- Política de Protección de Datos Personales
Este documento establece los lineamientos obligatorios para el tratamiento de datos sensibles de pacientes pediátricos y sus representantes legales en CRECERMED CÍA. LTDA.
Objetivo
Establecer los lineamientos internos para el tratamiento adecuado, seguro y confidencial de los datos personales que maneja CRECERMED CÍA. LTDA., en cumplimiento de la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP), considerando la naturaleza pediátrica de los servicios de salud y la capacidad operativa de la empresa.
Alcance
Esta política es de cumplimiento obligatorio para:
- Personal de la organización.
- Médicos y profesionales de la salud que prestan servicios.
- Personal administrativo y contable.
- Proveedores de tecnología y soporte IT.
- Proveedores de servicios médicos.
- Cualquier persona que tenga acceso, directo o indirecto, a datos personales tratados por CRECERMED.
Responsable del tratamiento y responsable interno
CRECERMED CÍA. LTDA. ha desigando el Responsable del Tratamiento de los datos personales, el mismo que tiene a su cargo :
- Supervisar el cumplimiento de esta política.
- Atender solicitudes de los titulares.
- Coordinar acciones ante incidentes de seguridad.
- Servir de punto de contacto con la Autoridad de Protección de Datos.
El Delegado de Protección de Datos tiene a su cargo:
- Asesorar y supervisar el cumplimiento normativo.
- Actuar como punto de contacto entre la organización y los titulares de datos.
Tipos de datos personales tratados
a) Datos de pacientes (niños, niñas y adolescentes)
- Datos de identificación.
- Datos de representantes legales.
- Datos de salud (historias clínicas, antecedentes, vacunas, exámenes, imágenes, audios yevolución médica u otros
b) Datos de personal y médicos.
- Datos de identificación.
- Información laboral, profesional y contractua.
- Datos bancarios para pagos.
- Datos de salud ocupacional, cuando aplique
c) Datos de proveedores
- Información de contacto.
- Información contractual, comercial y de pago.
Principios aplicables
El tratamiento de datos personales en CRECERMED se rige por los principios de:
- Licitud.
- Finalidad.
- Proporcionalidad y minimización.
- Confidencialidad.
- Seguridad.
- Responsabilidad proactiva.
Finalidad del tratamiento
Los datos personales se tratan exclusivamente para:
- Prestación de servicios médicos pediátricos.
- Gestión y custodia de historias clínicas.
- Aplicación y control de vacunas.
- Realización de exámenes diagnósticos.
- Seguimiento clínico de pacientes.
- Facturación y gestión administrativa.
- Cumplimiento de obligaciones legales y sanitarias.
- Elaboración de estadísticas internas anonimizadas
Queda prohibido el uso de datos personales para fines publicitarios, comerciales o ajenos a la actividad médica.
Confidencialidad
Toda persona que tenga acceso a datos personales está obligada a:
- Mantener confidencialidad permanente.
- No divulgar información sin autorización.
- No utilizar los datos para fines personales o no autorizados.
Esta obligación subsiste incluso después de finalizar la relación laboral o contractual.
Acceso a la información y control de usuarios
- El acceso a los sistemas se otorga según funciones y roles.
- Se procurará el uso de credenciales individuales.
Uso excepcional de usuarios compartidos
En los sistemas donde, por limitaciones operativas u otras no sea posible asignar credenciales individuales CRECERMED aplicará controles compensatorios, tales como:
- Asignación de responsabilidades por turno o función.
- Registro interno del uso del usuario compartido.
- Restricción del acceso únicamente a personal autorizado.
- Supervisión periódica del uso
Cada persona que utilice un usuario compartido será responsable por las acciones realizadas durante su uso.
Uso de dispositivos personales (BYOD)
Se permite el uso de dispositivos personales (celulares y laptops) para acceder a información de CRECERMED solo si:
- El dispositivo cuenta con clave de acceso.
- No es compartido con terceros.
- Se bloquea cuando no está en uso.
- Se cierra sesión al finalizar la actividad
Está prohibido almacenar historias clínicas o información médica sensible en dispositivos personales sin autorización expresa.
Uso de WhatsApp y medios electrónicos
CRECERMED utiliza WhatsApp Business y otros medios electrónicos como canales de comunicación con pacientes y representantes.
Excepción por solicitud del titular
CRECERMED podrá enviar historias clínicas, certificados o documentos médicos por WhatsApp u otros medios electrónicos cuando el titular o su representante legal lo solicite expresamente, previa advertencia de los riesgos asociados a dicho canal.
En estos casos:
- Se dejará constancia de la solicitud y confirmación del titular.
- Se enviará únicamente la información solicitada.
- Se adoptarán medidas razonables para evitar errores de envío
Proveedores y terceros
CRECERMED solo compartirá datos personales con terceros cuando sea necesario para la prestación del servicio o por obligación legal, incluyendo:
- Médicos y profesionales de la salud.
- Laboratorios y centros de diagnóstico.
- Proveedores tecnológicos.
- Autoridades de salud competentes.
Todo tercero deberá mantener confidencialidad y usar los datos únicamente para la finalidad autorizada.
Conservación de la información
Los datos personales se conservarán únicamente durante el tiempo necesario para cumplir su finalidad y las obligaciones legales aplicables al sector salud.
Derechos de los titulares
CRECERMED garantiza el ejercicio de los derechos de los titulares o sus representantes legales, incluyendo:
- Acceso.
- Rectificación y actualización.
- Eliminación o supresión, cuando corresponda.
- Oposición.
- Portabilidad
Las solicitudes se atenderán conforme al procedimiento interno definido.
Gestión de incidentes de seguridad
Ante una posible pérdida, acceso no autorizado o uso indebido de datos personales, el personal deberá:
- Informar de inmediato al Responsable Interno de Protección de Datos.
- Evitar la difusión del incidente.
- Colaborar en la contención y análisis del evento
CRECERMED evaluará la necesidad de notificar a la Autoridad de Protección de Datos y a los titulares afectados, conforme a la ley.
Capacitación y concientización
CRECERMED promoverá acciones básicas de capacitación interna para el personal con acceso a datos personales, priorizando la protección de datos de salud y de menores de edad.
Incumplimiento
El incumplimiento de esta política podrá dar lugar a medidas disciplinarias, responsabilidades contractuales y otras acciones conforme a la normativa vigente.
Vigencia y actualizaciones
La presente política entra en vigencia a partir de su aprobación y será revisada periódicamente o cuando existan cambios relevantes en la normativa o en los procesos internos.
