Política de Tratamiento de Datos Personales

• Nombre comercial: NormaLis
• Nombre o razón social: Fernando José Fuentes Castillo
• NIT: 85370976-9
• Domicilio: Barranquilla, Atlántico
• Dirección: Calle 51 # 55-31, apartamento 1, piso 1
• Teléfono: 311 329 7738
• Naturaleza: Plataforma SaaS de cumplimiento normativo para IPS colombianas
• Sitio web: normalis.co
• Correo de contacto: info@normalis.co
• País de operación principal: Colombia
• Infraestructura: Firebase/Google Cloud Platform y Cloudflare (Workers)

NormaLis actúa como Responsable del Tratamiento de los datos personales de sus usuarios conforme al artículo 3(e) de la Ley 1581/2012.

2.1 Datos de identificación y contacto: nombre del contacto responsable, cargo, correo electrónico y teléfono.

2.2 Datos de la organización (IPS): nombre de la IPS, NIT, ciudad, departamento y tipo de IPS.

2.3 Datos de uso: actividad en la plataforma, documentos generados con IA, resultados de autoevaluaciones, consultas al chat IA y bitácora de acciones para trazabilidad.

2.4 Datos técnicos: dirección IP, tipo de navegador y tokens de sesión de Firebase Authentication.

Principio de minimización: NormaLis solo recopila los datos estrictamente necesarios para prestar el servicio. Conforme al AI Act (Art. 10) e ISO 42001, los datos usados en sistemas de IA son los mínimos necesarios para la función específica.

Los datos personales se usan exclusivamente para:

1. Prestación del servicio: gestionar acceso, cuenta y módulos contratados.
2. Personalización: mostrar información de la IPS en documentos y reportes.
3. Comunicaciones: notificaciones sobre vencimientos, actualizaciones normativas y novedades de la cuenta.
4. Soporte técnico: atender solicitudes de ayuda e incidentes.
5. Facturación: gestionar suscripciones (NormaLis no almacena datos de tarjetas).
6. Mejora del servicio: análisis agregado y anonimizado. Los datos individuales no se usan para entrenamiento de modelos de IA de terceros.
7. Cumplimiento legal: atender requerimientos de autoridades competentes.

Ningún dato personal será utilizado para finalidades distintas sin consentimiento previo, expreso e informado del titular.

• Consentimiento: otorgado al momento del registro, mediante aceptación de esta Política y los Términos y Condiciones.
• Ejecución de contrato: el tratamiento es necesario para la prestación del servicio.
• Obligación legal: cuando la ley colombiana exija la conservación o reporte de datos.
• Interés legítimo: para detección de fraudes, seguridad del sistema y mejora del servicio.

5.1 Regla general: NormaLis no recopila intencionalmente datos sensibles de los usuarios de la plataforma (origen racial, opiniones políticas, convicciones religiosas, datos biométricos, orientación sexual, afiliación sindical). Los módulos de auditoría, habilitación y cumplimiento generan información institucional de la IPS, no datos de pacientes individuales.

5.2 Excepción — módulo de Consentimientos Informados: Este módulo, por su naturaleza, sí procesa datos de identificación de pacientes (nombre y cédula) y el tipo de procedimiento clínico, con el único fin de dejar constancia del consentimiento informado exigido por la Ley 23/1981 (Art. 15) y la Resolución 13437/1991. Para estos datos específicos, la IPS es la Responsable del Tratamiento frente a sus pacientes, y NormaLis actúa como Encargada del Tratamiento (Art. 3(d) Ley 1581/2012), procesándolos únicamente por instrucción de la IPS y bajo las medidas de seguridad descritas en la Sección 9. Corresponde a la IPS contar con la autorización del paciente para que NormaLis, como encargada, almacene y procese esta información.

5.3 Excepción — dispensación de medicamentos (Inventario y compras) (rige desde el 29 de octubre de 2026): Cuando la IPS registra en NormaLis la entrega de medicamentos o dispositivos médicos a un paciente, se guardan el tipo y número de documento, el nombre y el tipo de usuario (contributivo, subsidiado, particular u otro) del paciente, el número y la fecha de la fórmula, el nombre y registro profesional de quien prescribe, y lo entregado (producto, cantidad y lote). No se guarda el diagnóstico. La finalidad es la trazabilidad de la dispensación que exige el Decreto 780/2016 (arts. 2.5.3.10.16 y 2.5.3.10.18), la entrega de lo que quede pendiente y los informes que la IPS debe presentar (por ejemplo, el informe mensual de medicamentos de control especial de la Resolución 1478/2006). Igual que en el módulo de Consentimientos, la IPS es la Responsable del Tratamiento y NormaLis la Encargada; estos datos solo los ve el equipo de la IPS, no se escriben en la bitácora y corresponde a la IPS contar con la autorización de sus pacientes.

Fuera de estos módulos específicos, si por error se ingresaran datos sensibles de pacientes en otros módulos, el usuario es responsable de su tratamiento conforme a la normativa de habilitación (Res. 1995/1999, Ley 23/1981).

NormaLis no vende, alquila ni cede datos personales a terceros con fines comerciales. Los datos pueden compartirse únicamente con:

• Google LLC (Firebase): autenticación, base de datos Firestore. Opera bajo el GDPR y Marco de Privacidad UE-EE.UU.
• Cloudflare, Inc.: infraestructura del Worker (proxy IA, API de integraciones), CDN y protección DDoS.
• Vercel Inc.: hosting y despliegue de la aplicación web.
• Resend: envío de correos transaccionales (notificaciones, vencimientos, respuestas de PQRS). No recibe datos de pacientes.
• Proveedor de IA: consultas del chat se envían al modelo a través de un proxy seguro. No incluyen datos identificativos del usuario.

Toda transferencia internacional se realiza bajo garantías adecuadas conforme al artículo 26 de la Ley 1581/2012 y, en lo aplicable, el AI Act artículo 25.

• Cuenta activa: se conservan mientras la suscripción esté vigente.
• Tras cancelación: supresión en máximo 15 días hábiles, salvo obligación legal.
• Bitácora de auditoría: hasta 12 meses por trazabilidad y seguridad.
• Datos técnicos (logs): máximo 90 días, eliminación automática.
• Facturación: 5 años conforme a normativa tributaria colombiana.

Como titular de datos personales, usted tiene derecho a:

Para ejercer estos derechos: info@normalis.co — indicando nombre, NIT de la IPS y el derecho que desea ejercer. Respuesta máxima: consultas, 10 días hábiles (art. 14); reclamos, 15 días hábiles (art. 15), Ley 1581/2012.

• Cifrado en tránsito: HTTPS con TLS 1.2 o superior.
• Cifrado en reposo: datos en Firestore cifrados en reposo por Google Cloud.
• Autenticación: Firebase Authentication con tokens JWT. Contraseñas nunca en texto plano.
• Control de acceso: Firestore Security Rules restringen datos por UID y NIT.
• Headers de seguridad: CSP, X-Frame-Options, X-Content-Type-Options y Referrer-Policy.
• Monitoreo: detección de errores y anomalías para respuesta ante incidentes.
• Pagos: NormaLis no almacena datos de tarjetas ni información bancaria.

En caso de brecha de seguridad, NormaLis notificará a los usuarios afectados y a la SIC dentro de los plazos establecidos por la normativa colombiana.

10.1 Sistemas de IA utilizados

NormaLis utiliza modelos de lenguaje de gran escala (LLM) para asistir en consultas sobre normativa colombiana de habilitación en salud (Res. 3100/2019, PAMEC, SG-SST). Estos modelos operan a través de un proxy seguro de Cloudflare Workers.

10.2 Aviso obligatorio de IA

Conforme a la Circular SIC 002/2024 y el artículo 50 del AI Act, toda respuesta generada por los sistemas de IA de NormaLis incluye un aviso visible que indica su origen automatizado. Este aviso es permanente y no puede ser desactivado.

10.3 Limitaciones del sistema

• Puede cometer errores en la interpretación de normas o artículos específicos.
• No accede a fuentes normativas en tiempo real salvo indicación explícita.
• No constituye asesoría jurídica profesional.
• No debe ser la única fuente para decisiones administrativas oficiales de habilitación.

10.4 Supervisión humana

Conforme al NIST AI RMF y la ISO 42001, NormaLis diseña sus sistemas de IA para asistir y no reemplazar el juicio humano. Toda decisión con consecuencias jurídicas, administrativas o sanitarias debe ser revisada por un profesional competente.

10.5 No entrenamiento con datos del usuario

NormaLis no utiliza datos personales ni contenido ingresado por los usuarios para reentrenar modelos de IA de terceros. Las consultas al chat se transmiten al modelo pero no son almacenadas por el proveedor para entrenamiento.

10.6 Clasificación de riesgo

Conforme al AI Act (Anexo III) y la Circular SIC 002/2024, el sistema de asistencia normativa de NormaLis se clasifica como sistema de riesgo limitado a moderado: asiste en decisiones de cumplimiento normativo pero no toma decisiones autónomas que afecten derechos fundamentales. Se aplican los controles correspondientes: transparencia obligatoria, supervisión humana y trazabilidad.

NormaLis utiliza almacenamiento local del navegador (localStorage y sessionStorage) para mantener la sesión activa y guardar preferencias de configuración de la IPS. Este almacenamiento es estrictamente necesario, no se comparte con terceros y se elimina automáticamente al cerrar sesión.

NormaLis no utiliza cookies de rastreo publicitario. Se utiliza Google Analytics 4 con anonimización de IP para análisis agregado del tráfico.

NormaLis puede actualizar esta política por cambios en la normativa aplicable, cambios en los sistemas de IA utilizados o mejoras en las prácticas de privacidad. Cualquier modificación será notificada por correo electrónico con al menos 15 días de anticipación y mediante aviso en la plataforma.

El uso continuado de la plataforma después del plazo de notificación constituye aceptación de la política actualizada.