Aviso de privacidad — SANOA

> BORRADOR SIN REVISIÓN LEGAL. NO PUBLICAR. > Redactado por Dev2 el 2026-08-10 a partir del código y del esquema de la base, no de > una plantilla. Los datos que enumera son los que el producto trata hoy, verificados > tabla por tabla. Todo lo que aparece entre `«corchetes»` es un dato que el código no > puede saber y que tiene que aportar quien sea el responsable. > > Léase antes la sección final, «Lo que este borrador no puede resolver». Hay una > decisión —quién es el responsable del tratamiento— de la que depende la mitad del > documento.

---

1. Quién es responsable de tus datos

«Razón social», con domicilio en «domicilio fiscal completo» y RFC «RFC», es responsable del tratamiento de tus datos personales, en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad.

Para cualquier asunto relacionado con este aviso: «correo de contacto».

⚠ Sobre la relación entre SANOA y tu psicólogo. SANOA es una plataforma que usan profesionales y clínicas independientes. Cada clínica decide qué anota de ti y para qué; SANOA proporciona el sistema donde eso se guarda. «Definir en revisión legal si SANOA actúa como responsable, como encargado de cada clínica, o si hay corresponsabilidad, y reescribir esta sección en consecuencia.»

2. Qué datos tratamos

2.1 Datos de identificación y contacto

Nombre, correo electrónico, teléfono, fecha de nacimiento, género e idioma preferido. Contacto de emergencia, si lo proporcionas. Si te registras con Google, recibimos de ese proveedor tu correo y tu nombre.

De los profesionales, además: cédula profesional, profesión, especialidad, enfoques, fotografía de perfil, sucursales y horarios.

2.2 Datos personales sensibles

La mayor parte de lo que SANOA trata son datos personales sensibles relativos a tu salud, y el artículo 9 de la LFPDPPP exige tu consentimiento expreso y por escrito para tratarlos. Concretamente:

| Qué | Qué contiene | | --------------------------- | -------------------------------------------------------------------------------------------- | | Citas | Fecha, duración, modalidad (presencial o en línea), estado y motivo | | Notas de sesión | Notas clínicas en formato SOAP: subjetivo, objetivo, análisis y plan | | Expediente clínico | Antecedentes, diagnóstico y evolución | | Cuestionario de ingreso | Qué te trae a terapia, antecedentes y expectativas, escritos por ti | | Mensajes | La conversación con tu psicólogo dentro de la plataforma | | Evaluaciones | Escalas clínicas aplicadas, tus respuestas, la puntuación y si se activó una señal de riesgo | | Planes terapéuticos | Los objetivos de tu tratamiento | | Tareas y recursos | Lo que tu psicólogo te asigna entre sesiones y si lo completaste | | Documentos | Archivos que tu clínica comparte contigo | | Recetas | Solo cuando quien te atiende es psiquiatra: medicamentos, dosis, indicaciones | | Consentimientos | Los consentimientos informados que firmas y su fecha | | Diario personal | Lo que escribes en tu diario dentro del portal | | Videoconsultas | El registro de que la sesión ocurrió y cuándo | | Reseñas | La calificación y el comentario que escribas sobre un profesional |

2.3 Datos de uso

Registros técnicos de acceso y actividad, y un registro de auditoría de las operaciones sensibles sobre tu información. Ese registro no se puede modificar ni borrar: está diseñado así para que quede constancia de quién accedió a qué.

2.4 Lo que NO tratamos

• No procesamos pagos. La plataforma no cobra ni almacena datos bancarios ni de

tarjeta.

• No grabamos las videoconsultas. Se guarda que la sesión ocurrió, no su contenido.
• No usamos tus datos para entrenar sistemas de inteligencia artificial, ni tenemos

hoy ninguna integración con proveedores de IA.

• No hacemos publicidad ni perfilado comercial con tu información de salud.

3. Para qué usamos tus datos

Finalidades primarias — necesarias para darte el servicio

1. Crear y administrar tu cuenta y verificar tu identidad.
2. Permitir que reserves, consultes y canceles citas.
3. Permitir que tu psicólogo documente tu atención: notas, expediente, evaluaciones,

planes, tareas y, cuando corresponda, recetas.

1. Comunicarte con tu psicólogo por la mensajería de la plataforma.
2. Enviarte avisos y recordatorios de tus citas por correo electrónico.
3. Realizar videoconsultas cuando la cita sea en línea.
4. Conservar tu expediente durante el plazo que exige la normatividad sanitaria.
5. Atender tus solicitudes de acceso, rectificación, cancelación y oposición.
6. Cumplir obligaciones legales y atender requerimientos de autoridad competente.

Finalidades secundarias — puedes oponerte sin afectar tu atención

1. Mostrar públicamente las reseñas que decidas escribir.
2. «Añadir aquí cualquier finalidad secundaria real —estadística, mejora del servicio,

comunicación comercial— o suprimir esta sección si no existe ninguna. No inventar finalidades: cada una obliga a ofrecer un mecanismo de oposición.»

Para oponerte a las finalidades secundarias, escribe a «correo de contacto». Tu negativa no afecta a la atención que recibes.

4. Sobre tus reseñas — léelo antes de escribir una

Si escribes una reseña sobre un profesional, la calificación y el comentario son públicos y aparecen en su ficha del directorio, visible para cualquiera en internet. Escribe pensando en eso: no incluyas información sobre tu salud, tu diagnóstico o el contenido de tus sesiones. La plataforma te lo advierte antes de publicar.

5. Con quién compartimos tus datos

No vendemos tus datos. Para operar, utilizamos proveedores que actúan como encargados y solo pueden tratar tu información conforme a nuestras instrucciones:

| Proveedor | Para qué | Dónde | | ------------ | ------------------------------------------- | -------- | | Supabase | Base de datos, autenticación y archivos | «región» | | Vercel | Alojamiento de la aplicación | «región» | | Resend | Envío de correos: confirmaciones y avisos | «región» | | Daily.co | Videoconsultas | «región» | | Google | Inicio de sesión, solo si eliges esa opción | «región» |

⚠ Estos servicios están alojados fuera de México. Usar SANOA implica que tus datos se transfieren y almacenan en el extranjero. «Confirmar las regiones reales de cada proveedor y evaluar si alguna transferencia requiere consentimiento expreso conforme al artículo 36 de la LFPDPPP.»

Además, tu información clínica es accesible para el personal de la clínica que te atiende —tu psicólogo y quienes tengan un rol autorizado en esa organización—, y para nadie más. La plataforma aísla técnicamente los datos de cada clínica.

También podremos compartir datos cuando lo exija una autoridad competente o una disposición legal.

6. Tu diario personal es solo tuyo

El diario del portal no lo puede leer nadie de la clínica. No existe ningún permiso que se lo conceda ni pantalla desde la que se vea. Es la única parte del producto donde esto es así, y es deliberado.

7. Cuánto tiempo conservamos tu información

Tu expediente clínico se conserva conforme a la NOM-004-SSA3-2012, "Del expediente clínico", que obliga a conservarlo al menos cinco años contados a partir del último acto médico. Cada clínica configura su propio plazo dentro de la plataforma.

⚠ Consecuencia práctica: durante ese plazo, tu expediente no se puede borrar aunque lo pidas. No es una negativa a atender tu solicitud: es una obligación legal que pesa sobre quien te atiende.

8. Cómo ejercer tus derechos ARCO

Tienes derecho a acceder a tus datos, rectificarlos si son inexactos, cancelarlos cuando ya no sean necesarios y oponerte a determinados tratamientos. También puedes revocar tu consentimiento.

Puedes solicitarlo desde tu portal, en la sección de eliminación de datos, o escribiendo a «correo de contacto» con:

• Tu nombre y un medio para comunicarte la respuesta.
• Copia de una identificación oficial.
• La descripción clara de los datos y del derecho que quieres ejercer.

Responderemos en un plazo máximo de veinte días hábiles, y si procede, lo haremos efectivo dentro de los quince días hábiles siguientes, conforme al artículo 32 de la LFPDPPP.

8.1 Qué pasa exactamente cuando pides que borren tus datos

Esto es más específico que en la mayoría de los avisos porque el producto funciona así, y callarlo sería engañoso:

• La solicitud se ejecuta clínica por clínica. Si te has atendido en dos, tienes que

pedirlo en cada una. Una clínica no puede borrar el expediente que otra está obligada a conservar.

• Hay un plazo de gracia antes de que la solicitud pueda ejecutarse —treinta días por

omisión—, y el plazo legal de conservación manda sobre tu solicitud.

• Se borran tus citas con esa clínica, las notas de esas sesiones, tu expediente en

ella, la conversación y sus mensajes, y los avisos relacionados.

• No se borra tu cuenta —sigue siendo tuya y puedes cerrarla aparte—, ni el registro

de auditoría, que es inmodificable por diseño.

• Los documentos compartidos requieren un paso manual por parte de la clínica.

«Verificar en revisión legal si esto es aceptable o si debe automatizarse antes de publicar el aviso.»

Si consideras que tu derecho fue vulnerado, puedes acudir al INAI.

9. Medidas de seguridad

Aplicamos medidas administrativas, técnicas y físicas para proteger tu información: cifrado en tránsito, control de acceso por roles, aislamiento técnico entre clínicas, registro de auditoría inmodificable y bloqueo de pantalla por inactividad en el panel profesional.

⚠ Declaración pendiente de ajustar. Hoy solo el contenido de los mensajes está cifrado a nivel de campo; el resto de la información clínica está protegida por control de acceso y por el cifrado del proveedor, no por cifrado de campo. «Revisar con qué precisión debe describirse esto: prometer 'cifrado extremo a extremo' o 'cifrado de toda la información clínica' sería falso hoy.»

10. Menores de edad y representación

Un menor de edad puede ser atendido a través de la cuenta de su madre, padre o tutor, que actúa en su representación y puede ver la información del menor.

«Definir en revisión legal: edad mínima para tener cuenta propia, cómo se acredita la tutela, y a partir de qué edad el adolescente tiene derecho a que parte de su información no sea visible para su tutor. El producto hoy no distingue esos casos.»

11. Cookies

Usamos cookies estrictamente necesarias para mantener tu sesión iniciada, compartidas entre los tres subdominios del servicio. No usamos cookies de publicidad ni de análisis de terceros.

12. Cambios a este aviso

Cualquier cambio se publicará en esta misma dirección, con su fecha de actualización. Si el cambio afecta a finalidades que requieren tu consentimiento, te lo pediremos de nuevo.

Última actualización: «fecha de publicación».

---

Lo que este borrador no puede resolver

Cinco cosas que no son de redacción y que hay que decidir antes de publicar:

1. ¿Quién es el responsable del tratamiento? SANOA, cada clínica, o ambos en

corresponsabilidad. De esto depende quién responde ante el INAI, quién atiende los derechos ARCO y qué contratos hacen falta con las clínicas. Es la decisión que sostiene el documento entero.

1. Identidad legal: razón social, RFC, domicilio y correo de contacto. No los he

inventado.

1. Regiones de los proveedores y si alguna transferencia internacional exige

consentimiento expreso.

1. El consentimiento expreso y por escrito para datos sensibles. El artículo 9 lo

exige y hoy no hay una pantalla que lo recabe de forma separada. Publicar el aviso sin resolverlo deja el tratamiento sin base legal clara.

1. Menores y adolescentes: los huecos de la sección 10.

Y una advertencia sobre el producto, no sobre el texto: la conservación obligatoria está configurada en cero en la plataforma, lo que significa «esta clínica no lo ha configurado», no «no hay obligación». Publicar un aviso que promete plazos conforme a la NOM-004 mientras el sistema no los aplica sería prometer algo que el producto no cumple.

---

BORRADOR — requiere revisión legal antes de publicar