Acuerdo de tratamiento de datos personales (encargo)

Anexo de los términos de uso. Versión del 16 de octubre de 2026 (reemplaza la del 10 de octubre de 2026: en la sección 5 nombra a Anthropic como proveedor de la inteligencia artificial opcional del asistente, que solo trata datos de la oficina que la activa. Para las demás oficinas no cambia nada).

1. Quién es quién

La oficina que usa Sigila (el abogado, contador, psicólogo, médico, odontólogo o clínica, y su equipo) es el responsable de los datos personales de sus clientes y pacientes: decide para qué los recoge y cómo los usa. Apexfusion Labs (en adelante, «Sigila») es el encargado: trata esos datos solo por cuenta de la oficina y para prestarle el servicio. Este acuerdo es el contrato de transmisión que exige la ley y se acepta junto con los términos de uso.

2. Para qué tratamos los datos

Guardarlos, organizarlos, mostrarlos a quien la oficina autorice y protegerlos, para que la oficina use las funciones de Sigila (agenda, expedientes, historias clínicas, documentos, cobros, portal del cliente, avisos y demás).
Enviar los avisos que la oficina programe o active (recordatorios de citas, documentos pendientes, avisos del portal).
Hacer copias de seguridad y restaurarlas, y atender el soporte que la oficina pida.

Sigila no usa los datos de la oficina para fines propios: no los vende, no los comparte con fines comerciales, no hace publicidad con ellos ni los usa para entrenar inteligencia artificial. Para no repetir envíos, la respuesta que la inteligencia artificial opcional da sobre un documento de la oficina se guarda cifrada dentro de la propia oficina y se borra si la oficina retira su autorización.

3. Nuestras obligaciones como encargado

Tratar los datos solo según las instrucciones de la oficina, este acuerdo y la ley (principios de legalidad, finalidad, libertad, veracidad, transparencia, acceso restringido, seguridad y confidencialidad).
Mantener medidas de seguridad técnicas y administrativas: cifrado con una llave propia por oficina, separación entre oficinas en la propia base de datos, doble verificación obligatoria, registro de quién abre cada historia o expediente, copias diarias cifradas y probadas, y vigilancia del servicio. La historia clínica de psicología solo la ve el psicólogo tratante; la recepción de oficinas de salud no ve información clínica.
Guardar confidencialidad, también después de terminado el servicio. Las personas de Sigila con acceso técnico están obligadas a esa confidencialidad y solo acceden a datos de una oficina cuando ella lo pide para soporte o cuando es indispensable para la seguridad del servicio, dejando registro.
Ayudar a la oficina a atender las consultas y reclamos de los titulares: Sigila le da herramientas para ver, corregir, exportar y descargar la información. Si un titular nos escribe directamente, le pasamos la solicitud a su oficina sin demora.
Avisar a la oficina, sin demora indebida y en lo posible dentro de las 72 horas siguientes a confirmarlo, cualquier incidente de seguridad que afecte sus datos, con lo que se sepa del hecho, sus efectos y las medidas tomadas, para que la oficina pueda informarlo a la Superintendencia de Industria y Comercio y a los titulares cuando la ley lo exija.

4. Obligaciones de la oficina como responsable

Contar con la autorización de sus clientes o pacientes para tratar sus datos (y la autorización expresa para datos sensibles, como los de salud, cuando la ley la exige), informarles cómo los trata y atender sus derechos.
Cumplir las normas propias de su profesión, incluido el secreto profesional y las normas de historia clínica (por ejemplo, la Resolución 1995 de 1999 y la Ley 1090 de 2006).
Definir quién de su equipo entra a Sigila y con qué rol, y retirar el acceso a quien ya no deba tenerlo.

5. Proveedores que nos ayudan (subencargados)

La oficina autoriza que Sigila use estos proveedores, que tratan los datos solo para prestarnos su servicio y con medidas de seguridad equivalentes:

Hostinger (servidor donde funciona Sigila), Estados Unidos.
Backblaze (copia de seguridad diaria, cifrada antes de salir de nuestro servidor: Backblaze no puede leerla), Estados Unidos.
Brevo (envío de correos), Francia (Unión Europea).
Anthropic (inteligencia artificial del asistente, modelo Claude), Estados Unidos: solo para la oficina cuyo administrador activa y autoriza esa función en «Mi plan», y solo mientras la tenga activa. Recibe lo que el asistente necesita enviar para atender cada orden, que se detalla antes de autorizar y en la sección 5 ter de la política de tratamiento de datos. Según sus condiciones comerciales, por defecto no usa esos datos para entrenar sus modelos. Si la oficina usa su propia llave de Anthropic, esa relación es directa entre la oficina y Anthropic.

Estados Unidos y la Unión Europea están en la lista de países con nivel adecuado de protección de la Superintendencia de Industria y Comercio. Si agregamos o cambiamos un proveedor, lo avisaremos con al menos 15 días de anticipación; la oficina puede cancelar sin costo si no está de acuerdo. Las funciones opcionales que usan un proveedor adicional (como la inteligencia artificial del asistente) solo se activan si la oficina lo decide, y se le informa antes qué se envía y a quién.

6. Cuánto tiempo y qué pasa al terminar

Mientras el servicio esté vigente, los datos se conservan según lo decida la oficina; nada se borra de forma automática (las historias clínicas deben conservarse por los plazos que fija la ley, y esa obligación es de la oficina).
Si el plan vence, la información queda en modo consulta: la oficina puede verla y descargarla.
Al terminar el servicio, la oficina puede descargar toda su información desde Sigila o pedirnos una copia dentro de los 30 días siguientes. Después la eliminamos de la base de datos. Las copias de seguridad cifradas que la contengan se eliminan solas en su ciclo normal (hasta 100 días las diarias y hasta 400 días las mensuales) y no se usan para nada distinto a recuperar el servicio.

7. Información y verificación

Sigila le dará a la oficina, cuando lo pida de forma razonable, información sobre las medidas de seguridad aplicadas a sus datos y sobre los incidentes que la hayan afectado. La oficina puede pedir el registro de accesos de su propia información desde Sigila.

8. Ley aplicable

Este acuerdo se rige por la Ley 1581 de 2012, el Decreto 1074 de 2015 y las demás normas de protección de datos de Colombia. Si algo de este acuerdo choca con los términos de uso en materia de datos personales, prima este acuerdo. Contacto: hola@apexfusionlab.com.