Política de privacidad — Datos de salud (LOPDP Ecuador)
Protección de datos sensibles de salud conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador. CESCAC Salud y Sistema Médico SM.
1. Responsable del tratamiento
CESCAC Productos y Servicios S.A.S., RUC 0993389404001, con domicilio en Los Rios #609, entre Quisquis y 1ro de Mayo, Condominio Orellana, Guayaquil, Ecuador, es el responsable del tratamiento de los datos personales y datos sensibles de salud recolectados a través de:
- CESCAC Salud (cescac.com/salud)
- Sistema Médico SM CESCAC (sm.cescac.com)
- Portales de paciente y telemedicina
- Consultorios y centros médicos afiliados al ecosistema CESCAC
2. Datos sensibles de salud que tratamos
Conforme al artículo 4 de la LOPDP, los siguientes se catalogan como datos sensibles y reciben protección reforzada:
- Historial clínico: antecedentes médicos personales y familiares, alergias, cirugías previas, medicación actual.
- Diagnósticos: condiciones médicas identificadas, presunciones diagnósticas, evolución clínica.
- Resultados de laboratorio: análisis clínicos, estudios de imagen, valores de referencia.
- Imágenes médicas: radiografías, ecografías, electrocardiogramas, estudios de imagenología.
- Signos vitales: presión arterial, frecuencia cardíaca, temperatura, saturación de oxígeno, peso, talla, índice de masa corporal.
- Datos de prescripción: medicamentos recetados, dosis, duración de tratamientos.
- Notas de evolución: observaciones del profesional de salud tratante durante consultas y seguimientos.
3. Finalidad exclusiva del tratamiento
Sus datos sensibles de salud son tratados exclusivamente para las siguientes finalidades:
- Atención médica directa: consulta, diagnóstico, prescripción y seguimiento clínico.
- Seguimiento clínico: monitoreo de evolución del paciente, control de enfermedades crónicas, medicina preventiva.
- Facturación de servicios de salud: emisión de prefacturas y facturas por servicios médicos prestados.
- Comunicación con el paciente: recordatorios de citas, resultados de exámenes, indicaciones médicas, información sobre su tratamiento.
- Coordinación entre profesionales: derivación a especialistas dentro del ecosistema CESCAC, previa autorización del paciente.
- Cumplimiento legal: obligaciones ante el Ministerio de Salud Pública (MSP), autoridades sanitarias y requerimientos judiciales válidos.
Sus datos de salud nunca serán utilizados para fines de marketing, publicidad, investigación sin consentimiento explícito adicional, ni perfilado automatizado.
4. Base legal — Consentimiento explícito
El tratamiento de sus datos sensibles de salud se fundamenta en el consentimiento explícito, libre e informado del titular, conforme al artículo 7 de la Ley Orgánica de Protección de Datos Personales del Ecuador.
Antes de recibir atención médica en cualquier centro del ecosistema CESCAC, usted deberá firmar el Consentimiento informado para tratamiento de datos personales de salud, donde autoriza de manera específica cada una de las finalidades del tratamiento.
Usted puede revocar su consentimiento en cualquier momento, sin que ello afecte la licitud del tratamiento previo a la revocación. La revocación no impedirá la conservación de sus datos cuando exista obligación legal (ej. historia clínica por 15 años según normativa MSP).
5. Acceso restringido — Solo personal autorizado
El acceso a sus datos sensibles de salud está estrictamente limitado a:
- Personal médico: médicos tratantes, especialistas y profesionales de la salud directamente involucrados en su atención.
- Personal administrativo autorizado: exclusivamente para facturación, agendamiento de citas y gestión de historias clínicas.
Cada acceso queda registrado en bitácoras de auditoría que incluyen: identidad del profesional, fecha, hora, datos consultados y acción realizada. Estas bitácoras se conservan por un mínimo de 5 años.
El personal con acceso a datos de salud está sujeto a obligaciones de confidencialidad por contrato y por ley. La violación de la confidencialidad médica conlleva sanciones administrativas, civiles y penales.
6. Conservación de datos — Historia clínica 15 años
Conforme a la normativa del Ministerio de Salud Pública del Ecuador, la historia clínica se conserva por un período mínimo de 15 años contados desde la última atención médica registrada.
Otros datos de salud asociados (resultados de laboratorio, imágenes, notas de evolución) se conservan por el mismo período de 15 años como parte integral del expediente clínico.
Una vez cumplido el plazo de conservación legal, los datos son eliminados de forma segura o anonimizados de manera irreversible, conservándose únicamente con fines estadísticos sin posibilidad de reidentificación.
Los datos de facturación relacionados con servicios de salud se conservan por 7 años, conforme a las obligaciones tributarias ante el SRI.
7. No compartimos datos con terceros sin consentimiento
CESCAC no comparte, vende, cede ni transfiere sus datos sensibles de salud a terceros sin su consentimiento explícito, salvo en los siguientes casos:
- Obligación legal: requerimiento de autoridad judicial competente o autoridad sanitaria (MSP) en ejercicio de sus facultades legales.
- Derivación médica: cuando usted autoriza expresamente la remisión de su información clínica a un especialista o centro médico externo al ecosistema CESCAC.
- Emergencia médica: cuando esté en riesgo su vida o integridad física y no sea posible obtener su consentimiento previo.
Las pasarelas de pago utilizadas para facturación de servicios de salud no reciben datos clínicos; solo reciben el monto a facturar y datos de identificación necesarios para la transacción.
8. Sus derechos (ARCO + Portabilidad + Supresión)
Usted, como titular de datos sensibles de salud, tiene los siguientes derechos reconocidos por la LOPDP:
- Acceso: conocer qué datos de salud tenemos, con qué finalidad y quién ha accedido a ellos.
- Rectificación: corregir datos clínicos inexactos o incompletos en su historia clínica.
- Cancelación: solicitar la eliminación de datos cuando no exista obligación legal de conservación.
- Oposición: oponerse al tratamiento de sus datos para finalidades específicas, incluida la revocación del consentimiento.
- Portabilidad: recibir su historia clínica y datos de salud en formato estructurado, legible y transferible a otro centro médico.
- Supresión: solicitar la eliminación de datos cuando el tratamiento sea ilícito, haya caducado la finalidad o usted revoque el consentimiento (siempre que no exista obligación legal de conservación).
El ejercicio de estos derechos no puede afectar la conservación mínima legal de la historia clínica (15 años), pero sí puede limitar el uso de sus datos a partir de la fecha de la solicitud.
9. Medidas de seguridad reforzadas
Para proteger sus datos sensibles de salud, aplicamos las siguientes medidas técnicas y organizativas:
- Cifrado en tránsito: toda comunicación entre su navegador y nuestros servidores utiliza TLS 1.3 con certificados actualizados.
- Cifrado en reposo: los datos clínicos se almacenan cifrados en base de datos y sistemas de archivos.
- Control de acceso basado en roles (RBAC): cada profesional accede únicamente a los datos necesarios para su función (médico tratante, facturación, administración).
- Autenticación multifactor (MFA): requerida para todo el personal con acceso a datos sensibles de salud.
- Registros de auditoría: todas las consultas, modificaciones y accesos a datos clínicos quedan registrados con trazabilidad completa.
- Copias de respaldo cifradas: respaldos automáticos diarios con cifrado, almacenados en ubicación segura.
- Evaluaciones de impacto: realizamos evaluaciones de impacto sobre protección de datos (EIPD) para cada nuevo tratamiento de datos de salud.
- Notificación de vulneraciones: en caso de violación de seguridad que afecte datos de salud, notificaremos a la autoridad de control en un plazo máximo de 72 horas y al titular afectado sin demora indebida.
10. Delegado de Protección de Datos (DPO)
Para cualquier consulta sobre privacidad de datos de salud, ejercicio de derechos ARCO, solicitud de portabilidad de historia clínica o reporte de incidentes de seguridad, contacte a nuestro Delegado de Protección de Datos:
- Email: familiacescac@gmail.com
- WhatsApp: +593 93 923 0827
- Dirección física: Los Rios #609, entre Quisquis y 1ro de Mayo, Condominio Orellana, Guayaquil, Ecuador
11. Procedimiento para ejercer sus derechos
Para ejercer cualquiera de sus derechos sobre datos de salud:
- Envíe su solicitud al DPO por email (familiacescac@gmail.com) o WhatsApp (+593 93 923 0827).
- Adjunte copia de su cédula de identidad o documento de identificación válido.
- Especifique claramente el derecho que desea ejercer (acceso, rectificación, cancelación, oposición, portabilidad o supresión).
- Si solicita portabilidad de historia clínica, indique el formato deseado y, si aplica, los datos de contacto del centro médico de destino.
- Recibirá confirmación de recepción en un plazo máximo de 5 días hábiles.
- Responderemos su solicitud en un plazo máximo de 15 días hábiles, conforme a la LOPDP.
12. Autoridad de control
En Ecuador, la autoridad de control en materia de protección de datos personales es la Superintendencia de Protección de Datos Personales. Si considera que sus derechos no han sido atendidos adecuadamente, puede presentar un reclamo ante dicha autoridad.
13. Datos de menores de edad
Los datos de salud de menores de 18 años solo son tratados con el consentimiento verificable de sus padres o tutores legales. En caso de atención médica de emergencia a un menor sin presencia de sus representantes legales, se aplica el principio de interés vital del titular conforme la LOPDP, documentando debidamente la circunstancia.
14. Vigencia y modificaciones
Esta política de privacidad para datos de salud entra en vigencia a partir del 28 de junio de 2026 y reemplaza cualquier disposición anterior sobre tratamiento de datos de salud en CESCAC.
Nos reservamos el derecho de modificar esta política para adaptarla a cambios normativos o mejores prácticas. Cualquier modificación será publicada en esta página y, cuando afecte sustancialmente sus derechos, se lo notificaremos por los canales de contacto que usted nos haya proporcionado.
Última actualización: 28 de junio de 2026.