1. Identidad y domicilio del responsable
DIARY, con domicilio en los Estados Unidos Mexicanos, es el responsable del tratamiento de los datos personales que recabe a través de su plataforma diary-cloud.com (el "Servicio").
Cualquier consulta o solicitud relacionada con este Aviso puede dirigirse a hola@diary-cloud.com.
2. Quién es responsable de los datos de los pacientes
DIARY ofrece un software de gestión clínica para que las clínicas y profesionales de la salud administren información de sus pacientes. Respecto a los datos de los pacientes:
- La clínica o profesional de la salud que usa DIARY es el responsable del tratamiento de los datos de sus pacientes.
- DIARY actúa como encargado del tratamiento únicamente, y procesa los datos siguiendo las instrucciones del responsable.
Los pacientes deben contactar a su clínica para ejercer derechos sobre sus datos personales. DIARY no contacta directamente a los pacientes ni los usa para fines propios.
3. Datos personales que recabamos
Los datos personales que DIARY recaba directamente de sus usuarios (clínicas, doctores, recepcionistas, administradores) son:
- Identificación: nombre completo, correo electrónico, teléfono.
- Acceso: contraseña (almacenada con hash bcrypt — nunca en texto plano).
- Profesionales: cédula profesional, especialidad médica (si aplica).
- Facturación: RFC, razón social, dirección fiscal y datos de pago. Los datos de tarjeta NO se almacenan en servidores de DIARY; los procesa directamente Stripe.
- Técnicos: dirección IP, identificador de sesión, registros de acceso para fines de seguridad y auditoría.
Los datos personales de pacientes que los usuarios carguen al Servicio (nombre, fecha de nacimiento, teléfono, dirección, historia clínica, diagnósticos, estudios de imagen, etc.) son tratados como encargado bajo las instrucciones del responsable (la clínica). Estos datos incluyen datos personales sensibles relacionados con la salud.
4. Finalidades del tratamiento
4.1 Finalidades primarias
Tus datos se tratan con las siguientes finalidades necesarias para operar el Servicio:
- Crear y administrar tu cuenta y la de tu clínica.
- Proveer las funciones del Servicio (agenda, expedientes, recetas, etc.).
- Procesar pagos y emitir comprobantes.
- Enviar comunicaciones operativas (verificación de email, recuperación de contraseña, notificaciones del sistema).
- Atender consultas de soporte técnico.
- Cumplir con obligaciones legales y fiscales aplicables.
- Mantener la seguridad, detectar fraude e investigar abuso del Servicio.
4.2 Finalidades secundarias
De forma adicional y opcional, podemos usar tus datos para:
- Enviarte información comercial sobre nuevas funcionalidades, promociones o eventos.
- Realizar encuestas de satisfacción y solicitar testimonios.
Puedes oponerte a estas finalidades secundarias en cualquier momento enviando un correo a hola@diary-cloud.com. La negativa no afecta tu acceso al Servicio.
5. Datos personales sensibles
Los datos de salud de los pacientes son considerados sensibles bajo la LFPDPPP. Su tratamiento requiere el consentimiento expreso del paciente, el cual es responsabilidad de la clínica obtener. DIARY implementa medidas reforzadas para proteger estos datos:
- Aislamiento estricto entre clínicas (multi-tenant).
- Cifrado en tránsito (TLS 1.2+) y en reposo.
- Acceso restringido por permisos granulares y bitácora de auditoría (NOM-024).
- Almacenamiento privado de estudios de imagen con URLs firmadas de corta vigencia.
6. Transferencias a terceros
Para proveer el Servicio, transferimos datos personales a los siguientes proveedores, quienes se comprometen contractualmente a tratarlos conforme a este Aviso y la legislación aplicable:
- Google Cloud (Google LLC, EE.UU.) — infraestructura de cómputo, base de datos y almacenamiento. Los datos residen en la región us-central1.
- Stripe Payments (Stripe Inc., EE.UU.) — procesamiento de pagos con tarjeta. Solo recibe la información necesaria para procesar la transacción.
- Resend (Resend.com, EE.UU.) — envío de correos electrónicos transaccionales (verificación, recuperación, etc.).
- Deepgram y Google AI — transcripción de voz y resumen de consultas clínicas, únicamente cuando el usuario activa estas funciones.
No vendemos, alquilamos ni comercializamos datos personales a terceros para fines distintos a los descritos.
7. Derechos ARCO
Como titular de datos personales, tienes derecho a:
- Acceder a tus datos personales que estén en nuestra posesión.
- Rectificar datos inexactos o incompletos.
- Cancelar el uso de tus datos cuando no estén siendo utilizados conforme a este Aviso.
- Oponerte al tratamiento para fines específicos.
Para ejercer cualquiera de estos derechos, envía una solicitud a hola@diary-cloud.com incluyendo:
- Tu nombre completo y correo registrado.
- El derecho que deseas ejercer y los datos sobre los que aplica.
- Documento que acredite tu identidad (INE o equivalente).
Responderemos a tu solicitud en un plazo no mayor a veinte (20) días hábiles desde su recepción.
8. Revocación del consentimiento
Puedes revocar tu consentimiento al tratamiento de datos en cualquier momento. Sin embargo, la revocación podría implicar la imposibilidad de continuar usando el Servicio. Para revocar, envía una solicitud a hola@diary-cloud.com.
9. Conservación de datos
Conservamos tus datos personales mientras tu cuenta esté activa y por un periodo adicional razonable después de la cancelación para cumplir con obligaciones legales y fiscales. Los expedientes clínicos sujetos a la NOM-024-SSA3-2012 se conservan por al menos cinco (5) años desde la última atención, salvo instrucciones distintas del responsable (la clínica).
10. Cookies y tecnologías similares
El Servicio utiliza cookies estrictamente necesarias para mantener tu sesión iniciada. No usamos cookies de publicidad ni de rastreo de terceros. Si en el futuro incorporamos analíticas, actualizaremos este Aviso y solicitaremos tu consentimiento donde sea exigible.
11. Seguridad
Implementamos medidas administrativas, técnicas y físicas razonables para proteger los datos personales contra accesos no autorizados, alteración, divulgación o destrucción. Sin embargo, ninguna transmisión por Internet o sistema de almacenamiento puede garantizarse como 100% seguro.
En caso de una vulneración de seguridad que afecte significativamente tus derechos, te notificaremos sin demora indebida, conforme a la legislación aplicable.
12. Menores de edad
El Servicio está dirigido a profesionales de la salud mayores de edad. No recabamos conscientemente datos directamente de menores. Los datos clínicos de pacientes menores son responsabilidad de la clínica que los carga.
13. Cambios al Aviso
DIARY puede actualizar este Aviso de Privacidad. Los cambios materiales se notificarán por correo a la dirección registrada y/o mediante aviso visible en la plataforma. La fecha de "última actualización" al inicio de este documento indica cuándo se hizo la última revisión.
14. Autoridad reguladora
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI): home.inai.org.mx.