tratamiento de datos personales a proveedores personas naturales o a personas naturales vinculadas comercialmente con proveedores persona jurídica de CHRISTUS SINERGIA, cuyos datos sean suministrados durante el estudio de la oferta, negociación o ejecución contractual.

Ejemplo: representante legal, gerente general, gerente ejecutivo, gerente regional, director comercial, visitador médico, entre otros.

Terceros:

Persona que no ha participado en la celebración o ejecución de un negocio jurídico o proceso judicial, pero que tiene algún interés o es llamada a intervenir por algún motivo.

Trabajadores en misión:

Personas naturales contratadas por empresas de servicios temporales y asignadas a las dependencias de CHRISTUS SINERGIA. Entre la empresa de servicios temporales y CHRISTUS SINERGIA debe existir un vínculo contractual.

Usuario:

Persona natural a la cual CHRISTUS SINERGIA presta servicios de salud POS y NO POS.

Asociación de usuarios:

Persona natural perteneciente a la asociación de usuarios de CHRISTUS SINERGIA.

Políticas:

Lineamientos, orientaciones y aspectos que fundamentan la protección de datos personales en la organización y que hacen parte del programa integral de protección de datos personales.

2.2. Protección de datos personales

Autorización:

Consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.

Aviso de privacidad:

Comunicación verbal o escrita generada por el responsable, dirigida al titular para el tratamiento de sus datos personales, mediante la cual se informa sobre la existencia de las políticas de tratamiento de información, la forma de acceder a ellas y las finalidades del tratamiento.

Base de datos:

Conjunto organizado de datos personales objeto de tratamiento.

Confidencialidad:

Característica de los activos de información que determina que la información no esté disponible o divulgada a individuos, entidades o procesos no autorizados.

Consentimiento:

Manifestación libre, expresa, inequívoca e informada mediante la cual el titular acepta el tratamiento de sus datos personales.

Dato biométrico:

Dato personal relacionado con características físicas, fisiológicas o conductuales de una persona que permiten o aseguran su identificación única.

Dato personal:

Cualquier información vinculada o asociada a una o varias personas naturales determinadas o determinables.

Dato privado:

Dato personal que, por su naturaleza íntima o reservada, solo interesa a su titular y cuyo tratamiento requiere autorización expresa.

Ejemplo: nivel de escolaridad, trayectoria académica, entre otros.

Dato público:

Dato que no sea semiprivado, privado o sensible.

Ejemplo: nombre, dirección, teléfono, estado civil y profesión.

Dato semiprivado:

Dato que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento puede interesar al titular y a un grupo de personas o a la sociedad.

Ejemplo: comportamiento financiero, comercial, crediticio y de seguridad social.

Dato sensible:

Datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, tales como información sobre origen racial o étnico, orientación política, convicciones religiosas o filosóficas, afiliación sindical, datos de salud, vida sexual y datos biométricos.

Encargado del tratamiento:

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento.

Firma digital:

Es un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido vinculado a la clave del iniciador y al texto del mensaje, permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación.

Firma electrónica:

Códigos, contraseñas, datos biométricos o claves criptográficas privadas que permiten identificar a una persona en relación con un mensaje de datos, siempre y cuando el mismo sea confiable y apropiado respecto de los fines para los que se utiliza la firma.

Habeas data:

Es el derecho que todo titular de información tiene de conocer, actualizar, rectificar u oponerse a la información concerniente a sus datos personales.

Registro biométrico:

En las tecnologías de la información (TI), la autentificación biométrica es la aplicación de técnicas matemáticas y estadísticas sobre los rasgos físicos o de conducta de un individuo para su autentificación, es decir, verificar su identidad. Ejemplos: huellas dactilares, retina, iris, patrones faciales, venas de la mano, geometría de la palma de la mano, firma, paso y tecleo.

Responsable del tratamiento:

Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros decida sobre la base de datos y/o el tratamiento de los datos.

Titular:

Persona natural cuyos datos personales sean objeto de tratamiento.

Transferencia:

La transferencia de datos tiene lugar cuando el responsable y/o encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor que, a su vez, es responsable del tratamiento y se encuentra dentro o fuera del país.

Transmisión:

Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el encargado por cuenta del responsable.

Tratamiento:

Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.

3. Objetivos

3.1. Objetivos Generales

Definir las políticas y procedimientos que permitan a CHRISTUS SINERGIA proteger los datos personales de sus grupos de interés, garantizando el derecho de las personas naturales a conocer, actualizar y rectificar la información recolectada en bases de datos o archivos de la organización.

3.2. Objetivos Específicos

• Establecer las políticas, metodologías y procedimientos para el tratamiento de datos personales de los grupos de interés.
• Definir los mecanismos mediante los cuales los titulares puedan ejercer sus derechos ante CHRISTUS SINERGIA.
• Informar a los grupos de interés sobre las políticas y procedimientos aplicables al tratamiento de su información personal.
• Informar a los titulares sobre la finalidad de la recolección y los derechos derivados de la autorización otorgada.
• Habilitar canales de atención para consultas, reclamos y solicitudes de información.

4. Ámbito de Aplicación

Las políticas y procedimientos contenidos en este manual aplican a todos los datos personales recolectados de personas naturales pertenecientes a los grupos de interés de CHRISTUS SINERGIA, de conformidad con la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013.

CHRISTUS SINERGIA da cumplimiento a la Ley 1581 de 2012, el Decreto 1377 de 2013 y demás normas aplicables para garantizar los derechos constitucionales de los titulares de la información.

5. Principios de Protección de Datos Personales

De conformidad con el artículo 4 de la Ley Estatutaria 1581 de 2012, CHRISTUS SINERGIA aplica los siguientes principios en el tratamiento de datos personales de sus grupos de interés:

Principio de legalidad en materia de tratamiento de datos

CHRISTUS SINERGIA realizará el tratamiento de datos personales sujetándose a las disposiciones legales vigentes sobre la materia.

Principio de finalidad

El tratamiento de datos personales responderá a una finalidad específica, previamente informada al titular al momento de la recolección de la información.

Principio de libertad

CHRISTUS SINERGIA solicitará autorización previa al titular para la recolección y tratamiento de datos personales, informando la finalidad correspondiente. Los datos no podrán obtenerse ni divulgarse sin autorización previa, salvo mandato legal o judicial.

Principio de veracidad o calidad

La información sujeta a tratamiento será veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de información parcial, incompleta o que induzca a error.

Principio de transparencia

CHRISTUS SINERGIA garantizará al titular el derecho de obtener información sobre la existencia de datos personales almacenados en las bases de datos de la organización.

Principio de acceso y circulación restringida

Los datos personales no públicos no podrán divulgarse en internet ni en medios masivos, salvo que existan mecanismos de acceso restringido.

Solo podrán acceder a la información:

• El titular del dato.
• El responsable del tratamiento.
• El encargado del tratamiento.
• Personas autorizadas por el titular.
• Colaboradores de CHRISTUS SINERGIA que, por sus funciones, requieran acceso a la información.
• Personas autorizadas por mandato legal o judicial.

Principio de seguridad:

CHRISTUS SINERGIA implementará medidas técnicas, humanas y administrativas necesarias para proteger la información contra adulteración, pérdida, consulta, uso o acceso no autorizado.

Principio de confidencialidad:

Todas las personas internas o externas que intervengan en el tratamiento de datos personales no públicos están obligadas a garantizar la reserva de la información, incluso después de finalizada su relación con la organización, salvo autorización legal o contractual.

6. Políticas para el tratamiento de datos personales

CHRISTUS SINERGIA Salud y sus empresas CHRISTUS SINERGIA SERVICIOS AMBULATORIOS S.A.S. (NIT. 900.363.673-9), CHRISTUS SINERGIA Salud S.A. (800.212.422-7) y CHRISTUS SINERGIA Clínica Palma Real S.A.S. (900.699.086-8), en adelante CHRISTUS SINERGIA, en su calidad de responsables y/o encargados del tratamiento de datos de carácter personal, informan a sus usuarios, acompañantes, clientes, proveedores, prestadores, profesionales de la salud, colaboradores, trabajadores en misión, aprendices, acreedores (terceros), socios, accionistas, asociación de usuarios y, en general, a todas las personas naturales que hayan facilitado o que en el futuro faciliten sus datos personales, que estos serán incorporados en las bases de datos de propiedad de CHRISTUS SINERGIA.

CHRISTUS SINERGIA informa que, en cumplimiento de la Ley 1581 de 2012 y el Decreto 1377 de 2013, ha adoptado las medidas legales, técnicas y organizacionales necesarias para evitar la pérdida, el acceso o la alteración de los datos personales objeto de tratamiento. De igual forma, mediante estas medidas busca garantizar la seguridad, autenticidad, disponibilidad, integridad y confidencialidad de los datos personales durante todo el tratamiento realizado por cada una de las empresas de CHRISTUS SINERGIA.

En desarrollo de lo establecido en la Ley 1581 de 2012 y el Decreto Reglamentario 1377 de 2013, CHRISTUS SINERGIA utilizará los datos personales facilitados por cualquier persona natural para fines propios de la prestación de servicios de salud, así como para administración, uso estadístico, actividades de control y supervisión. Por lo tanto, podrá recolectar, procesar, almacenar en medios físicos, digitales y servicios en la nube, usar, circular, reportar, conservar, consultar, transferir, transmitir y validar cualquier información desde el momento de la solicitud del servicio y/o del vínculo contractual, comercial o cualquier otra relación.

El responsable del tratamiento de los datos personales es:

protecciondedatos@christus.co

CHRISTUS SINERGIA capturará los datos personales a través de sus diferentes canales transaccionales. Los titulares de la información podrán ejercer los derechos previstos por la ley, siguiendo los procedimientos que CHRISTUS SINERGIA pone a disposición para tal fin, los cuales se encuentran desarrollados en el presente manual.

CHRISTUS SINERGIA se compromete a dar tratamiento adecuado a todos los datos personales facilitados e incorporados en sus bases de datos y archivos, conforme a las finalidades específicas para las cuales fueron entregados.
El tratamiento de datos personales podrá realizarse de forma directa por CHRISTUS SINERGIA y/o por quien las compañías determinen para cada caso. Los titulares de la información, mediante su consentimiento, aceptan libre, expresa e inequívocamente que sus datos personales sean tratados por CHRISTUS SINERGIA.

6.1. Finalidades para el tratamiento de datos personales

desarrollo de las funciones de la organización, enmarcadas en su objeto social. A continuación, se relacionan algunas finalidades por grupo de interés, aclarando que no corresponden a la totalidad.

6.1.1. Usuarios

• Asignar, consultar, cambiar y/o cancelar citas con profesionales de la medicina previamente concertadas o solicitadas por el titular de los datos personales.
• Cotizar servicios de salud solicitados por el titular de los datos.
• Brindar atención médico-asistencial al paciente.
• Desarrollar fines administrativos relacionados con la prestación de servicios de salud.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Enviar resultados de pruebas de laboratorio y/o imágenes diagnósticas al usuario por medios electrónicos, como correo electrónico, mensajes de texto, WhatsApp, entre otros.
• Cargar, brindar acceso, consulta y descarga por medios digitales a preparaciones y resultados de exámenes de laboratorio clínico e imagenología.
• Enviar resultados de pruebas de laboratorio, imágenes diagnósticas, historia clínica y demás registros clínicos al médico tratante y asegurador del usuario por medios electrónicos.
• Cargar, brindar acceso, consulta y descarga digital de resultados de laboratorio, imágenes diagnósticas, historia clínica y demás registros clínicos al médico tratante y asegurador.
• En los casos de exámenes ocupacionales de contratación, enviar resultados de laboratorio, imágenes diagnósticas, historia clínica y demás registros clínicos al empleador del usuario.
• Permitir acceso y descarga digital de resultados de exámenes ocupacionales de contratación.
• Enviar historia clínica al usuario por medios electrónicos.
• Cargar, brindar acceso, consulta y descarga digital de la historia clínica.
• Realizar entrega de medicamentos.
• Gestionar pagos de los servicios prestados y reintegros de excedentes.
• Analizar el riesgo poblacional de forma general e individual.
• Realizar auditorías frente a atención en concurrencia.
• Definir líneas base de patologías de seguimiento y alto impacto.
• Permitir la calificación y clasificación del origen de enfermedades.
• Brindar acompañamiento espiritual.
• Facturar servicios prestados y enviar facturas por medios digitales.
• Realizar recaudo físico o digital de los servicios prestados.
• Gestionar autorizaciones de ordenamientos.
• Ejecutar actividades de promoción y prevención.
• Realizar seguimiento a casos especiales de vigilancia epidemiológica.
• Desarrollar análisis y seguimiento estadístico.
• Contactar al usuario mediante vía telefónica o medios digitales para comunicaciones relacionadas con prestación de servicios de salud, mercadeo y actividades comerciales.
• Realizar encuestas de opinión y satisfacción.
• Gestionar procesos económicos y contables.
• Realizar transmisión y/o transferencia de datos.
• Enviar registros clínicos al asegurador.
• Cuando CHRISTUS SINERGIA actúe como encargado por cuenta del responsable (cliente/asegurador), las finalidades serán las dispuestas en el contrato suscrito entre las partes.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.2. Acompañantes

• Desarrollar fines administrativos relacionados con la prestación de servicios de salud.
• Gestionar procesos económicos y contables.
• Realizar pagos y reintegros de excedentes.
• Brindar acompañamiento espiritual.
• Facilitar atención médico-asistencial al paciente.
• Completar información en bases de datos de programas de promoción y prevención.
• Contactar por vía telefónica o medios digitales para comunicaciones relacionadas con servicios de salud, mercadeo y actividades comerciales.
• Realizar encuestas de opinión.
• Realizar transmisión y/o transferencia de datos.
• Gestionar peticiones, quejas, reclamos y sugerencias.
• Gestionar autorizaciones de ordenamientos.

6.1.3. Clientes

• Ofertar el portafolio de servicios y formalizar procesos de contratación.
• Desarrollar procesos de selección, evaluación y contratación.
• Incluir datos personales en la base de datos de contratación.
• Ejecutar el objeto contractual pactado.
• Realizar mantenimiento de contratos vigentes.
• Gestionar procesos económicos y contables.
• Gestionar procesos de cobranza.
• Facturar pagos de servicios prestados y reintegros de excedentes.
• Cotizar servicios de salud.
• Desarrollar actividades de prospección comercial y marketing.
• Realizar transmisión y/o transferencia de datos.
• Generar claves de acceso a aplicativos de CHRISTUS SINERGIA.
• Gestionar información relacionada con temas contractuales.
• Permitir acceso a información clínica y resultados diagnósticos de pacientes.
• Realizar análisis y seguimiento estadístico.
• Aplicar encuestas de opinión y satisfacción.
• Remitir comunicaciones mediante los medios registrados.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Transmitir y/o transferir datos personales a autoridades competentes y entes de inspección, vigilancia y control.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.4. Proveedores

• Administrar la compra de productos y servicios.
• Desarrollar procesos de selección, evaluación y adjudicación de contratos.
• Gestionar información contractual.
• Realizar transmisión y/o transferencia de datos.
• Ejecutar el objeto contractual.
• Incluir datos personales en la base de datos de contratación.
• Gestionar pagos a proveedores.
• Desarrollar procesos económicos y contables.
• Facturar pagos de servicios prestados y reintegros de excedentes.
• Controlar el acceso físico y logístico a instalaciones y activos de la empresa.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Transmitir y/o transferir datos personales a autoridades competentes y entes de inspección, vigilancia y control.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.5. Prestadores

• Administrar la compra de servicios de salud.
• Desarrollar procesos de selección, evaluación y adjudicación de contratos.
• Ejecutar el objeto contractual pactado.
• Gestionar información contractual.
• Realizar transmisión y/o transferencia de datos.
• Incluir datos personales en la base de datos de contratación.
• Generar claves de acceso a aplicativos de CHRISTUS SINERGIA.
• Controlar el acceso físico y logístico a instalaciones y activos de la empresa.
• Gestionar pagos a prestadores.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Transmitir y/o transferir datos personales a autoridades competentes y entes de inspección, vigilancia y control.
• Realizar análisis estadísticos.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.6. Profesionales de la salud

• Desarrollar procesos de selección, evaluación y contratación con profesionales de la salud.
• Generar claves de acceso a los aplicativos de CHRISTUS SINERGIA utilizados durante la prestación del servicio.
• Administrar los datos personales para la correcta asignación y uso de activos y herramientas de trabajo.
• Incluir sus datos personales en la base de datos de contratación de la organización.
• Utilizar sus datos personales para la respectiva gestión contractual.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Transmitir y/o transferir los datos personales a las autoridades competentes, entes de inspección, vigilancia y control, y otros terceros en los casos que esto sea necesario.
• Transferir sus datos personales al corredor de seguros —intermediario— de riesgos laborales que para el momento esté contratado por la organización, con la finalidad de que este, a su vez, proceda con la gestión de afiliación y reporte de novedades del profesional a la respectiva administradora de riesgos laborales.
• Realizar análisis estadístico.
• Controlar el acceso físico y logístico a instalaciones y activos de la empresa.
• Verificar historial laboral.
• Verificar historial académico.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones sobre prestación de servicios de salud, mercadeo, comerciales y otras.
• Desarrollar el objeto contractual pactado con los profesionales de la salud.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.7. Candidatos a colaborador

• Recopilar datos durante el proceso de selección, vinculación o durante el desarrollo de la relación laboral, los cuales serán incorporados en la base de datos de la compañía.
• Desarrollar y gestionar procesos de reclutamiento, selección y contratación de personal.
• Verificar la documentación entregada por el aspirante a colaborador.
• Verificar historial laboral.
• Verificar historial académico.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Realizar estudios de seguridad y visitas domiciliarias.
• Verificar referencias personales, laborales, entre otras.
• Realizar exámenes ocupacionales de contratación, acceso a resultados y demás registros clínicos como prerrequisito para la posible contratación.
• Realizar transmisión y/o transferencia de datos.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones de la organización, incluidas las comunicaciones de mercadeo, publicidad y comerciales.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.8. Colaboradores

• Administrar el contrato laboral suscrito entre las partes, incluidas todas las actividades que de ello se deriven.
• Administrar y gestionar todo lo relacionado con las prestaciones sociales del colaborador, seguridad social y, en general, garantizar todos los derechos que la ley exige para el trabajador.
• Gestionar la participación de empleados en programas corporativos o sociales.
• Realizar actividades de bienestar para los colaboradores.
• Conservar la información exacta de residencia de los colaboradores cuando se requiera hacer visitas domiciliarias como procedimiento de ingreso o para el desarrollo de actividades de acompañamiento dentro de los programas de bienestar.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones de la organización, incluidas las comunicaciones de mercadeo, publicidad y comerciales.
• Gestionar el control de asistencia, cumplimiento de horarios de trabajo, acceso físico y logístico a instalaciones y activos de la empresa.
• Hacer seguimiento a obligaciones contractuales, funciones establecidas en el perfil de cargo y demás responsabilidades asignadas por su jefe inmediato.
• Acceder a los registros de las cámaras de seguridad ubicadas en las instalaciones, a las grabaciones de llamadas telefónicas que, por seguridad y calidad, se efectúan, a los archivos, información o datos digitales que son considerados de uso empresarial y que se encuentran guardados en el equipo tecnológico (computador, portátil, teléfonos, etc.) que la compañía proporciona para el desempeño de sus funciones, así como los guardados en CDS (backup), servidores, memorias USB, etc.
• Gestionar los datos de carácter personal sobre desempeño, valoración y capacitación sobre habilidades, competencias y seguridad de los colaboradores.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Crear usuarios para acceso a los aplicativos.
• Tomar decisiones en materia laboral con respecto a la ejecución y terminación del contrato de trabajo, bien sea por el área jurídica de la compañía o su asesor externo.
• Administrar y gestionar los números de cuentas bancarias para temas de nómina.
• Realizar encuestas de clima organizacional y demás relacionadas con el objeto social de CHRISTUS SINERGIA.
• Realizar actividades de vigilancia epidemiológica enmarcadas en el programa de seguridad y salud en el trabajo.
• Realizar transmisión y/o transferencia de datos.
• Utilizar fotografías y videos para campañas comerciales, de formación y demás que sean requeridas por el empleador, inclusive una vez finalizado el contrato suscrito entre las partes.
• Utilizar la firma electrónica del trabajador como garantía de legalización del presente contrato.
• Ejecutar las demás actividades necesarias que se presenten en el entorno de la ejecución laboral.
• Adelantar procesos disciplinarios a que haya lugar.
• Hacer seguimiento a la adherencia a protocolos y procedimientos establecidos por la organización.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.9. Trabajadores en misión

El tratamiento de datos y las finalidades a realizar por CHRISTUS SINERGIA como encargados, por cuenta del responsable, serán las dispuestas en el contrato firmado entre el empleador y CHRISTUS SINERGIA.

6.1.10. Estudiantes

• Desarrollar y gestionar procesos de reclutamiento, selección y contratación de personal.
• Incluir sus datos personales en la base de datos de contratación de la organización.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones de la organización, incluidas las comunicaciones de mercadeo, publicidad y comerciales.
• Generar claves de acceso a los aplicativos de CHRISTUS SINERGIA utilizados durante la prestación del servicio.
• Administrar los datos del estudiante y su familia para temas relacionados con remuneraciones, contribuciones, obligaciones, prestaciones y demás información necesaria (servicio médico, becas, formación, entre otros), por parte de las áreas de gestión humana.
• Realizar actividades de bienestar para los estudiantes.
• Realizar transmisión y/o transferencia de datos.
• Conservar la información exacta de residencia de los estudiantes cuando se requiera hacer visitas domiciliarias como procedimiento de ingreso o para el desarrollo de actividades de acompañamiento dentro de los programas de bienestar.
• Gestionar el control de asistencia, cumplimiento de horarios de trabajo, acceso físico y logístico a instalaciones y activos de la empresa.
• Hacer seguimiento a obligaciones contractuales, funciones establecidas en el perfil de cargo y demás responsabilidades asignadas por su jefe inmediato.
• Gestionar los datos de carácter personal sobre desempeño, valoración y capacitación sobre habilidades, competencias y seguridad de los estudiantes.
• Administrar y gestionar los números de cuentas bancarias para temas de nómina.
• Administrar y gestionar todo lo relacionado con las prestaciones sociales del estudiante, seguridad social y, en general, garantizar todos los derechos que la ley exige para el estudiante en etapa práctica.
• Acceder a los registros de las cámaras de seguridad ubicadas en las instalaciones, a las grabaciones de llamadas telefónicas que, por seguridad y calidad, se efectúan, a los archivos, información o datos digitales que son considerados de uso empresarial y que se encuentran guardados en el equipo tecnológico (computador, portátil, teléfonos, etc.) que la compañía proporciona para el desempeño de su práctica profesional, así como los guardados en CDS (backup), servidores, memorias USB, etc.
• Administrar el contrato de aprendizaje suscrito entre las partes, incluidas todas las actividades que de ello se deriven.
• Hacer seguimiento a la adherencia a protocolos y procedimientos establecidos por la organización.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.11. Terceros

• Adelantar solicitudes de créditos que se requieran en CHRISTUS SINERGIA.
• Gestionar los pagos de créditos con las entidades financieras.
• Gestionar la financiación de proyectos para CHRISTUS SINERGIA.
• Administrar productos o servicios.
• Realizar fines administrativos.
• Administrar la compra de productos y servicios.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones de la organización, incluidas las comunicaciones de mercadeo, publicidad y comerciales.
• Desarrollar procesos de selección, evaluación y adjudicación de contratos para proveedores.
• Realizar pagos y cobros a que haya lugar.
• Gestionar aspectos económicos y contables.
• Facturar pagos de los servicios prestados y reintegros de excedentes por pagos realizados.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Crear usuarios y brindar acceso a aplicativos de la organización.
• Incluir sus datos personales en la base de datos de contratación de la organización.
• Controlar el acceso físico y logístico a instalaciones y activos de la empresa.
• Realizar transmisión y/o transferencia de datos personales a terceros.
• Realizar análisis estadístico.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.12. Socios y accionistas

• Adelantar los trámites correspondientes a la venta, cesión o enajenación de acciones o porcentaje de CHRISTUS SINERGIA.
• Incluir sus datos personales en la base de datos de la organización.
• Recolectar, registrar y actualizar los datos personales de socios y accionistas con la finalidad de informar las actividades que realiza la organización en relación con su condición de socios y accionistas.
• Proporcionar la información requerida sobre socios y accionistas para verificaciones de alguna autoridad que lo requiera.
• Realizar validaciones y monitoreo para la prevención de delitos.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones de la organización, incluidas las comunicaciones de mercadeo, publicidad y comerciales.
• Transferir o transmitir los datos personales a entidades y/o autoridades judiciales, administrativas y legales.
• Registrar en los libros de accionistas de la organización y en archivo o carpeta física y/o digital sus datos personales.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.1.13. Asociación de usuarios

• Realizar reuniones y comités con los miembros de la asociación de usuarios de CHRISTUS SINERGIA.
• Realizar registro de actividades.
• Controlar el acceso físico y logístico a instalaciones y activos de la empresa.
• Incluir sus datos personales en la base de datos de la organización.
• Realizar transmisión y/o transferencia de datos.
• Tramitar consultas y reclamos.
• Contactar por vía telefónica, celular o medios digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros, con comunicaciones de la organización, incluidas las comunicaciones de mercadeo, publicidad y comerciales.
• Realizar estudios internos de mejoramiento de los servicios de salud.
• Realizar encuestas de opinión y satisfacción por vía telefónica, celular o medios físicos y digitales como correo electrónico, mensajes de texto, WhatsApp, entre otros.
• Gestionar peticiones, quejas, reclamos y sugerencias.

6.2. Registro biométrico

CHRISTUS SINERGIA cuenta con registro biométrico como huella dactilar, reconocimiento facial, fotos, grabación de voz y/o video, entre otros, para los grupos de interés en general que transiten por medio de las instalaciones físicas de las empresas, cuyas finalidades se limitan a:

• Seguridad de las personas, bienes e instalaciones.
• Control de acceso a las instalaciones de CHRISTUS SINERGIA.
• Control de turnos de trabajo y cumplimiento de horarios.
• Recopilación de información para procesos administrativos y de la prestación de salud.
• Fines administrativos de la prestación de servicios de salud.
• Brindar atención oportuna al usuario cuando se encuentre incapacitado para tomar decisiones.
• Optimizar la prestación de los servicios.
• Identificación de los titulares de los datos.

6.2.1. Video vigilancia

CHRISTUS SINERGIA utiliza diferentes medios de videovigilancia instalados en el interior y exterior de sus instalaciones. La organización informará sobre la existencia de estos mecanismos de seguridad mediante avisos de videovigilancia ubicados en lugares visibles.

El aviso señalará que la finalidad de la información recolectada será brindar seguridad a las personas, bienes e instalaciones. La información registrada puede ser empleada como prueba en cualquier tipo de proceso ante cualquier autoridad u organización, de acuerdo con las normas aplicables.

En todos los casos, el uso del sistema de videovigilancia será respetuoso y protegerá el derecho a la intimidad personal, y se utilizará para:

• Seguimiento y monitoreo de actividades diarias.
• Garantizar la seguridad y vigilancia de bienes o personas.
• Recopilación de datos biométricos con fines administrativos y de la prestación de salud.
• Seguimiento a la adherencia a protocolos y procedimientos establecidos por la organización.
• Identificación de los titulares de los datos.

6.3. Autorización para el tratamiento de datos personales:

CHRISTUS SINERGIA ha implementado procedimientos para solicitar, a más tardar en el momento de la recolección de los datos, la autorización del titular para el tratamiento de los mismos. Para ello, se cuenta con formatos estandarizados físicos y digitales para realizar la captura de la autorización para el tratamiento de los datos personales en cada uno de los canales dispuestos por la organización. La información capturada de los titulares de los datos es resguardada bajo estándares de protección, de acuerdo con la normatividad.

6.3.1. Tratamiento de datos públicos:

CHRISTUS SINERGIA podrá tratar, sin previa autorización del titular de la información, los datos personales que, de acuerdo con lo establecido por la Ley 1581 de 2012, se consideren de carácter público, garantizando en todo momento los principios y derechos que promulga la misma ley.

6.3.2. Tratamiento de datos semiprivados y privados:

CHRISTUS SINERGIA tratará, previa autorización del titular de la información, los datos personales de carácter semiprivado y privado, de acuerdo con lo establecido por la Ley 1581 de 2012 y sus decretos reglamentarios.

6.3.3. Tratamiento de datos sensibles:

De conformidad con lo establecido en el artículo 6° de la Ley 1581 de 2012, los datos sensibles no pueden ser objeto de tratamiento, excepto en las siguientes situaciones:

• El titular haya dado su autorización explícita a dicho tratamiento, salvo en los casos en que por ley no sea requerido el otorgamiento de dicha autorización.
• El tratamiento sea necesario para salvaguardar el interés vital del titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización.
• El tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• El tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los titulares.

Aunado a lo anterior, el Decreto 1377 de 2013 establece que, en el tratamiento de datos personales sensibles, cuando dicho tratamiento sea posible, deberán cumplirse las siguientes obligaciones:

• Informar al titular que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento.
• Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de tratamiento son sensibles y la finalidad del tratamiento, así como obtener su consentimiento expreso.

6.3.4. Tratamiento de datos de niños, niñas y adolescentes:

De conformidad con el artículo 7° de la Ley 1581 de 2012, en el tratamiento se asegurará el respeto a los derechos prevalentes de los niños, niñas y adolescentes. Queda proscrito el tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública.

Es tarea del Estado y de las entidades educativas de todo tipo proveer información y capacitar a los representantes legales y tutores sobre los eventuales riesgos a los que se enfrentan los niños, niñas y adolescentes respecto del tratamiento indebido de sus datos personales, y proveer conocimiento acerca del uso responsable y seguro por parte de niños, niñas y adolescentes de sus datos personales, su derecho a la privacidad y protección de su información personal y la de los demás.

Adicionalmente, el Decreto Reglamentario 1377 de 2013 establece los siguientes parámetros y requisitos para el tratamiento de los datos personales de niños, niñas y adolescentes:

• Que responda y respete el interés superior de los niños, niñas y adolescentes.
• Que se asegure el respeto de sus derechos fundamentales.
• La autorización para el tratamiento de los datos personales del niño, niña o adolescente la otorgará su representante legal, previa escucha de su opinión, de acuerdo con la madurez, autonomía y capacidad del menor para entender el tema.

6.3.5. Excepciones en la autorización para el tratamiento de datos personales:

En todos los casos mencionados anteriormente, se debe tener en cuenta que la Ley 1581 de 2012 establece algunos casos en los que no es necesaria la autorización previa del titular de la información para el tratamiento de sus datos personales. Al respecto, el artículo 10° relaciona:

• Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos.
• Datos relacionados con el registro civil de las personas.

En el tratamiento de los datos personales que realice CHRISTUS SINERGIA sin autorización previa, se cumplirán todas las disposiciones de la Ley 1581 de 2012 y sus decretos reglamentarios.

7. Derechos de los titulares

• Conocer, actualizar y rectificar sus datos personales frente a CHRISTUS SINERGIA.
• Solicitar prueba de la autorización para el tratamiento de datos personales otorgada a CHRISTUS SINERGIA o cualquiera de sus empresas, salvo las excepciones de autorización de conformidad con lo previsto en el artículo 10° de la Ley 1581 de 2012.
• Ser informados sobre el uso que CHRISTUS SINERGIA está dando o ha dado a sus datos personales.
• Presentar ante CHRISTUS SINERGIA quejas y reclamos referentes al tratamiento de sus datos personales, siguiendo las pautas establecidas en la Ley 1581 de 2012, sus decretos reglamentarios y el presente manual.
• Solicitar la revocatoria de la autorización y/o supresión del dato personal cuando la Superintendencia de Industria y Comercio haya determinado que en el tratamiento por parte de CHRISTUS SINERGIA se ha incurrido en conductas contrarias a la Ley 1581 de 2012 o a la Constitución.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento por CHRISTUS SINERGIA.

7.1. Personas que pueden ejercer los derechos del titular

• El titular, quien deberá acreditar su identidad en forma suficiente por los distintos medios que ponga a disposición CHRISTUS SINERGIA.
• Sus causahabientes, quienes deberán acreditar tal calidad.
• El representante y/o apoderado del titular, previa acreditación de la representación o apoderamiento, conforme a las disposiciones legales.
• Por estipulación a favor de otro o para otro.
• En el caso de los niños, niñas o adolescentes, sus derechos serán ejercidos por las personas que estén facultadas para representarlos.

8. Procedimientos

CHRISTUS SINERGIA cuenta con procedimientos establecidos para el trámite de las consultas y reclamos formulados en los términos señalados en la Ley de Protección de Datos 1581 de 2012. Para garantizar el adecuado cumplimiento de la Ley 1581 de 2012, CHRISTUS SINERGIA cuenta con la guía interna para el tratamiento de solicitudes y reclamos.

8.1. Procedimiento para consultas

El titular de los datos personales o su representante legal puede consultar de forma gratuita, una vez al mes, sus datos personales almacenados en las bases de datos de CHRISTUS SINERGIA.

La solicitud deberá realizarse por correo electrónico protecciondedatos@christus.co.

Para la realización de la consulta, es necesario que el titular de la información remita su nombre completo, tipo y número de documento de identificación, número de celular, ciudad, dirección de residencia, detalle de la consulta y correo electrónico donde se pueda remitir la respuesta. En caso de que la persona que solicite información sea distinta al titular, debe adjuntar un documento legal que autorice el poder para recibir la información y copia de la cédula del solicitante. En el caso de los menores de edad, se deberá adjuntar el registro civil y copia de la cédula del solicitante.

La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

8.2. Procedimiento para reclamos

El titular de los datos personales o su representante legal puede interponer un reclamo ante CHRISTUS SINERGIA, cuando considere que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando advierta el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012.

El reclamo deberá realizarse por correo electrónico protecciondedatos@christus.co.

Para la realización del reclamo, es necesario que el titular de la información remita su nombre completo, tipo y número de documento de identificación, número de celular, ciudad, dirección de residencia, descripción de los hechos que dan lugar al reclamo y correo electrónico donde se pueda remitir la respuesta. En caso de que la persona que solicite información sea distinta al titular, debe adjuntar un documento legal que autorice el poder para recibir la información y copia de la cédula del solicitante. En el caso de los menores de edad, se deberá adjuntar el registro civil y copia de la cédula del solicitante.

Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado.

Una vez recibido el reclamo completo, se incluirá en la base de datos de CHRISTUS SINERGIA una leyenda que diga “reclamo en trámite” y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

8.2.1. Actualización de datos personales

Tal como lo establece el artículo 22° del Decreto 1377 de 2013, CHRISTUS SINERGIA debe garantizar el derecho de actualización con el que cuentan los titulares de la información contenida en las bases de datos personales de la Organización. De este modo, cuando el titular desee actualizar sus datos personales deberá interponer un reclamo ante CHRISTUS SINERGIA, como se define en el presente manual.

8.2.2. Rectificación de datos personales

Tal como lo establece el artículo 22° del Decreto 1377 de 2013, CHRISTUS SINERGIA debe garantizar el derecho de rectificación con el que cuentan los titulares de la información contenida en las bases de datos personales de la Organización. De este modo, cuando el titular desee rectificar sus datos personales deberá interponer un reclamo ante CHRISTUS SINERGIA, como se define en el presente manual.

8.2.3. revocación de la autorización y/o supresión del dato personal:

De conformidad con el artículo 9° del Decreto 1377 de 2013, los titulares podrán en todo momento solicitar al responsable o encargado la supresión de sus datos personales y/o revocar la autorización otorgada para el tratamiento de los mismos, mediante la presentación de un reclamo. Dicho reclamo deberá ser radicado ante CHRISTUS SINERGIA, como se define en el presente manual.

La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el titular tenga un deber legal o contractual de permanecer en la base de datos.

9. Medidas de seguridad

CHRISTUS SINERGIA cuenta con herramientas y procedimientos de seguridad de la información, que permiten tener medidas de seguridad en el tratamiento de los datos almacenados en sus bases de datos, lo que permite mitigar los riesgos asociados a la protección de datos personales.

10. Información y comunicación

CHRISTUS SINERGIA tiene como política mantener una comunicación eficaz, clara y precisa con sus grupos de interés, motivo por el cual mantiene los mecanismos de información y comunicación para que esto pueda lograrse.

Adicionalmente, la Organización cuenta con los mecanismos de atención de consultas y reclamos, de conformidad con lo establecido en la Ley 1581 de 2012 y sus decretos reglamentarios.

11. Oficialización y vigencia

El presente manual empieza a regir a partir de diciembre de 2022 y aplica para todos los datos personales que están siendo tratados en la actualidad y mientras se encuentre vigente la presente versión.