Borrador pendiente de revisión por abogado. Este texto describe lo que el producto hace hoy; no es asesoría legal y puede cambiar antes de su publicación definitiva.
Resumen para clínicas: expediente clínico (NOM-004), sistemas electrónicos (NOM-024), publicidad (COFEPRIS) y HIPAA. Dice qué hace la plataforma, qué le toca a la clínica y qué no afirmamos.
1 · Qué es este resumen
Este resumen explica cómo se relacionan Soluciones para Doctores y las normas del sector salud en México. También explica qué dice la ley de salud de Estados Unidos (HIPAA) y por qué casi nunca aplica a una clínica mexicana.
Soluciones para Doctores es software de administración para clínicas privadas: agenda, mensajes, recepcionista con IA, recordatorios y portal del paciente. Tsunami Automation Global LLC no presta servicios médicos. La clínica y sus profesionales son responsables de la atención, del expediente clínico, de los consentimientos y de su publicidad.
No somos un despacho legal y este texto no es asesoría legal. Algunas normas pueden tener interpretaciones distintas según tu caso. Consulta a tu abogado.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 2, fracs. XII y XIV
2 · Expediente clínico (NOM-004-SSA3-2012)
La NOM-004 dice cómo debe integrarse el expediente clínico. Estos son los puntos que más importan a una clínica que usa software:
- Conservación: el expediente se guarda al menos 5 años desde el último acto médico (numeral 5.4).
- Propiedad: el expediente pertenece a la institución o al prestador que lo genera. El paciente tiene derechos sobre la información para proteger su salud y su confidencialidad (numeral 5.4).
- Privacidad: los datos que identifican al paciente no se divulgan. Publicar datos del expediente requiere autorización escrita del paciente. Un tercero solo los recibe por solicitud escrita del paciente, de su tutor o del médico autorizado, o de una autoridad competente (numerales 5.5 y 5.7).
- Cada nota lleva fecha, hora, nombre completo y firma de quien la escribe. La firma puede ser autógrafa, electrónica o digital (numerales 5.10 y 5.12).
La clínica sigue siendo responsable del expediente aunque use nuestra plataforma. La ley de datos personales pide además conservar los datos sensibles solo el tiempo mínimo necesario. Los dos plazos se combinan: la clínica decide cuánto tiempo conserva cada dato y por qué.
Un abogado debe confirmar cómo se aplican entre sí la NOM-004 y la LFPDPPP de 2025 en tu clínica.
Fundamento: NOM-004-SSA3-2012 (DOF 15-oct-2012), numerales 5.2, 5.4, 5.5, 5.10; LFPDPPP (DOF 20-mar-2025), art. 12
3 · Qué hace la plataforma con el expediente clínico
La plataforma está pensada como administración y recepción, no como expediente clínico electrónico completo. Dentro hay funciones clínicas limitadas:
- Notas de consulta estructuradas (subjetivo, objetivo, valoración y plan) y notas de la cita, que se guardan cifradas, para los roles con permiso de ver notas clínicas.
- Un borrador de receta que se imprime con el nombre y la cédula del médico y una línea para la firma autógrafa. No incluye firma electrónica avanzada, folio oficial ni receta electrónica con validez oficial.
- Plantillas de consentimiento que la clínica puede crear y guardar. El texto y su suficiencia legal son de la clínica.
Además existe un control de activación del módulo de expediente clínico. Por defecto está apagado. Puede estar en modo piloto, solo para clínicas aprobadas por nosotros, o activo para todas. Exige que el cifrado por campo esté configurado. La solicitud y la aprobación de una clínica quedan en el registro de auditoría.
Este control de activación todavía no gobierna las pantallas de nota de consulta y de receta que se describen arriba. Por eso no ofrecemos la plataforma como expediente clínico electrónico conforme a la NOM-004 ni a la NOM-024. Si tu clínica necesita ese expediente, usa un sistema diseñado para ello o habla con nosotros antes.
La clínica sigue siendo responsable del contenido del expediente, de sus firmas, de las cartas de consentimiento informado (contenido mínimo en el numeral 10.1 de la NOM-004) y del plazo de conservación. La plataforma no borra por sí sola los datos de pacientes. La eliminación es un procedimiento manual; escribe a privacy@tsunamiautomation.com.
Fundamento: NOM-004-SSA3-2012 (DOF 15-oct-2012), numerales 5.2, 5.10, 10.1; LFPDPPP (DOF 20-mar-2025), art. 8
4 · Sistemas de registro electrónico (NOM-024-SSA3-2012)
La NOM-024 regula los sistemas de información de registro electrónico para la salud y el intercambio de información en salud. Según su ámbito, obliga a los establecimientos del sistema de salud que adoptan un sistema de registro electrónico y a las personas que lo poseen, usan, desarrollan, distribuyen o venden. El catálogo oficial de normas de Economía la lista como vigente.
No afirmamos que la plataforma esté certificada ni evaluada como conforme con la NOM-024. Nuestra página pública de privacidad y seguridad (/nom-024) dice lo mismo en otras palabras: la IA es administrativa, el expediente clínico completo está limitado hasta cerrar la revisión legal y técnica, y no prometemos firma clínica, receta electrónica ni cumplimiento COFEPRIS.
Si en el futuro ofrecemos un expediente clínico electrónico, la NOM-024 sería parte de lo que debemos revisar antes. Si tu clínica adopta un sistema de registro electrónico, pregunta a tu abogado qué debe cumplir la clínica.
Fundamento: NOM-024-SSA3-2012 (DOF 30-nov-2012), numeral 1.2 (ámbito) y numeral 11 (vigencia)
5 · Publicidad de servicios de salud (COFEPRIS)
El perfil público de un profesional o de una clínica es publicidad. Estas son las reglas que revisamos, según el texto del Reglamento de la Ley General de Salud en materia de Publicidad:
- Cédula e institución: un profesional que se anuncia debe indicar la institución que expidió su título, diploma o certificado y, en su caso, el número de cédula profesional, en cualquier medio (art. 19).
- Aviso, no permiso: la publicidad de actividades profesionales requiere un aviso a la autoridad sanitaria, presentado 5 días antes de que empiece (arts. 86 fr. I y 87). El permiso se pide para la publicidad de servicios de salud, salvo los servicios que se dan de forma individual (art. 79 fr. I).
- Verdad: el anuncio debe corresponder a las características reales del servicio, no atribuirle cualidades que no tiene y orientar, no engañar (arts. 6, 7 y 18).
- No anunciar tratamientos de eficacia científica no comprobada (art. 18 fr. II).
- Servicios de embellecimiento: solo resultados reales y comprobados, con los riesgos, contraindicaciones y efectos secundarios (arts. 63-65). El reglamento no menciona de forma expresa las fotos de antes y después ni la frase «resultados garantizados», pero los artículos anteriores y la Ley Federal de Protección al Consumidor (art. 32, publicidad veraz y comprobable) las limitan.
Un abogado debe confirmar si tu caso necesita aviso o permiso. La plataforma no presenta avisos ni permisos ante COFEPRIS por la clínica.
Fundamento: Reglamento de la Ley General de Salud en materia de Publicidad (DOF 4-may-2000, última reforma 8-sep-2022), arts. 6, 7, 18, 19, 63-65, 79 fr. I, 86 fr. I y 87; Ley Federal de Protección al Consumidor, art. 32
6 · Qué muestra el perfil público y qué debe agregar la clínica
Un perfil solo aparece en el directorio si la clínica lo publica. La página pública muestra: nombre, especialidad, ciudad y dirección, una biografía que escribe la clínica, idiomas, servicios con precio (o «Precio por confirmar»), el teléfono de contacto, la agenda para reservar y las reseñas aprobadas con el nombre y la inicial del apellido.
La página pública no muestra hoy el número de cédula ni la institución que expidió el título, aunque la plataforma permite guardar la cédula en los ajustes del perfil. Mientras tanto, agrégalos tú en la biografía. No mostramos fotos de pacientes en el perfil.
| Tema | Lo que hace la plataforma | Lo que debe hacer la clínica |
|---|---|---|
| Cédula e institución (art. 19) | Guarda la cédula en los ajustes; no la muestra en la página pública. | Escribir en la biografía el número de cédula y la institución que expidió el título. |
| Aviso a la autoridad sanitaria (arts. 86-87) | No presenta avisos. | Confirmar con su abogado si aplica y presentarlo antes de anunciarse. |
| Texto del anuncio (arts. 6, 7, 18, 63-65) | No revisa el contenido de la biografía ni de los servicios. | No prometer resultados, no anunciar tratamientos sin respaldo científico y, en estética, decir los riesgos. |
| Precios | Muestra el precio que la clínica decide hacer visible. | Mantenerlos al día y claros. |
Fundamento: Reglamento de la Ley General de Salud en materia de Publicidad (DOF 4-may-2000, última reforma 8-sep-2022), art. 19; LFPDPPP (DOF 20-mar-2025), art. 8
7 · Reseñas, testimonios y fotos de pacientes
Una reseña, un testimonio o una foto de un paciente son datos personales. Si dicen algo sobre su salud o su tratamiento, son datos sensibles. Para publicarlos la clínica necesita el consentimiento expreso del paciente, dado por escrito o con una firma o mecanismo electrónico de autenticación (LFPDPPP, art. 8). La NOM-004 pide además autorización escrita para publicar datos que identifiquen al paciente (numeral 5.5).
- En la plataforma, la reseña solo se muestra después de que se aprueba, y la clínica puede ocultarla o reportarla. El nombre sale con la inicial del apellido.
- El texto de la reseña lo escribe el paciente y puede mencionar su salud. La clínica debe revisarlo antes de aprobarlo y no aprobar las reseñas que revelen datos de salud sin que el paciente lo haya aceptado.
- Los testimonios o las fotos que la clínica ponga en su propio sitio o en redes quedan fuera de la plataforma. Necesitan su propio consentimiento por escrito, y no deben prometer resultados.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 8; NOM-004-SSA3-2012 (DOF 15-oct-2012), numeral 5.5; Ley Federal de Protección al Consumidor, art. 32
8 · Datos de salud: consentimiento y excepciones
Los datos de salud son datos sensibles. La clínica, como responsable, necesita el consentimiento expreso del paciente, dado por escrito o con una firma o mecanismo electrónico de autenticación, y debe poder demostrarlo (art. 8). La ley prevé excepciones. Por ejemplo, no se necesita consentimiento para el tratamiento indispensable para atención médica o diagnóstico cuando el paciente no puede darlo y lo hace alguien sujeto a secreto profesional (art. 9 fr. VI), ni para las transferencias necesarias para prevención, diagnóstico o atención médica (art. 36 fr. II). La cancelación puede negarse cuando un profesional de la salud trata los datos bajo secreto profesional (art. 25 fr. VII).
La plataforma pide el consentimiento expreso para datos de salud en los formularios de admisión y guarda la versión del texto que se aceptó, la fecha y los datos técnicos de la aceptación. La clínica debe decidir qué base legal usa para cada tratamiento y mantener sus avisos de privacidad al día.
Fundamento: LFPDPPP (DOF 20-mar-2025), arts. 8, 9 fr. VI, 12, 25 fr. VII y 36 fr. II
9 · HIPAA (Estados Unidos)
HIPAA es una ley de Estados Unidos. Aplica a las entidades cubiertas (planes de salud, centros de intercambio de información de salud y prestadores que envían ciertas transacciones electrónicas estándar) y a sus socios de negocio, es decir, quienes crean, reciben, guardan o transmiten información de salud protegida por cuenta de una entidad cubierta (45 CFR 160.102 y 160.103).
Una clínica mexicana sin actividad cubierta por HIPAA en Estados Unidos no está sujeta a ella. Para esas clínicas, la ley que importa es la LFPDPPP.
No afirmamos que Soluciones para Doctores cumpla HIPAA ni que esté certificada en HIPAA. Si tu clínica atiende pacientes de Estados Unidos como entidad cubierta, o trabaja para una, necesitarías un acuerdo de socio de negocio (BAA) con nosotros (45 CFR 164.504(e)). Hoy no ofrecemos ese acuerdo. Contáctanos en support@tsunamiautomation.com para hablar de tu caso. No prometemos que podamos firmarlo.
Fundamento: 45 CFR 160.102; 45 CFR 160.103; 45 CFR 164.504(e)
10 · Nuestras salvaguardas frente a las reglas de seguridad de HIPAA
Esta tabla es solo una comparación honesta, para clínicas que quieran evaluar el nivel de protección. No significa que cumplamos HIPAA.
| Regla de HIPAA | Qué hacemos hoy | Estado |
|---|---|---|
| 164.308 Administrativas: control de acceso a la información | Roles con permisos separados; aislamiento entre clínicas con seguridad a nivel de fila. | Cubierto |
| 164.308 Administrativas: procedimientos ante incidentes de seguridad | Procedimiento interno documentado y registro de incidentes. Todavía no hacemos simulacros periódicos. | Parcial |
| 164.308 Administrativas: plan de contingencia | Copia diaria (31 copias) y copia en otro almacenamiento cada 6 horas (14 generaciones); una prueba de restauración documentada, no periódica. | Parcial |
| 164.308 Administrativas: evaluación, responsable de seguridad y capacitación | No tenemos auditoría de terceros, certificación ni prueba de penetración publicada, ni un programa formal de capacitación que podamos mostrar. | No |
| 164.310 Físicas: control de acceso a las instalaciones | Los servidores están en un centro de datos del proveedor de hospedaje en Alemania. Sus controles físicos son del proveedor; no los auditamos. | Parcial |
| 164.310 Físicas: estaciones de trabajo y dispositivos | Dispositivos del equipo de la clínica: los controla la clínica. | No |
| 164.310 Físicas: medios y dispositivos (cifrado de disco) | No afirmamos cifrado de disco ni de archivos de respaldo; sí hay cifrado por campo. | No |
| 164.312 Técnicas: control de acceso | Cuentas individuales, permisos por rol, cierre de sesión por inactividad y cifrado por campo de datos de pacientes. | Cubierto |
| 164.312 Técnicas: controles de auditoría | Registro de acciones sensibles; no cubre cada lectura de cada pantalla. | Parcial |
| 164.312 Técnicas: integridad | El cifrado AES-GCM detecta alteración de los campos cifrados. No hay una verificación de integridad general de todos los datos. | Parcial |
| 164.312 Técnicas: autenticación de la persona | Contraseña con hash scrypt y verificación en dos pasos opcional. No es obligatoria todavía. | Parcial |
| 164.312 Técnicas: seguridad en la transmisión | HTTPS con HSTS en el acceso a la plataforma. | Cubierto |
Fundamento: 45 CFR 164.308; 45 CFR 164.310; 45 CFR 164.312
11 · Plazos de aviso de una vulneración: México y HIPAA
| México (LFPDPPP) | HIPAA (solo si aplica) | |
|---|---|---|
| A quién se avisa | A la persona titular de los datos, cuando la vulneración afecta de forma significativa sus derechos patrimoniales o morales. | A cada persona afectada y, según el tamaño, a la autoridad y a los medios. Un socio de negocio avisa a la entidad cubierta. |
| Plazo | «De forma inmediata». La ley no fija un número de días u horas. El texto de la ley que revisamos no menciona un aviso a la autoridad. | Sin demora injustificada y, en todo caso, a más tardar 60 días naturales después de descubrirla. |
| Nuestro compromiso | Avisamos a la clínica sin demora indebida y dentro de 72 horas de confirmar la vulneración. La clínica avisa de inmediato a sus pacientes. | Solo si tu clínica es una entidad cubierta y hay un acuerdo firmado. |
Si tu clínica está en los dos mundos, aplica el plazo más corto.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 19; 45 CFR 164.404(b); 45 CFR 164.410(b)
12 · Resumen: quién hace qué
| Tema | La plataforma | La clínica |
|---|---|---|
| Expediente clínico | Notas de consulta cifradas y borrador de receta imprimible. No se ofrece como expediente electrónico conforme a la NOM-004 ni a la NOM-024. | Integrarlo, firmarlo, conservarlo al menos 5 años y proteger su privacidad. |
| Consentimientos | Pide el consentimiento para datos de salud en la admisión y guarda su versión y fecha. Permite guardar plantillas. | Redactar y firmar las cartas de consentimiento informado y decidir la base legal. |
| Publicidad | Muestra el perfil que la clínica publica. No presenta avisos ni revisa el texto. | Cédula e institución, aviso a la autoridad cuando aplique, veracidad. |
| Derechos ARCO | Registra la solicitud y sigue el plazo. La cancelación es un procedimiento manual. | Responder dentro de los plazos de ley (20 días hábiles para responder y 15 días más para ejecutar). |
| Vulneraciones | Avisa a la clínica dentro de 72 horas de confirmarla. | Avisar de inmediato a los pacientes afectados. |
| HIPAA | No se afirma cumplimiento. No se ofrece BAA hoy. | Solo si es entidad cubierta: evaluar si puede usar la plataforma. |