Aviso de Privacidad

Datos personales que tratamos

• Datos de cuenta del personal de las organizaciones: nombre, correo electrónico, teléfono, rol y, en su caso, cédula profesional y CURP.
• Datos de contacto de quienes solicitan información a través del sitio.
• Datos de facturación y suscripción de las organizaciones cliente (procesados a través de nuestro proveedor de pagos; Caretta Healthcare no almacena números de tarjeta).
• Datos técnicos de uso: registros de acceso, dirección IP, eventos de auditoría necesarios para la seguridad del servicio y métricas de uso del producto/sitio (páginas visitadas y acciones agregadas) mediante un proveedor de analítica; no incluyen datos clínicos de pacientes ni textos libres sensibles.
• Por cuenta de las instituciones de salud (como encargado): expedientes clínicos electrónicos y datos personales sensibles de pacientes, tratados conforme a las NOM-004-SSA3-2012 y NOM-024-SSA3-2012.

Finalidades del tratamiento

• Proveer, operar y mantener la plataforma y sus funcionalidades clínicas y administrativas.
• Autenticar usuarios y proteger la seguridad de las cuentas y de la información.
• Gestionar la relación contractual, la facturación y el soporte.
• Enviar notificaciones operativas del servicio (incluidas notificaciones dentro de la plataforma y, previa autorización, por otros canales).
• Mejorar el producto y el sitio de marketing mediante analítica de uso agregada (sin datos clínicos).
• Cumplir obligaciones legales y regulatorias, incluida la conservación de expedientes clínicos.

Medidas de seguridad implementadas

Caretta Healthcare adopta medidas de seguridad administrativas, técnicas y físicas alineadas con la LFPDPPP y con los atributos de seguridad de la NOM-024-SSA3-2012, entre ellas:

• Cifrado en tránsito (TLS/HTTPS) en toda la comunicación con la plataforma.
• Cifrado en reposo: base de datos administrada con cifrado de disco y almacenamiento de archivos con cifrado del lado del servidor (SSE-KMS).
• Control de acceso basado en roles (RBAC) con permisos verificados en el servidor en cada operación, aislamiento por organización (multi-tenant) y aislamiento adicional a nivel de base de datos (Row-Level Security).
• Autenticación reforzada: contraseñas con hash robusto, autenticación de dos factores (MFA/TOTP), bloqueo por intentos fallidos y sesiones de corta duración con renovación rotativa.
• Bitácora de auditoría inalterable: registro de acciones con actor, fecha, IP y entidad, encadenado criptográficamente (hash chain) y protegido contra modificaciones.
• Integridad clínica conforme a la NOM-004-SSA3-2012: notas clínicas inmutables una vez finalizadas, firmadas electrónicamente con huella criptográfica (SHA-256) y cédula profesional del firmante.
• Conservación y bloqueo de datos: retención mínima de 5 años para expedientes clínicos, retenciones legales (legal hold) y bloqueo conforme a derechos ARCO.
• Respaldos automáticos diarios con recuperación puntual, plan de continuidad y recuperación ante desastres, y simulacros de restauración documentados.
• Gestión de incidentes de seguridad con registro, evaluación y notificación conforme a la normatividad aplicable.
• Registro de subencargados (subprocesadores) y acuerdos de tratamiento de datos con cada proveedor de infraestructura.

Transferencias y subencargados

Caretta Healthcare no vende datos personales. Para operar el servicio utilizamos proveedores de infraestructura que tratan datos por nuestra cuenta bajo acuerdos de tratamiento, en categorías como alojamiento de la aplicación y base de datos, almacenamiento de archivos, DNS y publicación web, procesamiento de pagos, envío de correo transaccional y, cuando la organización lo habilita, mensajería.

Algunos de estos proveedores procesan datos fuera de México; dichas transferencias se realizan con las protecciones contractuales requeridas por la LFPDPPP. El registro vigente de subencargados, con la identidad de cada proveedor, puede solicitarse a través del contacto indicado al final de este aviso.

Derechos ARCO y revocación del consentimiento

Usted puede ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO), así como revocar su consentimiento, enviando una solicitud al correo de contacto indicado abajo, acompañada de identificación oficial. Responderemos en los plazos previstos por la LFPDPPP.

Los pacientes de una institución de salud deben dirigir sus solicitudes ARCO a dicha institución, que es la responsable de sus datos clínicos; la plataforma incluye herramientas para que las instituciones gestionen estas solicitudes, incluida la cancelación con bloqueo.

Conservación de los datos

Los expedientes clínicos se conservan al menos 5 años conforme a la NOM-004-SSA3-2012. Los datos de cuenta se conservan mientras exista la relación contractual y por los plazos legales aplicables. Al terminar el servicio, la organización puede exportar su información de forma estructurada antes de la eliminación definitiva.

Cookies

La plataforma utiliza cookies esenciales para la autenticación y seguridad de la sesión. También puede usar cookies o almacenamiento local de un proveedor de analítica de producto/sitio (sin publicidad) para entender el uso agregado de la plataforma; no se incluyen datos clínicos de pacientes.

Cambios a este aviso

Cualquier cambio a este aviso se publicará en esta página indicando la fecha de última actualización. Los cambios sustanciales se comunicarán a las organizaciones cliente por los medios de contacto registrados.

Contacto

Para cualquier asunto relacionado con este aviso o con el ejercicio de derechos ARCO: privacy@caretta-healthcare.com.