Política de Tratamiento de Datos Personales

1. Quién es responsable de qué

RIME es una herramienta que cada negocio de salud o bienestar usa para operar su propia agenda, ficha clínica y cobros. Eso define dos roles distintos frente a la ley:

• Tu negocio es el Responsable del Tratamiento de los datos de sus propios pacientes o clientes: decide qué información pedirle a cada uno, para qué la usa, y es quien debe contar con la autorización de cada paciente antes de cargarla en RIME.
• RIME es el Encargado del Tratamiento de esos datos: los procesamos únicamente para prestarte el servicio (agenda, recordatorios, cobros, reportes) y por instrucción tuya — nunca los usamos con fines propios, ni los vendemos, ni se los mostramos a otro negocio de la plataforma.
• RIME es el Responsable del Tratamiento de los datos de la cuenta de tu negocio: el nombre, email y teléfono con los que te registraste tú y tu equipo, y los datos de facturación de tu suscripción.

2. Qué datos tratamos

• Datos de la cuenta: nombre, email y teléfono de quienes tienen acceso al panel (dueño, administradores, staff, profesionales).
• Datos de facturación: los necesarios para cobrar tu suscripción a través de Wompi — RIME nunca almacena el número completo de una tarjeta.
• Datos de tus pacientes o clientes: nombre, email y teléfono para poder agendarlos y avisarles por WhatsApp, más la ficha que vos configures — que en el caso de las especialidades de salud (psicología, nutrición, fisioterapia) puede incluir datos sensibles de salud (motivo de consulta, diagnóstico, evolución clínica, escalas de evaluación).

3. Para qué los usamos

Los datos que cargas en RIME se usan exclusivamente para:

• Operar la agenda de reservas (pública e interna) de tu negocio.
• Enviar recordatorios de cita y avisos operativos por WhatsApp o email.
• Procesar cobros y confirmarlos con tu pasarela de pago (Wompi).
• Generar los reportes y comisiones que ves en tu propio panel.
• Cumplir obligaciones legales o responder a una autoridad competente si corresponde.

Nunca usamos los datos de tus pacientes para publicidad propia de RIME, ni los compartimos con otro negocio de la plataforma, ni los vendemos a terceros.

4. Datos de salud: autorización y tratamiento especial

La Ley 1581 de 2012 clasifica los datos de salud como datos sensibles: solo se pueden tratar con la autorización previa, expresa e informada del paciente. Esa autorización es responsabilidad de tu negocio (el Responsable), no de RIME — nosotros no tenemos contacto directo con tus pacientes más allá de la agenda pública de reservas y los recordatorios que configuras.

Del lado técnico, la ficha clínica de un cliente se guarda cifrada en nuestra base de datos (AES-256-GCM) desde el momento en que se crea o edita — ni siquiera un acceso directo a la base permite leerla sin la clave de cifrado de la plataforma.

5. Tus derechos (y los de tus pacientes)

Como titular de datos personales, cualquier persona tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada para el tratamiento de sus datos, salvo que la ley no lo exija.
• Ser informado sobre el uso que se le ha dado a sus datos personales.
• Revocar la autorización y/o solicitar la supresión de sus datos, cuando no exista un deber legal o contractual que impida eliminarlos.
• Acceder de forma gratuita a sus datos personales tratados.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley de protección de datos.

6. Cómo ejercer estos derechos

Si eres paciente o cliente de un negocio que usa RIME, dirige tu solicitud primero al negocio donde te atiendes — es quien decide qué datos tuyos existen y con qué fin. Si el negocio no puede resolverlo porque depende de una funcionalidad de la plataforma, escríbenos a nosotros y coordinamos con ellos.

Si eres dueño o parte del equipo de un negocio, puedes ejercer estos derechos sobre los datos de tu propia cuenta directamente desde tu panel (Mi cuenta) o escribiéndonos a soporte@plataforma-agenda.blog.

Respondemos las consultas dentro de los 10 días hábiles siguientes a su recepción, y los reclamos dentro de los 15 días hábiles — con la posibilidad de una prórroga de hasta 8 días hábiles más si no alcanzamos a resolverlo en ese plazo, avisándote antes de que venza.

7. Cómo protegemos los datos

• Ficha clínica cifrada en reposo (AES-256-GCM), específica por campo.
• Contraseñas siempre cifradas (nunca en texto plano), con verificación en dos pasos opcional.
• Cada negocio es un espacio aislado dentro de la plataforma — los datos de un negocio nunca son visibles para otro.
• Permisos de acceso por sede y por rol: un miembro del equipo solo ve lo que su rol y su sede le permiten, no todo el negocio por defecto.
• Copias de seguridad diarias, cifradas y con acceso restringido, conservadas 30 días.

8. Dónde se almacenan y con quién los compartimos

Los datos se almacenan en servidores de Neon (base de datos, región de São Paulo, Brasil) y Vercel (hosting y almacenamiento de archivos, con centros de datos fuera de Colombia). Para operar el servicio, también trabajamos con:

• Wompi — procesamiento de pagos (Colombia).
• Meta (WhatsApp Business Cloud API) — envío de recordatorios y avisos por WhatsApp, cuando tu negocio los activa.
• Resend — envío de correos transaccionales (recuperación de contraseña, avisos de cuenta).
• Anthropic — el asistente de IA de Reportes e Inventario responde preguntas puntuales sobre tus propios números de negocio; no tiene acceso a la ficha clínica de tus pacientes.

Usar estos proveedores implica que algunos datos pueden transferirse o almacenarse fuera de Colombia. A todos les exigimos un nivel de seguridad adecuado para el tipo de dato que procesan, y ninguno queda autorizado a usar tus datos con fines distintos a prestarnos el servicio contratado.

9. Cuánto tiempo conservamos los datos

Mientras tu negocio tenga una cuenta activa en RIME, conservamos sus datos y los de sus pacientes para poder seguir prestando el servicio. Si solicitás la baja de tu cuenta, hay un período de gracia de 30 días para arrepentirte antes del borrado definitivo; pasado ese plazo, los datos se eliminan de forma permanente, incluidas las copias de seguridad asociadas (que además se rotan automáticamente cada 30 días mientras la cuenta está activa).

10. Menores de edad

Si un paciente es menor de edad, la autorización para tratar sus datos (incluidos los de salud) debe darla su representante legal — esa autorización la recolecta y conserva tu negocio, como Responsable del Tratamiento.

11. Cambios a esta política

Si actualizamos esta política de forma sustancial, lo vamos a anunciar en la plataforma antes de que entre en vigencia.

12. Contacto

Para cualquier consulta, reclamo o solicitud sobre el tratamiento de datos personales, escribinos a soporte@plataforma-agenda.blog.