Política de Tratamiento de Datos Personales
Ley 1581 de 2012 · Decreto 1074 de 2015
CRIOLAB S.A.S. (sede Bogotá) y CRIOLAB MEDELLÍN S.A.S. (sede Medellín) ponen a disposición de los titulares la presente Política de Tratamiento de Datos Personales, elaborada de conformidad con la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y demás normas concordantes.
NIT 901.742.404 · NIT 901.902.322-6 — Prestación de servicios estéticos corporales, faciales y láser. Vigente a partir de su fecha de publicación y aprobación.
1. Objeto
La presente Política de Tratamiento de Datos Personales (en adelante, la “Política”) tiene por objeto establecer los criterios, principios y procedimientos bajo los cuales CRIOLAB S.A.S. y CRIOLAB MEDELLÍN S.A.S. (en adelante, conjunta e indistintamente, “CRIOLAB” o el “Responsable del Tratamiento”, según la sede en la que el titular haya sido atendido) recolectan, almacenan, usan, circulan, suprimen y en general tratan los datos personales de sus clientes, pacientes, proveedores y demás personas naturales con quienes se relacionan en desarrollo de su actividad, en cumplimiento de la Ley 1581 de 2012, el Decreto 1377 de 2013 (hoy compilado en el Título 2, Capítulos 25 y 26, del Decreto 1074 de 2015) y demás normas que los adicionen, modifiquen o sustituyan.
2. Responsable del tratamiento
CRIOLAB opera bajo dos sociedades hermanas, con la misma marca y el mismo representante legal, cada una responsable del tratamiento de los datos personales recolectados en su respectiva sede:
Criolab S.A.S. — sede Bogotá
NIT: 901.742.404
Domicilio / sede de atención: Calle 90 N.º 16-29, Oficina D08, Bogotá D.C.
Teléfono de sede: 324 254 2020
Criolab Medellín S.A.S. — sede Medellín
NIT: 901.902.322-6
Domicilio / sede de atención: Avenida El Poblado 1-50, Local 313, Medellín, Antioquia
Teléfono de sede: 305 227 3222
Datos de contacto comunes a ambas sedes
Correo electrónico: criolabcolombia@gmail.com
WhatsApp (línea única para ambas sedes): 313 810 7280
Sitio web: www.criolab.co
Actividad: Prestación de servicios estéticos corporales, faciales y láser
Nota: cuando en esta Política se use la expresión “CRIOLAB” sin distinción, se entenderá referida a la sociedad (Criolab S.A.S. o Criolab Medellín S.A.S.) que corresponda según la sede en la que el titular haya sido atendido o haya suministrado sus datos personales.
3. Definiciones
Para efectos de la interpretación y aplicación de la presente Política, se adoptan las definiciones establecidas en el artículo 3 de la Ley 1581 de 2012 y en el Decreto 1074 de 2015:
Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato sensible: aquel que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación, tal como los datos de salud, la vida sexual y los datos biométricos, entre otros.
Titular: persona natural cuyos datos personales sean objeto de tratamiento.
Tratamiento: cualquier operación sobre datos personales, tal como la recolección, almacenamiento, uso, circulación o supresión.
Responsable del tratamiento: persona natural o jurídica que decide sobre la base de datos y/o el tratamiento de los datos.
Encargado del tratamiento: persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del Responsable.
Autorización: consentimiento previo, expreso e informado del titular para llevar a cabo el tratamiento de datos personales.
Aviso de privacidad: comunicación verbal o escrita generada por el Responsable, dirigida al titular, para informarle acerca de la existencia de las políticas de tratamiento de información que le serán aplicables, la forma de acceder a las mismas y las finalidades del tratamiento.
Historia clínica: documento privado, obligatorio y sometido a reserva, en el que se registran cronológicamente las condiciones de salud del paciente, conforme a la Resolución 1995 de 1999 del Ministerio de Salud.
4. Marco normativo
Constitución Política de Colombia, artículo 15 (derecho al habeas data).
Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protección de datos personales.
Decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012, hoy compilado en el Decreto Único Reglamentario 1074 de 2015 (Título 2, Capítulos 25 y 26).
Circular Única de la Superintendencia de Industria y Comercio (SIC), Título V.
Resolución 1995 de 1999 del Ministerio de Salud y Protección Social, sobre el manejo, custodia y conservación de las historias clínicas.
Ley 23 de 1981 y su Decreto Reglamentario 3380 de 1981, sobre ética médica, en lo relacionado con la reserva de la información clínica.
Decreto 090 de 2018 y demás normas sobre el Registro Nacional de Bases de Datos (RNBD) administrado por la SIC.
5. Principios rectores del tratamiento
De conformidad con el artículo 4 de la Ley 1581 de 2012, CRIOLAB aplicará los siguientes principios en el tratamiento de datos personales:
Legalidad: el tratamiento es una actividad reglada que debe sujetarse a lo establecido en la ley y las demás disposiciones que la desarrollen.
Finalidad: el tratamiento obedece a una finalidad legítima, informada al titular.
Libertad: el tratamiento solo se ejerce con el consentimiento previo, expreso e informado del titular.
Veracidad o calidad: la información sujeta a tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible.
Transparencia: se garantiza el derecho del titular a obtener del Responsable, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
Acceso y circulación restringida: el tratamiento se sujeta a los límites derivados de la naturaleza de los datos personales y solo puede hacerse por personas autorizadas por el titular o por las personas previstas en la ley.
Seguridad: la información se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado.
Confidencialidad: todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con CRIOLAB.
6. Categorías de titulares
La presente Política aplica al tratamiento de datos personales de las siguientes categorías de titulares, todos ellos personas naturales:
Clientes y pacientes: personas que solicitan información, cotizan, adquieren o reciben los servicios estéticos prestados por CRIOLAB.
Contactos de emergencia: personas naturales designadas por el cliente o paciente para ser contactadas ante una eventualidad relacionada con el servicio prestado.
Proveedores y contratistas (personas naturales): personas naturales que prestan bienes o servicios a CRIOLAB.
Colaboradores: empleados y personal vinculado a CRIOLAB, en lo relacionado con su gestión de talento humano.
Visitantes del sitio web y redes sociales: personas que interactúan con los canales digitales de CRIOLAB.
7. Finalidades del tratamiento
Los datos personales recolectados por CRIOLAB serán tratados para las siguientes finalidades:
Atender solicitudes de información y elaborar cotizaciones de los servicios estéticos ofrecidos.
Agendar, confirmar, modificar y recordar citas.
Formalizar la venta y prestación de los servicios contratados.
Realizar la valoración estética o médica previa, incluyendo el diligenciamiento de la historia clínica y el consentimiento informado del procedimiento.
Prestar el servicio de posventa, seguimiento y control de resultados de los tratamientos realizados.
Contactar al titular o a su contacto de emergencia ante cualquier eventualidad relacionada con el procedimiento.
Registrar fotografías de “antes y después” y medidas corporales con fines clínicos, de seguimiento del tratamiento y de verificación de resultados.
Facturación, contabilidad y cumplimiento de obligaciones legales, tributarias y contables.
Envío de comunicaciones comerciales, publicitarias y promocionales sobre los servicios de CRIOLAB, incluyendo el uso de fotografías y videos con fines de mercadeo en redes sociales y otros medios digitales, cuando exista autorización específica para ello.
Atender peticiones, quejas, reclamos y solicitudes de ejercicio de los derechos del titular.
Gestionar la relación con proveedores y contratistas.
Gestionar la relación laboral con los colaboradores de CRIOLAB, de conformidad con la normatividad laboral vigente.
Dar cumplimiento a requerimientos de autoridades judiciales o administrativas competentes.
8. Tipos de datos recolectados
En desarrollo de las finalidades descritas, CRIOLAB podrá recolectar, entre otros, los siguientes datos personales:
Nombre completo.
Número de cédula de ciudadanía.
Número de teléfono fijo y/o celular.
Número de WhatsApp.
Correo electrónico.
Dirección de residencia.
Fecha de nacimiento y/o edad.
Información de contacto de emergencia (nombre y teléfono de un tercero).
Fotografías del “antes” y el “después” del procedimiento, y registro de medidas corporales.
Parágrafo. Las fotografías, medidas corporales y demás información recolectada en el marco de la valoración y prestación del servicio hacen parte del expediente o historia del cliente, y se tratan bajo el mismo nivel de reserva y seguridad aplicable a los datos sensibles descritos en el numeral siguiente.
9. Datos sensibles
De conformidad con el artículo 5 de la Ley 1581 de 2012 y el artículo 2.2.2.25.2.1 del Decreto 1074 de 2015, se consideran datos sensibles, entre otros, aquellos relacionados con la salud de las personas. En desarrollo de su actividad, CRIOLAB recolecta y trata las siguientes categorías de datos sensibles:
Información relacionada con tratamientos médicos y estéticos: diagnósticos, procedimientos realizados, medicamentos o insumos aplicados, y demás información propia de la valoración y ejecución del servicio.
Información de salud: antecedentes médicos relevantes para la prestación segura del servicio, reportados por el titular durante la valoración.
Antecedentes relevantes: condiciones previas, alergias, cirugías, tratamientos anteriores o contraindicaciones que el titular declare durante la valoración.
CRIOLAB obtiene el consentimiento informado del titular mediante formato digital y firma, de manera previa a la realización de cualquier procedimiento, en el cual se explican de forma clara los riesgos, alcances y condiciones del tratamiento estético a realizar, y se recaba de forma expresa la autorización para el tratamiento de los datos sensibles de salud asociados. En todo caso, el titular no está obligado a responder preguntas sobre datos sensibles, salvo que dicha información sea estrictamente necesaria para la prestación segura del servicio, en cuyo caso se le informará dicha circunstancia antes de la recolección.
10. Tratamiento de fotografías, videos y contenido con fines comerciales y publicitarios
10.1. Fotografías clínicas de “antes y después”
CRIOLAB toma, de manera habitual, fotografías del “antes” y el “después” de cada procedimiento, así como el registro de medidas corporales, con el fin de documentar la evolución del tratamiento, verificar resultados y soportar el seguimiento clínico del titular. Este registro hace parte del expediente del cliente y se conserva con las medidas de seguridad y confidencialidad propias de los datos sensibles.
10.2. Uso de imágenes con fines de mercadeo, publicidad y contenido con influenciadores
El uso de las fotografías o videos del titular con fines comerciales, publicitarios o de contenido para redes sociales —incluyendo la producción de contenido en colaboración con influenciadores o creadores de contenido— requiere una autorización específica, previa, expresa e independiente de la autorización general de tratamiento de datos y del consentimiento informado del procedimiento. En consecuencia, CRIOLAB cuenta con un formato de autorización de uso de imagen diferenciado, en el que el titular puede optar, entre otras, por las siguientes alternativas:
Autorizar el uso de su imagen únicamente para fines clínicos y de seguimiento interno del tratamiento.
Autorizar adicionalmente su publicación en los canales digitales y redes sociales de CRIOLAB, con el rostro visible.
Autorizar su publicación con el rostro cubierto, difuminado o recortado, mostrando únicamente la zona tratada.
La autorización de uso de imagen con fines comerciales podrá ser revocada en cualquier momento por el titular, sin que ello afecte la validez de las publicaciones realizadas con anterioridad a la revocatoria, ni la prestación del servicio contratado.
Parágrafo — menores de edad
En caso de que el titular sea menor de edad, la autorización para el tratamiento de sus datos personales y, en especial, para el uso de su imagen con fines comerciales o publicitarios, deberá ser otorgada por sus padres o representantes legales, atendiendo el interés superior del menor y sus derechos prevalentes, de conformidad con la Constitución Política y el Código de la Infancia y la Adolescencia (Ley 1098 de 2006).
11. Derechos de los titulares
De conformidad con el artículo 8 de la Ley 1581 de 2012, los titulares de los datos personales tratados por CRIOLAB tienen derecho a:
Conocer, actualizar y rectificar sus datos personales frente al Responsable del Tratamiento, en especial cuando sean parciales, inexactos, incompletos, se encuentren fraccionados, induzcan a error, o cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
Solicitar prueba de la autorización otorgada al Responsable del Tratamiento, salvo cuando se trate de una excepción legal para prescindir de ella.
Ser informado por el Responsable del Tratamiento, previa solicitud, respecto del uso que se ha dado a sus datos personales.
Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante CRIOLAB.
Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales, salvo que exista un deber legal o contractual que impida su eliminación.
Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento, al menos una vez cada mes calendario, y cada vez que existan modificaciones sustanciales de la presente Política.
12. Procedimiento para consultas y reclamos
12.1. Consultas
El titular, sus causahabientes o su representante o apoderado podrán consultar la información personal que repose en las bases de datos de CRIOLAB. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo. Cuando no fuere posible atenderla dentro de dicho término, se informará al interesado antes del vencimiento del plazo, expresando los motivos de la demora y señalando la fecha en que se atenderá la consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
12.2. Reclamos
El titular que considere que su información debe ser corregida, actualizada o suprimida, o que advierta el presunto incumplimiento de cualquiera de los deberes contenidos en la Ley 1581 de 2012, podrá presentar un reclamo ante CRIOLAB, con la identificación del titular, la descripción de los hechos, la dirección y los documentos que se quiera hacer valer.
Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas; transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atenderlo dentro de dicho término, se informará al interesado los motivos de la demora antes del vencimiento del plazo señalado, indicando la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.
13. Canales de atención
Para el ejercicio de los derechos descritos, así como para la presentación de consultas y reclamos, CRIOLAB dispone de los siguientes canales de atención, comunes a ambas sedes:
Correo electrónico: criolabcolombia@gmail.com
WhatsApp (línea única para ambas sedes): 313 810 7280
Sitio web: www.criolab.co, donde además se publica la versión vigente de esta Política de Tratamiento de Datos Personales.
Atención presencial en Bogotá: Calle 90 N.º 16-29, Oficina D08, Bogotá D.C. — Teléfono de sede: 324 254 2020
Atención presencial en Medellín: Avenida El Poblado 1-50, Local 313, Medellín, Antioquia — Teléfono de sede: 305 227 3222
14. Encargados del tratamiento y terceros
CRIOLAB podrá compartir datos personales con terceros que actúan como Encargados del Tratamiento, quienes tratan la información por cuenta y bajo las instrucciones de CRIOLAB, y con quienes se suscribirán los contratos o cláusulas de encargo del tratamiento exigidos por el artículo 25 del Decreto 1074 de 2015, garantizando que la información recibirá el mismo nivel de protección aquí descrito. Entre otros, podrán tener la calidad de Encargados:
Proveedores de software de agendamiento, historia clínica y CRM, utilizados para la gestión de citas, expedientes de clientes y relacionamiento comercial.
Proveedores de almacenamiento en la nube, para el resguardo de bases de datos, fotografías e información administrativa.
Agencias de mercadeo, community management e influenciadores, cuando exista autorización específica del titular para el uso de su imagen con fines comerciales.
Proveedores de servicios contables, tributarios y de facturación electrónica.
Entidades bancarias y pasarelas de pago, para el procesamiento de transacciones.
Transferencia y transmisión internacional. En caso de que alguno de los proveedores mencionados almacene o procese información en servidores ubicados fuera de Colombia (por ejemplo, proveedores de nube o plataformas de redes sociales), dicha transmisión o transferencia internacional se realizará dando cumplimiento a lo dispuesto en los artículos 26 y 27 de la Ley 1581 de 2012, verificando que el país de destino ofrezca niveles adecuados de protección de datos, o mediante la suscripción de las cláusulas contractuales que para el efecto disponga la normatividad vigente.
15. Seguridad de la información
CRIOLAB ha adoptado medidas técnicas, humanas y administrativas razonables para proteger los datos personales contra pérdida, uso indebido, acceso no autorizado, alteración o divulgación, entre las cuales se encuentran:
Almacenamiento en infraestructura propia y en la nube, con mecanismos de respaldo y recuperación de la información.
Uso de sistemas CRM y de historia clínica digital con control de usuarios y trazabilidad de acceso a la información.
Restricción de acceso a los datos sensibles, mediante claves y perfiles de usuario, únicamente al personal autorizado que, por razón de sus funciones, requiere consultar dicha información (personal médico, estético y administrativo autorizado).
Actualización periódica de contraseñas de los aplicativos que almacenan datos sensibles.
Suscripción de acuerdos de confidencialidad con el personal que tiene acceso a datos sensibles.
Protocolo de gestión de incidentes de seguridad, para la atención y reporte oportuno de cualquier vulneración a los códigos de seguridad o pérdida, alteración o acceso no autorizado a los datos personales, incluyendo su reporte a la Superintendencia de Industria y Comercio cuando así se requiera.
16. Conservación y eliminación de los datos
Los datos personales serán conservados durante el tiempo que sea razonable y necesario para cumplir las finalidades para las cuales fueron recolectados, así como durante el tiempo exigido por la normatividad aplicable, atendiendo en particular las siguientes reglas:
Historia clínica, fotografías clínicas y demás información de salud: se conservarán por un periodo mínimo de quince (15) años contados a partir de la fecha de la última atención, de conformidad con lo dispuesto en la Resolución 1995 de 1999 del Ministerio de Salud y Protección Social.
Información contable, tributaria y financiera: se conservará por el término previsto en el Código de Comercio y la normatividad tributaria vigente (en términos generales, mínimo cinco (5) años).
Datos de contacto y comerciales: se conservarán mientras se mantenga la relación comercial con el titular y durante un tiempo adicional razonable para atender eventuales reclamaciones, luego de lo cual serán eliminados o anonimizados, salvo que exista una obligación legal de conservación mayor.
Fotografías y videos con fines comerciales: se conservarán mientras se mantenga vigente la autorización específica otorgada por el titular, o hasta que este la revoque.
Una vez cumplida la finalidad del tratamiento y vencidos los plazos legales de conservación, los datos personales serán eliminados de forma segura de las bases de datos de CRIOLAB, o serán anonimizados cuando su conservación resulte necesaria con fines estadísticos o históricos.
17. Tratamiento de datos de menores de edad
Cuando CRIOLAB deba tratar datos personales de menores de edad, se dará estricto cumplimiento al interés superior de los niños, niñas y adolescentes y al respeto de sus derechos prevalentes. El tratamiento de los datos personales de menores de edad requerirá el consentimiento previo, expreso e informado de sus padres o representantes legales, quienes actuarán en representación del menor, garantizando que este sea escuchado en la medida en que su desarrollo evolutivo lo permita.
18. Modificaciones a la política
CRIOLAB podrá modificar la presente Política en cualquier momento, en cuyo caso informará oportunamente dichos cambios a los titulares, y en especial cuando la modificación se refiera a la finalidad del tratamiento de datos personales, a través de los canales de atención dispuestos en el numeral 13, o mediante la publicación de la versión actualizada en los canales digitales de CRIOLAB.
19. Vigencia
La presente Política rige a partir de su fecha de publicación y aprobación, y las bases de datos sobre las que se aplica tendrán una vigencia igual al tiempo en que se mantenga y utilice la información para las finalidades descritas, atendiendo las reglas de conservación establecidas en el numeral 16.