MindFlow S.A.S. ("Psynapse")
Versión 2.0 · Vigencia: 28 de julio de 2026 · Reemplaza la versión del 26 de junio de 2023
MindFlow S.A.S., NIT 901.912.922, domiciliada en Calle 22 Bis # 45-51, Bogotá D.C., Colombia (en adelante "Psynapse"), opera una plataforma de gestión clínica y administrativa para profesionales de la salud mental.
Esta Política explica qué datos personales tratamos, con qué finalidad, cuál es nuestro rol frente a cada tipo de dato, cuáles son tus derechos y cómo ejercerlos.
Correo del área de protección de datos: app@psynapse.com.co
Esta es la sección que más consecuencias tiene. Psynapse no tiene el mismo rol frente a todos los datos.
| Categoría de datos | Responsable del Tratamiento | Encargado |
|---|---|---|
| Datos de pacientes, incluida la historia clínica | El profesional o la organización que los atiende | Psynapse |
| Datos de profesionales y organizaciones como clientes nuestros: identificación, contacto, facturación, uso de la Plataforma | Psynapse | — |
| Datos de visitantes del sitio web y prospectos | Psynapse | — |
| Datos de trabajadores, candidatos, proveedores y aliados | Psynapse | — |
Qué significa en la práctica. Respecto de la información clínica de los pacientes, Psynapse actúa exclusivamente por cuenta y bajo instrucciones del profesional o de la organización tratante. No decidimos sobre esos datos, no los usamos para fines propios y no los comercializamos. Si eres paciente y quieres ejercer tus derechos, debes dirigirte al profesional o a la institución que te atiende; nosotros te remitiremos a ellos.
Tratamos los datos personales conforme a los principios del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad y calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Añadimos dos compromisos propios:
Minimización. Recolectamos únicamente los datos necesarios para la finalidad declarada. No pedimos información "por si acaso".
Separación de finalidades. La información clínica nunca se utiliza para fines comerciales, publicitarios, de perfilamiento comercial ni de análisis de mercado.
Nombre, tipo y número de documento, correo, teléfono, ciudad, profesión, número de tarjeta profesional, datos de facturación y tributarios, datos de la persona jurídica y de su representante legal cuando aplique, y datos de uso de la Plataforma (accesos, dispositivo, dirección IP, actividad).
Consultamos listas restrictivas nacionales e internacionales únicamente con el fin de cumplir la normativa de prevención de lavado de activos y financiación del terrorismo.
| Categoría | Qué incluye |
|---|---|
| Identificación y contacto | Nombre, documento, fecha de nacimiento, teléfono, correo, contacto de emergencia |
| Datos sensibles de salud | Motivo de consulta, antecedentes relevantes, evolución, impresiones diagnósticas, plan de tratamiento, resultados de instrumentos psicológicos |
| Grabaciones y transcripciones | Únicamente cuando el paciente lo haya consentido expresamente y por separado (ver sección 7) |
| Datos administrativos | Citas, asistencia, estado de pago |
| Datos de representante legal | Cuando el paciente es menor de edad o tiene capacidad legal modificada |
Qué ya no recolectamos. A diferencia de la versión anterior de esta Política, no recolectamos de los pacientes: datos biométricos, geolocalización, antecedentes judiciales o penales, información de burós de crédito o centrales de riesgo, historial de compras ni historial de navegación con fines comerciales. Esa recolección no era necesaria para la finalidad del servicio.
Datos de contacto que nos entregues voluntariamente y datos de navegación mediante cookies (sección 10).
Los necesarios para la relación laboral o contractual, conforme a la normativa aplicable.
Exclusivamente para:
a. Permitir al profesional o a la organización registrar y consultar la historia clínica.
b. Gestionar agenda, recordatorios y comunicaciones operativas relacionadas con la atención.
c. Generar transcripciones y borradores de nota clínica, cuando el paciente lo haya consentido.
d. Facturación y cobro de los servicios prestados por el profesional o la organización.
e. Cumplir obligaciones legales de conservación y responder requerimientos de autoridad competente.
f. Garantizar la seguridad de la Plataforma y prevenir accesos no autorizados.
No tratamos datos clínicos para mercadeo, publicidad, perfilamiento comercial, análisis de mercado, reportes a centrales de riesgo, ni para entrenar o mejorar modelos de inteligencia artificial.
a. Prestar el servicio contratado y administrar la relación contractual.
b. Facturar, cobrar y cumplir obligaciones tributarias y contables.
c. Brindar soporte y comunicar cambios del servicio.
d. Cumplir obligaciones legales, incluidas las de prevención de lavado de activos.
e. Realizar analítica de uso agregada para mejorar la Plataforma.
f. Enviar comunicaciones comerciales sobre nuestros productos, con posibilidad de oposición en cualquier momento.
Podemos generar estadísticas agregadas y efectivamente anonimizadas, que no permiten reidentificar a ningún paciente, profesional u organización, para mejorar el servicio y elaborar reportes generales del sector. No utilizamos contenido clínico, ni siquiera anonimizado, para entrenar modelos de inteligencia artificial.
6.1 Los datos relativos a la salud son datos sensibles conforme al artículo 5 de la Ley 1581 de 2012. Su tratamiento requiere autorización explícita del titular o de su representante legal.
6.2 Nadie está obligado a autorizar el tratamiento de datos sensibles ni a responder preguntas sobre ellos. Sin embargo, la historia clínica es un registro obligatorio por ley y, sin ella, la atención en salud no puede prestarse.
6.3 El tratamiento de datos de menores de edad se realiza atendiendo su interés superior y con autorización de su representante legal, respetando el derecho del menor a ser escuchado según su edad y madurez.
6.4 La recolección y validez de estas autorizaciones corresponde al profesional o a la organización tratante, en su calidad de Responsable. Psynapse pone a su disposición los modelos correspondientes.
7.1 La Plataforma puede transcribir el audio de una sesión y generar un borrador de nota clínica mediante sistemas de inteligencia artificial.
7.2 Esta funcionalidad requiere consentimiento específico y separado del paciente, otorgado de forma independiente del consentimiento informado general. El paciente puede negarse sin que ello afecte su atención, y puede revocarlo en cualquier momento.
7.3 Nuestros compromisos:
| Compromiso | Detalle |
|---|---|
| No entrenamiento | El contenido clínico no se usa para entrenar, afinar ni evaluar modelos de inteligencia artificial, ni nuestros ni de terceros |
| Retención del audio | Psynapse no conserva el audio. Se transmite al proveedor de transcripción, que almacena la solicitud y su respuesta de forma cifrada por un máximo de treinta (30) días con fines exclusivos de auditoría de abuso, y no las utiliza para entrenar modelos |
| Configurabilidad | El profesional o la organización puede desactivar la función en cualquier momento |
| Revisión humana | El resultado es un borrador. No constituye historia clínica hasta que el profesional lo revise, corrija y apruebe |
| Sin decisiones automatizadas | La Plataforma no emite diagnósticos ni adopta decisiones automatizadas con efectos sobre el paciente |
| Trazabilidad | Se registra qué contenido fue generado por IA y quién lo validó |
7.4 Los sistemas de inteligencia artificial pueden generar contenido inexacto o incompleto. La verificación es responsabilidad del profesional.
8.1 Subencargados. Nos apoyamos en proveedores que tratan datos por nuestra cuenta, bajo obligaciones contractuales no menos protectoras que las de esta Política. A la fecha de esta versión son:
| Proveedor | Para qué lo usamos | Dónde procesa | Qué datos trata |
|---|---|---|---|
| Amazon Web Services | Cómputo, almacenamiento de archivos y ejecución del servicio | Brasil (América del Sur) | Todos |
| Supabase | Base de datos y copias de respaldo | Brasil (América del Sur) | Todos |
| Amazon Simple Email Service (SES) | Correo transaccional del servicio | Brasil (América del Sur) | Contacto |
| Hostinger | Correo corporativo y alojamiento del sitio web | Unión Europea | Contacto |
| Auth0 (Okta) | Autenticación e inicio de sesión | Estados Unidos | Identificación y credenciales |
| xAI (Grok) | Transcripción de sesiones y borradores de nota clínica | Estados Unidos | Audio y texto clínico |
| Mercado Pago | Cobro de la suscripción | Colombia | Facturación |
| Meta Platforms (WhatsApp Business) | Recordatorios de cita | Estados Unidos | Contacto. No se transmite información clínica por este canal |
| Google (Calendar) | Sincronización de agenda, solo si el profesional conecta su calendario | Estados Unidos | Datos administrativos de citas |
| Google Analytics | Analítica de uso del producto y del sitio | Estados Unidos | Datos de navegación y uso |
| Formbricks | Encuestas dentro del producto | Unión Europea | Contacto y datos de uso |
| Sleekplan | Canal de sugerencias y votación de mejoras | Unión Europea | Contacto y datos de uso |
Publicamos la lista actualizada en esta Política y notificamos cualquier incorporación o sustitución con treinta (30) días de antelación.
8.2 Autoridades. Entregamos información cuando lo exija una autoridad competente, limitándonos a lo estrictamente requerido y notificando previamente al Responsable cuando la ley lo permita.
8.3 Reorganizaciones societarias. En caso de fusión, escisión o venta sustancial de activos, los datos podrán transferirse al adquirente, quien quedará obligado por esta Política. Lo notificaremos con treinta (30) días de antelación.
8.4 Lo que no hacemos.
Psynapse no vende, arrienda, cede ni comercializa datos personales bajo ninguna forma ni por ningún título. No compartimos datos con aliados comerciales para que te ofrezcan sus productos. No usamos información clínica con fines publicitarios.
8.5 WhatsApp. Utilizamos WhatsApp Business para recordatorios y comunicaciones operativas. Meta Platforms actúa como proveedor tecnológico del canal y trata la información conforme a sus propias condiciones. No transmitimos contenido clínico ni de historia clínica por ese canal.
9.1 Algunos de nuestros proveedores procesan datos fuera de Colombia. Estas transmisiones se realizan hacia países que la Superintendencia de Industria y Comercio ha declarado con nivel adecuado de protección, o bajo un contrato de transmisión de datos que cumple el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.
9.2 El país de alojamiento principal de la información es Brasil (región de América del Sur de Amazon Web Services). Notificaremos cualquier cambio con treinta (30) días de antelación.
10.1 Utilizamos cookies propias y de terceros para el funcionamiento del sitio, recordar preferencias y generar analítica de uso.
10.2 Puedes gestionar tus preferencias desde el banner de cookies o desde la configuración de tu navegador. Las cookies estrictamente necesarias no pueden desactivarse porque sin ellas el sitio no funciona.
10.3 No utilizamos cookies dentro de la Plataforma clínica para fines publicitarios ni de perfilamiento comercial. Sí utilizamos analítica de uso —propia y de terceros, según la sección 8.1— para medir el funcionamiento del producto; esa analítica no accede al contenido clínico.
| Tipo de dato | Término de conservación |
|---|---|
| Historia clínica | Mínimo quince (15) años desde la última atención (5 en archivo de gestión y 10 en central, Resolución 839 de 2017). Por defecto configuramos veinte (20) años atendiendo el criterio del Colegio Colombiano de Psicólogos. Términos duplicados cuando el paciente sea víctima de violaciones de derechos humanos o infracciones graves al DIH |
| Grabaciones de audio de sesión | Psynapse no las almacena. El proveedor de transcripción las conserva un máximo de treinta (30) días para auditoría de abuso |
| Datos contractuales y de facturación | Diez (10) años, conforme a la normativa comercial y tributaria |
| Datos de candidatos no seleccionados | Doce (12) meses, salvo autorización distinta |
| Datos de navegación y cookies | Según el tipo de cookie, informado en el banner |
| Copias de respaldo | Siete (7) días |
Cumplidos los términos, suprimimos la información y podemos expedir certificado de supresión a solicitud.
Implementamos medidas técnicas, humanas y administrativas que incluyen:
a. Cifrado en tránsito (TLS 1.2 o superior) y en reposo.
b. Autenticación federada mediante proveedor de identidad. El doble factor obligatorio para los roles con acceso ampliado se encuentra en implementación.
c. Control de acceso por rol aplicado en el backend, bajo el principio de mínimo privilegio.
d. Aislamiento lógico de la información entre profesionales y organizaciones.
e. Bitácora inmutable de accesos y operaciones sobre la historia clínica.
f. Imposibilidad de modificación retroactiva de registros clínicos; las correcciones se hacen mediante nota aclarativa fechada.
g. Copias de respaldo cifradas y pruebas de restauración semestrales.
h. Prácticas de desarrollo seguro; no utilizamos datos productivos en ambientes de desarrollo o pruebas.
i. Escaneo periódico de vulnerabilidades y gestión de dependencias.
j. Compromisos de confidencialidad de alcance indefinido para todo nuestro personal y contratistas.
Acceso de nuestro personal. Por defecto, nuestro equipo no accede a contenido clínico. Cuando la atención de un caso de soporte lo exija, el acceso requiere aprobación del profesional o de la organización, tiene alcance mínimo, expira automáticamente y queda registrado.
Ninguna medida ofrece seguridad absoluta. Nos comprometemos a mantener un nivel de protección acorde con la sensibilidad de la información.
13.1 Si ocurre un incidente que afecte datos personales, notificaremos al Responsable dentro de las veinticuatro (24) horas siguientes a su confirmación cuando involucre información clínica, y dentro de las cuarenta y ocho (48) horas en los demás casos.
13.2 Entregaremos la información técnica necesaria para que el Responsable pueda reportar a la Superintendencia de Industria y Comercio dentro de los quince (15) días hábiles siguientes a la detección, y cumpliremos nuestras propias obligaciones de reporte.
Como titular tienes derecho a:
a. Conocer, actualizar y rectificar tus datos.
b. Solicitar prueba de la autorización otorgada, salvo en los casos del artículo 10 de la Ley 1581 de 2012.
c. Ser informado sobre el uso dado a tus datos.
d. Presentar quejas ante la Superintendencia de Industria y Comercio, previo trámite ante nosotros.
e. Revocar la autorización y solicitar la supresión, cuando no exista un deber legal o contractual de conservación.
f. Acceder gratuitamente a tus datos.
g. Solicitar la portabilidad de tus datos en formato estructurado y de uso común.
h. Abstenerte de responder preguntas sobre datos sensibles o de menores de edad.
Límite importante. La supresión no procede respecto de la historia clínica mientras esté vigente el deber legal de conservación de la sección 11.
Si eres paciente: dirígete al profesional o a la institución que te atiende, que es el Responsable de tus datos. Si nos escribes directamente, te remitiremos a ellos dentro de los dos (2) días hábiles siguientes y te informaremos.
Si eres profesional, organización, trabajador, proveedor o visitante: escríbenos a app@psynapse.com.co indicando (i) tu nombre e identificación, (ii) la descripción de tu solicitud, (iii) tus pretensiones, (iv) una dirección física o electrónica de respuesta y (v) los documentos que quieras hacer valer.
| Tipo de solicitud | Plazo |
|---|---|
| Consulta | Diez (10) días hábiles, prorrogables por cinco (5) más informándote el motivo |
| Reclamo | Quince (15) días hábiles, prorrogables por ocho (8) más informándote el motivo |
Si tu solicitud está incompleta, te lo informaremos dentro de los cinco (5) días siguientes. Si no la completas dentro de los dos (2) meses siguientes, entenderemos que desistes.
Cumplimos nuestras obligaciones de inscripción y actualización ante el RNBD de la Superintendencia de Industria y Comercio cuando nos resultan aplicables.
Publicaremos cualquier cambio en esta página con al menos treinta (30) días de antelación a su entrada en vigor. Si el cambio implica nuevas finalidades para datos sensibles, solicitaremos tu autorización expresa; no lo haremos por aceptación tácita.
Mantenemos disponibles las versiones anteriores para consulta.
Área de protección de datos: app@psynapse.com.co
Dirección: Calle 22 Bis # 45-51, Bogotá D.C., Colombia
Última actualización: 28 de julio de 2026