Acuerdo de tratamiento de datos

Versión 2026-10-v1. Fecha: 11 de octubre de 2026.

Este acuerdo forma parte de los términos del servicio (terminos-saas).

1. Partes y papeles

Responsable: el negocio que contrata el Servicio.
Encargado: Hector José Ramírez Gamoneda (nombre comercial: TuCitaConNosotros), Res. Campocielo, C.P. 97302, Mérida, Yucatán, México, RFC RAGH880323KJ7 ("la plataforma").

Elemento	Detalle
Finalidad	Prestar el Servicio de agenda y reservas en línea
Titulares	Pacientes del negocio
Datos	Nombre, apellido, correo, teléfono, zona horaria elegida (se guarda en la cita), datos de la cita (servicio, profesional, fecha y hora), estado de pago, registro de consentimiento (versión y fecha). Opcional, si el negocio usa el módulo Consultoría: fecha y hora de nacimiento del cliente, registradas por el negocio en el panel
Datos sensibles	Ninguno previsto (ver sección 13)
Operaciones	Almacenar, consultar, mostrar al negocio, enviar correos de confirmación y recordatorio, respaldar, exportar y borrar a solicitud
Duración	Mientras dure la suscripción, más el plazo de devolución y borrado de la sección 11

La plataforma trata los datos solo según las instrucciones documentadas del negocio. Los términos, este DPA y la configuración que el negocio hace en el panel constituyen esas instrucciones.
La plataforma no usa los datos de pacientes para fines propios, publicidad ni venta.
Si una instrucción le parece contraria a la ley, la plataforma avisa al negocio.

Solo accede el personal que lo necesita para operar, dar soporte o resolver incidentes.
Ese personal está sujeto a un deber de confidencialidad que continúa al terminar su relación.

La plataforma aplica, como mínimo:

Cifrado en tránsito con TLS en todas las conexiones al Servicio.
Aislamiento por empresa: cada negocio en su subdominio y sus datos separados con aislamiento en la base de datos.
Acceso privado y segundo factor: el panel de administración de la plataforma solo es accesible por red privada (Tailscale) y con 2FA.
Respaldos cifrados: diarios; 14 días locales y 30 días en copia externa cifrada del lado del cliente antes de salir del servidor; prueba de restauración semanal.
Registro de auditoría de acciones relevantes.
Contraseñas guardadas con hash.

La plataforma puede actualizar las medidas si mantiene o mejora el nivel de protección.

El negocio autoriza de forma general los subencargados listados en subencargados.
La plataforma impone a cada subencargado obligaciones de protección equivalentes a este DPA.
La plataforma avisa con un plazo razonable de anticipación cualquier alta o cambio de subencargado que trate datos de pacientes.
El negocio puede oponerse por motivos razonables dentro de ese plazo. Si no hay solución, el negocio puede terminar el contrato sin penalización.
PayPal es contratado directamente por cada negocio. No es subencargado de la plataforma.

La plataforma notifica al negocio cualquier violación de seguridad que afecte datos de sus pacientes sin demora indebida desde que se confirme el incidente, con la información disponible en ese momento.
La plataforma envía actualizaciones posteriores a medida que obtiene más información.
La notificación incluye, en lo posible: qué pasó, datos y titulares afectados, consecuencias probables, medidas tomadas y un contacto.
El negocio decide si notifica a la autoridad y a los pacientes. La plataforma le ayuda con la información que tenga.

Si un paciente escribe a la plataforma para ejercer sus derechos, la plataforma lo remite al negocio y no responde por su cuenta.
El panel permite al negocio consultar y corregir datos de pacientes.
Hoy, la exportación y el borrado de datos de pacientes se atienden a solicitud del negocio por soporte (tucitaconnosotros@gmail.com), en un plazo razonable.
Las funciones de exportación y borrado de autoservicio en el panel son futuras. No se prometen en este acuerdo hasta que existan.

Algunos subencargados tratan datos fuera del país del negocio (ver ubicaciones en subencargados).
La plataforma usa garantías contractuales adecuadas según la ley mexicana y la del país del negocio.

La plataforma da al negocio, a petición razonable, la información necesaria para demostrar cumplimiento (descripción de medidas, lista de subencargados, resultados de pruebas de restauración).
Auditorías presenciales o por terceros: con aviso previo de un plazo razonable, una vez al año como máximo salvo incidente, en horario hábil, con confidencialidad y a cargo del negocio.

El negocio puede pedir la exportación de sus datos durante un plazo razonable desde la terminación. La plataforma la entrega por soporte en un plazo razonable, en un formato de uso común.
Después, la plataforma borra los datos de los sistemas activos y lo confirma al negocio si lo pide.
Las copias de respaldo se eliminan al vencer su ciclo (máximo 30 días adicionales).
La plataforma solo conserva lo que exija la ley, y lo protege igual.

Este DPA dura mientras la plataforma trate datos por cuenta del negocio. Las obligaciones de confidencialidad continúan después.

El Servicio no está diseñado para expedientes clínicos ni para guardar datos de salud.
El negocio no debe cargar datos sensibles fuera de los campos previstos (por ejemplo, en notas, nombres o descripciones).
Si el negocio lo hace, lo hace bajo su responsabilidad. La plataforma puede pedirle que los retire.
Si el negocio llegara a recoger datos de salud mediante una función futura, se requerirá consentimiento expreso y por escrito del paciente y una adenda a este DPA.

República Dominicana: Ley 172-13.
México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2025).

Ley aplicable y tribunales: leyes federales de los Estados Unidos Mexicanos; tribunales competentes de Mérida, Yucatán, México.