PAXYA — Sistema PACS Seguro & Gestión de Diagnóstico por Imagen
IMPORTANTE: Este documento es un borrador elaborado con base en la legislación vigente. Debe ser revisado y validado por un abogado especialista en protección de datos personales y derecho sanitario antes de su publicación y uso final. No constituye asesoría legal directa.
[NOMBRE O RAZÓN SOCIAL DEL RESPONSABLE], en adelante "El Responsable", con domicilio en [DIRECCIÓN COMPLETA INCLUYENDO CALLE, NÚMERO, COLONIA, MUNICIPIO, ESTADO, CÓDIGO POSTAL], es el responsable del uso y protección de sus datos personales, y al respecto le informa lo siguiente:
Para las finalidades señaladas en el presente Aviso de Privacidad, podemos recabar las siguientes categorías de datos personales:
| Dato Recabado | Ejemplo y Propósito |
|---|---|
| Nombre completo | Nombre(s) y Apellido(s) del paciente |
| Correo electrónico | Para envío de resultados y comunicaciones transaccionales |
| Número telefónico | Para contacto vía WhatsApp, Telegram o SMS |
| Número de expediente médico (MRN) | Identificador asignado por la institución de salud |
De conformidad con el artículo 3, fracción VI de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), los siguientes datos se consideran datos personales sensibles por referirse al estado de salud del titular:
| Dato Sensible | Descripción |
|---|---|
| Imágenes médicas de diagnóstico | Radiografías, tomografías computarizadas, resonancias magnéticas y otros estudios de imagenología en formato DICOM |
| Reportes e interpretaciones radiológicas | Hallazgos, impresiones diagnósticas y recomendaciones emitidas por médicos radiólogos |
| Notas clínicas | Anotaciones sobre el motivo del estudio, síntomas o antecedentes relevantes |
| Historial de estudios | Registro de estudios realizados, fechas, modalidades y resultados |
| Análisis generados por inteligencia artificial | Informes preliminares generados por modelos de IA como apoyo al diagnóstico médico |
Sus datos personales serán tratados para las siguientes finalidades que dan origen y son necesarias para la relación jurídica entre usted y El Responsable:
De manera adicional, sus datos personales podrán ser utilizados para finalidades que no son necesarias para el servicio solicitado, pero que nos permiten brindar una mejor atención:
Si usted no desea que sus datos sean tratados para las finalidades secundarias, podrá manifestar su negativa enviando un correo electrónico a [EMAIL DE CONTACTO] con el asunto "Negativa finalidades secundarias".
Le informamos que sus datos personales podrán ser transferidos y tratados dentro y fuera del país, por las siguientes personas, empresas u organizaciones distintas a El Responsable:
| Destinatario | Finalidad | País | Fundamento Legal |
|---|---|---|---|
| Google Cloud Platform (Google LLC) | Almacenamiento de imágenes DICOM en Google Cloud Healthcare API y datos en Cloud Firestore | Estados Unidos | Art. 37 LFPDPPP — necesario para cumplir la relación jurídica. Cuenta con certificaciones de seguridad (SOC 2, ISO 27001, HIPAA BAA) |
| Google Vertex AI / Gemini (Google LLC) | Procesamiento de imágenes médicas para análisis asistido por inteligencia artificial | Estados Unidos | Art. 37 LFPDPPP — necesario para la prestación del servicio contratado |
| Resend, Inc. | Envío de correos electrónicos transaccionales con resultados médicos y enlaces de acceso | Estados Unidos | Art. 37 LFPDPPP — necesario para cumplir la relación jurídica |
| Médicos radiólogos registrados | Interpretación diagnóstica de los estudios de imagenología | México | Art. 37 LFPDPPP — necesario para la prestación del servicio; NOM-004-SSA3-2012 |
| Instituciones de salud (hospitales/clínicas) | Gestión del expediente clínico y administración de estudios | México | NOM-004-SSA3-2012, numeral 5.4 |
Usted tiene derecho a conocer qué datos personales tenemos de usted, para qué los utilizamos y las condiciones del uso que les damos (Acceso). Asimismo, es su derecho solicitar la corrección de su información personal en caso de que esté desactualizada, sea inexacta o incompleta (Rectificación); que la eliminemos de nuestros registros o bases de datos cuando considere que la misma no está siendo utilizada adecuadamente (Cancelación); así como oponerse al uso de sus datos personales para fines específicos (Oposición). Estos derechos se conocen como derechos ARCO.
Envíe su solicitud por correo electrónico a [EMAIL DE CONTACTO] con el asunto "Solicitud ARCO", incluyendo:
Plazo de respuesta: El Responsable comunicará al titular la determinación adoptada en un plazo máximo de 20 días hábiles contados desde la fecha en que se recibió la solicitud completa.
Plazo de ejecución: Si la solicitud resulta procedente, se hará efectiva dentro de los 15 días hábiles siguientes a la fecha en que se comunique la respuesta.
El Responsable ha implementado las siguientes medidas de seguridad técnicas, administrativas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado:
| Medida | Descripción |
|---|---|
| Encriptación en tránsito | Todas las comunicaciones entre su navegador y nuestros servidores se realizan mediante protocolo seguro HTTPS/TLS. |
| Encriptación en reposo | Los datos almacenados en Google Cloud (Firestore, Healthcare API) se encuentran encriptados mediante algoritmos AES-256. |
| Autenticación segura | Acceso mediante credenciales individuales con contraseña o autenticación con Google (OAuth 2.0). |
| Control de acceso por roles | Sistema de roles diferenciados (administrador, técnico radiólogo, médico especialista, paciente) que limita el acceso a la información según la función del usuario. |
| Enlaces de acceso temporales | Los pacientes acceden a sus resultados mediante enlaces únicos (Magic Links) con alcance limitado a su estudio específico. |
| Tokens de sesión con expiración | Las sesiones de usuario y los tokens de acceso a datos médicos tienen tiempo de expiración automática. |
| Medida | Descripción |
|---|---|
| Capacitación del personal | El personal con acceso a datos personales sensibles recibe capacitación sobre sus obligaciones de confidencialidad y normatividad sanitaria. |
| Política de retención de datos | Los datos se conservan únicamente durante los plazos legalmente establecidos en la Sección VII. |
| Revisiones periódicas | Se realizan revisiones periódicas de las medidas de seguridad e infraestructura implementadas. |
Los datos personales serán conservados durante los siguientes períodos, conforme a la normatividad aplicable:
| Tipo de Dato | Período de Retención | Fundamento Legal |
|---|---|---|
| Estudios de imagenología (DICOM) | Mínimo 5 años a partir de la fecha del último acto médico | NOM-004-SSA3-2012, numeral 5.4.2 |
| Reportes e interpretaciones radiológicas | Mínimo 5 años a partir de la fecha de emisión | NOM-004-SSA3-2012, numeral 5.4.2 |
| Historial de accesos y auditoría | Mínimo 5 años | NOM-004-SSA3-2012 |
| Datos de contacto del paciente | Mientras exista la relación de servicio, o hasta que el titular solicite su cancelación | LFPDPPP, artículo 11 |
| Registros de consentimiento | Mínimo 5 años después del último tratamiento de datos | LFPDPPP, artículo 9 |
| Estadísticas anonimizadas | Indefinido (no contienen datos personales identificables) | N/A |
Transcurrido el período de retención aplicable, los datos serán bloqueados (separados del tratamiento activo) y posteriormente suprimidos de forma segura, mediante eliminación definitiva de los registros digitales.
El presente sistema utiliza modelos de inteligencia artificial proporcionados por Google (Vertex AI / Gemini) para generar análisis preliminares de las imágenes médicas. Al respecto, se le informa que:
El presente Aviso de Privacidad puede sufrir modificaciones, cambios o actualizaciones derivadas de nuevos requerimientos legales, necesidades del servicio, o cambios en nuestras prácticas de privacidad.
Cualquier modificación al presente Aviso de Privacidad será notificada a través de:
Se entenderá que el titular acepta los cambios si continúa utilizando el servicio después de haber sido notificado de las modificaciones.
Si usted considera que su derecho a la protección de datos personales ha sido vulnerado, tiene derecho a acudir ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) para hacer valer sus derechos:
Al proporcionar sus datos personales a través de nuestro sistema, usted consiente tácitamente el tratamiento de sus datos personales generales conforme al presente Aviso de Privacidad, de acuerdo con el artículo 8 de la LFPDPPP.
De conformidad con el artículo 9 de la LFPDPPP, el tratamiento de datos personales sensibles requiere su consentimiento expreso y por escrito. Al firmar o aceptar electrónicamente el presente documento, usted declara: