1. Objetivo y Alcance

La presente política establece los lineamientos para garantizar la protección, confidencialidad y adecuado tratamiento de los datos personales, y especialmente de los datos sensibles (salud), recolectados a través de la plataforma tecnológica Tutelapp.

Esta política cubre toda la información capturada a través del formulario guiado de creación de casos, el canal de WhatsApp, el registro de usuarios (Supabase Auth) y el procesamiento mediante agentes de inteligencia artificial, en cumplimiento del artículo 15 de la Constitución Política de Colombia y la Ley 1581 de 2012.

Datos que registran las organizaciones. Cuando una EPS, una IPS o una asociación de usuarios registra en Tutelapp datos de sus pacientes, afiliados o beneficiarios, esa organización es la Responsable del Tratamiento y Tutelapp actúa como su Encargada, según el contrato de transmisión que celebran. Esos datos se rigen por la política de la organización, y sus titulares ejercen sus derechos ante ella; si se dirigen a Tutelapp, trasladaremos la solicitud a la organización dentro de los dos (2) días hábiles siguientes.

2. Responsable del Tratamiento

• Nombre/Razón Social: GRUPO EMPRESARIAL NEW WAY S.A.S.
• NIT: 901.855.061-7
• Domicilio: Bogotá D.C., Colombia
• Dirección para notificaciones: Calle 66 No 59-31, Bogotá D.C.
• Correo Electrónico de Contacto: hola@tutelapp.site

3. Definiciones y Tipología de Datos Recolectados

3.1. Datos de Identificación y Contacto (Públicos y Semiprivados)

Recolectados al registrarse y al preparar el caso:

• Nombres y apellidos del accionante y/o paciente
• Número de documento de identidad (CC, TI, CE)
• Correo electrónico y teléfono (para notificaciones judiciales)
• Dirección de residencia

3.2. Datos Sensibles (Salud y Vida Íntima)

Recolectados al describir el caso y almacenados bajo estrictos protocolos de seguridad. Dado que el objeto de la plataforma es la protección del derecho a la salud, es indispensable tratar:

• Historia Clínica y Diagnósticos: Información sobre patologías (CIE-10), condiciones de salud física y mental (protegidas reforzadamente por Ley 2460 de 2025)
• Barreras de Acceso: Negaciones de servicios, medicamentos o tecnologías por parte de las EPS
• Situación Socioeconómica: Información sobre capacidad de pago para sustentar la solicitud de transporte, viáticos o insumos

3.3. Datos de Niños, Niñas y Adolescentes (NNA)

En casos donde el paciente sea menor de edad, se tratarán sus datos únicamente para la protección de sus derechos fundamentales, actuando el solicitante como representante legal o agente oficioso, bajo el principio del Interés Superior del Menor.

4. Finalidad del Tratamiento

A. Fines Estrictamente Necesarios (Prestación del Servicio)

1. Generación de Documentos Legales: Procesamiento de la información médica y fáctica para la redacción automatizada de Acciones de Tutela, Impugnaciones, Incidentes de Desacato y Derechos de Petición
2. Análisis por Inteligencia Artificial (IA): Tratamiento de datos por agentes algorítmicos para estructurar el documento y buscar jurisprudencia relevante
3. Radicación por Orden del Usuario: Cuando el usuario lo ordena, envío de su petición a la entidad destinataria por correo electrónico, con copia al usuario
4. Gestión del Caso: Almacenamiento del historial de documentos generados en el panel del usuario para su descarga y seguimiento judicial
5. Autenticación y Seguridad: Validación de identidad para asegurar el acceso exclusivo del titular a su información

B. Fines Comerciales y Publicitarios (Opcionales y Separados)

Marketing y Fidelización: Únicamente si el Titular lo autoriza de manera expresa, sus datos de contacto (email y teléfono) podrán ser usados para:

• El envío de información sobre nuevos servicios legales, seguros, o alianzas estratégicas
• La realización de estudios de mercado y encuestas de satisfacción
• La segmentación de perfiles para personalizar ofertas, sin que esto implique en ningún caso la comercialización o entrega de su historia clínica a terceros

5. Tratamiento de Datos Sensibles (Autorización Explícita)

De conformidad con el artículo 6 de la Ley 1581 de 2012, el Titular entiende que, al tratarse de datos relativos a su salud, no está obligado a autorizar su tratamiento.

Sin embargo, dada la naturaleza del servicio (LegalTech en Salud), el suministro de esta información es estrictamente necesario para que la plataforma pueda generar el documento. Al aceptar esta política, el usuario otorga su consentimiento explícito, previo e informado para el tratamiento de sus datos médicos con la finalidad exclusiva de preparar los documentos para la protección de sus derechos fundamentales.

Tutelapp es una herramienta de autogestión jurídica: no actúa como apoderado ni como representante del usuario.

6. Transmisión Internacional y Terceros Encargados

Para la operación técnica del servicio, los datos pueden ser transmitidos a proveedores tecnológicos que actúan como Encargados del Tratamiento, garantizando estándares de seguridad adecuados:

• Supabase Inc.: Proveedor de base de datos y autenticación. Los datos se almacenan bajo políticas de Row Level Security (RLS), que aíslan cada registro para que solo pueda consultarlo el usuario propietario
• Railway Corp.: Infraestructura en la nube donde se ejecuta la aplicación
• Proveedores de LLM (e.g., OpenAI/Anthropic): El contenido de los casos es procesado por modelos de lenguaje para la redacción. Estos proveedores procesan la información de manera transitoria para la generación del texto
• Cerebras Systems Inc. (Estados Unidos): Redacta en primer lugar, con inteligencia artificial, el borrador de los derechos de petición; si falla, lo redacta Anthropic. Recibe el caso minimizado: sin el nombre, el documento, el correo, la dirección ni el teléfono del peticionario ni del paciente, pero con el diagnóstico, el servicio, los hechos y la pretensión que el usuario registró. De acuerdo con su política de privacidad, no conserva lo que se le envía para generar el texto
• Croma (usecroma.com): Cuando el usuario registra el número de radicado de su tutela, Tutelapp lo envía a Croma, que consulta el estado del proceso en la información pública de la Rama Judicial para avisarle de novedades. A Croma solo viaja el número de radicado; Tutelapp no guarda los nombres de las partes que devuelve la consulta
• Pinecone: Base de datos vectorial utilizada para la búsqueda de jurisprudencia. Se anonimizan los datos personales antes de cualquier indexación que no sea estrictamente necesaria para el caso concreto
• Meta Platforms, Inc. (WhatsApp): Cuando el usuario prepara su tutela por WhatsApp, sus mensajes, notas de voz y documentos transitan por la plataforma de WhatsApp Business de Meta
• OpenAI (transcripción de voz): Las notas de voz enviadas por WhatsApp se convierten en texto de manera transitoria. Tutelapp no almacena los audios ni las transcripciones: solo conserva los datos del caso que el usuario confirma en el chat
• OpenAI (búsqueda de jurisprudencia): OpenAI también procesa, de manera transitoria, texto derivado del caso (diagnóstico, servicio solicitado y EPS, sin nombre ni documento) para generar representaciones numéricas que permiten buscar jurisprudencia relevante
• Resend, Inc.: Servicio de envío de correo electrónico. Cuando el usuario ordena radicar una petición por correo, entrega a la entidad destinataria y al usuario el mensaje con el documento en PDF adjunto; el texto del correo no incluye datos de salud
• Wompi (Bancolombia S.A.): Pasarela que procesa los pagos. Tutelapp no recibe ni almacena los datos de la tarjeta

Transmisión internacional. Algunos de estos proveedores tienen su sede o procesan los datos fuera de Colombia, como Cerebras en Estados Unidos. El usuario autoriza de manera expresa e inequívoca esa transferencia y/o transmisión internacional en los Términos y Condiciones (Cláusula 7.3), conforme al artículo 26 de la Ley 1581 de 2012. Tutelapp adopta las medidas de seguridad y los acuerdos de transmisión que correspondan para procurar un nivel adecuado de protección.

Canal WhatsApp: en este canal el número de WhatsApp del usuario identifica su cuenta, sin contraseña. La autorización del tratamiento de datos sensibles se solicita con un botón independiente antes de cualquier pregunta de salud, y el borrador de la conversación se elimina cuando se entrega el documento, si la generación falla o tras 30 días sin actividad; el caso se conserva en la plataforma como cualquier otro. El número de documento se recoge fuera del chat, mediante un enlace cifrado de un solo uso; ese dato no queda en los registros técnicos del canal.

7. Medidas de Seguridad

Tutelapp implementa medidas técnicas, humanas y administrativas para proteger los datos:

• Row Level Security (RLS): Implementación a nivel de base de datos PostgreSQL que impide que un usuario acceda a los datos de otro, incluso ante fallos de la aplicación
• Cifrado: Datos en tránsito (HTTPS/TLS) y en reposo; los documentos generados se guardan cifrados con AES-256-GCM
• Middleware de Protección: Restricción de acceso a rutas sensibles (/dashboard, /caso) mediante validación de tokens JWT
• Trigger Automático: Sincronización segura de datos entre auth.users y tabla usuarios

8. Derechos de los Titulares (artículo 8 de la Ley 1581 de 2012)

Como titular de los datos, usted tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales
2. Solicitar prueba de la autorización otorgada
3. Ser informado sobre el uso que se le ha dado a sus datos
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante el responsable
5. Revocar la autorización y/o solicitar la supresión del dato cuando no se respeten los principios constitucionales (salvo cuando exista un deber legal o contractual de permanecer en la base de datos)
6. Acceder en forma gratuita a sus datos personales

Puede ejercer estos derechos desde su página de preferencias o contactándonos directamente.

9. Canales de Atención (Habeas Data)

Para ejercer sus derechos, el titular puede enviar una solicitud al correo electrónico: hola@tutelapp.site

Las consultas se atienden en un término máximo de diez (10) días hábiles y los reclamos en un término máximo de quince (15) días hábiles, conforme a los artículos 14 y 15 de la Ley 1581 de 2012.

10. Aceptación y Consentimiento

El tratamiento de sus datos se legitima mediante dos mecanismos de autorización independientes al momento del registro:

1. Autorización para el tratamiento de datos sensibles (obligatoria): Al marcar en el registro la casilla con la que acepta esta Política de Tratamiento de Datos y autoriza el tratamiento de sus datos de salud (datos sensibles) para generar sus documentos, el usuario entiende que el tratamiento de sus datos sensibles (salud) es indispensable para la prestación del servicio
2. Autorización para Fines Comerciales (Opcional): Al marcar la casilla «(Opcional) Recibir novedades sobre servicios legales», el usuario autoriza el uso de sus datos de contacto para los fines descritos en el literal B de la sección 4. La no aceptación de esta finalidad no impedirá el acceso al servicio de generación de tutelas