Aviso de privacidad de CoreDoc

CoreDoc es una aplicación de gestión clínica de Core Suite S.A.S. («Core Suite»), con RFC CSU260324P42 y domicilio para oír y recibir notificaciones en Calle 72C número 499, Cerrada Lluvia de Oro, entre Calle 13J, Colonia Gran Santa Fe, Mérida, Yucatán, C.P. 97314, México.

El Departamento de Datos Personales de Core Suite atiende todos los asuntos relacionados con datos personales: privacidad@coresuite.mx y +52 999 102 0534.

En CoreDoc existen dos tipos de datos, con responsables distintos:

• Datos de las personas usuarias de CoreDoc: la persona dueña del consultorio, profesionales de la salud y el personal del consultorio. Respecto de estos datos, Core Suite es responsable.
• Datos de pacientes: respecto de estos datos, el responsable es el consultorio, es decir, quien presta la atención: profesional de la salud o clínica. Core Suite es encargado: los trata únicamente por cuenta del consultorio y conforme a sus instrucciones.

Este aviso complementa el Aviso de privacidad de Core Suite, que rige la cuenta CoreSuite, el inicio de sesión, los pagos y las facturas. En lo no previsto en este aviso, se aplica aquel.

• De la cuenta CoreSuite, al ingresar a CoreDoc: identificador, nombre, correo, idioma y tema.
• Rol en cada consultorio: profesional de la salud, recepción u otro que defina el consultorio, y sus permisos.
• Datos profesionales, en el caso de profesionales de la salud: cédula profesional y especialidad, que CoreDoc solicita para activar ese rol, y la institución, dirección y teléfono que aparecen en las recetas, solicitudes de estudios e indicaciones que emiten.
• Actividad: la bitácora de quién consulta o modifica el expediente clínico y las consultas, con fecha y hora, y los registros técnicos para diagnóstico y seguridad.
• Datos del consultorio: su nombre, sus sedes, su nombre para avisos, dirección, teléfono, correo y logotipo, y el número de personas usuarias, profesionales y sedes activos. Pueden ser datos personales cuando el consultorio lleva el nombre de una persona o utiliza sus datos de contacto.
• Comunicaciones: lo que la persona usuaria escriba a Soporte.

Core Suite no solicita datos personales sensibles de las personas usuarias.

Core Suite utiliza estos datos para las siguientes finalidades necesarias para prestar CoreDoc:

1. Dar acceso a CoreDoc con la cuenta CoreSuite y aplicar los permisos de cada rol.
2. Activar el rol de profesional de la salud y mostrar sus datos profesionales en los documentos que emite, conforme a la normativa sanitaria.
3. Registrar quién consulta o modifica el expediente clínico y cuándo, conforme a la NOM-004-SSA3-2012 y a la NOM-024-SSA3-2012.
4. Mostrar la marca del consultorio a sus pacientes en los mensajes, los documentos y el portal de autofactura.
5. Informar a CoreSuite el nombre del consultorio y el número de personas usuarias, profesionales y sedes activos, para aplicar su Plan y sus límites.
6. Enviar los avisos del servicio dentro de CoreDoc y por correo: invitaciones, cambios de rol, Saldo y avisos no enviados.
7. Brindar soporte, proteger el servicio, diagnosticar fallas y cumplir obligaciones legales.

Core Suite no utiliza los datos de las personas usuarias de CoreDoc para finalidades no necesarias. Las comunicaciones comerciales de Core Suite, como el boletín o el correo semanal del Plan Gratis, se describen en el aviso general y cuentan con su propio mecanismo de baja.

Cada consultorio decide qué datos de sus pacientes registra en CoreDoc, con qué finalidad y por cuánto tiempo. Pueden ser:

• identificación y contacto: nombre, fecha de nacimiento, edad, sexo, CURP, domicilio, celular y correo, y aseguradora y número de póliza si hay seguro médico;
• datos personales sensibles de salud: historia clínica, diagnósticos, padecimientos, tratamientos, recetas, resultados de estudios, notas de evolución, archivos e imágenes y el resto del expediente clínico electrónico;
• sus consentimientos y sus preferencias de contacto;
• los datos de quien representa a una persona menor de edad o que no puede decidir por sí misma;
• datos fiscales, si se solicita factura.

Core Suite trata estos datos únicamente para prestar CoreDoc al consultorio: almacenar y mostrar el expediente, la agenda y las citas; enviar los avisos que el consultorio configura; generar sus documentos; timbrar las facturas que el consultorio emite a sus pacientes y operar el portal de autofactura; realizar respaldos; proteger la información; y brindar soporte cuando el consultorio lo solicita.

Core Suite no:

• utiliza los datos de pacientes para fines propios;
• los vende ni los renta;
• los utiliza para publicidad ni para elaborar perfiles;
• los comunica, salvo a los proveedores de la sección 8 o por requerimiento de una autoridad competente;
• es titular del expediente: el expediente pertenece a quien presta el servicio de salud y lo genera (NOM-004-SSA3-2012, numeral 5.4).

Para aplicar el Plan y proporcionar al consultorio sus resúmenes, CoreDoc solo envía a CoreSuite conteos sin datos de pacientes, como el número de citas de la semana.

Las condiciones de este encargo constan en el Anexo de encargado de datos de CoreDoc, que la persona dueña del consultorio acepta al darlo de alta.

El consultorio, en su carácter de responsable, debe entregar a sus pacientes su propio aviso de privacidad y obtener su consentimiento expreso y por escrito para tratar sus datos de salud (artículo 8 de la LFPDPPP). En el caso de pacientes menores de edad, lo otorga quien ejerce la patria potestad o la tutela.

Core Suite pone a disposición una plantilla de aviso de privacidad para pacientes que el consultorio completa con sus datos.

CoreDoc permite registrar el consentimiento de cada paciente, firmado en el consultorio, otorgado al tocar «Acepto» en el mensaje de WhatsApp que recibe con el enlace al aviso u otorgado en la página de un enlace personal, y conserva la evidencia: fecha, hora, versión del aviso y medio. Core Suite no sustituye al consultorio en esta obligación.

Este consentimiento para datos personales es distinto de las cartas de consentimiento informado que exige la NOM-004 para procedimientos médicos.

El consultorio decide qué avisos envía a sus pacientes (confirmaciones y recordatorios de citas, cambios de cita, indicaciones y seguimiento) y por qué medio: WhatsApp, SMS o correo.

• Solo se utiliza un medio que cada paciente haya aceptado. Si un medio no está aceptado o el mensaje no se entrega, CoreDoc utiliza el siguiente en este orden: WhatsApp, SMS y correo. Nunca utiliza un medio no aceptado.
• Los mensajes se envían a nombre del consultorio, con su nombre para avisos si lo tiene, «vía CoreDoc». Por WhatsApp se envían desde el número de CoreDoc, con plantillas aprobadas por Meta.
• El texto de los mensajes no contiene datos de salud: solo el nombre del consultorio (o su nombre para avisos), la fecha, la hora, el lugar y, cuando se requiere, un enlace. No incluye el nombre de quien atiende ni datos que revelen la especialidad, salvo que el consultorio lo decida.
• Las indicaciones médicas se entregan mediante un enlace que solicita la fecha de nacimiento para abrirse o, por WhatsApp, como documento PDF. El diagnóstico solo se incluye si quien emite las indicaciones lo marca. Por SMS nunca se envían datos de salud, solo el enlace.
• Abrir un enlace no se considera una respuesta: confirmar o cancelar requiere una acción expresa.
• Cada paciente puede solicitar al consultorio, en cualquier momento, dejar de recibir mensajes por un medio. El consultorio lo registra en CoreDoc.

Los pacientes de un consultorio que utiliza CoreDoc ejercen sus derechos de acceso, rectificación, cancelación y oposición, y la revocación de su consentimiento, ante su consultorio, que es el responsable de sus datos.

Si un paciente escribe a privacidad@coresuite.mx, Core Suite le indica quién es el responsable y hace llegar su solicitud al consultorio sin demora, en el plazo que fija el anexo de encargado. Core Suite no responde por cuenta propia: proporciona al consultorio las herramientas para consultar, corregir y exportar los datos.

El expediente clínico no puede cancelarse mientras deba conservarse: al menos 5 años desde el último acto médico (NOM-004-SSA3-2012, numeral 5.4; artículo 25 de la LFPDPPP).

Core Suite se apoya en los siguientes proveedores, que tratan datos únicamente por cuenta de Core Suite, con contrato y conforme a sus instrucciones. La lista completa y el procedimiento para informar cambios constan en el anexo de encargado.

A los proveedores de mensajes solo llegan el nombre y el contacto de cada paciente, los datos de la cita, el nombre del consultorio y los enlaces, salvo el PDF de indicaciones enviado por WhatsApp.

El ambiente de pruebas de Core Suite se ubica en Estados Unidos y no se utiliza con datos de clientes ni de pacientes.

CoreDoc protege el expediente clínico con las siguientes medidas:

• ingreso únicamente con cuenta CoreSuite: contraseña con reglas mínimas y verificación en dos pasos disponible, recomendada a las personas dueñas de un consultorio;
• roles y permisos: cada persona accede solo a lo que su rol permite;
• bitácora de accesos y cambios al expediente;
• conexión cifrada y datos cifrados en reposo;
• bases de datos en red privada, sin acceso directo desde internet;
• respaldos automáticos que permiten restaurar la información;
• acceso de Soporte solo cuando es necesario, con registro.

CoreDoc está diseñado conforme a la NOM-024-SSA3-2012.

Si ocurre una vulneración de seguridad que afecte datos de pacientes, Core Suite lo informa al consultorio sin demora, para que este pueda informar de inmediato a sus pacientes. Si afecta datos de las personas usuarias, Core Suite les informa directamente.

• Expediente clínico: el plazo lo determina el consultorio, con un mínimo de 5 años desde el último acto médico (NOM-004-SSA3-2012). Core Suite lo conserva mientras el consultorio utilice CoreDoc.
• Cancelación, pago no aprobado, solo lectura o Plan Gratis: no se borran datos.
• Cierre del consultorio: antes del cierre, la persona dueña puede solicitar la exportación de sus datos, que Soporte entrega en 5 días hábiles. Después del cierre, nadie puede ingresar al consultorio. Los datos de pacientes se conservan bloqueados y sin costo durante al menos 5 años contados desde el cierre, lo que cubre los 5 años desde el último acto médico que exige la NOM-004-SSA3-2012. Durante ese tiempo, Core Suite solo accede a ellos para entregar una exportación a la persona dueña del consultorio, o a quien acredite su derecho, una vez acreditada su identidad, o para cumplir una obligación legal. Su supresión posterior se rige por el anexo de encargado.
• Personas usuarias: el rol y los datos profesionales se conservan mientras la persona usuaria tenga acceso al consultorio. Los que ya aparecen en documentos emitidos se conservan con el expediente. La bitácora se conserva 5 años.

Las personas usuarias de CoreDoc ejercen sus derechos de acceso, rectificación, cancelación y oposición, y la revocación de su consentimiento, mediante solicitud a privacidad@coresuite.mx, con los requisitos y plazos del aviso general: respuesta en un máximo de 20 días hábiles y, si procede, aplicación dentro de los 15 días hábiles siguientes. Cada plazo puede ampliarse una sola vez por un periodo igual.

Límites propios de CoreDoc:

• Los datos profesionales que ya aparecen en recetas, solicitudes o indicaciones emitidas no se modifican, porque forman parte del expediente.
• La bitácora de accesos no se borra mientras deba conservarse.
• Retirar o restablecer el acceso a un consultorio corresponde al consultorio.

La revocación del consentimiento para una finalidad necesaria impide continuar utilizando CoreDoc.

Core Suite no utiliza los datos de las personas usuarias de CoreDoc para finalidades no necesarias. Para limitar el uso o la divulgación de sus datos, la persona usuaria cuenta con los medios de la sección 14 del Aviso de privacidad de Core Suite:

• darse de baja de las comunicaciones comerciales mediante el enlace de cada correo o desde Mi cuenta;
• solicitar a privacidad@coresuite.mx la inscripción de su correo en el listado de exclusión de Core Suite;
• configurar su navegador para bloquear cookies (sección 14 de este aviso).

Personas usuarias. El consultorio y su equipo pueden ver el nombre, el rol y los datos profesionales de cada persona usuaria, y sus pacientes ven los datos profesionales en los documentos que esta emite, como parte del servicio. Core Suite también comunica datos a autoridades competentes cuando lo requieran conforme a la ley. No realiza otras transferencias.

Pacientes. Core Suite no transfiere datos de pacientes. Si el consultorio los comparte, por ejemplo con un laboratorio, la decisión y la comunicación corresponden al consultorio. Si una autoridad solicita datos de pacientes a Core Suite, esta lo informa al consultorio, salvo que la ley lo prohíba.

CoreDoc (app.coredoc.mx) y las páginas a las que los pacientes acceden mediante un enlace, como las de confirmación de citas, consulta de indicaciones o solicitud de factura, solo utilizan cookies y almacenamiento del navegador técnicamente necesarios para:

• mantener la sesión iniciada en CoreDoc e impedir que terceros envíen acciones en nombre de la persona usuaria;
• proteger el servicio contra ataques y bots, mediante las cookies de seguridad de Cloudflare;
• recordar el idioma y el tema elegidos.

Core Suite no utiliza cookies de publicidad, píxeles de redes sociales, grabadores de sesión ni rastreo entre sitios. Por tratarse de cookies necesarias, no se solicita su aceptación en un aviso emergente. Pueden borrarse o bloquearse desde el navegador; sin ellas no es posible iniciar sesión en CoreDoc ni abrir algunos enlaces. El detalle de las cookies de CoreAccount y de Cloudflare consta en la sección 9 del Aviso de privacidad de Core Suite.

Core Suite publica cada versión de este aviso en coresuite.mx/legal, con su número, su fecha de vigencia y un resumen. Las versiones anteriores permanecen disponibles. Si un cambio afecta de forma relevante a las personas usuarias, Core Suite lo informa por correo al menos 30 días antes de su vigencia.

Este aviso no requiere una aceptación independiente. La cuenta de cada persona usuaria ya aceptó el aviso general, y este detalla lo propio de CoreDoc.

Quien considere que su derecho a la protección de sus datos personales fue lesionado puede acudir a la Secretaría Anticorrupción y Buen Gobierno (SABG), Unidad de Protección de Datos Personales, Dirección General de Datos Personales en el Sector Privado: Avenida Insurgentes Sur 1735, Colonia Guadalupe Inn, Alcaldía Álvaro Obregón, C.P. 01020, Ciudad de México; updp.privado@buengobierno.gob.mx; 55 2000 3000. Los pacientes acuden primero a su consultorio y también pueden acudir a la SABG.