Política de Privacidad

1. Identidad del prestador y alcance

Esta Política de Privacidad describe el tratamiento de datos personales realizado mediante PSYNOR, plataforma web de gestión para profesionales de la psicología, así como la intervención de proveedores tecnológicos y los mecanismos para ejercer derechos sobre los datos.

El operador del servicio es César Lucena Castillo, persona natural identificada con NIT 700571576-9, domiciliada en Medellín, Antioquia, Colombia. Canal de contacto para asuntos de privacidad: contacto@psynor.com.

Esta política se aplica a los profesionales que utilizan PSYNOR, a las personas que visitan sus páginas y directorio, y al tratamiento tecnológico de información de pacientes incorporada por los profesionales. La prestación de atención psicológica corresponde al profesional o institución tratante, no a PSYNOR.

2. Responsable y encargado del tratamiento

PSYNOR como responsable: el operador determina las finalidades y medios del tratamiento de datos de registro, administración de cuentas, suscripciones, facturación y soportes de pago, soporte, seguridad, funcionamiento del sitio, solicitudes y directorio público, según corresponda.

PSYNOR como encargado: respecto de historias clínicas y otros datos de pacientes ingresados por un profesional, el profesional tratante o la entidad prestadora correspondiente determina las finalidades de la atención y las instrucciones legítimas de tratamiento; PSYNOR facilita la infraestructura y las herramientas de procesamiento, almacenamiento y recuperación. Esta distribución de funciones depende de cada operación concreta y no exime al operador de sus obligaciones propias.

El profesional debe cumplir las obligaciones de confidencialidad, secreto profesional, información al paciente y obtención de las autorizaciones o fundamentos legales que correspondan para los tratamientos efectuados en su consultorio.

3. Categorías de datos tratados

• Profesionales y cuentas: nombre, correo, credenciales protegidas, datos del consultorio, configuración, información de suscripción, actividad de acceso, permisos de colaboradores y comunicaciones con soporte.
• Pacientes: datos de identificación y contacto, citas, historia clínica, evoluciones, escalas, notas, consentimientos, firmas y datos de pagos registrados por el profesional. Pueden incluir datos sensibles relativos a la salud y, cuando corresponda, datos de menores de edad.
• Transacciones: referencias, estado y valor de pagos, datos necesarios para conciliación y atención de reclamaciones; la pasarela de pago puede recopilar otros datos directamente conforme a sus propias condiciones.
• Directorio: datos profesionales y de contacto que el psicólogo autorice publicar, ciudad, especialidades declaradas, modalidad, población atendida y enlaces de contacto o agendamiento.
• Seguridad y uso: registros de acceso, operaciones, cambios y descargas, información técnica necesaria para prevenir abusos e investigar incidentes.
• Integraciones voluntarias: información y permisos que el profesional autorice para Google, Zoom u otros servicios compatibles.

PSYNOR no necesita acceder de forma ordinaria al contenido de las historias clínicas para prestar soporte comercial. La gestión técnica de la plataforma no equivale a una autorización general para consultar expedientes.

4. Finalidades del tratamiento

• Crear, autenticar y administrar cuentas y consultorios; habilitar funciones y controlar el estado de las licencias.
• Organizar agendas, historias clínicas, consentimientos, pagos y comunicaciones configuradas por el profesional.
• Procesar pagos de suscripciones, verificar transacciones y atender solicitudes de devolución.
• Prestar soporte técnico, responder solicitudes, proteger cuentas, generar registros de auditoría y administrar respaldos.
• Habilitar integraciones opcionales solicitadas por el profesional y funciones de IA sujetas a las condiciones descritas en esta política.
• Publicar y administrar perfiles en el directorio únicamente cuando exista la autorización correspondiente.
• Cumplir obligaciones legales, contractuales, de seguridad y de conservación de información.

PSYNOR no vende historias clínicas ni utiliza su contenido para segmentación publicitaria. El tratamiento para finalidades distintas de las informadas requerirá el fundamento legal y, cuando proceda, la autorización adicional correspondiente.

5. Datos sensibles, menores y autorización

Los datos sobre salud y otras categorías legalmente protegidas son sensibles. El tratamiento exige una finalidad legítima y las condiciones especiales previstas por la legislación colombiana, incluida la autorización explícita cuando sea exigible y las excepciones legales que resulten aplicables. El titular no está obligado a autorizar el tratamiento de datos sensibles salvo los supuestos permitidos por la ley.

Cuando la atención involucre niños, niñas o adolescentes, el profesional deberá observar el interés superior del menor, su autonomía progresiva, las reglas de representación, el asentimiento cuando corresponda y las exigencias especiales de confidencialidad.

Los consentimientos clínicos y las autorizaciones de tratamiento de datos no son necesariamente equivalentes. El profesional debe documentar los que correspondan en cada caso.

6. Infraestructura, alojamiento y respaldos

PSYNOR funciona como una plataforma web administrada por su operador. Los datos se almacenan en la infraestructura de alojamiento contratada para PSYNOR con Cowebservice, con controles de separación lógica entre consultorios y medidas técnicas de protección. El profesional no necesita contratar un hosting propio para utilizar el servicio.

De acuerdo con la información facilitada al operador, el alojamiento principal se encuentra en Colombia. El proveedor de hosting utiliza infraestructura de Amazon Web Services (AWS) para respaldos, según la configuración del servicio contratado. La región concreta de almacenamiento de los respaldos no ha sido confirmada y puede requerir verificación con el proveedor.

El hosting ha informado una periodicidad aproximada de copias de seguridad cada dos o tres días; esa frecuencia puede variar según las condiciones técnicas. El plazo de conservación de los respaldos todavía no está confirmado. No se promete una eliminación inmediata de las copias ni un plazo de borrado que no haya sido verificado.

7. Google Calendar

La conexión con Google Calendar es opcional. Cuando el profesional la autoriza, PSYNOR utiliza los permisos concedidos para crear eventos asociados a citas, actualizarlos si cambian de fecha u hora y eliminarlos cuando se cancelan, conforme al funcionamiento de la integración.

La información de citas que se sincronice puede incluir fecha, hora y datos identificativos necesarios para representar el evento en el calendario elegido por el profesional. El contenido enviado queda sujeto también a los controles y políticas de Google y a la configuración de la cuenta conectada.

Esta integración no tiene por finalidad analizar otros eventos del calendario ni utilizar su contenido para publicidad. Los permisos se almacenan cifrados en PSYNOR. Cuando el profesional desconecta Google Calendar, PSYNOR elimina el permiso almacenado y solicita a Google la revocación de la autorización otorgada a la aplicación. El profesional también puede revisar o revocar el acceso en cualquier momento desde myaccount.google.com/permissions.

8. Gmail: envío de correo

Conectar Gmail es opcional. PSYNOR solicita únicamente el permiso de envío (gmail.send) para enviar, desde la cuenta conectada, mensajes redactados por el profesional y comunicaciones de su consultorio, como confirmaciones, recordatorios, recibos, consentimientos o encuestas.

PSYNOR no lee, no lista, no organiza ni elimina los correos de la bandeja de entrada del profesional. La integración no está destinada a analizar correos con IA, entrenar modelos, elaborar perfiles publicitarios ni acceder a la cuenta en segundo plano para fines ajenos a las funciones solicitadas.

Los permisos de acceso se almacenan cifrados; PSYNOR no almacena la contraseña de Gmail. Cuando el profesional desconecta Gmail, PSYNOR elimina el permiso almacenado y solicita a Google la revocación de la autorización otorgada a la aplicación. El profesional también puede revisarla o revocarla en su cuenta de Google.

El uso de los permisos de Google queda limitado a las funciones informadas y sujeto a la política de datos de usuario de Google. La descripción funcional debe mantenerse alineada con los permisos y operaciones efectivamente desplegados.

9. Inicio de sesión con Google y otras cuentas conectadas

Cuando el profesional elige «Continuar con Google», PSYNOR utiliza los datos de identidad autorizados mediante openid, email y profile, como nombre, dirección de correo y fotografía de perfil, para crear o abrir su cuenta. Esta opción, por sí sola, no concede acceso a Gmail ni a Google Calendar.

Cuando el profesional conecta servicios compatibles como Zoom, PSYNOR conserva cifrados los permisos y credenciales necesarios para las funciones autorizadas. La desconexión elimina el permiso almacenado por PSYNOR; la revocación ante el proveedor externo puede requerir una acción adicional en la cuenta correspondiente.

10. Uso limitado de información de Google

El uso y la transferencia de información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Limited Use (uso limitado). Los datos recibidos de Google se utilizan únicamente para las funcionalidades autorizadas descritas en esta política y no se venden ni se emplean para publicidad personalizada.

PSYNOR's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

11. Inteligencia artificial: Anthropic

El plan Dorado ofrece herramientas auxiliares para redactar evoluciones, resumir historias y preparar documentos clínicos. PSYNOR utiliza la API de Anthropic, cuyo procesamiento puede involucrar infraestructura en Estados Unidos. El contenido que el profesional envía a la función se procesa para generar la respuesta solicitada.

PSYNOR ha desarrollado mecanismos automáticos para sustituir antes del envío identificadores conocidos, como nombres del paciente y acudiente, documentos, teléfonos, correos y fechas de nacimiento, así como ciertos patrones detectables en el texto. Cuando corresponde, el sistema restituye localmente los identificadores sustituidos en el resultado mostrado al profesional.

La desidentificación no es perfecta: pueden permanecer referencias indirectas, nombres de terceros u otros datos que permitan identificar personas. Por ello, el profesional debe revisar el texto antes de enviarlo y evitar información innecesaria que identifique a terceros. El texto clínico desidentificado puede continuar constituyendo información sensible o personal según su contenido y contexto.

Antes del primer uso, la función requiere aceptación expresa de un aviso de tratamiento, con registro del usuario, fecha y versión aceptada. La herramienta no debe enviar contenido si esa aceptación no existe. La puesta en producción de las últimas versiones de los archivos de IA y configuración debe verificarse antes de considerar estas salvaguardas operativas en el servidor.

PSYNOR no mantiene un historial ordinario de prompts y respuestas en su base de datos para esta función, de acuerdo con el diseño comunicado; registra el consumo para aplicar el límite mensual. Anthropic aplica sus condiciones estándar de API, incluidas las reglas de conservación que correspondan; PSYNOR no declara tener contratado un acuerdo especial de retención cero ni garantiza que el proveedor elimine inmediatamente todo contenido. La revisión profesional de cualquier resultado generado es obligatoria antes de su uso clínico.

12. Mensajería: Twilio y Brevo

PSYNOR utiliza Twilio para funciones de mensajería por WhatsApp y Brevo para el envío de correos automáticos. Según la función activada, estos proveedores pueden recibir los datos necesarios para entregar comunicaciones, como número telefónico o dirección de correo, identificadores del remitente y destinatario, contenido del mensaje y datos técnicos de entrega.

El profesional debe informar a sus pacientes sobre las comunicaciones que utiliza y procurar que los mensajes contengan únicamente la información necesaria. El envío y la entrega pueden depender de las condiciones de los proveedores y de los canales de comunicación utilizados. Las ubicaciones concretas de procesamiento y los plazos de conservación de cada proveedor deben verificarse en sus condiciones y acuerdos aplicables.

13. Pagos y anticipos: Wompi

Suscripciones de PSYNOR: el pago de planes se procesa mediante la cuenta de Wompi utilizada por el operador de PSYNOR. Se tratan los datos y referencias necesarios para identificar el plan, comprobar el estado del pago, activar el servicio y atender reclamaciones o devoluciones.

Anticipos de pacientes: cuando el psicólogo habilita esta función y conecta su propia cuenta de Wompi, el paciente paga a través de esa cuenta y los fondos se dirigen al profesional, sin pasar por una cuenta de recaudo de PSYNOR. PSYNOR puede procesar la información técnica y el estado de la transacción necesarios para reflejar la reserva o el pago dentro del consultorio.

Wompi trata los datos que recibe en su condición correspondiente, de acuerdo con sus términos y su política de privacidad. PSYNOR no debe presentarse como receptor de los anticipos cobrados directamente por los profesionales.

14. Directorio público de psicólogos

La publicación en psynor.com/psicologos/ es voluntaria y depende de la activación y autorización del profesional. El directorio puede mostrar únicamente los datos de perfil autorizados, como nombre profesional, ciudad, especialidades declaradas, modalidad de atención, población atendida y medios de contacto o agendamiento habilitados.

La publicación se ofrece a cuentas con plan Platino o Dorado activo; si el plan vence, el perfil deja de mostrarse mientras no exista un plan habilitado. No se publica el número de tarjeta profesional, la dirección residencial exacta ni información clínica de pacientes.

PSYNOR registra la fecha y hora de la autorización de publicación. Actualmente no se almacena la versión del texto de autorización aceptado; se recomienda implementar este registro para mejorar la trazabilidad de cambios futuros. El profesional puede desactivar la publicación.

La insignia «Verificado» indica la comprobación manual de la tarjeta profesional por PSYNOR; no certifica especialidades, experiencia ni calidad asistencial. Los perfiles Dorado pueden recibir prioridad de visibilidad por condiciones comerciales, no por una evaluación de competencia profesional.

Las estadísticas del directorio se presentan como conteos mensuales de visitas y clics. Para evitar duplicados en un mismo día se utiliza una huella cifrada de conexión de duración aproximada de 24 horas, que después se elimina; no se utilizan cookies para ese conteo ni se registran nombres o correos de visitantes con esa finalidad. Aunque se trate de una huella temporal, debe protegerse como información potencialmente vinculable a una persona mientras exista.

15. Portal del paciente y enlaces de acceso

Cuando el profesional habilita el portal del paciente, este puede consultar mediante el mecanismo de acceso previsto información limitada relacionada con sus citas y consentimientos pendientes, conforme a los permisos de la función. El portal no está destinado a mostrar notas privadas ni el contenido íntegro de las historias clínicas.

Los profesionales deben evitar compartir enlaces de acceso con personas no autorizadas y mantener actualizados los datos de contacto utilizados para las comunicaciones con sus pacientes.

16. Proveedores, transmisiones y tratamiento internacional

PSYNOR utiliza proveedores externos para ejecutar funciones específicas. Entre los proveedores identificados se encuentran Cowebservice (alojamiento), AWS (infraestructura de respaldos utilizada por el hosting), Anthropic (procesamiento de solicitudes de IA), Twilio (mensajería), Brevo (correo), Wompi (pagos) y Google (servicios que el usuario conecta voluntariamente). También interviene Zoom cuando el profesional decide conectarlo para crear sus videollamadas.

La información compartida se limita a la necesaria para cada función, según las configuraciones del profesional, las obligaciones contractuales y los requisitos de seguridad aplicables. No se venden historias clínicas ni bases de pacientes a terceros.

Algunos tratamientos pueden implicar acceso o procesamiento desde fuera de Colombia, especialmente en servicios internacionales. La localización de la sede de un proveedor no demuestra por sí sola la ubicación exacta de cada operación. Cuando proceda, PSYNOR deberá aplicar las reglas colombianas relativas a transmisión o transferencia internacional de datos personales, las autorizaciones o excepciones aplicables y los acuerdos requeridos con los proveedores.

La lista y el alcance de los proveedores podrán actualizarse si cambian las integraciones, y los cambios relevantes se informarán conforme a esta política.

17. Seguridad y confidencialidad

PSYNOR aplica medidas técnicas y organizativas de seguridad, incluidas autenticación, controles de permisos, separación lógica de consultorios, registros de auditoría, protección de credenciales y respaldos. Los permisos de integración con Gmail, Google Calendar y Zoom se almacenan cifrados mediante mecanismos basados en AES, según la implementación comunicada.

El acceso de soporte a la información clínica está restringido; el operador y su personal no tienen autorización general para leer historias clínicas. La seguridad depende también de la protección de las credenciales y dispositivos del profesional y de las medidas de los proveedores contratados.

En caso de un incidente que afecte datos personales, PSYNOR realizará las acciones de contención, evaluación, documentación y comunicación que exijan las normas aplicables. Ningún sistema puede garantizar riesgo cero.

18. Conservación, exportación y supresión

PSYNOR no aplica actualmente una eliminación automática programada de cuentas o historias clínicas por el solo vencimiento de la prueba o del plan. Los expedientes clínicos están sujetos a obligaciones especiales de custodia y conservación, cuyo cumplimiento corresponde al profesional o institución competente y a los intervinientes según sus funciones legales.

Al vencer un plan pago se aplica el período de gracia de tres (3) días calendario y posteriormente el modo consulta, con las posibilidades de acceso y recuperación descritas en los Términos y Condiciones.

Para las pruebas gratuitas vencidas sin compra se ha desarrollado una función de descarga de historias clínicas para la cuenta principal, sin costo, con autenticación, confirmación de contraseña, registro de auditoría y aviso por correo, sujeta a la limitación de una descarga cada treinta (30) días descrita en los Términos. Su disponibilidad efectiva en producción depende de la instalación de las versiones correspondientes de los archivos de la plataforma.

La eliminación de una cuenta o de determinados datos se tramita mediante solicitud, comprobación de identidad y evaluación de las obligaciones legales de conservación. La supresión de la base activa no implica necesariamente el borrado inmediato de los respaldos; su plazo de retención está pendiente de confirmación con el proveedor de hosting.

PSYNOR no promete la conservación indefinida de los datos como un derecho contractual ni un plazo fijo de supresión de respaldos mientras no exista una política técnica de retención verificada.

19. Derechos de los titulares y procedimiento

Los titulares de datos personales pueden ejercer, según corresponda, sus derechos a conocer, actualizar, rectificar y solicitar prueba de autorización; ser informados sobre el uso de sus datos; presentar quejas ante la Superintendencia de Industria y Comercio (SIC) cuando proceda; revocar autorizaciones o solicitar supresión en los casos legalmente permitidos; y acceder gratuitamente a sus datos en los términos de la ley.

Datos de cuentas, directorio, pagos y relación comercial: la solicitud puede dirigirse a contacto@psynor.com, indicando nombre, datos de contacto, descripción de la solicitud y elementos que permitan verificar la identidad o representación del solicitante. PSYNOR podrá requerir información razonable para evitar entregar datos a terceros no autorizados.

Datos clínicos de pacientes: las solicitudes relativas al contenido de historias clínicas deben dirigirse, en primer término, al profesional tratante o a la entidad responsable de su custodia. Si PSYNOR recibe una solicitud de esta naturaleza, orientará al solicitante o la canalizará conforme a sus obligaciones y a las instrucciones legítimas del responsable, sin divulgar indebidamente el expediente.

Las consultas se atenderán dentro de los diez (10) días hábiles siguientes a su recibo; si no es posible, se informará el motivo y la nueva fecha, que no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo. Los reclamos se tramitarán dentro de los quince (15) días hábiles siguientes al día siguiente de su recibo completo; si no es posible, se informará la razón y la nueva fecha, que no podrá superar ocho (8) días hábiles adicionales. Si un reclamo está incompleto, se solicitará su subsanación conforme a la ley.

La supresión o revocatoria puede estar limitada por deberes legales o contractuales de conservación, especialmente en materia clínica.

20. Cambios y vigencia de esta política

PSYNOR podrá actualizar esta Política de Privacidad para reflejar cambios legales, operativos, tecnológicos o en los proveedores de servicio. Las modificaciones relevantes se informarán por medios razonables y, cuando corresponda, se obtendrán nuevas autorizaciones antes de iniciar finalidades que así lo requieran.

La fecha indicada al inicio identifica la versión del documento. Esta política debe leerse junto con los Términos y Condiciones y con los avisos o autorizaciones específicos de cada función.

21. Contacto

Prestador: César Lucena Castillo, persona natural, NIT 700571576-9.
Domicilio: Medellín, Antioquia, Colombia.
Correo de privacidad y solicitudes: contacto@psynor.com.

Para solicitudes relacionadas con historias clínicas, el canal principal del paciente es su profesional tratante, sin perjuicio de los derechos y procedimientos previstos por la ley.