Política de Privacidad

ONA es responsable del tratamiento de los datos personales recolectados a través de la Plataforma, en los términos de la Ley 18.331 de Protección de Datos Personales y Acción de Habeas Data de la República Oriental del Uruguay, su decreto reglamentario 414/009 y las resoluciones de la Unidad Reguladora y de Control de Datos Personales (URCDP).

Para consultas sobre privacidad: privacidad@onahcen.uy

Los datos son utilizados exclusivamente para:

ONA no vende, alquila ni cede datos personales a terceros con fines comerciales.

Los datos de salud de los pacientes son considerados datos sensibles conforme al artículo 18 de la Ley 18.331. Su tratamiento se realiza con las siguientes garantías:

• Cifrado en tránsito (TLS 1.2+) y cifrado de nivel de campo en reposo para datos identificatorios del paciente (nombre, apellido, cédula de identidad, fecha de nacimiento y email), utilizando el algoritmo AES-256-GCM con clave independiente por entorno
• Acceso restringido exclusivamente al profesional tratante y personal autorizado
• Registros de auditoría de todos los accesos
• No se utilizan para fines distintos a la atención médica del paciente
• Tratamiento conforme al Decreto 64/020 sobre Historia Clínica Electrónica Nacional

Conforme al artículo 25 de la Ley 18.331, las bases de datos que contienen datos personales deben ser inscriptas ante la URCDP. ONA se encuentra en proceso de inscripción de sus bases de datos ante dicho organismo, en cumplimiento de esta obligación legal.

ONA ha designado un responsable interno de protección de datos como punto de contacto ante la URCDP y los titulares de los datos, accesible en privacidad@onahcen.uy.

Los datos personales y clínicos son almacenados en servidores ubicados en Estados Unidos, operados por Railway Inc. (railway.app), región US East — California. Railway cumple con estándares de seguridad SOC 2 y aplica cifrado en reposo y en tránsito.

• Acceso a servidores restringido por autenticación multifactor
• Se aplican medidas técnicas y organizativas conforme al Decreto 414/009
• Los backups se realizan de forma periódica y cifrada
• El personal con acceso a datos está sujeto a obligaciones de confidencialidad

Conforme al artículo 23 de la Ley 18.331, ONA informa que los datos personales son transferidos y procesados en Estados Unidos. Si bien EE.UU. no cuenta con declaración de adecuación por parte de Uruguay, ONA adopta las siguientes garantías contractuales y técnicas para asegurar una protección equivalente:

• Contratos de procesamiento de datos con cada proveedor
• Cifrado en tránsito (TLS) de los datos transferidos
• Acceso limitado al mínimo necesario por cada proveedor

El titular de los datos puede solicitar información sobre las garantías aplicadas a estas transferencias contactando a privacidad@onahcen.uy.

Conforme a los artículos 13 a 17 de la Ley 18.331, toda persona tiene derecho a:

• Acceso: solicitar qué datos suyos están almacenados (gratuito, una vez por año)
• Rectificación: corregir datos inexactos o incompletos
• Supresión: solicitar la eliminación de sus datos
• Actualización: mantener sus datos al día
• Inclusión: solicitar que se agreguen datos omitidos
• Impugnación: oponerse a decisiones basadas únicamente en tratamiento automatizado

Para ejercer estos derechos: privacidad@onahcen.uy — ONA responderá en un plazo máximo de 5 días hábiles conforme al artículo 14 de la Ley 18.331.

La Plataforma no está dirigida a menores de 18 años como usuarios directos. Los datos de pacientes menores de edad son tratados conforme al Código de la Niñez y la Adolescencia (Ley 17.823), requiriendo autorización del representante legal.

El organismo de control en materia de protección de datos personales en Uruguay es la Unidad Reguladora y de Control de Datos Personales (URCDP). Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante dicho organismo: