Última actualización: 12 de octubre de 2026
Este acuerdo hace parte de los términos y condiciones y regula cómo GCSoftwareColombia trata los datos personales que cada clínica registra o recibe en el software. Para estos efectos, la clínica es la responsable del tratamiento y GCSoftwareColombia es el encargado, según la Ley 1581 de 2012 y el Decreto 1074 de 2015.
1. Partes
- Responsable: el cliente (odontólogo, consultorio o clínica), con los datos que registró al contratar.
- Encargado: Cristian Camilo Gutiérrez Solano, NIT 1074415102-5, establecimiento de comercio GCSCOLOMBIA (marca GCSoftwareColombia), info@gcsoftwarecolombia.com.
2. Qué datos y de quiénes
Los define la clínica. Normalmente incluyen datos de pacientes (identificación, contacto, citas, historia clínica, imágenes diagnósticas, tratamientos, consentimientos, pagos y conversaciones de WhatsApp), de sus acudientes y de los usuarios de la clínica. Incluyen datos sensibles de salud.
3. Para qué los tratamos
- Prestar el servicio contratado: guardar, mostrar, procesar y enviar la información que la clínica maneja en el software.
- Enviar y recibir los mensajes de WhatsApp y correo que la clínica activa (respuestas, citas, recordatorios).
- Dar soporte técnico y hacer copias de seguridad.
- Cumplir obligaciones legales.
GCSoftwareColombia no usa los datos de la clínica para fines propios: no los vende, no los usa para publicidad, no los comparte con otras clínicas y no los usa para entrenar modelos de inteligencia artificial de terceros.
4. Nuestras obligaciones como encargado
- Tratar los datos solo según las instrucciones de la clínica y este acuerdo.
- Aplicar las medidas de seguridad del anexo y mejorarlas cuando la técnica o la ley lo exijan.
- Dar acceso solo al personal que lo necesite para prestar el servicio o dar soporte, con compromiso de confidencialidad.
- Entrar a la cuenta de la clínica solo para dar soporte o atender una falla, y dejar registro.
- Ayudar a la clínica a responder las solicitudes de sus pacientes (consulta, corrección, eliminación) dentro de los plazos de ley.
- Avisar a la clínica si recibimos una solicitud de un paciente o de una autoridad sobre sus datos, salvo que la ley lo prohíba.
5. Obligaciones de la clínica
- Obtener y conservar la autorización de sus pacientes para el tratamiento de sus datos y para contactarlos por WhatsApp o correo.
- Registrar información veraz y mantenerla actualizada.
- Dar a cada usuario su propio acceso con los permisos que necesita, y retirar el acceso a quien deje la clínica.
- Atender las solicitudes de sus pacientes como responsable.
6. Subencargados
La clínica autoriza que usemos los siguientes proveedores, bajo contrato y solo para prestar el servicio. Si agregamos o cambiamos alguno, lo publicaremos en esta página.
| Proveedor | Para qué | Ubicación |
|---|---|---|
| Hostinger | Servidores donde funciona el software, su base de datos y los archivos de los pacientes, con sus copias de seguridad | Estados Unidos (Boston, Massachusetts) |
| Contabo | Servidor administrado por nosotros donde funciona el asistente de inteligencia artificial | Unión Europea |
| LightNode | Servidor administrado por nosotros para validar los RIPS con el servicio del Ministerio de Salud (SISPRO) | Colombia (Bogotá) |
| Meta Platforms (WhatsApp Business) | Enviar y recibir mensajes de WhatsApp, solo si la clínica activa el asistente | Estados Unidos y otros |
| Google (Gmail) | Envío de correos (recordatorios, confirmaciones y recibos) | Estados Unidos y otros |
Cuando un proveedor está fuera de Colombia, exigimos que ofrezca un nivel adecuado de protección de datos.
7. Incidentes de seguridad
Si detectamos un incidente que afecte los datos de la clínica, se lo avisaremos sin demora y a más tardar dentro de las 72 horas siguientes, con lo que sepamos hasta ese momento: qué pasó, qué datos se afectaron, qué medidas tomamos y a quién contactar. Apoyaremos a la clínica en el reporte a la Superintendencia de Industria y Comercio y en el aviso a los pacientes cuando corresponda. Llevamos un registro de cada incidente: fecha, descripción, impacto, medidas y cierre.
8. Al terminar el servicio
- La clínica puede pedir una copia de su información dentro de los 30 días siguientes.
- Luego eliminamos la información, incluidas las copias de seguridad, en máximo 90 días, y lo confirmamos por escrito si la clínica lo pide.
- Solo conservamos lo que la ley nos obligue, con acceso restringido.
9. Verificación
La clínica puede pedirnos información sobre cómo tratamos sus datos y las medidas de seguridad, y la entregaremos en un plazo razonable.
Anexo: medidas de seguridad
Acceso y usuarios
- Usuario personal para cada persona; no se permiten usuarios compartidos.
- Roles y permisos por módulo, definidos por la clínica.
- Contraseñas guardadas protegidas, nunca en texto plano.
- Límite de intentos fallidos de inicio de sesión y verificación contra robots.
- Renovación de la sesión al iniciar y bloqueo del acceso cuando la suscripción no está vigente.
Registro y auditoría
- Registro de inicios de sesión: fecha, IP y navegador.
- Registro de cambios y de consultas a información sensible (quién, cuándo y qué), incluida la visualización y descarga de archivos clínicos.
- Las evoluciones y documentos anulados quedan registrados con su motivo, en lugar de borrarse.
Protección de la información
- Conexiones cifradas con HTTPS.
- Base de datos separada para cada clínica.
- Mensajes de WhatsApp guardados cifrados.
- Fotos, radiografías y documentos de pacientes en almacenamiento privado, que solo se ven con sesión y permiso, sin enlaces públicos.
Copias de seguridad y recuperación
- Copias automáticas de la base de datos y de los archivos diarias, guardadas durante 30 días en el servicio de respaldos del proveedor de alojamiento, en Estados Unidos.
- Pruebas periódicas de restauración.
- Plan de recuperación para restablecer el servicio ante una falla grave.
- La clínica puede descargar reportes desde el software para trabajar si pierde su conexión.
Personal y soporte
- Acceso del personal de GCSoftwareColombia solo cuando hace falta para soporte, y con registro.
- Compromiso de confidencialidad de quienes trabajan con nosotros.
- Actualizaciones de seguridad del software y del servidor.