Acuerdo de tratamiento de datos personales
Condiciones del tratamiento de datos que Evitare encarga a sus proveedores tecnológicos (encargados).
1. Partes y definiciones
Responsable: Evitare Medical Center, con domicilio en Av. Aztecas 290, Fracc. Monraz, C.P. 44670, Guadalajara, Jalisco, México. Encargado: el proveedor que trata datos personales por cuenta del Responsable, según el Anexo A. Datos personales, datos sensibles, tratamiento, titular y demás términos tienen el significado de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su normativa («la Ley»). Subencargado: tercero que contrata el Encargado para parte del tratamiento.
2. Objeto y alcance
El Encargado tratará los datos personales únicamente para prestar el servicio contratado al Responsable (alojamiento, base de datos, autenticación, procesamiento de mensajes, calendario, facturación, correo u otros descritos en el Anexo A), durante la vigencia de la relación.
3. Instrucciones del Responsable
- El Encargado tratará los datos solo conforme a las instrucciones documentadas del Responsable y para las finalidades del Aviso de privacidad.
- No los usará para fines propios, no los comercializará ni los combinará con datos de otros clientes, salvo que la ley lo exija; en ese caso lo informará al Responsable antes, si la ley lo permite.
- Si recibe una instrucción que considere contraria a la Ley, lo notificará al Responsable.
4. Confidencialidad
El Encargado y su personal guardarán confidencialidad sobre los datos, aun después de terminada la relación, y limitarán el acceso a quienes lo necesiten para prestar el servicio.
5. Medidas de seguridad
El Encargado mantendrá medidas administrativas, técnicas y físicas adecuadas al riesgo de datos sensibles de salud, como mínimo las del Anexo B, y las actualizará conforme avance la técnica.
6. Subencargados
El Encargado podrá usar subencargados que cumplan obligaciones equivalentes a las de este Acuerdo y será responsable de su desempeño. Mantendrá una lista actualizada y avisará al Responsable de cambios relevantes para que pueda objetarlos.
7. Transferencias internacionales
El Responsable autoriza el tratamiento en los países donde el Encargado opera su infraestructura, siempre que se mantengan las garantías de este Acuerdo. El Encargado no comunicará los datos a terceros salvo a sus subencargados o por mandato de autoridad competente.
8. Asistencia en derechos ARCO
El Encargado ayudará al Responsable, con medidas técnicas razonables, a atender solicitudes de acceso, rectificación, cancelación, oposición y revocación. Si recibe una solicitud directa de un titular, la remitirá al Responsable sin responderla por su cuenta.
9. Vulneraciones de seguridad
El Encargado notificará al Responsable sin demora injustificada y a más tardar en 72 horas desde que tenga conocimiento de una vulneración que afecte datos personales, con la información disponible (naturaleza, datos y titulares afectados, medidas adoptadas) y colaborará en su contención y en la notificación a los titulares afectados cuando proceda.
10. Devolución o supresión
Al terminar la relación, o antes si el Responsable lo solicita, el Encargado devolverá o suprimirá los datos y sus copias en un plazo razonable, salvo que una ley le exija conservarlos, en cuyo caso los protegerá y no los tratará para otros fines.
11. Información y auditoría
El Encargado pondrá a disposición del Responsable la información razonable para verificar el cumplimiento (por ejemplo, certificaciones o informes de seguridad) y atenderá solicitudes de revisión con aviso previo.
12. Responsabilidad
Cada parte responde por el incumplimiento de sus obligaciones conforme a la ley aplicable y al contrato principal. El Encargado responde ante el Responsable por los daños causados por su incumplimiento de este Acuerdo.
13. Vigencia, ley y jurisdicción
Este Acuerdo dura mientras el Encargado trate datos por cuenta del Responsable. Se rige por las leyes mexicanas y las partes se someten a los tribunales competentes de Guadalajara, Jalisco.
Anexo A. Descripción del tratamiento y proveedores actuales
| Encargado | Servicio | Datos y titulares |
|---|---|---|
| Supabase | Base de datos, autenticación, almacenamiento de archivos y funciones del servidor | Pacientes, tutores, personal y contactos: identificación, contacto, fiscales y de salud |
| Vercel | Alojamiento del sitio web, la App y el sistema interno | Datos técnicos de visitantes y usuarios |
| Anthropic | Modelo de inteligencia artificial del asistente virtual | Mensajes de visitantes, prospectos y pacientes |
| Meta Platforms | Mensajería y publicación en Facebook, Instagram y Messenger | Mensajes y datos de perfil de quienes escriben a la clínica |
| Google Calendar para agenda; mapas y tipografías en el sitio | Datos mínimos de la cita; direcciones IP | |
| ecoFactura / proveedor de certificación (PAC) | Emisión de CFDI | Datos fiscales de clientes |
| Proveedor de correo electrónico institucional | Buzones de la clínica | Contenido de correos y datos de contacto |
Naturaleza y duración: tratamiento continuo mientras dure el servicio. Finalidad: operación de la Plataforma y atención a pacientes. Datos sensibles: sí (salud).
Anexo B. Medidas de seguridad mínimas
- Cifrado de datos en tránsito (TLS) y, cuando el proveedor lo permita, en reposo.
- Control de acceso por rol y principio de mínimo privilegio; autenticación para el personal.
- Reglas de seguridad por fila en la base de datos para separar la información de cada usuario y del personal.
- Gestión segura de llaves y secretos; no se guardan contraseñas en texto claro.
- Registro de accesos y de acciones relevantes; separación de entornos.
- Copias de respaldo y plan de recuperación razonables para el servicio contratado.
- Procedimiento de gestión de incidentes y notificación en 72 horas.
- Capacitación y compromisos de confidencialidad del personal con acceso.
Escríbenos a auxiliar@evitare.org o llama al 33 3813 2995 / 33 3813 2996 (lunes a viernes de 9:00 a 17:00 h y sábados de 9:00 a 15:00 h).