Contrato de encargo de tratamiento

Contrato celebrado entre la persona titular de la cuenta —el profesional o la clínica, en adelante el «Responsable»— y Héctor Castillo Mendoza —en adelante el «Encargado»—, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente desde el 21 de marzo de 2025 y a su reglamentación aplicable.

Este contrato se perfecciona por medios electrónicos al momento de crear la cuenta y aceptar los términos y condiciones, de los que forma parte integrante.

1. Objeto y reparto de papeles

El Responsable decide sobre el tratamiento de los datos personales de sus pacientes: qué recaba, para qué, por cuánto tiempo y a quién se los comunica. El Encargado los trata únicamente por cuenta del Responsable, con el solo fin de prestar los servicios de la plataforma descritos en los términos: agenda, expediente clínico, recetas, formularios previos, comunicaciones con el paciente, cobros y reportes.

El Encargado no adquiere ningún derecho sobre esos datos y no los utilizará para finalidades propias.

2. Datos y personas titulares comprendidos

• Categorías de titulares: pacientes y personas que reservan una cita con el Responsable, así como sus representantes legales cuando proceda.
• Categorías de datos: identificación y contacto, datos de la cita y del pago, y datos personales sensibles relativos al estado de salud —motivo de consulta, antecedentes, diagnósticos, medicación, alergias, signos vitales, estudios, imágenes clínicas, recetas y consentimientos—.
• Duración: mientras la cuenta del Responsable esté vigente, más el periodo de recuperación previsto en la cláusula 9.

3. Obligaciones del Encargado

1. Tratar los datos únicamente conforme a las instrucciones del Responsable, expresadas mediante el uso de las funciones de la plataforma o por escrito.
2. No transferir los datos a terceros distintos de los subencargados autorizados en la cláusula 5, salvo requerimiento fundado de autoridad competente, en cuyo caso lo informará al Responsable cuando la ley lo permita.
3. Guardar confidencialidad sobre los datos, obligación que subsiste aun después de terminada la relación, y hacerla extensiva a su personal y a quienes intervengan en el tratamiento.
4. Implementar y mantener medidas de seguridad administrativas, técnicas y físicas proporcionales al carácter sensible de los datos, conforme a la cláusula 4.
5. No acceder al contenido clínico salvo cuando resulte estrictamente indispensable para resolver una incidencia técnica reportada por el Responsable, de forma mínima, registrada en la bitácora y por personal sujeto a confidencialidad.
6. Suprimir o devolver los datos al terminar la relación, conforme a la cláusula 9.
7. Poner a disposición del Responsable la información necesaria para acreditar el cumplimiento de estas obligaciones.

4. Medidas de seguridad

El Encargado aplica, como mínimo: cifrado en tránsito y en reposo; cifrado adicional a nivel de columna del contenido clínico, con administración de llaves separada de la base de datos; aislamiento entre cuentas verificado en el servidor y reforzado con políticas a nivel de fila; almacenamiento privado de archivos con entrega por enlaces firmados de vigencia corta; controles de acceso por rol; límites contra abuso automatizado; bitácora de auditoría de las operaciones que modifican información; y respaldos con capacidad de restauración a un punto en el tiempo. El detalle vigente se publica en la página de seguridad.

5. Subencargados autorizados

El Responsable autoriza al Encargado a apoyarse en los siguientes proveedores de infraestructura, que tratan datos por cuenta del Encargado, bajo contrato y con obligaciones equivalentes de confidencialidad y seguridad:

• Supabase — base de datos, autenticación y almacenamiento.
• Vercel — alojamiento y ejecución de la aplicación.
• Stripe — procesamiento de pagos.
• Resend — envío de correo transaccional.
• Proveedor autorizado de certificación (PAC) — únicamente si el Responsable habilita la facturación electrónica.

Algunos de estos proveedores operan infraestructura fuera de México. El Encargado informará al Responsable, con al menos treinta (30) días naturales de anticipación, cualquier alta o sustitución de subencargado; si el Responsable no está de acuerdo, podrá terminar la relación sin penalización antes de que el cambio surta efectos.

6. Apoyo en el ejercicio de derechos ARCO

Las solicitudes de acceso, rectificación, cancelación y oposición de los pacientes se dirigen al Responsable, que es quien debe atenderlas dentro de los plazos legales. El Encargado le proporciona las herramientas técnicas para hacerlo —consulta, exportación, corrección y eliminación de la información— y, si recibe directamente una solicitud de un paciente, se abstendrá de resolverla y la canalizará al Responsable sin demora.

7. Vulneraciones de seguridad

El Encargado notificará al Responsable, sin demora injustificada desde que tenga conocimiento, cualquier vulneración de seguridad que afecte a los datos tratados por su cuenta, con la información disponible sobre su naturaleza, los datos comprometidos, las medidas correctivas adoptadas y las recomendaciones para el Responsable. Corresponde al Responsable comunicar la vulneración a los titulares cuando afecte de forma significativa sus derechos patrimoniales o morales.

8. Obligaciones del Responsable

• Contar con base legítima para tratar los datos que carga en la plataforma y recabar el consentimiento expreso que la ley exige para datos personales sensibles.
• Publicar y poner a disposición de sus pacientes su propio aviso de privacidad, informando que se apoya en un proveedor tecnológico para la prestación del servicio.
• Mantener actualizados los accesos de su personal y revocarlos cuando dejen de ser necesarios.
• No cargar en la plataforma datos que no requiera para su práctica ni datos de personas con las que no tenga relación profesional.

9. Terminación y destino de la información

Al terminar la relación por cualquier causa, el Responsable podrá exportar la totalidad de la información durante los treinta (30) días naturales siguientes. Transcurrido ese plazo, el Encargado suprimirá los datos de sus sistemas activos, salvo aquellos que deba conservar por disposición legal, los cuales quedarán bloqueados —sin tratamiento alguno distinto de su resguardo— hasta que venzan los plazos aplicables. Los respaldos se sobrescriben conforme a su ciclo ordinario de rotación.

La obligación de conservar el expediente clínico por el plazo mínimo que fija la normativa sanitaria corresponde al Responsable, quien debe realizar la exportación oportunamente.

10. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este contrato le impone. El Encargado no responde por la licitud de las finalidades definidas por el Responsable, por la exactitud del contenido clínico ni por la falta de consentimiento de los titulares, que son responsabilidad exclusiva del Responsable. La limitación de responsabilidad de los términos y condiciones resulta aplicable a este contrato, con las mismas salvedades ahí previstas.

11. Contacto

Para cualquier asunto relacionado con este contrato, incluidas auditorías, solicitudes de información y notificaciones, escribe desde nuestro formulario de contacto.