Política de tratamiento de datos personales

Citaplena es una plataforma que usan centros de estética para gestionar su agenda. Eso crea dos relaciones que la ley trata de forma diferente, y confundirlas sería el error más grave de este documento:

En términos de la Ley 1581: cada centro es Responsable de los datos de sus pacientes y Citaplena es Encargado. Si eres paciente de un centro y quieres ejercer tus derechos, tu interlocutor natural es el centro que te atiende — aunque también puedes escribirnos y te ayudamos a canalizarlo.

Técnicamente esto no es una declaración de intenciones: los datos de cada centro están aislados en la base de datos con políticas a nivel de motor, de modo que un centro no puede ver los datos de otro ni aunque el programa se equivocara.

Este es el inventario real de lo que guarda la plataforma. No es una lista genérica: corresponde campo por campo a lo que existe en el sistema.

Lo que NO guardamos: el número completo de tarjetas de crédito o débito (lo procesa la pasarela de pagos, nunca pasa por nuestros servidores) y las contraseñas en texto legible (se guardan con un algoritmo de cifrado irreversible).

Esta sección merece leerse con atención. La plataforma registra qué tratamiento estético recibe cada persona identificada — por ejemplo, criolipólisis, depilación láser, toxina botulínica o hidrafacial — y permite al personal del centro escribir notas libres sobre esa cita.

Bajo el artículo 5 de la Ley 1581 de 2012, esa información constituye dato sensible relativo a la salud, porque relaciona a una persona identificada con un procedimiento sobre su cuerpo. Y por el artículo 6, los datos sensibles tienen reglas más estrictas.

Esto significa, de forma concreta:

• El centro que te atiende debe pedirte autorización expresa para tratar esta información, informándote de que es un dato sensible.
• No estás obligado a autorizar el tratamiento de datos sensibles. La ley te da ese derecho explícitamente.
• El acceso a estas notas está restringido al personal del centro que te atiende, según su rol dentro de la plataforma.
• Citaplena no usa esta información para ninguna finalidad propia: no la analiza, no la comercializa y no la comparte con terceros con fines publicitarios.

La plataforma no es una historia clínica ni sustituye las obligaciones de custodia documental que la normativa de salud imponga a cada centro. Si tu centro maneja historia clínica formal, esa obligación le corresponde a él.

Los datos se tratan únicamente para estas finalidades:

• Agendar, confirmar, recordar y coordinar citas, evitando que se solapen el profesional, la cabina o el equipo.
• Enviar confirmaciones y recordatorios de cita por WhatsApp o correo electrónico.
• Permitir al centro llevar el historial de atención y las gestiones comerciales con cada cliente.
• Permitir que las personas reserven por su cuenta desde el link público del centro.
• Gestionar paquetes y bonos de sesiones.
• Cobrar la suscripción del centro a Citaplena y llevar su historial de pagos.
• Atender el soporte técnico que nos solicite el centro.
• Responder a quien nos escriba por el chat de la web y darle seguimiento comercial.
• Cumplir obligaciones legales y atender requerimientos de autoridad competente.

No hacemos nada de esto: no vendemos ni cedemos datos a terceros, no los usamos para publicidad de otras empresas, no cruzamos los datos de un centro con los de otro, y no construimos perfiles comerciales con la información de los pacientes.

Estos son todos los terceros que intervienen. La lista salió de revisar cada llamada saliente del código y cada recurso que carga el navegador, no de suponer.

Cada uno de estos servicios trata los datos bajo sus propias políticas, en calidad de encargado nuestro o del centro según el caso.

Los servidores donde vive la plataforma están en Colombia. Sin embargo, algunos de los terceros de la sección anterior almacenan o procesan información fuera del país, principalmente en Estados Unidos.

En concreto: las copias de seguridad de la base de datos y de los archivos adjuntos se suben diariamente a Google Drive (Google LLC, Estados Unidos), con la única finalidad de poder restaurar el servicio si el servidor se pierde o falla. También operan fuera del país los servicios de Meta, Telegram y la pasarela de pagos.

Al aceptar esta política, el titular autoriza expresamente esta transferencia internacional en los términos del artículo 26 de la Ley 1581 de 2012. Los proveedores mencionados cuentan con sus propias garantías contractuales de protección de datos.

Citaplena no utiliza inteligencia artificial sobre los datos de pacientes ni de usuarios. Lo decimos de forma explícita porque es una pregunta legítima y creciente, y porque no responderla se presta a suposiciones.

Concretamente, y verificado sobre el código:

• No enviamos datos de pacientes, conversaciones, notas ni historiales a ningún servicio de inteligencia artificial.
• No entrenamos modelos con la información de los centros ni de sus clientes.
• No hay decisiones automatizadas que produzcan efectos jurídicos sobre una persona ni que la afecten de modo similar: la plataforma no clasifica, puntúa ni perfila pacientes.
• El reparto automático de clientes entre el equipo del centro es una rotación por turnos configurada por el propio centro, no un algoritmo que evalúe a la persona.

Que herramientas de inteligencia artificial se hayan usado para construir la plataforma no implica ningún tratamiento de datos personales, del mismo modo que usar un editor de código tampoco lo implica. Lo que importa legalmente es si la IA procesa los datos de las personas, y aquí no lo hace.

Si esto cambiara en el futuro, actualizaríamos esta política e informaríamos a los centros antes de aplicarlo.

Un centro puede atender a menores de edad. Cuando eso ocurre, el tratamiento de sus datos se rige por el artículo 7 de la Ley 1581 y por el Decreto 1377: solo procede cuando responde al interés superior del menor, respeta sus derechos fundamentales y cuenta con la autorización del representante legal, previo ejercicio del derecho del menor a ser escuchado.

Obtener y conservar esa autorización es responsabilidad del centro que atiende al menor. Citaplena, como encargado, no la solicita directamente.

Estas son las medidas que están efectivamente implementadas, no las que aspiramos a tener:

• Todo el tráfico viaja cifrado con HTTPS, con HSTS activo.
• Los datos de cada centro están aislados a nivel del motor de base de datos: aunque el programa se equivocara, un centro no podría leer los datos de otro.
• Las contraseñas se guardan con bcrypt, un algoritmo de cifrado irreversible; nadie —tampoco nosotros— puede leerlas.
• La base de datos no está expuesta a internet: solo acepta conexiones desde el propio servidor.
• El panel de administración de la plataforma admite verificación en dos pasos.
• Cada acción administrativa relevante queda registrada con autor, fecha y dirección IP.
• Se realizan copias de seguridad diarias, cuyo contenido se verifica automáticamente antes de darlas por válidas.

Ningún sistema es infalible. Si detectáramos un incidente de seguridad que afecte a datos personales, lo informaríamos a los centros afectados y a la Superintendencia de Industria y Comercio conforme a la normativa vigente.

• Datos de pacientes: mientras el centro mantenga su cuenta activa, porque son datos del centro y los necesita para atender a su gente. Si la cuenta se cierra, se conservan un tiempo razonable para permitir su recuperación o exportación, y después se eliminan.
• Conversaciones del chat de la web: se conservan 30 días después de cerrarse y luego pueden eliminarse.
• Consultas de soporte: se archivan al resolverse y se conservan como historial de la cuenta.
• Copias de seguridad: 30 días de retención, tras los cuales se eliminan automáticamente.
• Registro de actividad administrativa: se conserva como evidencia de quién hizo qué en la plataforma.

Como titular de datos personales, la ley te reconoce el derecho a:

• Conocer qué datos tuyos tratamos y obtener copia de ellos.
• Actualizarlos o rectificarlos cuando sean inexactos, incompletos o induzcan a error.
• Solicitar su supresión cuando no exista un deber legal o contractual de conservarlos.
• Revocar la autorización que hayas dado.
• Ser informado del uso que se ha dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio.

Cómo ejercerlos. Escríbenos por WhatsApp al +57 316 820 6207 o al correo no-responder@citaplena.com, indicando tu nombre, tu documento y qué solicitas. Puede que te pidamos verificar tu identidad antes de responder — es una protección para ti.

Plazos. Las consultas se atienden en un máximo de diez (10) días hábiles, prorrogables por cinco (5) más. Los reclamos, en quince (15) días hábiles, prorrogables por ocho (8) más. Si nos pasamos del plazo, te avisamos y te explicamos por qué.

Si eres paciente de un centro: tu solicitud la resuelve el centro que te atiende, porque es quien decide sobre tus datos. Si nos escribes a nosotros, la canalizamos hacia él y te lo confirmamos.

Esta política rige desde el 20 de agosto de 2026. Las bases de datos se mantendrán vigentes mientras dure la operación de la plataforma y sea necesario para las finalidades descritas.

Si cambiamos algo sustancial —una finalidad nueva, un tercero nuevo, o el uso de inteligencia artificial sobre los datos— lo informaremos a los centros con antelación y actualizaremos la fecha de esta página.

Para efectos legales, el responsable del tratamiento de los datos personales que se recogen en la plataforma Citaplena es:

La atención de consultas y reclamos sobre datos personales la ejerce directamente el responsable, por los canales indicados. Estos datos se publican porque la Ley 1581 de 2012 exige identificar de forma inequívoca a quien responde por el tratamiento.