Seguridad y datos

No es otro chatbot. Es infraestructura tuya.

Dónde se procesan y se guardan los datos de tus pacientes, qué los protege, y quién responde por qué bajo la LFPDPPP.

Dónde viven los datos

Self-hosted en México: en servidores bajo nuestro control.

El almacenamiento y el procesamiento ocurren en infraestructura de ZAVAL ubicada en territorio nacional. No subcontratamos el procesamiento de conversaciones clínicas a nubes de terceros.

El modelo corre aquí: La IA que entiende y responde se ejecuta en nuestros propios equipos, en Puebla. No se envía la conversación a un proveedor de IA extranjero para que la procese.
Las conversaciones se guardan aquí: El historial y el expediente quedan en servidores bajo control de ZAVAL, en México.
No entrenamos con tus pacientes: Los datos de una clínica no alimentan modelos ni se reutilizan para otra.

Lo que sí pasa por terceros, dicho completo: WhatsApp es la plataforma por la que el paciente decide escribirte, así que el mensaje viaja por Meta antes de llegarnos, y su uso se rige además por las condiciones de esa plataforma. Si conectas Google Calendar, la cita se escribe en tu calendario de Google. Ambas figuran como remisiones en el aviso integral — no como transferencias (art. 2, fracc. XX de la Ley). Preferimos decirlo a que lo descubras después.

Qué protege los datos

Medidas concretas, no un sello.

Cifrado en las comunicaciones: El tránsito de datos va cifrado.
Control de accesos: Quién puede ver qué, y con qué cuenta. Cada clínica ve lo suyo y nada más.
Respaldo de información: Copias para que una falla no sea una pérdida.
Confidencialidad obligatoria: Para toda persona que intervenga en el tratamiento, y la obligación subsiste aun después de terminar la relación.

Estas son las medidas declaradas en el aviso de privacidad integral, el documento que nos obliga legalmente. No inventamos certificaciones que no tenemos.

Quién responde por qué

Tu clínica es responsable. Nosotros somos encargados.

Es una distinción de la LFPDPPP y cambia quién debe qué. Conviene tenerla clara antes de firmar, no después.

Tu clínica: Es la responsable de los datos de sus pacientes y quien emite su propio aviso de privacidad, con su razón social y sus datos.
ZAVAL: Trata esos datos en calidad de encargado, por cuenta de la clínica, bajo el contrato de servicio y el aviso de la propia clínica.
Derechos ARCO: Acceso, Rectificación, Cancelación y Oposición. Para los datos que ZAVAL trata por su cuenta, la solicitud va a [email protected].
Consentimiento antes del dato: El asistente pide el consentimiento y ofrece el aviso antes de tomar el primer dato personal, y deja la opción de no compartir información clínica por chat.

Cómo se pide el consentimiento

Un sí tiene que ser un sí. Y quedar registrado.

El consentimiento de datos de salud no es una casilla que se da por marcada porque el paciente siguió escribiendo. En Alma es un paso propio del flujo, con reglas que no se pueden saltar.

Explícito y afirmativo: El aviso se entrega y se espera un acto inequívoco del paciente. El consentimiento se marca sólo en el turno en que ambas cosas ocurrieron: nunca se asume uno anterior.
Ambiguo no es un sí: Si la respuesta no es clara, se vuelve a ofrecer una vez. Si sigue sin serlo, la conversación continúa por la ruta que no captura información clínica. El silencio jamás otorga consentimiento.
Queda registrado: Cada consentimiento se escribe con su rastro de auditoría. Si algún día hay que demostrar cuándo y cómo se otorgó, existe el registro — no la memoria de alguien.
Se puede revocar: La revocación deja al contacto en pausa y se registra igual que el consentimiento. Es un derecho del paciente, no un favor.
La urgencia le gana al trámite: Si aparece una urgencia mientras se está pidiendo el consentimiento, la urgencia gana. La seguridad tiene precedencia sobre el procedimiento.

Agenda una demo → Leer el aviso integral