Aviso de privacidad integral

En cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, en adelante la «Ley»), su Reglamento en lo que resulte aplicable y los Lineamientos del Aviso de Privacidad, BUCA DIGITAL WORKS, S.A.S., titular de la plataforma y marca Notex.Clinic («Notex.Clinic», «la Plataforma»), pone a disposición de los titulares de datos personales el presente aviso de privacidad integral.

1. Identidad y domicilio del responsable

El responsable del tratamiento de los datos personales descritos en este aviso —en los términos precisados en la sección 2— es:

• Denominación: BUCA DIGITAL WORKS, S.A.S. (Sociedad por Acciones Simplificada constituida conforme a las leyes de los Estados Unidos Mexicanos), quien opera comercialmente bajo la marca Notex.Clinic.
• Domicilio: Quebrada 2432, Verde Valle, 44550, Guadalajara, Jalisco, México.
• Sitio web: https://notex.clinic
• Correo del departamento de datos personales: bucapps.dev@gmail.com

Notex.Clinic es una plataforma de expediente clínico electrónico dirigida a profesionales de la salud en México, diseñada para operar conforme a las Normas Oficiales Mexicanas NOM-004-SSA3-2012 (del expediente clínico) y NOM-024-SSA3-2012 (sistemas de información de registro electrónico para la salud).

2. Nuestro papel: responsable y encargado

Para evitar ambigüedad sobre quién decide el tratamiento de cada dato, distinguimos con precisión dos papeles que la Ley regula de forma distinta:

a) Notex.Clinic como responsable

BUCA DIGITAL WORKS, S.A.S. actúa como responsable respecto de los datos personales de: (i) los profesionales de la salud que contratan y usan la Plataforma; (ii) el personal de clínica (recepción y enfermería) dado de alta por una clínica u organización; (iii) las personas que visitan este sitio web; y (iv) los datos de contacto y facturación de quienes contratan el servicio.

b) Notex.Clinic como encargado

Respecto de los datos personales de los pacientes —incluido el contenido del expediente clínico electrónico, las notas médicas, recetas, signos vitales, archivos clínicos y cualquier otro dato de salud— el responsable del tratamiento es el profesional de la salud o la clínica que integra el expediente, conforme a la NOM-004-SSA3-2012. BUCA DIGITAL WORKS, S.A.S. actúa exclusivamente como encargado: trata esos datos por cuenta y bajo las instrucciones del médico o clínica, limitándose a almacenarlos, resguardarlos y ponerlos a su disposición a través de la Plataforma. Notex.Clinic no decide finalidades ni usos sobre los datos clínicos de los pacientes, no accede a ellos salvo que sea estrictamente indispensable para soporte técnico solicitado por el responsable, y no los utiliza para fines propios, publicitarios, estadísticos con identificación de personas, de entrenamiento de modelos, ni de ninguna otra índole.

Cada médico o clínica usuaria de la Plataforma está obligado, como responsable, a poner a disposición de sus pacientes su propio aviso de privacidad y a recabar los consentimientos que correspondan, incluido el consentimiento expreso y por escrito para el tratamiento de datos sensibles de salud.

3. Datos personales que tratamos

3.1 De los profesionales de la salud (como responsable)

• Identificación y contacto: nombre completo, correo electrónico, teléfono, fotografía de perfil (opcional) y presentación profesional (opcional).
• Datos profesionales: cédula profesional, cédula de especialidad (en su caso), especialidad, institución educativa de egreso y datos del consultorio (nombre, domicilio y logotipo).
• Datos de cuenta y seguridad: contraseña (almacenada únicamente como hash criptográfico irreversible), configuración de verificación en dos pasos, registros de acceso y de intentos de acceso.
• Datos de facturación y pago, cuando el servicio sea de paga: los necesarios para emitir comprobantes fiscales. Notex.Clinic no almacena números completos de tarjetas bancarias.

3.2 Del personal de clínica (como responsable)

• Nombre completo, correo electrónico, rol funcional (recepción o enfermería), clínica de adscripción, contraseña (como hash criptográfico) y registros de acceso. Este personal, por diseño de la Plataforma, no tiene acceso al contenido clínico de los expedientes.

3.3 De los pacientes (como encargado, por cuenta del médico o clínica)

• Ficha de identificación conforme a la NOM-004-SSA3-2012: nombre, sexo, fecha de nacimiento, CURP, teléfono, correo electrónico, domicilio y fotografía (opcional).
• Datos de agenda: citas, motivo de consulta y datos de contacto proporcionados al agendar en línea, cuando el médico habilita esa función.
• Datos sensibles de salud (ver sección 4): alergias, antecedentes heredofamiliares y personales, historia clínica, notas médicas, diagnósticos (incluida codificación CIE-10), signos vitales, recetas y tratamientos, cartas de consentimiento informado, notas de interconsulta o referencia, estudios y archivos clínicos adjuntos.

3.4 De los visitantes del sitio (como responsable)

• Datos técnicos mínimos generados por la operación del sitio: dirección IP, tipo de navegador y registros técnicos de la infraestructura, utilizados únicamente con fines de seguridad y continuidad del servicio. No usamos rastreadores publicitarios (ver sección 12).

Notex.Clinic no recaba, para fines propios, datos sensibles de origen étnico o racial, creencias religiosas, filosóficas o morales, opiniones políticas, afiliación sindical, datos genéticos, biométricos ni de preferencia sexual. Cuando esa información conste en un expediente clínico, forma parte de los datos que el médico trata como responsable y Notex.Clinic resguarda como encargado.

4. Datos personales sensibles

Los datos relativos al estado de salud presente, pasado o futuro son datos personales sensibles conforme a la Ley y reciben en la Plataforma el nivel de protección más alto. Su tratamiento requiere el consentimiento expreso y por escrito del titular —o de quien ejerza la patria potestad, tutela o representación legal—, el cual corresponde recabar al profesional de la salud o clínica en su carácter de responsable, sin perjuicio de las excepciones que la propia Ley y la legislación sanitaria establecen (por ejemplo, emergencias médicas, prevención o diagnóstico, o atención sanitaria cuando el titular esté imposibilitado para otorgarlo).

BUCA DIGITAL WORKS, S.A.S. implementa para estos datos las medidas reforzadas descritas en la sección 7 y las obligaciones de confidencialidad que la Ley impone a los encargados, las cuales subsisten aun después de terminada la relación con el responsable.

5. Finalidades del tratamiento

5.1 Finalidades primarias (necesarias para el servicio)

• Crear, administrar y autenticar las cuentas de médicos y personal de clínica, incluida la verificación de la cédula profesional ante los registros públicos correspondientes.
• Proveer la funcionalidad de la Plataforma: expediente clínico electrónico, notas médicas, recetas, agenda y recordatorios de cita, consentimientos informados, interconsultas, portal del paciente y reportes del consultorio.
• Resguardar, por cuenta del responsable, la integridad, disponibilidad y confidencialidad de los expedientes clínicos, incluida la bitácora de auditoría con la que se sostiene la trazabilidad que exige la NOM-024-SSA3-2012.
• Enviar comunicaciones transaccionales indispensables: recuperación de acceso, avisos de seguridad y recordatorios de cita que el médico habilite.
• Facturar y cobrar el servicio, en su caso.
• Cumplir obligaciones legales, regulatorias y requerimientos de autoridad competente debidamente fundados y motivados.

5.2 Finalidades secundarias (no necesarias para el servicio)

• Enviar a los profesionales de la salud información sobre novedades, mejoras y nuevas funciones de la Plataforma.
• Elaborar estadísticas internas de uso de la Plataforma de forma agregada y disociada, de modo que ningún titular sea identificable.

Las finalidades secundarias nunca se aplican a los datos clínicos de los pacientes. Si no deseas que tus datos se traten para las finalidades secundarias, puedes manifestar tu negativa en cualquier momento —desde el momento del registro o después— escribiendo a bucapps.dev@gmail.com. La negativa no será motivo para negarte el servicio.

6. Transferencias y remisiones

Notex.Clinic no vende, renta ni cede datos personales a terceros. Para operar la Plataforma realizamos únicamente remisiones a encargados y subencargados que tratan los datos por cuenta nuestra, bajo contrato, con obligaciones de confidencialidad y seguridad equivalentes a las de este aviso:

• Proveedores de infraestructura de nube (cómputo y base de datos) donde se aloja la Plataforma.
• Proveedores de almacenamiento de objetos para archivos clínicos, fotografías y logotipos, con acceso mediante URLs firmadas de vigencia limitada.
• Proveedores de envío de correo electrónico transaccional (por ejemplo, para recuperación de acceso y recordatorios de cita).
• Proveedores de procesamiento de lenguaje natural / inteligencia artificial, para generar resúmenes clínicos y, en el plan Premium, estructurar la nota a partir del audio de la consulta que el médico decida grabar o subir, a solicitud expresa del médico tratante. Estos resultados son una ayuda de redacción —nunca se guardan ni se firman automáticamente— y no forman parte del expediente oficial hasta que el médico los revisa y los aprueba. Contratamos este servicio bajo el nivel de facturación de pago del proveedor, cuyos términos excluyen el uso del contenido para entrenar sus modelos de inteligencia artificial. El audio de la consulta no se almacena en ningún caso: se transmite cifrado al proveedor de IA únicamente para generar el texto estructurado y se descarta de inmediato una vez recibida la respuesta —no se guarda en nuestros servidores, en almacenamiento de objetos, ni en ningún respaldo—.

Estas remisiones pueden implicar que los datos se alojen en servidores ubicados fuera de México; en todos los casos exigimos contractualmente estándares de protección conformes a la Ley. Conforme a la Ley, las remisiones entre responsable y encargado no requieren consentimiento del titular.

Solo transferiremos datos personales sin necesidad de consentimiento en los casos de excepción previstos por la Ley, entre ellos: cuando la transferencia esté prevista en una ley o tratado; cuando sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o gestión de servicios sanitarios; cuando sea legalmente exigida para la salvaguarda de un interés público o para la procuración o administración de justicia; o cuando sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. Todo requerimiento de autoridad se atiende únicamente cuando está debidamente fundado y motivado.

7. Medidas de seguridad

Implementamos medidas de seguridad administrativas, técnicas y físicas proporcionales a la sensibilidad de los datos tratados, entre ellas:

• Cifrado de las comunicaciones en tránsito (TLS) en todo el sitio.
• Aislamiento de la información por consultorio directamente en el motor de base de datos (Row Level Security): la base de datos rechaza cualquier consulta que intente leer información de otro médico o clínica.
• Inmutabilidad de documentos clínicos firmados y de la bitácora de auditoría, aplicada a nivel de base de datos conforme a la NOM-004-SSA3-2012: un documento firmado no puede modificarse ni eliminarse.
• Bitácora de accesos y de cambios sobre el expediente: queda asentado quién lo consultó, lo exportó o lo modificó y cuándo. El motor de base de datos rechaza modificar y borrar esos asientos.
• Contraseñas almacenadas exclusivamente como hash criptográfico; verificación en dos pasos (TOTP) disponible, con secreto cifrado (AES-256-GCM); bloqueo temporal de cuentas ante intentos de acceso fallidos.
• Control de acceso por roles: el personal de recepción y enfermería no accede al contenido clínico; el personal de la plataforma solo accede a metadatos y agregados, nunca al contenido de los expedientes.
• Archivos clínicos servidos mediante URLs firmadas de vigencia limitada, sin exposición pública del almacenamiento.

En caso de una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares, notificaremos sin dilación al responsable correspondiente y/o a los titulares, conforme a la Ley, para que puedan tomar las medidas pertinentes.

8. Plazos de conservación

• Expedientes clínicos: conforme a la NOM-004-SSA3-2012, el expediente se conserva por un periodo mínimo de cinco años contados a partir de la fecha del último acto médico. Su conservación y eventual supresión corresponde decidirla al médico o clínica responsable dentro del marco legal sanitario; los documentos clínicos firmados no se modifican ni se eliminan de la Plataforma.
• Cuentas de médicos y personal: mientras la relación jurídica subsista y, después, durante los plazos necesarios para cumplir obligaciones legales, fiscales y de defensa jurídica. La desactivación de una cuenta suspende el acceso, pero no elimina los expedientes clínicos, cuya conservación exige la normatividad sanitaria.
• Bitácoras de auditoría: se conservan de forma inmutable durante los plazos que exige la normatividad aplicable.

Concluidos los plazos aplicables, los datos serán suprimidos o disociados de forma segura, previo bloqueo en los términos de la Ley.

9. Derechos ARCO (acceso, rectificación, cancelación y oposición)

Todo titular, o su representante legal, puede ejercer en cualquier momento sus derechos de acceso, rectificación, cancelación y oposición, así como los demás derechos que la Ley reconoce.

¿Ante quién se ejercen?

• Pacientes: ante el profesional de la salud o la clínica que integra tu expediente, quien es el responsable de tus datos clínicos. Si nos presentas la solicitud directamente, la canalizaremos sin demora al responsable que corresponda y te lo informaremos, además de auxiliarlo técnicamente para atenderla. Ten en cuenta que la cancelación de datos del expediente clínico está limitada por las obligaciones de conservación de la normatividad sanitaria (sección 8).
• Médicos, personal de clínica y visitantes: directamente ante BUCA DIGITAL WORKS, S.A.S..

¿Cómo se presenta la solicitud?

Envía tu solicitud a bucapps.dev@gmail.com con: (i) tu nombre completo y un medio para comunicarte la respuesta; (ii) documento que acredite tu identidad (o la identidad y personalidad de tu representante); (iii) descripción clara y precisa de los datos respecto de los que buscas ejercer el derecho; y (iv) cualquier elemento que facilite su localización. Si la solicitud es imprecisa o incompleta, te requeriremos información adicional dentro de los cinco días hábiles siguientes; contarás con diez días hábiles para desahogar el requerimiento.

Plazos y gratuidad

Te comunicaremos la determinación adoptada en un plazo máximo de veinte días hábiles contados desde la recepción de la solicitud completa; de resultar procedente, se hará efectiva dentro de los quince días hábiles siguientes. Estos plazos pueden ampliarse por una sola vez en los términos de la Ley cuando las circunstancias lo justifiquen. El ejercicio de los derechos ARCO es gratuito; solo podrán cobrarse los gastos justificados de envío o el costo de reproducción en copias u otros formatos.

10. Revocación del consentimiento

Puedes revocar el consentimiento que nos hayas otorgado en cualquier momento, mediante el mismo procedimiento y medio de contacto de la sección 9. Debes considerar que la revocación no tendrá efectos retroactivos, que para ciertos fines no será posible atenderla de forma inmediata cuando exista una obligación legal de continuar el tratamiento (señaladamente, la conservación del expediente clínico exigida por la normatividad sanitaria) y que, tratándose de finalidades primarias, la revocación implicará que no podamos seguir prestándote el servicio.

11. Limitación de uso o divulgación

Además de los derechos ARCO y de la revocación, puedes solicitar tu inscripción en nuestro listado de exclusión para dejar de recibir comunicaciones relativas a las finalidades secundarias, escribiendo a bucapps.dev@gmail.com. Te confirmaremos la inscripción por el mismo medio.

12. Cookies y tecnologías de rastreo

La Plataforma utiliza únicamente cookies estrictamente necesarias y cookies funcionales de preferencia:

Cookies de sesión (httpOnly), indispensables para autenticar a los usuarios y mantener la seguridad de la cuenta; expiran conforme a la vigencia de la sesión.

Cookie de preferencia (nm_demo_tour_seen), usada solo dentro de las demos públicas sin cuenta (/demos/*) para recordar, por hasta un año, qué guías visuales de introducción ya cerraste con la opción "No volver a mostrar" — así no se repiten en tu siguiente visita a esa demo. No identifica a la persona ni se usa fuera de /demos.

No utilizamos cookies publicitarias, de análisis de terceros, píxeles de seguimiento ni ninguna otra tecnología de rastreo con fines distintos a los descritos arriba. Puedes configurar tu navegador para rechazar o eliminar cookies; hacerlo con las cookies de sesión impedirá iniciar sesión en la Plataforma, y con la cookie de preferencia hará que las guías de las demos vuelvan a mostrarse.

13. Menores de edad

La Plataforma está dirigida a profesionales de la salud y no ofrece cuentas a menores de edad. Los datos de pacientes menores de edad que consten en un expediente clínico son tratados por el médico o clínica responsable, quien debe recabar el consentimiento de quien ejerza la patria potestad, tutela o representación legal, conforme a la Ley y a la normatividad sanitaria. Notex.Clinic los resguarda como encargado con las mismas medidas reforzadas aplicables a los datos sensibles.

14. Autoridad competente

Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la autoridad garante en la materia: conforme a la Ley vigente, la Secretaría Anticorrupción y de Buen Gobierno, a través de la unidad competente en materia de protección de datos personales en posesión de los particulares, ante la cual puedes presentar la solicitud de protección de derechos o la denuncia que corresponda, en los plazos y términos que la Ley establece.

15. Cambios a este aviso

Este aviso puede modificarse para reflejar cambios legislativos, regulatorios, jurisprudenciales, de nuestras prácticas de privacidad o de las funciones de la Plataforma. Toda modificación se publicará en esta misma dirección (https://notex.clinic/aviso-de-privacidad) con la fecha de última actualización visible al inicio del documento. Cuando los cambios impliquen nuevas finalidades que requieran consentimiento, lo recabaremos antes de aplicarlas.

16. Consentimiento

Al registrarte en la Plataforma, usar el servicio o proporcionarnos tus datos personales, reconoces haber leído este aviso de privacidad y consientes el tratamiento de tus datos conforme al mismo. Tratándose de datos sensibles de salud, el consentimiento expreso y por escrito se recaba por el profesional de la salud o clínica responsable del expediente, en los términos de las secciones 2 y 4.