Aviso de Privacidad Integral

1. Identidad y domicilio del Responsable

El Dr. Rodrigo Del Toro Aviña, Cirujano Dentista con especialidad en implantología, con domicilio en las instalaciones de Dental CYR, Tepic, Nayarit, México, en su carácter de Responsable del tratamiento de datos personales, da a conocer el presente Aviso de Privacidad en cumplimiento de los artículos 15 y 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

2. Finalidades del tratamiento

2.1 Finalidades primarias (necesarias para la prestacion del servicio)

Los datos personales que usted proporciona son utilizados para las siguientes finalidades, sin las cuales no seria posible atenderle:

1. Agendar y gestionar citas odontologicas.
2. Integrar y mantener su expediente clinico conforme a la NOM-013-SSA2-2015.
3. Emitir recetas medico-dentales, notas clinicas y planes de tratamiento.
4. Elaborar presupuestos y registrar pagos por los servicios recibidos.
5. Enviar recordatorios de cita por correo electronico o mensaje de WhatsApp.
6. Cumplir con las obligaciones legales, fiscales y regulatorias aplicables.

2.2 Finalidades secundarias (opcionales — requieren consentimiento adicional)

De manera adicional, con su consentimiento expreso, podemos utilizar sus datos para:

1. Envio de comunicaciones sobre promociones, nuevos servicios o campanas de salud bucal.
2. Encuestas de satisfaccion sobre la atencion recibida.
3. Mejora continua del servicio y analisis estadistico anonimizado.
4. Publicidad en redes sociales: compartir su nombre, telefono y correo electronico con Meta Platforms (Facebook e Instagram) para mostrarle anuncios de la propia clinica mediante la funcion de "publicos personalizados". Esta finalidad requiere que usted marque expresamente la casilla correspondiente en su pre-registro o que lo autorice en consulta; nunca se activa de forma automatica. Los datos se transmiten en formato cifrado (hash) para el cotejo y no se venden ni se ceden a ningun otro anunciante.

3. Datos personales tratados

3.1 Datos identificativos

• Nombre completo
• Fecha de nacimiento y edad
• Numero de telefono y correo electronico
• RFC (cuando sea necesario para facturacion)
• Tipo de sangre
• Motivo de consulta y zona de molestia

3.2 Datos de habitos y estilo de vida

• Tabaquismo (si fuma, cantidad y tiempo)
• Consumo de alcohol (frecuencia)
• Actividad fisica
• Habitos de higiene bucal (frecuencia de cepillado, uso de hilo dental)
• Antecedentes de ortodoncia previa

3.3 Datos de salud bucal

• Tratamientos dentales previos
• Bruxismo, sangrado de encias, sensibilidad dental
• Dolor en la articulacion temporomandibular
• Halitosis, dientes faltantes
• Reacciones previas a anestesia dental

3.4 Datos de antecedentes familiares

• Diabetes, hipertension, cardiopatias, cancer, epilepsia y alergias en familiares de primer grado

3.5 Datos de cirugias y hospitalizaciones

• Cirugias previas y fechas aproximadas
• Hospitalizaciones
• Traumas o accidentes con secuelas

3.6 Revision por sistemas (estado de salud general)

• Sistema cardiovascular (presion arterial, palpitaciones)
• Sistema respiratorio (asma, enfermedades pulmonares)
• Sistema digestivo (gastritis, reflujo)
• Sistema urinario (infecciones, insuficiencia renal)
• Sistema nervioso (migranas, convulsiones)
• Sistema musculoesqueletico (artritis, dolores cronicos)

3.7 Datos sensibles (Art. 9 LFPDPPP)

4. Transferencias de datos a terceros

Sus datos personales pueden ser compartidos con los siguientes terceros, exclusivamente para las finalidades descritas en este aviso:

No se realizan transferencias de datos a terceros distintos de los indicados, salvo obligacion legal o requerimiento de autoridad competente.

4.1 Integracion con Google (Google Calendar) y Uso Limitado

De forma opcional y unicamente con su consentimiento, miagendadental se integra con Google Calendar para sincronizar sus citas en ambos sentidos y, en su caso, importar a su agenda citas ya existentes en el calendario. Para ello solicitamos solo los permisos minimos de Google Calendar necesarios para esa funcion.

El uso y la transferencia de la informacion recibida de las APIs de Google por parte de miagendadental se apega a la Politica de Datos de Usuario de los Servicios de las API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use):

• Los datos de Google Calendar se usan exclusivamente para brindarle las funciones de sincronizacion e importacion de citas que usted activo.
• No usamos datos obtenidos de las APIs de Google para crear, entrenar ni mejorar modelos de inteligencia artificial o aprendizaje automatico generalizados, ni los compartimos con proveedores de IA para ese fin.
• Cuando una funcion asistida por IA procesa datos derivados de su calendario (por ejemplo, extraer el nombre del paciente y el motivo de una cita importada), el texto se envia a la API comercial de Anthropic (Claude), cuyos terminos no entrenan con los datos enviados, y previamente se aplica un scrubbing que sustituye los identificadores personales por tokens.

5. Derechos ARCO y como ejercerlos

Usted tiene derecho a:

• Acceso: conocer que datos personales tenemos sobre usted y como los usamos.
• Rectificacion: solicitar la correccion de datos inexactos o incompletos.
• Cancelacion: pedir la eliminacion de sus datos cuando ya no sean necesarios para la finalidad que los origino, sujeto a obligaciones legales de conservacion del expediente clinico.
• Oposicion: oponerse al tratamiento de sus datos para finalidades especificas, en particular las secundarias.

Como ejercer sus derechos ARCO

Puede presentar su solicitud por cualquiera de los siguientes medios:

Informacion requerida en la solicitud

• Nombre completo del titular o de su representante legal.
• Copia de identificacion oficial vigente del titular.
• Descripcion clara del derecho que desea ejercer y los datos involucrados.
• En caso de representante legal: poder notarial o instrumento que acredite la representacion.

Plazos de atencion

Atenderemos su solicitud dentro de los 20 dias habiles siguientes a su recepcion, conforme al articulo 32 de la LFPDPPP. En caso de ser procedente, los cambios se haran efectivos dentro de los 15 dias habiles posteriores a la respuesta.

6. Mecanismo de revocacion del consentimiento

Usted puede revocar el consentimiento que haya otorgado para el tratamiento de sus datos personales en cualquier momento, siempre que no lo impida una disposicion legal. La revocacion del consentimiento para datos sensibles (seccion 3.7) puede limitar la capacidad del consultorio para brindar atencion segura.

Para revocar su consentimiento, presente su solicitud por los mismos medios indicados en la seccion 5 (ARCO), indicando claramente:

• Los datos o finalidades para los que desea revocar el consentimiento.
• Si la revocacion es total o parcial.

La revocacion no tiene efectos retroactivos sobre el tratamiento ya realizado conforme a las finalidades primarias.

7. Medidas de seguridad tecnicas implementadas

El Responsable ha implementado las siguientes medidas para proteger sus datos personales, en cumplimiento de la NOM-024-SSA3-2012 y del Reglamento de la LFPDPPP:

• Autenticacion: acceso al sistema mediante credenciales individuales con JWT httpOnly; sesiones con expiracion automatica.
• Cifrado en transito: toda la comunicacion se realiza mediante HTTPS (TLS 1.2+) con certificado Let's Encrypt renovado automaticamente.
• Control de acceso por rol: cada usuario del personal accede unicamente a los datos de los pacientes de su clinica (multi-tenant). Los superadministradores tienen acceso ampliado y auditado.
• Bitacora de auditoria: todas las operaciones sobre datos clinicos quedan registradas en una bitacora inmutable (patient_audit_log) con timestamp, usuario, IP y accion.
• Scrubbing de PHI: antes de enviar cualquier texto a servicios externos de inteligencia artificial, se eliminan automaticamente los identificadores de salud (nombre, fecha de nacimiento, etc.) mediante el modulo phi.scrubber.js.
• Servidor protegido: cortafuegos UFW activo, fail2ban para bloqueo de intentos de acceso no autorizados, actualizaciones de seguridad periodicas en el VPS Hetzner (Alemania).
• Respaldo: copias de seguridad periodicas de la base de datos PostgreSQL.
• Headers de seguridad: helmet.js activo para encabezados HTTP de seguridad (X-Frame-Options, X-Content-Type-Options, etc.).

8. Cookies y Service Worker (PWA)

Este sitio utiliza un Service Worker para funcionar como aplicacion web progresiva (PWA) y cachear recursos estaticos (estilos, scripts, imagenes) que permiten carga mas rapida.

Lo que NO se cachea: ningun dato clinico, informacion de pacientes, citas o credenciales de sesion se almacena en el cache del navegador. Al cerrar sesion, el Service Worker elimina automaticamente el cache de tiempo de ejecucion.

No utilizamos cookies de rastreo ni publicidad comportamental, y no compartimos sus datos de navegacion con redes de anuncios: este sistema no lleva pixel de seguimiento de ninguna plataforma publicitaria.

Precision importante: lo anterior se refiere a datos de navegacion. Si usted otorgo su consentimiento expreso para la finalidad secundaria de publicidad (seccion 2.2), sus datos de contacto (nombre, telefono y correo) si se comparten con Meta Platforms en formato cifrado para armar publicos personalizados, como se detalla en la seccion 4. Sin ese consentimiento, no se comparte nada.

9. Cambios al presente aviso

El Responsable se reserva el derecho de modificar este Aviso de Privacidad en cualquier momento. Toda modificacion sera notificada mediante:

1. Correo electronico a la direccion registrada en su expediente.
2. Actualizacion visible en esta pagina con nueva fecha y numero de version.
3. Solicitud de re-confirmacion de consentimiento cuando los cambios afecten datos sensibles o nuevas finalidades.

Si usted no manifiesta su oposicion dentro de los 15 dias habiles siguientes a la notificacion, se entendera que acepta los cambios.

10. Autoridad reguladora

Si considera que su derecho a la proteccion de datos personales ha sido vulnerado por alguna conducta de nuestra parte, o que en el tratamiento de sus datos personales existe alguna violacion a las disposiciones previstas en la LFPDPPP, podra interponer su queja o denuncia ante el Instituto Nacional de Transparencia, Acceso a la Informacion y Proteccion de Datos Personales (INAI):