Aviso de Privacidad Integral

El Responsable del tratamiento de sus datos personales es:

PsiFlow recaba las siguientes categorías de datos dependiendo del tipo de titular:

Finalidades primarias (necesarias para el Servicio):

• Crear y administrar la cuenta del Profesional en la plataforma.
• Proveer las funciones del Servicio: gestión de agenda, expedientes clínicos electrónicos, evaluaciones psicométricas, finanzas y facturación.
• Procesar el pago de la suscripción al Plan Pro mediante Stripe (finalidad prevista: el cobro no está activo hoy y ningún dato se ha transferido a Stripe).
• Enviar correos transaccionales al Profesional: confirmación de cuenta, recuperación de contraseña, notificaciones de pago.
• Enviar recordatorios automáticos de cita a los pacientes del Profesional (bajo instrucción de éste y sujeto a los datos que haya registrado).
• Generar exportaciones en PDF/CSV del expediente clínico a solicitud del Profesional.
• Cumplir con obligaciones legales: conservación de bitácoras de auditoría conforme a NOM-004-SSA3-2012.

Finalidades secundarias (puede oponerse a ellas):

• Enviar comunicaciones sobre nuevas funciones o actualizaciones del Servicio (boletín opcional).
• Análisis estadístico agregado y completamente anonimizado del uso de la plataforma para mejorar el producto. Estos análisis nunca incluyen datos de pacientes identificables.
• Contactarle por WhatsApp para pedirle retroalimentación sobre el Servicio, si usted participa en el programa «Pro por feedback». Esta finalidad requiere su consentimiento expreso, que se otorga marcando una casilla al registrarse o desde su cuenta, y nunca viene marcada de antemano. El Servicio funciona igual si no participa.

El tratamiento de datos personales se sustenta en las siguientes bases, conforme al artículo 8 y 9 de la LFPDPPP:

PsiFlow almacena y procesa datos sensibles de salud únicamente como Encargado bajo instrucción del Profesional. El Profesional, en su calidad de Responsable primario, es quien debe:

• Informar a sus pacientes que sus datos clínicos serán gestionados mediante la plataforma PsiFlow.
• Recabar el consentimiento expreso, por escrito, para el tratamiento de datos sensibles (Art. 9 LFPDPPP). La plataforma provee un módulo de consentimiento informado digital para este fin.
• Custodiar el expediente clínico conforme a los estándares de la NOM-004-SSA3-2012, que establece un período mínimo de conservación de 5 años a partir de la última consulta.

PsiFlow implementa cifrado AES-256 en reposo y TLS 1.3 en tránsito para todos los datos de salud, y suma cifrado adicional a nivel de aplicación sobre los expedientes clínicos (en despliegue por etapas). Las políticas de seguridad a nivel de base de datos (Row Level Security) garantizan que cada consultorio solo puede acceder a sus propios expedientes, y el acceso del personal de PsiFlow a datos clínicos está restringido por una política de acceso administrativo controlado.

En la relación entre PsiFlow y los profesionales de salud que usan la plataforma, existen dos roles distintos bajo la LFPDPPP:

PsiFlow y el Profesional celebran implícitamente un contrato de encargo del tratamiento al aceptar estos términos (Art. 50 del Reglamento de la LFPDPPP), mediante el cual PsiFlow se compromete a:

• Tratar los datos de pacientes solo para prestar el Servicio contratado.
• Implementar las medidas de seguridad descritas en la sección 9.
• No subcontratar el tratamiento de datos sensibles sin notificación previa al Profesional.
• Devolver o eliminar los datos al término de la relación contractual.

Para operar el Servicio, PsiFlow transfiere datos personales a los siguientes subprocesadores. Todas las transferencias se realizan bajo acuerdos contractuales que garantizan niveles de protección equivalentes o superiores a los exigidos por la LFPDPPP, incluyendo Cláusulas Contractuales Tipo (CCT) reconocidas internacionalmente:

PsiFlow no vende, arrienda ni cede datos personales a terceros con fines comerciales o publicitarios. Las transferencias listadas se realizan exclusivamente para proveer el Servicio contratado y no requieren consentimiento adicional conforme al Art. 37, fracción II de la LFPDPPP (transferencias a encargados).

En caso de requerimiento de autoridad competente mexicana, PsiFlow notificará al Profesional afectado con la mayor anticipación posible, salvo que la ley prohíba expresamente dicha notificación.

Al vencimiento del plazo correspondiente, los datos son eliminados de forma segura mediante procedimientos de borrado irreversible. Los datos de expedientes en los que el Profesional haya ejercido el derecho de cancelación anticipada serán suprimidos dentro de los 30 días hábiles siguientes a la solicitud, salvo cuando exista obligación legal de conservación.

La baja de una cuenta es irreversible y se realiza en dos pasos: PsiFlow genera y entrega al Profesional un paquete con la totalidad de sus datos —incluidos los expedientes clínicos, descifrados— y solo entonces los elimina de sus sistemas. La plataforma no permite eliminar una cuenta sin haber generado antes ese paquete. PsiFlow conserva un registro del borrado (fecha, cuenta y número de registros eliminados por tabla) en su bitácora de auditoría, sin contenido clínico.

PsiFlow implementa medidas de seguridad administrativas, técnicas y físicas conforme al artículo 19 de la LFPDPPP y a las mejores prácticas de la industria:

En caso de brecha de seguridad que afecte datos personales, PsiFlow notificará al Profesional afectado y al INAI en los plazos establecidos por la LFPDPPP (Art. 20), detallando la naturaleza de la brecha, los datos comprometidos y las medidas correctivas adoptadas.

Conforme a los artículos 22 al 27 de la LFPDPPP, el titular de los datos tiene derecho a:

Procedimiento para ejercer derechos ARCO:

Envíe su solicitud a privacidad@psiflow.mx con los siguientes datos:

1. Nombre completo y correo electrónico registrado en la plataforma.
2. Descripción clara del derecho que desea ejercer.
3. Copia de identificación oficial vigente (INE, pasaporte).
4. En caso de actuar por representación: poder notarial o carta poder simple con firma autógrafa.

PsiFlow responderá en un plazo máximo de 20 días hábiles a partir de la recepción de la solicitud completa, conforme al Art. 24 de la LFPDPPP.

Adicionalmente a los derechos ARCO, el titular puede solicitar en cualquier momento la limitación del uso y divulgación de sus datos personales (Art. 34 LFPDPPP), incluyendo:

• Inscripción en el Registro Público para Evitar Publicidad (REPEP) ante la PROFECO, cuando aplique.
• Solicitud directa a PsiFlow para no recibir comunicaciones de marketing o boletines.
• Restricción del tratamiento para finalidades secundarias indicadas en la sección 3.

Las solicitudes de limitación se atienden en el mismo plazo y por los mismos canales que los derechos ARCO.

Adicionalmente, tiene derecho a oponerse al tratamiento de sus datos personales para finalidades secundarias específicas (análisis agregado, boletín informativo, mejoras del servicio) sin necesidad de cancelar su cuenta. Para ejercer este derecho de oposición granular, envíe un correo a privacidad@psiflow.mx especificando las finalidades a las que se opone. Le responderemos en un plazo máximo de 20 días hábiles.

El titular puede revocar en cualquier momento el consentimiento otorgado para el tratamiento de sus datos personales, siempre que ello no resulte incompatible con una obligación legal de conservación (por ejemplo, el período mínimo de retención de expedientes clínicos establecido por la NOM-004-SSA3-2012).

Para revocar el consentimiento, el Profesional puede:

• Solicitar la baja de su cuenta escribiendo a privacidad@psiflow.mx.
• Retirar por su cuenta, desde Configuración → Mi cuenta, la autorización de contacto por WhatsApp del programa «Pro por feedback» (sección 3). Es inmediato, no requiere solicitud y elimina su número de nuestra base de datos.

La revocación del consentimiento no afecta la licitud del tratamiento realizado con anterioridad (Art. 8, último párrafo, LFPDPPP). Antes de la eliminación definitiva, PsiFlow genera y entrega al Profesional un paquete con la totalidad de sus datos, en formato JSON, con los expedientes clínicos descifrados. La eliminación no puede ejecutarse sin ese paso. Mientras la cuenta siga activa, el Profesional puede además exportar cada expediente en PDF desde la propia plataforma.

PsiFlow utiliza únicamente cookies estrictamente necesarias para el funcionamiento del Servicio. No se utilizan cookies de rastreo, publicidad comportamental ni analítica de terceros que permitan construir perfiles de usuario.

Todas las cookies de sesión son HttpOnly, Secure y SameSite=Lax, lo que las hace resistentes a ataques XSS y CSRF. No es posible deshabilitarlas sin perder acceso al Servicio.

PsiFlow puede modificar el presente Aviso de Privacidad cuando sea necesario para reflejar cambios en el Servicio, en la legislación aplicable o en las prácticas de tratamiento de datos.

Cuando los cambios sean materiales (por ejemplo, una nueva categoría de datos, una nueva transferencia a terceros, o un cambio en las finalidades primarias), PsiFlow notificará al Profesional por correo electrónico con al menos 15 días de anticipación a la entrada en vigor del nuevo aviso.

El aviso actualizado estará siempre disponible en psiflow.mx/privacidad con la fecha de última actualización indicada al inicio del documento. El uso continuado del Servicio tras la fecha de vigencia constituye aceptación del aviso actualizado.

Si considera que su solicitud de ejercicio de derechos ARCO no fue atendida en tiempo y forma, o que sus datos personales están siendo tratados de forma contraria a la LFPDPPP, puede presentar una queja o denuncia ante el: