POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES APLICACIÓN MÓVIL ACCIÓN SALUD

Montería, 14 de octubre de 2026

Objetivo:

La presente política tiene por objeto informar a los usuarios sobre las condiciones bajo las cuales Acción Salud Para Todos S.A.S. realiza el tratamiento de los datos personales mediante la aplicación Acción Salud, las finalidades de dicho tratamiento, los derechos de los titulares y los mecanismos dispuestos para ejercerlos.
Esta política se aplica a los datos personales tratados en los procesos de registro, autenticación, agendamiento de citas, consulta de información habilitada, actualización de datos, soporte tecnológico y demás funcionalidades que se encuentren efectivamente disponibles en la aplicación.

Su aplicación se extiende al personal autorizado de la Institución y a los terceros que intervengan en el tratamiento por cuenta de esta, de acuerdo con las funciones asignadas, los acuerdos aplicables y las obligaciones legales correspondientes.
El tratamiento de la información se realizará respetando los derechos fundamentales a la intimidad, el habeas data y la protección de la información personal.

Identificación del responsable del tratamiento:

ACCIÓN SALUD PARA TODOS S.A.S., identificada con NIT 900966241-9, con domicilio principal en la ciudad de Montería, Córdoba, Colombia, en adelante la Institución, es responsable del tratamiento de los datos personales recolectados, almacenados, consultados, utilizados o administrados a través de la aplicación móvil Acción Salud, de conformidad con las finalidades informadas y con la normativa colombiana vigente.

Datos de contacto del responsable:

• Razón social: Acción Salud Para Todos S.A.S.
• NIT: 900966241-9
• Domicilio principal Montería, Córdoba, Colombia.
• Correo electrónico de contacto general: callcenter@accionsalud.com.co.
• Teléfono: (+57) 333 602 5534
• Sitio web: www.accionsalud.com.co
• Correo electrónico para asuntos de protección de datos personales:sistemas@accionsalud.com.co

Cuando la aplicación permita el acceso por parte de representantes legales o personas autorizadas, deberán cumplirse los mecanismos de verificación correspondientes. La IPS podrá establecer controles de acceso para proteger la información y prevenir usos no autorizados de la plataforma.

Obligaciones del ususario:

El usuario se compromete a:

• Utilizar la aplicación de manera responsable y conforme a su finalidad.
• Proporcionar información veraz y mantenerla actualizada.
• Mantener la confidencialidad de sus credenciales de acceso.
• Evitar compartir sus credenciales con terceros no autorizados.
• Informar oportunamente cualquier sospecha de acceso no autorizado.
• Respetar la seguridad y el funcionamiento de los sistemas de información.
• Abstenerse de utilizar la aplicación para actividades fraudulentas o ilícitas.
• No intentar acceder a cuentas, datos o funcionalidades para los cuales no tenga autorización.
• No alterar, interferir ni afectar el funcionamiento de la aplicación.

Los canales anteriores serán utilizados para atender las solicitudes relacionadas con la aplicación y el ejercicio de los derechos de los titulares, según la naturaleza de cada requerimiento.

Alcance:

Esta política aplica a Acción Salud Para Todos S.A.S., a sus colaboradores, contratistas, proveedores y terceros que intervengan en el tratamiento de datos personales relacionados con la aplicación móvil Acción Salud, de acuerdo con las funciones asignadas y las obligaciones legales y contractuales correspondientes.

Comprende a los usuarios, pacientes, representantes legales y demás titulares cuyos datos sean recolectados, almacenados, utilizados, consultados, transmitidos, actualizados, circulados o suprimidos mediante la aplicación y los procesos asociados a la prestación de los servicios de salud.

Su cumplimiento es obligatorio para quienes participen en el tratamiento de esta información, independientemente del medio utilizado. Incluye datos de identificación, contacto, autenticación y seguridad, así como datos sensibles, particularmente los relacionados con la salud, cuando su tratamiento resulte procedente.
La política aplica a las funcionalidades que se encuentren efectivamente habilitadas en la aplicación, tales como registro, autenticación, solicitud y gestión de citas, consulta de información autorizada, actualización de datos y solicitudes de soporte tecnológico.

Este documento se complementa con las políticas y procedimientos institucionales de protección de datos personales, seguridad de la información, atención de peticiones, quejas, reclamos y sugerencias, y gestión de la historia clínica, cuando corresponda.

Base normativa:

La presente política se fundamenta, entre otras disposiciones aplicables, en:

• Constitución Política de Colombia, especialmente el artículo 15.
• Ley 1581 de 2012, sobre protección de datos personales.
• Decreto 1074 de 2015, en lo relacionado con la reglamentación del tratamiento de datos personales.
• Ley 23 de 1981, en lo pertinente al ejercicio de las profesiones de la salud y al secreto profesional.
• Resolución 1995 de 1999, sobre el manejo de la historia clínica.
• Resolución 839 de 2017, sobre retención, conservación y disposición final de historias clínicas.
• Las demás disposiciones que modifiquen complementen o sustituyan las normas anteriores y que resulten aplicables al tratamiento de datos personales y a la prestación de servicios de salud.

Definiciones

Para efectos de esta política, se adoptan las siguientes definiciones:

• Dato personal: información vinculada o que pueda asociarse a una persona natural determinada o determinable.
• Dato sensible: dato que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, incluyendo los datos relativos a la salud y los datos biométricos, en los términos de la ley.
• Titular: persona natural a quien corresponden los datos personales objeto de tratamiento.
• Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos o el tratamiento de los datos personales. Para esta aplicación, corresponde a Acción Salud Para Todos S.A.S., respecto de los tratamientos de los que sea responsable.
• Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable.
• Tratamiento: cualquier operación sobre datos personales, como recolección, almacenamiento, uso, circulación, consulta, transmisión, transferencia o supresión.
• Autorización: consentimiento previo, expreso e informado del titular para realizar el tratamiento, cuando sea exigible legalmente.

Principios para el tratamiento de datos personales

La Institución realizará el tratamiento de los datos personales de acuerdo con los principios establecidos en la Ley 1581 de 2012, en particular:

• Legalidad: El tratamiento estará sujeto a la Constitución, la ley y las disposiciones que lo reglamenten.
• Finalidad: Los datos se tratarán para finalidades legítimas, concretas y previamente informadas al titular.
• Libertad: El tratamiento requerirá la autorización del titular cuando esta sea exigible, salvo las excepciones previstas legalmente.
• Veracidad o calidad: Se procurará que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible.
• Transparencia: El titular podrá solicitar información sobre la existencia y el tratamiento de sus datos personales.
• Acceso y circulación restringida: El acceso a los datos se limitará a las personas autorizadas y a los supuestos legalmente permitidos.
• Seguridad: Se adoptarán medidas técnicas, humanas y administrativas razonables y apropiadas para proteger los datos contra pérdida, adulteración, consulta, uso o acceso no autorizado o fraudulento.
• Confidencialidad: Quienes intervengan en el tratamiento de datos personales sujetos a reserva deberán mantener la confidencialidad, incluso después de finalizar su relación con las actividades de tratamiento.

Categoría de datos personales tratados

Según las funcionalidades habilitadas y la información estrictamente necesaria para cada finalidad, la aplicación podrá tratar las siguientes categorías de datos:

8.1 Datos de identificación:

• Tipo y número de documento de identidad.
• Nombres y apellidos.
• Fecha de nacimiento.
• Otros datos de identificación que sean necesarios para verificar la identidad del usuario.

La fotografía registrada previamente en los sistemas institucionales solo será consultada o utilizada a través de la aplicación cuando exista una finalidad legítima, una necesidad comprobada y una base jurídica que habilite su tratamiento.

8.2 Datos de contacto:

• Correo electrónico
• Número de teléfono.
• Dirección, cuando sea necesaria.
• Ciudad y departamento.
• Otros datos de contacto suministrados voluntariamente por el titular.

8.3 Datos de autenticación y seguridad:

• Nombre de usuario o identificador de acceso.
• Credenciales de autenticación y datos técnicos asociados a la cuenta.
• Registros de acceso y eventos de seguridad que resulten necesarios para proteger la aplicación.

Las contraseñas deberán gestionarse mediante mecanismos de protección adecuados. No deberán almacenarse en texto plano ni quedar expuestas en registros, reportes o interfaces administrativas.

8.4 Datos relacionados con la prestación de servicios de salud:

Cuando las funcionalidades correspondientes se encuentren habilitadas y el tratamiento resulte procedente, podrán tratarse:

• Información sobre citas asignadas, solicitadas, modificadas o canceladas.
• Información sobre servicios de salud solicitados o programados.
• Órdenes médicas.
• Autorizaciones relacionadas con servicios de salud.
• Información sobre turnos.
• Datos de afiliación o de la entidad responsable del aseguramiento, cuando sean necesarios.
• Información asistencial que se encuentre legítimamente disponible para consulta por el titular.
• Otros datos relacionados con la atención en salud, en la medida estrictamente necesaria para la finalidad autorizada o legalmente permitida.

Los datos relativos a la salud tienen carácter sensible y requieren especial protección. El acceso a la información clínica se sujetará a la reserva legal, a las autorizaciones correspondientes y a los permisos de acceso establecidos.

Cuando la arquitectura de la aplicación los genere o recolecte, podrán tratarse datos técnicos necesarios para la autenticación, la operación, la seguridad y el diagnóstico de fallas, como registros de actividad, fecha y hora de acceso, información de errores y datos técnicos del dispositivo.
La recolección de identificadores del dispositivo, ubicación, datos de navegación, cookies u otros datos similares solo deberá realizarse cuando corresponda a funcionalidades efectivamente implementadas, con una finalidad definida y cumpliendo los requisitos legales aplicables. La Institución no deberá recolectar datos que no sean necesarios para las finalidades informadas.

Finalidades del tratamiento

Los datos personales recolectados a través de la aplicación podrán tratarse para las siguientes finalidades, de acuerdo con las funcionalidades habilitadas y la base jurídica aplicable:

• Verificar la identidad del usuario y gestionar su registro.
• Permitir la autenticación y el acceso seguro a la cuenta.
• Facilitar la solicitud, asignación, consulta, modificación o cancelación de citas.
• Informar al usuario sobre los datos de las citas que haya gestionado.
• Administrar turnos digitales, cuando esta funcionalidad esté disponible.
• Permitir la consulta de órdenes médicas y autorizaciones, cuando se encuentre habilitada y el acceso sea procedente.
• Actualizar los datos de contacto suministrados por el titular.
• Gestionar la recuperación de credenciales y las solicitudes de soporte técnico.
• Atender peticiones, consultas, reclamos y solicitudes relacionadas con la aplicación.
• Proteger la cuenta, prevenir la suplantación, detectar accesos no autorizados y gestionar incidentes de seguridad.
• Mantener la trazabilidad de las operaciones realizadas en la aplicación.
• Cumplir las obligaciones legales, regulatorias, administrativas y contractuales que resulten aplicables.
• Gestionar la continuidad operativa y corregir errores de funcionamiento.
• Realizar mejoras técnicas y funcionales mediante información pertinente para esa finalidad, aplicando medidas de minimización y, cuando corresponda, anonimización o disociación de los datos.
• Atender requerimientos de autoridades competentes cuando exista fundamento legal para ello.

Los datos no se utilizarán para finalidades incompatibles con las informadas al titular. Cualquier finalidad adicional que requiera autorización deberá ser comunicada previamente y contar con la base jurídica correspondiente.
Acción Salud no venderá los datos personales de los usuarios ni los utilizará para fines publicitarios no autorizados.

Tratamientos de datos sensibles y de Autorización

Los datos relativos a la salud constituyen datos sensibles, por lo que su tratamiento estará sujeto a las garantías previstas en la Ley 1581 de 2012 y sus normas reglamentarias.

Cuando se requiera autorización, esta deberá ser previa, expresa, informada y susceptible de consulta posterior. El titular deberá recibir información clara sobre el carácter sensible de los datos que serán tratados, las finalidades correspondientes y el carácter facultativo de responder preguntas relacionadas con datos sensibles, en los términos de la ley.
La autorización para el tratamiento de datos sensibles deberá diferenciarse de la aceptación de los Términos y Condiciones de Uso de la aplicación La aceptación de los términos no reemplaza automáticamente la autorización para el tratamiento de datos personales cuando esta sea legalmente exigible.

Acción Salud deberá disponer de mecanismos para conservar evidencia de las autorizaciones otorgadas, incluyendo, según corresponda, la fecha, el medio utilizado, la versión de la información suministrada y la manifestación de voluntad del titular.
La negativa a autorizar el tratamiento de datos sensibles no podrá utilizarse para condicionar actividades que legalmente no puedan condicionarse a dicha autorización. Cuando una funcionalidad digital requiera determinados datos para operar legítimamente, se informará al titular sobre esa necesidad y, cuando corresponda, sobre las alternativas disponibles, sin afectar indebidamente sus derechos.
El tratamiento de datos personales podrá realizarse sin autorización en los casos expresamente establecidos por la ley. En tales situaciones, Acción Salud deberá respetar los principios, deberes y garantías aplicables.

Derechos de los titulares

De acuerdo con la Ley 1581 de 2012, los titulares de los datos personales podrán ejercer, según corresponda, los siguientes derechos:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada, cuando esta sea requerida.
• Ser informados, previa solicitud, sobre el uso que se ha dado a sus datos personales.
• Presentar consultas y reclamos relacionados con el tratamiento de sus datos.
• Solicitar la revocatoria de la autorización o la supresión de los datos cuando resulte procedente conforme a la ley.
• Acceder gratuitamente a sus datos personales objeto de tratamiento, en los términos legalmente establecidos.
• Presentar quejas ante la Superintendencia de Industria y Comercio cuando consideren que se ha vulnerado el régimen de protección de datos personales, una vez agotado el trámite de consulta o reclamo ante el responsable o encargado, según corresponda.
• Abstenerse de responder preguntas sobre datos sensibles o sobre datos de niños, niñas y adolescentes cuando corresponda, sin perjuicio de las excepciones legalmente previstas.

La revocatoria de la autorización y la supresión de datos no procederán cuando exista un deber legal o contractual que impida la eliminación, cuando los datos deban conservarse por obligaciones propias de la prestación de servicios de salud o cuando se configure alguna de las excepciones legales aplicables.
El ejercicio de estos derechos se realizará sin perjuicio de las reglas especiales de acceso, reserva y custodia de la historia clínica.

procedimiento para consultas y reclamos

Los titulares o sus representantes debidamente acreditados podrán ejercer sus derechos mediante solicitud dirigida al correo electrónico sistemas@accionsalud.com.co , o a través de los demás canales institucionales habilitados para este propósito.
La solicitud deberá permitir identificar al titular, describir claramente la información requerida o el derecho que desea ejercer y aportar los documentos necesarios para verificar la identidad o representación, cuando corresponda. Si la solicitud se presenta por un representante, se verificará que se encuentre debidamente facultado para actuar.

El área responsable de protección de datos personales deberá registrar, tramitar y hacer seguimiento a las solicitudes, conservar la trazabilidad de las actuaciones y garantizar que las respuestas se emitan dentro de los términos legales.
Consultas: serán atendidas dentro de los diez (10) días hábiles siguientes a su recepción. Cuando no sea posible responder en ese término, se informarán los motivos de la demora y la fecha de respuesta, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del plazo inicial.
Reclamos: serán atendidos dentro de los quince (15) días hábiles siguientes al día de su recepción, conforme a la normativa aplicable. Si no es posible responder en ese término, se informarán los motivos de la demora y la fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del plazo inicial.
Cuando el reclamo esté incompleto, se requerirá al interesado para que lo subsane conforme a los términos legales. Acción Salud Para Todos S.A.S., conservará la trazabilidad de las solicitudes y respuestas.

Conservación y eliminación de información

Los datos personales se conservarán durante el tiempo necesario para cumplir las finalidades informadas y las obligaciones legales, contractuales, administrativas y sanitarias aplicables.

La historia clínica y los registros asistenciales estarán sujetos a las disposiciones especiales sobre reserva, custodia, retención, conservación y disposición final. En particular, se aplicará la normativa sanitaria vigente, incluida la Resolución 839 de 2017 o la norma que la modifique, complemente o sustituya. Como regla general, la historia clínica deberá conservarse por un período mínimo de quince (15) años contados desde la última atención, distribuido conforme a las reglas de archivo previstas en la regulación aplicable, sin perjuicio de los plazos especiales o excepciones que correspondan.
La eliminación, desactivación o cierre de una cuenta digital no implica la eliminación automática de la historia clínica ni de los documentos que deban conservarse legalmente.
Las solicitudes de supresión o revocatoria serán evaluadas conforme a la normativa aplicable. Cuando existan obligaciones legales o sanitarias de conservación, Acción Salud podrá mantener los datos necesarios durante el plazo correspondiente y deberá limitar su uso a las finalidades legalmente procedentes.
Una vez se cumpla el período de conservación y no exista una obligación legal, contractual o administrativa que justifique mantener la información, se aplicarán los procedimientos institucionales de eliminación segura, anonimización o disposición final, según corresponda.

Seguridad de la información y terceros

Acción Salud adoptará medidas técnicas, humanas y administrativas razonables y apropiadas para proteger los datos personales contra pérdida, adulteración, consulta, uso, acceso o divulgación no autorizados o fraudulentos.
Las medidas aplicables deberán corresponder a los riesgos del tratamiento, la naturaleza de los datos, la arquitectura de la aplicación y los controles efectivamente implementados. Según corresponda, podrán incluir:

• Control de acceso a la información según funciones y perfiles autorizados.
• Mecanismos de autenticación y protección de credenciales.
• Protección de contraseñas mediante mecanismos seguros, sin almacenamiento en texto plano.
• Comunicaciones seguras entre la aplicación, los servicios y los sistemas que intervengan en su operación.
• Restricción de acceso a datos sensibles y registros clínicos.
• Copias de seguridad y procedimientos de recuperación de la información.
• Registros de eventos de seguridad y trazabilidad de operaciones relevantes, evitando incluir datos sensibles innecesarios en dichos registros.
• Gestión de incidentes de seguridad y adopción de medidas correctivas.
• Revisión de permisos y accesos de usuarios autorizados.
• Acuerdos de confidencialidad y obligaciones de seguridad para el personal y los terceros que intervengan en el tratamiento.

La descripción de estas medidas no sustituye la verificación técnica de su implementación. El área de Tecnología de la Información deberá mantener la evidencia correspondiente de acuerdo con los procedimientos institucionales.
Cuando intervengan proveedores tecnológicos u otros terceros que traten datos personales por cuenta de Acción Salud, deberán actuar conforme a las instrucciones del responsable, las finalidades autorizadas y las obligaciones contractuales y legales de confidencialidad, seguridad y protección de datos. La relación con dichos terceros deberá documentarse según corresponda.
Si la operación de la aplicación implica transmisión o transferencia internacional de datos, Acción Salud deberá verificar previamente el cumplimiento de los requisitos legales aplicables, incluidas las condiciones relativas al país de destino, al destinatario y al tipo de operación.
Los datos personales no deberán incluirse en notificaciones, mensajes, registros técnicos o comunicaciones que puedan ser consultados por terceros, salvo que exista una necesidad legítima, una base jurídica válida y medidas adecuadas de protección. En particular, se evitará exponer información clínica sensible en notificaciones visibles en la pantalla bloqueada del dispositivo.
Ante un incidente que pueda comprometer datos personales, se activarán los procedimientos institucionales de gestión de incidentes, evaluación del riesgo, contención, documentación y notificación a las autoridades o titulares cuando resulte legalmente exigible.

Tratamiento de datos de niños, niñas y adolescentes

El tratamiento de datos personales de niños, niñas y adolescentes respetará su interés superior, sus derechos fundamentales y las disposiciones legales aplicables.
Cuando corresponda, se obtendrá la autorización de su representante legal debidamente facultado, teniendo en cuenta el derecho del menor a ser escuchado y las consideraciones sobre su madurez y autonomía progresiva. El tratamiento deberá responder a una finalidad legítima y respetar las garantías reforzadas de protección de esta población.
La administración de la cuenta y el acceso a información de salud estarán sujetos a las verificaciones necesarias y a las reglas de confidencialidad, reserva de la historia clínica, representación legal y acceso a información asistencial aplicables en cada caso.
La existencia de una relación de parentesco o la administración de una cuenta no otorgará, por sí sola, acceso irrestricto a toda la información clínica del menor. La habilitación de accesos deberá evaluarse conforme a la normativa vigente y a las circunstancias particulares que resulten aplicables.
Cuando la aplicación permita el registro o la consulta de información de menores, deberán definirse e implementarse mecanismos adecuados para verificar la identidad del representante y la legitimación para acceder a la información, de acuerdo con la funcionalidad y los riesgos asociados.

Modificaciones, publicación y vigencia

Acción Salud Para Todos S.A.S., podrá actualizar esta política cuando existan cambios normativos, tecnológicos u operativos que lo justifiquen. Las modificaciones se publicarán mediante la aplicación o los canales institucionales correspondientes.
Cuando se incorporen nuevas finalidades que requieran autorización, esta deberá obtenerse antes de iniciar el tratamiento respectivo.
La presente política entrará en vigor a partir de su aprobación institucional y publicación, y permanecerá vigente mientras subsistan las finalidades del tratamiento o las obligaciones legales de conservación de la información.