Anexo de encargado de datos de CoreDoc

• Core Suite: Core Suite S.A.S., RFC CSU260324P42, con domicilio en Calle 72C número 499, Cerrada Lluvia de Oro, entre Calle 13J, Colonia Gran Santa Fe, Mérida, Yucatán, C.P. 97314. Desarrolla y opera CoreDoc. En este anexo actúa como encargado: trata los datos de los pacientes por cuenta de usted.
• Usted: la persona que da de alta el consultorio en CoreDoc, o que lo recibe por una transferencia, y acepta este anexo. Usted tiene el carácter de responsable de los datos de sus pacientes: decide qué datos se recaban, con qué finalidad y cómo se utilizan. Si da de alta el consultorio a nombre de una clínica o de una sociedad, declara contar con facultades para obligarla; en ese caso, la responsable es esa persona moral.
• Consultorio: el espacio de trabajo que usted da de alta en CoreDoc, con sus sedes, su configuración y su información.
• Personal del consultorio: las personas que usted invita a CoreDoc para trabajar en su consultorio, como profesionales de la salud o personal de recepción.
• Datos de pacientes: los datos personales de sus pacientes, de sus representantes y de las demás personas que se registran en CoreDoc con motivo de su atención.
• Subencargados: los proveedores que Core Suite contrata y que tratan datos de pacientes para la operación de CoreDoc.
• Vulneración: la pérdida, robo, extravío, copia, uso, acceso, daño, alteración o destrucción no autorizados de datos de pacientes.
• Ley: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, su reglamento y demás disposiciones aplicables.

Los datos de su cuenta CoreSuite y los del personal del consultorio como personas usuarias (nombre, correo, celular, accesos) no son materia de este anexo. Respecto de ellos, Core Suite es responsable y los trata conforme al Aviso de privacidad de Core Suite y al Aviso de privacidad de CoreDoc.

Core Suite trata los datos de pacientes únicamente para prestar CoreDoc y los servicios vinculados con él:

• la agenda, las citas, la lista de espera y la sala de espera;
• el expediente clínico electrónico, con sus notas, recetas, indicaciones, estudios y archivos;
• los avisos y recordatorios a los pacientes por WhatsApp, SMS o correo, y el envío de sus indicaciones;
• el registro de pagos y la emisión de facturas (CFDI) a los pacientes, incluido el portal donde solicitan su factura;
• la importación de pacientes, la exportación de datos, los respaldos y la atención de Soporte.

Este anexo está vigente desde su aceptación y hasta que Core Suite suprima los datos de pacientes o se los entregue a usted conforme a la sección 16. Las obligaciones de confidencialidad subsisten después de su terminación.

Personas titulares: sus pacientes; sus padres, tutores o representantes; sus contactos de emergencia; las personas que pagan la atención o reciben la factura; y el personal del consultorio, en lo que aparece en los registros clínicos (por ejemplo, quién atendió o quién modificó una nota).

Datos que pueden tratarse, según lo que usted y su personal capturen:

• identificación y contacto: nombre, fecha de nacimiento, edad, sexo, CURP, domicilio, celular y correo, y aseguradora y número de póliza si hay seguro médico;
• datos de salud, que son datos sensibles: antecedentes, padecimientos, alergias, signos vitales, notas clínicas, diagnósticos, tratamientos, recetas, indicaciones, resultados de estudios, imágenes y archivos clínicos;
• citas, asistencias, inasistencias y respuestas a los avisos;
• consentimientos, preferencias de contacto por medio (WhatsApp, SMS o correo) y bajas;
• pagos registrados y datos fiscales para facturar: RFC, nombre o razón social, régimen fiscal, código postal, uso del CFDI y correo.

Usted decide qué datos recaba. Core Suite no solicita datos de pacientes que CoreDoc no requiera para funcionar.

Core Suite trata los datos de pacientes únicamente conforme a sus instrucciones. Constituyen instrucciones:

• este anexo;
• la configuración y el uso que usted y el personal del consultorio hacen de CoreDoc (por ejemplo, registrar a un paciente, elegir el medio de envío de los avisos o solicitar una exportación);
• las solicitudes que usted envíe por escrito desde el correo de su cuenta a privacidad@coresuite.mx.

Si una instrucción le parece contraria a la Ley, Core Suite se lo informa y puede abstenerse de aplicarla hasta que se aclare. Si usted solicita algo que CoreDoc no realiza, Core Suite le informa si es posible, en qué plazo y si tiene costo.

• Aviso de privacidad. Usted entrega a sus pacientes su aviso de privacidad antes de recabar sus datos. Core Suite publica una plantilla de aviso de privacidad para pacientes que usted puede utilizar o adaptar. El contenido del aviso que entrega es su responsabilidad.
• Consentimiento. Usted obtiene el consentimiento expreso y por escrito de sus pacientes para tratar sus datos de salud, y su autorización para cada medio por el que reciben avisos. CoreDoc facilita solicitarlos y conserva la evidencia (fecha, hora, medio y versión del aviso).
• Datos necesarios y exactos. Usted captura solo los datos necesarios para la atención y los mantiene actualizados.
• Personal. Usted invita solo a quien lo requiere, asigna el rol adecuado y desactiva a quien deja de colaborar en el consultorio. Las acciones de su personal en CoreDoc se consideran instrucciones suyas.
• Accesos. Usted resguarda sus contraseñas y sus dispositivos y no comparte su cuenta. Core Suite le recomienda activar la verificación en dos pasos.
• Solicitudes de los pacientes. Usted atiende las solicitudes de acceso, rectificación, cancelación y oposición (derechos ARCO), y las revocaciones, en los plazos de la Ley.
• Vulneraciones. Usted informa a sus pacientes cuando una vulneración afecte de forma significativa sus derechos.
• Conservación. Usted cumple la NOM-004-SSA3-2012 en cuanto a la integración y la conservación del expediente. La sección 16 describe el apoyo de Core Suite.
• Información descargada. Los datos que usted exporta, descarga o imprime salen de la custodia de Core Suite; su resguardo es responsabilidad de usted.

Core Suite no podrá:

• utilizar los datos de pacientes para fines propios, como publicidad, mercadotecnia o elaboración de perfiles;
• vender, rentar o ceder los datos de pacientes;
• comunicarlos a terceros, salvo por instrucción de usted, a los subencargados de la sección 9 o por un requerimiento de autoridad conforme a la sección 13;
• acceder al contenido de los expedientes, salvo para prestar el servicio, atender una solicitud de usted, resolver un incidente o cumplir la Ley. En esos casos accede solo el personal indispensable y el acceso queda registrado.

Core Suite puede contar registros sin identificar a ninguna persona (por ejemplo, el número de pacientes, citas o mensajes del consultorio) únicamente para aplicar los límites del Plan y enviarle su resumen. Esos conteos no contienen datos de pacientes.

Si Core Suite utilizara los datos para otra finalidad o los comunicara en contra de sus instrucciones, respondería como responsable de ese tratamiento.

Core Suite guarda confidencialidad sobre los datos de pacientes. Su personal y sus subencargados están obligados contractualmente a ello, incluso después de terminar su relación con Core Suite. Solo tiene acceso el personal que lo requiere para sus funciones, con la capacitación correspondiente.

Core Suite aplica medidas administrativas, técnicas y físicas acordes con la sensibilidad de los datos de salud, y no menores a las que utiliza para su propia información. Entre ellas:

• servidores, base de datos, archivos y respaldos en la región México Central de Microsoft Azure;
• cifrado de la información en tránsito (HTTPS) y en reposo (base de datos, archivos y respaldos);
• acceso con una cuenta CoreSuite por persona, contraseña robusta, verificación en dos pasos disponible y cierre de sesión por inactividad;
• roles y permisos dentro del consultorio, administrados por usted;
• separación de los datos de cada consultorio respecto de los demás;
• bitácora de los accesos al expediente y de los cambios;
• llaves y secretos en un almacén seguro, fuera del código;
• respaldos automáticos que permiten restaurar la información;
• protección de la red contra ataques y accesos automatizados;
• acceso mínimo y registrado del personal de Core Suite, y uso exclusivo de datos ficticios, nunca de datos reales de pacientes, en los ambientes de prueba.

CoreDoc está diseñado conforme a la NOM-004-SSA3-2012, del expediente clínico, y a la NOM-024-SSA3-2012, de sistemas de información de registro electrónico para la salud. Core Suite revisa sus medidas al menos una vez al año y las actualiza cuando cambian los riesgos o la tecnología, sin reducir el nivel de protección.

Usted autoriza a Core Suite a apoyarse en los subencargados de esta lista. Cada uno trata los datos solo para la finalidad indicada, con obligaciones de confidencialidad y seguridad equivalentes a las de este anexo, y Core Suite responde ante usted por sus actos.

Cambios a la lista. Para agregar o cambiar un subencargado, Core Suite publica una versión nueva de este anexo y se lo informa a usted por correo al menos 30 días naturales antes de que entre en vigor. Si un proveedor debe reemplazarse de urgencia por seguridad o para la continuidad del servicio, Core Suite se lo informa tan pronto como sea posible, con la explicación del motivo.

Objeción. Usted puede manifestar su desacuerdo, con sus razones, a privacidad@coresuite.mx dentro de esos 30 días. Core Suite buscará una alternativa razonable. Si no la hay, usted puede solicitar la exportación de sus datos y cancelar su Plan o cerrar su consultorio conforme a los Términos.

El expediente clínico, los archivos y la base de datos de CoreDoc se almacenan en México. Los datos de pacientes salen de México únicamente en los siguientes casos:

• el tráfico cifrado entre los dispositivos y CoreDoc pasa por la red de Cloudflare, que puede estar fuera de México;
• para enviar un aviso, el proveedor de WhatsApp, SMS o correo recibe solo el nombre y el número o correo de la persona paciente y el contenido del aviso: el nombre del consultorio (o su nombre para avisos), la fecha, la hora, el lugar y, cuando se requiere, un enlace. El aviso no incluye el nombre de quien atiende ni datos que revelen la especialidad, salvo que el consultorio lo decida;
• cuando las indicaciones de una consulta se envían como documento por WhatsApp, Meta recibe ese documento; por SMS y correo solo se envía un enlace protegido;
• para facturar, Facturapi recibe los datos fiscales y conceptos sin información clínica.

Los avisos y recordatorios no contienen datos de salud. El documento de indicaciones no incluye el diagnóstico, salvo que quien atendió lo marque.

Estas comunicaciones a subencargados son remisiones: no requieren el consentimiento de los pacientes, pero Core Suite las informa para que su aviso de privacidad pueda describirlas. Core Suite exige a cada subencargado ubicado fuera de México las mismas obligaciones que este anexo.

Sus pacientes ejercen sus derechos ARCO y revocan su consentimiento ante usted. Para que pueda atenderlos en tiempo:

• CoreDoc le permite consultar y corregir los datos de cada paciente, registrar sus preferencias y bajas de contacto, desactivar su registro y solicitar la exportación de la información de su consultorio.
• En solo lectura usted puede consultar toda la información y solicitar la exportación desde Mi cuenta, pero no registrar ni modificar datos, salvo atender las citas ya programadas para los 30 días siguientes, conforme a los Términos. Si en solo lectura, o después del cierre del consultorio, necesita atender una solicitud que requiere modificar datos, puede escribir a privacidad@coresuite.mx y Core Suite le apoyará para cumplirla en los plazos de la Ley.
• Si un paciente se dirige a Core Suite respecto de sus datos, Core Suite le indica que su consultorio es el responsable y le reenvía a usted la solicitud al correo de su cuenta en un plazo de 3 días hábiles. Core Suite no responde por cuenta propia al fondo de la solicitud.
• Si usted requiere información que no puede obtener desde CoreDoc, Soporte le apoya para obtenerla.
• Cuando usted registra una corrección, una baja o una revocación, CoreDoc la aplica en todo el servicio, incluidos los envíos que realizan los subencargados.

Si Core Suite confirma una vulneración que afecte datos de su consultorio:

• se lo notifica sin demora y a más tardar 72 horas después de confirmarla, al correo de su cuenta;
• le informa la naturaleza del incidente, los datos comprometidos, las acciones correctivas realizadas, las recomendaciones para sus pacientes y el medio de contacto para mayor información;
• le mantiene informado conforme avanza la revisión;
• colabora con usted para que informe de inmediato a los pacientes afectados, como exige la Ley, y, a solicitud suya, le apoya para enviarles el aviso por los medios de CoreDoc.

Core Suite conserva un registro de cada vulneración y de las medidas adoptadas.

Si una autoridad solicita a Core Suite datos de sus pacientes, Core Suite verifica que el requerimiento sea legal, se lo informa a usted antes de entregar información (salvo que la ley o la autoridad lo prohíban) y entrega únicamente lo que el requerimiento exige. Cuando es posible, solicita a la autoridad que se dirija a usted.

El expediente clínico pertenece al prestador de servicios de salud que lo genera, y los pacientes conservan sus derechos sobre su información, conforme a la NOM-004-SSA3-2012. Core Suite no adquiere titularidad ni derecho alguno sobre los datos de pacientes por tratarlos.

Usted puede transferir su consultorio a otra persona desde Mi cuenta. La transferencia surte efecto cuando esa persona la acepta y acepta este anexo. A partir de ese momento:

• quien recibe el consultorio pasa a ser responsable de los datos de pacientes y es quien emite las instrucciones;
• usted deja de ser responsable del tratamiento posterior de esos datos y deja de tener acceso a pagos, facturas y datos fiscales del consultorio;
• usted puede continuar como parte del personal, salvo que quien recibe el consultorio le desactive.

Antes de transferir, le corresponde contar con lo necesario para entregar los expedientes a la nueva persona responsable, conforme a la Ley y a la NOM-004-SSA3-2012. CoreDoc facilita informar a los pacientes del cambio: envía por correo el aviso de quien ahora es responsable a quienes autorizaron ese medio y deja una nota en el expediente de los demás para que se les entregue en su siguiente visita.

Si la persona que dio de alta el consultorio fallece o no puede ser localizada, Core Suite podrá transferir o cerrar el consultorio a solicitud de quien acredite su derecho, con la documentación que Core Suite le requiera.

Exportación. Usted puede solicitar la exportación de los datos de su consultorio desde Mi cuenta en cualquier momento y en cualquier estado de su Plan. Core Suite la entrega en un plazo de 5 días hábiles: un archivo de Excel con una hoja por tipo de información y un archivo comprimido con los adjuntos, mediante un enlace seguro y con vigencia limitada enviado al correo de su cuenta.

Cancelación o falta de pago. La cancelación del Plan o la falta de pago no implican el borrado de datos de pacientes. Las acciones disponibles en cada caso se describen en los Términos.

Cierre del consultorio. Antes de confirmar el cierre, CoreDoc le ofrece la exportación. Cuando el cierre surte efecto, nadie puede ingresar al consultorio. Core Suite conserva los datos de pacientes bloqueados, sin costo para usted, durante al menos 5 años contados desde el cierre, lo que cubre los 5 años desde el último acto médico que exige la NOM-004-SSA3-2012. Durante ese tiempo, Core Suite solo accede a ellos para entregar una exportación a la persona dueña del consultorio, o a quien acredite su derecho, una vez acreditada su identidad, o para cumplir una obligación legal.

Supresión. Core Suite no suprime el expediente antes de ese plazo, aunque usted lo solicite, salvo que acredite que la ley lo permite. Al concluir el plazo, Core Suite se lo informa al correo de su cuenta con al menos 30 días naturales de anticipación para que, si lo desea, solicite una exportación. Después suprime los datos de forma segura, incluidos los respaldos en su ciclo normal, salvo que una ley exija conservarlos por más tiempo. A solicitud suya, le entrega una constancia de la supresión.

• Una vez al año, o cuando ocurra una vulneración, usted puede solicitar por escrito información sobre las medidas de este anexo. Core Suite responde en un plazo de 30 días naturales con un cuestionario contestado y un resumen de sus medidas de seguridad.
• Si usted requiere una revisión directa, debe acordarla con Core Suite con al menos 30 días naturales de aviso, a su costo, con obligación de confidencialidad y sin acceso a información de otros consultorios.
• Core Suite colabora con usted ante la Secretaría Anticorrupción y Buen Gobierno, la Secretaría de Salud o cualquier autoridad que revise el tratamiento de los datos de sus pacientes.

• Usted responde por la licitud de la obtención de los datos de sus pacientes, por su aviso de privacidad, por los consentimientos, por la información que usted y su personal capturan y por sus instrucciones.
• Core Suite responde por tratar los datos conforme a este anexo y a la Ley. Si los utiliza para otra finalidad o los comunica en contra de sus instrucciones, responde como responsable de ese tratamiento.
• Cada parte responde por los daños que cause por incumplir este anexo. Se aplican los límites de los Términos, salvo dolo, culpa grave, vulneraciones de datos atribuibles a Core Suite o cuando la ley no permita limitarla.

Core Suite publica cada versión de este anexo con su número y su fecha de vigencia en coresuite.mx/legal. Si una modificación requiere nueva aceptación, Core Suite se lo informa por correo al menos 30 días naturales antes, con un resumen de los cambios. A partir de su vigencia, CoreDoc solicita su aceptación para continuar utilizándolo. Si usted no la acepta, puede solicitar la exportación de sus datos, cancelar su Plan o cerrar su consultorio desde Mi cuenta.

Este anexo se rige por las leyes federales de los Estados Unidos Mexicanos, en especial la Ley, la Ley General de Salud, la NOM-004-SSA3-2012 y la NOM-024-SSA3-2012. Para cualquier controversia, las partes se someten a los tribunales competentes de Mérida, Yucatán, y renuncian a cualquier otro fuero que pudiera corresponderles.

Departamento de Datos Personales de Core Suite

• Correo: privacidad@coresuite.mx
• Teléfono: +52 999 102 0534
• Domicilio: Calle 72C número 499, Cerrada Lluvia de Oro, entre Calle 13J, Colonia Gran Santa Fe, Mérida, Yucatán, C.P. 97314

Para consultas sobre el uso de CoreDoc: soporte@coresuite.mx.