Anexo A · Encargado
Anexo A · Contrato de Encargado de Tratamiento de Datos Personales
Versión 1.2 · vigente desde 29 de octubre de 2026vigente
por confirmarBorrador en revisión legal: hay 4 campos por confirmar, marcados así en el texto.
Forma parte integral de los Términos y Condiciones del Servicio (doc 52). Se acepta junto con ellos.
1. Partes y objeto
1.1 Este Anexo regula el tratamiento que Pablo Gabriel Campos Cordero ("el Encargado" o "Kuiza") realiza de los datos personales de Pacientes por cuenta de la Clínica ("el Responsable"), con motivo de la prestación del Servicio.
1.2 El Responsable determina las finalidades y los medios del tratamiento de los datos de sus Pacientes. El Encargado trata dichos datos únicamente conforme a las instrucciones del Responsable contenidas en los Términos, en este Anexo y en la configuración que el Responsable realiza en el Servicio.
1.3 Los términos "datos personales", "datos personales sensibles", "titular", "responsable", "encargado", "tratamiento", "transferencia", "remisión" y "vulneración de seguridad" tienen el significado que les da la LFPDPPP y su Reglamento.
2. Descripción del tratamiento
| Elemento | Detalle |
|---|---|
| Titulares | Pacientes de la Clínica, mayores de 18 años, registrados en el Servicio. |
| Categorías de datos | Identificación y contacto: nombre, fecha de nacimiento, teléfono, fotografía (opcional). Datos sensibles — salud: hallazgos clínicos, odontogramas, periodontogramas, planes de tratamiento, notas de evolución, consentimientos informados, documentos clínicos, alergias y antecedentes registrados por la Clínica; hábitos de higiene, respuestas a preguntas de seguimiento, reportes de síntomas y fotografías intraorales aportados por el Paciente entre visitas. Operativos: citas, solicitudes de cita, recordatorios, registros de contacto. |
| Finalidades | Prestar a la Clínica el Servicio contratado: registro clínico estructurado; seguimiento del Paciente entre visitas; generación de señales derivadas para valoración del profesional; gestión de agenda; comunicación con el Paciente a través de la aplicación en nombre de la Clínica; asistencia técnica al Responsable para atender derechos ARCO; conservación conforme a la normativa sanitaria que instruya el Responsable. |
| Naturaleza | Recopilación a través del Servicio, almacenamiento, estructuración, consulta, cálculo de indicadores derivados, comunicación al Paciente, exportación, supresión o bloqueo. |
| Duración | Durante la vigencia de los Términos y el periodo de exportación posterior (90 días), sujeto a la cláusula 9. |
| Lo que el Encargado NO hace | No usa los datos para fines propios; no los vende; no los usa para publicidad; no los usa para entrenar modelos de inteligencia artificial de terceros; no los comparte con otras clínicas; no emite diagnósticos ni recomendaciones de profesionales. |
3. Obligaciones del Encargado
El Encargado se obliga a:
3.1 Instrucciones. Tratar los datos únicamente conforme a las instrucciones del Responsable y con las finalidades de la sección 2. Si considera que una instrucción contraviene la LFPDPPP, lo informará al Responsable antes de ejecutarla.
3.2 Confidencialidad. Guardar confidencialidad respecto de los datos, incluso después de terminada la relación, y asegurar que su personal y subencargados con acceso a datos estén sujetos a obligaciones equivalentes.
3.3 Seguridad. Implementar y mantener las medidas de seguridad de la sección 6, apropiadas a la naturaleza sensible de los datos de salud.
3.4 No transferencia. No transferir ni comunicar los datos a terceros, salvo (a) a los subencargados autorizados de la sección 5, (b) por instrucción del Responsable, o (c) por requerimiento de autoridad competente, en cuyo caso lo notificará al Responsable salvo prohibición legal.
3.5 Vulneraciones. Notificar al Responsable sin dilación indebida cualquier vulneración de seguridad que afecte los datos, con la información disponible sobre naturaleza, datos comprometidos, titulares afectados, medidas adoptadas y recomendaciones, y cooperar para que el Responsable pueda informar a los titulares conforme a la ley. La notificación no implica reconocimiento de responsabilidad.
3.6 Derechos ARCO. Poner a disposición del Responsable las herramientas del Servicio para atender solicitudes de acceso y rectificación de los Pacientes, y prestar asistencia técnica razonable para cancelación y oposición. Si un titular dirige una solicitud directamente al Encargado, este la remitirá al Responsable en un plazo máximo de Campo por confirmar: 3 días hábiles.
3.7 Registro de accesos. Mantener un registro de auditoría de cada acceso a datos clínicos (quién, qué, cuándo) y ponerlo a disposición del Responsable cuando lo solicite en relación con sus propios Pacientes.
3.8 Supresión. Suprimir o bloquear los datos al concluir el tratamiento conforme a la sección 9.
3.9 Cooperación. Cooperar razonablemente con el Responsable para acreditar el cumplimiento de este Anexo, incluyendo información sobre medidas de seguridad y, previa solicitud escrita con anticipación razonable y máximo una vez por año, verificación por un tercero sujeto a confidencialidad, a costa del Responsable. ▸ COUNSEL: alcance de auditoría razonable para un encargado multi-cliente.
4. Obligaciones del Responsable
El Responsable se obliga a:
4.1 Poner a disposición de cada Paciente un aviso de privacidad que cumpla la LFPDPPP e informe el tratamiento a través del Servicio como encargado.
4.2 Obtener y conservar el consentimiento expreso y por escrito (físico o electrónico) de cada Paciente para el tratamiento de sus datos sensibles de salud, así como el consentimiento para que el Paciente use la aplicación.
4.3 Registrar únicamente datos obtenidos lícitamente, exactos y necesarios para la atención del Paciente.
4.4 Atender las solicitudes de derechos ARCO y de revocación de consentimiento de sus Pacientes y comunicar al Encargado cualquier instrucción de supresión o bloqueo que resulte.
4.5 Cumplir, respecto del expediente clínico, la NOM-004-SSA3-2012 y demás normativa sanitaria, reconociendo que el Servicio no asume dicha obligación (Términos, cláusula 2.5).
4.6 Mantener la seguridad de sus propias credenciales, dispositivos y Usuarios Autorizados, y asignar roles conforme a la función real de cada persona.
4.7 Informar al Encargado sin demora si detecta un uso no autorizado del Servicio o una posible vulneración desde su lado.
5. Subencargados
5.1 Autorización. El Responsable autoriza al Encargado a utilizar los siguientes subencargados, indispensables para operar el Servicio:
| Subencargado | Función | Ubicación del tratamiento |
|---|---|---|
| Supabase, Inc. (sobre infraestructura de Amazon Web Services) | Base de datos, autenticación, almacenamiento de archivos | Estados Unidos de América (proveedor de infraestructura en la nube, región us-east-1) |
| Vercel, Inc. | Alojamiento de la aplicación web para clínicas | Estados Unidos / red global |
| Resend, Inc. | Envío de correos transaccionales a la Clínica (no contienen datos clínicos del Paciente) | Estados Unidos |
| Functional Software, Inc. (Sentry) | Monitoreo de errores, con exclusión activa de datos personales | Estados Unidos |
| Apple Inc. / Google LLC | Distribución de la aplicación y envío de notificaciones push (el contenido de las notificaciones no incluye datos clínicos identificables) | Estados Unidos |
| Campo por confirmar: PROVEEDOR DE PAGOS | Cobro de suscripciones a la Clínica (sin datos de Pacientes) | Campo por confirmar: confirmar |
5.2 Cambios. El Encargado notificará al Responsable con al menos 15 días de anticipación la incorporación de un nuevo subencargado con acceso a datos de Pacientes. El Responsable podrá oponerse por motivos razonables de protección de datos; si no hay alternativa viable, podrá terminar el Servicio sin penalización y exportar sus datos.
5.3 Responsabilidad. El Encargado impondrá a sus subencargados, por contrato, obligaciones de protección de datos equivalentes a las de este Anexo y responderá frente al Responsable por su cumplimiento.
5.4 Tratamiento fuera de México. ▸ COUNSEL — punto crítico. Parte del tratamiento se realiza en infraestructura ubicada fuera de México. La LFPDPPP distingue remisión (encargado–subencargado, sin consentimiento adicional) de transferencia; confirmar que el uso de subencargados en el extranjero califica como remisión y qué información debe constar en el aviso de privacidad del Responsable al respecto. Evaluar, adicionalmente, si la NOM-024 o la normativa sanitaria imponen requisitos de ubicación para datos de salud, y la conveniencia de una región de Supabase más cercana si estuviera disponible.
6. Medidas de seguridad
El Encargado mantiene, como mínimo, las siguientes medidas:
Técnicas. Cifrado de datos en tránsito (TLS) y en reposo; aislamiento lógico por Clínica mediante políticas de seguridad a nivel de fila en la base de datos, de modo que ninguna Clínica pueda acceder a datos de otra; separación entre las tablas de identidad del Paciente y las tablas clínicas/analíticas (seudonimización interna); control de acceso basado en roles; autenticación mediante proveedor de identidad con tokens de corta vida; registro de auditoría de cada lectura de datos clínicos; políticas restrictivas de acceso a archivos (fotografías, documentos); exclusión activa de datos personales del sistema de monitoreo de errores; copias de seguridad cifradas del proveedor de base de datos; verificación automatizada de que cada cambio en la base de datos respeta las políticas de aislamiento antes de aplicarse.
Administrativas. Acceso a producción restringido al personal indispensable; principio de mínimo privilegio; revisión de cambios de código antes de despliegue; registro y revisión de incidentes; obligaciones de confidencialidad del personal; evaluación de subencargados.
Físicas. Delegadas a los proveedores de infraestructura, que operan centros de datos con controles de acceso físico certificados.
7. Notificación de vulneraciones — procedimiento
7.1 Detectada una vulneración que afecte datos de Pacientes, el Encargado notificará al Responsable al correo del propietario registrado a más tardar dentro de las Campo por confirmar: 72 horas siguientes a tener conocimiento, con la información disponible, y la complementará a medida que la obtenga.
7.2 El Encargado adoptará las medidas correctivas a su alcance y cooperará con el Responsable en la evaluación del impacto y en la comunicación a los titulares.
7.3 La obligación de informar a los titulares corresponde al Responsable, con la asistencia del Encargado.
8. Confidencialidad del personal
Todo el personal del Encargado con acceso a datos de Pacientes está sujeto a obligaciones contractuales de confidencialidad y recibe instrucciones sobre el tratamiento de datos sensibles. El acceso se limita al estrictamente necesario para operar y dar soporte al Servicio, queda registrado y se revisa periódicamente.
9. Duración, devolución y supresión
9.1 Este Anexo rige mientras el Encargado trate datos por cuenta del Responsable.
9.2 Al terminar los Términos, el Responsable podrá exportar la totalidad de los datos durante 90 días (Términos, cláusula 10.4).
9.3 Transcurrido ese plazo, el Encargado suprimirá o bloqueará los datos de Pacientes de sus sistemas activos y copias de seguridad conforme a los ciclos de retención de sus proveedores, salvo los datos que deba conservar por obligación legal, los cuales quedarán bloqueados y solo se tratarán para dicho cumplimiento.
9.4 El Encargado certificará la supresión por escrito a solicitud del Responsable.
9.5 Pacientes con cuenta. Los datos que el Paciente aportó directamente a través de la aplicación se rigen, además, por el aviso de privacidad que el Paciente aceptó frente a Kuiza como responsable de su cuenta; la terminación de la relación con una Clínica no priva al Paciente de sus derechos sobre dicha información.
10. Responsabilidad
El Encargado responde frente al Responsable por los daños derivados del incumplimiento de este Anexo. El Responsable responde frente al Encargado por reclamaciones derivadas de datos registrados sin base legal o consentimiento, o de instrucciones contrarias a la ley. Las limitaciones de responsabilidad de los Términos aplican salvo en lo previsto en su cláusula 11.4.
11. Prevalencia
En caso de conflicto entre este Anexo y los Términos respecto del tratamiento de datos de Pacientes, prevalece este Anexo.
Aceptación. Este Anexo se acepta electrónicamente junto con los Términos. Kuiza conserva constancia de versión, fecha, usuario e IP.