Contrato de encargo de datos

Publicado el 18 de septiembre de 2026

Este contrato regula el tratamiento de los datos personales de tus pacientes cuando usas MyMedical. Se acepta al registrar la clínica y complementa los términos y condiciones y el aviso de privacidad.

Las partes y sus papeles

• La clínica (el consultorio, la clínica o el laboratorio que contrata) es la RESPONSABLE de los datos personales de sus pacientes: decide qué recaba, para qué, publica su propio aviso de privacidad y atiende las solicitudes de derechos ARCO de sus pacientes.
• MyMedical (Rafael Mendoza Martínez, RFC MEMR8809296X0) es el ENCARGADO: trata esos datos únicamente por cuenta de la clínica, con el fin de prestarle el servicio, y siguiendo sus instrucciones.

Qué datos y con qué fin

Los que la clínica capture en el sistema: identificación y contacto de sus pacientes, su expediente clínico (historia, notas, odontograma, signos vitales, diagnósticos, recetas, estudios, consentimientos e imágenes), citas, cobros y datos fiscales para facturar. La finalidad es única: operar el servicio contratado (guardar, mostrar, respaldar, enviar los correos que la clínica configure y emitir sus comprobantes).

Obligaciones de MyMedical como encargado

1. No usar los datos para fines propios. No los vendemos, no los cedemos ni los usamos para entrenar sistemas, hacer perfiles o publicidad.
2. Guardar confidencialidad, también cuando termine el contrato, y obligar a lo mismo a nuestro personal.
3. Medidas de seguridad: base de datos separada por clínica, cifrado en tránsito, permisos por usuario, verificación en dos pasos disponible, bitácora inalterable de accesos al expediente y respaldos periódicos.
4. Acceso de nuestro personal solo con tu permiso. La clínica activa o desactiva el acceso de soporte; cada entrada exige un motivo, dura como máximo 2 horas y queda en la bitácora de la clínica a nombre de quien entró.
5. Avisar los incidentes. Si ocurre una vulneración de seguridad que afecte tus datos, te avisamos sin demora y a más tardar en 72 horas desde que la conozcamos, con lo que sepamos y las medidas tomadas.
6. Apoyar tus obligaciones: te damos las herramientas para responder solicitudes ARCO, exportar el expediente y demostrar cumplimiento (bitácoras, exportaciones, este contrato).
7. Devolver o suprimir. Al terminar el servicio te entregamos una exportación completa (base de datos y archivos) y, cuando nos lo pidas por escrito, borramos definitivamente la información, salvo lo que debamos conservar por ley.
8. Subencargados. Podemos apoyarnos en los proveedores listados en el aviso de privacidad (alojamiento, entrega del sitio, correo, cobro con tarjeta y facturación electrónica), obligados por contrato a las mismas condiciones. Te avisaremos antes de agregar uno nuevo que trate datos de pacientes.

Obligaciones de la clínica como responsable

1. Publicar su aviso de privacidad a sus pacientes y obtener el consentimiento que la ley exija, en especial para los datos de salud.
2. Capturar solo la información necesaria y mantenerla exacta.
3. Dar de alta a su equipo con cuentas individuales, con los permisos mínimos que cada quien necesite, y no compartir contraseñas.
4. Atender las solicitudes ARCO de sus pacientes y decidir sobre la conservación de sus expedientes conforme a la NOM-004-SSA3-2012 (al menos cinco años).
5. Autorizar por escrito, dentro del sistema, el acceso de soporte cuando lo necesite.

Conservación

MyMedical conserva la información mientras la clínica tenga el servicio contratado. La suspensión por falta de pago no borra nada: la clínica queda en solo lectura y puede consultar y exportar sus expedientes.

Vigencia

Este contrato dura lo que dure el servicio y sus obligaciones de confidencialidad siguen después. Si alguna cláusula contradice a la ley aplicable, se aplica la ley y el resto sigue vigente.

Dudas o solicitudes: [email protected]