Felipe Bejarano, persona natural comerciante, con Cédula de ciudadanía N.º 1.030.649.327 y domicilio en Bogotá D.C., Colombia, en adelante Zcalaris, adopta la presente Política de Tratamiento de Datos Personales en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, y las demás normas que los modifiquen o complementen.
1. Quiénes somos y qué hacemos con datos
Zcalaris desarrolla y opera ZOCAM, un sistema operativo de negocio, y HIZCAO Dental AIOS, su vertical para clínicas odontológicas. En esa actividad tratamos datos personales en dos calidades distintas, y esta política aplica a ambas:
a) Como Responsable. De los datos de las personas con quienes Zcalaris se relaciona directamente: representantes y empleados de las empresas y clínicas que contratan nuestros servicios, usuarios de nuestras plataformas, prospectos, proveedores y visitantes de nuestro sitio web.
b) Como Encargado. De los datos que nuestros clientes —empresas y clínicas— guardan y gestionan dentro de ZOCAM y HIZCAO. Esos datos pertenecen a nuestros clientes, que son sus Responsables; Zcalaris los trata únicamente por cuenta e instrucción de ellos, en los términos del Acuerdo de Encargo que cada cliente suscribe. Esto incluye las historias clínicas y demás datos de salud de los pacientes de las clínicas que usan HIZCAO.
2. Definiciones
Se aplican las definiciones del artículo 3 de la Ley 1581 de 2012 y del artículo 3 del Decreto 1377 de 2013. En particular:
- Dato personal: cualquier información vinculada o que pueda asociarse a una persona natural determinada o determinable.
- Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación; incluye los datos relativos a la salud.
- Titular: la persona natural cuyos datos son objeto de tratamiento.
- Responsable: quien decide sobre la base de datos y el tratamiento.
- Encargado: quien realiza el tratamiento por cuenta del Responsable.
- Transferencia: envío de datos a un Responsable ubicado dentro o fuera del país.
- Transmisión: comunicación de datos a un Encargado para que los trate por cuenta del Responsable.
3. Principios
Zcalaris trata los datos bajo los principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, conforme al artículo 4 de la Ley 1581 de 2012.
4. Datos que tratamos como Responsable
| Titulares | Datos | Finalidad principal |
|---|---|---|
| Representantes y usuarios de clientes | Nombre, cargo, correo, teléfono, empresa, credenciales de acceso, registro de actividad en la plataforma | Prestar el servicio, administrar cuentas, soporte, facturación |
| Prospectos | Nombre, empresa, correo, teléfono, origen del contacto | Atender solicitudes de información y propuestas comerciales |
| Proveedores | Datos de contacto y de facturación | Gestión contractual y pagos |
| Visitantes del sitio web | Datos de navegación, dirección IP, cookies analíticas | Medir uso y mejorar el sitio |
5. Datos que tratamos como Encargado
Dentro de ZOCAM y HIZCAO, nuestros clientes almacenan datos de sus contactos, clientes y —en el caso de las clínicas— de sus pacientes, incluida la historia clínica, el odontograma, el periodontograma, imágenes, consentimientos y datos de facturación en salud.
Sobre esos datos Zcalaris no decide finalidades: los trata para prestar el servicio contratado, conforme a las instrucciones del cliente Responsable y al Acuerdo de Encargo. Los derechos de los titulares sobre esos datos se ejercen ante el cliente Responsable; Zcalaris presta la asistencia técnica necesaria para atenderlos.
6. Finalidades
Como Responsable, Zcalaris trata datos para: (i) prestar, mantener y mejorar sus servicios; (ii) crear y administrar cuentas de usuario; (iii) prestar soporte; (iv) facturar y cobrar; (v) enviar comunicaciones relacionadas con el servicio; (vi) enviar comunicaciones comerciales a quienes lo hayan autorizado; (vii) cumplir obligaciones legales; (viii) proteger la seguridad de las plataformas.
Como Encargado, únicamente para las finalidades instruidas por cada cliente Responsable.
7. Transferencia y transmisión internacional de datos
Zcalaris opera con proveedores de infraestructura ubicados fuera de Colombia, en Estados Unidos de América. Esto significa que los datos —tanto los que tratamos como Responsable como los que tratamos como Encargado— se almacenan y procesan en servidores fuera del país. Los proveedores actuales son:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| Supabase, Inc. | Base de datos y autenticación | Estados Unidos (región us-east-1) |
| Vercel, Inc. | Alojamiento de la aplicación | Estados Unidos |
| Anthropic, PBC | Procesamiento de lenguaje para funciones de asistente de IA | Estados Unidos |
| Resend, Inc. | Envío de correo electrónico transaccional | Estados Unidos |
Estados Unidos no ha sido declarado por la Superintendencia de Industria y Comercio como país con nivel adecuado de protección. Por ello, Zcalaris:
- obtiene autorización expresa e inequívoca de los titulares cuyos datos trata como Responsable, en los términos del artículo 26 de la Ley 1581 de 2012;
- exige a sus clientes Responsables, mediante el Acuerdo de Encargo, que obtengan de sus propios titulares —incluidos los pacientes— la autorización expresa para la transmisión internacional; y
- suscribe con cada proveedor acuerdos de tratamiento que garantizan medidas de seguridad y confidencialidad no inferiores a las exigidas por la ley colombiana.
Cualquier cambio de proveedor o de ubicación se reflejará en una nueva versión de esta política.
8. Funciones de inteligencia artificial
ZOCAM y HIZCAO incorporan un asistente de IA (Chacum) que procesa texto mediante modelos de lenguaje provistos por Anthropic, PBC. Cuando un usuario utiliza el asistente, la información necesaria para atender su solicitud —que puede incluir datos personales— se envía a ese proveedor para su procesamiento. Zcalaris:
- no utiliza los datos de sus clientes para entrenar modelos de IA;
- ha configurado sus acuerdos con el proveedor para que este no utilice los datos con fines de entrenamiento;
- en HIZCAO, las funciones de IA sobre datos clínicos no diagnostican, no prescriben ni deciden: producen propuestas que un profesional de la salud revisa y aprueba o descarta;
- en HIZCAO, el uso de IA sobre datos de un paciente requiere un consentimiento específico y revocable de ese paciente, adicional a la autorización general.
9. Datos sensibles
Zcalaris, como Responsable, no recolecta datos sensibles de sus clientes ni usuarios. Como Encargado de las clínicas que usan HIZCAO, trata datos de salud de pacientes exclusivamente bajo la autorización previa, expresa e informada que la clínica Responsable obtiene de cada paciente, y con las medidas de seguridad reforzadas descritas en el numeral 12.
10. Derechos de los titulares
Todo titular tiene derecho a: (i) conocer, actualizar y rectificar sus datos; (ii) solicitar prueba de la autorización otorgada; (iii) ser informado sobre el uso que se ha dado a sus datos; (iv) presentar quejas ante la Superintendencia de Industria y Comercio; (v) revocar la autorización y solicitar la supresión de sus datos cuando no exista un deber legal o contractual de conservarlos; y (vi) acceder gratuitamente a sus datos.
11. Cómo ejercer los derechos
Área responsable: Protección de Datos, a cargo de Felipe Bejarano Correo: legal@zcalaris.com Dirección: Carrera 60 #67A-51, oficina 201, Bogotá D.C.
Consultas: se atienden en máximo diez (10) días hábiles desde su recibo. Si no es posible, se informa al titular antes del vencimiento y se responde en máximo cinco (5) días hábiles adicionales.
Reclamos: deben identificar al titular, describir los hechos y adjuntar los documentos que se quieran hacer valer. Si está incompleto, se requiere al interesado en cinco (5) días hábiles; si no responde en dos (2) meses, se entiende desistido. El reclamo se atiende en máximo quince (15) días hábiles, prorrogables por ocho (8) más con aviso previo.
Cuando la solicitud se refiera a datos que Zcalaris trata como Encargado —por ejemplo, la historia clínica de un paciente— Zcalaris la remitirá al cliente Responsable dentro de los dos (2) días hábiles siguientes e informará de ello al titular.
12. Seguridad
Zcalaris aplica medidas técnicas, humanas y administrativas para proteger los datos, entre ellas: cifrado en tránsito y en reposo; aislamiento lógico de los datos de cada cliente; control de acceso por rol y por función; registro de auditoría de accesos a información clínica; firma criptográfica de registros clínicos; copias de seguridad; y acuerdos de confidencialidad con su personal y proveedores.
13. Conservación
Los datos se conservan mientras dure la relación que justificó su recolección y el tiempo adicional que exija la ley. Los datos tratados como Encargado se conservan conforme a las instrucciones y a las obligaciones legales del cliente Responsable —en el caso de historias clínicas, los plazos de la Resolución 1995 de 1999 y la Resolución 839 de 2017— y se devuelven o suprimen al terminar el servicio según el Acuerdo de Encargo.
14. Vigencia y cambios
Esta política rige desde 8 de septiembre de 2026. Las bases de datos se conservan por el tiempo indicado en el numeral 13. Cualquier cambio sustancial se comunicará a los titulares y se publicará en esta misma dirección con su nueva fecha de versión.