En cumplimiento con lo dispuesto por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad, SIRASalud (en adelante, “SIRASalud” o el “Responsable”) pone a tu disposición el presente Aviso de Privacidad Integral.
1. Identidad y contacto del Responsable
SIRASalud opera la plataforma sirasalud.com y la aplicación web app.sirasalud.com. Correo de contacto para asuntos de privacidad: privacidad@sirasalud.com.
2. A quién aplica este Aviso
Este Aviso está dirigido a: (i) titulares de cuenta (médicos, dueños de clínica, administradores y personal autorizado) que contratan SIRASalud; y (ii) pacientes cuyos datos son capturados por una clínica usuaria a través de la plataforma.
Respecto de los datos de pacientes, la clínica usuaria es el Responsable del tratamiento frente al paciente y SIRASalud actúa como Encargado en los términos del artículo 50 del Reglamento de la LFPDPPP. El contrato de prestación de servicios celebrado con cada clínica regula dicha relación.
3. Datos personales que recabamos
Dependiendo del rol del usuario, tratamos las siguientes categorías de datos:
3.1 Datos de titulares de cuenta (clínicas y personal)
- Datos de identificación: nombre, correo electrónico, teléfono, fotografía de perfil.
- Datos profesionales: cédula profesional, especialidad, puesto, clínica o sucursal asignada.
- Datos de facturación: razón social, RFC, domicilio fiscal.
- Datos de acceso: credenciales administradas por nuestro proveedor de autenticación (Clerk), identificador OAuth (Google), bitácoras de inicio de sesión, dirección IP y agente de usuario.
3.2 Datos de pacientes (capturados por la clínica usuaria)
- Identificación: nombre completo, fecha de nacimiento, sexo, género, domicilio, teléfono, correo, CURP, RFC, copia de INE u otra identificación oficial.
- Datos sensibles de salud: antecedentes patológicos y no patológicos, alergias, medicamentos actuales, tipo de sangre, signos vitales (presión, frecuencia cardiaca, temperatura, frecuencia respiratoria), exploración física, diagnósticos, recetas, estudios y resultados, planes de tratamiento, historia gineco-obstétrica o andrológica, antecedentes heredofamiliares, estilo de vida (consumo de alcohol, tabaco y otras sustancias, dieta, sueño, actividad física), esquema de inmunizaciones.
- Datos financieros: método y registro de pagos, datos de aseguradora y póliza, autorizaciones de seguros, últimos 4 dígitos de cuentas o tarjetas.
- Documentos: archivos PDF e imágenes cargados por la clínica (pólizas, autorizaciones, identificaciones, estudios, notas médicas).
Se te informa que entre los datos personales antes mencionados, se tratan datos personales sensibles (estado de salud presente y futuro, origen racial o étnico cuando se solicite como antecedente, y cualquier otro relativo a tu salud), mismos que requieren consentimiento expreso conforme al artículo 9 de la LFPDPPP.
4. Finalidades del tratamiento
4.1 Finalidades primarias (necesarias para prestar el servicio)
- Crear, administrar y dar soporte a tu cuenta en SIRASalud.
- Permitir a las clínicas registrar y mantener el expediente clínico electrónico conforme a la NOM-004-SSA3-2012 y la NOM-024-SSA3-2012.
- Generar recetas, planes de tratamiento, cotizaciones y reportes clínicos y financieros para la clínica usuaria.
- Emitir y almacenar documentos (PDFs de historia clínica, notas, comprobantes) con los controles de confidencialidad que marca la LFPDPPP.
- Atender solicitudes de acceso del paciente a su propio expediente mediante enlaces temporales seguros (derecho ARCO de acceso).
- Procesar pagos registrados por la clínica y administrar la contabilidad operativa de la clínica.
- Cumplir obligaciones legales, fiscales, sanitarias y de seguridad aplicables.
4.2 Finalidades secundarias (no necesarias para el servicio)
- Envío de comunicaciones sobre nuevas funciones y mejoras del producto.
- Encuestas de satisfacción y estudios de uso agregado y anonimizado.
- Promociones y comunicaciones comerciales de SIRASalud.
Podrás oponerte u oponerse al tratamiento para las finalidades secundarias en cualquier momento enviando un correo a privacidad@sirasalud.com. La negativa no será motivo para negarte el servicio.
5. Transferencias y remisiones
Para la operación del servicio, SIRASalud utiliza encargados (subprocesadores) que procesan datos por cuenta del Responsable bajo las obligaciones del artículo 36 de la LFPDPPP. No se trata de transferencias que requieran consentimiento adicional, pues se realizan en términos del artículo 37, fracciones V y VI, de la LFPDPPP:
- Clerk, Inc. — servicios de autenticación y gestión de sesiones.
- Supabase, Inc. — base de datos PostgreSQL y almacenamiento de archivos.
- Vercel, Inc. — alojamiento de la aplicación y analítica de desempeño.
- Google LLC — inicio de sesión federado (OAuth), cuando elijas esta opción.
- OpenAI, LLC — únicamente para funciones administrativas internas (normalización de catálogo de medicamentos). No se envían datos de pacientes.
Estos proveedores pueden operar servidores fuera de México (principalmente Estados Unidos). SIRASalud firma con ellos contratos de procesamiento de datos (DPA) con estándares equivalentes a los de la LFPDPPP. No vendemos ni rentamos datos personales a terceros.
Las transferencias a autoridades competentes (judiciales, sanitarias, fiscales) se realizarán cuando exista mandamiento fundado y motivado conforme a la ley.
6. Medidas de seguridad
SIRASalud aplica medidas administrativas, físicas y técnicas razonables para proteger los datos, entre otras: cifrado en tránsito (TLS 1.2+), aislamiento lógico por esquema de base de datos por cliente (multi-tenant), URLs firmadas con expiración corta para archivos, control de acceso basado en roles, bitácoras de auditoría (creación, modificación y borrado), borrado lógico con trazabilidad, y políticas de acceso de mínimo privilegio para el personal autorizado.
7. Conservación
Los datos de historia clínica se conservarán mientras exista la relación de servicio con la clínica usuaria y por los plazos que ordene la NOM-004-SSA3-2012 (mínimo 5 años a partir del último acto médico). Los datos administrativos y fiscales se conservan por 5 años conforme al Código Fiscal de la Federación. Los datos de contacto para fines comerciales se conservan hasta que manifiestes tu oposición.
8. Derechos ARCO y revocación del consentimiento
Tienes derecho a Acceder, Rectificar, Cancelar u Oponerte (ARCO) al tratamiento de tus datos personales, así como a revocar el consentimiento otorgado.
Pacientes: dado que la clínica que te atiende es el Responsable, tu solicitud ARCO debe presentarse directamente ante dicha clínica. SIRASalud, como Encargado, apoyará la atención. Adicionalmente, la plataforma te permite acceder a tu expediente mediante un enlace seguro que la clínica puede generarte.
Titulares de cuenta y visitantes del sitio: envía tu solicitud al correo privacidad@sirasalud.com incluyendo: (i) nombre y medio para recibir respuesta; (ii) documentos que acrediten tu identidad (o representación legal); (iii) descripción clara de los datos y del derecho que deseas ejercer; (iv) cualquier elemento que facilite la localización de tus datos. Responderemos en un plazo máximo de 20 días hábiles conforme al artículo 32 de la LFPDPPP.
9. Uso de cookies y tecnologías similares
El sitio web emplea cookies estrictamente necesarias para el inicio de sesión y la seguridad, así como cookies analíticas (Vercel Analytics / Speed Insights) que recopilan métricas agregadas de desempeño. Puedes configurar tu navegador para rechazarlas, aunque algunas funciones podrían dejar de operar correctamente.
10. Menores de edad
Cuando una clínica registre a un paciente menor de edad, el consentimiento para el tratamiento de sus datos debe ser otorgado por quien ejerza la patria potestad o tutela. La clínica es responsable de obtener y resguardar dicho consentimiento.
11. Cambios al Aviso de Privacidad
Cualquier modificación al presente Aviso se publicará en sirasalud.com/privacidad con su fecha de actualización. Te recomendamos revisarlo periódicamente.
12. INAI
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI): home.inai.org.mx.