Versión 1.2 — Julio 2026 · Conforme a LFPDPPP y su Reglamento
Aviso de Privacidad Integral
En cumplimiento con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, se pone a disposición del usuario el presente Aviso de Privacidad Integral.
I. Identidad y Domicilio del Responsable
El Consultorio de la Dra. Haydee García Arámbula (Pediatra, Certificada por el Consejo Mexicano de Pediatría, Cédulas Profesionales: 12283491 · 14568236), en lo sucesivo el "Responsable", atiende en dos domicilios físicos:
SABI Salud y Bienestar (consultorio 6, sede principal), Paseo de los Granados 2551, La Martinica, Zapopan, Jalisco, C.P. 45185.
ANTALIA Núcleo Médico, Valle de la Fresa 10, Atotonilco el Alto, Jalisco, C.P. 47750.
Correo electrónico de contacto: [email protected]
Teléfono de contacto: +52 33 3486 8940
Es la entidad legal encargada de la captación, resguardo y decisiones sobre el tratamiento de sus datos personales y los de sus representados menores de edad. La plataforma NestMed es operada por devAltec en calidad de Encargado del tratamiento.
II. Datos Personales que se Recaban
Para cumplir con las finalidades médicas y de la Plataforma, recabamos las siguientes categorías de datos:
- Datos de Identificación: Nombre completo, CURP, fecha de nacimiento, sexo, domicilio.
- Datos de Contacto: Correo electrónico, teléfono móvil / WhatsApp.
- Datos Personales Sensibles (Salud): Expediente clínico integral, diagnósticos basados en la clasificación CIE-10, antecedentes médicos familiares y personales, signos vitales, recetas médicas, tratamientos prescritos y resultados de estudios de laboratorio o gabinete.
- Datos Tecnológicos: Dirección IP, tipo de dispositivo, sistema operativo y bitácora de accesos técnicos operados por el Encargado (devAltec).
III. Finalidades del Tratamiento de los Datos
Finalidades Primarias (necesarias para el servicio):
- Creación, autenticación y gestión de la cuenta del usuario en la Plataforma.
- Integración y actualización permanente del Expediente Clínico Electrónico conforme a la NOM-004-SSA3-2012 y la NOM-024-SSA3-2010.
- Agendado, confirmación y recordatorio automatizado de citas médicas.
- Emisión de recetas médicas, órdenes de laboratorio y diagnósticos.
- Cumplimiento de obligaciones legales y auditorías requeridas por las autoridades sanitarias mexicanas.
Finalidades Secundarias (opcionales):
- Generación de estadísticas internas totalmente disociadas (anónimas) para la mejora de la atención.
IV. Conservación y Almacenamiento de los Datos
De conformidad con la NOM-004-SSA3-2012, los datos integrados en el expediente clínico se conservarán por un periodo mínimo de 5 (cinco) años, contados a partir de la fecha del último acto médico. El almacenamiento se realiza en servidores de alta seguridad provistos por Supabase Inc. y operados técnicamente por devAltec.
V. Transferencias y Remisiones Internacionales de Datos
Para la operación de la Plataforma, sus datos personales —incluidos los datos personales sensibles de salud— son tratados mediante infraestructura tecnológica de proveedores ubicados fuera de los Estados Unidos Mexicanos, principalmente en los Estados Unidos de América. Dichos proveedores actúan en calidad de encargados (o subencargados) del tratamiento, es decir, tratan los datos única y exclusivamente por cuenta y bajo las instrucciones del Responsable, sin utilizarlos para finalidades propias.
De conformidad con el artículo 37 de la LFPDPPP y su Reglamento, estas remisiones a encargados no constituyen transferencias a terceros y no requieren un consentimiento adicional distinto al otorgado en el presente Aviso. El Responsable ha adoptado las medidas contractuales necesarias para que dichos encargados mantengan el mismo nivel de protección exigido por la legislación mexicana.
VI. Encargados y Subencargados del Tratamiento
El Responsable, a través de su Encargado devAltec, se apoya en proveedores de servicios tecnológicos ubicados en los Estados Unidos de América, que actúan en calidad de encargados/subencargados y tratan los datos únicamente por cuenta del Responsable. Estos proveedores se agrupan en las siguientes categorías de servicio:
- Infraestructura en la nube: base de datos, autenticación y almacenamiento del expediente clínico.
- Transcripción de voz: conversión a texto del audio de la consulta (el audio se elimina una vez procesado).
- Procesamiento asistido por IA: estructuración del texto clínico previamente anonimizado.
- Envío de correo electrónico: confirmaciones y recordatorios de citas.
- Protección de red y monitoreo técnico: seguridad, verificación anti-bot y detección de errores, con enmascaramiento de datos personales.
Ninguno de estos encargados está autorizado a usar, comercializar ni compartir sus datos para fines propios. Puede solicitar el detalle de los proveedores específicos vigentes al correo de contacto indicado en este Aviso.
VII. Medidas de Seguridad
El Responsable ha implementado medidas de seguridad administrativas, técnicas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, entre ellas:
- Cifrado de la información clínica sensible en reposo mediante algoritmo AES-256-GCM.
- Cifrado de las comunicaciones en tránsito mediante TLS/HTTPS con HSTS.
- Control de acceso basado en roles y reglas de seguridad a nivel de base de datos (Row Level Security).
- Autenticación de segundo factor (MFA) obligatoria para el personal médico que accede a expedientes.
- Anonimización de los datos de identificación antes de cualquier procesamiento asistido por inteligencia artificial.
- Bitácora de auditoría de los accesos y acciones sobre los datos clínicos.
Pese a lo anterior, ninguna medida de seguridad es infalible; en caso de una vulneración que afecte significativamente sus derechos, el Responsable se lo notificará conforme a la normativa aplicable.
VIII. Derechos ARCO y Revocación del Consentimiento
Usted, como Titular, o a través de su representante legal, tiene el derecho constitucional de Acceder, Rectificar, Cancelar u Oponerse (Derechos ARCO) al tratamiento de sus datos personales, así como a revocar el consentimiento previamente otorgado.
Mecanismo de Tramitación: deberá enviar una solicitud por escrito libre al correo electrónico: [email protected] indicando:
- Nombre completo del titular (y del menor, si aplica) junto con identificación oficial digitalizada.
- Descripción clara y precisa de los datos sobre los que busca ejercer el derecho.
- Cualquier documento que facilite la localización de los datos en la plataforma.
Plazo de Respuesta: el Responsable resolverá y notificará la determinación en un plazo máximo de 20 (veinte) días hábiles contados desde la recepción de la solicitud. Si resulta procedente, se hará efectiva dentro de los 15 días hábiles siguientes.
Ante la falta de respuesta o inconformidad, usted podrá acudir ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) en www.inai.org.mx.
IX. Acceso Posterior y Almacenamiento del Aviso
Este Aviso de Privacidad está permanentemente disponible en la parte inferior de la pantalla de inicio de NestMed. El diseño técnico de la plataforma garantiza que el usuario pueda, en cualquier momento, guardar, descargar en formato PDF o imprimir este documento (botón "Descargar / Imprimir" en la parte superior) para su archivo personal antes y después de otorgar su consentimiento.