Código: OD-GLG-001
Versión: 4
Fecha de elaboración: 10/04/2026
Fecha de aprobación: 25/05/2026
Entrada en vigor: 01/06/2026
Responsable del tratamiento: AI3LAB SAS BIC – NIT: 901.326.856-6
Alcance de esta versión. Esta política actualiza la versión 3 (2023) para incorporar el tratamiento de datos personales en el marco de la plataforma de salud digital Whatoko Health, incluyendo datos sensibles y de salud, el rol de AI3LAB como Encargado del Tratamiento frente a las instituciones que contratan sus servicios, y las finalidades propias del monitoreo remoto, la anonimización de datos y el bus de interoperabilidad FHIR.
PREÁMBULO
AI3LAB S.A.S BIC (en adelante, “AI3LAB”), en desarrollo de su objeto social, opera la plataforma de salud digital Whatoko Health y accede a información de especial protección y regulación normativa, incluidos datos sensibles y datos de salud. Dicho acceso y recolección se realiza exclusivamente para dar cumplimiento a una relación de carácter comercial, contractual o laboral. En consecuencia, AI3LAB se acoge a las disposiciones de la Ley 1581 de 2012, el Decreto 1377 de 2013 y sus normas complementarias, y —cuando resulte aplicable— al Reglamento (UE) 2016/679 (GDPR).
La presente política expone las reglas de tratamiento de datos personales y se hace extensiva a todas las personas que prestan servicios a AI3LAB y a quienes tienen algún tipo de relación con ella (clientes, instituciones de salud, usuarios finales o pacientes, empleados, proveedores, accionistas, acreedores y aliados). La dirección general de AI3LAB se compromete a generar una cultura de protección de datos personales y a velar por el cumplimiento de las normas relacionadas.
Para la interpretación de esta política se adoptan las definiciones de la Ley 1581 de 2012 y el Decreto 1377 de 2013, y las siguientes:
AI3LAB aplica los principios rectores del artículo 4 de la Ley 1581 de 2012:
AI3LAB recolecta datos pertinentes y adecuados para la vinculación o continuación de sus relaciones, previa autorización del titular. Las finalidades generales incluyen:
En relación con lo anterior, AI3LAB podrá obtener, almacenar, compilar, actualizar, procesar, anonimizar, transmitir y disponer de los datos de quienes otorguen autorización, clasificarlos, verificarlos y transferirlos o transmitirlos a sus aliados, encargados y entidades afiliadas conforme a la finalidad informada. El Responsable y el Encargado usarán los datos única y exclusivamente para la finalidad informada al titular y no emplearán medios engañosos o fraudulentos.
Regla general. El tratamiento de datos sensibles está prohibido, salvo en los casos previstos por la ley. Cuando AI3LAB trate datos de salud lo hará con autorización explícita del titular (o de su representante), informando expresamente cuáles datos son sensibles, la finalidad y que el titular no está obligado a autorizar su tratamiento.
De conformidad con el artículo 6 de la Ley 1581 de 2012, el tratamiento de datos sensibles procede cuando:
En la operación de Whatoko Health, los datos de salud de los Usuarios Finales son aportados por las Instituciones (Responsables). AI3LAB los trata como Encargado, aplicando la minimización mediante anonimización o seudonimización cuando el modelo de servicio lo permita (uso de identificadores únicos que eviten la vinculación directa con la PII).
Según el origen de los datos, AI3LAB asume uno de dos roles:
Cuando AI3LAB actúa como Encargado, trata los datos únicamente conforme a las instrucciones de la Institución Responsable y a la finalidad de prestar el servicio contratado. Las condiciones específicas podrán formalizarse en un Acuerdo de Tratamiento de Datos (DPA) anexo al contrato, que prevalecerá sobre esta política en lo relativo a dicho encargo.
Se recolectan y almacenan mediciones, signos y datos clínicos del Usuario Final con la finalidad de apoyar su seguimiento a distancia y la toma de decisiones del personal asistencial de la Institución. La obtención del consentimiento informado del paciente para el monitoreo corresponde a la Institución. AI3LAB no presta servicios de urgencias ni sustituye la atención médica.
Se aplican algoritmos para transformar datos originales en datos anonimizados. La anonimización es un proceso probabilístico; AI3LAB no puede garantizar la irreversibilidad absoluta en todos los escenarios teóricos. Corresponde a la Institución evaluar la idoneidad y el nivel de anonimización para su caso de uso antes de utilizar o compartir los datos resultantes.
Se reciben, validan, transforman y enrutan Recursos HL7 FHIR R4 entre los sistemas de la Institución y/o terceros autorizados (incluido el ecosistema IHCE en el marco de la Resolución 1888 de 2025). AI3LAB actúa como intermediario técnico de transmisión; la veracidad y exactitud del contenido clínico, así como la determinación de qué información debe reportarse, son responsabilidad de la Institución.
Cuando el titular entregue datos personales, estos quedarán sujetos a esta política y a la finalidad informada al momento de la recolección. La autorización podrá constar en cualquier medio físico, electrónico o tecnológico que garantice su posterior consulta. No se requerirá autorización en los casos previstos por la ley:
AI3LAB garantiza el derecho de acceso y consulta conforme a la Ley 1581 de 2012, previa acreditación de la calidad de titular, representante o legitimado, poniendo a disposición de forma gratuita los datos objeto de tratamiento, dentro de los límites del artículo 21.
AI3LAB rectificará y actualizará, a solicitud del titular, la información incompleta, incorrecta o inexacta, previa verificación de la viabilidad de la solicitud y aporte de la documentación que la sustente.
El titular puede solicitar la supresión de sus datos cuando no sean tratados conforme a los principios y deberes legales, hayan dejado de ser necesarios o pertinentes, o se haya superado el periodo necesario para los fines. Este derecho no es absoluto y podrá negarse o limitarse cuando exista un deber legal o contractual de permanencia, cuando la supresión obstaculice actuaciones judiciales o administrativas, cuando sea necesaria para proteger intereses jurídicamente tutelados, o cuando los datos sean de naturaleza pública.
El titular puede revocar la autorización en cualquier momento, salvo impedimento legal o contractual. La revocatoria puede ser total (sobre todas las finalidades) o parcial (sobre finalidades específicas, p. ej., publicidad). AI3LAB dispone de mecanismos sencillos y gratuitos para ello.
Estos derechos podrán ser ejercidos por
Conforme a la Ley 1581 de 2012 y el Decreto 1377 de 2013, el tratamiento de datos de niñas, niños y adolescentes se realiza respetando sus derechos y su interés superior, y requiere la autorización previa, expresa e informada del padre, la madre o el representante legal. En el contexto clínico, el tratamiento de datos de salud de menores se realiza únicamente bajo la responsabilidad de la Institución tratante y dicha autorización.
Para prestar los servicios, AI3LAB puede apoyarse en proveedores de infraestructura en la nube y servicios de procesamiento que operen dentro o fuera de Colombia (p. ej., servicios FHIR gestionados). Toda transmisión a Encargados se sujeta a contratos que imponen obligaciones de seguridad y confidencialidad equivalentes. Las transferencias internacionales se realizan conforme al artículo 26 de la Ley 1581 de 2012, ya sea hacia países con nivel adecuado de protección, mediando autorización del titular, o amparadas en las excepciones legales —entre ellas, el intercambio de datos de carácter médico cuando lo exija el tratamiento del titular por razones de salud. Cuando aplique el GDPR, se adoptarán las garantías correspondientes (p. ej., cláusulas contractuales tipo).
AI3LAB implementa medidas administrativas, técnicas y físicas razonables para proteger los datos contra destrucción, pérdida, alteración y acceso o uso no autorizado, incluyendo cifrado, controles de acceso, segmentación de red, registros de auditoría y evaluaciones periódicas. El titular y la Institución reconocen que ningún método de transmisión o almacenamiento electrónico es completamente seguro. Ante una violación de seguridad que comprometa datos personales, AI3LAB lo notificará sin dilación indebida y reportará a la autoridad competente cuando corresponda.
Los datos se conservan durante el tiempo necesario para cumplir las finalidades informadas y las obligaciones legales y contractuales aplicables, incluidos los términos de conservación de la historia clínica exigidos por la normativa de salud. Vencido dicho periodo, los datos se suprimen o anonimizan de forma segura. Como Encargado, AI3LAB conservará o devolverá los datos según las instrucciones de la Institución Responsable a la terminación del contrato.
Cuando AI3LAB contrate a terceros para apoyar el tratamiento (subencargados), exigirá estándares de seguridad y obligaciones contractuales equivalentes a las de esta política y, cuando actúe como Encargado, lo hará con el conocimiento de la Institución Responsable conforme al DPA aplicable.
Para el ejercicio de los derechos previstos en la Ley 1581 de 2012 y la atención de P.Q.R. asociadas a datos personales, AI3LAB dispone de los siguientes canales:
El área responsable de dar trámite a las consultas y reclamos es la Dirección Legal (CLO).
Requisitos:
Términos para la atención de consultas
Las consultas se atienden en un término máximo de diez (10) días hábiles desde su recibo. Si no fuere posible, se informarán las razones antes del vencimiento y la respuesta no superará los cinco (5) días hábiles siguientes a dicho vencimiento. Si faltan requisitos, se requerirá al consultante dentro de los dos (2) días hábiles siguientes para que subsane dentro de los cinco (5) días hábiles siguientes; transcurridos dos (2) meses sin respuesta, se entenderá desistida la solicitud.
El titular o sus causahabientes que consideren que la información debe ser objeto de rectificación, actualización, supresión o revocatoria, o que adviertan un presunto incumplimiento, podrán presentar un reclamo. Requisitos:
Trámite del reclamo (art. 15, Ley 1581 de 2012):
Términos para la atención de reclamos
El término máximo es de quince (15) días hábiles desde su recibo. Si no fuere posible, se informarán los motivos de la demora y la respuesta no superará los ocho (8) días hábiles siguientes al vencimiento del primer término.
AI3LAB podrá modificar esta política y los procedimientos para su cumplimiento, dentro de su compromiso de acatar las disposiciones legales vigentes. Las modificaciones se divulgarán en los sitios web de AI3LAB y de Whatoko Health.
La presente versión 4 rige a partir del 01/06/2026 y de manera indefinida, salvo modificación debidamente divulgada.
JUAN CARLOS ABAUNZA ARDILA
Representante Legal – CEO