Este documento resume las obligaciones que asume toda persona que accede a la plataforma CONSULTORIO PRO como integrante del equipo de una institución de salud —profesionales, secretaría, personal administrativo y dirección—, con independencia de su vínculo contractual con esa institución. Su aceptación es condición para acceder a la plataforma.
1. A quién alcanza
Alcanza a toda persona a la que la institución le otorgue una cuenta de usuario con acceso a la plataforma, cualquiera sea su rol. Quien accede a datos de salud de un paciente queda alcanzado por el deber de secreto aunque no sea profesional de la salud y aunque no participe del acto médico.
2. Deber de confidencialidad
Los datos de salud son datos personales sensibles conforme el art. 2 de la Ley N.° 25.326. Quien acepta este compromiso se obliga a guardar secreto respecto de toda información a la que acceda a través de la plataforma, conforme el art. 10 de esa ley, y a mantener esa obligación aun después de finalizado su vínculo con la institución.
En particular, se obliga a no divulgar, comentar, fotografiar, transcribir, reenviar ni compartir por ningún medio —incluidos mensajería personal y redes sociales— información clínica, identificatoria o de contacto de un paciente, salvo cuando la comunicación sea parte de la atención y se realice por los canales de la propia plataforma.
3. Acceso limitado a la necesidad
El acceso a la historia clínica se admite únicamente en la medida en que resulte necesario para las tareas asignadas. Consultar la ficha de una persona por curiosidad, por interés personal o por pedido de un tercero no autorizado constituye un acceso indebido, aunque el sistema lo permita técnicamente.
Todo acceso a datos de salud queda registrado en un asiento de auditoría inalterable, con identificación del usuario, la fecha y la operación realizada, conforme los arts. 14 y 15 de la Ley N.° 26.529. Ese registro se conserva y puede ser auditado por la institución y por la autoridad de aplicación.
4. Credenciales personales e intransferibles
La cuenta es personal e intransferible. Quien acepta este compromiso se obliga a no compartir su contraseña ni su segundo factor de autenticación, a no dejar la sesión abierta en un equipo sin supervisión, y a no operar bajo la cuenta de otra persona ni permitir que otra persona opere bajo la suya.
Toda acción realizada desde una cuenta se imputa a su titular. Compartir credenciales no sólo incumple este compromiso: destruye el valor probatorio del registro de auditoría, que es una obligación legal de la institución.
5. Segundo factor de autenticación
El acceso requiere autenticación en dos pasos mediante una aplicación generadora de códigos temporales (TOTP). Quien acepta este compromiso se obliga a mantenerlo activo y a no deshabilitarlo, y a reportar de inmediato la pérdida o el compromiso del dispositivo donde está configurado.
6. Reporte de incidentes
Quien advierta o sospeche un acceso no autorizado, una divulgación indebida, la pérdida de un dispositivo con sesión abierta o cualquier otro incidente de seguridad se obliga a comunicarlo sin demora a la dirección de la institución y al canal de incidentes de la plataforma: [ A COMPLETAR: email de incidentes ] (teléfono o canal urgente [ A COMPLETAR: número o enlace ], horario de atención [ A COMPLETAR: horario ]).
Reportar un incidente propio, de buena fe y sin demora, no constituye por sí solo un incumplimiento de este compromiso. Ocultarlo, sí.
7. Uso responsable de la plataforma
Quien acepta este compromiso se obliga a: cargar información veraz y completa; no alterar ni suprimir registros clínicos fuera de los mecanismos que la propia plataforma prevé; no extraer datos en bloque ni por medios automatizados sin autorización expresa de la institución; y no utilizar los datos de contacto de los pacientes para fines ajenos a la atención, incluida cualquier comunicación comercial.
8. Al finalizar el vínculo
Al cesar el vínculo con la institución, la cuenta se desactiva. Quien acepta este compromiso se obliga a no conservar copias de información clínica en dispositivos personales, correo, mensajería o servicios de almacenamiento, y a eliminar la que tuviera. El deber de secreto del punto 2 subsiste sin plazo.
9. Consecuencias del incumplimiento
El incumplimiento puede dar lugar a la suspensión inmediata del acceso, a las acciones que corresponda ejercer a la institución en el marco de la relación laboral o contractual, y a la responsabilidad civil y penal que prevé el ordenamiento —en particular el art. 157 bis del Código Penal, que reprime el acceso indebido y la divulgación de datos personales, y el art. 156, sobre violación de secretos.
10. Responsable de la plataforma y ejercicio de derechos
La plataforma es titularidad de Olivos Medical Health SRL, CUIT N.° [ A COMPLETAR: número ], con domicilio en [ A COMPLETAR: domicilio, ciudad, provincia ]. El Oficial de Protección de Datos es contactable en [ A COMPLETAR: email del OPD ].
Quién responde por los datos de los pacientes. La institución en la que usted trabaja es el responsable del tratamiento de los datos de sus pacientes; la plataforma es la encargada del tratamiento, y actúa por cuenta de ella. Su deber de secreto del punto 2 no depende de esa distinción: es personal y le alcanza igual frente a las dos.
Los derechos de acceso, rectificación, actualización y supresión sobre los datos personales propios se ejercen conforme los arts. 14 y 16 de la Ley N.° 25.326 y lo previsto en la Política de Privacidad.