Convenio de encargado del tratamiento

Este convenio regula cómo Aliviana trata los datos personales de tus pacientes por cuenta tuya. Forma parte de los términos para profesionales y aplica desde que registras a tu primer paciente en el expediente.

1. Quién es quién

Este convenio se celebra entre tú, el profesional de la salud que se dio de alta, y Shark Broadcast, S.A. de C.V., con domicilio en Abetos 18, Lerma, Estado de México, C.P. 52000, que opera la plataforma Aliviana.

• Tú eres el Responsable. Decides qué datos de tus pacientes se recaban, para qué y por cuánto tiempo, dentro de lo que te obliga la normativa sanitaria.
• Aliviana es el Encargado. Trata esos datos únicamente por cuenta tuya y siguiendo tus instrucciones. No decide sobre ellos.

Esta distinción no es formal: define quién responde ante tu paciente y ante la autoridad. Ante tu paciente, el responsable eres tú.

El convenio se celebra conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el DOF el 20 de marzo de 2025 y a las disposiciones que de ella deriven.

2. Qué datos abarca

Los que registras en el módulo de expediente clínico: ficha de identificación del paciente, historia clínica y antecedentes, notas de evolución y sus adendas, alergias, medicación referida, diagnósticos, escalas de medición, la bitácora de operaciones sobre el expediente y cualquier otro dato clínico que registres en él.

No abarca los datos que Aliviana trata como responsable propio —el nombre y el WhatsApp que el paciente da al agendar en línea, y la opinión que deja sobre su consulta—, que se rigen por el aviso de privacidad para pacientes.

3. Qué hace Aliviana con esos datos

Únicamente:

• Almacenarlos de forma segura.
• Ponértelos a disposición cuando entras a tu cuenta.
• Respaldarlos.
• Calcular, cuando tu gremio lo permita, el agregado anónimo de escalas que se publica en tu perfil, en los términos del punto 4.

Al usar el expediente nos das la instrucción de hacer estas cuatro cosas, y ninguna otra.

4. El agregado de escalas del perfil

Calcular y publicar ese agregado es un tratamiento que Aliviana hace por cuenta tuya, como parte del servicio que usas, y no una finalidad propia de Aliviana:

• Se calcula solo con las escalas que tú registras, solo en los gremios que miden desenlace y solo para publicarse en tu perfil.
• Lo que se publica es un dato disociado: un promedio de al menos ocho casos, con su número de casos al lado, que no permite identificar a ningún paciente.
• Aliviana no usa las escalas individuales para nada más: ni para estudios propios, ni para comparar profesionales fuera de tu perfil, ni para cederlas.

5. Obligaciones de Aliviana como encargado

Aliviana se obliga a:

• Tratar los datos solo conforme a tus instrucciones y a este convenio.
• No usarlos para finalidades propias. Ni para publicidad, ni para venderlos, ni para cederlos.
• No compartirlos con otros profesionales. El expediente es exclusivamente tuyo.
• Aplicar las medidas de seguridad del punto 6 y mantenerlas.
• Guardar confidencialidad sobre ellos, también después de que termine este convenio, y exigirla a su personal y a sus subencargados.
• No transferirlos, salvo instrucción tuya o requerimiento de autoridad competente. En este último caso te avisaremos, salvo que la ley o la propia autoridad lo impidan.
• No borrarlos mientras corra el plazo de conservación, ni siquiera a petición tuya, y suprimirlos o devolverlos al concluir, como dice el punto 8.
• Darte la información razonable que necesites para comprobar que cumple este convenio, como dice el punto 10.

Nadie de Aliviana lee esos datos desde la plataforma. El administrador de Aliviana está excluido del contenido clínico a nivel de base de datos, no por política interna, y la llave de servicio con que opera nuestro servidor tampoco tiene permiso sobre las tablas clínicas. Solo el personal técnico con acceso de administración del sistema podría llegar a ellos, bajo confidencialidad y únicamente para operar y mantener el servicio.

Si Aliviana tratara esos datos fuera de tus instrucciones, respondería por ese tratamiento como si fuera su responsable.

6. Medidas de seguridad

Aliviana aplica, entre otras:

• Control de acceso por identidad, de modo que cada profesional solo alcanza sus propios registros.
• Cifrado en tránsito.
• Inmutabilidad de lo firmado: una historia clínica o una nota de evolución firmada no puede alterarse. Las correcciones se hacen por adenda, que queda junto a la original con su fecha.
• Ausencia de borrado: ningún usuario de la plataforma tiene la operación de eliminar registros clínicos.
• Bitácora de operaciones sobre el expediente.
• Almacenamiento privado para documentos, sin URLs públicas.

7. Subencargados

Aliviana se apoya en un proveedor que procesa esos datos por cuenta suya:

• Supabase, Inc. — base de datos, almacenamiento de archivos y respaldos. Servidores en Estados Unidos (Norte de Virginia).

No hay subencargado de mensajería: hoy Aliviana no envía mensajes. Los avisos a tus pacientes los mandas tú desde tu propio WhatsApp, y esa conversación no pasa por nuestros servidores.

Entregar los datos a un subencargado, aunque sus servidores estén fuera de México, es una remisión y no una transferencia: el subencargado los trata por cuenta de Aliviana, bajo contrato, con medidas de seguridad y sin usarlos para fines propios.

Al aceptar este convenio autorizas el uso de este subencargado. Te informaremos antes de incorporar uno nuevo que trate contenido clínico, y podrás oponerte.

8. Conservación y devolución

• El expediente se conserva cinco años contados desde el último acto médico, conforme a la NOM-004-SSA3-2012. Ese plazo no lo fija Aliviana y no puede acortarse por acuerdo entre las partes.
• Mientras tu cuenta esté activa, consultas todo el expediente desde ella.
• Si te das de baja, el expediente no se borra. A petición tuya te entregamos una copia en un formato electrónico legible.
• Concluido el plazo y hecha la entrega que nos pidas, Aliviana suprimirá o anonimizará los datos conforme a tus instrucciones, salvo que otra obligación legal exija conservarlos.

9. Incidentes de seguridad

Si Aliviana confirma una vulneración que afecte datos de tus pacientes, te lo notificará sin dilación y a más tardar dentro de las 72 horas siguientes a confirmarla, con la información disponible sobre qué ocurrió, a qué datos afectó y qué medidas se tomaron. Lo que se sepa después te lo hará llegar conforme lo conozca.

La obligación de informar a los titulares afectados es tuya, como responsable. Aliviana te dará lo necesario para hacerlo.

10. Auditoría

Puedes solicitar información razonable sobre las medidas de seguridad aplicadas a tus datos y sobre el cumplimiento de este convenio.

11. Responsabilidad entre las partes

• Tú respondes, como responsable, ante tus pacientes y ante la autoridad por el tratamiento de sus datos: lo que se recaba, el consentimiento, el aviso de privacidad que les das y el contenido clínico.
• Aliviana responde ante ti por incumplir este convenio, en particular por tratar los datos fuera de tus instrucciones o sin las medidas de seguridad pactadas.
• Cada parte responde frente a la otra por los daños que le cause su propio incumplimiento.
• La responsabilidad de cada parte se limita a lo que la ley permite. Nada en este convenio excluye la responsabilidad por dolo ni te pide renunciar a derechos que la ley te reconoce.

12. Forma y aceptación

Este convenio se celebra por medios electrónicos, y lo aceptas al registrar a tu primer paciente en el expediente desde tu cuenta. Conforme a los artículos 1803 y 1834 bis del Código Civil Federal, el consentimiento expresado por medios electrónicos es válido y cumple la forma escrita cuando es atribuible a quien lo da y queda accesible para consultarse después. Por eso la versión vigente queda publicada aquí con su fecha, y conservamos las anteriores.

Si necesitas un ejemplar firmado para tu archivo, pídelo a soporte@aliviana.com.mx y lo firmamos.

13. Duración

Este convenio dura mientras uses el módulo de expediente y, respecto de los datos conservados, hasta que concluya el plazo del punto 8.

14. Ley aplicable y jurisdicción

Se rige por las leyes federales de los Estados Unidos Mexicanos y por la misma cláusula de jurisdicción de los términos para profesionales.