Términos y Condiciones · Modalidad Institucional

TÉRMINOS Y CONDICIONES DE USO - QHORTE VOICE

Modalidad Institucional - Versión 1.0

Aplicable a profesionales de la salud que utilizan el Servicio bajo un Contrato Institucional vigente entre TARGETSOFTDECOLOMBIA SAS y una institución de salud o laboratorio.

Versión: 1.0

Modalidad: Institucional

Fecha de emisión: Pendiente de aprobación

Responsable del Tratamiento: TARGETSOFTDECOLOMBIA SAS

Preámbulo

Al registrarse, acceder o usar QHORTE Voice (en adelante, el "Servicio") bajo la modalidad institucional, el profesional de la salud (en adelante, el "Usuario") manifiesta haber leído, comprendido y aceptado en su integridad los presentes Términos y Condiciones, la Política de Tratamiento de Datos Personales (en adelante, la "Política" o "TRG_POL_001") y el Aviso de Privacidad publicado por TARGETSOFTDECOLOMBIA SAS.

Estos términos regulan exclusivamente la relación entre TARGETSOFTDECOLOMBIA SAS (en adelante, "TargetSoft" o el "Prestador") y el Usuario, en su calidad de profesional de la salud adscrito a una institución de salud o laboratorio (en adelante, la "Institución") que ha suscrito un Contrato Institucional vigente con TargetSoft para el uso del Servicio.

Estos términos NO regulan la relación comercial entre TargetSoft y la Institución, la cual se gobierna por el Contrato Institucional correspondiente.

Los presentes términos se rigen por la Ley 1581 de 2012 (Habeas Data Colombia), el Decreto 1377 de 2013, las normas reglamentarias del Decreto 1074 de 2015, la jurisprudencia de la Corte Constitucional sobre autodeterminación informativa (en particular, Sentencia C-748 de 2011), las Circulares y Resoluciones aplicables de la Superintendencia de Industria y Comercio (SIC), y los controles del Anexo A de la norma ISO/IEC 27001:2022.

1. Identificación del Responsable del Tratamiento

Para todos los efectos legales, el Responsable del Tratamiento de Datos Personales asociado al Servicio es:

• Razón social: TARGETSOFTDECOLOMBIA SAS
• NIT: 900.350.419-8
• Matrícula mercantil: 02865647 (Cámara de Comercio de Bogotá)
• Domicilio principal: Carrera 10 No. 97 A 13, Oficina 202, Torre B, Bogotá D.C., Colombia
• Email corporativo y de protección de datos: [email protected]
• Oficial de Protección de Datos: Por designar formalmente
• Teléfonos: (+57) 313 235 9308 / (+57) 322 891 8451
• Sitios web: www.targetsoftdecolombia.com - www.qhorte.com - www.qhortevoice.com
• Representante legal: Dany Felipe Rodelo Castrillo (C.C. 13.746.395)

2. Objeto y Naturaleza del Servicio

2.1 Descripción funcional

QHORTE Voice es un sistema de Software como Servicio (SaaS) que utiliza tecnologías de reconocimiento automático de voz (ASR) y procesamiento de lenguaje natural (NLP) especializadas en terminología médica, con el fin de transformar el dictado de voz del profesional de la salud en texto estructurado para la generación de reportes clínicos.

2.2 Naturaleza jurídica del Servicio

QHORTE Voice NO constituye:

• Historia clínica electrónica conforme a la Resolución 1995 de 1999 del Ministerio de Salud y la Resolución 839 de 2017.
• Resumen Digital de Atención en Salud (RDA) bajo la Resolución 1888 de 2025.
• Sistema de información sanitaria oficial sujeto a autorización del Ministerio de Salud.

QHORTE Voice es un insumo técnico que apoya la actividad documental del profesional de la salud. Las obligaciones legales sobre conservación, integridad y disponibilidad de la historia clínica son responsabilidad de la Institución conforme a la normativa sanitaria aplicable, sin perjuicio de las obligaciones de TargetSoft como Encargado del Tratamiento sobre los datos procesados por el Servicio.

2.3 Modalidad institucional

Bajo la modalidad institucional, el Servicio es contratado por la Institución mediante Contrato Institucional, la cual habilita a sus profesionales de la salud para usar el Servicio dentro del ámbito de su ejercicio profesional vinculado a dicha Institución.

3. Relación del Usuario con la Institución y Roles bajo Habeas Data

3.1 Declaración del Usuario

Al aceptar estos términos, el Usuario declara y garantiza que:

• Está vinculado profesionalmente a la Institución como empleado, contratista, asociado o cualquier otra forma de vinculación reconocida que lo habilite para prestar servicios profesionales en dicha Institución.
• Cuenta con las habilitaciones legales, sanitarias y profesionales vigentes para ejercer su profesión en Colombia o en el país de su ejercicio profesional, incluyendo registro profesional ante la autoridad sanitaria competente.
• La Institución ha autorizado expresamente al Usuario para utilizar el Servicio en el marco de sus funciones profesionales.

3.2 Roles bajo la Ley 1581 de 2012

Para efectos del tratamiento de datos personales bajo la Ley 1581 de 2012 y el Decreto 1377 de 2013, las partes reconocen la siguiente distribución de roles:

Datos del paciente capturados en los dictados

• La Institución es Responsable del Tratamiento. Conserva la relación clínica directa con el paciente y obtiene el consentimiento informado conforme a la Ley 23 de 1981, la Resolución 1995 de 1999 y la Ley 1581 de 2012.
• TARGETSOFTDECOLOMBIA SAS es Encargado del Tratamiento. Procesa los datos por instrucción de la Institución conforme a los términos del Contrato Institucional y a la normativa de protección de datos personales aplicable.

Datos personales del Usuario profesional

• TARGETSOFTDECOLOMBIA SAS es Responsable del Tratamiento respecto al perfil profesional, credenciales, registros de actividad, y el dato biométrico de voz del Usuario, sujeto a las autorizaciones específicas otorgadas conforme a la Cláusula 7.
• La Institución puede ser Responsable concurrente respecto a métricas de productividad y registros administrativos del Usuario, conforme a su relación laboral o contractual y a sus políticas internas. Esta calidad debe estar respaldada por autorización del Usuario obtenida por la Institución de manera independiente.

Datos para finalidades de mejora del Servicio y entrenamiento

TARGETSOFTDECOLOMBIA SAS es Responsable del Tratamiento respecto a los datos procesados con esta finalidad, condicionado a la obtención de autorización separada del Usuario y/o de la Institución conforme a la Cláusula 7.

3.3 Consentimiento informado del paciente

El consentimiento informado del paciente para el procesamiento de sus datos clínicos mediante el Servicio se gestiona por la Institución conforme a sus políticas internas y a la normativa aplicable (Ley 23 de 1981, Resolución 1995 de 1999, Resolución 839 de 2017 y Ley 1581 de 2012).

El Usuario, en su ejercicio profesional, se compromete a cumplir con dichas políticas institucionales y a no incorporar al Servicio datos de pacientes respecto de los cuales la Institución no haya obtenido el consentimiento informado correspondiente.

TargetSoft no responde directamente ante el paciente por el tratamiento de sus datos, salvo en lo correspondiente a sus obligaciones como Encargado del Tratamiento conforme al Contrato Institucional y a la normativa imperativa aplicable.

4. Datos Personales Procesados por el Servicio

Estos términos regulan específicamente el tratamiento de los datos personales del Usuario. El tratamiento de los datos del paciente se rige por el Contrato Institucional y las políticas de la Institución, sin perjuicio de las obligaciones de TargetSoft como Encargado.

4.1 Datos personales del Usuario

TargetSoft trata los siguientes datos personales del Usuario:

• Datos de identificación profesional (nombre, número de documento, registro profesional ante la autoridad sanitaria, especialidad médica).
• Datos de contacto (correo electrónico, teléfono profesional).
• Credenciales de acceso al Servicio.
• La voz dictada (dato biométrico personal del Usuario, considerado dato sensible bajo el Art. 5 de la Ley 1581 de 2012). El tratamiento de este dato requiere autorización expresa y específica conforme a la Cláusula 7.
• Registros de actividad en la plataforma (logs de uso, transcripciones generadas, correcciones aportadas).
• Metadatos técnicos del procesamiento (dispositivo, navegador, ubicación geográfica aproximada por IP).

4.2 Datos del paciente contenidos en los dictados

El Usuario incorpora en sus dictados información clínica del paciente. Estos datos son tratados por TargetSoft como Encargado de la Institución, conforme al Contrato Institucional. Su régimen específico se rige por dicho contrato y por la Política de Tratamiento de Datos de TargetSoft.

5. Finalidades del Tratamiento

5.1 Finalidades operativas esenciales

TargetSoft tratará los datos del Usuario y del paciente para las siguientes finalidades operativas, esenciales para la prestación del Servicio. La autorización para estas finalidades es necesaria para el uso del Servicio:

• Convertir la voz dictada en texto estructurado mediante reconocimiento automático de voz.
• Aplicar correcciones lingüísticas, ortográficas, fonéticas y de puntuación al texto transcrito.
• Generar reportes estructurados firmables digitalmente con garantías criptográficas de integridad.
• Mantener registros de auditoría, trazabilidad y cumplimiento regulatorio.
• Autenticar al Usuario, gestionar su cuenta y proveer soporte técnico.
• Reportar a la Institución registros de actividad del Usuario para fines administrativos, conforme al Contrato Institucional y a las autorizaciones obtenidas por la Institución.

5.2 Finalidades de mejora del Servicio y entrenamiento de modelos propios

Las siguientes finalidades requieren autorización separada y opt-in del Usuario y de la Institución conforme a la Cláusula 7. La negativa a autorizar estas finalidades no impide el uso del Servicio.

• Mejorar la calidad, precisión y desempeño del reconocimiento automático de voz, del procesamiento de lenguaje natural y demás algoritmos del Servicio.
• Construir, entrenar, ajustar (fine-tuning), validar y evaluar modelos propios de inteligencia artificial especializados en el dominio médico hispanoamericano.
• Desarrollar y mantener corpus, bases de datos, diccionarios, ontologías, conjuntos de reglas, sistemas de aprendizaje continuo y demás activos derivados del análisis de los datos procesados.
• Investigación y desarrollo aplicado en inteligencia artificial médica, incluyendo publicación de resultados agregados, anonimizados y no identificables.

5.3 Finalidades de cumplimiento legal

• Cumplir obligaciones legales, contables, tributarias y regulatorias aplicables.
• Atender requerimientos de autoridades competentes en ejercicio de sus funciones.
• Defender los intereses legítimos de TargetSoft ante reclamaciones, disputas o procesos judiciales o administrativos.

6. Conservación del Audio y el Texto

6.1 Retención operativa del audio por defecto

El audio del dictado se conserva por un período por defecto de noventa (90) días desde la fecha de captura, con las siguientes condiciones:

• El audio se almacena cifrado en reposo (AES-256) y en tránsito (TLS 1.3+), en infraestructura controlada por TargetSoft (AWS región us-east-1, ver Cláusula 8).
• El acceso al audio está restringido al personal técnico autorizado de TargetSoft conforme al principio de mínimo privilegio, y exclusivamente para las finalidades operativas descritas en la Cláusula 5.1.
• Transcurrido el plazo de noventa (90) días, el audio será eliminado de forma automática e irreversible, salvo que aplique la conservación extendida de la Cláusula 6.2.

6.2 Conservación extendida del audio para entrenamiento (opt-in)

Cuando el Usuario y la Institución hayan otorgado la autorización separada conforme a la Cláusula 7.2, el audio podrá conservarse por un plazo extendido de hasta veinticuatro (24) meses con las siguientes condiciones adicionales:

• La conservación extendida tiene como única finalidad el entrenamiento de modelos propios de inteligencia artificial.
• El audio extendido se conserva en almacenamiento cifrado con segregación lógica respecto del entorno operativo.
• El Usuario o la Institución pueden revocar la autorización en cualquier momento, en cuyo caso el audio será eliminado dentro de los 30 días calendario siguientes a la revocación.
• Transcurrido el plazo de veinticuatro (24) meses, el audio será eliminado, o sus características extraídas (embeddings, métricas no reversibles) podrán conservarse en formato no identificable conforme al Art. 6 par. 1 lit. c Ley 1581 de 2012.

6.3 Conservación del texto transcrito

El texto generado por el Servicio (texto crudo del ASR, texto post-procesado, texto final y texto modificado por el Usuario) se conserva conforme al Contrato Institucional, alineado con las obligaciones de conservación de la historia clínica aplicables a la Institución (Resolución 1995 de 1999 modificada por Resolución 839 de 2017: cinco años de archivo de gestión más diez años de archivo central).

Sin perjuicio de lo anterior, TargetSoft únicamente actúa como Encargado para la conservación delegada por la Institución; la titularidad y obligación legal de conservación recaen en la Institución.

6.4 Tratamiento del texto para construcción de corpus

Cuando el texto transcrito sea utilizado para las finalidades de mejora del Servicio o entrenamiento de modelos descritas en la Cláusula 5.2, TargetSoft aplicará, antes de incorporarlo a los corpus de entrenamiento, procesos automatizados de:

• Redacción de información personal identificable (nombres, números de identificación, fechas de nacimiento, códigos de paciente).
• Reemplazo de identificadores directos por marcadores genéricos.
• Validación de cobertura de la anonimización mediante revisión técnica y muestreo de auditoría.

6.5 Limitaciones técnicas en la anonimización del audio

TargetSoft reconoce y declara expresamente que las tecnologías actualmente disponibles para anonimizar el contenido hablado dentro del audio (silenciar nombres pronunciados, identificadores numéricos dictados) presentan limitaciones técnicas que degradan significativamente la calidad del dato para los fines de entrenamiento de modelos. En consecuencia:

• El audio que ingresa a la fase de conservación extendida se conserva en su forma original.
• El acceso a este audio se rige por estrictos controles de seguridad descritos en la Cláusula 10.
• La autorización para esta forma de tratamiento se otorga únicamente mediante el consentimiento opt-in específico de la Cláusula 7.2.
• El Usuario es libre de no otorgar este consentimiento y continuar usando el Servicio bajo el régimen operativo de la Cláusula 6.1.

7. Autorizaciones Independientes para el Tratamiento de Datos

Conforme al Art. 6 de la Ley 1581 de 2012 y al Capítulo III del Decreto 1377 de 2013, TargetSoft solicita autorizaciones independientes y específicas para el tratamiento de datos sensibles. El Usuario declara haber sido informado de que:

• Los datos incluyen datos sensibles (voz biométrica y datos de salud).
• No está obligado a otorgar las autorizaciones opcionales.
• La negativa a las autorizaciones opcionales no impide el uso operativo del Servicio.
• Puede revocar cualquier autorización en cualquier momento.

7.1 Autorización operativa obligatoria

Esta autorización es necesaria para que el Servicio pueda funcionar. Sin ella no es posible la prestación.

Texto de la autorización: Autorizo a TARGETSOFTDECOLOMBIA SAS a procesar mis datos personales y mi voz biométrica para las finalidades operativas descritas en la Cláusula 5.1, con la retención por defecto de 90 días para el audio prevista en la Cláusula 6.1, y bajo los controles de seguridad descritos en la Cláusula 10.

7.2 Autorización para entrenamiento de modelos (opcional, opt-in)

Esta autorización es independiente y opcional. Su negativa no afecta el uso operativo del Servicio.

Texto de la autorización: Autorizo expresamente a TARGETSOFTDECOLOMBIA SAS a conservar mi audio dictado por hasta veinticuatro (24) meses y a utilizar dicho audio, junto con las transcripciones y correcciones generadas, para las finalidades de mejora del Servicio y entrenamiento de modelos propios. Reconozco que esta autorización puede ser revocada en cualquier momento mediante solicitud al correo [email protected].

7.3 Autorización para comunicaciones comerciales (opcional, opt-in)

Esta autorización es independiente y opcional. Su negativa no afecta el uso del Servicio.

Texto de la autorización: Autorizo a TARGETSOFTDECOLOMBIA SAS a contactarme con comunicaciones sobre actualizaciones del Servicio, mejoras, nuevas funcionalidades y eventos profesionales relacionados con QHORTE Voice, respetando los horarios y mecanismos previstos en la Ley 2300 de 2023 y el Registro de Números Excluidos administrado por la CRC.

7.4 Aceptación documentada y revocación

Al aceptar estos términos, el Usuario reconoce que:

• Le fueron presentados de forma clara y comprensible los términos completos.
• Tuvo oportunidad real de leerlos antes de aceptarlos.
• Cada casilla genera un registro inmutable independiente con fecha, hora, dirección IP, hash SHA-256 del documento aceptado y versión específica, conforme al Art. 18 del Decreto 1377 de 2013.
• Recibirá copia de las autorizaciones aceptadas a través del Servicio y podrá consultarlas en cualquier momento.

La revocación se gestiona mediante solicitud al correo [email protected] con los siguientes efectos:

• Revocación de la autorización operativa: implica la imposibilidad de continuar usando el Servicio. La Institución será notificada para gestionar la situación administrativa. Los datos personales del Usuario serán suprimidos conforme a la Cláusula 9, salvo aquellos que TargetSoft deba conservar por mandato legal o por las obligaciones del Contrato Institucional.
• Revocación de la autorización de entrenamiento: el audio conservado bajo régimen extendido será eliminado dentro de los 30 días calendario siguientes. El Usuario podrá continuar usando el Servicio en régimen operativo.
• Revocación de la autorización de comunicaciones: cesarán las comunicaciones comerciales sin afectación al Servicio.
• Los modelos, corpus, datasets y demás activos derivados que ya hubiesen sido construidos con anterioridad a la revocación no podrán ser deconstruidos retrospectivamente, dado que por su naturaleza estadística agregada no permiten identificar ni reconstruir los datos originales.

8. Encargados del Tratamiento y Transferencias Internacionales

TargetSoft utiliza Encargados del Tratamiento para la prestación del Servicio. El Usuario y la Institución autorizan expresamente la transferencia de los datos a estos Encargados conforme al Art. 26 de la Ley 1581 de 2012. El inventario actualizado de Encargados está disponible en www.qhortevoice.com/encargados y se complementa con la información a continuación. TargetSoft notificará con al menos 30 días de anticipación cualquier cambio sustantivo en la lista de Encargados.

8.1 Amazon Web Services Inc. (AWS) - Obligatorio

• Ubicación: Región us-east-1 (Norte de Virginia, Estados Unidos)
• Función: Almacenamiento de datos, cómputo, base de datos relacional, redes
• Garantías: Contrato AWS Customer Agreement, AWS Data Processing Addendum (DPA), Business Associate Addendum (BAA), Cláusulas Contractuales Tipo, cifrado en tránsito y en reposo, controles de acceso IAM, respaldos automáticos cifrados, certificaciones SOC 2, ISO 27001:2022, ISO 27017:2015, ISO 27018:2019 y CSA STAR Level 2
• Marco legal: Transferencia internacional a EE.UU., país en lista de la SIC con nivel adecuado de protección (Circular Externa 005 de 2017). Autorizada por el Usuario y la Institución al aceptar estos términos.

8.2 Anthropic PBC - Opcional y configurable

• Función: Corrección semántica lingüística, ortográfica y de puntuación sobre el texto ya transcrito
• Activación: Configurable por la Institución; puede activarse o desactivarse conforme a las preferencias institucionales
• Marco contractual: Commercial Terms of Service con Zero Data Retention (ZDR) habilitado, prohibición contractual de uso de los datos del cliente para entrenamiento de modelos de Anthropic, y cláusulas contractuales tipo para transferencia internacional
• Datos enviados: Únicamente texto post-procesado y contexto clínico genérico (especialidad, órgano, procedimiento). NO se envían datos identificables del paciente (nombre, identificación, código, fecha de nacimiento) ni el audio del dictado.
• Alcance: Corrección lingüística únicamente. NO incluye generación de contenido nuevo, transformación del reporte, ni interpretación clínica.

Si la Institución requiere que ningún dato salga hacia servicios de inteligencia artificial de terceros, esta funcionalidad puede ser desactivada por configuración institucional. En tal caso, las correcciones semánticas se realizarán exclusivamente mediante los motores propios de TargetSoft.

8.3 Cloudflare Inc. - Seguridad de red

Función: protección frente a ataques (WAF), distribución de contenido (CDN), gestión DNS. Procesa únicamente metadatos de conexión y tráfico; no accede al contenido de las transcripciones, al audio ni a los datos clínicos.

8.4 Servicios complementarios

TargetSoft podrá utilizar adicionalmente los siguientes Encargados para finalidades de soporte operativo, sin acceso al contenido de las transcripciones ni a datos clínicos del paciente:

• Google Workspace (Google LLC): correo electrónico corporativo y herramientas de colaboración interna.
• Otros proveedores comunicados al Usuario mediante actualización de estos términos o del inventario público en www.qhortevoice.com/encargados.

8.5 Garantías comunes para todos los Encargados

TargetSoft mantiene contratos vigentes con todos sus Encargados que incluyen:

• Obligaciones equivalentes de protección de datos personales y cumplimiento de la Ley 1581 de 2012.
• Cifrado en tránsito (TLS 1.3+) y en reposo (AES-256 o equivalente).
• Controles de acceso bajo principio de mínimo privilegio.
• Auditoría y trazabilidad de accesos.
• Notificación inmediata en caso de incidentes de seguridad.
• Prohibición de uso de los datos para finalidades distintas a las contratadas.
• Cláusulas contractuales tipo y/o certificaciones SOC 2, ISO 27001 según corresponda.

9. Derechos del Titular y Procedimientos para Ejercerlos

Conforme al Art. 8 de la Ley 1581 de 2012 y al Capítulo IV del Decreto 1377 de 2013, el Usuario, en su calidad de Titular de sus datos personales, tiene los siguientes derechos:

9.1 Derechos reconocidos

• Conocer, actualizar y rectificar sus datos personales frente a TargetSoft.
• Solicitar prueba de la autorización otorgada para el tratamiento, salvo cuando expresamente se exceptúe como requisito para el tratamiento conforme al Art. 10 Ley 1581.
• Ser informado, previa solicitud, respecto del uso que se le ha dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la Ley 1581 de 2012, a través del canal habilitado en www.sic.gov.co.
• Revocar la autorización otorgada y/o solicitar la supresión de los datos cuando no se respeten los principios, derechos y garantías constitucionales y legales.
• Acceder gratuitamente a sus datos personales que hayan sido objeto de tratamiento.

9.2 Procedimiento para ejercer derechos

Para ejercer cualquiera de los derechos anteriores, el Usuario debe enviar comunicación escrita al correo [email protected] indicando:

• Nombre completo y número de identificación.
• Derecho específico que desea ejercer (consulta, actualización, rectificación, supresión, revocación).
• Datos sobre los cuales recae la solicitud.
• Dirección física o electrónica de notificación.
• Documentos que sustenten la solicitud, cuando aplique.

9.3 Plazos de respuesta

TargetSoft atenderá las solicitudes en los siguientes plazos conforme al Decreto 1377 de 2013:

• Consultas (Art. 14 Ley 1581): hasta diez (10) días hábiles, prorrogables por cinco (5) días más cuando no sea posible atenderlas en el plazo inicial. La prórroga será comunicada al solicitante antes del vencimiento del plazo inicial.
• Reclamos (Art. 15 Ley 1581): hasta quince (15) días hábiles, prorrogables por ocho (8) días más cuando no sea posible atenderlos en el plazo inicial. La prórroga será comunicada al solicitante antes del vencimiento del plazo inicial.

9.4 Apelación ante autoridad de control

Si el Usuario no recibe respuesta satisfactoria, considera que sus derechos han sido vulnerados, o ha agotado el trámite ante TargetSoft conforme al Art. 16 de la Ley 1581 (consulta previa), podrá presentar queja ante la Superintendencia de Industria y Comercio (SIC) - Delegatura para la Protección de Datos Personales, a través de los canales establecidos por la entidad.

9.5 Limitaciones legales

La supresión de datos no aplicará respecto de datos que TargetSoft deba conservar por mandato legal (registros contables, fiscales, de auditoría, conservación de historia clínica conforme a Resoluciones 1995 de 1999 y 839 de 2017) o cuando exista un deber legal o contractual de mantenerlos.

Asimismo, los modelos, corpus, datasets y demás activos derivados que ya hubiesen sido construidos con anterioridad a la revocación no pueden ser deconstruidos retrospectivamente, dado que por su naturaleza estadística agregada no permiten identificar ni reconstruir los datos originales del Usuario o de los pacientes.

10. Seguridad de la Información

10.1 Sistema de Gestión de Seguridad de la Información

TargetSoft mantiene un Sistema de Gestión de Seguridad de la Información estructurado conforme al referencial ISO/IEC 27001:2022, documentado en su Política General de Seguridad de la Información (TRG_POL_000) y políticas de soporte.

10.2 Proceso de certificación

A la fecha de emisión de estos términos, TargetSoft se encuentra en proceso de certificación de su SGSI por NYCE Colombia (entidad certificadora acreditada por el Organismo Nacional de Acreditación de Colombia - ONAC bajo código 18-CSG-001). La Etapa 1 de auditoría fue completada satisfactoriamente; la Etapa 2 y la emisión del certificado están previstas para junio de 2026.

Hasta tanto se obtenga el certificado, TargetSoft se compromete contractualmente a la implementación efectiva de los 93 controles del Anexo A de ISO/IEC 27001:2022, sujeta a verificación documental disponible al Cliente bajo acuerdo de confidencialidad.

Una vez emitido el certificado, la información correspondiente (número de certificado, alcance, vigencia) será actualizada en estos términos.

10.3 Controles aplicados

Entre los controles del Anexo A de ISO/IEC 27001:2022 implementados se incluyen:

• Cifrado en tránsito (TLS 1.3+) y en reposo (AES-256).
• Controles de acceso bajo principio de mínimo privilegio.
• Autenticación multifactor para accesos administrativos.
• Registros de auditoría centralizados e inmutables.
• Gestión de vulnerabilidades y parcheo continuo.
• Respaldos automatizados cifrados con verificación de integridad.
• Plan de continuidad del negocio y recuperación ante desastres con RTO/RPO documentados.
• Capacitación periódica del personal en seguridad de la información y protección de datos.
• Acuerdos de confidencialidad firmados por todo el personal con acceso a datos personales.

10.4 Notificación de incidentes

En caso de un incidente de seguridad que afecte datos personales del Usuario, de la Institución o del paciente, TargetSoft procederá conforme a los siguientes plazos:

• Notificación a la Institución: dentro de las setenta y dos (72) horas siguientes a la detección del incidente, con descripción del alcance, datos afectados, medidas adoptadas y plan de remediación.
• Notificación a la Superintendencia de Industria y Comercio (SIC): dentro de los quince (15) días hábiles siguientes a la detección, conforme a la Circular Externa 003 de 2018 de la SIC, mediante el aplicativo dispuesto para tal fin.
• Notificación al Usuario: cuando el incidente lo afecte directamente, dentro del plazo razonable conforme a la gravedad y a las medidas de contención aplicadas.

11. Propiedad Intelectual

11.1 Propiedad del Servicio

El Servicio QHORTE Voice, incluyendo su software, código fuente, arquitectura, diseño, documentación, marca, signos distintivos y demás elementos, es propiedad exclusiva de TARGETSOFTDECOLOMBIA SAS, protegida por:

• Derecho de autor registrado ante la Dirección Nacional de Derecho de Autor (DNDA) bajo Libro-Tomo-Partida 13-46-331 del 15 de abril de 2015, modificado por Acta 1790 del 30 de septiembre de 2015 que adiciona a TARGETSOFTDECOLOMBIA SAS como titular de derechos patrimoniales.
• Marca registrada Q QHORTE (mixta), certificado SIC No. 783899, Clase 9 de la Clasificación Internacional de Niza, vigente hasta el 15 de agosto de 2035.
• Decisión Andina 351 de 1993, Ley 23 de 1982 y Ley 1915 de 2018 (derecho de autor sobre programas de computador).
• Secreto comercial sobre los algoritmos, modelos entrenados, corpus, diccionarios, configuraciones, parámetros y demás activos no publicados que conforman la inteligencia del Servicio.

11.2 Propiedad sobre activos derivados de los datos

Sujeto a la obtención de las autorizaciones específicas conforme a la Cláusula 7.2, y sin cesión patrimonial de los datos personales originales (que son derechos personalísimos no enajenables), TARGETSOFTDECOLOMBIA SAS adquiere derechos exclusivos sobre los activos intelectuales y tecnológicos derivados del procesamiento, entendidos como:

• Modelos de inteligencia artificial entrenados, ajustados o adaptados.
• Sistemas técnicos que integren dichos modelos.
• Métodos y procesos relacionados con el tratamiento, validación o uso de los datos.
• Corpus, datasets, diccionarios, ontologías, reglas, n-grams y compilaciones derivadas, sometidos a procesos de anonimización descritos en la Cláusula 6.4.
• Métricas, benchmarks y análisis derivados del uso del Servicio.
• Cualquier otro activo intelectual derivado del análisis de los datos.

11.3 Garantías sobre los activos derivados

TARGETSOFTDECOLOMBIA SAS se compromete a que los activos derivados:

• Serán sometidos a procesos de anonimización irreversible cuando contengan información derivada de datos personales del paciente.
• No permitirán la reconstrucción de los datos personales originales del Usuario, de la Institución o de los pacientes.
• Podrán ser objeto de auditoría de privacidad por tercero independiente al menos anualmente, cuyo informe podrá ser consultado por la Institución bajo acuerdo de confidencialidad.

11.4 Modalidades de explotación

TARGETSOFTDECOLOMBIA SAS podrá usar, modificar, integrar, licenciar, sublicenciar, ceder, comercializar y explotar comercialmente los activos derivados descritos en la Cláusula 11.2 bajo cualquier modalidad, incluyendo:

• Incorporación en productos y servicios propios.
• Licenciamiento a terceros como productos independientes.
• Cesión total o parcial en operaciones corporativas (adquisiciones, fusiones, asociaciones estratégicas).
• Investigación, publicación y desarrollo en colaboración con terceros, siempre que se preserven las garantías de confidencialidad y anonimización aplicables.

Ni el Usuario ni la Institución tendrán derecho a regalías, compensaciones adicionales ni participación en los beneficios económicos derivados de la explotación de estos activos, salvo que se acuerde expresamente lo contrario en el Contrato Institucional.

11.5 Datos brutos del Usuario y del paciente

Los datos brutos (audio sin procesar, texto identificable, datos personales) no serán cedidos, vendidos ni licenciados a terceros como productos independientes. Únicamente los activos derivados descritos en la Cláusula 11.2, debidamente anonimizados conforme a la Cláusula 11.3, podrán ser objeto de comercialización.

11.6 Propiedad del contenido clínico generado

El contenido del reporte clínico generado por el Usuario es propiedad de la Institución y/o del paciente conforme a la regulación aplicable sobre historia clínica y los términos del Contrato Institucional. TargetSoft únicamente actúa como Encargado para su procesamiento, almacenamiento y entrega.

12. Uso Aceptable del Servicio

12.1 Obligaciones del Usuario

El Usuario se compromete a:

• Utilizar el Servicio exclusivamente para fines profesionales relacionados con su práctica médica o asistencial, en el marco de su vinculación con la Institución.
• Mantener la confidencialidad de sus credenciales de acceso y no compartirlas con terceros.
• No utilizar el Servicio para fines ilícitos, fraudulentos, o que vulneren derechos de terceros.
• No intentar acceder a sistemas, datos o cuentas distintas de las propias.
• No realizar ingeniería inversa, descompilación o desensamblaje del Servicio.
• No utilizar el Servicio para entrenar sistemas competidores ni para extraer masivamente datos del mismo.
• Cumplir con la normativa profesional, ética y legal aplicable a su ejercicio, incluyendo las políticas institucionales correspondientes y los códigos de ética profesional.

12.2 Monitoreo institucional sobre actividad del Usuario

La Institución, como administradora del Servicio, puede acceder a registros de actividad, métricas de uso, consumo y reportes administrativos sobre el Usuario, conforme al Contrato Institucional y a las políticas internas de la Institución.

Este acceso institucional:

• Constituye tratamiento de datos personales del Usuario por parte de la Institución, en su calidad de Responsable concurrente conforme a la Cláusula 3.2.
• Requiere autorización del Usuario obtenida por la Institución de manera independiente, en el marco de la relación laboral o contractual.
• No incluye, por defecto, contenido detallado de las transcripciones individuales del Usuario salvo que la Institución así lo configure expresamente para fines de auditoría clínica conforme a normativa sanitaria.
• La Institución mantiene indemne a TargetSoft frente a reclamaciones del Usuario derivadas de monitoreo no autorizado por la propia Institución.

12.3 Suspensión o terminación del acceso

TargetSoft podrá suspender o terminar el acceso del Usuario al Servicio en los siguientes casos:

• Incumplimiento grave de las obligaciones del Usuario.
• Terminación de la vinculación del Usuario con la Institución, conforme a notificación de la Institución.
• Terminación del Contrato Institucional con la Institución.
• Requerimiento de autoridad competente.

13. Limitación de Responsabilidad

13.1 Naturaleza asistencial del Servicio

El Servicio es una herramienta tecnológica de apoyo al profesional de la salud. El Servicio no sustituye, reemplaza ni constituye juicio médico. Toda decisión clínica, diagnóstica o terapéutica es responsabilidad exclusiva del Usuario como profesional de la salud habilitado.

13.2 Verificación de transcripciones

El Usuario reconoce que las tecnologías de reconocimiento automático de voz pueden producir errores de transcripción. El Usuario es responsable de revisar, corregir y validar todas las transcripciones antes de firmarlas y utilizarlas como parte del expediente clínico oficial.

13.3 Limitación cuantitativa

La responsabilidad económica de TargetSoft frente al Usuario individualmente se regirá por los términos del Contrato Institucional aplicable. En ausencia de previsión específica en dicho Contrato, el límite máximo será el equivalente a doce (12) meses del valor de la suscripción institucional atribuible al Usuario, o tres (3) salarios mínimos mensuales legales vigentes (SMLMV), el que resulte mayor.

13.4 Exclusiones a la limitación

La limitación de responsabilidad de la Cláusula 13.3 NO aplica, y la responsabilidad de TargetSoft será integral, en los siguientes eventos:

• Dolo o culpa grave de TargetSoft o de su personal.
• Violación de la Ley 1581 de 2012 y normas concordantes de protección de datos personales.
• Incumplimiento de las garantías de seguridad del Anexo Técnico del Contrato Institucional o de la Cláusula 10.
• Daños a la vida, salud o integridad física de personas derivados del Servicio.
• Cualquier evento en que la ley imperativa colombiana prohíba la limitación de responsabilidad, incluyendo los supuestos del Art. 43 de la Ley 1480 de 2011.

13.5 Otras exclusiones

Sin perjuicio de lo anterior, en la máxima medida permitida por la ley, TargetSoft no será responsable por:

• Daños indirectos no derivados del incumplimiento, lucro cesante meramente especulativo, o daños consecuenciales no atribuibles directamente a la actuación de TargetSoft.
• Errores de transcripción no detectados por el Usuario antes de la firma del reporte.
• Interrupciones del Servicio causadas por terceros, fuerza mayor o caso fortuito debidamente acreditados.
• Decisiones clínicas tomadas por el Usuario.
• Incumplimientos del Usuario respecto a sus obligaciones legales o profesionales.

14. Menores de Edad

El Servicio puede procesar dictados clínicos relacionados con pacientes menores de edad. En tal caso:

• La Institución es responsable de haber obtenido el consentimiento informado del representante legal del menor conforme a la regulación aplicable (Art. 7 Ley 1581 de 2012, Código de la Infancia y la Adolescencia, regulación sectorial en salud).
• El tratamiento de los datos del menor se realizará atendiendo al interés superior del menor y respetando sus derechos prevalentes, conforme a la jurisprudencia de la Corte Constitucional colombiana sobre tratamiento de datos de niños, niñas y adolescentes.
• El Usuario, como profesional de la salud que ejerce dentro del marco institucional, cumple con las políticas institucionales correspondientes al tratamiento de datos de menores.

15. Registro Nacional de Bases de Datos

Conforme a la Ley 1581 de 2012, el Decreto 090 de 2018 y la Circular Externa 002 de 2015 de la SIC, las sociedades cuyo activo total supere el umbral de cien mil (100.000) Unidades de Valor Tributario (UVT) deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD).

TARGETSOFTDECOLOMBIA SAS verificará anualmente si supera dicho umbral conforme al valor de la UVT vigente. Cuando la obligación aplique, las bases de datos correspondientes al Servicio serán inscritas o actualizadas dentro de los plazos legales y la información correspondiente (código de inscripción) será publicada en estos términos.

Con independencia de la obligación de inscripción, TargetSoft cumple con todas las demás obligaciones del régimen de protección de datos, incluyendo el reporte de incidentes de seguridad conforme a la Circular Externa 003 de 2018.

16. Portabilidad y Migración de Datos

En caso de terminación del Contrato Institucional, terminación de la relación del Usuario con la Institución, o solicitud expresa de la Institución, TargetSoft garantizará la portabilidad de los datos en los siguientes términos:

• Entrega de los datos en formatos abiertos estándar (JSON, CSV, XML), compatibles con HL7 FHIR R4 cuando aplique al contexto clínico.
• Plazo máximo de 30 días calendario para la entrega completa desde la solicitud formal.
• Eliminación irreversible de los datos en infraestructura de TargetSoft tras la entrega, conforme a la política de retención y a las obligaciones legales de conservación que apliquen a la Institución.
• Sin costo adicional para la Institución cuando la portabilidad se solicite en el marco de la terminación contractual ordinaria.

17. Modificaciones a estos Términos

TargetSoft podrá modificar estos términos en cualquier momento para reflejar cambios legales, regulatorios, de seguridad, tecnológicos o de negocio.

Las modificaciones serán notificadas al Usuario con al menos quince (15) días calendario de anticipación a su entrada en vigencia, mediante correo electrónico y notificación visible en el Servicio.

El uso continuado del Servicio después de la entrada en vigencia de la nueva versión constituirá aceptación de la misma. Si el Usuario no acepta los nuevos términos, deberá abstenerse de usar el Servicio. La Institución será notificada para gestionar la situación administrativa correspondiente.

Cada versión de estos términos será conservada con número de versión, fecha de emisión, fecha de entrada en vigencia y hash SHA-256 del documento, formando parte del Registro de Términos Aceptados de cada Usuario.

18. Disposiciones Finales

18.1 Prevalencia del Contrato Institucional

En caso de contradicción entre estos Términos y Condiciones y el Contrato Institucional aplicable, prevalecerá el Contrato Institucional en lo que se refiera a la relación comercial y administrativa con la Institución, sin perjuicio del cumplimiento de las disposiciones imperativas de la Ley 1581 de 2012 y demás normativa aplicable a la protección de los datos personales del Usuario.

18.2 Ley aplicable y jurisdicción

Estos términos se rigen por las leyes de la República de Colombia. Cualquier controversia derivada de la interpretación, ejecución o terminación de estos términos será resuelta ante los juzgados competentes de la ciudad de Bogotá D.C., Colombia, renunciando las partes a cualquier otro fuero que pudiera corresponderles.

18.3 Notificaciones

Las notificaciones a TargetSoft se enviarán a [email protected] o a Carrera 10 No. 97 A 13, Oficina 202, Torre B, Bogotá D.C., Colombia.

18.4 Independencia de cláusulas

Si alguna cláusula de estos términos fuere declarada inválida, ilegal o inejecutable por una autoridad competente, las demás cláusulas continuarán siendo plenamente válidas y ejecutables. Si una cláusula sobre limitación de responsabilidad fuere declarada parcialmente abusiva, se entenderá modificada al estricto mínimo que la haga válida bajo la normativa aplicable.

18.5 Política de Tratamiento de Datos y Aviso de Privacidad

Estos términos se complementan con la Política de Tratamiento de Datos Personales de TARGETSOFTDECOLOMBIA SAS (TRG_POL_001), el Aviso de Privacidad publicado en el sitio web del Servicio, y el inventario de Encargados del Tratamiento disponible en www.qhortevoice.com/encargados, todos los cuales son accesibles al Usuario en cualquier momento.

18.6 Operación multilatam

Cuando el Servicio se preste a Instituciones ubicadas en países distintos a Colombia (Perú, Chile, Ecuador, República Dominicana u otros que en el futuro se incorporen), aplicarán adicionalmente los anexos locales correspondientes que ajustan estos términos a la normativa de protección de datos de cada jurisdicción.

19. Aceptación

Al marcar las casillas de autorización de la Cláusula 7 y hacer clic en Acepto, el Usuario declara que:

• Ha leído y comprendido en su integridad estos Términos y Condiciones, la Política de Tratamiento de Datos Personales y el Aviso de Privacidad.
• Acepta expresamente todas las cláusulas que regulan la relación, incluidas las relativas al tratamiento de datos sensibles, transferencia internacional a Estados Unidos, conservación de audio y texto en los plazos descritos, construcción de modelos y corpus condicionada a su autorización opt-in, propiedad intelectual sobre activos derivados con garantías de anonimización, y declaraciones respecto a su vinculación institucional.
• Es mayor de edad y tiene capacidad legal para aceptar estos términos.
• Cuenta con habilitación profesional vigente para ejercer la profesión médica o sanitaria correspondiente.
• Su vinculación con la Institución se encuentra vigente y la Institución lo ha autorizado para usar el Servicio.
• Ha otorgado de manera consciente, libre, previa, expresa e informada cada autorización específica de la Cláusula 7, en el entendido de que las autorizaciones opcionales pueden ser otorgadas o negadas sin afectar el uso del Servicio en su modalidad operativa.

Fin del documento