Responsable del Tratamiento

El Responsable del Tratamiento de los datos personales recopilados a través de MediTop es:

Encargado del Tratamiento

En el marco de la relación entre MediTop y las IPS, cada Institución Prestadora de Salud que utiliza la plataforma actúa como Encargada del Tratamiento respecto a los datos de sus pacientes y del personal propio que ingresa a la plataforma. La IPS es responsable de obtener las autorizaciones de sus pacientes conforme a la Ley 1581 de 2012, cuando la base legal del tratamiento así lo requiera, y de garantizar que el uso de MediTop sea consistente con sus obligaciones legales como prestadora de servicios de salud.

MediTop procesa las siguientes categorías de datos personales, organizadas según el tipo de titular:

2.1 Datos de Identificación del Paciente

• Tipo y número de documento de identidad (cédula de ciudadanía, tarjeta de identidad, pasaporte, NUIP, etc.)
• Nombre(s) y apellido(s) completos
• Fecha de nacimiento
• Género
• Información de aseguramiento en salud (EPS, régimen, tipo de afiliación)

2.2 Datos Clínicos (Datos Sensibles)

• Diagnósticos codificados en CIE-10
• Medicamentos y esquemas de prescripción
• Procedimientos y cirugías realizadas
• Alergias y reacciones adversas a medicamentos
• Signos vitales y parámetros fisiológicos
• Motivo de consulta y notas de evolución clínica
• Fecha, tipo y lugar de atención (hospitalización, urgencias, consulta externa)
• Información de referencia y contrarreferencia

2.3 Datos del Profesional de Salud

• Nombre completo y número de registro profesional (RM/REG)
• Especialidad médica
• Correo electrónico institucional
• Registros de atenciones prestadas (vinculados al RDA)

2.4 Datos de la IPS (Organización)

• Nombre o razón social, NIT
• Código habilitación ante el prestador de salud
• Dirección y municipio de prestación de servicios
• Credenciales de acceso al sistema IHCE (token/cliente FHIR)
• Información de contacto administrativo y de facturación

2.5 Datos de Usuarios del Sistema

• Correo electrónico (identificador único de usuario)
• Contraseña (almacenada con hash; nunca en texto plano)
• Rol asignado (administrador, médico, auditor)
• Configuración de autenticación de dos factores (2FA)
• Logs de auditoría: fecha, hora, acción realizada, IP de acceso

Los datos personales recopilados a través de MediTop son tratados exclusivamente para las siguientes finalidades:

3.1 Cumplimiento de la Resolución 1888 de 2025 — IHCE

La finalidad principal del tratamiento es habilitar a las IPS para cumplir con la obligación legal de transmitir Registros de Datos en Salud (RDAs) al sistema de Historia Clínica Electrónica Interoperable (IHCE) del Ministerio de Salud y Protección Social, conforme a los estándares FHIR R4 y los plazos establecidos en la Resolución 1888 de 2025.

3.2 Gestión de Historias Clínicas Electrónicas

Registro, almacenamiento y consulta de episodios de atención en salud, incluyendo el visor clínico por paciente para uso exclusivo de los profesionales autorizados de la IPS.

3.3 Auditoría y Trazabilidad

Registro inmutable de todas las operaciones realizadas sobre datos clínicos y de usuarios, para garantizar la trazabilidad exigida por la normativa de historia clínica (Resolución 1995 de 1999) y la seguridad de la información.

3.4 Facturación y Gestión del Servicio

Los datos de la IPS y del usuario administrador se utilizan para la gestión administrativa, facturación del servicio contratado, comunicaciones de soporte y notificaciones técnicas relacionadas con la plataforma.

El tratamiento de datos personales realizado a través de MediTop se fundamenta en las siguientes bases legales establecidas en la Ley 1581 de 2012 y la normativa concordante:

Los datos procesados en MediTop pueden ser transferidos o transmitidos a los siguientes destinatarios, en los términos que se indican:

5.1 Ministerio de Salud y Protección Social — Sistema IHCE

Los datos clínicos del paciente contenidos en los RDAs son transmitidos al sistema IHCE del Ministerio de Salud de Colombia por imperativo legal de la Resolución 1888 de 2025. Esta transferencia es obligatoria, tiene cobertura legal expresa y no requiere consentimiento adicional del titular (Art. 6, literal a, Ley 1581 de 2012).

5.2 Google Cloud Platform — Almacenamiento

Los datos son almacenados en Google Cloud Firestore, base de datos de Google LLC. Ninjanet ha suscrito los acuerdos de procesamiento de datos (DPA) correspondientes con Google para garantizar el cumplimiento de los estándares de seguridad y privacidad aplicables. Google actúa como subencargado del tratamiento bajo instrucción de Ninjanet.

5.3 Prohibición de Comercialización

Ninjanet implementa las siguientes medidas técnicas y organizativas para proteger los datos personales tratados en MediTop, conforme al principio de seguridad establecido en el artículo 4 de la Ley 1581 de 2012:

• Encriptación en tránsito mediante HTTPS/TLS 1.2 o superior en todas las comunicaciones entre el navegador, el backend y el sistema IHCE.
• Autenticación segura mediante tokens JWT con tiempo de expiración de 24 horas; implementación opcional de autenticación de dos factores (2FA) basada en TOTP.
• Aislamiento multi-tenant: cada IPS opera en un espacio de datos lógicamente separado; ningún usuario puede acceder a datos de otra IPS.
• Control de acceso basado en roles (RBAC): cada usuario accede únicamente a los datos y funciones correspondientes a su rol (superadministrador, administrador, médico, auditor).
• Logs de auditoría inmutables: registro de todas las operaciones de lectura, escritura, modificación y eliminación de datos, incluyendo identidad del usuario, fecha, hora y acción.
• Almacenamiento en Google Cloud Firestore con encriptación en reposo habilitada por defecto.
• Política de contraseñas seguras y bloqueo de cuentas ante intentos fallidos reiterados.
• Revisiones periódicas de seguridad y actualizaciones de dependencias del sistema.

De conformidad con el artículo 8 de la Ley 1581 de 2012, los titulares de datos personales tienen los siguientes derechos, que pueden ejercer directamente ante la IPS (en su calidad de Encargada del Tratamiento) o ante Ninjanet (Responsable del Tratamiento):

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada para el tratamiento.
• Ser informado sobre el uso dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012.
• Revocar la autorización y/o solicitar la supresión de los datos, salvo cuando exista una obligación legal o contractual que impida su eliminación.
• Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

Los datos personales serán conservados por los períodos mínimos establecidos en la normativa colombiana aplicable:

• Historias clínicas electrónicas: veinte (20) años contados a partir de la fecha de la última atención, conforme al artículo 15 de la Resolución 1995 de 1999, modificada por la Resolución 1715 de 2005.
• Documentos de facturación y soporte contable: diez (10) años, conforme al Código de Comercio colombiano.
• Logs de auditoría: mínimo cinco (5) años o el período que establezca la normativa sectorial aplicable.
• Datos de usuarios del sistema: durante la vigencia de la relación contractual y hasta doce (12) meses posteriores a la terminación del servicio.

Vencidos los plazos de retención y en ausencia de obligación legal que impida la eliminación, Ninjanet procederá a la supresión segura e irreversible de los datos conforme a estándares técnicos reconocidos.

La plataforma MediTop utiliza únicamente cookies estrictamente necesarias para el funcionamiento de la sesión autenticada (tokens JWT de sesión). No se utilizan cookies de seguimiento, publicidad ni analítica de terceros.

Los logs de acceso del servidor pueden registrar la dirección IP del usuario con fines de seguridad, auditoría y diagnóstico técnico, conforme al principio de finalidad establecido en la Ley 1581 de 2012.

Ninjanet se reserva el derecho de actualizar la presente Política de Privacidad para reflejar cambios normativos, técnicos u operacionales. Las modificaciones sustanciales serán notificadas al correo electrónico registrado por el administrador de la IPS con al menos quince (15) días de anticipación a su entrada en vigencia.

La versión vigente de esta política estará disponible de forma permanente en la plataforma MediTop. La fecha de la última actualización se indicará en el encabezado del documento.