1. Identidad del responsable y datos de contacto

Salus es la plataforma de salud digital que centraliza la historia clínica electrónica y conecta a pacientes, profesionales e instituciones de salud.

Responsable del tratamiento de datos personales:

• Entidad responsable: Salus HealthTech, SAS de CV
• NIT: 0614-011125-001-0
• Domicilio: San Salvador, El Salvador
• Representante legal: Luis Roberto Canelo Maza

Delegado o Delegada de Protección de Datos Personales (DPD):

• Nombre: Luis Roberto Canelo Maza
• Correo electrónico: info@miSalus.com
• Teléfono: +503 2262-4222
• Dirección para notificaciones: San Salvador, El Salvador

Esta Política de Privacidad constituye el aviso de privacidad de Salus para los efectos de la Ley para la Protección de Datos Personales de la República de El Salvador y normativa relacionada.

2. Alcance de esta Política

Esta Política aplica al tratamiento de datos personales y datos personales sensibles que Salus realiza en los siguientes contextos:

• Personas usuarias y pacientes que utilizan Salus para gestionar su salud, historial clínico y orientación en salud.
• Profesionales de la salud que utilizan Salus para brindar servicios de consulta, telemedicina, seguimiento y prescripción.
• Clínicas, hospitales, laboratorios, farmacias, aseguradoras, pagadores y demás proveedores de servicios de salud que se integran a Salus.
• Empresas u otras organizaciones que contratan Salus como beneficio para sus empleados u otros colectivos.
• Autoridades públicas y organismos de cooperación con los que Salus interactúa en cumplimiento de obligaciones legales o proyectos autorizados.
• Personas visitantes de nuestros sitios web, aplicaciones móviles, interfaces de programación de aplicaciones y otros canales digitales.

Esta Política cubre tanto el uso directo de Salus (web, aplicación móvil, mensajería y otros canales que se habiliten) como el uso mediante integraciones técnicas o servicios de terceros conectados a la plataforma.

3. Marco legal de referencia

El tratamiento que realiza Salus se rige principalmente por:

• Ley para la Protección de Datos Personales de El Salvador, Decreto Legislativo número 144, de 15 de noviembre de 2024.
• Ley de Ciberseguridad y Seguridad de la Información, Decreto Legislativo número 143, de 15 de noviembre de 2024, en lo que resulte aplicable.
• Ley de Fomento a la Inteligencia Artificial y Tecnologías, Decreto Legislativo número 234, de 26 de febrero de 2025, para los módulos de inteligencia artificial.
• Ley de Deberes y Derechos de los Pacientes y Prestadores de Servicios de Salud y su reglamento.
• Ley de Acceso a la Información Pública, en lo que sea pertinente.
• Las políticas de actuación y manejo de datos personales emitidas por la Agencia de Ciberseguridad del Estado, en la medida que correspondan a la actividad de Salus.

Además, Salus adopta estándares reconocidos internacionalmente en gestión de seguridad de la información y privacidad, tales como ISO 27001 e ISO 27701, y buenas prácticas de desarrollo seguro y protección de datos.

4. Edad mínima y representación

Para crear una cuenta en Salus y aceptar esta Política se requiere:

• Ser mayor de 18 años y tener capacidad legal para contratar.
• O actuar como madre, padre, tutor o representante legal de una persona menor de edad o con capacidad modificada, declarando que se cuenta con las facultades necesarias para otorgar el consentimiento en su nombre.

Las prestaciones de salud brindadas a niñas, niños y adolescentes se realizan con respeto a sus derechos. Implican la obligación de informar de forma clara y adecuada a su edad tanto a ellos como a sus personas responsables sobre el tratamiento de sus datos personales y los derechos que les corresponden.

Salus puede implementar mecanismos razonables para verificar la edad y, cuando corresponda, el vínculo y autorización de la persona representante legal.

5. Definiciones básicas

Para efectos de esta Política se entiende por:

• Datos personales: cualquier información concerniente a una persona natural identificada o identificable, como nombre, documento de identidad, datos de contacto, datos de uso de la aplicación o cualquier otro que permita identificarla de forma directa o indirecta.
• Datos personales sensibles: datos que se refieren a la esfera más íntima de la persona y que pueden dar lugar a discriminación o afectación grave de su intimidad si se usan de forma indebida. Incluyen, entre otros, datos de salud física y mental, información genética y biométrica, origen étnico, creencias religiosas, preferencias sexuales y otros definidos por la normativa.
• Datos de salud: conjunto de datos sensibles vinculados con el estado de salud pasado, presente o futuro de una persona, así como su atención sanitaria, diagnósticos, tratamientos, resultados de exámenes, prescripciones y episodios clínicos.
• Tratamiento: cualquier operación o conjunto de operaciones sobre datos personales, como la recolección, registro, organización, conservación, modificación, consulta, uso, transmisión, anonimización, seudonimización o supresión.
• Responsable del tratamiento: persona natural o jurídica que decide sobre la finalidad y medios del tratamiento de datos personales. Por regla general, Salus actúa como responsable frente a los usuarios finales de la plataforma.
• Encargado del tratamiento: persona natural o jurídica que trata datos personales por cuenta de un responsable, siguiendo sus instrucciones documentadas. En contextos empresariales e institucionales, Salus puede actuar como encargado frente a sus clientes.
• Corresponsables: dos o más entidades que determinan de manera conjunta finalidades y medios del tratamiento.
• Inteligencia artificial: sistemas automatizados utilizados por Salus para apoyar la orientación en salud, el análisis de datos clínicos, las segmentaciones o las recomendaciones, conforme a la normativa de inteligencia artificial y esta Política.
• Decisión basada únicamente en tratamiento automatizado: decisión que produce efectos jurídicos o afecta de manera significativa a la persona y que se toma sin intervención humana significativa, con base exclusiva en tratamiento automatizado de datos.
• Derechos ARCO POL: derechos de acceso, rectificación, cancelación o supresión, oposición, portabilidad, olvido y limitación del tratamiento, junto con otros derechos reconocidos por la Ley para la Protección de Datos Personales.

6. Categorías de datos que tratamos

Los tipos de datos que Salus puede tratar incluyen, según el perfil de la persona y el uso que haga de la plataforma, las siguientes categorías:

6.1 Datos de identificación y contacto

• Nombre y apellidos.
• Documento de identidad, Número de Identificación Tributaria u otros identificadores permitidos.
• Fecha de nacimiento y sexo registrado.
• Datos de contacto, como teléfono, correo electrónico y dirección postal.
• Código de país y de área.

6.2 Datos de cuenta y autenticación

• Nombre de usuario, contraseñas cifradas y factores de autenticación.
• Identificadores internos de cuenta y perfiles.
• Preferencias de idioma, zona horaria y configuraciones de la aplicación.

6.3 Datos de salud e información clínica

• Antecedentes personales y familiares relevantes.
• Motivo de consulta, síntomas, diagnósticos e indicaciones médicas.
• Notas de evolución, recetas, órdenes de laboratorio e imágenes diagnósticas.
• Resultados de exámenes y pruebas complementarias.
• Indicadores de estilo de vida y datos de autocuidado, cuando el usuario decide registrarlos.

6.4 Datos de servicios de salud y aseguramiento

• Datos de la clínica o proveedor que atiende al paciente.
• Información de pólizas, aseguradoras y pagadores cuando corresponda.
• Datos de facturación y pago asociados a los servicios contratados.

6.5 Datos de uso, conectividad y dispositivos

• Dirección IP, identificadores de dispositivo y sistema operativo.
• Tipo y versión de navegador o aplicación, zona horaria e idioma.
• Registros de fecha y hora de acceso, páginas o pantallas visitadas y acciones realizadas.
• Registros de seguridad y actividad para auditoría y prevención de fraude.

6.6 Datos de soporte, encuestas y comunicaciones

• Contenido de mensajes remitidos a soporte o al Delegado de Protección de Datos.
• Respuestas a encuestas de satisfacción, indicadores de recomendación y calidad de servicio.
• Preferencias de comunicación y registros de campañas cuando se hayan autorizado.

6.7 Datos generados por los módulos de inteligencia artificial

• Datos de entrada suministrados por la persona usuaria para utilizar herramientas de orientación o análisis.
• Datos de salida de la inteligencia artificial, como resúmenes, sugerencias o posibles rutas de atención, vinculados a la cuenta o anonimizados según corresponda.

7. Finalidades del tratamiento y bases legales

Salus trata los datos personales para las siguientes finalidades principales, aplicando las bases jurídicas que establece la Ley para la Protección de Datos Personales:

7.1 Prestación del servicio y operación de la plataforma

• Crear y gestionar la cuenta de usuario en Salus.
• Brindar acceso a la historia clínica electrónica y demás funcionalidades.
• Permitir la programación y realización de consultas presenciales y de telemedicina.
• Registrar y documentar la atención en salud con fines clínicos y legales.

Bases legales principales:

• Ejecución de un contrato o medidas precontractuales solicitadas por la persona titular.
• Cumplimiento de obligaciones legales y sanitarias aplicables a los servicios de salud.
• Interés vital de la persona titular o de otra persona cuando se trate de situaciones de urgencia o riesgo para la salud.

7.2 Continuidad asistencial e interoperabilidad

• Facilitar el intercambio seguro y controlado de información clínica entre profesionales e instituciones de salud involucrados en la atención del paciente.
• Integrar resultados de laboratorio, prescripciones, imágenes diagnósticas y otros registros relevantes.

Bases legales principales:

• Ejecución de un contrato y prestación del servicio de salud solicitado.
• Cumplimiento de obligaciones legales y sanitarias.
• Interés vital e interés público en materia de salud, en los casos que reconoce la normativa.

7.3 Seguridad, calidad y mejora del servicio

• Monitorizar el desempeño de la plataforma, detectar incidentes y prevenir fraudes.
• Analizar patrones de uso de forma agregada para mejorar funcionalidades y experiencia de usuario.
• Realizar auditorías clínicas y operativas cuando sean necesarias.

Bases legales principales:

• Interés legítimo de Salus en mantener la seguridad, calidad y continuidad del servicio, respetando los derechos y libertades de las personas titulares.
• Cumplimiento de obligaciones legales en materia de seguridad de la información y protección de datos.

7.4 Orientación en salud e inteligencia artificial de apoyo

• Proporcionar herramientas de orientación y educación en salud basadas en inteligencia artificial, que ayudan a comprender síntomas, exámenes o rutas posibles de atención.
• Generar resúmenes o explicaciones de información clínica para mejorar la comprensión por parte del paciente.

Bases legales principales:

• Ejecución del contrato de servicios digitales de salud.
• Consentimiento explícito para el tratamiento de datos de salud a través de módulos de inteligencia artificial, cuando la normativa así lo requiera.

7.5 Comunicaciones y experiencia de usuario

• Enviar notificaciones sobre citas, recordatorios de medicación u otros avisos operativos necesarios.
• Enviar comunicaciones informativas sobre actualizaciones del servicio, cambios en esta Política o en los Términos y Condiciones.
• Enviar comunicaciones comerciales o promocionales solo cuando la persona usuaria lo haya autorizado y sin que ello sea condición para recibir la atención en salud.

Bases legales principales:

• Ejecución del contrato y cumplimiento de obligaciones legales de información.
• Consentimiento cuando se trate de marketing directo o de comunicaciones no estrictamente necesarias para el servicio.

7.6 Estadísticas, investigación y productos informativos anonimizados

• Elaborar análisis estadísticos e informes agregados sobre uso de la plataforma y tendencias de salud.
• Desarrollar productos informativos para fabricantes, laboratorios, aseguradoras, instituciones públicas u otros terceros, utilizando datos anonimizados o, cuando sea necesario, datos seudonimizados con salvaguardas reforzadas.

Bases legales principales:

• Interés legítimo de Salus o de terceros en mejorar la calidad de la atención, las políticas públicas y los servicios de salud, siempre bajo técnicas de anonimización y minimización.
• Consentimiento o mecanismos de exclusión voluntaria cuando la ley así lo exija.

8. Propiedad y control de la información clínica

La información de salud registrada en Salus es de la persona paciente. Salus actúa como custodio tecnológico y como responsable o encargado del tratamiento según corresponda, pero no es propietario de los datos clínicos.

La persona usuaria decide con quién compartir su información y en qué alcance, de acuerdo con las funcionalidades de la plataforma. Salus proporciona mecanismos para:

• Compartir el expediente completo o solo ciertas secciones con profesionales o instituciones específicas.
• Definir si el acceso será por un plazo determinado o por un número determinado de visualizaciones.
• Revocar el acceso otorgado en cualquier momento, salvo cuando exista una obligación legal de conservación o acceso.

Todos los accesos a información clínica quedan registrados en registros de auditoría, incluyendo quién accede, cuándo, desde dónde y qué consultó.

9. Destinatarios y transferencias de datos

Salus comparte datos personales solo cuando existe una base legal y una finalidad legítima. Los principales destinatarios pueden ser:

• Profesionales de la salud y entidades sanitarias que atienden al paciente y que requieren acceder a la información para prestar servicios de salud.
• Laboratorios, farmacias, aseguradoras y otros proveedores relacionados con la atención o gestión financiera de los servicios.
• Proveedores de servicios tecnológicos, como servicios de nube, comunicaciones, pagos, analítica o asistencia técnica, que actúan como encargados del tratamiento bajo contratos que exigen confidencialidad y medidas de seguridad adecuadas.
• Autoridades regulatorias o judiciales cuando exista una obligación legal o un requerimiento legítimo y proporcionado.
• Organismos de cooperación o investigación, únicamente en contextos y proyectos aprobados que cumplan con la normativa de protección de datos y ética en investigación.

Las transferencias internacionales de datos se realizan únicamente cuando son necesarias para prestar el servicio o utilizar proveedores tecnológicos ubicados fuera de El Salvador. En estos casos, Salus adopta las salvaguardas contractuales, técnicas y organizativas exigidas por la Ley para la Protección de Datos Personales, incluyendo cláusulas contractuales adecuadas, evaluaciones de riesgos y medidas de cifrado y seudonimización cuando proceda.

10. Medidas de seguridad de la información

Salus aplica medidas técnicas y organizativas razonables para proteger los datos personales contra accesos no autorizados, pérdida, alteración o destrucción, de conformidad con la Ley de Ciberseguridad y Seguridad de la Información y la Ley para la Protección de Datos Personales.

Entre otras, se incluyen las siguientes medidas:

• Gestión de seguridad de la información basada en estándares como ISO 27001 e ISO 27701.
• Cifrado de comunicaciones mediante protocolos de seguridad de transporte.
• Cifrado de datos sensibles en reposo en la infraestructura de nube.
• Controles de acceso basados en roles, principio de mínimo privilegio y autenticación reforzada.
• Registro y monitoreo de accesos y actividades relevantes mediante registros de auditoría.
• Copias de respaldo y planes de continuidad de negocio y de recuperación ante desastres.
• Evaluaciones periódicas de vulnerabilidades y pruebas de seguridad.

Los datos se almacenan en infraestructura de nube provista por proveedores certificados. La información sobre el proveedor principal, ubicación general de los centros de datos y las medidas de seguridad aplicables se pone a disposición de los clientes institucionales y autoridades competentes que lo soliciten por los canales correspondientes.

11. Tratamiento de datos de salud y servicios de telemedicina

El tratamiento de datos de salud se realiza con especial cuidado y está sujeto a obligaciones reforzadas de confidencialidad, secreto profesional y seguridad, conforme a la Ley de Deberes y Derechos de los Pacientes y Prestadores de Servicios de Salud.

En particular:

• Los datos de salud se utilizan para prevenir riesgos médicos, establecer diagnósticos, indicar tratamientos, gestionar servicios sanitarios y dar seguimiento clínico.
• La documentación de la atención en telemedicina tiene los mismos efectos clínicos y legales que la atención presencial, siempre que se cumplan los requisitos profesionales y técnicos vigentes.
• Salus registra de manera trazable las interacciones relevantes para asegurar la calidad asistencial y la posibilidad de auditoría posterior, respetando siempre los principios de minimización y necesidad.

12. Uso de herramientas de inteligencia artificial

Salus incorpora módulos de inteligencia artificial para apoyar la orientación en salud, la gestión de la información y la mejora de la calidad del servicio. Estos módulos operan bajo los siguientes principios:

• La inteligencia artificial no sustituye el criterio de profesionales de la salud ni emite diagnósticos definitivos. Su función es educativa, orientativa y de apoyo.
• La persona usuaria será informada cuando una funcionalidad utilice inteligencia artificial y tendrá acceso a explicaciones claras sobre su alcance, beneficios y limitaciones.
• No se adoptarán decisiones con efectos jurídicos o un impacto significativo en la persona basadas únicamente en tratamiento automatizado de datos, sin intervención humana significativa, salvo que exista una base legal clara y se hayan implementado salvaguardas reforzadas.
• Salus registra la versión de los modelos, las fuentes principales de datos de entrenamiento cuando sean propias, las pruebas de robustez y las medidas para gestionar sesgos, en línea con la normativa sobre inteligencia artificial y buenas prácticas.
• La persona usuaria tiene derecho a solicitar revisión humana e impugnar decisiones o recomendaciones relevantes que hayan sido asistidas por inteligencia artificial.

13. Cookies, bibliotecas en aplicaciones móviles y tecnologías similares

Salus y sus proveedores pueden utilizar cookies, bibliotecas en aplicaciones móviles y tecnologías similares para:

• Permitir el funcionamiento básico y la seguridad de la plataforma.
• Recordar preferencias del usuario y mejorar la experiencia.
• Obtener estadísticas de uso y rendimiento de la aplicación.
• Cuando se haya autorizado, apoyar actividades de marketing o de medición de campañas.

En los canales donde sea técnicamente viable se mostrará un aviso o panel de preferencias que permita gestionar las categorías no estrictamente necesarias. La información detallada sobre tipos de cookies, proveedores y periodos de conservación se describe en la Política de Cookies específica de Salus.

14. Plazos de conservación de los datos

Salus conserva los datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recopilados y las obligaciones legales o contractuales correspondientes.

De forma orientativa:

• Datos de cuenta y uso del servicio: se conservan mientras la cuenta se mantenga activa y por un periodo adicional razonable para la gestión de incidencias, facturación y defensa de derechos. Salus puede establecer reglas de inactividad que impliquen cierre o anonimización de cuentas no utilizadas, lo que será comunicado con anticipación.
• Datos de salud en historias clínicas: se conservan conforme a los plazos mínimos establecidos por la normativa sanitaria aplicable y pueden mantenerse por periodos adicionales cuando sea necesario para la defensa de reclamaciones o procesos legales.
• Registros de seguridad y auditoría: se conservan por los periodos definidos en la matriz de retención de Salus y las políticas de actuación emitidas por la autoridad competente.
• Datos utilizados para fines estadísticos o de investigación: se conservan en forma anonimizada siempre que sea posible. Cuando no sea viable la anonimización completa se aplican técnicas de seudonimización y limitación de acceso, con plazos acotados.

Una vez vencidos los plazos de conservación, los datos se eliminarán de forma segura o se anonimizarán de manera irreversible, salvo que exista una obligación legal de conservación adicional.

15. Derechos de las personas titulares de datos

De acuerdo con la Ley para la Protección de Datos Personales, las personas titulares pueden ejercer, entre otros, los siguientes derechos frente a Salus:

• Derecho de acceso: obtener confirmación sobre si Salus trata o no sus datos personales y, en su caso, acceder a ellos en forma comprensible.
• Derecho de rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Derecho de cancelación o supresión: solicitar la eliminación de datos personales cuando haya dejado de existir la finalidad que justificó su tratamiento, haya revocado el consentimiento o se cumplan las condiciones legales para ello.
• Derecho de oposición: oponerse al tratamiento de sus datos por motivos fundados y legítimos, en particular para fines de marketing o ciertos tipos de perfilado.
• Derecho a la limitación del tratamiento: solicitar la suspensión temporal o limitación del tratamiento en los supuestos que reconoce la normativa.
• Derecho a la portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica, cuando así lo establezca la ley, y transmitirlos a otro responsable cuando sea técnicamente posible.
• Derecho al olvido: solicitar la supresión de datos personales en internet y otros medios, dentro de los límites y condiciones previstas por la normativa.
• Derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado: no ser objeto de decisiones, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten de manera significativa a la persona, en los términos previstos por la ley.

Para ejercer estos derechos, la persona titular o su representante debidamente acreditado puede contactar a Salus a través de los canales indicados en el apartado de contacto del Delegado de Protección de Datos. Salus podrá solicitar la información necesaria para verificar la identidad de la persona solicitante o la representación que ostenta.

Salus dará respuesta a las solicitudes en los plazos establecidos por la normativa y documentará las acciones realizadas. Cuando no pueda atenderse una solicitud en los términos requeridos por alguna razón legal, se informará de forma clara a la persona interesada.

16. Tratamiento de datos de menores de edad

Salus trata datos personales de niñas, niños y adolescentes solo cuando sea necesario para la prestación de servicios de salud, la continuidad asistencial o el uso de funcionalidades de la plataforma autorizadas por su madre, padre, tutor o representante legal, o cuando exista una base legal alternativa reconocida por la normativa.

En estos casos:

• Se requerirá obtener y documentar el consentimiento verificable de la persona representante legal, salvo que exista una excepción prevista por la ley.
• La información proporcionada debe ser clara y comprensible según la edad y madurez del menor, favoreciendo su participación informada en las decisiones sobre su salud.
• Se limitará la exposición de datos de menores en la plataforma, aplicando un criterio de máxima protección y minimización.

17. Cambios en esta Política de Privacidad

Salus puede actualizar esta Política para reflejar cambios en la normativa aplicable, en sus procesos internos o en las funcionalidades de la plataforma.

Cuando se realicen modificaciones materiales, Salus:

• Publicará la nueva versión en los canales digitales oficiales, indicando la fecha de entrada en vigor.
• Podrá notificar los cambios a las personas usuarias mediante avisos destacados en la plataforma, correo electrónico u otros canales de comunicación razonables.

El uso continuado de la plataforma con posterioridad a la entrada en vigor de una nueva versión de la Política implica la aceptación de sus términos. En los casos en que la ley lo requiera, se solicitará nuevamente el consentimiento.

18. Canales de contacto y reclamaciones

Para consultas, solicitudes relacionadas con el ejercicio de derechos o cualquier cuestión relativa a esta Política, se puede contactar con:

Delegado o Delegada de Protección de Datos Personales de Salus

• Correo electrónico: info@miSalus.com
• Formulario o portal: https://app.miSalus.com/arcopol
• Dirección postal: San Salvador, El Salvador

Si la persona considera que Salus no ha atendido adecuadamente una solicitud o que el tratamiento de sus datos personales vulnera la normativa vigente, también puede presentar una reclamación ante la autoridad de control competente:

Agencia de Ciberseguridad del Estado (ACE)

• Sitio web: https://ace.gob.sv
• Correo de contacto general: contacto@ace.gob.sv

Sin perjuicio de lo anterior, la persona titular conserva el derecho de acudir a las instancias administrativas o judiciales que correspondan para la defensa de sus derechos.

19. Aviso de privacidad simplificado

En los puntos de recolección de datos y durante el proceso de registro, Salus podrá mostrar un aviso de privacidad resumido que incluya, al menos, la siguiente información:

• La identidad y datos de contacto del responsable.
• Las finalidades principales del tratamiento y las bases legales.
• Los destinatarios o categorías de destinatarios de los datos.
• La existencia de transferencias internacionales cuando las haya.
• Los derechos de la persona titular y cómo ejercerlos.
• Un enlace o referencia a esta Política de Privacidad completa.

En cualquier momento, la persona usuaria puede consultar la versión vigente de esta Política en los canales oficiales de Salus.