Política de Privacidad

1 Responsable del tratamiento

Kardia (en adelante, "Kardia", "nosotros") es la plataforma responsable del tratamiento de los datos personales descritos en este aviso, en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ("LFPDPPP") y su Reglamento.

Para cualquier asunto relacionado con este aviso o con el tratamiento de tus datos, puedes contactarnos en contacto@kardia.mx.

2 Nuestro doble rol: responsable y encargado

Para entender este aviso es esencial distinguir dos tipos de datos que fluyen por la Plataforma:

2.1 Datos de los usuarios (profesionales de la salud y su personal)

Respecto de los datos de quienes crean y operan una cuenta en Kardia, actuamos como responsables del tratamiento: decidimos cómo y para qué se tratan, conforme a este aviso.

2.2 Datos de pacientes

Respecto de los datos personales de los pacientes que los profesionales registran en la Plataforma (incluidos datos de salud), Kardia actúa exclusivamente como encargado del tratamiento: los tratamos por cuenta, bajo instrucciones y bajo la responsabilidad del profesional de la salud, quien es el responsable frente a sus pacientes.

3 Datos que recopilamos

Recabamos únicamente los datos necesarios para las finalidades descritas en este aviso (principio de minimización).

4 Datos sensibles de salud

La información clínica de pacientes constituye datos personales sensibles conforme a la LFPDPPP. Su tratamiento en la Plataforma se realiza:

• Exclusivamente por instrucción y bajo la responsabilidad del profesional de la salud que la registra, quien debe contar con el consentimiento expreso de sus pacientes cuando la ley lo exija.
• Con medidas de seguridad reforzadas, incluyendo cifrado en tránsito y en reposo, controles de acceso por roles y registros de auditoría.
• Sin utilizarla jamás para publicidad, perfilado comercial ni venta a terceros.
• Sin que el personal de Kardia acceda a ella, salvo lo estrictamente indispensable para soporte técnico solicitado por el usuario, mantenimiento de la Plataforma o mandato legal, siempre bajo obligaciones de confidencialidad.

5 Finalidades del tratamiento

5.1 Finalidades primarias (necesarias para el servicio)

• Crear y administrar tu cuenta, autenticar tu identidad y gestionar permisos de tu equipo.
• Proveer las funciones del Servicio: agenda, gestión de pacientes, expedientes, notas asistidas por IA, recordatorios y confirmaciones automáticas.
• Procesar pagos, emitir comprobantes y gestionar la facturación.
• Enviar comunicaciones operativas y de servicio (avisos de seguridad, cambios de términos, estado de la cuenta).
• Brindar soporte técnico y atender solicitudes.
• Mantener la seguridad del Servicio, prevenir fraudes y abusos, y cumplir obligaciones legales.

5.2 Finalidades secundarias (opcionales)

• Enviarte novedades, promociones y comunicaciones de marketing sobre Kardia.
• Elaborar estadísticas y análisis internos con datos agregados o anonimizados para mejorar el producto.

Puedes oponerte a las finalidades secundarias en cualquier momento escribiendo a contacto@kardia.mx o usando el enlace de baja incluido en nuestros correos, sin que ello afecte la prestación del Servicio.

6 Base legal y consentimiento

Tratamos tus datos con fundamento en:

• La relación contractual derivada de la aceptación de los Términos y Condiciones y la prestación del Servicio.
• Tu consentimiento, que se entiende otorgado al proporcionar tus datos y usar el Servicio, y que puede ser expreso cuando la ley lo requiera.
• El cumplimiento de obligaciones legales aplicables a Kardia (fiscales, mercantiles, de protección de datos).
• Nuestro interés legítimo en mantener la seguridad, prevenir fraudes y mejorar el Servicio, sin vulnerar tus derechos.

Puedes revocar tu consentimiento en cualquier momento conforme a la sección 11; la revocación no tendrá efectos retroactivos y puede implicar la imposibilidad de seguir prestándote el Servicio.

7 Transferencias y encargados

7.1 Proveedores (encargados y subencargados)

Para operar el Servicio utilizamos proveedores que tratan datos por nuestra cuenta, bajo contratos que les obligan a la confidencialidad y a usar los datos solo para el servicio contratado:

• Infraestructura y alojamiento en la nube (servidores y almacenamiento de bases de datos).
• Stripe — procesamiento de pagos.
• Meta/WhatsApp, proveedores de SMS y de correo — envío de recordatorios y notificaciones configurados por el usuario.
• Google y Apple — sincronización de calendario, cuando el usuario conecta su cuenta.
• Zoom — creación de enlaces de videollamada para teleconsultas, cuando el usuario conecta su cuenta. La videollamada en sí ocurre en la plataforma de Zoom, bajo sus propios términos y aviso de privacidad.
• Proveedores de modelos de IA — procesamiento de las Funciones de IA (ver sección 8).

Algunos proveedores pueden estar ubicados fuera de México; en tales casos exigimos garantías adecuadas de protección equivalentes a las previstas por la LFPDPPP.

7.1.1 Uso de datos de las APIs de Google (Limited Use)

El uso y la transferencia que Kardia hace de la información recibida de las APIs de Google se apega a la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de Uso Limitado (Limited Use). Los datos de Google Calendar se utilizan únicamente para prestar la funcionalidad de sincronización de agenda visible para el usuario. Kardia no utiliza datos crudos, agregados ni derivados obtenidos de las APIs de Google (incluido Google Workspace) para crear, entrenar o mejorar modelos de inteligencia artificial o aprendizaje automático, ya sean generalizados o fundacionales, ni los transfiere o vende a terceros para esos fines.

Kardia's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs is not used to create, train, or improve foundational or generalized machine learning or artificial intelligence models.

7.2 Otras transferencias permitidas

• A autoridades competentes, cuando exista requerimiento legal debidamente fundado y motivado.
• En caso de fusión, adquisición o venta de activos, al adquirente, quien quedará sujeto a este aviso; te lo notificaremos oportunamente.
• Cuando sea necesario para proteger derechos, seguridad o propiedad de Kardia, de los usuarios o de terceros, en los términos permitidos por la ley.

8 Funciones de IA y datos

Cuando utilizas las Funciones de IA (por ejemplo, generación de notas SOAP o la secretaria virtual):

• La información necesaria para generar el resultado se procesa a través de proveedores de modelos de IA bajo acuerdos de confidencialidad y tratamiento de datos.
• Instruimos contractualmente a dichos proveedores a no utilizar tus datos ni los de tus pacientes para entrenar sus modelos.
• Procuramos enviar la mínima información necesaria para cada operación.
• Los resultados generados se almacenan en tu cuenta como parte de tu contenido y quedan bajo tu control.

9 Seguridad de la información

Aplicamos medidas administrativas, técnicas y físicas razonables y proporcionales al riesgo, entre ellas:

• Cifrado de datos en tránsito (HTTPS/TLS) y en reposo.
• Contraseñas almacenadas con algoritmos de hash robustos; nunca en texto plano.
• Control de acceso por roles y permisos granulares para el personal del consultorio.
• Aislamiento lógico de la información de cada cuenta.
• Respaldos periódicos y planes de recuperación.
• Registros de auditoría y monitoreo de accesos.
• Acceso interno restringido bajo el principio de mínimo privilegio y obligaciones de confidencialidad.

10 Conservación y eliminación

• Conservamos tus datos mientras tu cuenta esté activa y durante los plazos necesarios para cumplir obligaciones legales (por ejemplo, fiscales) o para la defensa de reclamaciones.
• Al eliminar tu cuenta, tu información se elimina o anonimiza de nuestros sistemas activos en un plazo razonable, y de los respaldos conforme a sus ciclos de rotación.
• Antes de eliminar tu cuenta puedes solicitar la exportación de tu información. Recuerda que, como profesional de la salud, la normativa aplicable puede obligarte a conservar los expedientes clínicos por plazos determinados (por ejemplo, los previstos en la NOM-004-SSA3-2012); esa obligación es tuya y te recomendamos exportar tu información antes de eliminarla.
• Los datos agregados o anonimizados, que no permiten identificarte, pueden conservarse para fines estadísticos.

11 Tus derechos (ARCO) y cómo ejercerlos

Como titular de datos personales, tienes derecho a:

• Acceso: conocer qué datos tuyos tratamos y las condiciones de su tratamiento.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación: solicitar la eliminación de tus datos cuando proceda.
• Oposición: oponerte al tratamiento para finalidades específicas.
• Revocación del consentimiento y limitación del uso o divulgación de tus datos.
• Portabilidad: obtener una copia de tu información en un formato estructurado y de uso común.

Procedimiento

1. Envía tu solicitud a contacto@kardia.mx indicando tu nombre, el derecho que deseas ejercer y una descripción clara de tu solicitud.
2. Acompaña un medio para acreditar tu identidad (o la de tu representante legal, en su caso).
3. Te responderemos en un plazo máximo de 20 días hábiles y, de ser procedente, la haremos efectiva dentro de los 15 días hábiles siguientes, conforme a la LFPDPPP.

Además, muchas de estas acciones puedes realizarlas directamente desde la configuración de tu cuenta (editar tu perfil, exportar información o eliminar tu cuenta).

12 Cookies y tecnologías similares

Utilizamos cookies y tecnologías equivalentes (como almacenamiento local) para:

• Funcionamiento esencial: mantener tu sesión iniciada, recordar preferencias y garantizar la seguridad. Sin estas, el Servicio no puede operar.
• Rendimiento y análisis: entender de forma agregada cómo se usa la Plataforma para mejorarla.

Puedes configurar tu navegador para bloquear o eliminar cookies; sin embargo, bloquear las esenciales puede impedir el funcionamiento del Servicio. No utilizamos cookies para vender publicidad de terceros.

13 Menores de edad

El Servicio está dirigido exclusivamente a profesionales mayores de 18 años. No creamos cuentas para menores de edad. Los datos de pacientes menores de edad solo deben ser registrados por el profesional de la salud con el consentimiento de quien ejerza la patria potestad o tutela, conforme a la ley, siendo dicho profesional el responsable de obtenerlo.

14 Cambios a esta política

Podemos actualizar este aviso para reflejar cambios legales, técnicos u operativos. Publicaremos la versión vigente en esta página con su fecha de actualización y, cuando los cambios sean sustanciales, te lo notificaremos por correo electrónico o dentro de la Plataforma antes de que surtan efectos. El uso continuado del Servicio tras la entrada en vigor de los cambios constituye tu aceptación.

15 Autoridad de protección de datos

Si consideras que tu derecho a la protección de datos ha sido vulnerado, puedes acudir ante la autoridad garante en materia de protección de datos personales en México (el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, INAI, o la autoridad que lo sustituya), sin perjuicio de contactarnos primero para intentar resolverlo directamente.

16 Contacto

Para cualquier duda sobre esta Política de Privacidad o el tratamiento de tus datos:

• Email: contacto@kardia.mx
• Formulario: kardia.mx/soporte