Política de Privacidad

1. Introducción y Responsable del Tratamiento

En SolMed, nos comprometemos a proteger la privacidad y seguridad de la información personal de nuestros usuarios. Esta Política de Privacidad describe cómo recopilamos, usamos, compartimos y protegemos su información cuando utiliza nuestros servicios de software médico, conforme a la Ley No. 172-13 sobre Protección de Datos de Carácter Personal de la República Dominicana y demás normativa aplicable.

Responsable del tratamiento: SAHAS, sociedad dominicana operadora de la plataforma SolMed, con domicilio en Santo Domingo, República Dominicana. Para los datos clínicos de pacientes registrados por los centros de salud usuarios de la plataforma, SolMed actúa como encargado del tratamiento: el responsable es el centro de salud que capturó los datos.

2. Información que Recopilamos

2.1 Información Personal

Recopilamos la siguiente información personal cuando usted:

• Se registra en nuestra plataforma: Nombre completo, correo electrónico, número de teléfono, especialidad médica, información profesional
• Utiliza nuestros servicios: Información de pacientes (según lo permitido por las leyes de salud aplicables), registros médicos, citas, historiales clínicos
• Se comunica con nosotros: Contenido de mensajes, correos electrónicos, y otros tipos de comunicación
• Migra información de un sistema anterior (opcional): el centro puede entregarnos un archivo con datos de sus pacientes, su personal, sus proveedores, su catálogo o su contabilidad, para cargarlo en su propia cuenta. Ese archivo se trata solo para la carga, se conserva mientras dura su validación y se destruye dentro de los treinta (30) días siguientes a que el centro la dé por buena. Si el centro no contrata la migración, no nos entrega ningún archivo
• Activa el control de asistencia por reconocimiento facial: la plantilla biométrica del rostro del personal del centro, que es un dato sensible del artículo 6.31 de la Ley 172-13. Se usa solo para identificar a la persona al marcar entrada y salida, nunca para vigilancia, y el sistema recoge el consentimiento expreso de cada empleado antes de registrar el rostro

2.2 Información Técnica

Recopilamos automáticamente cierta información técnica cuando utiliza nuestros servicios:

• Dirección IP
• Tipo de navegador y sistema operativo
• Páginas visitadas y acciones realizadas
• Fecha y hora de acceso
• Cookies y tecnologías similares

3. Cómo Utilizamos su Información

Utilizamos la información recopilada para:

• Proveer y mejorar nuestros servicios: Gestionar su cuenta, procesar transacciones, ofrecer soporte técnico
• Comunicarnos con usted: Enviar actualizaciones, notificaciones de seguridad, y responder a sus consultas
• Personalizar su experiencia: Adaptar nuestros servicios a sus necesidades específicas
• Cumplir con obligaciones legales: Cumplir con las leyes y regulaciones aplicables en República Dominicana, incluida la Ley 172-13 de protección de datos personales y la normativa sanitaria vigente
• Prevenir fraudes y garantizar seguridad: Detectar y prevenir actividades fraudulentas o ilegales

4. Protección de Datos Médicos (Ley 172-13)

Los datos de salud son datos sensibles conforme al artículo 6.31 de la Ley 172-13. El centro de salud que los registra es su responsable del tratamiento (artículo 6.18) y SolMed actúa como encargado (artículo 6.12): los trata únicamente para prestar el servicio, por cuenta del centro y bajo el deber de secreto de los artículos 5.6 y 78. Así los protegemos hoy:

• Toda la comunicación entre su equipo y la plataforma viaja cifrada (HTTPS con TLS y HSTS); el portal no atiende tráfico sin cifrar
• Controles de acceso por usuario y por rol, con permisos finos por puesto: cada quien ve únicamente lo que le corresponde
• Aislamiento lógico entre centros: cada registro lleva el identificador del centro y toda consulta filtra por él
• Bitácora de acceso al expediente: cada consulta e impresión hecha desde el portal web queda registrada con usuario, paciente, pantalla, dirección IP, navegador y fecha, y el administrador del centro la consulta en Organización → Auditoría de Expedientes; los cambios se registran además campo por campo en Auditoría de Cambios
• Bloqueo automático de la cuenta durante quince (15) minutos tras cinco (5) intentos fallidos de acceso
• Respaldo automático de la base de datos al menos una vez al día y antes de cada actualización del sistema
• SolMed no vende, no cede y no utiliza los datos de pacientes para fines propios, publicitarios ni de entrenamiento de modelos de inteligencia artificial

Corresponde al centro obtener el consentimiento de sus pacientes cuando la ley lo exija (artículo 76) e informarles de la finalidad, los destinatarios y la ubicación de los datos (artículo 5.3). Los compromisos completos de SolMed como encargado están en la sección 7 de los Términos y Condiciones.

5. Compartir Información

No vendemos su información personal ni la de los pacientes. Compartimos información únicamente con los proveedores que necesitamos para operar el servicio (cada uno recibe solo lo indicado) y cuando la ley lo exige:

• Alojamiento: Interserver, Inc. (Estados Unidos de América). En su servidor residen la aplicación, la base de datos, los archivos adjuntos y los respaldos
• Fotografías: Cloudinary (Estados Unidos de América): foto del paciente subida desde la aplicación móvil y fotografías clínicas de cirugía plástica; fotos de empleados y logotipos del centro
• Mensajería: Twilio (Estados Unidos de América) para SMS y plantillas de WhatsApp, y WasenderAPI (Estados Unidos de América) para mensajes de WhatsApp: reciben nombre del paciente, teléfono, fecha y hora de la cita, médico y centro, y los enlaces de gestión de la cita o de pago. Los resultados de laboratorio y los consentimientos no viajan por estos canales: se comparten por un enlace con token de un solo uso
• Correo electrónico: Microsoft 365 (Microsoft Corporation, Estados Unidos de América) como servidor de salida del correo transaccional (citas, resultados, facturas)
• Dirección General de Impuestos Internos (DGII) y proveedores de e-CF: los comprobantes fiscales electrónicos (e-CF) emitidos a través de la plataforma se remiten a la DGII, directamente o a través del proveedor de e-CF que el centro contrate (MedaSoft, Voxel, Alanube o MSeller), conforme a la Ley No. 32-23 de Facturación Electrónica; contienen los datos fiscales exigidos por la norma (RNC o cédula, nombre, montos y descripción de las líneas)
• Pasarelas de pago: PayPal, Azul, CardNET o Fygaro, según la pasarela que el centro active: reciben el monto y la referencia de la factura, sin datos clínicos
• Autocompletado por número de identificación: el número de cédula o RNC que el centro escribe se consulta para autocompletar el nombre, contra el padrón del Ministerio de Relaciones Exteriores (MIREX) y contra el Registro Nacional de Contribuyentes, que es de acceso público y al que se llega mediante api.socio.do (empresa privada dominicana), alternativa al archivo de la DGII. SolMed no aloja copia de ningún padrón y cada consulta queda registrada con usuario y fecha
• Videoconsulta y dictado: si el centro usa la telemedicina sin un servidor de video propio, la videollamada se realiza sobre el servicio público Jitsi Meet (8x8, Inc., Estados Unidos de América); el dictado por voz usa el reconocimiento de voz del navegador, que en Chrome procesa el audio en servidores de Google
• Herramientas de desarrollo asistidas por inteligencia artificial: Anthropic, PBC (Claude Code) y OpenAI, L.L.C. (Codex), ambos en Estados Unidos de América. SolMed las utiliza sobre su entorno de desarrollo, que trabaja con copias no anonimizadas de la base de datos (sección 7.3 de los Términos): los datos que el desarrollador someta a la herramienta se transmiten a su proveedor y son tratados por él en sus servidores. No se utilizan para entrenar modelos, y su uso está sujeto a la misma regla que el personal: se trabaja sobre el centro propio de SolMed o sobre el paciente de prueba que se crea con cada cuenta, no sobre los expedientes de los clientes
• Analítica de visitas del sitio público: Google Analytics (Google LLC, Estados Unidos de América) y el píxel de Meta (Meta Platforms, Inc., Estados Unidos de América), únicamente en la portada del sitio público y en el registro de centros. Reciben datos de navegación de quien visita esas páginas —páginas vistas, navegador, dispositivo, dirección IP y la campaña de procedencia—; el píxel de Meta sirve además para saber si quien llega desde un anuncio de SolMed en Facebook o Instagram termina registrando su centro. Ninguno recibe lo que se escribe en los formularios. No están presentes en ninguna página de pacientes (perfil del centro, agendado de citas, pre-registro, directorio médico, facturas y resultados) ni dentro del portal
• Cumplimiento legal: cuando sea requerido por ley, orden judicial o proceso legal, y para proteger nuestros derechos, propiedad o seguridad y los de nuestros usuarios

Avisamos a los centros con al menos treinta (30) días de antelación antes de incorporar un nuevo proveedor que trate datos de pacientes.

6. Seguridad de la Información

Estas son las medidas técnicas y organizativas que aplicamos hoy, tal como están implementadas:

• Cifrado TLS con HSTS para todas las transmisiones; cookies de sesión con los atributos Secure, HttpOnly y SameSite; cabeceras de seguridad HTTP (CSP, X-Frame-Options, X-Content-Type-Options)
• Controles de acceso basados en roles y permisos por puesto; usuarios individuales, nunca compartidos
• Contraseñas almacenadas únicamente como hash con sal (PBKDF2-HMAC-SHA512); longitud mínima de 8 caracteres con mayúscula y dígito
• Aislamiento lógico de los datos entre centros
• Registro de acceso e impresión de expedientes con usuario, paciente, fecha y dirección IP, y auditoría de cambios campo por campo
• Bloqueo automático de la cuenta durante quince (15) minutos tras cinco (5) intentos fallidos
• Respaldo automático de la base de datos al menos una vez al día y antes de cada actualización del sistema, con retención mínima de cinco (5) días
• Registro de cada consulta de cédula con usuario, fecha y fuente, con cuota diaria por centro

Lo que todavía no hacemos, dicho de frente: la base de datos no está cifrada en reposo; no ofrecemos autenticación de dos factores; los respaldos no se cifran ni se copian todavía a un servidor distinto del principal; la bitácora de acceso al expediente no cubre todavía las consultas hechas desde las aplicaciones móviles; no hay cierre de sesión por inactividad —la cookie de acceso al portal dura treinta (30) días con renovación deslizante—; el restablecimiento de contraseñas hecho por un administrador o por SolMed no queda en bitácora; el acceso administrativo directo al servidor y a la base de datos tampoco queda registrado en la bitácora de la aplicación (se limita a personas designadas y sujetas al deber de secreto); y la anonimización de las copias de datos que usamos en desarrollo y pruebas está en implementación; mientras tanto, el acceso se limita a personas designadas y al mínimo necesario para el defecto que se investiga. La extracción completa de los datos de un centro se hace de forma manual, a solicitud; la supresión se registra en el sistema (Organización → Eliminación de datos) o por escrito, la ejecuta una persona designada de SolMed —no un automatismo— y deja constancia numerada verificable. No ostentamos certificación HIPAA, ISO/IEC 27001 ni SOC 2. Todo esto está en desarrollo. Preferimos decírselo a que lo descubra el día que importe.

7. Retención de Datos

Retenemos su información personal durante el tiempo necesario para cumplir con los propósitos descritos en esta política, a menos que la ley requiera o permita un período de retención más largo.

Expediente clínico. El plazo mínimo de conservación lo fija la normativa del Ministerio de Salud Pública: cinco (5) años contados desde el último acto médico (Normas nacionales del expediente clínico, artículo 4.3), y el Reglamento Técnico para la Gestión del Expediente Clínico (Resolución 0013-2023) distingue el archivo activo del archivo pasivo. SolMed va por encima de ese mínimo: el expediente permanece cinco (5) años en archivo activo desde la última atención y, si no vuelve a consultarse, pasa a archivo inactivo por cinco (5) años más; solo cumplidos los diez (10) años se elimina. La obligación de conservar es del centro de salud y SolMed le da los medios para cumplirla, incluido el bloqueo del expediente en lugar de su borrado cuando un paciente pide la supresión y la ley obliga a conservarlo (artículo 15 de la Ley 172-13).

Cuentas de centros y usuarios. Una cuenta sin actividad pasa a inactiva a los cinco (5) años y se elimina a los diez (10).

🔴 Esto no es lo mismo que la falta de pago. El impago suspende el acceso, nunca borra datos: vencida la membresía, el centro conserva el acceso durante su período de gracia —cinco (5) días en los planes mensuales, quince (15) en el anual— más dos (2) días adicionales, y pasado ese plazo deja de poder entrar. Si la mora llega a noventa (90) días, los usuarios del centro se desactivan. En ningún momento se elimina información: al registrarse el pago se devuelve el acceso y los datos están íntegros. Las condiciones comerciales del impago están en los Términos y Condiciones.

Comprobantes fiscales. Los e-CF emitidos y recibidos, con sus documentos asociados, se conservan por diez (10) años conforme al literal h) del Artículo 50 del Código Tributario y la Norma General 01-2020 de la DGII. Este plazo es fiscal y se cumple aunque el expediente clínico ya se haya depurado.

Borrado a solicitud. Ante una solicitud formal del centro o del titular de los datos —registrada en el sistema por el centro, o por escrito—, eliminamos lo que se nos indique en un plazo máximo de noventa (90) días, con constancia numerada y verificable de la eliminación — salvo aquello que una obligación legal nos obligue a conservar, que se bloquea en lugar de borrarse y se le informa cuál es y por qué. Si un centro cancela su cuenta, los datos quedan bloqueados noventa (90) días para permitirle recuperarlos antes de aplicar lo anterior.

Los respaldos automáticos rotan en un plazo máximo de siete (7) días, de modo que un dato eliminado desaparece también de los respaldos dentro de ese plazo. Las bitácoras de acceso al expediente no se purgan: son la prueba de quién vio qué.

8. Sus Derechos (Ley 172-13)

Conforme a la Ley 172-13, usted tiene derecho a:

• Acceder: Solicitar una copia de su información personal
• Rectificar: Corregir información inexacta o incompleta
• Eliminar: Solicitar la eliminación de su información (sujeto a obligaciones legales)
• Restringir: Limitar el procesamiento de su información
• Portabilidad: Recibir su información en formato estructurado y legible
• Oponerse: Oponerse al procesamiento de su información para ciertos fines
• Revocar consentimiento: Retirar su consentimiento en cualquier momento

Si usted es paciente de un centro que usa SolMed, estos derechos se ejercen ante ese centro, que es el responsable de su expediente y debe responder en diez (10) días hábiles (artículo 8); si se dirige a nosotros, lo remitiremos al centro y le avisaremos. Para los datos de su cuenta en la plataforma, contáctenos en contacto@solmedapp.com

9. Cookies y Tecnologías de Seguimiento

Utilizamos cookies y tecnologías similares para:

• Mantener su sesión activa
• Recordar sus preferencias
• Analizar el uso de nuestros servicios
• Mejorar la funcionalidad y rendimiento

Las cookies de analítica son las de Google Analytics (_ga) y la del píxel de Meta (_fbp), y solo se usan en la portada del sitio público y en el registro de centros (sección 5); las páginas de pacientes y el portal no las usan.

Puede configurar su navegador para rechazar cookies, pero esto puede limitar algunas funcionalidades de nuestros servicios.

10. Transferencias Internacionales

El servidor de SolMed está en los Estados Unidos de América y varios de los proveedores de la sección 5 también, por lo que el tratamiento constituye una transferencia internacional de datos (artículo 6.20 de la Ley 172-13). Los datos se tratan fuera del país con las mismas medidas y obligaciones descritas en esta política y en los Términos y Condiciones. La Ley 172-13 permite la transferencia, entre otros supuestos, cuando el titular la autoriza libre y conscientemente (artículo 80.1) o cuando el intercambio de datos médicos lo exige la atención del paciente (artículo 80.2); corresponde al centro de salud informarlo a sus pacientes y recabar su autorización cuando corresponda. SolMed no cuenta con cláusulas contractuales estándar ni certificaciones de privacidad de terceros: la Ley 172-13 no contempla esas figuras y no las afirmamos.

11. Menores de Edad

Nuestros servicios no están dirigidos a menores de 18 años. No recopilamos intencionalmente información personal de menores sin el consentimiento de sus padres o tutores legales.

12. Cambios a esta Política

Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas o por razones legales. Le notificaremos sobre cambios significativos mediante correo electrónico o un aviso destacado en nuestra plataforma.

13. Contacto

Si tiene preguntas, inquietudes o solicitudes relacionadas con esta Política de Privacidad, contáctenos:

• Email: contacto@solmedapp.com
• Teléfono: +1 (829) 349-5083
• Dirección: Santo Domingo, República Dominicana