Anexo de Datos de Salud

Este Anexo de Datos de Salud (el "Anexo") forma parte de los Términos y Condiciones de Grovity, de la Política de Privacidad y de cualquier contrato firmado entre Grovity Services LLC ("Grovity") y el Cliente (conjuntamente, el "Contrato"). Se aplica siempre que el Cliente utilice los Servicios en relación con actividades de salud, médicas, de bienestar, farmacéuticas, de seguros u otras similares, o que de cualquier otro modo haga que se traten Datos de Salud a través de los Servicios. En caso de conflicto en relación con los Datos de Salud, este Anexo prevalece sobre los Términos y Condiciones, pero no sobre un contrato firmado o un Business Associate Agreement (BAA) que regule expresamente la materia.

• Datos de Salud: cualquier Dato Personal relativo a la salud física o mental de una persona natural, incluida la prestación de servicios de atención en salud, que revele información sobre su estado de salud, como síntomas, diagnósticos, tratamientos, medicamentos, citas, resultados de exámenes, reclamaciones de seguros o información sobre discapacidad. Los Datos de Salud se consideran Datos Personales sensibles conforme a las leyes enumeradas en la Sección 9.
• Información de Salud Protegida (PHI): tiene el significado que le atribuyen la Ley de Portabilidad y Responsabilidad de Seguros de Salud de los Estados Unidos de 1996 (Health Insurance Portability and Accountability Act) y sus reglamentos de desarrollo ("HIPAA").
• Decisión Clínica: cualquier diagnóstico, pronóstico, clasificación de la urgencia médica (triaje), prescripción, recomendación de dosificación o decisión de tratamiento.
• Cliente de Salud: un Cliente que utiliza los Servicios en relación con cualquiera de las actividades descritas en el primer párrafo.

2.1. Plataforma de propósito general. Los Servicios son una plataforma de propósito general para agentes de IA conversacionales y operativos. No son un dispositivo médico, un software como dispositivo médico, un sistema de apoyo a la decisión clínica, una historia clínica electrónica ni un repositorio de registros clínicos, y no han sido autorizados ni aprobados por la Administración de Alimentos y Medicamentos de los Estados Unidos (FDA), el INVIMA, la ANVISA ni ninguna otra autoridad sanitaria.

2.2. Ausencia de asesoramiento médico. Grovity no presta asesoramiento médico, clínico, farmacéutico ni de salud. Los resultados generados por los agentes de IA son automatizados, pueden contener errores y no sustituyen el criterio de un profesional de la salud calificado.

2.3. Usos permitidos. Los Clientes de Salud pueden utilizar los Servicios para funciones administrativas e informativas, como el agendamiento de citas y recordatorios, información general sobre los servicios, sedes y procedimientos del Cliente, el preregistro y la recolección de datos, las comunicaciones de seguimiento, la atención al cliente, la facturación y el direccionamiento de conversaciones a personal calificado.

2.4. Usos prohibidos. Salvo acuerdo expreso en un contrato firmado que especifique los controles aplicables, los Clientes de Salud no deberán configurar ni utilizar los Servicios para:

• tomar o comunicar Decisiones Clínicas sin la revisión de un profesional de la salud calificado;
• servir como canal principal para emergencias médicas;
• almacenar en los Servicios la historia clínica oficial del Cliente (historia clínica, prontuário o medical record) como registro de referencia;
• tratar PHI sin un Business Associate Agreement suscrito con Grovity (Sección 5);
• tratar datos genéticos o biométricos con fines de identificación.

El Cliente de Salud, en su calidad de Responsable del Tratamiento (o de Entidad Cubierta (Covered Entity), según corresponda), es responsable de:

3.1. Base legal y consentimiento. Obtener, antes de que se trate cualquier Dato de Salud a través de los Servicios, la base legal exigida por la ley aplicable, incluida la autorización o el consentimiento previo, expreso e informado cuando se requiera, y conservar prueba de ello. Cuando la ley lo exija (por ejemplo, la Ley 1581 de 2012 de Colombia), informar a los Titulares que no están obligados a responder preguntas sobre datos sensibles.

3.2. Divulgación del uso de IA. Configurar sus agentes de IA de modo que los Usuarios Finales sean informados claramente de que están interactuando con un sistema automatizado y no con un profesional de la salud.

3.3. Reglas de emergencia y escalamiento. Configurar sus agentes de IA de modo que, cuando un Usuario Final reporte síntomas que puedan indicar una emergencia, un riesgo de autolesión o una situación que requiera atención urgente, el agente dirija al usuario a los servicios de emergencia locales y al personal calificado del Cliente, y no intente gestionar la situación. Grovity pone a disposición una funcionalidad de traspaso a un humano para este fin; el Cliente es responsable de dotar de personal y de responder a los escalamientos.

3.4. Contenido y bases de conocimiento. Asegurar que las instrucciones de los agentes, las bases de conocimiento, los catálogos y cualquier contenido clínico o de salud proporcionado a los Servicios sean exactos, estén actualizados, hayan sido aprobados por personal calificado y cumplan con las normas aplicables de publicidad en salud y de ejercicio profesional.

3.5. Mínimo necesario. Configurar los agentes y las integraciones para recolectar únicamente los Datos de Salud estrictamente necesarios para la finalidad declarada, y no solicitar historias clínicas completas, imágenes de documentos médicos ni resultados de exámenes, salvo que sea necesario y lícito.

3.6. Selección de canales. Evaluar si los canales de comunicación que habilita (como WhatsApp, SMS, chat web o voz) son adecuados para los Datos de Salud involucrados. Las plataformas de mensajería y los operadores son terceros independientes y no están cubiertos por ningún Business Associate Agreement suscrito con Grovity.

3.7. Solicitudes de los Titulares y registros. Responder a las solicitudes de los Titulares y mantener los registros clínicos, regulatorios o de conservación que le sean exigibles, utilizando sus propios sistemas de registro.

3.8. Normas profesionales y sectoriales. Cumplir con la regulación del sector salud que le sea aplicable, incluidas las normas de telesalud, de publicidad en salud y de secreto profesional en cada jurisdicción en la que opere.

Respecto de los Datos de Salud tratados por cuenta del Cliente, Grovity:

4.1. Tratará los Datos de Salud únicamente como Encargado del Tratamiento (o como Business Associate, cuando esté vigente un BAA), con el único fin de prestar los Servicios y de conformidad con las instrucciones documentadas del Cliente.

4.2. Aplicará las salvaguardas descritas en la Descripción de la Seguridad de los Servicios, incluidos el cifrado en tránsito y en reposo, el aislamiento entre clientes (tenants), el acceso según el principio de mínimo privilegio y los registros de auditoría.

4.3. No utilizará los Datos de Salud, incluso en forma agregada o desidentificada, para mejorar los Servicios, para entrenar o ajustar ningún modelo ni para ninguna finalidad distinta de la prestación de los Servicios al Cliente, sin la autorización previa y por escrito del Cliente.

4.4. No venderá los Datos de Salud ni los utilizará con fines publicitarios.

4.5. Solo transmitirá Datos de Salud a Subencargados (subprocesadores) que estén sujetos a obligaciones escritas de protección de datos y de confidencialidad y que no utilicen el Contenido del Cliente para entrenar sus modelos.

4.6. Notificará al Cliente cualquier incidente de seguridad que afecte Datos de Salud de conformidad con el Contrato y, en cualquier caso, sin demora indebida y dentro de las setenta y dos (72) horas siguientes a tener conocimiento razonable de él.

4.7. Eliminará o devolverá los Datos de Salud a la terminación o por instrucción escrita del Cliente, con sujeción a los ciclos de retención de las copias de seguridad y a las obligaciones legales, y confirmará la eliminación previa solicitud.

5.1. Grovity no es una Entidad Cubierta (Covered Entity) conforme a HIPAA. Grovity actúa como Business Associate únicamente cuando ha suscrito un Business Associate Agreement ("BAA") con el Cliente.

5.2. Grovity puede celebrar un BAA caso por caso, para configuraciones específicas de los Servicios, proveedores y canales identificados en el BAA. Las solicitudes deben enviarse a privacy@grovity.ai.

5.3. Mientras no se suscriba un BAA, el Cliente no deberá transmitir PHI a los Servicios, y Grovity no tendrá obligación alguna como Business Associate. Cualquier PHI transmitida en incumplimiento de esta Sección se transmite bajo el riesgo exclusivo del Cliente.

6.1. El Cliente reconoce que los resultados de la IA son probabilísticos y pueden ser inexactos, incompletos o inapropiados en un contexto de salud, y que el Cliente es el único responsable de supervisar a sus agentes y de cualquier decisión adoptada con base en dichos resultados.

6.2. Grovity no es responsable de la exactitud clínica del contenido proporcionado por el Cliente, de las Decisiones Clínicas tomadas por el Cliente, su personal o los Usuarios Finales, ni del resultado de ningún servicio de atención en salud.

7.1. El Cliente defenderá y mantendrá indemne a Grovity frente a reclamaciones de terceros, sanciones regulatorias y pérdidas que se deriven de: (i) la falta de una base legal o de un consentimiento válidos para los Datos de Salud tratados a través de los Servicios; (ii) el uso de los Servicios para cualquier finalidad prohibida en la Sección 2.4; (iii) el contenido clínico, médico o de salud suministrado o aprobado por el Cliente; o (iv) la transmisión de PHI sin un BAA suscrito.

7.2. Las limitaciones de responsabilidad establecidas en los Términos y Condiciones o en el Contrato se aplican a este Anexo.

Salvo instrucción en contrario del Cliente, Grovity conserva los datos de las conversaciones que contengan Datos de Salud durante la vigencia del Contrato. El Cliente puede solicitar en cualquier momento la eliminación anticipada de conversaciones o de Titulares específicos. El Cliente sigue siendo responsable de conservar en sus propios sistemas de registro cualquier información que esté legalmente obligado a mantener.

Sin perjuicio de la obligación del Cliente de identificar la ley aplicable a sus actividades, las siguientes leyes consideran los Datos de Salud como datos sensibles o regulan su Tratamiento en jurisdicciones en las que suelen operar los Clientes de Grovity:

• Estados Unidos: HIPAA y la Ley HITECH (HITECH Act); la Ley de la Comisión Federal de Comercio (FTC Act) y la Regla de Notificación de Violaciones de Datos de Salud de la FTC (FTC Health Breach Notification Rule); las leyes estatales sobre datos de salud de los consumidores (como la My Health My Data Act del estado de Washington).
• Colombia: Ley 1581 de 2012 y Decreto 1377 de 2013 (datos sensibles); Resolución 1995 de 1999 y Ley 2015 de 2020 (historia clínica); Ley 1419 de 2010 y Resolución 2654 de 2019 (telesalud).
• Brasil: LGPD (Lei Geral de Proteção de Dados, Ley 13.709/2018), artículo 11 (datos personales sensibles), y Ley 13.787/2018 (historia clínica digital).
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025).
• Costa Rica: Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales.
• Guatemala: protecciones constitucionales de la intimidad y de los registros personales, y las normas aplicables de secreto profesional.
• Jamaica: Data Protection Act, 2020 (Ley de Protección de Datos de 2020).
• Unión Europea / EEE: Reglamento (UE) 2016/679 (RGPD), artículo 9.

Preguntas sobre este Anexo o solicitudes de un BAA: privacy@grovity.ai.