Política de Privacidad

1. Introducción

En Naclix ("nosotros", "nuestro" o "la plataforma"), operando en el dominio naclix.com, nos comprometemos a proteger la privacidad y seguridad de la información personal de nuestros usuarios. Naclix es administrado y operado por Mariano Pedro Rebord Palazzo (persona física), CUIT 20-33644082-4. Esta Política de Privacidad describe cómo recopilamos, usamos, almacenamos y protegemos la información relacionada con el uso de nuestra plataforma de gestión de historias clínicas digitales.

Esta política informa sobre el tratamiento de datos. No sustituye el aviso del profesional o centro ni los consentimientos del paciente que exija la normativa aplicable.

1.1 Responsable y Encargado del Tratamiento

El profesional o centro es el responsable de los datos de sus pacientes y el custodio de la historia clínica: determina las finalidades y la base legal del tratamiento, informa al paciente y obtiene los consentimientos exigibles. Naclix actúa como encargado (operador en Brasil), por cuenta del cliente y conforme a sus instrucciones, para prestar el servicio.

Naclix es responsable del tratamiento de los datos de sus propios usuarios para gestionar sus cuentas, la relación contractual, la seguridad y el soporte de la plataforma.

2. Información que Recopilamos

2.1 Información de Registro y Cuenta

• Nombre completo y razón social (para organizaciones)
• Dirección de correo electrónico
• Número de teléfono
• Información de la organización (nombre del negocio, tipo de negocio, dirección)
• Credenciales de acceso (contraseña encriptada)
• Información fiscal (CUIT/CUIL para organizaciones en Argentina)

2.2 Información de Salud y Datos Sensibles

• Historias clínicas de pacientes
• Información médica y tratamientos
• Fotografías clínicas (antes/después de tratamientos)
• Antecedentes médicos y hábitos de salud
• Información demográfica de pacientes (edad, género, ocupación)
• Registros de citas y tratamientos

2.3 Fotografías Clínicas y Consentimiento

Para el almacenamiento de fotografías de antes/después de tratamientos, se aplican las siguientes políticas:

• Responsabilidad del profesional: El profesional de salud es responsable de obtener el consentimiento informado por escrito del paciente antes de tomar y almacenar fotografías clínicas.
• Uso exclusivo médico: Las imágenes almacenadas solo pueden utilizarse para fines médicos, seguimiento de tratamientos y documentación clínica.
• Derechos del paciente: El paciente tiene derecho a solicitar la visualización, copia o eliminación de sus fotografías clínicas al profesional o centro, con los límites de conservación que establezca la normativa aplicable.
• Gestión de consentimientos: Naclix proporciona herramientas de almacenamiento seguro pero NO obtiene ni gestiona los consentimientos, los cuales son responsabilidad exclusiva del profesional de salud.
• Prohibición de uso comercial: Está prohibido utilizar fotografías de pacientes con fines publicitarios o comerciales sin consentimiento expreso y específico para dicho fin.

2.4 Información Técnica y de Uso

• Dirección IP
• Tipo de navegador y dispositivo
• Sistema operativo
• Páginas visitadas y tiempo de permanencia
• Fecha y hora de acceso
• Logs de actividad en la plataforma

2.5 Integración con Google

Si opta por utilizar la integración con Google Calendar, recopilaremos:

• Información básica del perfil de Google (nombre, email)
• Tokens de acceso para sincronización de calendario
• Eventos de calendario relacionados con citas médicas

2.6 Integración con MercadoPago

Si conecta su cuenta de MercadoPago a Naclix (vía OAuth o ingreso manual de Access Token) para cobrar a sus clientes desde la plataforma, almacenaremos:

• Identificador y email asociado a la cuenta de MercadoPago, para mostrar a qué cuenta está vinculada la integración
• Access Token y Refresh Token de OAuth (almacenados en forma encriptada), necesarios para crear links de pago en su nombre y mantener la sesión activa
• Public Key, utilizada por el frontend para inicializar el checkout
• Fecha y usuario de la cuenta Naclix que realizó la conexión

Alcance del acceso: Naclix utiliza la API de MercadoPago exclusivamente para crear links de pago (Preferences) cuando usted genera un cobro desde la plataforma, para recibir notificaciones (webhooks) del estado de esos pagos, y para verificar la identidad de la cuenta vinculada. Naclix no transfiere fondos, no ejecuta operaciones que MercadoPago no exponga específicamente para integraciones, no consulta movimientos ajenos a los cobros generados desde la plataforma. El tratamiento por proveedores se describe en la sección 5. Puede revocar la autorización en cualquier momento desde Naclix o desde su panel de MercadoPago.

2.7 Conexión con asistentes de inteligencia artificial (Claude, ChatGPT)

Si un usuario de su organización conecta un asistente como Claude (de Anthropic) o ChatGPT (de OpenAI), el asistente accede a Naclix en nombre de ese usuario y solo con los permisos que ese usuario tiene. La conexión la pide el usuario desde el asistente y la aprueba en una página de Naclix, donde elige si el asistente solo puede ver o también hacer cambios.

• Qué puede leer: la agenda (turnos, horarios, profesionales, sedes y estados) y los datos básicos de pacientes o clientes: nombre, documento, fecha de nacimiento y contacto. En los rubros de salud, ChatGPT no recibe para qué es cada turno.
• Qué nunca puede leer: historias clínicas, diagnósticos, notas, fotografías, cobros, datos de obra social ni la configuración de la organización.
• Para qué: responder lo que el usuario le pide y, si lo autorizó, dar, mover, confirmar o cancelar turnos y crear pacientes.
• Quién lo recibe: lo que lee el asistente se envía a la empresa que lo ofrece, que lo trata según sus propias condiciones y su política de privacidad. Naclix no manda datos a ningún asistente que nadie haya conectado.
• Cuánto tiempo: la conexión se corta sola tras 30 días sin uso, a los 180 días de aprobada o si el usuario cambia su contraseña. Naclix guarda un registro de cada acción del asistente junto con los demás datos de la cuenta (sección 6). Lo que guarda el asistente depende de su proveedor.
• Control: los administradores ven todas las conexiones y todo lo que hizo cada una, y pueden desconectarlas cuando quieran desde Asistentes y sistemas.

3. Uso de la Información

Utilizamos la información recopilada para:

• Proporcionar y mantener nuestros servicios de gestión de historias clínicas
• Autenticar usuarios y gestionar cuentas
• Procesar y almacenar información médica de manera segura
• Sincronizar citas con calendarios externos (cuando se autoriza)
• Generar reportes y análisis para los profesionales de salud
• Cumplir con obligaciones legales y regulatorias
• Prevenir fraudes y actividades maliciosas
• Mejorar nuestros servicios mediante análisis agregados
• Comunicarnos con los usuarios sobre actualizaciones y cambios en el servicio
• Proporcionar soporte técnico y atención al cliente
• Enviar recordatorios y mensajes por email y WhatsApp
• Facilitar cobros mediante MercadoPago cuando usted conecta su cuenta
• Prestar funciones de inteligencia artificial: agente de reservas por WhatsApp, importación de plantillas y traducciones

4. Protección de Datos de Salud

Reconocemos la naturaleza especialmente sensible de la información médica y nos comprometemos a:

• Encriptación: El almacenamiento está cifrado en reposo y todas las conexiones utilizan HTTPS para proteger los datos en tránsito.
• Control de Acceso: Implementamos un sistema de roles y permisos estricto. Solo el personal autorizado de cada organización puede acceder a los datos de sus pacientes.
• Aislamiento de Datos: Utilizamos arquitectura multi-tenant con aislamiento completo de datos entre organizaciones.
• Auditoría: Registramos quién crea, modifica, bloquea o elimina cada ficha y cuándo, y qué integrantes del mismo consultorio la consultan. Conservamos el historial completo de versiones. Si una ficha bloqueada se modifica, la versión bloqueada queda intacta en el historial y el cambio se guarda como una nueva versión.
• Copias de Seguridad: Realizamos copias cada 6 horas, con almacenamiento cifrado y la rotación descrita en la sección 6.

5. Compartición de Información

NO vendemos, alquilamos ni compartimos información personal o médica con terceros , excepto en las siguientes circunstancias:

• Con consentimiento: Cuando el usuario o paciente autoriza expresamente compartir información específica.
• Dentro de la organización: Los datos pueden ser compartidos entre profesionales autorizados dentro de la misma organización/clínica.
• Proveedores de servicios: Podemos compartir información con proveedores que nos ayudan a operar la plataforma (hosting, análisis), bajo estrictos acuerdos de confidencialidad.
• Cumplimiento legal: Cuando sea requerido por ley, orden judicial o autoridad sanitaria competente.
• Emergencias médicas: En situaciones de emergencia médica donde sea necesario para proteger la salud del paciente.

5.1 Proveedores y Subencargados

Los siguientes proveedores pueden recibir datos según su función. El país indicado corresponde a la sede principal del proveedor, salvo las ubicaciones de alojamiento expresamente señaladas; no implica que todo su procesamiento se limite a ese país. Las integraciones pueden tener tratamientos propios sujetos a sus condiciones.

• Fly.io (Estados Unidos): base de datos alojada en São Paulo, Brasil.
• Amazon Web Services (Estados Unidos): archivos adjuntos y copias de seguridad alojados en Estados Unidos, y envío de emails.
• Vercel (Estados Unidos): sitio y aplicación web.
• Meta (Estados Unidos): WhatsApp Business, recordatorios y mensajes.
• Google (Estados Unidos): Calendar, solo si usted lo conecta.
• Anthropic (Estados Unidos): Claude, solo si un usuario lo conecta (sección 2.7).
• MercadoPago (país de la cuenta conectada): cobros, solo si usted lo conecta. La entidad corresponde al país de su cuenta: Argentina, Brasil, Chile, Colombia, México, Perú o Uruguay.
• OpenAI (Estados Unidos): inteligencia artificial para el agente de reservas por WhatsApp, la importación de plantillas y las traducciones, y ChatGPT, solo si un usuario lo conecta (sección 2.7).
• Sentry (Estados Unidos): registro de errores técnicos.
• PostHog (Estados Unidos): analítica de uso de la plataforma.

El tratamiento por cuenta del cliente queda sujeto a instrucciones, confidencialidad y garantías contractuales con cada subencargado, conforme a la normativa aplicable.

6. Retención de Datos

• Cuenta existente: conservamos los datos mientras la cuenta exista.
• Inactividad: las cuentas se cancelan a los 37 días sin actividad y se reactivan ingresando con su contraseña. Las cuentas sin datos clínicos se eliminan unos 30 días después de esa cancelación, con aviso previo por email. Las que contienen historias clínicas, adjuntos o documentos clínicos no se eliminan por inactividad.
• Baja solicitada: si el titular de la cuenta solicita la baja, se eliminan todos los datos. Antes debe exportar y conservar la documentación que deba custodiar legalmente.
• Exportación: desde el plan Inicio, y durante la prueba, usted puede exportar pacientes y fichas en JSON/CSV mientras la cuenta exista. En cualquier plan puede imprimir cada ficha.
• Copias de seguridad: se realizan cada 6 horas. Las copias diarias se conservan 1 semana; las semanales, 2 meses; las mensuales, hasta 13 meses. Esta rotación no sustituye el archivo clínico legal ni implica borrado inmediato de todas las copias de respaldo al solicitar la baja.
• Datos de cuenta y registros técnicos: su conservación responde a la gestión del servicio, la seguridad y las obligaciones aplicables. No se fija un período adicional de conservación de datos de cuenta tras la baja ni un plazo uniforme para los registros técnicos.

La obligación de conservar la historia clínica corresponde al profesional o centro. Usted debe asegurar esa custodia antes de solicitar la baja. Los siguientes plazos son referencias legales para el custodio, no períodos de guarda garantizados por Naclix. Las reglas por especialidad, procesos pendientes y otras excepciones pueden exigir una conservación mayor; cumplir el mínimo no autoriza por sí solo a destruirla.

7. Derechos de los Usuarios

Según la normativa aplicable, usted puede ejercer los derechos de:

• Acceso: Solicitar información sobre qué datos personales tenemos almacenados.
• Rectificación: Corregir datos inexactos o incompletos.
• Eliminación: Solicitar la eliminación de datos (sujeto a obligaciones legales de retención).
• Portabilidad: Recibir sus datos en un formato estructurado y legible por máquina.
• Oposición: Oponerse a ciertos tipos de procesamiento de datos.
• Restricción: Solicitar la limitación del procesamiento en ciertas circunstancias.

Los pacientes deben dirigir sus pedidos de acceso, rectificación, supresión y demás derechos al profesional o centro responsable, que los resuelve conforme a los plazos y límites legales de su país. Naclix lo asiste y deriva las solicitudes que recibe. El portal del paciente muestra sus certificados e indicaciones, pero no sus fichas; el acceso o la copia de la historia clínica se solicita al profesional o centro.

Naclix responde las solicitudes sobre los datos de sus propios usuarios y cuentas. Para ejercer estos derechos o consultar sobre privacidad, contacte a: privacidad@naclix.com. Usted conserva las vías de reclamación ante las autoridades competentes de su país.

8. Seguridad

Implementamos medidas de seguridad técnicas y organizativas apropiadas:

• Almacenamiento cifrado en reposo y conexiones HTTPS en todo el servicio
• Control por roles y aislamiento de datos entre organizaciones
• Registro de inicios de sesión
• Pruebas de penetración regulares
• Capacitación del personal en manejo seguro de datos
• Registro de auditoría de creación, modificación, bloqueo y eliminación de fichas, con autor y fecha, y de consultas por integrantes del mismo consultorio
• Historial completo de versiones de las fichas, incluidas las versiones bloqueadas

Ante un incidente de seguridad que afecte los datos del cliente, Naclix avisa al responsable sin demora indebida y lo asiste para que pueda cumplir sus propias obligaciones de notificación.

9. Cookies y Tecnologías Similares

Utilizamos cookies y tecnologías similares para:

• Mantener las sesiones de usuario activas
• Recordar preferencias de configuración
• Analizar el uso de la plataforma (de forma agregada)
• Mejorar la seguridad

Puede configurar su navegador para rechazar cookies, aunque esto podría afectar la funcionalidad de la plataforma.

10. Menores de Edad

Naclix puede procesar información de menores de edad cuando sea necesario para la prestación de servicios médicos, siempre con el consentimiento apropiado de padres o tutores legales según la legislación aplicable.

11. Transferencias Internacionales

La base de datos se aloja en São Paulo, Brasil, mediante Fly.io. Los archivos adjuntos y las copias de seguridad se almacenan en Estados Unidos mediante Amazon Web Services. Vercel sirve el sitio y la aplicación web. El soporte de Naclix desde Argentina puede acceder a datos para prestar asistencia; también intervienen los proveedores de la sección 5.

El tratamiento internacional de datos de pacientes se realiza como parte del encargo del profesional o centro, con garantías contractuales de confidencialidad, seguridad y protección de datos con cada proveedor. Según la normativa de origen, se deben instrumentar las cláusulas, autorizaciones y demás mecanismos exigibles, también para transferencias posteriores. Esta política no sustituye esos instrumentos ni los consentimientos específicos que correspondan, y no declara a los destinos adecuados para todos los países.

12. Cambios en la Política

Nos reservamos el derecho de actualizar esta Política de Privacidad. Los cambios significativos serán notificados por correo electrónico o mediante un aviso prominente en la plataforma. Cuando corresponda, se solicitarán las autorizaciones exigidas por la normativa aplicable.

13. Marco Legal

Se aplica la normativa de protección de datos y de derechos del paciente del país donde el profesional presta servicios, según el ámbito de cada norma, además de las obligaciones que correspondan a Naclix como sociedad argentina. Las principales referencias por país son:

• Argentina: Leyes 25.326 de Protección de Datos Personales y 26.529 de Derechos del Paciente.
• Bolivia: Constitución, DS 1793 y Ley 3131 del Ejercicio Profesional Médico.
• Brasil: Lei 13.709/2018 (LGPD) y Lei 13.787/2018 sobre historias clínicas.
• Chile: Leyes 19.628 y 20.584; reforma de la Ley 21.719 con vigencia desde el 01/12/2026.
• Colombia: Ley 1581/2012 y Ley 2015/2020 sobre historia clínica electrónica.
• Costa Rica: Leyes 8968 de Protección de Datos Personales y 8239 de Derechos de los Pacientes.
• Ecuador: Ley Orgánica de Protección de Datos Personales, su Reglamento y Ley Orgánica de Salud.
• El Salvador: Ley para la Protección de Datos Personales (D.L. 144) y Ley de Deberes y Derechos de los Pacientes (D.L. 307).
• Guatemala: Constitución y Código de Salud (Decreto 90-97); Ley de Acceso a la Información Pública cuando corresponda a su ámbito.
• Honduras: Constitución y Código de Salud (Decreto 65-91); Ley de Transparencia cuando corresponda a su ámbito.
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2025 y NOM-004-SSA3-2012.
• Nicaragua: Ley 787 de Protección de Datos Personales, Decreto 36-2012 y Ley General de Salud 423.
• Panamá: Ley 81/2019, Decreto Ejecutivo 285/2021 y Ley 68/2003 de Derechos de los Pacientes.
• Paraguay: Constitución, Ley 6534/2020 en su ámbito y Código Sanitario (Ley 836/1980). La Ley general 7593/2025 entra en vigor el 27/11/2027.
• Perú: Ley 29733, Reglamento DS 016-2024-JUS y Ley 29414 de Derechos de los Usuarios de los Servicios de Salud.
• República Dominicana: Ley 172-13 de Protección de Datos Personales y Ley General de Salud 42-01.
• Uruguay: Leyes 18.331 de Protección de Datos Personales y 18.335 de Derechos de los Pacientes.
• Venezuela: Constitución, en particular sus artículos 28 y 60, y Ley Orgánica de Salud.

14. Contacto

Para consultas sobre privacidad:

• Email: privacidad@naclix.com
• Email general: soporte@naclix.com
• Sitio web: https://naclix.com

Responsable de Protección de Datos: Mariano Pedro Rebord Palazzo (persona física), CUIT 20-33644082-4, titular y administrador de Naclix. Para datos clínicos, contacte primero al profesional o centro responsable de su atención.