Borrador pendiente de revisión por abogado. Este texto describe lo que el producto hace hoy; no es asesoría legal y puede cambiar antes de su publicación definitiva.
Explica cómo trata Tsunami los datos de quien usa la plataforma, visita el sitio o nos contacta, y deja claro que de los datos de los pacientes es responsable cada clínica.
1 · 1. Quién es el responsable
Tsunami Automation Global LLC (“Tsunami”) opera Soluciones para Doctores. Domicilio: 5900 Balcones Drive STE 100, Austin, TX 78731, United States. Correo para temas de privacidad: privacy@tsunamiautomation.com. Sitio: https://solucionesparadoctores.tsunamiautomation.com.
Tratamos datos personales en dos papeles distintos:
- Como responsable, de tus datos si eres usuario de una clínica en la plataforma, visitante del sitio, prospecto o persona que pide una demo, contacto de facturación, o profesional que aparece en el directorio.
- Como encargada, de los datos de los pacientes. De esos datos es responsable cada clínica (sección 2).
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15, fr. I; LFPDPPP (DOF 20-mar-2025), art. 2, fr. XII y XIV
2 · 2. Si eres paciente: la responsable es tu clínica
Cuando una clínica usa Soluciones para Doctores, la clínica decide para qué y cómo se usan los datos de sus pacientes. Por eso la clínica es la responsable. Tsunami Automation Global LLC solo trata esos datos por cuenta de la clínica y siguiendo sus instrucciones, como encargada. Las reglas están en el contrato de encargo (/legal/contrato-encargo). Los proveedores que reciben datos están en /legal/subencargados.
Para ejercer tus derechos sobre datos de paciente, tienes tres caminos:
- Pídelo directamente a tu clínica. Su nombre y domicilio están en su mensaje de confirmación y en su perfil.
- Usa la página ARCO de tu clínica: /arco/<código de tu clínica>. El código es la última parte de la dirección que te dio la clínica.
- Escríbenos a privacy@tsunamiautomation.com. Enviamos tu solicitud a la clínica y la ayudamos a responder dentro del plazo legal.
La clínica debe tener su propio aviso de privacidad y pedir tu autorización expresa para tratar tus datos de salud. La plataforma incluye una casilla de autorización expresa en el formulario de ingreso del paciente.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 2, fr. XII y XIV; LFPDPPP (DOF 20-mar-2025), art. 8; LFPDPPP (DOF 20-mar-2025), art. 13; Reglamento de la LFPDPPP (2011), arts. 49 a 55
3 · 3. Qué datos tratamos
| Persona | Datos | Cómo los obtenemos | ¿Sensibles? |
|---|---|---|---|
| Usuarios de clínicas (dueños, médicos, recepción) | Nombre, correo, teléfono, rol, contraseña (guardada como código irreversible), clave de verificación en dos pasos (cifrada), registros de acceso (fecha, dirección IP, navegador) y actividad en la cuenta. | De ti o de la persona que administra tu clínica y te invitó. | No |
| Visitantes del sitio | Tu elección sobre cookies. Solo si aceptas cookies analíticas: dirección IP, navegador, identificador de cookie y páginas visitadas. | Automáticamente, desde tu navegador. | No |
| Prospectos y solicitudes de demo o contacto | Nombre, correo, teléfono, nombre de la clínica y el mensaje que escribas. | De ti, en nuestros formularios. | No. No escribas datos de salud en estos formularios. |
| Contactos de facturación y pago | Correo del pagador, monto, referencia, organización y los datos que nos des para facturar. No recibimos ni guardamos el número completo de tu tarjeta. | De ti o de tu clínica, y del proveedor de pagos cuando la clínica activa pagos en línea. | No |
| Profesionales y clínicas del directorio | Nombre del profesional o de la clínica, teléfono y dirección de su consultorio. | Ver sección 12. | No |
| Pacientes (a través de su clínica) | Nombre, correo, teléfono, citas, mensajes por WhatsApp o chat, llamadas con el agente de voz, notas y, solo si el paciente los da, datos de salud. | Del paciente, o de la clínica. | Sí, pueden incluir datos de salud. Los trata la clínica como responsable. |
Para los datos que tratamos como responsable no pedimos datos sensibles. Los datos de salud solo aparecen en los flujos de pacientes, y los trata la clínica. Para tratarlos, la clínica necesita tu consentimiento expreso y por escrito. La ley acepta que se dé con firma electrónica o con un mecanismo de autenticación.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15, fr. II; LFPDPPP (DOF 20-mar-2025), art. 2, fr. VI; LFPDPPP (DOF 20-mar-2025), art. 8
4 · 4. Para qué usamos tus datos
Finalidades necesarias. Sin ellas no podemos darte el servicio:
- Crear y administrar tu cuenta, y comprobar quién eres cuando entras.
- Prestar el servicio que contrató la clínica: agenda, mensajes, recordatorios, recepcionista con IA y voz.
- Dar soporte y enviarte avisos del servicio, de seguridad y facturas.
- Cobrar y facturar.
- Cuidar la seguridad, evitar abusos y llevar bitácoras de auditoría.
- Responder las solicitudes de contacto, demo o información que tú nos haces.
- Mostrar el directorio de profesionales (sección 12).
- Cumplir obligaciones legales y atender requerimientos de autoridad.
Finalidades secundarias. Necesitan tu consentimiento o puedes negarte:
- Enviarte novedades, promociones o invitaciones comerciales de Tsunami, si nos lo pediste o lo aceptaste.
- Medir con Google Analytics las visitas a las páginas públicas del sitio, solo si aceptas las cookies analíticas.
- Mejorar el producto con estadísticas de uso de las cuentas de clínica. No usamos datos personales de pacientes para este fin.
Para negarte a una finalidad secundaria, escribe a privacy@tsunamiautomation.com y dinos cuál. También puedes elegir “Solo necesarias” en el banner de cookies, o responder BAJA a un mensaje comercial. Puedes hacerlo cuando nos das tus datos o después. Negarte no afecta el servicio.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15, fr. III; LFPDPPP (DOF 20-mar-2025), art. 11; Reglamento de la LFPDPPP (2011), art. 14; Reglamento de la LFPDPPP (2011), art. 30
5 · 5. Cómo limitar el uso o la divulgación de tus datos
- Pídenos por correo (privacy@tsunamiautomation.com) que dejemos de usar tus datos para fines comerciales.
- Responde BAJA, STOP o ALTO a un mensaje comercial para dejar de recibirlo.
- Cambia tu elección de cookies cuando quieras con el enlace “Preferencias de cookies” al pie de cada página.
- Ejerce tu derecho de oposición (sección 8).
- También puedes inscribirte en el registro público de PROFECO para no recibir publicidad.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15, fr. IV; LFPDPPP (DOF 20-mar-2025), art. 26; LFPC, arts. 17 y 18 Bis
6 · 6. A quién compartimos tus datos y a qué países
No vendemos ni alquilamos datos personales. Compartimos datos con proveedores que nos ayudan a operar la plataforma. Algunos están fuera de México: Alemania (hospedaje) y Estados Unidos (la mayoría de los demás). Esta lista muestra los destinatarios; el detalle de qué datos recibe cada uno está en /legal/subencargados.
| Destinatario | Para qué | País |
|---|---|---|
| Proveedor de infraestructura en la nube (Unión Europea) | Hospedaje de la aplicación, la base de datos y los respaldos. | Alemania (Núremberg) |
| Proveedores de modelos de lenguaje de IA | Modelos de lenguaje de la recepcionista con IA: redactan respuestas, y transcriben las notas de voz de WhatsApp. | Estados Unidos |
| Proveedor de agente de voz | Agente de voz (llamadas telefónicas de la recepcionista), con su modelo de lenguaje. | Estados Unidos |
| Proveedor de telefonía y mensajería | Llamadas y mensajes de aviso al personal de la clínica; canal de WhatsApp de algunas clínicas. | Estados Unidos |
| Proveedor de la plataforma de WhatsApp Business | Envío y recepción de mensajes de WhatsApp entre la clínica y el paciente. | Estados Unidos |
| Proveedor de correo transaccional | Envío de correos transaccionales (enlaces de acceso, invitaciones, avisos y recordatorios). | Proveedor internacional |
| Google LLC (Google Analytics) | Medición de visitas a las páginas públicas del sitio. Solo se activa si aceptas las cookies analíticas. | Estados Unidos |
| Google LLC (Google Calendar) | Sincronización opcional de citas con el calendario de la clínica. Solo si la clínica conecta su calendario. | Estados Unidos |
| Stripe, Inc. y Mercado Pago | Cobros y suscripciones, cuando una clínica o un plan los usa. Los pagos en línea solo están activos para las clínicas que los habilitan. | Estados Unidos; México y Latinoamérica |
| Cloudflare, Inc. | Servicio de nombres de dominio (DNS). | Global |
| Almacenamiento de copias de seguridad (Unión Europea) | Copias de seguridad de la base de datos. | Alemania (ubicación exacta por confirmar) |
El motor de reservas y el registro de errores funcionan en nuestros propios servidores en Alemania. No son terceros.
Cláusula de transferencias. Al darnos tus datos y usar la plataforma, aceptas que los compartamos con los destinatarios de esta lista, y con autoridades cuando la ley lo exija. Si no aceptas alguna transferencia, escríbenos a privacy@tsunamiautomation.com antes de usar el servicio. Puede que no podamos ofrecerte la parte del servicio que depende de ella.
Para pacientes: la clínica es quien decide las transferencias de sus datos. La ley permite transferencias sin consentimiento cuando son necesarias para prevención, diagnóstico o atención médica, o para administrar servicios de salud.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 35; LFPDPPP (DOF 20-mar-2025), art. 36, fr. II; Reglamento de la LFPDPPP (2011), arts. 74 a 76
7 · 7. Decisiones automatizadas y recepcionista con IA
La recepcionista con IA contesta mensajes por WhatsApp y llamadas de voz. Puede proponer horarios y agendar o cambiar citas dentro de las reglas de la clínica. No está hecha para dar diagnósticos ni indicaciones médicas.
Si el mensaje parece una urgencia o una duda clínica, la respuesta se sustituye por un aviso y se avisa al personal de la clínica para que una persona atienda. Para preparar la respuesta, el texto del mensaje se envía antes al proveedor del modelo de lenguaje (sección 6). Por eso, no escribas datos de salud detallados en el chat. Si es una emergencia, llama a los servicios de emergencia.
Tienes derecho a oponerte a que se tomen decisiones sobre ti solo con tratamiento automatizado, sin intervención humana, cuando te afecten de forma importante. Pide que una persona de la clínica atienda tu caso, o ejerce tu oposición como indica la sección 8.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 26, fr. II
8 · 8. Tus derechos ARCO
- Acceso: saber qué datos tuyos tratamos y cómo.
- Rectificación: corregir datos inexactos o incompletos.
- Cancelación: pedir que eliminemos tus datos. Puede haber datos que debamos conservar por ley (sección 11).
- Oposición: oponerte a un uso de tus datos, incluido el uso comercial y las decisiones solo automatizadas.
Para datos que tratamos como responsable, escribe a privacy@tsunamiautomation.com. Para datos de paciente, usa los caminos de la sección 2. La persona o área que atiende estas solicitudes es el equipo de privacidad de Tsunami, en ese correo.
Tu solicitud debe incluir:
- Tu nombre y un medio para responderte (correo o domicilio).
- Un documento que acredite tu identidad o la de tu representante.
- La descripción clara de los datos y del derecho que quieres ejercer.
- Cualquier dato que ayude a ubicar tu información (por ejemplo, la clínica y la fecha de tu cita).
Es gratis. Solo podemos cobrar costos de reproducción o envío. Respondemos en 20 días hábiles desde que recibimos tu solicitud. Si procede, la cumplimos en 15 días más. Ambos plazos pueden ampliarse una sola vez por el mismo tiempo, si lo justificamos. Los días son hábiles. Si pides lo mismo más de una vez en 12 meses, el costo no puede pasar de 3 UMA.
Fundamento: LFPDPPP (DOF 20-mar-2025), arts. 21 a 26; LFPDPPP (DOF 20-mar-2025), art. 28; LFPDPPP (DOF 20-mar-2025), art. 29; LFPDPPP (DOF 20-mar-2025), art. 31; LFPDPPP (DOF 20-mar-2025), art. 34
9 · 9. Cómo retirar tu consentimiento
Puedes retirar tu consentimiento cuando quieras, escribiendo a privacy@tsunamiautomation.com. Para cookies, usa “Preferencias de cookies”. Para mensajes comerciales, responde BAJA. Para tus datos de salud como paciente, díselo a tu clínica.
Retirar el consentimiento no cambia lo que se hizo antes de retirarlo. Si retiras un consentimiento que el servicio necesita, es posible que no podamos seguir dándotelo. Algunos datos deben conservarse por ley aunque retires tu consentimiento.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 7; LFPDPPP (DOF 20-mar-2025), art. 15
11 · 11. Cuánto tiempo conservamos tus datos
Los plazos y el procedimiento de eliminación están en /legal/conservacion-eliminacion. En resumen:
- Los datos de una cuenta de clínica se conservan mientras la cuenta esté activa. Si la clínica termina el servicio, borramos sus datos en 30 días a partir de su solicitud. Las copias de seguridad se vencen por rotación.
- Los datos de contacto de prospectos se conservan mientras sean útiles para responderte o hasta que pidas eliminarlos. Hoy no existe un borrado automático por antigüedad; nosotros lo hacemos manualmente cuando lo pides.
- Algunos datos se guardan por obligación legal, por ejemplo documentos fiscales (cinco años).
- Los enlaces y sesiones temporales caducan solos.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 10; LFPDPPP (DOF 20-mar-2025), art. 12; LFPDPPP (DOF 20-mar-2025), art. 24; Código Fiscal de la Federación, art. 30
12 · 12. Directorio de profesionales
La plataforma incluye un directorio público de clínicas y profesionales. Muestra datos de contacto profesional o comercial: nombre del profesional o de la clínica, teléfono y dirección del consultorio. Los usamos para que los pacientes encuentren al profesional. No es una finalidad que dependa de que seas cliente.
Si apareces en el directorio y quieres corregir tus datos o que te quitemos, escribe a privacy@tsunamiautomation.com con el nombre y el teléfono del listado. Lo atendemos como una solicitud de rectificación, cancelación u oposición, en 20 días hábiles.
Si recibimos tus datos de profesional de una fuente distinta a ti, esta sección es nuestro aviso para ti. Puedes ejercer tus derechos en cualquier momento.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15; LFPDPPP (DOF 20-mar-2025), art. 17; LFPDPPP (DOF 20-mar-2025), arts. 23 a 26
13 · 13. Seguridad y vulneraciones
Aplicamos medidas administrativas, técnicas y físicas para cuidar los datos. Entre ellas:
- Los datos personales de pacientes y el texto de los mensajes se guardan cifrados a nivel de campo.
- Las conexiones usan HTTPS.
- Las contraseñas se guardan como código irreversible. Las sesiones caducan por inactividad.
- Los datos de cada clínica están separados de los de otras clínicas.
- Llevamos registros de auditoría y ofrecemos verificación en dos pasos a las cuentas de clínica.
Ningún sistema es perfectamente seguro. Si ocurre una vulneración que afecte de forma importante tus derechos, te la informaremos de inmediato. Si afecta datos de pacientes, avisamos a la clínica sin demora para que pueda informar a los pacientes. Más detalle en /legal/seguridad.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 18; LFPDPPP (DOF 20-mar-2025), art. 19; LFPDPPP (DOF 20-mar-2025), art. 20
14 · 14. Cambios a este aviso
Si cambiamos este aviso, lo publicamos aquí con una nueva versión y fecha. Cuando el cambio sea importante, te avisamos por correo o dentro de la plataforma. Si queremos usar tus datos para un fin nuevo, te pedimos de nuevo tu consentimiento cuando la ley lo exija.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15; LFPDPPP (DOF 20-mar-2025), art. 11
15 · 15. Autoridad
Si crees que no atendimos bien tu solicitud o que se violaron tus derechos, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, que es la autoridad en materia de protección de datos personales. La solicitud de protección de derechos se presenta dentro de los 15 días hábiles siguientes a nuestra respuesta, o cuando venza el plazo sin que respondamos. Te pedimos escribirnos primero, para intentar resolverlo.
Fundamento: LFPDPPP (DOF 20-mar-2025), arts. 38 y 39; LFPDPPP (DOF 20-mar-2025), arts. 40 a 50
16 · 16. Versión y fecha
Versión 2026-10. Fecha prevista de entrada en vigor: 2026-11-01.
Nota para el abogado: este aviso también cita el Reglamento de la LFPDPPP (2011) y los Lineamientos del Aviso de Privacidad (2013). Ambos hablan de artículos de la ley anterior. Un abogado debe confirmar cómo se aplican después de la ley de 2025.