AvalIA OSAcceso controlado

Aviso de privacidad integral

Versión 2026-09-23 · Alcance: acceso controlado.

Este aviso se interpreta conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) vigente y disposiciones aplicables. La autoridad indicada en la ley es la Secretaría Anticorrupción y Buen Gobierno; no se presenta al INAI como autoridad actual ni se afirma aprobación del aviso.

1. Responsable del tratamiento

El responsable de los datos de usuarios profesionales, solicitudes de acceso, seguridad, soporte y contratación es:

Los datos de identidad y contacto anteriores fueron confirmados por el titular el 23 de septiembre de 2026. Las solicitudes de privacidad se reciben en privacidad@avaliaos.com y se atienden conforme al procedimiento de derechos ARCO descrito en este aviso.

AvalIA OS es una plataforma SaaS operativa para consultorios médicos. El operador es responsable de los datos mínimos de cuenta profesional, seguridad, soporte y contratación. Respecto de la información de pacientes cargada por una organización, el consultorio actúa como responsable y AvalIA como encargado tecnológico: la procesa únicamente para prestar las funciones instruidas, conforme al acuerdo de tratamiento de datos, y no la utiliza para fines propios, publicidad ni venta.

Activación por organización: la descripción de funciones con datos de pacientes no autoriza por sí misma su carga. Se requiere el acuerdo de tratamiento aceptado y aprobado, base jurídica documentada y habilitación expresa. Mientras no se cumplan estas condiciones, las pruebas deben utilizar datos sintéticos. Los datos administrativos pueden revelar salud por su contexto; cuando proceda, el consultorio debe obtener consentimiento expreso y por escrito o documentar la excepción legal aplicable.

2. Datos personales recabados

AvalIA OS recaba los siguientes datos personales, necesarios para la prestación del servicio:

AvalIA OS no solicita expedientes clínicos. En la carga de pacientes se prohíben diagnósticos, síntomas, notas médicas, estudios, recetas, imágenes clínicas, biometría, números oficiales, información bancaria ni campos libres con información clínica innecesaria. La carga debe limitarse a los datos administrativos mínimos autorizados por el consultorio y sólo procede cuando la organización esté expresamente habilitada. Durante pruebas sin esa habilitación se usan datos sintéticos.

3. Finalidades del tratamiento

Finalidades primarias (necesarias para el servicio)

Finalidades secundarias (optativas)

Las finalidades secundarias no son necesarias para el servicio. Puede oponerse a su tratamiento sin afectar la prestación del servicio contactando a privacidad@avaliaos.com.

El análisis para fines propios, las encuestas y las comunicaciones opcionales se limitan a datos de usuarios profesionales. Esta sección no autoriza reutilizar datos de pacientes. Puede rechazar estas finalidades desde el inicio o posteriormente por el canal de privacidad.

4. Proveedores, encargados y transferencias de datos

El acceso de proveedores que tratan datos por instrucciones de AvalIA se documentará como tratamiento por encargo. Las comunicaciones a terceros que actúen para finalidades propias se evaluarán como transferencias; cuando requieran consentimiento, se informarán destinatario, finalidad y opción de aceptación antes de realizarlas. Aceptar este aviso o conectar una cuenta no autoriza transferencias indeterminadas.

AvalIA utiliza proveedores tecnológicos para prestar infraestructura, seguridad, pagos, comunicaciones, analítica e integraciones. Cada proveedor recibe únicamente el alcance necesario para su función y queda sujeto a la configuración y autorización aplicables.

Algunos proveedores pueden procesar información fuera de México. La organización debe contar con la base jurídica y los consentimientos aplicables antes de usar canales de contacto. Los secretos y credenciales permanecen en servidor y no se entregan al navegador como credenciales de las integraciones. Los datos de pacientes no se usan para publicidad propia ni se venden.

Acceso con Google e integraciones separadas

El acceso con Google sólo verifica la identidad. Los permisos para Analytics, Ads, Calendar, Search Console o Business Profile se solicitan por separado al conectar la función correspondiente. Se conservan identificadores de cuentas o activos, tokens de autorización protegidos y los resultados necesarios para mostrar la función solicitada. Los tokens de las integraciones no se exponen al navegador. Calendar limita la información enviada al proveedor a los datos de agenda necesarios; no deben enviarse diagnósticos ni notas clínicas. Antes de su uso deben informarse los datos consultados o modificados, su finalidad, almacenamiento, destinatarios y eliminación. La lista anterior no acredita que todos esos productos estén habilitados.

Se puede revocar el acceso desde las conexiones de la cuenta de Google en myaccount.google.com/connections. Revocar detiene el acceso futuro autorizado por esa conexión, pero no elimina automáticamente la cuenta ni los registros previamente conservados en AvalIA; su eliminación se solicita por el procedimiento ARCO o de cierre de cuenta. Debe conservarse un medio alternativo de acceso antes de desvincular la identidad utilizada para iniciar sesión.

Los datos de Google se destinan a las funciones solicitadas; no se venden ni se destinan a publicidad comportamental o entrenamiento general de modelos. La habilitación de funciones con permisos sujetos a uso limitado requiere verificar el cumplimiento de la Política de Datos de Usuario de los Servicios de API de Google y de la política específica del producto. No se declara cumplimiento técnico de una integración pendiente de validar.

5. Conservación de datos

Los datos se conservan mientras sean necesarios para prestar el servicio. La solicitud de cierre completo de la organización inicia siete días de gracia y después requiere confirmación reforzada o atención asistida; el borrado no es automático al séptimo día. Las copias de recuperación tienen un máximo propuesto de hasta 30 días, pendiente de prueba. La política de retención describe categorías, plazos y excepciones.

La documentación fiscal se sujeta al plazo legal aplicable (cinco años conforme al supuesto fiscal y sus excepciones). La auditoría y seguridad tienen un máximo propuesto de hasta 12 meses, pendiente de tarea de purga, logs de proveedor y evidencia.

6. Medidas de seguridad

AvalIA OS implementa las siguientes medidas de seguridad técnicas, físicas y administrativas:

7. Ejercicio de los derechos ARCO

Usted tiene derecho a ejercer los derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO), así como los derechos de limitación del uso y revocación del consentimiento. Para ejercerlos:

La determinación se comunicará dentro de un máximo de 20 días hábiles y, cuando resulte procedente, se hará efectiva dentro de los 15 días hábiles siguientes. Los plazos pueden ampliarse una sola vez cuando exista justificación.

El Centro de Control dentro de la plataforma permite consultar, corregir y exportar la información de su organización directamente. También puede solicitar eliminación y cancelar la cuenta.

Representación, rectificación y respuesta

La solicitud puede presentarla la persona titular o su representante, acreditando identidad y representación mediante un canal seguro que se indicará en respuesta. Para rectificar datos, señale la corrección y aporte los documentos que la sustenten. Solicitar acceso a sus datos no exige conocer de antemano cada registro. El ejercicio de derechos es gratuito, sin perjuicio de los gastos permitidos por ley para reproducción o envío.

Para revocar consentimiento o limitar usos opcionales, escriba al mismo correo indicando el uso que desea detener y un medio de respuesta. La revocación no tiene efectos retroactivos y se tramita por este mismo procedimiento, informando el resultado; no impide conservar lo exigido por una obligación legal; se informarán las consecuencias sobre las funciones que dependan de ese tratamiento. La analítica opcional puede rechazarse desde “Preferencias de analítica”.

Los derechos sobre datos de pacientes corresponden a cada paciente o representante, aunque no tenga cuenta. El consultorio es responsable de atenderlos y AvalIA le presta asistencia técnica como encargado. La restricción de borrado completo de una organización a su propietario no limita esos derechos individuales. Si recibe una solicitud relativa a un consultorio, AvalIA orientará sobre el responsable y coordinará su atención sin revelar datos de terceros.

Ante falta de respuesta o desacuerdo, la persona titular puede acudir al procedimiento de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno, conforme a la legislación aplicable.

Menores e incidentes

La plataforma está dirigida a usuarios profesionales adultos. El eventual tratamiento de datos de pacientes menores requiere la representación y base jurídica aplicables, además de la habilitación de la organización. No se permite crear cuentas profesionales a nombre de menores para eludir estos controles.

Las vulneraciones que afecten significativamente derechos patrimoniales o morales se comunicarán de forma inmediata a las personas titulares conforme a la ley. Cuando AvalIA actúe como encargado, avisará sin demora indebida al consultorio y le prestará asistencia para atender el incidente.

8. Automatización y decisiones humanas

La aplicación puede priorizar oportunidades y proponer contenido o acciones operativas, pero no toma decisiones clínicas ni sustituye a profesionales de la salud. Las publicaciones, campañas y mensajes que puedan afectar a personas requieren autorización humana conforme al rol y al flujo aplicable.

9. Cambios al aviso de privacidad

Este aviso de privacidad puede actualizarse. Un cambio material generará una nueva versión y se comunicará dentro de la cuenta y por correo cuando el canal esté activo. Los nuevos registros recibirán la versión vigente; cuando el cambio requiera nuevo consentimiento, éste deberá obtenerse antes de aplicar el nuevo tratamiento. La publicación del texto no sustituye ese consentimiento.

10. Contacto

Para cualquier duda, solicitud o ejercicio de derechos relativos a este aviso de privacidad:

La recepción de privacidad@avaliaos.com fue comprobada por el titular y confirmada el 23 de septiembre de 2026.