VERSION V1 · 2026-09-30
Contrato de encargo de tratamiento de datos
Declara que el responsable del tratamiento eres tú —o tu institución— y que Vínculo es el encargado. Incluye la lista de subencargados.
1. Las partes y sus papeles
Responsable del tratamiento: el profesional que abre la cuenta o la institución en cuyo nombre se abre. Es quien decide qué datos se tratan y para qué.
Encargado del tratamiento: HOGU SOFTWARE S.A.S., que trata esos datos únicamente por cuenta del responsable y siguiendo sus instrucciones.
Esta distinción no es formal: define quién responde ante el titular de los datos y ante la Superintendencia de Industria y Comercio. El responsable eres tú.
2. Objeto y duración
El objeto es el tratamiento de datos personales —incluidos datos sensibles de salud— necesarios para prestar el servicio de historia clínica electrónica.
El encargo dura lo que dure la relación contractual, y las obligaciones de confidencialidad y de custodia lo sobreviven en los términos de la sección 8.
3. Instrucciones
Vínculo trata los datos solo para prestar el servicio, mantenerlo seguro y cumplir obligaciones legales. No los usa para finalidades propias, no los cede a terceros con fines comerciales y no los emplea para entrenar modelos de inteligencia artificial.
Si una instrucción del responsable fuera contraria a la ley, Vínculo debe advertirlo y abstenerse de ejecutarla.
4. Confidencialidad
El personal de Vínculo con acceso a la infraestructura está sujeto a deber de confidencialidad, que subsiste después de terminar su vínculo.
El acceso a contenido clínico es excepcional, requiere motivo y queda registrado en la traza de auditoría del responsable.
5. Medidas de seguridad
- Aislamiento por organización aplicado en la base de datos, no solo en la interfaz: las políticas de acceso viven en Postgres y se prueban en cada integración.
- Cifrado en tránsito y en reposo.
- Autenticación de segundo factor disponible para todas las cuentas, y reautenticación obligatoria en el momento de firmar.
- Registro de auditoría de solo escritura: los eventos no se editan ni se borran.
- Las historias firmadas son inmutables; las correcciones son addenda.
- Copias de respaldo periódicas con pruebas de restauración.
6. Subencargados
Vínculo se apoya en proveedores de infraestructura que actúan como subencargados. La lista, con el país de procesamiento de cada uno, está publicada y versionada en el documento de subencargados.
Un nuevo subencargado se anuncia con antelación razonable antes de empezar a operar, y el responsable puede oponerse terminando el contrato sin penalidad.
7. Transferencia internacional
Parte del procesamiento ocurre fuera de Colombia. La transferencia se ampara en la autorización del titular y en cláusulas contractuales con cada subencargado que le imponen un nivel de protección equivalente al exigido por la Ley 1581 de 2012.
Las funciones de inteligencia artificial vienen desactivadas y se habilitan paciente por paciente, con una autorización específica. Sin esa autorización, ningún contenido clínico sale hacia un proveedor de IA.
8. Incidentes
Ante un incidente de seguridad que afecte datos personales, Vínculo notifica al responsable sin dilación indebida, con lo que se sepa en el momento: qué pasó, qué datos alcanzó, qué se está haciendo y qué conviene que haga el responsable.
La notificación al titular y a la autoridad, cuando proceda, corresponde al responsable, y Vínculo le presta la asistencia que necesite para hacerla.
9. Devolución y supresión al terminar
Al terminar el encargo, el responsable puede exportar toda la información en un formato legible sin Vínculo, y se firma un acta de transferencia de custodia.
La supresión no es automática. La Resolución 839 de 2017 obliga a conservar la historia clínica quince años desde la última atención, de modo que el contenido clínico se conserva bloqueado mientras ese término corra, salvo que el responsable acredite haber asumido la custodia por otro medio.
Los datos que no forman parte de la historia clínica sí se suprimen cuando dejan de ser necesarios.
10. Auditoría
El responsable puede solicitar la información razonable que necesite para acreditar el cumplimiento de este contrato, incluidos los reportes de seguridad de los que dispongamos.