Aviso de privacidad.

[ NOMBRE COMPLETO DE LA PERSONA FÍSICA O RAZÓN SOCIAL DE LA PERSONA MORAL ], en adelante «el Responsable», con domicilio en [CALLE, NÚMERO, COLONIA, CÓDIGO POSTAL, MUNICIPIO O ALCALDÍA, ENTIDAD FEDERATIVA, MÉXICO], pone a disposición el presente Aviso de Privacidad Integral, de conformidad con los artículos 14, 15 y 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

El Responsable desarrolla, comercializa, administra o proporciona servicios tecnológicos relacionados con [DESCRIBIR LAS FUNCIONES REALES DE LA PLATAFORMA: GESTIÓN DE CITAS, ADMINISTRACIÓN DE PACIENTES, EXPEDIENTES CLÍNICOS ELECTRÓNICOS, DOCUMENTOS MÉDICOS, REPORTES Y OTRAS FUNCIONES QUE EFECTIVAMENTE SE OFREZCAN].

Para asuntos relacionados con la privacidad y la protección de datos personales, se ponen a disposición los siguientes medios:

• Responsable: [NOMBRE COMPLETO O RAZÓN SOCIAL].
• Domicilio: [DOMICILIO COMPLETO].
• Correo electrónico de privacidad: [CORREO ELECTRÓNICO].
• Teléfono: [NÚMERO TELEFÓNICO].
• Sitio web: [URL OFICIAL].
• Medio para solicitudes de derechos ARCO: [CORREO O FORMULARIO HABILITADO].

Fundamento jurídico: artículos 14, 15, fracción I, y 16 de la LFPDPPP.

La plataforma puede utilizarse para administrar información de pacientes, profesionales de la salud, personal administrativo, representantes de clientes y usuarios autorizados.

La responsabilidad sobre los datos personales se determinará de acuerdo con las actividades que efectivamente realice cada participante.

Cuando una clínica, consultorio u otro prestador de servicios de salud determine las finalidades y los medios esenciales del tratamiento de los datos de sus pacientes, dicho establecimiento podrá actuar como responsable del tratamiento. El proveedor tecnológico podrá actuar como persona encargada cuando trate datos por cuenta del establecimiento y siguiendo sus instrucciones.

Cuando el proveedor tecnológico determine por cuenta propia las finalidades y los medios del tratamiento de datos de sus clientes, prospectos, personal o usuarios, será responsable respecto de esos tratamientos.

Por lo tanto, la prestación de servicios de alojamiento, mantenimiento o soporte no convierte automáticamente al proveedor tecnológico en responsable de todos los expedientes clínicos que se encuentren en la plataforma.

Cuando corresponda, las partes formalizarán un contrato que establezca las instrucciones de tratamiento, obligaciones de confidencialidad, medidas de seguridad, participación de subcontratistas, atención de solicitudes, gestión de incidentes y devolución o eliminación de información.

Fundamento jurídico: artículos 2, fracciones XII, XIV, XVI y XIX, y 5, 13, 18 y 20 de la LFPDPPP.

Según la relación jurídica, las funciones contratadas y las finalidades aplicables, podrán tratarse las siguientes categorías de datos.

3.1. Datos de identificación

• Nombre y apellidos.
• Fecha de nacimiento y edad.
• Identificadores internos de paciente o usuario.
• Sexo, cuando resulte pertinente para la finalidad correspondiente.
• Firma autógrafa o electrónica, cuando proceda.
• Identificación oficial, únicamente cuando sea necesaria y legalmente procedente.

3.2. Datos de contacto

• Número telefónico.
• Correo electrónico.
• Domicilio.
• Datos de contacto de emergencia, cuando corresponda.

3.3. Datos administrativos y contractuales

• Nombre y datos de contacto de representantes de clientes.
• Información de contratación, suscripciones y servicios.
• Datos de facturación y fiscales cuando sean necesarios.
• Registros de pagos y obligaciones contractuales.
• Información de atención a solicitudes y soporte técnico.

3.4. Datos de profesionales de la salud y usuarios

• Nombre y datos de contacto.
• Nombre de usuario y credenciales de acceso.
• Cédula profesional, especialidad y datos profesionales, cuando proceda.
• Organización, consultorio, sucursal y funciones asignadas.
• Registros de actividad relacionados con el uso de la plataforma.

3.5. Datos técnicos y de seguridad

Cuando se recopilen y resulten necesarios, podrán tratarse la dirección IP, fecha y hora de acceso, tipo de navegador, sistema operativo, identificadores de sesión, eventos de autenticación, registros de errores y eventos de seguridad.

Las contraseñas no deberán almacenarse en texto legible; deberán protegerse mediante mecanismos criptográficos adecuados.

Fundamento jurídico: artículos 5, 10, 12, 14 y 15, fracción II, de la LFPDPPP.

Debido a la naturaleza de una plataforma de expedientes clínicos electrónicos, podrán tratarse datos personales sensibles relacionados con el estado de salud presente o futuro de una persona.

Según los servicios efectivamente utilizados, estos datos podrán comprender:

• Antecedentes médicos y familiares.
• Enfermedades, padecimientos y diagnósticos.
• Síntomas y signos clínicos.
• Alergias.
• Medicamentos, tratamientos y prescripciones.
• Notas médicas y de evolución.
• Resultados de análisis clínicos y estudios de gabinete.
• Información sobre procedimientos, hospitalizaciones y rehabilitación.
• Información de salud física o mental.
• Información genética u otras categorías sensibles, únicamente cuando su tratamiento resulte necesario y esté debidamente justificado.

La información anterior no se recopilará de forma indiscriminada. Cada categoría deberá corresponder a una finalidad legítima, concreta y necesaria para el servicio.

Cuando resulte exigible, se obtendrá el consentimiento expreso y por escrito de la persona titular para el tratamiento de datos personales sensibles, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación legalmente válido.

Las excepciones legales al consentimiento se aplicarán únicamente cuando se actualicen sus requisitos y circunstancias. La existencia de una plataforma médica no exime automáticamente del cumplimiento de las obligaciones relativas al consentimiento.

Fundamento jurídico: artículos 2, fracción VI, 5, 7, 8, 9, 11, 12 y 15, fracciones II y III, de la LFPDPPP.

Los datos personales se tratarán exclusivamente para las finalidades que correspondan al Responsable, al servicio contratado y a la relación con la persona titular.

5.1. Finalidades necesarias

Cuando sean aplicables, los datos podrán tratarse para:

a) Crear, administrar, autenticar y mantener cuentas de usuarios.

b) Identificar a los usuarios y controlar sus permisos de acceso.

c) Administrar la relación contractual con clientes y organizaciones.

d) Proporcionar las funciones tecnológicas contratadas.

e) Gestionar citas, agendas y procesos administrativos, cuando la plataforma incluya dichas funciones.

f) Registrar, organizar, consultar y conservar información incorporada al expediente clínico por los profesionales autorizados.

g) Almacenar, recuperar y exportar documentos vinculados con el servicio.

h) Proporcionar soporte técnico, mantenimiento y atención de incidencias.

i) Gestionar facturación, cobros y obligaciones administrativas cuando corresponda.

j) Prevenir accesos no autorizados, detectar actividad irregular y proteger la integridad y disponibilidad del servicio.

k) Realizar respaldos, restauración de información y actividades de continuidad operativa.

l) Atender solicitudes de derechos ARCO y otras solicitudes legítimas de las personas titulares.

m) Cumplir obligaciones legales, sanitarias, contractuales y requerimientos de autoridades competentes debidamente fundados y motivados.

n) Gestionar la devolución, exportación o migración de información al terminar un contrato, conforme a las obligaciones legales y contractuales aplicables.

5.2. Finalidades relacionadas con la atención médica

Cuando corresponda al prestador de servicios de salud, los datos clínicos podrán tratarse para integrar, actualizar, consultar y conservar el expediente clínico; documentar la atención; registrar antecedentes, diagnósticos, tratamientos y evolución; gestionar documentos médicos y facilitar la continuidad asistencial.

La atención médica y las decisiones clínicas corresponden a los profesionales y establecimientos facultados para ello. La plataforma constituye una herramienta tecnológica y no sustituye sus obligaciones profesionales.

5.3. Finalidades secundarias

Cuando se trate de datos de clientes, representantes, prospectos o usuarios y resulte procedente, podrán utilizarse datos de contacto para:

a) Enviar información sobre servicios tecnológicos.

b) Comunicar novedades comerciales y actualizaciones de productos.

c) Realizar encuestas de satisfacción.

d) Elaborar estadísticas de funcionamiento mediante información agregada o disociada.

Estas finalidades secundarias no comprenderán el uso de expedientes clínicos identificables para publicidad, venta de datos o entrenamiento de sistemas de inteligencia artificial, salvo que exista una base jurídica válida y se satisfagan los requisitos de información, consentimiento y demás obligaciones aplicables.

La persona titular podrá manifestar su negativa a las finalidades secundarias mediante [CORREO O PROCEDIMIENTO HABILITADO]. La negativa a dichas finalidades no condicionará el acceso a las funciones principales del servicio cuando no exista una necesidad legítima para hacerlo.

Fundamento jurídico: artículos 5, 11, 12, 14 y 15, fracción III, de la LFPDPPP.

El Responsable pondrá a disposición de las personas titulares el aviso de privacidad antes del tratamiento o en el momento que corresponda legalmente.

Cuando sea necesario obtener consentimiento, este se recabará de forma libre, específica e informada y se conservará evidencia suficiente de su obtención.

Para datos personales sensibles, se atenderá el requisito de consentimiento expreso y por escrito previsto en el artículo 8 de la LFPDPPP, salvo que resulte aplicable una excepción legal debidamente justificada.

Cuando el tratamiento se encuentre en alguno de los supuestos de excepción del artículo 9, se documentarán las circunstancias que permitan justificar su aplicación.

El consentimiento para el tratamiento de datos personales no sustituye el consentimiento informado que corresponda a procedimientos médicos ni otras autorizaciones exigidas por la normativa sanitaria.

Fundamento jurídico: artículos 7, 8, 9, 14 y 15, fracción III, de la LFPDPPP.

Los datos personales podrán comunicarse a terceros cuando exista una finalidad legítima y se cumplan los requisitos establecidos en la legislación aplicable.

Según el servicio contratado, los destinatarios podrán pertenecer a las siguientes categorías:

a) Proveedores de infraestructura, alojamiento y almacenamiento.

b) Proveedores de respaldo, recuperación y seguridad informática.

c) Proveedores de mantenimiento y soporte técnico.

d) Proveedores de facturación o procesamiento de pagos, cuando corresponda.

e) Profesionales de la salud y establecimientos autorizados que participen legítimamente en la atención.

f) Autoridades competentes, cuando exista una obligación legal o un requerimiento debidamente fundado y motivado.

El Responsable identificará las transferencias que efectivamente realice, los destinatarios correspondientes y sus finalidades. Cuando se requiera consentimiento, se obtendrá antes de realizar la transferencia, salvo que resulte aplicable alguna excepción legal.

El acceso de proveedores que actúen exclusivamente por cuenta del Responsable deberá regularse conforme a su función y a las disposiciones aplicables a las personas encargadas del tratamiento.

Transferencias internacionales y ubicación de datos. Cuando los datos sean almacenados, consultados o tratados desde fuera de México, se evaluarán las condiciones jurídicas aplicables a esa operación. La ubicación de las bases de datos, archivos, respaldos y servicios de soporte deberá verificarse con los proveedores contratados.

No se afirma que toda la información se almacene exclusivamente en México, salvo que esa condición haya sido comprobada y forme parte de la operación real del servicio.

Fundamento jurídico: artículos 2, fracción XX, y las disposiciones sobre transferencias de la LFPDPPP, incluidos los artículos 35 y siguientes, según corresponda a la operación concreta.

Cuando el Responsable contrate a terceros para prestar servicios de alojamiento, mantenimiento, monitoreo, soporte, respaldo u otros servicios que involucren datos personales, evaluará su función, las categorías de información a las que tendrán acceso y las medidas de protección aplicables.

Los terceros que actúen como personas encargadas deberán tratar los datos conforme a las instrucciones autorizadas, mantener la confidencialidad y aplicar las medidas de seguridad que correspondan.

No se autoriza el uso de expedientes clínicos por parte de proveedores para fines propios incompatibles con las instrucciones recibidas, el contrato o la legislación aplicable.

Fundamento jurídico: artículos 2, fracción XII, 13, 18 y 20 de la LFPDPPP.

El Responsable establecerá y mantendrá medidas de seguridad administrativas, técnicas y físicas adecuadas al tipo de datos tratados, los riesgos existentes, las posibles consecuencias para las personas titulares y el desarrollo tecnológico.

Según las funciones y la infraestructura efectivamente implementadas, dichas medidas podrán incluir:

a) Control de acceso y permisos por función.

b) Autenticación segura y administración de sesiones.

c) Protección criptográfica de las comunicaciones y de la información almacenada.

d) Gestión segura de credenciales y claves.

e) Registro de accesos, modificaciones y eventos relevantes.

f) Separación lógica o física de la información perteneciente a distintas organizaciones.

g) Respaldos protegidos y procedimientos de recuperación.

h) Gestión de vulnerabilidades y actualización de componentes.

i) Capacitación y compromisos de confidencialidad del personal autorizado.

j) Procedimientos de detección, investigación, contención y atención de incidentes.

Las medidas concretas se ajustarán a la infraestructura, los servicios contratados y el análisis de riesgos. La publicación de este aviso no constituye por sí misma una certificación de seguridad ni acredita la implementación de controles específicos.

Todas las personas que intervengan en el tratamiento deberán guardar confidencialidad en los términos legales aplicables, incluso después de finalizar su relación con el Responsable.

Fundamento jurídico: artículos 13, 18, 19 y 20 de la LFPDPPP.

Cuando ocurra una vulneración de seguridad que afecte significativamente los derechos patrimoniales o morales de las personas titulares, el Responsable realizará las actuaciones previstas por la legislación aplicable.

Cuando corresponda, informará de manera inmediata a las personas afectadas, indicando la naturaleza general del incidente, los datos comprometidos, las medidas adoptadas y las recomendaciones pertinentes.

La atención del incidente podrá incluir la contención, investigación, recuperación, evaluación de riesgos, documentación y adopción de medidas correctivas.

Fundamento jurídico: artículo 19 de la LFPDPPP.

Los datos personales se conservarán durante el tiempo necesario para cumplir las finalidades informadas y las obligaciones legales y contractuales aplicables.

Los expedientes clínicos deberán conservarse de acuerdo con las disposiciones sanitarias que correspondan. En particular, el numeral 5.4 de la NOM-004-SSA3-2012 establece para los prestadores de servicios de atención médica la conservación de los expedientes clínicos durante un periodo mínimo de cinco años, contado a partir de la fecha del último acto médico registrado, sin perjuicio de otras obligaciones aplicables.

Cuando los datos hayan dejado de ser necesarios, se aplicarán los procedimientos de bloqueo y posterior supresión que correspondan, salvo que exista una obligación legal de conservación u otra excepción aplicable.

Las solicitudes de cancelación no darán lugar a la eliminación automática de información que deba conservarse legalmente. En esos casos, se evaluará la procedencia de la solicitud y se limitará el tratamiento conforme a derecho.

Cuando la plataforma opere por cuenta de una clínica, la devolución, exportación, bloqueo o eliminación de información al finalizar el servicio se realizará de conformidad con la legislación, las obligaciones de conservación y el contrato aplicable.

Fundamento jurídico: artículos 10, 12, 24 y 25 de la LFPDPPP; numeral 5.4 de la NOM-004-SSA3-2012.

La persona titular o su representante legal debidamente acreditado podrá ejercer los derechos siguientes:

Acceso: conocer qué datos personales son tratados y acceder a ellos en los términos legales.

Rectificación: solicitar la corrección de datos personales inexactos, incompletos o desactualizados.

Cancelación: solicitar la supresión de datos cuando legalmente proceda, considerando los periodos de bloqueo y las excepciones aplicables.

Oposición: solicitar el cese del tratamiento en los supuestos previstos por la legislación.

Las solicitudes deberán dirigirse a:

• Correo electrónico: [CORREO PARA DERECHOS ARCO].
• Domicilio: [DOMICILIO PARA RECIBIR SOLICITUDES].
• Formulario, si existe: [URL DEL FORMULARIO].

La solicitud deberá incluir:

a) Nombre de la persona titular y medio para recibir notificaciones.

b) Documentos que acrediten su identidad o, en su caso, la representación legal.

c) Descripción clara de los datos personales involucrados, salvo cuando se ejerza el derecho de acceso.

d) Derecho que desea ejercer y descripción de la petición.

e) Cualquier información adicional que facilite la localización de los datos.

Para una rectificación, se indicarán las modificaciones solicitadas y se aportará la documentación que las sustente, cuando corresponda.

El Responsable comunicará la determinación adoptada dentro de un plazo máximo de veinte días contados desde la recepción de la solicitud. Si resulta procedente, la hará efectiva dentro de los quince días siguientes a la fecha en que comunique la respuesta. Estos plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen, conforme a la ley.

El ejercicio de los derechos ARCO será gratuito, sin perjuicio de los gastos permitidos legalmente.

El ejercicio de estos derechos estará sujeto a los supuestos de improcedencia y excepciones establecidos en la legislación. Cuando los datos sean tratados por cuenta de una clínica, la solicitud podrá canalizarse al establecimiento responsable, sin perjuicio de las obligaciones que correspondan al proveedor tecnológico.

Fundamento jurídico: artículos 21 a 33 de la LFPDPPP.

La persona titular podrá solicitar la revocación del consentimiento para los tratamientos en los que este constituya la base jurídica correspondiente, mediante solicitud dirigida a [CORREO O PROCEDIMIENTO].

La solicitud deberá identificar a la persona titular, el tratamiento al que se refiere y los elementos necesarios para verificar su identidad.

La revocación no tendrá efectos retroactivos y no impedirá que continúe un tratamiento sustentado en otra base jurídica válida o necesario para cumplir obligaciones legales, cuando así corresponda.

La revocación no implicará necesariamente la eliminación inmediata de un expediente clínico sujeto a obligaciones de conservación.

Fundamento jurídico: artículo 7 de la LFPDPPP.

La persona titular podrá solicitar la limitación del uso o divulgación de sus datos personales mediante [CORREO, FORMULARIO O PROCEDIMIENTO HABILITADO].

Asimismo, podrá manifestar su negativa a las finalidades secundarias descritas en este aviso.

El Responsable atenderá estas solicitudes dentro del alcance legal y técnico que corresponda, sin afectar tratamientos que deban realizarse para cumplir obligaciones legales o contractuales válidas.

Fundamento jurídico: artículo 15, fracción IV, de la LFPDPPP y disposiciones aplicables sobre los principios de finalidad y proporcionalidad.

Cuando el servicio permita tratar datos personales de menores de edad o de personas que requieran representación, el tratamiento se sujetará a las disposiciones aplicables sobre representación legal, patria potestad, tutela, capacidad y protección de datos.

Se verificarán las facultades de quien actúe en representación del titular cuando sea necesario. La información recabada se limitará a la necesaria para la finalidad legítima correspondiente.

Fundamento jurídico: LFPDPPP y demás disposiciones civiles, familiares, sanitarias y de protección de niñas, niños y adolescentes aplicables.

El sitio web podrá utilizar cookies, identificadores de sesión y tecnologías similares para autenticar usuarios, mantener sesiones, proteger cuentas, recordar preferencias y mejorar el funcionamiento del servicio.

Cuando se utilicen tecnologías adicionales de análisis, publicidad o terceros, se informará sobre las finalidades, los datos recopilados y las opciones disponibles, conforme a las obligaciones legales aplicables.

Las tecnologías no necesarias deberán configurarse de acuerdo con los requisitos de información y consentimiento que correspondan.

Cuando estas tecnologías no se utilicen, este apartado deberá adecuarse a la operación real del sitio.

Fundamento jurídico: principios de información, finalidad, consentimiento y proporcionalidad de la LFPDPPP y disposiciones aplicables.

El Responsable podrá modificar este aviso para reflejar cambios legales, operativos, tecnológicos o en las finalidades del tratamiento.

La versión vigente estará disponible en [URL DEL AVISO DE PRIVACIDAD]. Cuando corresponda, los cambios se comunicarán por correo electrónico, mediante la plataforma o a través de los mecanismos legalmente aplicables.

Si se pretende tratar datos para finalidades distintas de las informadas, se proporcionará la información correspondiente y se obtendrá nuevamente el consentimiento cuando resulte exigible.

Fundamento jurídico: artículo 15, fracción VI, y artículo 16 de la LFPDPPP.

La persona titular podrá acudir ante la autoridad competente en materia de protección de datos personales para solicitar orientación o ejercer los mecanismos de protección previstos por la legislación mexicana vigente.

La autoridad y el procedimiento aplicables se determinarán conforme al marco institucional y normativo vigente al momento de presentar la solicitud.

El tratamiento de datos personales se sujetará, en lo que corresponda, a las siguientes disposiciones:

1. Constitución Política de los Estados Unidos Mexicanos, artículo 16, en materia de protección de datos personales y derechos relacionados.
2. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, especialmente sus artículos 1, 2, 5 a 20 y 21 a 33, así como las disposiciones sobre transferencias que correspondan.
3. Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico, particularmente el numeral 5.4 sobre custodia, confidencialidad y conservación, así como los demás numerales aplicables a la integración y manejo del expediente.
4. Norma Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud, cuando resulte aplicable al sistema y a las actividades de los participantes.
5. Ley General de Salud, el Reglamento de la Ley General de Salud en Materia de Prestación de Servicios de Atención Médica y las demás disposiciones sanitarias aplicables a los servicios efectivamente prestados.

La inclusión de estas referencias no constituye una certificación, autorización sanitaria ni una declaración automática de cumplimiento integral. La aplicabilidad de cada disposición deberá evaluarse de acuerdo con las funciones del sistema, la relación entre las partes y el tratamiento real de la información.

Este Aviso de Privacidad se pondrá a disposición de las personas titulares en el momento y por los medios que correspondan legalmente.

Cuando se requiera consentimiento específico para un tratamiento, la mera consulta del aviso, el registro de una cuenta o el uso de la plataforma no se considerarán automáticamente sustitutos de dicho consentimiento.

Responsable: [NOMBRE COMPLETO O RAZÓN SOCIAL].

Domicilio: [DOMICILIO COMPLETO].

Correo para privacidad y derechos ARCO: [CORREO ELECTRÓNICO].

Sitio web: [URL OFICIAL].

Fecha de última actualización: 16/10/2026.