1. Responsable del tratamiento de sus datos personales
Dr. Jason Alejandro Valdivia Nájar, Cirugía General y Laparoscopia (Céd. Prof. 12375155, Céd. Esp. 14384667), con domicilio para efectos de este aviso en Healthcare by the Sea, De Los Tules 168-10, Jardines de Las Gaviotas, C.P. 48328, Puerto Vallarta, Jalisco. Contacto para privacidad y derechos ARCO: jason.valdivian@gmail.com · Tel. (33) 39-71-86-20.
2. Datos personales que se recaban
Identificación y contacto: nombre, fecha de nacimiento, sexo, teléfono(s), correo electrónico, idioma de preferencia y, en su caso, CURP.
Datos de salud (DATOS SENSIBLES): antecedentes personales y familiares, alergias, medicación, padecimiento actual, exploración física, diagnósticos, resultados de estudios de laboratorio y gabinete (incluidos archivos que usted proporcione), notas médicas, recetas e indicaciones. Se recaban por ser indispensables para su atención médica.
Datos de pago: montos, fecha, método de pago y concepto. No se almacenan números de tarjeta ni credenciales bancarias.
3. Finalidades primarias (necesarias para la relación médico-paciente)
Prestación de servicios de atención médica, quirúrgica y de seguimiento.
Integración y conservación del expediente clínico conforme a la NOM-004-SSA3-2012.
Emisión de recetas, solicitudes de estudios, notas, resúmenes clínicos y demás documentos del acto médico.
Agenda de citas y comunicación operativa relacionada con su atención.
Registro de pagos y cumplimiento de obligaciones legales, fiscales y sanitarias.
4. Finalidades secundarias (opcionales)
Envío de recordatorios de citas y seguimiento por WhatsApp o teléfono.
Envío de información educativa en salud.
Usted puede negarse a estas finalidades secundarias desde este momento o en cualquier momento posterior, sin que ello afecte su atención médica, marcándolo en el formato de consentimiento o comunicándolo al contacto de la sección 1.
5. Datos sensibles y consentimiento expreso
Los datos de salud son datos personales sensibles. Su tratamiento requiere consentimiento expreso y por escrito, que se recaba mediante el formato de consentimiento que acompaña a este aviso. La negativa a proporcionar los datos indispensables puede imposibilitar la prestación del servicio médico.
6. Encargados y transferencia internacional (almacenamiento en la nube)
Para la integración del expediente clínico electrónico, el responsable utiliza proveedores de infraestructura tecnológica que actúan como encargados del tratamiento y no deciden sobre sus datos: Supabase, Inc. (base de datos, con servidores ubicados en Estados Unidos de América) y Cloudflare, Inc. (respaldos cifrados, Estados Unidos de América). Esta operación implica una transferencia internacional de datos necesaria para la finalidad primaria de integrar y conservar su expediente.
Medidas de seguridad aplicadas: cifrado de la información en tránsito y en reposo; acceso exclusivo del médico responsable mediante contraseña y autenticación de dos factores; respaldos cifrados cuya llave obra únicamente en poder del responsable; bitácora de accesos con verificación de integridad; y documentos clínicos inmutables.
7. Transferencias a terceros
Sus datos no se venden ni se comparten con terceros para fines distintos a los aquí descritos. Solo podrán transferirse: (a) a otros profesionales o instituciones de salud para su atención (interconsulta o referencia), con su conocimiento; (b) a autoridades competentes cuando exista requerimiento legal fundado; y (c) en los demás casos de excepción previstos por la ley.
8. Plazo de conservación
El expediente clínico se conserva por un mínimo de 5 años contados a partir del último acto médico, conforme a la NOM-004-SSA3-2012. Los datos con finalidades secundarias se conservan solo mientras exista consentimiento.
9. Derechos ARCO, revocación y limitación de uso
Usted tiene derecho a Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos (derechos ARCO), así como a revocar su consentimiento y a limitar el uso o divulgación de los mismos. Para ejercerlos, presente solicitud al contacto de la sección 1 indicando: nombre completo, medio para recibir respuesta, documento de identidad y descripción clara del derecho que desea ejercer. La respuesta se emitirá dentro de los 20 días siguientes a la solicitud y, de resultar procedente, se hará efectiva dentro de los 15 días posteriores.
Importante — cómo opera la cancelación sobre un expediente clínico: la ley exime al responsable de cancelar los datos que deban ser tratados por disposición legal, y de manera específica los tratados para la prevención, el diagnóstico médico o la gestión de servicios de salud por un profesional sujeto a deber de secreto. Por eso, mientras subsista la obligación de conservación descrita en la sección 8, su expediente no se elimina: se BLOQUEA. El bloqueo significa que sus datos dejan de usarse para cualquier finalidad activa y quedan resguardados hasta que concluya el plazo, momento en el cual se suprimen. Si usted solicita la cancelación, se le entregará por escrito la fundamentación, la fecha del último acto médico y la fecha cierta en que procederá la supresión.
Los datos asociados a finalidades secundarias (recordatorios, información educativa) y cualquier dato no cubierto por la obligación de conservación se cancelan sin restricción y de inmediato.
Si considera que su derecho a la protección de datos ha sido vulnerado, puede acudir a la autoridad competente en materia de protección de datos personales (Secretaría Anticorrupción y Buen Gobierno).
10. Qué haremos si ocurre una vulneración de seguridad
Si llegara a ocurrir una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, se le informará de forma inmediata para que pueda tomar medidas en defensa de sus derechos. El responsable asume como estándar propio comunicarle: la naturaleza del incidente, los datos personales comprometidos, las recomendaciones que usted puede adoptar, las acciones correctivas implementadas, y las fechas de detección y de notificación.
11. Cambios a este aviso
Cualquier modificación se comunicará mediante su publicación visible en el consultorio y, en su caso, por el medio de contacto que usted haya proporcionado. Cada versión se identifica con número y fecha.