1. Introducción y alcance

Ki Connect es un producto operado por Ki Planner S.A.S. (en adelante, "Ki" o "la Compañía"), sociedad colombiana identificada con NIT 901.753.233-9, con domicilio en Carrera 17 No. 2 sur – 10, Medellín, Antioquia, Colombia.

Ki Connect es una plataforma de software en la nube que permite a clínicas, consultorios, spas, gimnasios, centros de estética y negocios similares (en adelante, cada uno, el "Cliente") gestionar su agenda, sus usuarios finales, su facturación y sus comunicaciones operativas. Cuando el Cliente presta servicios de salud, Ki Connect también permite gestionar exámenes y resultados. Ki trata los datos personales de los usuarios finales por cuenta e instrucción de cada Cliente, y en el módulo de exámenes trata datos que el usuario final gestiona y controla de forma directa.

Esta Política aplica específicamente a Ki Connect y es independiente de las políticas de otros productos de Ki, incluidos Ki Medicamentos (comparador de precios) y Ki Conversations (confirmación de citas por WhatsApp).

Al utilizar Ki Connect ---como establecimiento contratante, como usuario administrativo de un establecimiento o como usuario final que gestiona sus exámenes--- se reconoce que esta Política constituye un marco vinculante para el tratamiento de datos personales dentro de la plataforma.

2. Marco legal aplicable

Ki Connect cumple la normatividad colombiana vigente en materia de protección de datos personales, incluyendo:

• La Constitución Política de Colombia de 1991, artículos 15 y 20.
• La Ley 1581 de 2012 y sus decretos reglamentarios (Decretos 1377 de 2013, 886 de 2014 y 1074 de 2015), y las normas que los modifiquen, adicionen o sustituyan.
• La Ley 1266 de 2008, sobre habeas data.
• La Ley Estatutaria 1751 de 2015 y demás disposiciones sectoriales aplicables al manejo de información de salud, cuando el Cliente presta servicios de salud.

3. Definiciones

Para efectos de esta Política, se entiende por:

• Titular: persona natural cuyos datos personales son objeto de tratamiento. En Ki Connect, los Titulares son principalmente los usuarios finales de los establecimientos clientes, y también el personal de dichos establecimientos.
• Cliente: clínica, consultorio, spa, gimnasio, centro de estética, profesional independiente o negocio similar que contrata Ki Connect y actúa como Responsable del Tratamiento respecto de los datos de sus usuarios finales.
• Usuario Final: persona natural atendida por el Cliente (paciente, cliente o miembro, según la actividad del establecimiento), o usuaria del módulo de exámenes de Ki Connect.
• Personal del Cliente: administradores, coordinadores, recepcionistas, especialistas y profesionales del Cliente que utilizan la plataforma.
• Responsable del Tratamiento: quien decide sobre la base de datos y el tratamiento. En Ki Connect, cada Cliente es Responsable respecto de los datos de sus usuarios finales, excepto en el módulo de exámenes donde Ki actuará como Responsable.
• Encargado del Tratamiento: quien trata datos personales por cuenta del Responsable. Ki actúa como Encargado frente a los datos gestionados por el Cliente.
• Sub-encargado: tercero al cual Ki delega parte del tratamiento (por ejemplo, proveedores de infraestructura tecnológica).
• Datos Sensibles: los relacionados con el origen racial o étnico, convicciones políticas o religiosas, la vida sexual, datos biométricos o datos de la salud.
• Datos de salud: subcategoría de Datos Sensibles que incluye exámenes, resultados de laboratorio y demás información relativa al estado de salud del Titular, tratada cuando el Cliente presta servicios de salud.

4. Rol de Ki en el tratamiento

El rol de Ki depende del tipo de dato y de quién decide su tratamiento:

4.1. Ki como Encargado (datos gestionados por el Cliente)

Respecto de los datos de usuarios finales que el Cliente registra y administra en la plataforma (identificación, contacto, citas y comunicaciones), el Cliente es Responsable y Ki actúa como Encargado. Ki trata estos datos siguiendo las instrucciones del Cliente y solo para las finalidades contratadas. En esta calidad, Ki:

• Trata los datos únicamente conforme a las instrucciones del Cliente y en todo caso, respetando la política de tratamiento de datos que estos tienen implementado.
• Mantiene la confidencialidad, integridad y disponibilidad de los datos mediante medidas técnicas y organizativas apropiadas.
• No utiliza los datos de usuarios finales para finalidades distintas a la prestación del servicio.
• No cede, transfiere ni comercializa datos de usuarios finales a terceros, salvo los sub-encargados identificados en esta Política.
• Colabora con el Cliente en la atención de solicitudes de derechos de los Titulares.
• Notifica al Cliente cualquier incidente de seguridad que comprometa datos de sus usuarios finales.
• Devuelve o suprime los datos al finalizar la relación contractual, según la sección de retención.

4.2. Ki como Responsable (módulo de exámenes controlado por el usuario final)

En el módulo de exámenes, disponible cuando el Cliente presta servicios de salud, el usuario final puede crear su propia cuenta, cargar sus exámenes, ser dueño de ellos y decidir con qué profesionales o establecimientos los comparte. En ese flujo el usuario final acepta directamente esta Política y otorga expresamente su consentimiento a Ki para realizar el tratamiento de sus datos. Respecto de esos datos, Ki actúa como Responsable del Tratamiento y mantiene una relación directa con el usuario final en calidad de titular del dato. Los exámenes pueden ser cargados por el propio usuario final, o por el personal del Cliente; en todos los casos, el usuario final es el dueño de sus exámenes y controla con quién los comparte.

5. Datos personales tratados

Ki Connect trata las siguientes categorías de datos personales, según el módulo contratado y la actividad del Cliente:

• Identificación y contacto del usuario final: nombres, documento de identidad, fecha de nacimiento, género, teléfono, correo, dirección y aseguramiento cuando aplica, además de los canales de notificación autorizados.
• Datos de la cita o sesión: fecha, sede, servicio, especialista, notas, estado de la cita y estado de pago.
• Datos clínicos (solo en establecimientos de salud): archivos de exámenes y resultados de laboratorio, los registros de con quién el usuario final los comparte y, cuando el usuario lo autoriza.
• Datos del personal del Cliente: identificación y contacto, contraseña cifrada, rol, sedes y registros de acceso.
• Datos del Cliente (establecimiento): identificación y contacto, tipo de negocio, propietario y módulos activos.
• Datos financieros y de facturación: plan y suscripción, medios de pago tokenizados por la pasarela (Ki no almacena el número completo de la tarjeta) y registros de transacciones.
• Consentimiento y auditoría: registros de los consentimientos otorgados y bitácora de auditoría de las acciones sensibles.
• Metadatos técnicos: identificadores internos, marcas de tiempo y trazas de error, sin datos identificables del usuario final.

6. Finalidades del tratamiento

Los datos personales tratados por Ki Connect se utilizan para las siguientes finalidades:

• Gestionar la agenda y las citas del Cliente e identificar de forma inequívoca a cada usuario final.
• Enviar confirmaciones, recordatorios y comunicaciones operativas a los usuarios finales por los canales autorizados.
• Almacenar y organizar los exámenes del usuario final y sus resultados, cuando aplica.
• Permitir que el usuario final comparta de forma controlada sus exámenes con los profesionales o establecimientos que este mismo autorice de forma previa.
• Descargar de forma automatizada los exámenes del usuario final desde portales de terceros, cuando este autorice y provea sus credenciales.
• Gestionar la facturación y el cobro de la suscripción al Cliente.
• Generar estadísticas operativas para el Cliente (ocupación, efectividad de comunicaciones, entre otras).
• Cumplir obligaciones legales, contractuales y regulatorias, incluidas las propias del sector de actividad del Cliente.
• Atender consultas, quejas y reclamos relacionados con el tratamiento de datos.

Ki no utiliza los datos de usuarios finales para fines publicitarios, comerciales ni de mercadeo propios. Ki no vende, alquila ni comercializa datos personales bajo ninguna circunstancia.

7. Consentimiento y trazabilidad

El consentimiento se obtiene y registra según el tipo de dato:

• Para los datos gestionados por el Cliente, este obtiene la autorización de sus usuarios finales y garantiza su existencia frente a Ki.
• Para el módulo de exámenes, el usuario final otorga su consentimiento directamente a Ki al crear su cuenta y aceptar esta Política, y de nuevo cada vez que comparte un examen o autoriza el almacenamiento de credenciales.

Cada consentimiento queda asociado a la versión de la Política vigente en ese momento. Cuando la Política cambie de forma material, Ki podrá solicitar nuevamente el consentimiento sobre la nueva versión.

8. Sub-encargados y transferencias internacionales

8.1. Sub-encargados

Ki se apoya en proveedores tecnológicos que actúan como sub-encargados, según su función: infraestructura de cómputo y aplicación en la nube, base de datos gestionada, almacenamiento seguro de archivos, mensajería (WhatsApp Business, cuando el Cliente usa este canal), pasarela de pagos y correo transaccional. Cada proveedor opera bajo sus propios términos de servicio y acuerdo de tratamiento de datos, que ofrecen garantías equivalentes a las exigidas por la ley colombiana. La lista de proveedores vigentes está disponible a solicitud.

Ki selecciona únicamente sub-encargados que ofrecen garantías contractuales y técnicas equivalentes a las exigidas por la legislación colombiana y que adoptan estándares reconocidos de seguridad de la información. Si en el futuro cambian los sub-encargados, los nuevos cumplirán las mismas características de confidencialidad.

8.2. Transferencias internacionales

Algunos datos personales son procesados fuera de Colombia, principalmente en los Estados Unidos de América. Estas transferencias se realizan al amparo de:

• Los términos contractuales y acuerdos de tratamiento de datos (DPA) de cada proveedor, que ofrecen niveles de protección equivalentes a los exigidos por la Ley 1581 de 2012.
• La autorización otorgada por el Cliente en el acuerdo de datos, y por el usuario final cuando corresponda.
• Medidas técnicas de seguridad que protegen los datos durante la transferencia y el almacenamiento.

9. Seguridad de la información

Ki implementa medidas técnicas, administrativas y organizativas para proteger los datos contra adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Entre ellas:

• Cifrado de datos en tránsito mediante protocolos TLS.
• Cifrado en reposo de credenciales y datos sensibles.
• Aislamiento lógico de datos por Cliente: cada usuario accede únicamente a los datos de su propio establecimiento.
• Controles de acceso basados en roles.
• Control granular de acceso a los exámenes: el usuario final decide quién puede verlos y puede revocar el acceso.
• Bitácora de auditoría inmutable de las acciones sensibles.
• Procedimientos de respuesta ante incidentes de seguridad.
• Capacitación del equipo de Ki sobre manejo responsable de datos personales.

Ningún sistema puede garantizar seguridad absoluta. Si Ki tiene conocimiento de un incidente que afecte datos gestionados por un Cliente, notificará sin demora indebida al Cliente correspondiente, quien en su calidad de Responsable evaluará la notificación a los Titulares y a la Superintendencia de Industria y Comercio.

10. Retención de datos

Ki aplica los siguientes periodos de retención, salvo que un requerimiento legal, contractual o de autoridad competente exija un plazo distinto:

• Exámenes y resultados clínicos: se conservan mientras el usuario final mantenga su cuenta o el Cliente su relación con Ki; se eliminan al cierre de la cuenta o a solicitud del titular, salvo obligación legal en contrario.
• Datos de citas: durante la vigencia del contrato con el Cliente, más cinco (5) años posteriores a su terminación.
• Contenido y metadatos de comunicaciones (WhatsApp, SMS, correo): veinticuatro (24) meses desde la última interacción, tras lo cual se eliminan o anonimizan.
• Datos del personal del Cliente: durante la vigencia de la relación, más un (1) año posterior a la desactivación de la cuenta.
• Datos financieros y de facturación: por el plazo que exijan las obligaciones tributarias y comerciales colombianas.
• Credenciales de portales de terceros: se eliminan cuando el usuario final las revoca o cierra su cuenta.
• Bitácora de auditoría: se conserva de forma prolongada por su carácter de trazabilidad legal.
• Datos agregados o anonimizados: sin límite de retención, dado que no constituyen datos personales.

Al finalizar la relación con un Cliente, Ki le entregará los datos de sus usuarios finales que solicite en un formato estructurado y, confirmada la entrega, procederá a su eliminación de los sistemas activos dentro de los plazos mencionados.

11. Derechos de los Titulares

Los Titulares tienen los siguientes derechos, conforme a la Ley 1581 de 2012:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informados sobre el uso dado a sus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio.
• Revocar la autorización y solicitar la supresión de sus datos, cuando proceda.
• Acceder de forma gratuita a sus datos personales.

11.1. Cómo ejercer los derechos

• Para los datos gestionados por el Cliente, la solicitud debe dirigirse preferentemente al establecimiento donde el usuario final es atendido, por ser este el Responsable del Tratamiento.
• Para el módulo de exámenes, el usuario final puede dirigirse directamente a Ki.
• En todo caso, los Titulares pueden escribir a soporte@kiplanner.com. Ki atenderá o canalizará la solicitud al Cliente correspondiente.

Las solicitudes deben incluir el nombre completo del Titular, un mecanismo de verificación de identidad, el establecimiento donde es o fue atendido (si aplica), la descripción de la solicitud y datos de contacto para la respuesta. Los plazos son los de la Ley 1581 de 2012: hasta diez (10) días hábiles para consultas y hasta quince (15) días hábiles para reclamos, prorrogables una sola vez por igual término.

12. Tratamiento de datos sensibles de salud

Cuando el Cliente presta servicios de salud, Ki Connect trata datos de salud a través del módulo de exámenes. Estos datos incluyen archivos de exámenes y resultados de laboratorio, y reciben protección reforzada:

• Su tratamiento se sustenta en el consentimiento previo, expreso e informado del usuario final.
• El acceso está restringido y es controlado por el propio usuario final, que decide con qué profesionales o establecimientos comparte cada examen y puede revocar el acceso en cualquier momento.
• Toda acción sobre estos datos queda registrada en una bitácora de auditoría inmutable.
• El usuario final puede abstenerse de suministrar datos sensibles; se pone de presente que su suministro es facultativo.

Fuera del módulo de exámenes, la única información con connotación de salud que Ki trata es la especialidad o tipo de servicio asociado a una cita, necesaria para su gestión. En establecimientos que no prestan servicios de salud (por ejemplo, spas, gimnasios o centros de estética), Ki no trata datos de salud, salvo que el Cliente decida registrarlos por su cuenta en los campos personalizados, en cuyo caso el Cliente es responsable de contar con la autorización previa correspondiente.

13. Menores de edad

Ki reconoce y respeta los derechos prevalentes de niños, niñas y adolescentes. Cuando un usuario final es menor de edad:

• La autorización para el tratamiento de sus datos debe ser otorgada por sus representantes legales.
• El Cliente, como Responsable, garantiza que esta autorización se obtuvo previamente.
• En el módulo de exámenes, la cuenta y las decisiones de compartición corresponden al representante legal del menor.

14. Cookies y tecnologías similares

La plataforma web de Ki Connect utiliza cookies técnicas y de sesión estrictamente necesarias para su funcionamiento, incluida la autenticación de usuarios y la preservación de la sesión. Ki no utiliza cookies de publicidad ni de perfilamiento con fines comerciales en Ki Connect.

15. Modificaciones a esta Política

Ki se reserva el derecho de modificar esta Política en cualquier momento. Las modificaciones materiales se comunicarán a los Clientes con al menos quince (15) días hábiles de antelación a su entrada en vigencia, a través de los canales habituales y mediante publicación en las páginas legales de Ki Connect. Cuando una modificación material afecte a los usuarios finales que gestionan sus exámenes, Ki podrá solicitar nuevamente su consentimiento. Los Clientes son responsables de comunicar a sus usuarios finales las modificaciones relevantes que afecten el tratamiento de sus datos.

16. Contacto y atención de solicitudes

Para cualquier consulta, solicitud, queja o reclamo relacionado con el tratamiento de datos personales en Ki Connect, los Titulares, Clientes y terceros interesados pueden contactar a:

17. Vigencia y ley aplicable

Esta Política entra en vigencia a partir de 30 de julio de 2026. Las bases de datos que contienen información de Titulares tienen la vigencia determinada por los periodos de retención de la sección 10, prorrogables cuando subsista una obligación legal o contractual.

Esta política se rige por las leyes de la República de Colombia. Ante cualquier controversia relacionada con su interpretación, ejecución o terminación, las partes deberán agotar previamente una etapa de arreglo directo por un término de treinta (30) días calendario, contado desde la fecha en que una de ellas comunique por escrito a la otra la existencia de la controversia. Durante este período, podrán acudir a mecanismos de resolución de conflictos previstos en la ley, como la conciliación. Si vencido dicho término no se logra un acuerdo, cualquiera de las partes podrá someter la controversia al conocimiento de los jueces de la República de Colombia.