Aviso de Privacidad Integral

En cumplimiento con lo dispuesto por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (en adelante "LFPDPPP") y sus reformas vigentes (última reforma publicada en el Diario Oficial de la Federación el 14 de noviembre de 2025), ponemos a su disposición el presente Aviso de Privacidad Integral.

I. Identidad y Domicilio del Responsable

El responsable del tratamiento de sus datos personales es:

CARESNAROCA SAS (en adelante "CARESNAROCA", "nosotros" o "VITALINK") es una sociedad mercantil constituida conforme a las leyes de los Estados Unidos Mexicanos, que opera comercialmente la plataforma tecnológica "Expediente VITALINK" bajo licencia de Atenea Labs OÜ.

II. Datos Personales que Recabamos

Para las finalidades señaladas en el presente Aviso de Privacidad, podemos recabar las siguientes categorías de datos personales:

A. Datos de Profesionales de la Salud (Usuarios)

B. Datos de Pacientes

III. Datos Personales Sensibles

El Servicio "Expediente VITALINK" está diseñado específicamente para el almacenamiento y gestión de expedientes clínicos electrónicos, por lo que necesariamente implica el tratamiento de datos personales sensibles relativos a la salud.

Fundamento legal: El tratamiento de estos datos sensibles se realiza con fundamento en:

• Artículo 9 de la LFPDPPP: Consentimiento expreso y por escrito del titular
• Artículo 10, fracción VI de la LFPDPPP: Tratamiento necesario para la prevención, diagnóstico, prestación de asistencia sanitaria, tratamiento médico o gestión de servicios sanitarios
• NOM-004-SSA3-2012: Obligación legal de integrar y conservar el expediente clínico
• Ley General de Salud: Obligaciones de los prestadores de servicios de salud

Consentimiento expreso: Para el tratamiento de datos personales sensibles de pacientes, el profesional de la salud (Usuario) debe obtener el consentimiento expreso y por escrito del paciente, lo cual se realiza mediante:

• Firma del consentimiento informado por parte del paciente
• Aceptación expresa al momento de registrar al paciente en el sistema
• Carta de consentimiento para procedimientos específicos

El profesional de la salud es responsable de recabar y conservar evidencia del consentimiento de sus pacientes conforme a la normativa aplicable.

IV. Finalidades del Tratamiento

A. Finalidades Primarias (Necesarias)

Sus datos personales serán tratados para las siguientes finalidades que dan origen y son necesarias para la relación jurídica entre usted y CARESNAROCA:

1. Prestación del Servicio: Proporcionar acceso y funcionamiento de la plataforma Expediente VITALINK para la gestión de expedientes clínicos electrónicos
2. Gestión de cuenta: Crear, administrar y mantener su cuenta de usuario, incluyendo autenticación y control de acceso
3. Verificación profesional: Validar su cédula profesional ante el Registro Nacional de Profesionistas de la SEP
4. Cumplimiento normativo: Cumplir con las obligaciones establecidas en la NOM-004-SSA3-2012, NOM-024-SSA3-2012 y demás normativa sanitaria aplicable
5. Facturación y cobranza: Procesar pagos, emitir comprobantes fiscales (CFDI) y gestionar la relación comercial
6. Soporte técnico: Atender solicitudes de soporte, resolver incidencias y proporcionar asistencia técnica
7. Comunicaciones operativas: Enviar notificaciones relacionadas con el funcionamiento del Servicio, actualizaciones, mantenimientos y alertas de seguridad
8. Seguridad: Proteger la integridad del Servicio, prevenir fraudes y detectar actividades no autorizadas

B. Finalidades Secundarias (No Necesarias)

De manera adicional, y previo consentimiento, utilizaremos sus datos personales para las siguientes finalidades que no son necesarias para la prestación del Servicio, pero que nos permiten brindarle una mejor experiencia:

1. Comunicaciones promocionales: Enviar información sobre nuevas funcionalidades, promociones, eventos y contenido educativo relacionado con el Servicio
2. Encuestas y estudios: Realizar encuestas de satisfacción y estudios de mercado para mejorar nuestros servicios
3. Estadísticas agregadas: Elaborar estadísticas y análisis con datos agregados y anonimizados para investigación y mejora del Servicio
4. Personalización: Personalizar su experiencia de usuario basándose en sus preferencias y patrones de uso

V. Transferencias de Datos Personales

Sus datos personales podrán ser transferidos y tratados dentro y fuera del país por las siguientes personas, empresas u organizaciones:

Transferencias Internacionales

Las transferencias internacionales de datos personales a Estados Unidos se realizan al amparo de:

• Tratado entre México, Estados Unidos y Canadá (T-MEC): Capítulo 19 sobre Comercio Digital, que establece compromisos sobre flujos transfronterizos de datos
• Artículo 36 de la LFPDPPP: Los destinatarios asumen las mismas obligaciones que corresponden al responsable
• Cláusulas contractuales: Contratos con proveedores que incluyen obligaciones de protección de datos equivalentes a la legislación mexicana

Todos nuestros proveedores de servicios en la nube cuentan con certificaciones de seguridad reconocidas internacionalmente (SOC 2 Type II, ISO 27001) y cumplen con estándares de protección de datos equivalentes o superiores a los establecidos en México.

VI. Derechos ARCO

Conforme a la LFPDPPP, usted tiene derecho a conocer qué datos personales tenemos de usted, para qué los utilizamos y las condiciones del uso que les damos (Acceso). Asimismo, es su derecho solicitar la corrección de su información personal en caso de que esté desactualizada, sea inexacta o incompleta (Rectificación); que la eliminemos de nuestros registros o bases de datos cuando considere que la misma no está siendo utilizada adecuadamente (Cancelación); así como oponerse al uso de sus datos personales para fines específicos (Oposición). Estos derechos se conocen como derechos ARCO.

Procedimiento para ejercer derechos ARCO

Para ejercer cualquiera de los derechos ARCO, usted deberá presentar una solicitud (en adelante "Solicitud ARCO") a través de los siguientes medios:

Su Solicitud ARCO deberá contener y acompañar la siguiente información y documentación:

1. Nombre completo del titular y correo electrónico para comunicarle la respuesta
2. Copia de documento oficial que acredite su identidad (INE, pasaporte, cédula profesional)
3. Descripción clara y precisa de los datos personales respecto de los que busca ejercer alguno de los derechos ARCO
4. Cualquier otro elemento o documento que facilite la localización de los datos personales
5. En caso de solicitar rectificación, indicar las modificaciones a realizar y aportar documentación que sustente su petición
6. En caso de actuar a través de representante legal, documento que acredite la representación

Plazos de respuesta

• Comunicación de determinación: 20 días hábiles contados desde la recepción de la solicitud
• Plazo para hacer efectiva la determinación: 15 días hábiles siguientes a la comunicación de la respuesta
• Ampliación de plazos: Los plazos podrán ampliarse una sola vez por un período igual, cuando las circunstancias del caso lo justifiquen

La respuesta a su solicitud se comunicará a través del correo electrónico que haya proporcionado en su solicitud.

VII. Revocación del Consentimiento

Usted puede revocar el consentimiento que, en su caso, nos haya otorgado para el tratamiento de sus datos personales. Sin embargo, es importante que tenga en cuenta que no en todos los casos podremos atender su solicitud o concluir el uso de forma inmediata, ya que es posible que por alguna obligación legal requiramos seguir tratando sus datos personales.

Para revocar su consentimiento deberá presentar su solicitud a través de los mismos medios establecidos para el ejercicio de derechos ARCO, indicando:

1. Nombre completo y correo electrónico de contacto
2. Copia de documento oficial de identidad
3. Descripción clara de los datos y/o finalidades respecto de los cuales revoca su consentimiento
4. Cualquier otro elemento que facilite la localización de los datos

VIII. Limitación del Uso o Divulgación

Con objeto de que usted pueda limitar el uso y divulgación de su información personal, le ofrecemos los siguientes medios:

• Lista de exclusión de comunicaciones promocionales: Puede solicitar su inscripción enviando un correo a hola@vitalink.lat con el asunto "Baja de comunicaciones promocionales"
• Configuración de cuenta: Desde la configuración de su cuenta puede gestionar sus preferencias de comunicación y notificaciones
• Enlace de cancelación: Todos nuestros correos promocionales incluyen un enlace para cancelar la suscripción

Adicionalmente, le informamos que sus datos personales no serán compartidos con terceros para fines mercadotécnicos, publicitarios o comerciales ajenos a los descritos en este Aviso de Privacidad.

IX. Uso de Cookies, Web Beacons y Tecnologías Similares

Le informamos que en nuestra página de internet y aplicaciones utilizamos cookies, web beacons y otras tecnologías a través de las cuales es posible monitorear su comportamiento como usuario de internet, brindarle un mejor servicio y experiencia de usuario, así como ofrecerle nuevos productos y servicios basados en sus preferencias.

Tipos de cookies que utilizamos

Herramientas de Análisis y Marketing

Utilizamos las siguientes herramientas de terceros para analizar el uso de nuestro sitio y medir la efectividad de nuestras campañas publicitarias. Estas herramientas solo se activan si usted acepta las cookies:

Google Analytics 4

Servicio de análisis web de Google LLC que nos permite entender cómo los visitantes interactúan con nuestro sitio. Configuración de privacidad:

• IP anonimizada por defecto
• Google Consent Mode v2 (solo se activa con su consentimiento)
• No compartimos datos con Google para publicidad personalizada

Meta Pixel (Facebook/Instagram)

Herramienta de Meta Platforms Inc. que nos permite medir la efectividad de nuestros anuncios en Facebook e Instagram, y crear audiencias para campañas publicitarias.

• Eventos rastreados: PageView (visita a página)
• Datos transferidos a Estados Unidos (Meta Platforms Inc.)
• Política de privacidad de Meta: facebook.com/privacy/policy

TikTok Pixel

Herramienta de TikTok que nos permite medir la efectividad de nuestros anuncios en TikTok y crear audiencias para campañas publicitarias.

• Eventos rastreados: PageView (visita a página)
• Datos transferidos a Estados Unidos/Singapur (TikTok Pte. Ltd.)
• Política de privacidad de TikTok: tiktok.com/legal/privacy-policy

Los datos personales que obtenemos de estas tecnologías de rastreo son los siguientes:

• Identificadores de sesión y autenticación
• Tipo de navegador y sistema operativo
• Páginas visitadas y tiempo de permanencia
• Dirección IP (anonimizada para analíticas)
• Fecha y hora de acceso
• Sitio web de referencia

Desactivación de cookies: Puede deshabilitar las cookies no esenciales a través de la configuración de su navegador. Sin embargo, esto puede afectar la funcionalidad del Servicio. Las cookies esenciales no pueden ser deshabilitadas ya que son necesarias para el funcionamiento básico del sitio.

Cookies de marketing solo con su consentimiento. Las cookies de Meta Pixel y TikTok Pixel se utilizan exclusivamente para medir la efectividad de nuestras campañas publicitarias y solo se activan si usted acepta en el aviso de cookies. No compartimos información de cookies con terceros para publicidad personalizada fuera de nuestras propias campañas.

X. Medidas de Seguridad

CARESNAROCA ha implementado y mantiene medidas de seguridad administrativas, técnicas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado, conforme a lo dispuesto en la LFPDPPP y su Reglamento.

Medidas Técnicas

• Cifrado en tránsito: Todas las comunicaciones utilizan TLS 1.3 (Transport Layer Security)
• Cifrado en reposo: Los datos almacenados están cifrados con AES-256
• Control de acceso: Sistema de control de acceso basado en roles (RBAC) con principio de mínimo privilegio
• Row Level Security (RLS): Políticas de seguridad a nivel de fila en base de datos que garantizan que cada usuario solo acceda a sus propios datos
• Autenticación segura: Contraseñas hasheadas con bcrypt, opción de autenticación de dos factores (2FA)
• Auditoría: Registro de todos los accesos y modificaciones a datos sensibles
• Respaldos: Copias de seguridad automáticas diarias, cifradas y almacenadas en ubicación geográfica separada
• Monitoreo: Sistemas de detección de intrusiones y monitoreo continuo de seguridad

Medidas Administrativas

• Políticas y procedimientos de seguridad de la información documentados
• Capacitación del personal en protección de datos personales
• Acuerdos de confidencialidad con empleados y proveedores
• Evaluaciones periódicas de riesgos y vulnerabilidades
• Plan de respuesta a incidentes de seguridad
• Revisión y actualización periódica de medidas de seguridad

Certificaciones de Proveedores

Nuestros proveedores de infraestructura cuentan con las siguientes certificaciones:

• Supabase: SOC 2 Type II, HIPAA eligible
• Stripe: PCI DSS Level 1 (el más alto nivel de certificación de la industria de pagos)

XI. Modificaciones al Aviso de Privacidad

El presente Aviso de Privacidad puede sufrir modificaciones, cambios o actualizaciones derivadas de nuevos requerimientos legales, de nuestras propias necesidades por los productos o servicios que ofrecemos, de nuestras prácticas de privacidad, de cambios en nuestro modelo de negocio, o por otras causas.

Nos comprometemos a mantenerlo informado sobre los cambios que pueda sufrir el presente Aviso de Privacidad, a través de los siguientes medios:

• Publicación de la versión actualizada en esta página web (expediente.vitalink.lat/privacidad)
• Notificación por correo electrónico a la dirección registrada en su cuenta
• Aviso destacado dentro de la plataforma al iniciar sesión

El procedimiento a través del cual se llevarán a cabo las notificaciones sobre cambios o actualizaciones al presente Aviso de Privacidad es el siguiente:

1. Se publicará la nueva versión del Aviso de Privacidad en esta página
2. Se enviará un correo electrónico informando sobre los cambios realizados
3. Se indicará la fecha de entrada en vigor de los cambios
4. Se proporcionará un período de al menos 30 días para que revise los cambios antes de su entrada en vigor, salvo que los cambios sean requeridos por ley

Le recomendamos revisar periódicamente este Aviso de Privacidad para estar informado sobre cómo protegemos sus datos personales.

XII. Consentimiento

Al proporcionar sus datos personales a través de nuestro sitio web, aplicaciones o cualquier otro medio, y al utilizar nuestros servicios, usted consiente el tratamiento de sus datos personales en los términos descritos en el presente Aviso de Privacidad.

Consentimiento tácito

Conforme al artículo 8 de la LFPDPPP, se entenderá que usted consiente tácitamente el tratamiento de sus datos personales cuando habiéndose puesto a su disposición el presente Aviso de Privacidad, no manifieste su oposición.

Consentimiento expreso para datos sensibles

Conforme al artículo 9 de la LFPDPPP, el tratamiento de datos personales sensibles requiere consentimiento expreso y por escrito del titular. En el caso de los datos de salud de pacientes:

• El profesional de la salud (Usuario) es responsable de obtener el consentimiento expreso de sus pacientes
• El consentimiento se obtiene mediante la firma del consentimiento informado
• El profesional debe conservar evidencia del consentimiento otorgado

XIII. Contacto

Si usted tiene alguna duda, comentario o queja relacionada con el tratamiento de sus datos personales o el ejercicio de sus derechos, puede contactarnos a través de los siguientes medios:

Autoridad de Protección de Datos

Si considera que su derecho a la protección de datos personales ha sido lesionado por alguna conducta u omisión de nuestra parte, o presume alguna violación a las disposiciones previstas en la LFPDPPP y demás ordenamientos aplicables, podrá interponer su inconformidad o denuncia ante la autoridad competente.