Versión preliminar del 13 de octubre de 2026, pendiente de revisión jurídica. No constituye asesoría legal.

Política de tratamiento de datos personales

Operador: VETCITAS. NIT: en trámite. Contacto: dderek770@gmail.com. La identificación jurídica completa y los datos de notificación del operador están pendientes de validación antes de aprobar estos documentos.

1. Alcance, marco y responsables

La clínica es responsable de los datos de sus clientes: decide las finalidades de atención, agenda, historia veterinaria y cobros. VETCITAS es encargado al tratarlos por sus instrucciones. VETCITAS es responsable de las cuentas de plataforma y de los contactos comerciales, así como de sus finalidades propias de contratación, facturación del servicio y seguridad. Administrar la identidad técnica global del dueño no autoriza a reunir historias de distintas clínicas ni a reutilizarlas para publicidad propia.

Esta política se prepara para Colombia conforme a la Ley 1581 de 2012 y al Decreto 1377 de 2013, compilado en el capítulo 25 del Decreto 1074 de 2015. Se aplican los principios de legalidad, finalidad, libertad, calidad, transparencia, acceso restringido, seguridad y confidencialidad.

Para Venezuela se deben revisar los derechos de acceso, conocimiento del uso, actualización, rectificación y destrucción procedente de los artículos 28 y 60 constitucionales, además de normas sectoriales y de contratación electrónica. No se presume que el régimen colombiano sustituya al venezolano ni se certifica la inexistencia de otras normas locales.

2. Titulares, datos y finalidades

| Ámbito | Datos previstos | Finalidad y rol | |---|---|---| | Contactos de clínicas y prueba | Nombre, correo, teléfono y datos de clínica o representante aportados | Evaluar solicitudes, contactar, dar de alta y comunicar vencimiento o cierre; VETCITAS responsable | | Contratación y suscripción | Identificación y contacto del contratante, plan, importes, moneda, referencias, cobros y avisos | Contratar, facturar el SaaS, conciliar y atender soporte; VETCITAS responsable | | Cuentas de plataforma | Nombre, correo, identificadores, credenciales protegidas, sesiones, roles y actividad | Identidad técnica, acceso, recuperación y seguridad; VETCITAS responsable de estas finalidades propias | | Personal clínico | Cuenta, rol, firma visual, tarjeta profesional y actividad | Administración del personal por la clínica y acceso al sistema por VETCITAS, separando ambas finalidades; una firma visual no equivale a firma digital certificada | | Clientes y contactos | Nombre, documento, teléfono, correo, dirección, contacto de emergencia y notas | Atención y contacto por la clínica responsable; VETCITAS encargado | | Mascotas y atención | Animal vinculado al dueño, citas, motivos, historias veterinarias, exámenes, vacunas, profesionales, documentos, fotos y adjuntos | Agenda, atención, archivo y acceso autorizado por la clínica responsable; VETCITAS encargado | | Cobros veterinarios | Importes, conceptos, recibos, referencias, estados, cuentas receptoras y comprobantes | Cobro y verificación por la clínica, distinto de la suscripción SaaS; VETCITAS encargado | | Comunicaciones y asistencia | Destinatario, mensajes, adjuntos, token de dispositivo y textos del asistente | Avisos operativos propios o asistenciales por instrucciones clínicas y asistencia utilizada, según finalidad y autorización | | Seguridad y evidencia | IP o prefijo/hash según flujo, agente de usuario, errores, eventos seleccionados, documento, versión, hash, decisión, fecha, canal y ámbito de aceptación | Antiabuso, acceso, trazabilidad, atención de derechos y prueba de decisiones; rol según finalidad propia o instrucción clínica |

Los datos proceden de formularios, cuentas, registros del personal autorizado y operaciones del servicio. Los textos libres y archivos pueden contener datos personales no previstos y deben minimizarse. El hash de una IP no garantiza anonimato. Catálogos, inventario y reportes pueden incluir datos de proveedores naturales o autores cuando se asocian a personas. Las copias PDF o de hojas de cálculo necesitan control de acceso y custodia por quien las recibe.

3. Autorizaciones y datos facultativos

Se obtiene autorización previa e informada, conservable para consulta posterior, salvo una excepción legal aplicable identificada y documentada. El contrato SaaS o un supuesto interés legítimo no se usan como excepción general al consentimiento colombiano. La clínica debe acreditar la autorización de sus clientes e informar su política; este texto explica el papel tecnológico y no reemplaza su identidad, finalidades o deberes.

La aceptación de una reserva se limita a esa clínica y solicitud. La política se acepta por cada clínica vinculada; la cuenta global no habilita tratamiento asistencial entre todas ellas. El personal acepta para su uso individual; solo el administrador que declara representación acepta el acuerdo de encargo por la clínica. Si una reserva enlaza esta política por falta de URL clínica, se informa que es la política del encargado; la clínica conserva sus deberes de información y autorización.

Las promociones requieren una decisión separada, voluntaria y revocable; no son condición del servicio. La autorización de datos no sustituye el consentimiento veterinario para procedimientos. Puedes abstenerte de entregar datos facultativos; si falta un dato necesario se explica qué operación no puede realizarse.

No se solicitan datos sensibles de salud humana ni cuentas de menores en estos flujos. La salud animal no es por sí sola salud humana sensible. Si notas o archivos contienen datos sensibles humanos, se evalúan necesidad, autorización explícita o excepción y se advierte que responder es facultativo; la atención no se condiciona a datos sensibles innecesarios. Si aparecen datos de menores, debe aplicarse un procedimiento que proteja sus derechos e interés superior conforme a la normativa aplicable. Un contacto de emergencia es otro titular y tu autorización no reemplaza automáticamente la suya.

Proveedores y circulación de datos

Según las funciones utilizadas y la configuración, intervienen:

• Resend: correo transaccional principal; Brevo: correo de respaldo. Reciben destinatario, asunto, contenido y adjuntos, que pueden incluir recibos e historias veterinarias. Un reintento puede pasar por ambos.
• Cloudflare Turnstile: protección de formularios contra abuso; trata el desafío, señales del navegador y, cuando se envía en la verificación, la IP.
• Groq IA: asistencia mediante texto, mensajes y contexto enviados al asistente cuando está habilitado y se utiliza. No se ha acreditado anonimización automática ni exclusión de entrenamiento o retención en la cuenta contratada.
• Firebase Cloud Messaging (FCM): entrega de notificaciones a dispositivos mediante su token y el contenido del aviso; requiere credenciales y dispositivos registrados. Su activación efectiva está por confirmar.
• Sentry: errores y trazas técnicas cuando está configurado. Reducir los datos personales predeterminados no garantiza que errores o contexto estén libres de ellos.
• Mercado Pago y Wompi: pagos de clientes cuando la clínica activa y conecta la pasarela. Mercado Pago también puede gestionar suscripciones de VETCITAS con configuración de plataforma, como operación distinta. El medio de pago se introduce en el proveedor externo, que puede tratar datos para fines propios.
• Hosting y almacenamiento: alojamiento de aplicación, base de datos, archivos y copias según el despliegue; proveedor y condiciones por confirmar.

El inventario de terceros explica datos, finalidades y condiciones de activación. Estas integraciones no prueban que todas estén activas ni que sus contratos estén formalizados. Entidades contratadas, países de tratamiento, subencargados y garantías deben confirmarse; algunos tratamientos pueden ocurrir fuera del país del titular. Debe distinguirse la transmisión por cuenta de un responsable de la transferencia a otro responsable y verificar el mecanismo jurídico aplicable antes de habilitar cada tratamiento. La lista no autoriza cualquier proveedor o finalidad futura.

El contenido clínico no se habilita para venta, publicidad propia de VETCITAS ni entrenamiento propio de modelos. Antes de usar IA con datos identificables deben validarse instrucciones, finalidad, minimización y garantías del proveedor; si faltan, debe limitarse ese envío. Una autorización general no resuelve por sí sola las condiciones de Groq.

Seguridad y confidencialidad

Las medidas de seguridad describen controles de acceso, protección de credenciales y aislamiento por clínica, con sus límites. Historias y archivos no tienen cifrado integral a nivel de aplicación; el cifrado de disco, copias y configuración del servidor requieren verificación. La auditoría cubre operaciones y eventos seleccionados, con alcance parcial. Estos controles reducen riesgos y requieren mantenimiento, sin garantizar ausencia de incidentes.

Derechos y canales de atención

El titular puede conocer, actualizar y rectificar sus datos, acceder gratuitamente a ellos, solicitar prueba de autorización e información sobre su uso, y pedir revocación o supresión cuando proceda. Puede presentar queja ante la Superintendencia de Industria y Comercio en Colombia, después del trámite previo aplicable ante responsable o encargado. Una obligación legal o contractual de conservación puede limitar la supresión; la respuesta debe explicar fundamento, datos conservados y plazo.

Los canales son el formulario de derechos, el portal o la app con cuenta autenticada, y dderek770@gmail.com. Este contacto recibe las solicitudes y coordina con la clínica cuando sea responsable. La designación interna de la persona o área de protección de datos está pendiente de formalización. Se debe indicar nombre, medio de respuesta, clínica si corresponde, solicitud y hechos. Se verifica identidad o representación con información proporcional, sin exigir copia de documento por defecto ni revelar datos ajenos. Los derechos no dependen de pagar o mantener una prueba activa.

En Colombia, las consultas se responden en 10 días hábiles desde su recepción; una extensión de hasta 5 días hábiles adicionales exige informar motivo y nueva fecha antes de vencer. Los reclamos se atienden en 15 días hábiles desde el día siguiente a su recepción, con extensión motivada e informada antes del vencimiento de hasta 8 días hábiles adicionales. Se utiliza el calendario hábil aplicable, incluidos sus festivos.

Si el reclamo está incompleto, se pide subsanarlo dentro de los 5 días siguientes a su recepción; tras 2 meses desde el requerimiento sin completarlo, se entiende desistido. Quien no sea competente lo traslada en máximo 2 días hábiles e informa al solicitante. Recibido el reclamo completo, se incorpora la indicación de reclamo en trámite y su motivo en un máximo de 2 días hábiles hasta decidirlo. La coordinación con la clínica no reinicia los términos.

Estos plazos corresponden a la Ley 1581 de 2012. Para Venezuela se proponen como estándar contractual de atención, pendiente de aprobación, sin presentarlos como plazos legales locales ni limitar derechos o recursos exigibles allí.

Conservación, prueba y salida

Se conservan datos mientras sean necesarios para la finalidad informada o exista una obligación de archivo o conservación justificada. Cerrar una cuenta no elimina automáticamente las historias de todas las clínicas. La clínica debe fijar plazo y custodio del archivo veterinario, vacunas y adjuntos conforme a sus obligaciones; no se adopta automáticamente el plazo de historias humanas. Para documentos comerciales y contables colombianos se toma como referencia 10 años desde el último asiento, documento o comprobante, sujeto a su clasificación y normas especiales; esto no obliga a guardar todo perfil o registro por 10 años. Los plazos contables venezolanos están pendientes de revisión local.

La prueba propuesta dura 14 días desde la activación del administrador. Sin conversión a un plan, se prevé borrar el contenido operativo a los 30 días de su vencimiento, con una ventana de consulta y exportación para la clínica. Antes de cargar datos reales, la clínica debe obtener autorizaciones y asegurar su archivo obligatorio fuera del servicio. Solo se exceptúa conservación delimitada por obligación legal o reclamación justificada, con fundamento, acceso restringido y fecha de revisión. Esta regla no se extiende automáticamente a clínicas pagadas, suspensiones administrativas ni reversiones de pago.

La purga operativa no elimina de inmediato todas las copias. El plan propone rotación de backups de hasta 30 días desde la purga y copia preventiva de prueba de máximo 7 días, aislada y cifrada. Son objetivos pendientes de verificación operativa, no medidas acreditadas de producción. Deben registrarse expiración y destrucción y reaplicarse las supresiones antes de habilitar una restauración. Los detalles figuran en la política de tratamiento. No se promete eliminación irreversible de toda copia al día 30.

Cuadro adicional de retención

Las siguientes ventanas son propuestas del plan, pendientes de aprobación jurídica y validación operativa; no describen purgas ya implementadas salvo la rutina de reservas indicada.

| Datos | Regla propuesta o alcance observado | |---|---| | Perfil y cuenta del dueño | Mientras dure la finalidad o relación; después supresión o archivo mínimo justificado. Eliminar un vínculo clínico no elimina los demás | | Pruebas rechazadas o no activadas | Contacto detallado: 90 días desde rechazo o cierre. Antiabuso pseudonimizado: hasta 12 meses únicamente si se justifica e informa | | Reservas públicas | La rutina del sistema anonimiza descartadas con más de 90 días desde descarte y nuevas con más de 180 días desde creación; no procesa convertidas. Subsisten estado, fechas, relaciones, preferencias y evidencia; revisar reidentificación y depuración de duplicados | | Logs de seguridad, IA y correo | 90 días operativos; ampliación hasta 12 meses solo con finalidad o riesgo documentado. Depurar datos personales de asuntos, errores y valores de auditoría | | Evidencia legal, contratos y borrado | Vigencia más plazo de reclamación o prescripción que fije el abogado; evidencia mínima, sin conservar todo el expediente clínico para probar aceptación | | Sesiones, activaciones, refresh y dispositivos push | Revocación al cerrar o suspender según caso; depuración de expirados con ventana operativa propuesta de 30 días. Evidencia de incidentes separada y justificada | | Exportaciones temporales | Propuesta de 72 horas; hasta 7 días para salida masiva acordada. La copia descargada queda bajo custodia del receptor; no se afirma que exista hoy descarga con esos vencimientos |

Toda conservación excepcional debe identificar fundamento, datos mínimos, custodio, fecha de revisión y vencimiento, sin reutilización operativa. Una baja lógica no acredita borrado definitivo. La clínica traslada su archivo obligatorio al terminar el SaaS; VETCITAS conserva sus propios documentos comerciales cuando corresponda.

Acceso, exportación y cierre multiclínica

La exportación básica prevista entrega JSON de la clínica de la sesión con perfil, mascotas, citas, historias sin notas internas, vacunas, pagos, metadatos y enlaces autenticados de adjuntos y aceptaciones propias. No incluye binarios, contraseñas, tokens, secretos, auditoría o datos ajenos; se limita a una exportación por hora por cuenta. Otros documentos propios pueden solicitarse por el canal de derechos, con explicación de restricciones. No se presenta esta función como portabilidad general del régimen europeo.

Cerrar la identidad global exige coordinar cada vínculo y revocar accesos; cada clínica decide la conservación justificada de sus registros. Se debe responder con el alcance de lo eliminado, lo conservado y las copias pendientes, también si terminó la prueba.

Versión y cambios

Este borrador se identifica como 2026-10-13-preliminar-v1, de fecha 13 de octubre de 2026; no certifica cumplimiento ni sustituye la revisión jurídica o la política propia de cada clínica. Las nuevas versiones se identificarán y, para documentos que requieren aceptación, se solicitará aceptación expresa conservando la evidencia anterior. Abrir un texto o continuar usando el servicio no equivale a aceptar. Los cambios de finalidad que lo requieran deberán contar con autorización antes de iniciar ese tratamiento.

Documentos relacionados: aviso de privacidad, cookies, términos de clínicas, términos de dueños y modelo de autorización.