Política de Privacidad
Última actualización: 19 de Octubre de 2026
1. Introducción y Cumplimiento Normativo
En Nesis valoramos y respetamos su privacidad. Esta Política de Privacidad describe cómo recopilamos, usamos, protegemos y compartimos su información personal. Operamos en estricto cumplimiento con la Ley 1581 de 2012 (Hábeas Data) de Colombia sobre la protección de datos personales y la confidencialidad de la historia clínica.
2. Información que Recopilamos
Recopilamos información para proveer y mejorar nuestros servicios:
- Datos de Profesionales: Nombre, correo, documento de identidad, tarjeta profesional, rol y datos de facturación.
- Datos de Pacientes (PHI): Nombres, documentos, historia clínica, notas de evolución y diagnósticos.Nota: El psicólogo o la IPS actúa como el Responsable del Tratamiento de estos datos; Nesis actúa únicamente como Encargado del Tratamiento (proveedor tecnológico).
- Datos de Uso: Información sobre cómo interactúa con nuestra plataforma (IP, navegador, analíticas anonimizadas) mediante herramientas como PostHog, asegurándonos de enmascarar (masking) cualquier dato sensible (PHI).
3. Uso de la Información
Utilizamos la información recopilada para:
- Proporcionar y mantener nuestro Servicio.
- Notificarle sobre cambios, mantenimientos o actualizaciones.
- Procesar pagos de suscripciones (a través de Lemon Squeezy).
- Brindar soporte técnico.
4. Seguridad y Retención de Datos
La seguridad de sus datos es nuestra prioridad. Sus datos viajan cifrados (TLS) en todas las conexiones y se almacenan en la infraestructura de Supabase, que los cifra en reposo (AES-256). El acceso a cada registro está restringido por políticas de seguridad a nivel de fila (RLS): cada cuenta solo puede consultar sus propios datos. Las credenciales de integraciones externas se cifran además dentro de la aplicación (ver sección 6). Sin embargo, ningún método de transmisión por Internet o almacenamiento electrónico es 100% seguro. La historia clínica se conserva durante quince (15) años contados a partir de la fecha de la última atención, como lo exige la Resolución 839 de 2017. Su custodia es del profesional que la lleva; Nesis la conserva en su nombre mientras usa el Servicio (ver sección 7).
5. Proveedores de Terceros
Podemos emplear empresas e individuos de terceros (ej. Supabase, Lemon Squeezy, PostHog, y Google si activa la integración de calendario) para facilitar nuestro Servicio o ayudar a analizar cómo se utiliza. Estos terceros tienen acceso a su información personal solo para realizar estas tareas en nuestro nombre y están obligados a no divulgarla ni usarla para ningún otro propósito.
6. Integración con Google Calendar (opcional)
El profesional puede conectar voluntariamente su cuenta de Google Calendar desde Configuración. La integración está desactivada por defecto y no afecta en nada al funcionamiento de Nesis si no se activa.
Qué enviamos a Google. Únicamente la fecha, la hora y la duración de la cita, la dirección del consultorio cuando la cita es presencial, y un enlace de vuelta a Nesis. Nunca enviamos el nombre del paciente, su documento de identidad, sus datos de contacto ni ninguna nota clínica, y el paciente jamás es agregado como invitado al evento. Si el profesional lo activa explícitamente, el título del evento puede incluir las iniciales del paciente.
Qué leemos de Google. Con su autorización accedemos a los eventos de su calendario con dos fines: mostrarlos junto a sus citas dentro de la agenda de Nesis y, si el profesional no lo desactiva, que las horas en que está ocupado no se ofrezcan a sus pacientes al reservar o al mover una cita. Para lo segundo leemos únicamente el horario de cada evento y si está marcado como ocupado, nunca su título ni su descripción, y a los pacientes solo se les muestran las horas libres. Esos eventos no se almacenan en nuestra base de datos ni se comparten con nadie.
Qué conservamos. Guardamos la credencial de acceso cifrada (AES-256-GCM), el correo de la cuenta conectada y el identificador del evento creado en Google, para poder actualizarlo o eliminarlo si la cita cambia o se cancela.
Transferencia internacional. Google procesa esta información en servidores fuera de Colombia. Al activar la integración, el profesional autoriza dicha transferencia en los términos del artículo 26 de la Ley 1581 de 2012.
Cómo revocar el acceso. En cualquier momento desde Configuración → Integraciones → Desconectar, o desde la sección de seguridad de su cuenta de Google. Al desconectar, eliminamos la credencial almacenada.
El uso y la transferencia que Nesis hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.
7. Sus Derechos (Hábeas Data)
Como titular de sus datos personales, usted tiene derecho a conocerlos, actualizarlos y rectificarlos; a solicitar prueba de la autorización que otorgó; a ser informado del uso que se les ha dado; a revocar la autorización y solicitar la supresión de los datos, en los términos que se explican abajo; y a presentar quejas ante la Superintendencia de Industria y Comercio (artículo 8 de la Ley 1581 de 2012).
Pacientes: a quién dirigirse. Los datos de un paciente los trata su profesional de la salud, que es el Responsable del Tratamiento; Nesis es el Encargado y actúa por instrucción suya. Por eso las consultas, correcciones, revocaciones y solicitudes de supresión se dirigen al profesional que lo atiende, que las ejecuta desde Nesis. Si un paciente nos escribe directamente, trasladamos su solicitud a ese profesional.
Qué se puede suprimir. Mientras no exista una atención clínica firmada, la supresión es total: el profesional elimina al paciente y se borran sus datos de identificación y contacto, sus citas, consentimientos, documentos y cualquier registro en borrador. Solo queda una constancia, sin datos personales, de que la supresión se hizo, cuándo y quién la hizo.
Qué se conserva y por qué. Una atención firmada forma parte de la historia clínica, que la Resolución 1995 de 1999 obliga a conservar y que no puede modificarse ni borrarse. Mientras corre el plazo de la sección 4, la supresión de la historia no procede, porque existe un deber legal de conservarla (artículo 9 del Decreto 1377 de 2013). En ese caso se conservan la historia (atenciones, adendas, pruebas, consentimientos y documentos anexos), los datos de identificación que ella exige y el registro de quién la consultó. Desde la solicitud, sus datos dejan de usarse para cualquier otra finalidad: no se le agendan citas ni se le envían enlaces, correos o recordatorios. Al vencer el plazo, la historia se suprime.
Revocar la autorización. El paciente puede revocar en cualquier momento la autorización que otorgó, ante su profesional. La revocación detiene todo tratamiento que no sea la conservación obligatoria de la historia clínica descrita arriba.
Profesionales. Sus datos de perfil se consultan y actualizan desde Configuración. Para eliminar su cuenta, escriba a soporte@nesis.health. Como la custodia de las historias de sus pacientes es suya y continúa durante el plazo legal, antes de eliminar la cuenta le entregamos una copia de todas ellas; después suprimimos la cuenta y todos los datos asociados. Si la suscripción termina sin que pida la eliminación, no borramos nada por falta de pago: las historias se conservan y puede obtenerlas en cualquier momento para cumplir su deber de custodia.