1. Propósito y Alcance
Esta Política de Protección de Datos establece los principios, estándares y responsabilidades que rigen la recopilación, el procesamiento, el almacenamiento y la eliminación de datos personales por parte de Talos Health Corp y sus subsidiarias. Esta política se aplica a todos los empleados, contratistas, consultores y proveedores de servicios externos que acceden, procesan o gestionan datos personales en nombre de Talos Health.
Esta política abarca todos los datos personales procesados a través de la plataforma Rezilia (rezilia.app), las operaciones corporativas, Talos Analytics (productos de datos B2B) y cualquier integración con empleadores, hospitales, sistemas de salud y socios comunitarios.
2. Definiciones
- Datos Personales: Cualquier información relacionada con una persona física identificada o identificable, incluidos el nombre, el correo electrónico, los identificadores de dispositivos, la dirección IP y los datos de comportamiento.
- Información de Salud Protegida (PHI): Información de salud identificable individualmente transmitida o mantenida en cualquier forma, según se define en HIPAA.
- Titular de los Datos: Una persona cuyos datos personales se recopilan o procesan (por ejemplo, cuidadores, personas que reciben cuidados, empleados).
- Responsable del Tratamiento: La entidad que determina los fines y los medios del procesamiento de datos personales. Talos Health actúa como Responsable del Tratamiento para los usuarios directos al consumidor.
- Encargado del Tratamiento: Una entidad que procesa datos personales en nombre de un Responsable del Tratamiento. Talos Health puede actuar como Encargado del Tratamiento cuando presta servicios a clientes empleadores u hospitalarios.
- Asociado Comercial: En virtud de HIPAA, una entidad que realiza funciones o actividades que involucran PHI en nombre de una Entidad Cubierta.
- Datos Desidentificados: Datos a los que se les han eliminado los identificadores de modo que no puedan utilizarse razonablemente para identificar a una persona, de conformidad con los estándares de desidentificación de HIPAA (Safe Harbor o Determinación de Experto).
3. Principios de Protección de Datos
Todo procesamiento de datos personales debe adherirse a los siguientes principios:
- Licitud y Transparencia: Los datos se procesan de manera lícita, justa y transparente. Se informa a los titulares de los datos sobre cómo se utilizan sus datos.
- Limitación de la Finalidad: Los datos se recopilan para fines específicos, explícitos y legítimos, y no se procesan posteriormente de una manera incompatible con dichos fines.
- Minimización de Datos: Solo se recopilan y procesan los datos necesarios para el fin especificado.
- Exactitud: Los datos personales se mantienen exactos y actualizados. Se toman medidas razonables para corregir o eliminar de inmediato los datos inexactos.
- Limitación del Almacenamiento: Los datos se conservan únicamente durante el tiempo necesario para los fines para los cuales se recopilaron, sujeto a los requisitos legales de conservación.
- Integridad y Confidencialidad: Los datos se procesan con medidas de seguridad apropiadas para protegerlos contra el acceso no autorizado, la pérdida, la destrucción o el daño.
- Responsabilidad: Talos Health es responsable de demostrar el cumplimiento de estos principios.
4. Categorías de Datos y Niveles de Sensibilidad
Talos Health clasifica los datos en niveles de sensibilidad para aplicar medidas de protección apropiadas. Los niveles de sensibilidad más altos requieren controles de acceso más estrictos, estándares de cifrado y requisitos de auditoría.
- Crítico (Nivel 4): Información de Salud Protegida (PHI), credenciales de autenticación, claves de cifrado y datos de Acuerdos de Asociado Comercial. Requiere cifrado en reposo y en tránsito, MFA y registro de auditoría completo.
- Alto (Nivel 3): Información de Identificación Personal (PII), incluidos nombres, correos electrónicos, números de teléfono y datos conversacionales de cuidadores. Requiere cifrado, controles de acceso basados en roles y registro de auditoría.
- Medio (Nivel 2): Análisis de comportamiento desidentificados, informes agregados de Talos Analytics y métricas de uso de la plataforma. Requiere controles de acceso y medidas de seguridad estándar.
- Bajo (Nivel 1): Contenido de marketing de cara al público, recursos publicados y documentación general de la plataforma. Se aplican los procedimientos de manejo estándar.
5. Base Legal para el Procesamiento
Talos Health procesa datos personales bajo las siguientes bases legales, según el contexto y la jurisdicción:
- Consentimiento: Cuando lo exige la ley (por ejemplo, para ciertos tipos de cookies, comunicaciones de marketing y el procesamiento de datos de salud sensibles fuera de las actividades cubiertas por HIPAA).
- Necesidad Contractual: Procesamiento necesario para prestar los servicios de la plataforma Rezilia según lo acordado con el usuario, el empleador o el socio de atención médica.
- Obligación Legal: Procesamiento requerido para cumplir con HIPAA, CCPA/CPRA, las leyes estatales de notificación de violaciones y otros requisitos regulatorios.
- Interés Legítimo: Procesamiento necesario para la mejora de la plataforma, la seguridad, la prevención del fraude y la investigación agregada, cuando dichos intereses no prevalezcan sobre los derechos del titular de los datos.
6. Roles y Responsabilidades
- Oficial de Privacidad: Supervisa el cumplimiento de esta política, gestiona las solicitudes de los titulares de los datos, dirige la respuesta a violaciones y coordina con el asesor legal. Reporta al CTIO.
- CTIO (Director de Tecnología e Innovación): Garantiza que la infraestructura técnica y las prácticas de ingeniería se alineen con los requisitos de protección de datos.
- Director de Ingeniería: Implementa salvaguardas técnicas, gestiona los controles de acceso y realiza revisiones de seguridad.
- Todos los Empleados y Contratistas: Deben completar la capacitación en protección de datos, informar de inmediato las violaciones sospechadas y manejar los datos de conformidad con esta política.
- Proveedores de Servicios Externos: Deben ejecutar los acuerdos de procesamiento de datos (DPA) o los Acuerdos de Asociado Comercial (BAA) apropiados antes de acceder a cualquier dato personal.
7.1 Salvaguardas Técnicas
- Cifrado en reposo (AES-256) y en tránsito (TLS 1.2+) para todos los datos personales y la PHI.
- Arquitectura de zona de aterrizaje Hub-Spoke de Azure con segmentación de red en las regiones Este de EE. UU. y Oeste de EE. UU.
- Controles de acceso basados en roles (RBAC) con principios de privilegio mínimo aplicados a través de Azure Active Directory.
- Autenticación multifactor (MFA) requerida para todo el acceso administrativo y privilegiado.
- Análisis automatizado de vulnerabilidades y gestión de parches.
- Registro de auditoría integral a través de Azure Monitor y Log Analytics, con una conservación mínima de 90 días para los eventos de seguridad.
- Firewall de Aplicaciones Web (WAF) y protección contra DDoS en todos los puntos de conexión de cara al público.
7.2 Salvaguardas Administrativas
- Procedimientos documentados de aprovisionamiento y desaprovisionamiento de acceso.
- Verificación de antecedentes para todos los miembros del equipo con acceso a PHI o PII.
- Capacitación anual de concientización sobre seguridad para todo el personal.
- Plan documentado de respuesta a incidentes con procedimientos de escalamiento definidos.
- Evaluaciones de riesgo periódicas (como mínimo anualmente).
7.3 Salvaguardas Físicas
- La infraestructura basada primordialmente en la nube elimina los riesgos de los centros de datos locales. Los centros de datos de Microsoft Azure mantienen las certificaciones de cumplimiento SOC 2 Type II, ISO 27001 y HIPAA.
- Protección de endpoints requerida en todos los dispositivos que acceden a los sistemas de Talos Health.
- Políticas de gestión de dispositivos móviles (MDM) aplicadas a cualquier dispositivo que acceda a PHI.
8. Respuesta a Violaciones de Datos
En caso de una violación de datos sospechada o confirmada, Talos Health sigue un proceso de respuesta estructurado:
- Detección y Contención (0–24 horas): Identificar el alcance, contener la violación, preservar la evidencia y notificar de inmediato al Oficial de Privacidad y al CTIO.
- Evaluación (24–72 horas): Determinar qué datos se vieron afectados, el número de personas afectadas y el riesgo de daño. Involucrar al asesor legal según sea necesario.
- Notificación (según lo exija la ley): Para las violaciones de HIPAA que afecten a más de 500 personas, notificar al HHS en un plazo de 60 días y a las personas afectadas sin demora irrazonable. Para las violaciones que afecten a menos de 500 personas, registrar e informar anualmente al HHS. Para los datos cubiertos por la CCPA, notificar a los residentes de California afectados según sea necesario. Para las leyes estatales de notificación de violaciones, cumplir con los requisitos de notificación de cada jurisdicción afectada.
- Remediación: Implementar acciones correctivas, actualizar las medidas de seguridad, documentar las lecciones aprendidas y actualizar esta política según sea necesario.
9. Procesamiento de Datos por Terceros
Todos los proveedores de servicios externos que acceden, procesan o almacenan datos personales en nombre de Talos Health deben:
- Ejecutar un Acuerdo de Procesamiento de Datos (DPA) o un Acuerdo de Asociado Comercial (BAA) antes de compartir cualquier dato.
- Demostrar medidas de seguridad adecuadas (por ejemplo, certificación SOC 2, ISO 27001 o equivalente).
- Aceptar las obligaciones de notificación de violaciones de datos coherentes con esta política.
- Procesar los datos únicamente para los fines especificados en el acuerdo.
- Eliminar o devolver todos los datos al finalizar la relación.
Subencargados clave actuales: Microsoft Azure (infraestructura en la nube, regiones de EE. UU.), Anthropic (servicios de modelos de IA, sujeto a BAA), Stripe (procesamiento de pagos).
10. Derechos de los Titulares de los Datos
Talos Health respeta y facilita el ejercicio de los derechos de los titulares de los datos según lo exija la ley aplicable:
- Derecho de Acceso: Las personas pueden solicitar una copia de sus datos personales en poder de Talos Health.
- Derecho de Rectificación: Las personas pueden solicitar la corrección de datos inexactos o incompletos.
- Derecho de Eliminación: Las personas pueden solicitar la eliminación de sus datos personales, sujeto a los requisitos legales de conservación (por ejemplo, el mínimo de 6 años de HIPAA para los registros relacionados con PHI).
- Derecho de Portabilidad: Cuando sea técnicamente factible, las personas pueden solicitar sus datos en un formato estructurado y legible por máquina.
- Derecho de Exclusión Voluntaria: Los residentes de California pueden optar por no participar en la venta o el intercambio de información personal. Nota: Talos Health no vende datos personales.
- Derechos en virtud de HIPAA: Las personas con PHI pueden solicitar acceso, enmiendas, un informe de las divulgaciones y restricciones, según lo administre la Entidad Cubierta correspondiente.
Todas las solicitudes de los titulares de los datos se procesan en un plazo de 30 días (o 45 días con aviso si se necesita una extensión). Las solicitudes deben dirigirse a privacy@taloshealth.ai.
11. Conservación y Eliminación de Datos
- Datos de Usuarios Activos: Se conservan durante la vigencia de la cuenta activa más 30 días después de la eliminación.
- Registros Cubiertos por HIPAA: Mínimo 6 años a partir de la creación o de la última fecha de vigencia.
- Registros de Cumplimiento y Auditoría: Mínimo 3 años (o según lo exijan los estándares de certificación aplicables).
- Análisis Desidentificados: Pueden conservarse indefinidamente, ya que no representan ningún riesgo para la privacidad.
- Datos de Respaldo: Se conservan según las políticas de respaldo de Azure; cifrados y con acceso restringido.
La eliminación de datos sigue las directrices NIST SP 800-88 para la sanitización de medios. Se aplica la eliminación lógica con verificación de que los datos ya no puedan recuperarse de los sistemas de producción.
12. Capacitación y Concientización
- Todo el personal completa la capacitación en protección de datos y concientización sobre HIPAA dentro de los 30 días posteriores a su incorporación.
- La capacitación de actualización anual es obligatoria para todos los miembros del equipo.
- Se proporciona capacitación específica por rol para el personal con acceso a PHI, PII o sistemas administrativos.
- La finalización de la capacitación se rastrea y documenta para las auditorías de cumplimiento.
13. Hoja de Ruta de Cumplimiento
Talos Health está construyendo su postura de cumplimiento de manera progresiva, alineada con el crecimiento del negocio y los requisitos regulatorios en todas las jurisdicciones.
- Actual (2.º trimestre de 2026): Cumplimiento de HIPAA (salvaguardas administrativas, técnicas y físicas, marco de BAA, procedimientos de notificación de violaciones).
- 4.º trimestre de 2026: Certificación SOC 2 Type I (Criterios de Servicios de Confianza: Seguridad, Disponibilidad, Confidencialidad).
- 2027: Cumplimiento de PIPEDA y de la Loi 25 de Quebec para las operaciones canadienses; evaluación de preparación para GDPR para la expansión europea.
- 2027–2028: Certificación ISO 27001; auditoría SOC 2 Type II.
14. Gobernanza y Revisión
Esta política es revisada anualmente por el Oficial de Privacidad en coordinación con el CTIO y el asesor legal. Las revisiones ad hoc se activan por cambios sustanciales en las leyes o regulaciones aplicables, violaciones de datos o incidentes de seguridad significativos, nuevas funciones del producto o actividades de procesamiento de datos, cambios en los proveedores de servicios externos y los resultados de auditorías internas o externas.
Todos los cambios en la política se versionan, se fechan y se comunican al personal pertinente dentro de los 15 días hábiles posteriores a la aprobación.