Política de Privacidad

1. Introducción y Responsable del Tratamiento

En SolMed, nos comprometemos a proteger la privacidad y seguridad de la información personal de nuestros usuarios. Esta Política de Privacidad describe cómo recopilamos, usamos, compartimos y protegemos su información cuando utiliza nuestros servicios de software médico, conforme a la Ley No. 172-13 sobre Protección de Datos de Carácter Personal de la República Dominicana y demás normativa aplicable.

Responsable del tratamiento: SAHAS, sociedad dominicana operadora de la plataforma SolMed, con domicilio en Santo Domingo, República Dominicana. Para los datos clínicos de pacientes registrados por los centros de salud usuarios de la plataforma, SolMed actúa como encargado del tratamiento: el responsable es el centro de salud que capturó los datos.

2. Información que Recopilamos

2.1 Información Personal

Recopilamos la siguiente información personal cuando usted:

• Se registra en nuestra plataforma: Nombre completo, correo electrónico, número de teléfono, especialidad médica, información profesional
• Utiliza nuestros servicios: Información de pacientes (según lo permitido por las leyes de salud aplicables), registros médicos, citas, historiales clínicos
• Se comunica con nosotros: Contenido de mensajes, correos electrónicos, y otros tipos de comunicación

2.2 Información Técnica

Recopilamos automáticamente cierta información técnica cuando utiliza nuestros servicios:

• Dirección IP
• Tipo de navegador y sistema operativo
• Páginas visitadas y acciones realizadas
• Fecha y hora de acceso
• Cookies y tecnologías similares

3. Cómo Utilizamos su Información

Utilizamos la información recopilada para:

• Proveer y mejorar nuestros servicios: Gestionar su cuenta, procesar transacciones, ofrecer soporte técnico
• Comunicarnos con usted: Enviar actualizaciones, notificaciones de seguridad, y responder a sus consultas
• Personalizar su experiencia: Adaptar nuestros servicios a sus necesidades específicas
• Cumplir con obligaciones legales: Cumplir con las leyes y regulaciones aplicables en República Dominicana, incluida la Ley 172-13 de protección de datos personales y la normativa sanitaria vigente
• Prevenir fraudes y garantizar seguridad: Detectar y prevenir actividades fraudulentas o ilegales

4. Protección de Datos Médicos (Ley 172-13)

Los datos de salud son datos sensibles conforme al artículo 6.31 de la Ley 172-13. El centro de salud que los registra es su responsable del tratamiento (artículo 6.18) y SolMed actúa como encargado (artículo 6.12): los trata únicamente para prestar el servicio, por cuenta del centro y bajo el deber de secreto de los artículos 5.6 y 78. Así los protegemos hoy:

• Toda la comunicación entre su equipo y la plataforma viaja cifrada (HTTPS con TLS y HSTS); el portal no atiende tráfico sin cifrar
• Controles de acceso por usuario y por rol, con permisos finos por puesto: cada quien ve únicamente lo que le corresponde
• Aislamiento lógico entre centros: cada registro lleva el identificador del centro y toda consulta filtra por él
• Bitácora de acceso al expediente: cada consulta e impresión hecha desde el portal web queda registrada con usuario, paciente, pantalla, dirección IP, navegador y fecha, y el administrador del centro la consulta en Organización → Auditoría de Expedientes; los cambios se registran además campo por campo en Auditoría de Cambios
• Bloqueo automático de la cuenta durante quince (15) minutos tras cinco (5) intentos fallidos de acceso
• Respaldo automático de la base de datos al menos una vez al día y antes de cada actualización del sistema
• SolMed no vende, no cede y no utiliza los datos de pacientes para fines propios, publicitarios ni de entrenamiento de modelos de inteligencia artificial

Corresponde al centro obtener el consentimiento de sus pacientes cuando la ley lo exija (artículo 76) e informarles de la finalidad, los destinatarios y la ubicación de los datos (artículo 5.3). Los compromisos completos de SolMed como encargado están en la sección 7 de los Términos y Condiciones.

5. Compartir Información

No vendemos su información personal ni la de los pacientes. Compartimos información únicamente con los proveedores que necesitamos para operar el servicio (cada uno recibe solo lo indicado) y cuando la ley lo exige:

• Alojamiento: Interserver, Inc. (Estados Unidos de América). En su servidor residen la aplicación, la base de datos, los archivos adjuntos y los respaldos
• Fotografías: Cloudinary (Estados Unidos de América): foto del paciente subida desde la aplicación móvil y fotografías clínicas de cirugía plástica; fotos de empleados y logotipos del centro
• Mensajería: Twilio (Estados Unidos de América) para SMS y plantillas de WhatsApp, y WasenderAPI para mensajes de WhatsApp: reciben nombre del paciente, teléfono, fecha y hora de la cita, médico y centro, y los enlaces de gestión de la cita o de pago. Los resultados de laboratorio y los consentimientos no viajan por estos canales: se comparten por un enlace con token de un solo uso
• Correo electrónico: Microsoft 365 (Microsoft Corporation) como servidor de salida del correo transaccional (citas, resultados, facturas)
• Dirección General de Impuestos Internos (DGII) y proveedores de e-CF: los comprobantes fiscales electrónicos (e-CF) emitidos a través de la plataforma se remiten a la DGII, directamente o a través del proveedor de e-CF que el centro contrate (MedaSoft, Voxel, Alanube o MSeller), conforme a la Ley No. 32-23 de Facturación Electrónica; contienen los datos fiscales exigidos por la norma (RNC o cédula, nombre, montos y descripción de las líneas)
• Pasarelas de pago: PayPal, Azul, CardNET o Fygaro, según la pasarela que el centro active: reciben el monto y la referencia de la factura, sin datos clínicos
• Consulta de cédula: el número de cédula que el centro escribe se consulta contra el padrón del Ministerio de Relaciones Exteriores (MIREX) y fuentes públicas alternas para autocompletar el nombre; SolMed no aloja copia del padrón y cada consulta queda registrada con usuario y fecha
• Videoconsulta y dictado: si el centro usa la telemedicina sin un servidor de video propio, la videollamada se realiza sobre el servicio público Jitsi Meet (8x8, Inc., Estados Unidos de América); el dictado por voz usa el reconocimiento de voz del navegador, que en Chrome procesa el audio en servidores de Google
• Asistente de chat del portal: si el centro lo utiliza, el texto que escribe se envía a OpenAI (Estados Unidos de América) para generar la respuesta
• Cumplimiento legal: cuando sea requerido por ley, orden judicial o proceso legal, y para proteger nuestros derechos, propiedad o seguridad y los de nuestros usuarios

Avisamos a los centros con al menos treinta (30) días de antelación antes de incorporar un nuevo proveedor que trate datos de pacientes.

6. Seguridad de la Información

Estas son las medidas técnicas y organizativas que aplicamos hoy, tal como están implementadas:

• Cifrado TLS con HSTS para todas las transmisiones; cookies de sesión con los atributos Secure, HttpOnly y SameSite; cabeceras de seguridad HTTP (CSP, X-Frame-Options, X-Content-Type-Options)
• Controles de acceso basados en roles y permisos por puesto; usuarios individuales, nunca compartidos
• Contraseñas almacenadas únicamente como hash con sal (PBKDF2-HMAC-SHA512); longitud mínima de 8 caracteres con mayúscula y dígito
• Aislamiento lógico de los datos entre centros
• Registro de acceso e impresión de expedientes con usuario, paciente, fecha y dirección IP, y auditoría de cambios campo por campo
• Bloqueo automático de la cuenta durante quince (15) minutos tras cinco (5) intentos fallidos
• Respaldo automático de la base de datos al menos una vez al día y antes de cada actualización del sistema, con retención mínima de cinco (5) días
• Registro de cada consulta de cédula con usuario, fecha y fuente, con cuota diaria por centro

Lo que todavía no hacemos, dicho de frente: la base de datos no está cifrada en reposo; no ofrecemos autenticación de dos factores; los respaldos no se cifran ni se copian todavía a un servidor distinto del principal; y la bitácora de acceso al expediente no cubre todavía las consultas hechas desde las aplicaciones móviles. No ostentamos certificación HIPAA, ISO/IEC 27001 ni SOC 2. Todo esto está en desarrollo. Preferimos decírselo a que lo descubra el día que importe.

7. Retención de Datos

Retenemos su información personal durante el tiempo necesario para cumplir con los propósitos descritos en esta política, a menos que la ley requiera o permita un período de retención más largo. El expediente clínico se conserva durante el plazo mínimo que fija el Reglamento Técnico para la Gestión del Expediente Clínico del Ministerio de Salud Pública (diez (10) años, con paso a archivo pasivo tras cinco (5) años sin consulta); esa obligación es del centro de salud y SolMed le da los medios para cumplirla, incluido el bloqueo del expediente en lugar de su borrado cuando un paciente pide la supresión (artículo 15 de la Ley 172-13). Los comprobantes fiscales electrónicos (e-CF) emitidos y recibidos, junto con sus documentos asociados, se conservan por diez (10) años conforme al literal h) del Artículo 50 del Código Tributario y la Norma General 01-2020 de la DGII.

Si un centro deja de pagar, sus usuarios se desactivan pero los datos no se borran; si cancela la cuenta, los datos quedan bloqueados durante noventa (90) días para su devolución y se eliminan solo a solicitud escrita del centro, con constancia. Los respaldos automáticos rotan en un plazo máximo de siete (7) días. Las bitácoras de acceso al expediente no se purgan.

8. Sus Derechos (Ley 172-13)

Conforme a la Ley 172-13, usted tiene derecho a:

• Acceder: Solicitar una copia de su información personal
• Rectificar: Corregir información inexacta o incompleta
• Eliminar: Solicitar la eliminación de su información (sujeto a obligaciones legales)
• Restringir: Limitar el procesamiento de su información
• Portabilidad: Recibir su información en formato estructurado y legible
• Oponerse: Oponerse al procesamiento de su información para ciertos fines
• Revocar consentimiento: Retirar su consentimiento en cualquier momento

Si usted es paciente de un centro que usa SolMed, estos derechos se ejercen ante ese centro, que es el responsable de su expediente y debe responder en diez (10) días hábiles (artículo 8); si se dirige a nosotros, lo remitiremos al centro y le avisaremos. Para los datos de su cuenta en la plataforma, contáctenos en [email protected]

9. Cookies y Tecnologías de Seguimiento

Utilizamos cookies y tecnologías similares para:

• Mantener su sesión activa
• Recordar sus preferencias
• Analizar el uso de nuestros servicios
• Mejorar la funcionalidad y rendimiento

Puede configurar su navegador para rechazar cookies, pero esto puede limitar algunas funcionalidades de nuestros servicios.

10. Transferencias Internacionales

El servidor de SolMed está en los Estados Unidos de América y varios de los proveedores de la sección 5 también, por lo que el tratamiento constituye una transferencia internacional de datos (artículo 6.20 de la Ley 172-13). Los datos se tratan fuera del país con las mismas medidas y obligaciones descritas en esta política y en los Términos y Condiciones. La Ley 172-13 permite la transferencia, entre otros supuestos, cuando el titular la autoriza libre y conscientemente (artículo 80.1) o cuando el intercambio de datos médicos lo exige la atención del paciente (artículo 80.2); corresponde al centro de salud informarlo a sus pacientes y recabar su autorización cuando corresponda. SolMed no cuenta con cláusulas contractuales estándar ni certificaciones de privacidad de terceros: la Ley 172-13 no contempla esas figuras y no las afirmamos.

11. Menores de Edad

Nuestros servicios no están dirigidos a menores de 18 años. No recopilamos intencionalmente información personal de menores sin el consentimiento de sus padres o tutores legales.

12. Cambios a esta Política

Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas o por razones legales. Le notificaremos sobre cambios significativos mediante correo electrónico o un aviso destacado en nuestra plataforma.

13. Contacto

Si tiene preguntas, inquietudes o solicitudes relacionadas con esta Política de Privacidad, contáctenos:

• Email: [email protected]
• Teléfono: +1 (829) 349-5083
• Dirección: Santo Domingo, República Dominicana