Versión 2026-09-29
Anexo de tratamiento de datos
Este anexo regula a la Clínica como responsable y a [RAZÓN SOCIAL DEL OPERADOR] como persona encargada respecto de los datos de pacientes tratados mediante Recepta.
Objeto e instrucciones
El Operador tratará identificación, contacto, mensajes, consentimientos y datos administrativos de citas únicamente para prestar soporte, mensajería, agenda, seguridad y exportación conforme a las instrucciones documentadas de la Clínica. No decidirá fines propios, no venderá datos, no hará publicidad con ellos y no los usará para entrenar modelos.
Deberes del Operador
- Aplicar medidas administrativas, técnicas y físicas proporcionales al riesgo, conforme al artículo 18 de la LFPDPPP.
- Guardar confidencialidad durante y después del encargo, conforme al artículo 20.
- Limitar accesos por rol, mantener bitácoras y capacitar al personal autorizado.
- Apoyar a la Clínica en acceso, rectificación, cancelación, oposición, revocación y portabilidad.
- No transferir ni comunicar datos fuera de las instrucciones y autorizaciones de la Clínica.
Vulneraciones
El Operador notificará a la Clínica sin demora indebida y, como máximo, dentro de 72 horas desde que confirme una vulneración relevante. Informará naturaleza, categorías, medidas y punto de contacto para que la Clínica pueda cumplir el artículo 19.
Subencargados
La Clínica concede autorización general para los proveedores de la lista versionada de subencargados. El Operador formalizará obligaciones equivalentes y avisará previamente cambios materiales, dando oportunidad razonable de objetar conforme al artículo 55 del Reglamento aplicable.
Terminación, devolución y supresión
Al terminar, la Clínica podrá exportar los datos. A su elección, el Operador los devolverá o suprimirá, incluidas copias bajo su control, salvo bloqueo o conservación exigida por ley. Los expedientes clínicos y su conservación siguen siendo responsabilidad de la Clínica.
Auditoría y evidencia
La Clínica podrá solicitar una vez al año evidencia razonable de controles o una auditoría coordinada, sujeta a confidencialidad y sin comprometer a otros clientes. El Operador conservará evidencia de instrucciones, aceptaciones e incidentes.
Marco
Este anexo se interpreta conforme a la LFPDPPP publicada en el DOF el 20-03-2025. La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno. La aplicabilidad del Reglamento de 2011 deberá validarse con asesoría jurídica.