1. Alcance y roles de privacidad
Esta Política de Privacidad explica cómo Nexus Med trata datos personales en el sitio nexusmed.mx, la aplicación app.nexusmed.mx, módulos de agenda, expediente clínico electrónico, soporte, facturación, comunicaciones y servicios relacionados. Para datos de cuenta, contratación, soporte, marketing y operación del sitio, Nexus Med actúa como responsable o corresponsable según el caso.
Cuando un médico, clínica o institución usa Nexus Med para registrar pacientes, notas clínicas, recetas, órdenes, archivos, agenda y comunicaciones asistenciales, el médico o la institución normalmente conserva el rol de responsable del expediente clínico. Nexus Med actúa como encargado o proveedor tecnológico, salvo que un contrato firmado establezca otra cosa.
2. Datos personales y clínicos que tratamos
| Categoría | Ejemplos | Fuente |
|---|---|---|
| Identificación y contacto | Nombre, correo, teléfono, foto de perfil, organización, rol, credenciales profesionales. | Usuario, administrador de clínica, inicio de sesión con Google. |
| Datos profesionales y fiscales | Cédula profesional, especialidad, RFC, datos de CFDI, domicilio fiscal cuando el usuario lo captura. | Usuario o institución contratante. |
| Datos de pacientes | Datos de identificación, antecedentes, signos vitales, diagnósticos, notas SOAP, recetas, resultados, archivos adjuntos y comunicaciones clínicas. | Médico, clínica, paciente o personal autorizado. |
| Datos sensibles | Estado de salud presente o futuro, datos biométricos o genéticos si se capturan, información pediátrica o familiar relacionada con la atención. | Prestación de servicios médicos documentada por el usuario. |
| Datos técnicos | Dirección IP, identificadores de sesión, dispositivo, navegador, logs de acceso, eventos de auditoría, errores y métricas operativas. | Uso del sitio y la plataforma. |
| Datos de Google | Nombre, correo, perfil básico, identificadores de cuenta, calendarios seleccionados, disponibilidad y eventos necesarios para sincronizar citas. | Google OAuth con consentimiento del usuario. |
3. Uso de Google Calendar y datos de Google
Si el usuario conecta su cuenta de Google, Nexus Med puede solicitar permisos OAuth para identificar al usuario y operar la sincronización de agenda. Los permisos de identidad pueden incluir openid, userinfo.email y userinfo.profile, que permiten asociar la cuenta, ver el correo principal y datos básicos de perfil.
Para Google Calendar, Nexus Med puede solicitar permisos para leer disponibilidad, listar calendarios seleccionables y leer, crear, cambiar o eliminar eventos relacionados con citas médicas, según el alcance que el usuario autorice. La finalidad es evitar conflictos, crear eventos de consulta, actualizar cambios de horario, cancelar citas y mantener correspondencia entre la agenda de Nexus Med y el calendario elegido por el usuario.
Nexus Med usa datos de Google Calendar únicamente para funciones visibles de agenda y sincronización. No vendemos datos de Google, no los transferimos a plataformas publicitarias, no los usamos para retargeting, scoring crediticio, vigilancia ni entrenamiento de modelos de inteligencia artificial general. El uso y transferencia de información recibida de APIs de Google se adhiere a la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado.
El usuario puede revocar el acceso desde la configuración de Nexus Med o desde el panel de seguridad de su cuenta Google. Al revocar, dejaremos de sincronizar nuevos eventos; ciertos identificadores o logs mínimos pueden conservarse por seguridad, auditoría, cumplimiento legal o resolución de incidencias.
4. Finalidades del tratamiento
Finalidades primarias
- Crear, autenticar y administrar cuentas de usuario, clínicas, roles y permisos.
- Operar expediente clínico electrónico, agenda, recordatorios, recetas, documentos, reportes, facturación e interoperabilidad contratada.
- Sincronizar citas con Google Calendar cuando el usuario lo active.
- Registrar bitácoras de auditoría, accesos, modificaciones, firmas, eventos de seguridad y trazabilidad clínica.
- Prestar soporte técnico, migración, respaldo, restauración, mantenimiento, control de calidad y continuidad operativa.
- Cumplir obligaciones contractuales, fiscales, sanitarias, regulatorias, judiciales y de seguridad.
Finalidades secundarias
- Enviar novedades del producto, materiales educativos, invitaciones a capacitación y encuestas de satisfacción.
- Generar métricas agregadas o disociadas para mejorar rendimiento, usabilidad, seguridad y planeación de producto.
El usuario puede oponerse a finalidades secundarias escribiendo a [email protected] con el asunto “Privacidad Nexus Med”.
5. Seguridad técnica y organizacional
Nexus Med aplica un modelo de defensa en profundidad para proteger información de médicos y pacientes. Las medidas incluyen cifrado en tránsito mediante HTTPS/TLS, cifrado en reposo con algoritmos fuertes como AES-256 o equivalentes administrados por el proveedor de infraestructura, aislamiento lógico por organización, control de acceso basado en roles, políticas de mínimo privilegio, sesiones protegidas, registro de auditoría, respaldos cifrados y monitoreo de eventos anómalos.
Los expedientes, notas, recetas, archivos y eventos clínicos se protegen con controles orientados a integridad, confidencialidad, disponibilidad, trazabilidad y conservación. Ningún sistema conectado a Internet puede garantizar riesgo cero; por ello mantenemos procesos de respuesta a incidentes, revocación de credenciales, revisión de accesos y notificación cuando una vulneración pueda afectar significativamente derechos patrimoniales o morales de titulares.
6. Conservación, bloqueo y eliminación
Los datos de cuenta se conservan mientras exista relación contractual, obligación legal o necesidad operativa legítima. Los expedientes clínicos se conservan conforme a la NOM-004-SSA3-2012, obligaciones sanitarias y políticas del responsable médico, incluyendo el plazo mínimo legal aplicable desde el último acto médico, salvo que otra disposición exija un periodo mayor.
Al terminar la relación, Nexus Med puede habilitar exportación de datos, acceso de solo lectura o bloqueo técnico según contrato, plan y obligación legal. La eliminación puede estar limitada por conservación sanitaria, fiscal, contractual, auditoría, seguridad, defensa legal, respaldos o requerimientos de autoridad.
7. Derechos ARCO, revocación y contacto
Las personas titulares pueden solicitar acceso, rectificación, cancelación u oposición al tratamiento de sus datos personales, así como revocar consentimiento cuando proceda. Si la solicitud se refiere al expediente clínico de un paciente, Nexus Med puede canalizarla al médico o institución responsable del expediente, porque ellos determinan finalidades y medios clínicos del tratamiento.
Para ejercer derechos o limitar el uso de datos, escribe a [email protected] con nombre, medio de contacto, documento que acredite identidad o representación, derecho que deseas ejercer y datos específicos sobre los que versa la solicitud. Nexus Med podrá pedir información adicional para verificar identidad y proteger el expediente.