1. Responsable y encargado del tratamiento

Turney (en adelante, "Turney" o "nosotros") actúa en dos roles distintos según el tipo de datos:

• Responsable del tratamiento de los datos de los propietarios de negocios que se registran en la plataforma (nombre, email, teléfono, datos de facturación).

• Encargado del tratamiento (procesador de datos) de los datos de los clientes finales y pacientes de cada negocio (nombre, número de WhatsApp, historial de turnos, citas y datos clínicos). En este caso, el negocio registrado en Turney es el responsable del tratamiento de los datos de sus propios clientes y pacientes, y es quien debe obtener su consentimiento conforme a la Ley 1581 de 2012.

Para consultas: turneylat@gmail.com

2. Datos que recopilamos

Datos de propietarios de negocios: nombre completo, correo electrónico, número de WhatsApp del negocio, nombre del negocio, dirección, descripción, horarios, servicios ofrecidos y datos de facturación. Se recopilan al momento del registro y durante la configuración del perfil.

Datos de clientes finales de los negocios: nombre y número de WhatsApp, proporcionados voluntariamente por el cliente al interactuar con el bot. También se genera información de uso: historial de turnos, tiempos de espera, citas agendadas, reseñas y conversaciones con el bot.

Datos clínicos de pacientes (módulo de salud): cuando el negocio usa el vertical de salud, se almacenan datos de carácter sensible ingresados por el profesional de salud, incluyendo: nombre, documento de identidad, fecha de nacimiento, datos de contacto, tipo de sangre, alergias, enfermedades crónicas, medicamentos actuales, antecedentes quirúrgicos y hospitalarios, historia familiar, historial de vacunación, signos vitales, notas de consulta, diagnósticos (códigos CIE-10), prescripciones médicas y órdenes de exámenes. Ver sección 5 para el tratamiento especial de estos datos.

Datos técnicos: dirección IP, tipo de navegador, registros de acceso (logs), tokens de sesión y cookies técnicas necesarias para el funcionamiento de la plataforma.

Datos del bot de IA: los mensajes de WhatsApp que los clientes envían al bot son procesados por la API de Inteligencia Artificial de Anthropic para generar respuestas automáticas. Ver sección 7.

3. Finalidad del tratamiento

Utilizamos sus datos personales para:

• Prestar y mejorar el Servicio de gestión de turnos y citas

• Gestionar su cuenta y suscripción

• Enviar notificaciones operativas (confirmaciones de turno, recordatorios de citas, alertas de límite de plan)

• Procesar pagos y gestionar la facturación

• Brindar soporte técnico y responder solicitudes

• Detectar y prevenir fraudes, abusos o usos indebidos del Servicio

• Cumplir con obligaciones legales y regulatorias colombianas

• Generar estadísticas de uso anonimizadas para mejorar el Servicio

No utilizamos sus datos para publicidad de terceros ni los vendemos a ninguna empresa. Los datos clínicos de pacientes no son utilizados por Turney para ninguna finalidad distinta al almacenamiento y disponibilidad para el profesional de salud que los registró.

4. Base legal del tratamiento

Tratamos los datos de propietarios de negocios con base en: (a) la ejecución del contrato de prestación del Servicio (Ley 1581/2012, Art. 6); (b) el consentimiento libre e informado otorgado al registrarse y marcar la casilla de aceptación; y (c) el cumplimiento de obligaciones legales.

Los datos de clientes finales de los negocios son tratados por instrucción del negocio (responsable del tratamiento). El negocio debe garantizar que sus clientes han dado consentimiento para el tratamiento de sus datos a través de la plataforma de Turney.

5. Datos sensibles de salud — Tratamiento especial

Los datos clínicos y de salud de los pacientes son datos sensibles conforme al Artículo 5 de la Ley 1581 de 2012. Su tratamiento está sujeto a condiciones especiales de protección y requiere autorización explícita del titular.

Turney, en su calidad de encargado del tratamiento, almacena estos datos únicamente por instrucción del profesional de salud (responsable del tratamiento). Las condiciones aplicables son:

• El profesional de salud es el responsable de obtener el consentimiento informado y explícito del paciente antes de registrar sus datos de salud en la plataforma, conforme al Artículo 6, numeral 3 de la Ley 1581 de 2012.

• Los datos clínicos están aislados por negocio (institución de salud): un profesional de salud registrado en Turney no puede acceder a los datos de pacientes de otro negocio distinto al suyo.

• Turney no comparte datos clínicos de pacientes con terceros, salvo requerimiento de autoridad judicial o administrativa competente.

• Los datos sensibles de salud no son utilizados por Turney para entrenar modelos de inteligencia artificial, elaborar perfiles comerciales, ni con ninguna finalidad distinta a la prestación del Servicio de almacenamiento y disponibilidad para el profesional autorizado.

• El acceso a los datos clínicos dentro de la plataforma está restringido al personal del negocio autorizado mediante credenciales de acceso. Turney implementa aislamiento por tenant a nivel de base de datos.

• En caso de solicitud del paciente de acceso, corrección o supresión de sus datos clínicos, dicha solicitud debe dirigirse al profesional de salud o institución que los registró, quien es el responsable del tratamiento.

La historia clínica digital almacenada en Turney está sujeta a la Resolución 1995 de 1999 del Ministerio de Salud de Colombia en lo que corresponde al profesional o institución custodio. Turney provee la infraestructura tecnológica; la responsabilidad de custodia, reserva y conservación recae en el profesional de salud registrado.

6. Sub-procesadores y terceros

Para prestar el Servicio, Turney utiliza los siguientes sub-procesadores con acceso a datos personales. Todos operan bajo acuerdos de confidencialidad y cumplen estándares de seguridad reconocidos:

• Anthropic PBC (EE.UU.): proveedor del modelo de inteligencia artificial que impulsa el bot conversacional. Los mensajes de WhatsApp de los clientes finales son enviados a la API de Anthropic para generar respuestas. Anthropic tiene su propia Política de Privacidad disponible en anthropic.com/legal/privacy. Los datos clínicos del módulo de salud NO son enviados a Anthropic.

• Railway (EE.UU.): proveedor de infraestructura cloud donde se aloja el backend de Turney y la base de datos, incluyendo los datos clínicos del módulo de salud.

• Hetzner Online GmbH (Alemania): proveedor del servidor que gestiona las sesiones de WhatsApp Business (conexión con la API de WhatsApp).

• OpenWA (servicio de automatización de WhatsApp): software intermedio que gestiona la conexión entre la plataforma Turney y WhatsApp. Los mensajes de los clientes finales transitan a través de este servicio antes de ser procesados por el bot.

• Resend / proveedor de email (EE.UU.): servicio de envío de correos transaccionales (confirmaciones, alertas, notificaciones).

Turney no controla las políticas de privacidad de estos terceros. Le recomendamos revisar sus políticas directamente en sus sitios oficiales.

7. Procesamiento de mensajes por IA

Información importante: cuando un cliente final envía un mensaje de WhatsApp al bot de un negocio que usa Turney, ese mensaje (incluyendo el nombre del cliente y el contenido de la conversación) es transmitido a la API de Anthropic para generar una respuesta automática.

Anthropic procesa estos mensajes conforme a sus propias políticas de uso y privacidad. Turney utiliza la API de Anthropic en modalidad que no permite el uso de esos datos para entrenar modelos de IA (según los términos de uso empresarial de Anthropic vigentes a la fecha de esta política). Sin embargo, Turney no puede garantizar cambios futuros en las políticas de Anthropic y recomienda al negocio informar a sus clientes sobre este procesamiento.

Los negocios que no deseen que los mensajes de sus clientes sean procesados por IA deben desactivar el bot y usar únicamente el modo de atención humana disponible en el panel de control.

Los datos clínicos del módulo de salud (historia clínica, diagnósticos, prescripciones, etc.) no son enviados a ningún modelo de inteligencia artificial.

8. Transferencias internacionales de datos

Dado que nuestros sub-procesadores están ubicados principalmente en Estados Unidos y Alemania, los datos personales pueden ser transferidos fuera de Colombia. Turney adopta las medidas contractuales y técnicas necesarias para garantizar una protección adecuada de los datos en dichas transferencias, conforme al Decreto 1377 de 2013 y las instrucciones de la Superintendencia de Industria y Comercio (SIC).

Los datos sensibles de salud alojados en Railway (EE.UU.) están protegidos por cifrado en tránsito y en reposo. Turney exige a Railway el cumplimiento de estándares de seguridad reconocidos internacionalmente como condición para el tratamiento de estos datos.

9. Conservación de datos

Los datos de propietarios de negocios se conservan mientras la cuenta esté activa. Tras la cancelación, los datos se eliminan en un plazo máximo de 90 días, salvo que la ley exija conservarlos por más tiempo (por ejemplo, datos de facturación que deben conservarse 5 años según la normativa tributaria colombiana).

Datos clínicos de pacientes (módulo de salud): la historia clínica digital se conserva durante la vigencia de la cuenta del negocio. El profesional o institución de salud es responsable de cumplir con el plazo mínimo de conservación de 15 años desde la última atención exigido por la Resolución 1995 de 1999 del Ministerio de Salud de Colombia. Turney recomienda al profesional exportar y custodiar copias de respaldo de los registros clínicos con independencia de la plataforma. Tras la cancelación de la cuenta, los datos clínicos se conservarán por un período de 30 días adicionales para que el profesional pueda exportarlos, tras lo cual serán eliminados definitivamente.

Los datos de clientes finales (turnos, citas, conversaciones) se conservan mientras la cuenta del negocio esté activa. Implementaremos políticas de retención automática diferenciadas por plan en futuras versiones de la plataforma, lo cual será notificado con anticipación.

Los logs técnicos (accesos, errores) se conservan por un máximo de 90 días.

10. Sus derechos como titular de datos

De acuerdo con la Ley 1581 de 2012, usted tiene derecho a:

• Conocer, actualizar y rectificar sus datos personales

• Solicitar prueba de la autorización otorgada para el tratamiento

• Ser informado sobre el uso dado a sus datos

• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) — www.sic.gov.co

• Revocar la autorización y/o solicitar la supresión de sus datos cuando proceda legalmente

• Acceder gratuitamente a sus datos personales tratados

Para ejercer estos derechos, escriba a turneylat@gmail.com con asunto "Derechos ARCO". Responderemos en un plazo máximo de 15 días hábiles.

Pacientes de consultorios o clínicas que usan Turney: si usted es paciente de un profesional de salud que usa Turney y desea ejercer sus derechos sobre sus datos clínicos, debe contactar directamente al profesional o institución que los registró, ya que es el responsable del tratamiento de sus datos de salud.

11. Seguridad

Turney implementa medidas técnicas y organizativas para proteger los datos contra acceso no autorizado, pérdida o destrucción. Estas incluyen: cifrado en tránsito (HTTPS/TLS), aislamiento de datos por negocio (tenant isolation a nivel de base de datos), control de acceso por roles (RBAC), autenticación con JWT y tokens de corta duración, y monitoreo de accesos.

Ningún sistema de seguridad es infalible. En caso de una brecha de seguridad que afecte datos personales o datos sensibles de salud, notificaremos a los afectados y a la SIC dentro del plazo establecido por la normativa colombiana aplicable.

12. Cookies

Turney utiliza únicamente cookies técnicas estrictamente necesarias para el funcionamiento de la plataforma: gestión de sesión de usuario y preferencias básicas de interfaz. No utilizamos cookies de rastreo publicitario, no compartimos datos de navegación con redes publicitarias, y no instalamos cookies de terceros sin su conocimiento.

13. Cambios a esta política

Podemos actualizar esta Política de Privacidad periódicamente. Los cambios sustanciales serán notificados con al menos 15 días de anticipación por correo electrónico o mediante aviso destacado en el panel de control. La versión vigente siempre estará disponible en turney.lat/privacidad.

Si no acepta los cambios, puede eliminar su cuenta antes de la fecha de entrada en vigor de la nueva versión.