ClickAlly · app.clickally.co
Vigente desde: 11/08/2026
1. Quiénes somos
ClickAlly (app.clickally.co) es una plataforma de historia clínica electrónica y gestión
de consultorios médicos, operada por MediAlly (medially.co) (en adelante,
«MediAlly»).
Contacto para asuntos de protección de datos: [email protected].
Esta política describe cómo se recogen, usan, almacenan y protegen los datos personales
tratados a través de la plataforma, en cumplimiento de la Ley 1581 de 2012, el Decreto
1377 de 2013 (compilado en el Decreto 1074 de 2015) y la normativa colombiana aplicable
al manejo de historias clínicas (Ley 23 de 1981, Resolución 1995 de 1999 y las normas
que las modifiquen o complementen).
2. Roles: responsable y encargado del tratamiento
- Cada consultorio u organización de salud que usa ClickAlly (en adelante, el
«Prestador») actúa como responsable del tratamiento de los datos personales de
sus pacientes: decide qué datos se registran y con qué finalidad, en el marco de la
relación asistencial. - MediAlly, como operador de la plataforma, actúa como encargado del
tratamiento: procesa los datos por cuenta de cada Prestador, bajo sus instrucciones
y las de esta política, y no los usa para fines propios. - Respecto de los datos de las cuentas del personal (profesionales de la salud,
personal de enfermería y personal administrativo), MediAlly actúa como
responsable del tratamiento.
3. Datos personales que se tratan
De pacientes (registrados por su Prestador):
- Datos de identificación y contacto: nombres, apellidos, tipo y número de documento,
fecha de nacimiento, sexo, teléfono, correo electrónico, dirección. - Datos sensibles de salud, propios de la historia clínica: antecedentes, motivo de
consulta, notas clínicas y de enfermería, signos vitales, diagnósticos,
prescripciones, documentos clínicos, consentimientos informados y su firma. - Preferencias de comunicación (por ejemplo, autorización para recibir mensajes por
WhatsApp) y constancia de su origen. - Documentos que el propio paciente cargue para una teleconsulta (por ejemplo exámenes
o informes), identificados como enviados por él.
Del personal de salud y administrativo:
- Nombre, correo electrónico, rol, credenciales de acceso (incluidas llaves de acceso y
vinculación con Google cuando el usuario las configura) y firma profesional cuando
aplica.
Del Prestador, cuando habilita la teleconsulta:
- Dirección de la cuenta de Google conectada, el calendario elegido y las credenciales
de acceso que Google entrega, almacenadas cifradas (ver la sección 7).
Registros técnicos:
- Bitácoras de auditoría y eventos de seguridad: quién accede o modifica qué
información y cuándo, conforme a la trazabilidad exigida para las historias clínicas.
4. Finalidades del tratamiento
- Gestionar la historia clínica electrónica y soportar la prestación de servicios de
salud por parte del Prestador tratante. - Administrar la agenda y las citas médicas, incluidos recordatorios, confirmaciones y
avisos de reprogramación o cancelación. - Gestionar consentimientos informados y su firma electrónica.
- Permitir la atención por teleconsulta, creando la videollamada en el calendario del
Prestador y dando al paciente un acceso temporal para prepararse e ingresar a ella. - Emitir cobros, registrar pagos y expedir recibos no fiscales, cuando el Prestador
habilita ese módulo. - Garantizar la seguridad de la plataforma, la trazabilidad de los accesos y el
cumplimiento de las obligaciones legales de los Prestadores y de MediAlly.
Los datos no se usan con fines publicitarios ni comerciales distintos de los
anteriores, y no se venden ni se ceden a terceros para fines propios de éstos.
5. Autorización
Los datos de los pacientes se recogen en el marco de la relación asistencial con su
Prestador, que como responsable del tratamiento obtiene la autorización del titular
cuando la ley la exige. El tratamiento de datos de salud se ampara además en las normas
que regulan la historia clínica, cuyo diligenciamiento es obligatorio para el
Prestador.
El envío de mensajes por WhatsApp requiere siempre una autorización previa y expresa
del paciente, registrada en la plataforma junto con su origen (verbal en consulta,
formulario, u otro canal documentado). Esta autorización puede revocarse en cualquier
momento (ver sección 9).
6. Comunicaciones por correo electrónico y WhatsApp
La plataforma envía notificaciones transaccionales — nunca publicitarias — sobre
citas (agendamiento, recordatorio, reprogramación, cancelación) y consentimientos
(enlace personal de firma):
- Correo electrónico: al correo registrado por el Prestador para el paciente.
- WhatsApp: únicamente a pacientes que lo han autorizado, a través de la API de
WhatsApp Business de Meta Platforms, Inc. Los mensajes contienen solo los datos
mínimos necesarios (nombre, profesional, consultorio, fecha y hora de la cita, o un
enlace personal de firma con vigencia limitada). Los mensajes de WhatsApp nunca
incluyen información clínica.
Las respuestas del paciente por WhatsApp (por ejemplo, confirmar o pedir cancelación de
una cita) se registran para gestionar la cita correspondiente y quedan sujetas a esta
política.
7. Teleconsulta e integración con Google
Cuando un Prestador habilita la teleconsulta, un administrador autoriza a ClickAlly a
acceder al calendario de la cuenta de Google del propio consultorio. ClickAlly no
utiliza ninguna cuenta de Google propia ni compartida para crear las reuniones de
ningún Prestador.
Para qué se usa ese acceso. Únicamente para dos cosas:
- Crear, actualizar y cancelar el evento de calendario correspondiente a cada cita de
teleconsulta, con videollamada de Google Meet asociada. - Mostrar la lista de calendarios de la cuenta, una sola vez, para que el administrador
elija en cuál se crearán los eventos.
ClickAlly no lee, consulta ni modifica ningún otro evento del calendario, ni accede a
correo, contactos, archivos u otros servicios de la cuenta.
Qué recibe Google. El evento creado no contiene datos identificables del paciente
ni información clínica: su título es un texto fijo («Teleconsulta») y solo incluye una
referencia interna y al profesional tratante. El paciente no es invitado al evento,
de modo que su nombre y su correo electrónico no se comparten con Google.
Credenciales. Las credenciales que Google entrega al Prestador se almacenan
cifradas, se usan exclusivamente para las finalidades descritas y nunca se muestran
en la plataforma. El administrador puede revocarlas en cualquier momento desconectando
la cuenta desde la configuración del Prestador; al hacerlo, ClickAlly deja de poder crear
nuevas reuniones.
Acceso del paciente. El paciente recibe por correo o WhatsApp un enlace personal y
temporal a una página de ClickAlly —no el enlace directo de la videollamada— donde puede
firmar los consentimientos pendientes, cargar documentos para su cita e ingresar a la
videollamada cuando el profesional la inicie. Ese enlace deja de
funcionar automáticamente al terminar la ventana de la cita, y también si la cita se
cancela o se reprograma. Los documentos que el paciente cargue quedan en su historia
clínica, identificados como enviados por él.
El uso que ClickAlly hace de la información recibida de las API de Google se ajusta a la
Política de Datos de Usuario de los Servicios de API de Google,
incluidos sus requisitos de uso limitado.
8. Derechos de los titulares
Conforme a la Ley 1581 de 2012, todo titular puede:
- Conocer, actualizar y rectificar sus datos personales.
- Solicitar prueba de la autorización otorgada, cuando aplique.
- Ser informado sobre el uso que se ha dado a sus datos.
- Presentar quejas ante la Superintendencia de Industria y Comercio por
infracciones al régimen de protección de datos. - Revocar la autorización y/o solicitar la supresión de sus datos cuando no exista un
deber legal o contractual que lo impida. La historia clínica se conserva por los
plazos mínimos que exige la normativa sanitaria, aun si se revoca la autorización
para otros tratamientos.
9. Cómo ejercer sus derechos
- Ante su Prestador (responsable del tratamiento), directamente en los canales de
atención que éste disponga. - Ante MediAlly, escribiendo a [email protected].
Plazos de respuesta (Ley 1581 de 2012): las consultas se atienden en máximo diez
(10) días hábiles, prorrogables por cinco (5) más con aviso al titular; los
reclamos en máximo quince (15) días hábiles, prorrogables por ocho (8) más con
aviso al titular.
10. Seguridad de la información
- Toda la información se transmite cifrada (HTTPS/TLS).
- El acceso requiere autenticación y está limitado por un esquema de permisos por rol:
cada miembro del personal solo accede a la información necesaria para su función. - Todo acceso y modificación de historias clínicas queda registrado en bitácoras de
auditoría inmodificables. - Las contraseñas se almacenan con funciones criptográficas de una sola vía; los
enlaces personales (por ejemplo, de firma de consentimientos) tienen vigencia
limitada y se almacenan de forma irrecuperable.
11. Conservación
Las historias clínicas se conservan por los plazos mínimos exigidos por la normativa
sanitaria colombiana sobre historia clínica y sus normas complementarias. Los demás
datos se conservan mientras exista la relación con el Prestador o con el usuario y,
después, por los plazos necesarios para atender obligaciones legales.
12. Encargados, subencargados y transferencias internacionales
Para operar, la plataforma usa proveedores de infraestructura y mensajería que actúan
como encargados o subencargados y no usan los datos para fines propios:
- Amazon Web Services (alojamiento y almacenamiento, con centros de datos en
Estados Unidos): toda la información se almacena cifrada. - Meta Platforms, Inc. (API de WhatsApp Business, solo para pacientes que
autorizaron el canal): recibe únicamente el número de destino y el contenido mínimo
del mensaje. - Amazon SES (envío de correos transaccionales).
- Google LLC (Google Calendar y Google Meet, solo para Prestadores que habilitan la
teleconsulta): recibe la fecha, la hora y el profesional de la cita, sin datos
identificables del paciente ni información clínica.
Estas operaciones implican transmisión internacional de datos hacia proveedores que
ofrecen garantías contractuales y técnicas de protección conformes con la normativa
colombiana.
13. Cookies
ClickAlly usa únicamente cookies esenciales de sesión, necesarias para la
autenticación y la seguridad de la plataforma. No se usan cookies publicitarias, de
análisis de terceros ni de seguimiento.
14. Cambios a esta política
Cualquier cambio sustancial se publicará en esta misma página, actualizando la fecha de
vigencia. Cuando el cambio afecte materialmente el tratamiento de datos de pacientes,
los Prestadores serán informados a través de la plataforma.
MediAlly · medially.co · [email protected]
