Contrato de encargo de tratamiento de datos personales

1 · 1. Las partes y cómo se firma

Este contrato es entre la clínica que lo acepta («la responsable») y Tsunami Automation Global LLC, con domicilio en 5900 Balcones Drive STE 100, Austin, TX 78731, United States («la encargada»). Forma parte de los términos para clínicas (/terminos).

La clínica lo celebra al hacer clic en «Acepto» dentro de su cuenta, o al firmarlo. Quien acepta declara que tiene facultades para obligar a la clínica. Si hay una diferencia entre este contrato y los términos sobre datos personales, manda este contrato.

Este texto es un modelo. Un abogado debe revisarlo antes de usarse. No es un acuerdo de HIPAA: la plataforma está pensada para clínicas privadas en México.

Fundamento: Código de Comercio, arts. 89, 89 bis y 93; LFPDPPP (DOF 20-mar-2025), art. 2 fr. XII y XIV

2 · 2. Objeto e instrucciones

La clínica es la responsable de los datos personales de sus pacientes y contactos. La encargada los trata por cuenta de la clínica, solo para dar el servicio de Soluciones para Doctores: agenda, recepcionista con IA, recordatorios, formularios de ingreso, portal del paciente y bandeja de conversaciones.

La encargada trata los datos solo según las instrucciones de la clínica: los términos, este contrato, la configuración de la cuenta y las peticiones por escrito de la clínica. No los usa para fines propios y no los comunica a nadie, salvo a sus subencargados o cuando la ley lo exija.

Si la encargada cree que una instrucción viola la ley, avisa a la clínica. Si una autoridad le pide datos de la clínica, se lo hace saber a la clínica, salvo que la ley lo prohíba. Para los datos propios de la encargada (usuarios de clínicas, visitantes, prospectos, directorio y contactos de facturación), la encargada es la responsable y aplica su aviso de privacidad (/privacidad).

Fundamento: Reglamento de la LFPDPPP (2011), arts. 49 a 55; LFPDPPP (DOF 20-mar-2025), art. 2 fr. XII, art. 13

3 · 3. Confidencialidad del personal

La encargada da acceso a los datos solo a las personas que lo necesitan para dar el servicio. Esas personas están obligadas a guardar confidencialidad, también cuando termina su relación con la encargada.

Fundamento: LFPDPPP (DOF 20-mar-2025), art. 20

4 · 4. Medidas de seguridad

La encargada mantiene medidas de seguridad administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración, destrucción y uso o acceso no autorizado. Esas medidas no son menores que las que usa para su propia información.

Un resumen está en /legal/seguridad y en el Anexo B. La encargada puede actualizar las medidas, pero no puede bajar el nivel de protección en conjunto.

Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; Reglamento de la LFPDPPP (2011), arts. 57 a 62

5 · 5. Subencargados

La clínica da una autorización general y por escrito para que la encargada use subencargados. La lista actual está en /legal/subencargados y en el Anexo C.

• Antes de añadir un subencargado que reciba datos de pacientes, o de cambiar uno, la encargada avisa a la clínica por correo y en la aplicación al menos 30 días naturales antes.
• En ese plazo, la clínica puede oponerse por escrito con razones de protección de datos. Si no se llega a una solución, la clínica puede terminar el servicio sin penalización.
• La encargada exige a cada subencargado obligaciones equivalentes a las de este contrato, por contrato o por los términos de protección de datos de su servicio. La encargada responde ante la clínica por lo que hagan sus subencargados con los datos.

Para redactar respuestas, la recepcionista con IA envía a un proveedor de modelos de lenguaje el texto del mensaje del paciente y hasta 12 turnos anteriores de la conversación. Ese texto puede incluir información de salud. Esto ocurre antes de que las reglas de seguridad decidan la respuesta final. La clínica debe reflejarlo en su aviso de privacidad.

Fundamento: Reglamento de la LFPDPPP (2011), arts. 49 a 55

6 · 6. Hospedaje fuera de México y proveedores internacionales

La aplicación y la base de datos se alojan en Alemania. Algunos subencargados están en Estados Unidos. La encargada tiene su domicilio en Estados Unidos y su personal puede acceder a los datos desde fuera de México.

Según el Reglamento de 2011, el envío de datos del responsable al encargado (remisión), nacional o internacional, no necesita aviso ni consentimiento del titular. Si la clínica entrega datos a un tercero para sus propios fines (por ejemplo, un laboratorio), eso es una transferencia y es responsabilidad de la clínica.

El Reglamento de 2011 cita artículos de la ley anterior. Un abogado debe confirmar su vigencia y cómo se aplica con la ley de 2025.

Fundamento: Reglamento de la LFPDPPP (2011), art. 53; LFPDPPP (DOF 20-mar-2025), arts. 35 y 36

7 · 7. Derechos ARCO

La clínica, como responsable, responde las solicitudes de acceso, rectificación, cancelación y oposición. Tiene 20 días hábiles para responder y 15 días hábiles más para cumplirlas.

• Si un titular escribe a la encargada, esta envía la solicitud a la clínica en un máximo de 5 días hábiles y avisa al titular que lo hizo. La encargada no responde de fondo.
• Cuando la clínica lo pide, la encargada le da la información o la exportación de los datos de un paciente en un máximo de 5 días hábiles, para que la clínica pueda responder a tiempo.
• La cancelación y el bloqueo son un procedimiento manual: la clínica lo pide por escrito a support@tsunamiautomation.com y la encargada lo cumple a tiempo para que la clínica cumpla su plazo legal. Avisa si necesita más tiempo. La clínica decide si puede negar la cancelación (por ejemplo, por el expediente clínico o por obligaciones fiscales).
• Las copias de seguridad conservan los datos hasta que se reemplazan (31 días como máximo). Si hubo llamadas de voz, la encargada pide al proveedor de voz que elimine el audio y la transcripción.
• El ejercicio de los derechos es gratis.

Fundamento: LFPDPPP (DOF 20-mar-2025), arts. 21 a 26; LFPDPPP (DOF 20-mar-2025), art. 25 fr. III y VII; LFPDPPP (DOF 20-mar-2025), arts. 28, 31 y 34

8 · 8. Vulneraciones de seguridad

Si la encargada confirma una vulneración de seguridad que afecte datos de la clínica, se lo avisa a la clínica sin demora injustificada y a más tardar en 72 horas desde que lo confirme. La ley no fija un número de horas: este plazo es un compromiso de la encargada.

• El aviso dice, en cuanto se sepa: qué pasó, qué datos se afectaron, cuándo, qué medidas se tomaron y quién es el contacto.
• La encargada ayuda a la clínica con la información y los registros que necesite.
• La clínica, como responsable, avisa de inmediato a los titulares cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales. La encargada no avisa a los titulares ni a la autoridad por su cuenta, salvo que la ley la obligue.

Fundamento: LFPDPPP (DOF 20-mar-2025), art. 19; Reglamento de la LFPDPPP (2011), arts. 63 a 66

9 · 9. Devolución y supresión al terminar

Mientras la cuenta está activa, la encargada conserva los datos hasta que la clínica pida suprimirlos. Hoy no se borran automáticamente los mensajes antiguos: la clínica decide cuánto tiempo conservar cada dato. El expediente clínico debe conservarse al menos 5 años desde el último acto médico, según la NOM-004-SSA3-2012.

Al terminar el servicio, la encargada entrega una exportación si la clínica la pide y suprime los datos en un máximo de 30 días naturales desde la solicitud de cierre. Es un procedimiento manual. Si la clínica lo pide, la encargada confirma la supresión por escrito.

Las copias de seguridad dejan de contener los datos al reemplazarse por copias nuevas (31 días como máximo). La encargada conserva solo lo que la ley le exige conservar, como sus comprobantes de facturación (5 años). Antes de pedir el cierre, la clínica debe exportar el expediente que deba conservar.

Fundamento: LFPDPPP (DOF 20-mar-2025), art. 10, art. 12, art. 24; NOM-004-SSA3-2012, numeral 5.4; Código Fiscal de la Federación, art. 30

10 · 10. Información y auditorías

Una vez al año, a petición por escrito, la encargada da a la clínica información sobre sus medidas de seguridad y sus subencargados, y contesta cuestionarios razonables. Si hubo una vulneración, la clínica puede pedir información adicional.

La clínica avisa con 30 días de anticipación. La información es confidencial. Las auditorías en sitio solo se hacen si lo exige una autoridad. Las solicitudes adicionales pueden tener un costo razonable acordado antes.

Fundamento: Reglamento de la LFPDPPP (2011), arts. 57 a 62

11 · 11. Responsabilidad

Cada parte responde por incumplir este contrato y la ley. La encargada responde por sus incumplimientos y por los de sus subencargados. La clínica responde de que sus instrucciones sean legales, de que haya dado su aviso de privacidad, de que tenga los consentimientos necesarios y de la calidad de los datos que ingresa.

Los límites de responsabilidad de los términos aplican a este contrato. No limitan los derechos de un titular, que puede reclamar daños a la responsable o a la encargada, ni lo que la ley no permita limitar.

Fundamento: LFPDPPP (DOF 20-mar-2025), art. 53

12 · 12. Vigencia y ley aplicable

Este contrato dura desde que se acepta hasta que la encargada termina de devolver y suprimir los datos. La confidencialidad sigue después. Se puede cambiar con 30 días de aviso, como los términos. Se rige por las leyes de México y los tribunales competentes de la Ciudad de México.

13 · 13. Aceptación y firma

Al hacer clic en «Acepto» dentro de la cuenta, la clínica celebra este contrato con firma electrónica. Si prefiere firmarlo, puede pedirnos una copia para firma a support@tsunamiautomation.com.

Fundamento: Código de Comercio, arts. 89, 89 bis y 93

14 · Anexo A. Descripción del tratamiento

15 · Anexo B. Medidas de seguridad

16 · Anexo C. Subencargados

Esta lista se mantiene en /legal/subencargados. El motor de reservas y el registro de errores son operados por la encargada en su propia infraestructura y no son terceros. Si se activa otro proveedor, se actualiza la lista y se avisa antes.