Esta política explica qué datos personales trata Novalkia, con qué rol jurídico los trata en cada caso, para qué los usa, cuánto tiempo los conserva y cómo cualquier titular puede conocerlos, actualizarlos, rectificarlos, suprimirlos o revocar su autorización. Se adopta en cumplimiento de la Ley 1581 de 2012, del Decreto 1074 de 2015 y de las circulares de la Superintendencia de Industria y Comercio que las reglamentan.
Novalkia desarrolla y opera sistemas de atención y agendamiento automatizado por WhatsApp para clínicas y prestadores de servicios de salud. Esta política cubre todos los datos personales que Novalkia trata, tanto los propios como los que trata por cuenta de sus clientes.
La Ley 1581 de 2012 distingue dos figuras que no son intercambiables: el Responsable del tratamiento, que es quien decide sobre la base de datos y sobre las finalidades del tratamiento, y el Encargado del tratamiento, que trata datos personales por cuenta del Responsable y siguiendo sus instrucciones. Novalkia ocupa una u otra posición según de qué datos se trate, y la diferencia determina a quién debe dirigirse un titular y quién responde ante la autoridad.
Novalkia es Responsable
Los datos de quienes nos escriben por el formulario, el correo o el WhatsApp de la agencia, y los de nuestros clientes y proveedores, son bases de datos nuestras. Nosotros decidimos sobre ellas y respondemos por ellas.
Novalkia es Encargado
Los datos de los pacientes que escriben al WhatsApp de una clínica pertenecen a la base de datos de esa clínica. La clínica es el Responsable. Novalkia los trata únicamente por cuenta de ella y conforme a sus instrucciones.
Los datos de los pacientes no son de Novalkia. Novalkia no es dueña de esas bases de datos, no las explota por cuenta propia, no las comercializa, no las cruza entre clínicas distintas y no las usa para ninguna finalidad que la clínica no haya definido.
La clínica, como Responsable, determina qué datos se recogen, para qué, por cuánto tiempo y bajo qué autorización; publica su propia política de tratamiento; y es la destinataria natural de las solicitudes de sus pacientes. Novalkia ejecuta, asegura y documenta ese tratamiento.
Esta distribución de roles consta, además de en esta política, en el contrato de transmisión de datos personales que Novalkia suscribe con cada clínica antes de poner el servicio en producción, en los términos del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Ese contrato define el alcance, las actividades autorizadas y las obligaciones de Novalkia como Encargado, y prevalece sobre esta política en lo que se refiera a esa relación concreta.
Esta política se aplica a los datos personales que Novalkia trata a través de su sitio web, de sus canales de contacto, de la relación comercial con clientes y proveedores, y de la operación del sistema de atención y agendamiento por WhatsApp que presta a sus clientes.
Esta parte se aplica a los datos de visitantes del sitio, prospectos, clientes y proveedores de Novalkia.
Ningún campo de nuestro formulario pide información financiera, de salud ni de ninguna otra categoría sensible. Si alguien nos envía por iniciativa propia información de ese tipo, no está obligado a hacerlo y la eliminaremos, salvo que resulte estrictamente necesaria y medie autorización expresa.
No usamos estos datos para publicidad pagada, no los vendemos, no los cedemos a terceros con fines comerciales y no inscribimos a nadie en listas de correo masivo sin que lo pida. Para cualquier finalidad distinta a las anteriores solicitaremos una autorización nueva y específica.
La casilla de autorización del formulario es obligatoria y con ella el interesado declara conocer esta política. Junto con el mensaje guardamos la fecha y la hora de esa autorización, como prueba del consentimiento. La autorización puede revocarse en cualquier momento escribiendo a agencia@novalkia.com.
Conservamos los datos de contacto mientras dure la gestión comercial y, si no se concreta una contratación, por un máximo de dos (2) años desde el último contacto. Los datos derivados de un contrato se conservan por el tiempo que exigen las normas comerciales y tributarias.
Esta parte se aplica a los datos personales de los pacientes que interactúan con el asistente de WhatsApp de una clínica operado con tecnología de Novalkia. En toda esta parte, el Responsable del tratamiento es la clínica; Novalkia actúa exclusivamente como Encargado.
| Categoría | Datos | Para qué |
|---|---|---|
| Identificación | Nombre completo y número de documento de identidad | Identificar al paciente de forma inequívoca y evitar citas duplicadas o asignadas a la persona equivocada |
| Contacto | Número de teléfono asociado a WhatsApp y correo electrónico | Sostener la conversación, confirmar la cita y enviar recordatorios |
| Cita | Fecha, hora, servicio solicitado, profesional asignado y estado de la cita | Agendar, reprogramar o cancelar, y reflejar la cita en el calendario del profesional |
| Conversación | Contenido de los mensajes de texto y la transcripción de las notas de voz que el paciente envía | Entender la solicitud, responderla y dejar trazabilidad de lo acordado |
| Consentimiento | Texto de la autorización aceptada, identificador del mensaje, fecha y hora | Acreditar ante la clínica y ante la autoridad que la autorización existió |
| Técnicos | Identificadores internos, registros de ejecución y marcas de tiempo | Operar, auditar y diagnosticar fallas del sistema |
Los campos obligatorios para agendar son configurables por cada clínica dentro de este conjunto. El sistema no solicita datos de tarjetas, cuentas bancarias, historia clínica ni resultados de exámenes.
El sistema trata esos datos únicamente para: atender la solicitud del paciente por WhatsApp; entregarle la información que la clínica haya autorizado publicar; registrar sus datos de contacto e identificación; agendar, reprogramar o cancelar su cita; reflejar la cita en el calendario del profesional; enviarle confirmaciones y recordatorios; escalar la conversación a una persona de la clínica cuando corresponde; y dejar la trazabilidad y los registros de auditoría que la clínica necesita.
El personal de Novalkia accede a los datos de una clínica únicamente cuando es necesario para operar, mantener o dar soporte al servicio, bajo acuerdos de confidencialidad y con el principio de mínimo acceso. Todo acceso queda registrado.
El sistema no pide al paciente su historia clínica, su diagnóstico ni resultados de exámenes. Sin embargo, en una conversación abierta el paciente puede describir por su cuenta el motivo de su consulta, un síntoma o una molestia. Esa información, cuando se refiere a la salud del titular, constituye dato sensible en los términos del artículo 5 de la Ley 1581 de 2012.
Frente a ese escenario se aplican las siguientes reglas:
El asistente no presta servicios de salud: no diagnostica, no interpreta síntomas, no recomienda tratamientos ni sustituye el criterio de un profesional. Tampoco es un canal de urgencias. La clínica es quien presta el servicio de salud y quien conserva, bajo su propia responsabilidad y normativa, la historia clínica del paciente.
El tratamiento de datos de niñas, niños y adolescentes está sujeto al régimen especial del artículo 7 de la Ley 1581 de 2012 y del artículo 2.2.2.25.2.9 del Decreto 1074 de 2015: debe responder al interés superior del menor, respetar sus derechos fundamentales y contar con la autorización del representante legal, previo ejercicio del derecho del menor a ser escuchado.
El sistema está diseñado para ser usado por una persona mayor de edad. Cuando la cita se agenda para un menor, se entiende que quien escribe es su representante legal y es él quien otorga la autorización, en nombre propio y en el del menor. Corresponde a la clínica, como Responsable, verificar esa condición y definir en su propia política el tratamiento de datos de menores. Novalkia no recoge deliberadamente datos de menores por fuera de ese supuesto.
Antes de registrar los datos del paciente, el asistente le presenta por WhatsApp un aviso de privacidad en lenguaje sencillo que indica quién es el Responsable —la clínica—, para qué se usarán sus datos, que existe una política de tratamiento consultable en un enlace, que puede ejercer sus derechos y que no está obligado a suministrar datos sensibles. El paciente debe manifestar su aceptación de forma expresa para que el flujo continúe.
De esa aceptación se conserva, como prueba del consentimiento: el texto exacto del aviso que se le mostró, la respuesta del paciente, el identificador del mensaje asignado por WhatsApp, el número desde el que escribió y la fecha y hora con zona horaria. Ese registro permite a la clínica acreditar la autorización ante el titular o ante la Superintendencia de Industria y Comercio, y se conserva mientras se conserven los datos a los que se refiere.
Si el paciente no acepta, el sistema no registra sus datos ni agenda la cita, y le indica cómo comunicarse directamente con la clínica.
El período de conservación de los datos de pacientes es configurable por cada clínica, que lo define en su condición de Responsable. A falta de instrucción expresa, el sistema aplica un período por defecto de veinticuatro (24) meses contados desde la última interacción del paciente con el canal.
Cumplido el período, o cuando la clínica ordena la supresión de un titular concreto, el sistema ejecuta una función de supresión que anonimiza de forma irreversible la información asociada a ese titular: se eliminan o se reemplazan por valores no reversibles los datos de identificación, contacto y el contenido de las conversaciones, de modo que la información restante no permita identificar ni hacer identificable a la persona. Los registros agregados que subsisten para fines estadísticos y de auditoría del sistema no constituyen datos personales.
Dos precisiones necesarias:
Al terminar la relación contractual con una clínica, Novalkia devuelve o suprime los datos tratados por cuenta de ella según lo que la clínica instruya, y elimina las copias en su poder salvo las que deba conservar por una obligación legal, dentro del plazo previsto en los términos del servicio.
Para prestar el servicio, Novalkia se apoya en los siguientes proveedores, que tratan datos personales por su cuenta y que están sujetos a las condiciones contractuales y de protección de datos de cada uno:
| Proveedor | Función | Datos que trata | Ubicación |
|---|---|---|---|
| Meta Platforms | Plataforma de WhatsApp Business que transporta y entrega los mensajes | Número de teléfono y contenido de los mensajes | Fuera de Colombia |
| OpenAI | Modelo de lenguaje que genera las respuestas del asistente y transcribe las notas de voz | Contenido de la conversación necesario para generar la respuesta | Fuera de Colombia |
| Google Calendar, donde se refleja la cita en la agenda del profesional | Fecha, hora, servicio, profesional y los datos de identificación del paciente que la clínica decida incluir en el evento | Fuera de Colombia | |
| Proveedor de infraestructura | Servidor privado virtual donde se ejecuta la aplicación y reside la base de datos | La totalidad de los datos del servicio, almacenados | Según el centro de datos contratado; puede estar fuera de Colombia |
La identidad y ubicación concretas del proveedor de infraestructura se informan a cada clínica en el contrato de transmisión de datos personales.
Novalkia no autoriza a estos proveedores a usar los datos para finalidades propias distintas de la prestación de su servicio. En el caso del proveedor de modelos de lenguaje, el servicio se consume a través de su interfaz de programación bajo condiciones que no permiten el uso del contenido para entrenar sus modelos. Novalkia no incorporará un subencargado nuevo que trate datos de pacientes sin informarlo previamente a la clínica, que podrá objetarlo en los términos del contrato.
Por fuera de estos casos, Novalkia no comparte datos con terceros, salvo requerimiento de autoridad competente en ejercicio de sus funciones legales, evento en el cual informará a la clínica cuando la ley se lo permita.
Los proveedores de la sección anterior operan servidores fuera de Colombia. Como tratan los datos por cuenta de Novalkia y, en última instancia, de la clínica, estos flujos constituyen transmisiones internacionales y no transferencias: no hay un cambio de Responsable y los proveedores no adquieren la facultad de decidir sobre los datos.
Conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, la transmisión internacional no requiere ser informada al titular ni contar con su autorización cuando existe un contrato de transmisión entre el Responsable y el Encargado que fije el alcance del tratamiento, las actividades autorizadas y las obligaciones de seguridad y confidencialidad. Novalkia suscribe ese contrato con cada clínica y traslada esas obligaciones a sus subencargados.
Cuando por su configuración un flujo deba tratarse como transferencia internacional, se aplicará alguno de los mecanismos previstos en el régimen colombiano —país con nivel adecuado de protección, cláusulas contractuales o declaración de conformidad ante la Delegatura de Protección de Datos Personales de la Superintendencia de Industria y Comercio—, según lo dispuesto en la Circular Externa 002 de 2025 de esa entidad. La Superintendencia aprobó además la adopción de las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos, cuyo uso es opcional.
El sistema se integra con Google Calendar para reflejar las citas en la agenda del profesional. Esa integración se autoriza mediante OAuth: es la clínica o el profesional quien concede el permiso desde su propia cuenta de Google, y quien puede retirarlo en cualquier momento.
El usuario puede revocar el acceso en cualquier momento desde la configuración de seguridad de su cuenta de Google o solicitándolo a agencia@novalkia.com. Revocado el acceso, Novalkia elimina las credenciales almacenadas y el sistema deja de operar sobre ese calendario; los eventos ya creados permanecen en el calendario del usuario, que puede eliminarlos por su cuenta.
El uso que Novalkia hace de la información recibida de las API de Google se ajusta a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).
Novalkia aplica medidas técnicas, humanas y administrativas razonables para proteger los datos frente a acceso no autorizado, pérdida, alteración o uso fraudulento:
Ningún sistema es invulnerable. Si se produce un incidente de seguridad que afecte datos personales, Novalkia lo informa a la clínica afectada sin dilación injustificada y le presta la colaboración necesaria para que, como Responsable, cumpla su deber de reportarlo a la Superintendencia de Industria y Comercio y, cuando corresponda, a los titulares.
La ley colombiana reconoce a todo titular estos derechos, que puede ejercer él mismo, sus causahabientes, su representante o apoderado, acreditando esa condición:
El Responsable de tus datos es la clínica que te atiende, y es a ella a quien debes dirigir tu solicitud: sus datos de contacto están en su propia política de tratamiento, en el enlace que te compartió el asistente. Si nos escribes a nosotros, atenderemos tu mensaje igual: trasladaremos la solicitud a la clínica dentro de los dos (2) días hábiles siguientes y te informaremos de ello, conforme al artículo 15 de la Ley 1581 de 2012. Cuando la clínica nos instruya ejecutar la actualización, rectificación o supresión, la aplicamos en el sistema.
Escríbenos a agencia@novalkia.com indicando tu nombre, un dato de contacto, la descripción de lo que solicitas y los documentos que quieras hacer valer. Ese es el único canal: no hay formularios ni trámites adicionales.
Consultas. Se atienden en un máximo de diez (10) días hábiles contados desde el día siguiente a su recepción. Si no fuera posible, informaremos los motivos y la fecha de atención, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.
Reclamos. Se atienden en un máximo de quince (15) días hábiles contados desde el día siguiente a su recepción. Si no fuera posible, informaremos los motivos y la fecha de atención, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer plazo. Si el reclamo llega incompleto, pediremos que se corrija dentro de los cinco (5) días siguientes; pasados dos meses sin respuesta, se entenderá desistido.
Este sitio no instala cookies de publicidad ni de seguimiento de terceros. El servidor donde está alojado registra datos técnicos propios de cualquier servicio web —dirección IP, fecha y hora de la visita, navegador— con fines de seguridad y funcionamiento. Esos registros no se cruzan con los datos del formulario para elaborar perfiles.
Esta política rige desde su fecha de publicación y permanece vigente mientras Novalkia trate datos personales. Las bases de datos se conservan por los períodos indicados en las secciones 4 y 9.
Podemos actualizarla cuando cambien los servicios, los proveedores o la normativa aplicable. Todo cambio sustancial se publicará en esta misma página con una fecha de actualización nueva y se comunicará a las clínicas clientes por el correo registrado, con antelación suficiente para que ejerzan los derechos que les reconozca el contrato.
Esta política sustituye a la publicada el 29 de agosto de 2026 en /tratamiento-de-datos.html, cuya dirección redirige a esta página.
