Aviso de privacidad

1. Quién es el responsable

[RAZÓN SOCIAL] (en adelante, «Caresia») opera la plataforma Caresia y es responsable del tratamiento de los datos personales de las personas que crean una cuenta o usan la plataforma, con domicilio para oír y recibir notificaciones en Calle 20, Privada Fresnos, interior 12, Casas Beta, C.P. 22245, Tijuana, Baja California, México.

Para cualquier asunto de privacidad puedes escribir a caresia-info@caresia.mx.

2. Caresia y los consultorios: dos papeles distintos

Hay dos tipos de datos y cada uno tiene un responsable diferente:

• Datos de cuentas y uso de la plataforma (las personas del consultorio que entran a Caresia): el responsable es Caresia, y este aviso te aplica directamente.
• Datos de pacientes, propietarios de animales y sus expedientes: el responsable es cada consultorio o clínica que los captura. Caresia actúa como encargado: los almacena y procesa por cuenta y siguiendo las instrucciones del consultorio, sin usarlos para fines propios. Si eres paciente, el aviso de privacidad que importa para tu atención es el que te entrega tu consultorio.

3. Datos que tratamos

De las personas que usan la plataforma: nombre, correo, usuario, contraseña (guardada de forma cifrada irreversible), rol, cédula profesional e institución cuando el profesional las registra, datos del consultorio (nombre, domicilio, teléfono, datos legales y fiscales), datos de suscripción y cobro, y registros técnicos de uso y seguridad (por ejemplo fecha y hora de acceso y dirección IP).

Por cuenta de los consultorios: datos de identificación y contacto de pacientes (nombre, fecha de nacimiento, sexo, CURP, teléfono, correo, domicilio, datos de su tutor o representante), citas, expediente clínico, recetas, archivos adjuntos, ventas y cobros, y, tratándose de animales, datos del propietario y del animal.

De quien visita el sitio público o nos escribe: datos técnicos de navegación (dirección IP, tipo de navegador y de dispositivo, páginas visitadas y desde dónde llegaste) mediante las cookies y tecnologías descritas en la sección 11; y, si solicitas una demostración o nos contactas, tu nombre, correo, teléfono, el nombre de tu consultorio y el contenido de tu mensaje.

De quien envía una solicitud ARCO desde el formulario público de un consultorio: nombre, correo, teléfono opcional y el contenido de la solicitud, que se entregan al consultorio correspondiente para que la atienda.

4. Datos sensibles (de salud)

Los expedientes clínicos contienen datos personales sensibles (antecedentes, alergias, motivo de consulta, exploración, diagnósticos, tratamientos, recetas, resultados y archivos). Su tratamiento requiere el consentimiento expreso del titular, que recaba el consultorio al entregar su propio aviso de privacidad. Caresia solo accede a estos datos cuando es necesario para operar, mantener, proteger y dar soporte al servicio, y limita ese acceso al personal autorizado.

5. Finalidades primarias y secundarias

Finalidades primarias (necesarias para el servicio):

• Crear y administrar tu cuenta y la de tu consultorio, y autenticarte.
• Prestar la plataforma: agenda, expedientes, recetas, cobros, reportes, recordatorios y demás funciones contratadas.
• Gestionar suscripciones, pagos y facturación.
• Garantizar la seguridad, prevenir fraudes y abusos, y mantener bitácoras de actividad y de acceso.
• Dar soporte, atender solicitudes y cumplir obligaciones legales.
• Atender tu solicitud de demostración o de información y darle seguimiento.

Finalidades secundarias (opcionales):

• Enviarte novedades del producto, mejoras y recomendaciones de uso.
• Medir las visitas al sitio público y el resultado de nuestras campañas (Google Analytics), y mejorar la plataforma con estadísticas de uso agregadas.

Si no quieres que tus datos se usen para las finalidades secundarias, escríbenos a caresia-info@caresia.mx; negarte no afecta el servicio. Los datos de pacientes no se usan por Caresia para mercadotecnia.

Tu consentimiento: al crear tu cuenta y marcar la casilla de aceptación, consientes el tratamiento de tus datos conforme a este aviso. El consentimiento expreso para los datos sensibles de cada paciente lo recaba su consultorio, que es el responsable de esos datos.

6. Transferencias y proveedores

Caresia no vende datos personales. Para operar el servicio se apoya en proveedores que tratan datos por nuestra cuenta (encargados) bajo obligaciones de confidencialidad y seguridad:

• Infraestructura y alojamiento: Vercel Inc. (Estados Unidos), que entrega el sitio web, y OVHcloud (Canadá), donde operan el servidor de la plataforma y la base de datos con sus respaldos.
• Mercado Pago, para cobrar la suscripción y, si el consultorio lo activa, los pagos con terminal o enlace de pago.
• Namecheap, Inc. (Private Email), proveedor de correo electrónico, para enviar los mensajes de la plataforma (recuperación de contraseña, avisos y confirmaciones de citas) y responder a quien nos escribe.
• Meta Platforms (WhatsApp Business), solo si el consultorio activa los mensajes por WhatsApp, por ejemplo para confirmaciones o recordatorios de citas.
• Facturama u otro proveedor autorizado de timbrado de CFDI, solo si el consultorio activa la facturación.
• Google (Gemini), solo si el consultorio usa las funciones de inteligencia artificial. En el inventario se envían las listas o fotos de productos. En las ayudas clínicas (resúmenes, borradores de notas, indicaciones, lecturas de estudios) se envían datos del expediente sin el nombre ni los datos de contacto del paciente: edad, sexo, alergias, medicación, notas y mediciones; con el dictado por voz, el audio que dicta el profesional, y con la comparación de fotos, las dos fotos elegidas. Esta información se envía solo en el momento de la solicitud; Caresia no guarda el audio. Lo que genera la IA es siempre un borrador o una sugerencia que el profesional revisa y decide.
• Google LLC (Google Tag Manager y Google Analytics), solo en las páginas públicas del sitio (portada, registro, inicio de sesión, aviso y términos), para medir visitas y campañas. Nunca se carga dentro de la plataforma ni recibe datos de pacientes.
• Estadísticas de visitas propias y sin cookies (Umami), alojadas en nuestro propio servidor.
• Faro, de Hyperion Software (faro.hyperionmkt.com), que escribe y aloja los artículos del blog en /blog. Al abrir el blog, tu navegador descarga su contenido desde sus servidores, que reciben tu dirección IP y datos técnicos del navegador. No se carga dentro de la plataforma ni recibe datos de pacientes.

Algunos de estos proveedores tienen servidores fuera de México, principalmente en Estados Unidos y Canadá. En esos casos los datos se les envían solo para prestar el servicio, por nuestra cuenta, y con obligaciones de confidencialidad y seguridad.

Además, los datos pueden comunicarse a autoridades competentes cuando una ley o una orden fundada y motivada lo exija. Estas transferencias no requieren tu consentimiento adicional. Si se prevé otra transferencia, se solicitará tu consentimiento.

7. Derechos ARCO y cómo ejercerlos

Tienes derecho a Acceder a tus datos, Rectificarlos, solicitar su Cancelación y Oponerte a su uso (derechos ARCO).

• Datos de tu atención como paciente: preséntala a tu consultorio. Cada consultorio que usa Caresia cuenta con un formulario público de solicitudes ARCO (la dirección termina en /arco/… y te la proporciona el consultorio o aparece en su aviso de privacidad). Con el formulario recibes un folio y un enlace para consultar el estado.
• Datos de tu cuenta en la plataforma: escribe a caresia-info@caresia.mx indicando tu nombre, un medio para responderte, la descripción clara de lo que solicitas y una copia de una identificación.

La respuesta sobre si la solicitud procede se comunica en un plazo máximo de 20 días hábiles contados desde que se recibe, y, si procede, se hace efectiva en los 15 días hábiles siguientes, salvo que la ley aplicable establezca otra cosa. Es posible que se te pida acreditar tu identidad.

Cancelación de expedientes clínicos: la NOM-004-SSA3-2012 obliga a conservar el expediente clínico al menos 5 años desde el último acto médico. Durante ese periodo los datos se bloquean (no se usan para ningún otro fin) y se suprimen al concluirlo.

8. Revocación del consentimiento y limitación del uso

Puedes revocar el consentimiento que nos diste o pedir que limitemos el uso o la divulgación de tus datos escribiendo a caresia-info@caresia.mx (o, si eres paciente, a tu consultorio con el mismo formulario de la sección anterior). La revocación no tiene efectos retroactivos y no puede aplicarse cuando los datos son necesarios para cumplir obligaciones legales, como la conservación del expediente. Algunas revocaciones pueden implicar que no podamos seguir prestándote el servicio.

9. Medidas de seguridad

Aplicamos medidas administrativas, técnicas y físicas razonables para proteger los datos, entre ellas:

• Conexiones cifradas (HTTPS) y contraseñas almacenadas con funciones de resumen criptográfico (hash).
• Permisos por rol: cada persona del consultorio ve solo lo que su función requiere (por ejemplo, la recepción no ve datos clínicos).
• Separación de los datos de cada consultorio y sesiones que se cierran al cambiar la contraseña o desactivar una cuenta; verificación en dos pasos opcional.
• Cifrado en reposo (AES-256-GCM) de campos clínicos sensibles, archivos adjuntos y credenciales de pago.
• Bitácoras de actividad y de acceso a expedientes, y expedientes que no se pueden borrar ni alterar: las correcciones se hacen con adendas.

Ningún sistema es infalible. Si ocurre una vulneración que afecte de forma significativa tus derechos, te la informaremos con la oportunidad y por los medios que la ley establezca.

10. Conservación de los datos

• Expedientes clínicos: al menos 5 años desde el último acto médico (NOM-004-SSA3-2012), responsabilidad del consultorio; Caresia los conserva mientras el consultorio mantenga su cuenta y durante el periodo posterior que el contrato prevea para que pueda exportarlos.
• Datos de cuenta y facturación: mientras dure la relación y el tiempo que exijan las obligaciones fiscales y legales.
• Bitácoras de seguridad: el tiempo necesario para proteger el servicio y atender requerimientos legales.

11. Cookies y tecnologías de rastreo

• Cookie de sesión (necesaria): mantiene abierta tu sesión al entrar a Caresia. No se usa para publicidad ni seguimiento.
• Almacenamiento local del navegador: guarda preferencias de tu equipo, como el tema claro u oscuro o un borrador de venta.
• Estadísticas propias sin cookies (Umami): contamos visitas al sitio público de forma agregada, sin cookies, sin perfiles personales y sin conservar los parámetros de la dirección.
• Google Analytics, mediante Google Tag Manager (solo con tu consentimiento): solo en las páginas públicas (portada, registro, inicio de sesión, aviso, términos, directorio y blog), y solo si las aceptas en el aviso de cookies que aparece en tu primera visita. Mientras no las aceptes, Google Tag Manager no se carga. Usa cookies de Google Analytics (por ejemplo _ga y _ga_…) que asignan un identificador aleatorio a tu navegador para contar visitas, saber desde qué sitio o campaña llegaste y cuánto tiempo pasaste en la página. Google puede recibir tu dirección IP y datos técnicos de tu navegador, y tratarlos en servidores fuera de México. No se usan para identificarte por tu nombre y no se cargan dentro de la plataforma.

Cómo cambiar tu decisión: en cualquier momento desde Preferencias de cookies (también al pie de la portada). Si las rechazas después de haberlas aceptado, borramos las cookies de Google Analytics de este navegador. Además puedes bloquear o borrar las cookies desde la configuración de tu navegador, navegar en modo privado o instalar el complemento de inhabilitación de Google Analytics (tools.google.com/dlpage/gaoptout). Rechazarlas no te impide usar el sitio ni la plataforma; la cookie de sesión es la única necesaria para entrar.

Hoy no usamos cookies publicitarias. Si agregamos alguna herramienta de publicidad o de medición de anuncios, actualizaremos este aviso antes de activarla.

12. Menores de edad

La plataforma está dirigida a profesionales de la salud y personal de consultorios. Los datos de pacientes menores de edad o que no pueden decidir por sí mismos los captura el consultorio con la intervención de su madre, padre, tutor o representante legal.

13. Cambios a este aviso

Podemos actualizar este aviso por cambios legales, del servicio o de nuestras prácticas. La versión vigente estará siempre en esta página, con su fecha de actualización, y los cambios importantes se avisarán por correo o dentro de la plataforma.

14. Autoridad y quejas

Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, escríbenos primero a caresia-info@caresia.mx para resolverlo. Si no quedas conforme, puedes presentar tu queja o denuncia ante la Secretaría Anticorrupción y Buen Gobierno, autoridad en materia de protección de datos personales en posesión de los particulares conforme a la ley vigente.