Aviso de privacidad integral

1. Identidad y domicilio del responsable

OLMO TECNOLOGIA, S.A.S de C.V. (en adelante, «Olmo»), con Registro Federal de Contribuyentes OTE260916E26 y domicilio en Blas Pascal 110, Polanco I Sección, Miguel Hidalgo, Ciudad de México, C.P. 11510, es responsable del tratamiento de los datos personales descritos en este aviso, en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la «Ley»).

Sitio web: www.olmopractice.com · Correo de contacto en materia de datos personales: privacidad@olmopractice.com

Olmo ha designado a una persona encargada de la protección de datos personales, conforme al artículo 29 de la Ley. Puedes contactarla en el correo anterior.

2. A quién se refiere este aviso

Olmo es una plataforma de software que las clínicas y consultorios médicos contratan para administrar sus agendas y expedientes. Este aviso cubre a:

• Personal de clínicas usuarias: médicos, asistentes y administradores con cuenta en la plataforma.
• Personas interesadas en contratar Olmo: quienes nos dejan sus datos para recibir información, una demostración o una cotización.
• Contactos de facturación y administración de las clínicas contratantes.
• Visitantes de nuestro sitio web y de las páginas públicas de reserva que Olmo aloja por cuenta de sus clínicas.
• Pacientes de las clínicas usuarias, en los términos del apartado 6, que explica el papel de Olmo y por qué no es el mismo que el de la clínica.

3. Datos personales que tratamos

Conforme al artículo 15, fracción II de la Ley, se enlistan los datos tratados y se identifican expresamente los sensibles.

Del personal de clínicas usuarias:

• Datos de identificación y contacto: nombre completo, correo electrónico, número de teléfono, fotografía de perfil si la cargas, idioma preferido.
• Datos de la cuenta: identificador de usuario, clínica a la que perteneces, rol asignado (propietario, administrador, médico, asistente, sólo lectura) y fechas de alta y baja.
• Datos profesionales, cuando eres médico: especialidad, cédula profesional y autoridad que la expidió, semblanza y fotografía. La cédula se trata porque la NOM-004-SSA3-2012 exige identificar al profesional en el expediente clínico.
• Registros de actividad: fecha, hora y tipo de las acciones que realizas en la plataforma, así como el usuario que las realizó. Esta bitácora existe por obligación de trazabilidad de los expedientes clínicos (NOM-024-SSA3-2012) y no se usa para evaluar tu desempeño.

Las contraseñas se procesan a través de nuestro proveedor de autenticación y Olmo no tiene acceso a ellas en texto claro.

De personas interesadas y contactos comerciales: nombre, correo electrónico, teléfono, nombre y tipo de la clínica, y el contenido de nuestra correspondencia.

De contactos de facturación: nombre, correo, datos fiscales de la clínica y referencias de pago. Olmo no almacena números de tarjeta ni datos bancarios: los cobros se procesan por un tercero especializado y en nuestros sistemas sólo quedan referencias que no permiten reconstruir el medio de pago.

De visitantes del sitio y de las páginas públicas de reserva: dirección IP y marcas de tiempo de las solicitudes, conservadas aproximadamente 30 días con la única finalidad de detectar y frenar abuso automatizado, y datos técnicos mínimos del navegador registrados en las bitácoras del servidor.

Datos sensibles: Olmo no recaba datos personales sensibles de su propio personal ni del personal de las clínicas usuarias. Sí trata datos personales sensibles de pacientes —relativos a su estado de salud— pero lo hace por cuenta de la clínica correspondiente y en los términos del apartado 6.

4. Finalidades del tratamiento

Conforme al artículo 15, fracción III de la Ley, se distinguen las finalidades necesarias de las que requieren tu consentimiento y puedes rechazar.

Finalidades necesarias (sin ellas no podemos prestar el servicio):

1. Crear y administrar tu cuenta, autenticarte y controlar a qué información puedes acceder según tu rol.
2. Prestar el servicio contratado por tu clínica: agenda, expediente de pacientes, página pública de reserva, formularios de registro, la línea telefónica con asistente y los mensajes a pacientes a nombre de la clínica; y avisarte de lo que pasa en tu agenda —por correo electrónico las citas nuevas, movidas o canceladas y, sólo si lo activas en tu perfil, por WhatsApp los mensajes que tome la asistente de IA—.
3. Alojar y resguardar la información de tu clínica, incluidos respaldos.
4. Dar soporte técnico y atender tus reportes e incidencias.
5. Mantener la seguridad de la plataforma: prevenir accesos no autorizados, detectar abuso, y conservar la bitácora de auditoría exigida por la normativa de expedientes clínicos electrónicos.
6. Facturar, cobrar y llevar la contabilidad de la relación comercial.
7. Cumplir obligaciones legales y atender requerimientos fundados y motivados de autoridad competente.
8. Atender y dar seguimiento a solicitudes de derechos ARCO, propias o de pacientes canalizadas por la clínica.

Finalidades que requieren tu consentimiento (puedes negarlas ahora o retirarlas después, sin que ello afecte el servicio):

9. Enviarte comunicaciones sobre nuevas funciones, cambios de producto y contenido informativo.
10. Invitarte a encuestas, entrevistas de usuario y pruebas de nuevas funciones.
11. Usar tu testimonio, nombre o el de tu clínica como referencia comercial, lo que en todo caso te pediremos por separado y de forma específica.

Si tu clínica deja de usar Olmo, conservaremos tus datos únicamente durante los plazos legales de prescripción y de conservación contable y de expedientes que resulten aplicables, y después los suprimiremos previo bloqueo, conforme al artículo 10 de la Ley.

5. Opciones y medios para limitar el uso o divulgación de tus datos

• Puedes negarte a las finalidades 9 a 11 escribiendo a privacidad@olmopractice.com con el asunto «Limitación de uso». Lo aplicaremos en un máximo de cinco días hábiles.
• Cada correo de comunicaciones sobre el producto incluye un enlace para darte de baja con un clic.
• La bitácora de auditoría no puede desactivarse: responde a una obligación normativa de trazabilidad y no a una decisión comercial de Olmo.
• Olmo no vende, renta ni comercializa datos personales, ni realiza elaboración de perfiles con efectos jurídicos sobre las personas.

6. Datos de pacientes: qué papel tiene Olmo

Cuando una clínica usa Olmo, los datos de sus pacientes —incluidos datos personales sensibles de salud— se almacenan y procesan en la infraestructura de Olmo.

La clínica es responsable de esos datos: decide qué se captura, con qué finalidad, durante cuánto tiempo y quién accede. La relación médico-paciente, el expediente clínico y el aviso de privacidad que se entrega al paciente corresponden a la clínica. Olmo trata esos datos por cuenta de la clínica, únicamente conforme a sus instrucciones y a lo pactado en el contrato de prestación de servicios, y no los usa para finalidades propias. En concreto, Olmo no usa datos de pacientes con fines publicitarios, no los comercializa y no los utiliza para entrenar modelos de inteligencia artificial.

Ahora bien, la Ley vigente define como responsable a toda persona que lleve a cabo el tratamiento de datos personales (artículo 2, fracciones XIV y XVI), sin exigir que decida sobre él. Por ello Olmo asume y cumple de forma directa, y no sólo contractual, las obligaciones de seguridad (artículo 18), confidencialidad (artículo 20) y notificación de vulneraciones (artículo 19) respecto de los datos de pacientes que aloja.

Si eres paciente y quieres ejercer tus derechos sobre tu expediente, diríjete a la clínica que te atiende: es quien tiene la relación contigo y quien puede resolver. Si nos escribes directamente, canalizaremos tu solicitud a la clínica correspondiente y te lo haremos saber, conforme al artículo 32, segundo párrafo de la Ley.

7. Proveedores que participan en el servicio

Para operar, Olmo se apoya en proveedores que tratan datos por cuenta de Olmo y bajo sus instrucciones. En términos del artículo 2, fracción XX de la Ley, esta comunicación no constituye una transferencia —la definición excluye expresamente a la persona encargada— y por tanto no requiere tu consentimiento. Los divulgamos por transparencia:

• Supabase

  Base de datos, autenticación y almacenamiento de archivos

  Ubicación del tratamiento: Estados Unidos (Virginia del Norte)

• Vercel

  Alojamiento y entrega de la aplicación web

  Ubicación del tratamiento: Estados Unidos (Washington, D.C.); su red de entrega tiene nodos en varios países

• Stripe

  Procesamiento de pagos de la suscripción

  Ubicación del tratamiento: Estados Unidos y otras

• Twilio

  Telefonía: recepción y enrutamiento de las llamadas a las líneas de las clínicas

  Ubicación del tratamiento: Estados Unidos

• Plataforma de agentes de voz con inteligencia artificial y sus proveedores de modelos de lenguaje, reconocimiento y síntesis de voz

  Atención telefónica automatizada por cuenta de la clínica: procesa el audio y la transcripción de la llamada mientras dura

  Ubicación del tratamiento: Estados Unidos

• Meta Platforms (WhatsApp Business Platform)

  Mensajes de WhatsApp a pacientes a nombre de la clínica —recordatorios con botones, avisos de cambio, solicitudes de opinión— y, si lo activa, mensajes al personal, desde un número de Olmo; recibe las respuestas

  Ubicación del tratamiento: Estados Unidos

• Resend

  Correo electrónico: los correos de identidad de la aplicación (invitaciones, restablecimiento de contraseña), las confirmaciones de cita a pacientes y los avisos de agenda al personal, a nombre de la clínica

  Ubicación del tratamiento: Estados Unidos

Twilio y la plataforma de agentes de voz participan sólo en las clínicas que activan la línea telefónica con asistente. Meta Platforms y Resend participan en los mensajes que Olmo envía a nombre de la clínica y en los avisos a su personal. El aviso de privacidad que cada clínica entrega a sus pacientes los nombra, por su parte, como encargados de la clínica.

Todos los proveedores están obligados contractualmente a mantener medidas de seguridad y confidencialidad equivalentes a las de Olmo.

8. Transferencias a terceros

Olmo no transfiere tus datos personales a terceros, salvo en los siguientes casos, todos ellos previstos en el artículo 36 de la Ley y que no requieren tu consentimiento:

• Cuando lo exija una ley o un tratado del que México sea parte.
• Cuando sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• Cuando lo requiera una autoridad competente mediante orden fundada y motivada.
• A asesores legales, contables o auditores sujetos a deber de confidencialidad, en la medida indispensable.
• A la sociedad adquirente en caso de fusión, escisión o venta del negocio, en el entendido de que asumirá las mismas obligaciones que corresponden a Olmo.

Fuera de estos supuestos, cualquier transferencia se te informará y se te pedirá tu consentimiento mediante la cláusula correspondiente.

9. Cómo ejercer tus derechos ARCO

Tienes derecho a acceder a tus datos, rectificarlos cuando sean inexactos o estén incompletos, cancelarlos cuando consideres que no se requieren para alguna de las finalidades señaladas, y oponerte a su tratamiento por causa legítima (artículos 21 a 26 de la Ley).

Dónde: envía tu solicitud a privacidad@olmopractice.com, o por escrito al domicilio señalado en el apartado 1.

Qué debe contener (artículo 28 de la Ley):

1. Tu nombre y domicilio, o cualquier otro medio para recibir la respuesta.
2. Documento que acredite tu identidad —identificación oficial vigente— o, en su caso, la identidad y personalidad de tu representante.
3. Descripción clara de los datos sobre los que ejerces el derecho, salvo que se trate del derecho de acceso.
4. Qué derecho deseas ejercer o qué solicitas. Si pides rectificación, indica las modificaciones y acompaña la documentación que las sustente (artículo 30).
5. Cualquier elemento que facilite localizar tus datos.

Plazos (artículo 31): te comunicaremos la determinación en un máximo de 20 días hábiles desde que recibamos la solicitud y, de resultar procedente, la haremos efectiva dentro de los 15 días hábiles siguientes. Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen, lo que te notificaríamos.

Costo (artículo 34): el ejercicio es gratuito. Sólo podrían cobrarse los costos de reproducción o envío, y si tú proporcionas el medio para reproducir los datos, la entrega es sin costo.

Revocación del consentimiento (artículo 7, último párrafo): puedes revocarlo en cualquier momento por el mismo medio, sin efectos retroactivos. Ten presente que revocarlo respecto de las finalidades necesarias puede implicar que ya no podamos darte acceso a la plataforma.

Si consideras que tu derecho no fue atendido debidamente, puedes acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia, dentro de los 15 días siguientes a la respuesta o al vencimiento del plazo (artículo 40 de la Ley).

10. Medidas de seguridad

Conforme al artículo 18 de la Ley, Olmo mantiene medidas administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado. Entre otras:

• Aislamiento por clínica a nivel de base de datos: cada consulta se filtra contra la clínica del usuario mediante políticas de seguridad a nivel de fila, verificadas por una batería de pruebas automatizadas que se ejecuta antes de cada cambio.
• Cifrado de la información en tránsito y en reposo.
• Control de acceso por rol y principio de mínimo privilegio; las llaves con privilegios elevados nunca llegan al navegador.
• Bitácora de auditoría de accesos y cambios sobre información clínica.
• Expedientes clínicos inmutables: las notas firmadas no se sobrescriben; las correcciones se agregan como nuevas versiones, conservando la original.
• Respaldos periódicos y control de cambios sobre el esquema de la base de datos.

Ninguna medida elimina por completo el riesgo. Si ocurre una vulneración que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos de forma inmediata para que puedas tomar medidas, conforme al artículo 19 de la Ley.

11. Cookies y tecnologías similares

La aplicación utiliza cookies estrictamente necesarias para mantener tu sesión iniciada y proteger el formulario contra usos indebidos. Sin ellas no es posible autenticarte. No utilizamos cookies de publicidad ni de seguimiento entre sitios. Si en el futuro incorporamos herramientas de analítica, actualizaremos este aviso y te ofreceremos el control correspondiente antes de activarlas.

12. Cambios a este aviso

Conforme al artículo 15, fracción VI de la Ley, este aviso puede modificarse. Cuando eso ocurra:

• Publicaremos la versión vigente en www.olmopractice.com/aviso-de-privacidad, siempre con su número de versión y fecha de última actualización.
• Si el cambio es sustancial —nuevas finalidades, nuevos datos, nuevas transferencias— te lo notificaremos por correo electrónico a la dirección asociada a tu cuenta, con al menos 10 días naturales de anticipación, y cuando la Ley lo exija recabaremos nuevamente tu consentimiento (artículo 11).
• Los cambios menores de redacción se reflejarán en la página sin notificación individual.

13. Aceptación

Al crear una cuenta, usar la plataforma o proporcionarnos tus datos, manifiestas que leíste este aviso y que conoces las finalidades del tratamiento.