POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES AURA360 S.A.S — Versión 2.0 — Vigente desde el 22 de agosto de 2026

0. Qué es este documento y a quién le aplica

Esta política explica qué datos tuyos tratamos, para qué, con quién los compartimos, cuánto tiempo los conservamos y cómo puedes controlarlos. Aplica si usas AURA360 como paciente o usuario, si eres un profesional de la salud o del acondicionamiento físico vinculado a la plataforma, o si nos contactas por cualquiera de nuestros canales.

Está escrita para que la entiendas sin ayuda de un abogado. Cuando citamos una norma es porque necesitas saber de dónde viene la regla, no para complicarte la lectura.

Qué es AURA360. Somos una compañía de software. Desarrollamos y operamos una plataforma tecnológica de salud, bienestar integral y acondicionamiento físico, que incluye análisis de información con inteligencia artificial y que conecta a las personas con profesionales de la salud y del bienestar.

Qué NO es AURA360, y esto importa. No somos un prestador de servicios de salud. No estamos inscritos en el Registro Especial de Prestadores de Servicios de Salud (REPS). No prestamos atención médica, no somos una IPS y no somos una EPS. Cuando un profesional te atiende a través de la plataforma, la relación asistencial es entre ese profesional y tú: él decide el contenido del acto clínico y responde por él. Nosotros ponemos la herramienta y custodiamos el registro.

Esa distinción atraviesa todo el documento y tiene una consecuencia concreta que verás en la sección 12: sobre tus datos de bienestar mandas tú con todo el alcance de la ley de habeas data; sobre el registro clínico que un profesional generó y firmó, tienes derecho a verlo y a obtener copia, pero no a borrarlo, porque la ley nos obliga a conservarlo.

1. Quién es el responsable del tratamiento

Los seis datos anteriores —razón social, domicilio, dirección, correo, teléfono y la identificación de quién responde— son los que exige el numeral 1 del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

2. Quién atiende tus solicitudes

Dentro de AURA360 existe un área de protección de datos personales designada formalmente mediante la Resolución interna 001-2026, conforme al artículo 2.2.2.25.4.4 del Decreto 1074 de 2015. Es el área ante la cual ejerces tus derechos y presenta tus consultas y reclamos.

El procedimiento y los plazos están en la sección 19.

3. Definiciones

Solo las que necesitas para leer el resto.

4. Principios

Tratamos tus datos conforme a los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad (solo para los fines que te informamos), libertad (solo con tu autorización o con un mandato legal), veracidad (datos completos, exactos y comprobables), transparencia (puedes saber qué tenemos de ti), acceso y circulación restringida (solo llega a quien debe), seguridad y confidencialidad.

5. Qué datos tratamos

Las categorías marcadas con (S) son datos sensibles y su tratamiento exige tu autorización expresa, separada e informada.

6. De dónde salen tus datos

1. De ti, cuando los registras o los cargas.
2. De tu profesional, cuando documenta tu atención.
3. De tus dispositivos, cuando conectas Apple Salud, Health Connect, un dispositivo Bluetooth o usas el kiosco.
4. De nuestros sistemas, cuando derivamos un cálculo, un plan o una predicción a partir de lo anterior.
5. De formularios públicos, como el cuestionario de bienestar que ofrecemos en nuestro sitio.

7. Para qué usamos tus datos

Este catálogo es cerrado: no usamos tus datos para nada que no esté aquí. Cada finalidad indica si es necesaria para prestarte el servicio o accesoria —y por tanto separable, puedes negarla sin perder el resto—, si involucra datos sensibles, si implica una decisión automatizada y si supone enviar tus datos a un tercero además de a nuestra propia infraestructura.

Aclaración importante sobre la última columna. Toda la plataforma corre sobre infraestructura ubicada en Estados Unidos, así que en rigor todos tus datos se tratan fuera de Colombia, sea cual sea la finalidad. Esa columna no dice si el dato sale del país —siempre sale—, sino si además se entrega a un tercero distinto de quien aloja la plataforma. La sección 15 explica el régimen completo.

Sobre F-14: nuestro cuestionario público de bienestar incluye preguntas sobre estado de ánimo. Si respondes de una forma que indique riesgo, se activa el protocolo de la sección 11. Es decir, ese formulario también trata datos sensibles, y por eso te lo advertimos antes de que lo respondas.

8. Qué no hacemos con tus datos

Enunciarlo importa tanto como enunciar lo anterior.

• No vendemos tus datos. A nadie, en ninguna circunstancia.
• No los entregamos a agencias de publicidad, casas de cobranza, bancos, aseguradoras, fondos de pensiones ni centrales de riesgo.
• No los usamos para entrenar modelos de inteligencia artificial de terceros. Los proveedores que usamos operan bajo condiciones contractuales de pago que excluyen el entrenamiento con el contenido que enviamos.
• No hacemos investigación identificable con tu información.
• No condicionamos el acceso a la plataforma a que autorices datos sensibles que no sean necesarios para la función que quieres usar.

9. Datos sensibles: la regla y tu libertad de negarte

Los datos de salud, de vida sexual y biométricos son sensibles por definición legal. Su tratamiento está prohibido salvo que se cumpla una de las excepciones del artículo 6 de la Ley 1581. En AURA360 nos apoyamos en dos: tu autorización expresa y, en el caso del protocolo de crisis, la salvaguarda del interés vital.

Por eso, y conforme al artículo 2.2.2.25.2.3 del Decreto 1074:

1. No estás obligado a autorizar el tratamiento de tus datos sensibles ni a suministrarlos.
2. Te informamos cuáles de los datos que recogemos son sensibles —están marcados en la sección 5— y para qué los usamos —sección 7—.
3. Las finalidades marcadas como accesorias se autorizan por separado, con una casilla propia que nunca viene marcada de antemano, y puedes revocarlas sin perder el resto del servicio.
4. Si no autorizas una finalidad accesoria, solo dejará de estar disponible la función que depende de ella. Nada más.

La autorización específica está en el Anexo B.

10. Perfiles, predicciones y decisiones automatizadas

Queremos ser explícitos porque esto no siempre se cuenta.

Qué calculamos. Un puntaje de bienestar por pilar, tendencias en el tiempo, predicciones de estado de ánimo con su probabilidad, niveles de riesgo por dimensión clínica y alertas con severidad para tu profesional.

Con qué. Con los datos de las categorías 3 a 11 de la sección 5, y con tu historial de uso.

Quién lo ve. Tú siempre. Tu profesional vinculado, cuando existe relación activa. Y, si lo autorizas de forma expresa y separada, el profesional de la salud designado por tu institución —bienestar universitario, orientación escolar o medicina laboral—, que recibe tu nombre, tu contacto y la señal, pero no tu diagnóstico. La institución como tal solo ve indicadores agregados: quien puede conocer una señal de salud tuya es un profesional sujeto a secreto, no un área administrativa.

Qué consecuencia tiene. Puede cambiar lo que la aplicación te sugiere, puede generar una alerta a tu profesional y, por encima de cierto umbral de riesgo, puede hacer que aparezcas identificado en el listado de seguimiento prioritario de quien te atiende.

Tu derecho. Ninguna de estas salidas es un diagnóstico. Tienes derecho a que una decisión que te afecte no se base únicamente en un tratamiento automatizado y a pedir la intervención de una persona: puedes solicitar la revisión por tu profesional tratante o por nuestra área de protección de datos, y puedes objetar el resultado.

11. Detección de señales de angustia y protocolo de seguridad

Analizamos automáticamente lo que escribes en el diario, en los tamizajes y en las conversaciones con el asistente para detectar señales de angustia o de crisis.

Si se detecta una señal, según su nivel: te mostramos recursos de ayuda y líneas de atención, registramos el evento, y —cuando hay un profesional vinculado y el nivel lo justifica— se le notifica para que pueda intervenir.

Lo hacemos con tu autorización expresa y, en las situaciones en que está en riesgo tu vida o tu integridad, con fundamento en la salvaguarda del interés vital que contempla el artículo 6 de la Ley 1581. Esta función no se puede desactivar, porque su finalidad es protegerte.

AURA360 no es un servicio de urgencias. Si estás en peligro inmediato, comunícate con la línea de emergencias 123 o con la línea de salud mental de tu ciudad, o acude al servicio de urgencias más cercano.

12. Registros clínicos: custodia, inmutabilidad, reserva y copia

Esta sección aplica solo al registro clínico —lo que un profesional genera y firma sobre tu atención—, no a tus datos de bienestar.

12.1 Nuestra posición

AURA360 no es prestador de servicios de salud y no está inscrita en el REPS. Sin embargo, vinculamos profesionales de la salud y custodiamos los registros clínicos que ellos generan. Por eso asumimos de forma voluntaria y conservadora el estándar de custodia de la Resolución 839 de 2017 del Ministerio de Salud y Protección Social: su artículo 2 nos alcanza porque somos una persona jurídica que se relaciona con la atención en salud, y su artículo 12 reconoce expresamente la figura de quien custodia historias clínicas pese a no tener la calidad de prestador, que es exactamente nuestra situación.

Asumir ese estándar no nos convierte en prestador ni implica que prestemos servicios de salud. Significa que protegemos tu registro clínico con el mismo rigor que la ley exige a quien lo custodia.

12.2 Cuánto tiempo lo conservamos

Quince (15) años contados desde la fecha de tu última atención: los primeros cinco en archivo de gestión y los diez siguientes en archivo central, conforme al artículo 3 de la Resolución 839 de 2017. Para historias clínicas de víctimas de violaciones de derechos humanos o de infracciones graves al Derecho Internacional Humanitario, ese término se duplica; y si el registro llega a formar parte de un proceso por delitos de lesa humanidad, la conservación es permanente.

Cumplido el plazo no borramos sin más: se inicia el procedimiento reglado de disposición final que exigen los artículos 3, 4 y 5 de esa resolución, que incluye avisos públicos ofreciéndote la entrega de tu historia clínica, valoración documental, acta de eliminación e informe a las autoridades de salud.

12.3 No se puede modificar ni borrar en partes

Una vez firmado, el registro clínico no se puede alterar. Los sistemas que manejan historias clínicas deben impedirlo (artículo 18 de la Resolución 1995 de 1999), y nuestra plataforma lo impide.

Si hay un error, se corrige por adición, nunca sobrescribiendo: se agrega el dato nuevo con fecha, hora, nombre e identificación de quien corrige, sin suprimir lo corregido y señalando el error que se subsana (artículo 8, parágrafo 1, de la Ley 2015 de 2020).

Tampoco es posible retirar una anotación suelta: el parágrafo 2 del artículo 5 de la Resolución 839 dispone que «por ningún motivo se podrán eliminar documentos individuales de una historia clínica».

12.4 Reserva

Tu historia clínica es un documento privado sometido a reserva que solo puede ser conocido por terceros con tu autorización o en los casos previstos en la ley (artículo 34 de la Ley 23 de 1981). Si un apoderado la solicita, debe acreditar poder con facultad expresa para acceder a esa información.

12.5 Tu derecho a verla y a obtener copia

Tienes derecho a consultar la totalidad de tu historia clínica de forma gratuita y a obtener copia (artículo 10, literal g, de la Ley 1751 de 2015), y a que te la suministremos por medio electrónico de forma gratuita, completa y rápida (artículo 9 de la Ley 2015 de 2020).

Nos comprometemos a entregarla dentro de los diez (10) días hábiles siguientes a tu solicitud.

12.6 Qué puedes y qué no puedes hacer con cada tipo de dato

La razón de las dos casillas negativas es una norma expresa: «La solicitud de supresión de la información y la revocatoria de la autorización no procederán cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos» (artículo 2.2.2.25.2.6 del Decreto 1074 de 2015).

12.7 Teleorientación e inteligencia artificial

Cuando la plataforma te ofrece orientación en salud a través de medios tecnológicos, se trata de teleorientación, que conforme al artículo 9 de la Resolución 2654 de 2019 no requiere habilitación. Te informamos que:

• la orientación no sustituye la consulta con un profesional y su alcance es informativo;
• la información generada podrá formar parte de tu historia clínica;
• cuando la teleorientación se apoya en inteligencia artificial, te lo informamos, y el responsable de la plataforma es AURA360 S.A.S (artículo 12.2 de la Resolución 2654 de 2019);
• puedes solicitar copia o resumen de la comunicación.

13. Quién más puede ver tus datos

14. Con quién compartimos tus datos

Hay dos situaciones distintas y conviene que las distingas, porque tus derechos no son iguales en una y en otra.

14.1 Encargados: tratan tus datos por nuestra cuenta

Estos proveedores tratan tus datos siguiendo nuestras instrucciones y solo para las finalidades de la sección 7. No pueden usarlos para fines propios.

14.2 Responsables independientes: deciden por su cuenta

Estos no son encargados nuestros. Cuando reciben un dato tuyo, lo tratan bajo sus propias políticas, que te recomendamos leer. Nosotros no controlamos qué hacen con él.

15. Transferencias y transmisiones internacionales

Nuestra infraestructura y la de nuestros proveedores está en Estados Unidos. Eso significa que tus datos, incluidos los sensibles, se tratan fuera de Colombia.

Puede hacerse por dos razones. La primera es que Estados Unidos figura en el listado de países que la Superintendencia de Industria y Comercio considera con un nivel adecuado de protección de datos (Circular Externa 005 de 2017, que desarrolla el artículo 26 de la Ley 1581 de 2012). La segunda es tu autorización expresa, que recoge específicamente el envío de datos sensibles fuera del país y que puedes revocar (Anexo B, punto 5).

16. Cómo protegemos tus datos

Sin entrar en detalles que debilitarían la propia seguridad: ciframos la información en tránsito y en reposo, aplicamos control de acceso por rol y por relación, exigimos contraseñas robustas almacenadas con funciones de derivación resistentes, limitamos la frecuencia de las peticiones, registramos los accesos a información clínica, filtramos los datos personales de nuestros registros técnicos y desidentificamos información antes de enviarla a los proveedores de inteligencia artificial en los flujos donde ese control está implementado.

Ningún sistema es invulnerable. Si ocurre un incidente que comprometa tus datos, lo reportaremos a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a su detección y te informaremos cuando corresponda.

17. Cuánto tiempo conservamos tus datos

Período de vigencia de las bases de datos. Nuestras bases de datos permanecerán vigentes mientras AURA360 desarrolle su objeto social y mientras subsista alguna de las finalidades declaradas en la sección 7 o algún deber legal de conservación. Cumplida la finalidad y vencido el deber legal, los datos se suprimen (artículo 2.2.2.25.2.8 del Decreto 1074 de 2015).

18. Tus derechos

Como titular, la Ley 1581 de 2012 te reconoce el derecho a:

a) Conocer, actualizar y rectificar tus datos frente a nosotros. b) Solicitar prueba de la autorización que otorgaste, salvo en los casos en que la ley no la exige. c) Ser informado, previa solicitud, sobre el uso que le hemos dado a tus datos. d) Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley. e) Revocar la autorización y solicitar la supresión de tus datos, con los límites de la sección 12.6. f) Acceder de forma gratuita a tus datos personales que hayan sido objeto de tratamiento.

Además, puedes consultar tus datos gratuitamente al menos una vez cada mes calendario, y cada vez que haya modificaciones sustanciales de esta política que motiven nuevas consultas.

19. Cómo ejerces tus derechos

Escribe a g.cardona@aura360.lat indicando tu nombre, tu documento de identidad, lo que solicitas y una dirección de contacto. Si actúas por medio de apoderado, adjunta el poder; para acceder a historia clínica, ese poder debe otorgar facultad expresa para ello.

Consultas

Te responderemos en un máximo de diez (10) días hábiles desde que recibimos tu solicitud. Si no fuera posible, te informaremos el motivo y la fecha en que atenderemos la consulta, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

Reclamos

Un reclamo es la solicitud de corrección, actualización o supresión, o el aviso de un presunto incumplimiento.

• Si el reclamo está incompleto, te requeriremos dentro de los cinco (5) días siguientes para que lo subsanes. Si pasan dos (2) meses sin respuesta tuya, se entenderá que desististe.
• Si no somos competentes, trasladaremos el reclamo a quien corresponda en un máximo de dos (2) días hábiles y te informaremos.
• Una vez recibido el reclamo completo, incluiremos en la base de datos la leyenda «reclamo en trámite» en un plazo no mayor a dos (2) días hábiles, y la mantendremos hasta que el reclamo sea decidido.
• El término máximo para resolver es de quince (15) días hábiles contados desde el día siguiente al de su recibo. Si no fuera posible, te informaremos los motivos y la nueva fecha, que no superará los ocho (8) días hábiles siguientes.

Revocatoria y supresión

Puedes revocar tu autorización total o parcialmente. La revocatoria parcial —por ejemplo, retirar el consentimiento para el análisis con inteligencia artificial— desactiva la función correspondiente y conserva el resto del servicio. No procede sobre datos que tengamos el deber legal de conservar (sección 12.6).

Antes de acudir a la Superintendencia

La ley exige que agotes primero el trámite de consulta o reclamo ante nosotros. Solo después podrás presentar la queja ante la Superintendencia de Industria y Comercio.

20. Menores de edad

El tratamiento de datos de niñas, niños y adolescentes está prohibido, salvo cuando se trate de datos de naturaleza pública o cuando el tratamiento responda y respete el interés superior del menor y asegure sus derechos fundamentales (artículo 7 de la Ley 1581 de 2012).

Si eres menor de edad, la autorización debe otorgarla tu padre, madre, representante legal o acudiente, quien acepta esta política y las autorizaciones en tu nombre. En todo caso se respetará tu derecho a ser escuchado, valorando tu opinión según tu madurez, autonomía y capacidad para entender el asunto.

Cuando prestamos el servicio a través de una institución educativa, la vinculación y las autorizaciones se gestionan con el acudiente.

21. Cambios a esta política

Podemos actualizar esta política. Cuando el cambio sea sustancial —es decir, cuando se refiera a la identificación del responsable o a la finalidad del tratamiento— te lo comunicaremos antes o a más tardar en el momento de implementarlo, y solicitaremos tu nueva autorización cuando el cambio se refiera a la finalidad, conforme al artículo 2.2.2.25.2.2 del Decreto 1074 de 2015.

Las versiones se publican con número y fecha, y la aceptación de cada versión queda registrada.

22. Vigencia

Esta política entra en vigencia el 22 de agosto de 2026 y sustituye cualquier versión anterior. El período de vigencia de las bases de datos es el señalado en la sección 17.