Aviso de Privacidad

Este Aviso de Privacidad se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente; su Reglamento; los Lineamientos del Aviso de Privacidad; la Ley General de Salud; la NOM-004-SSA3-2012, Del expediente clínico, en lo que resulte aplicable a la documentación clínica integrada por el profesional de salud; y demás disposiciones mexicanas aplicables. Cualquier referencia a normas sanitarias se incluye para informar el contexto de uso profesional de la Plataforma y no implica certificación, autorización o dictamen regulatorio de Davalta.

1. Identidad y domicilio del responsable

Davalta Soluciones Digitales, S.A.S. de C.V., operadora de la plataforma Davalta ("Davalta", "nosotros" o "la Plataforma"), con domicilio en Calle Río La Silla 114, Col. 2 de Junio, Guadalupe, Nuevo León, México, C.P. 67189, es responsable del tratamiento de los datos personales que recaba directamente de profesionales usuarios, visitantes del sitio, prospectos, clientes, representantes de clínicas, proveedores y personas que interactúan con nuestros canales comerciales.

Para asuntos de privacidad y derechos ARCO:

• Correo de privacidad: privacidad@davalta.ai
• Correo contractual: legal@davalta.ai
• Correo operativo: hola@davalta.ai
• Domicilio para solicitudes: Calle Río La Silla 114, Col. 2 de Junio, Guadalupe, Nuevo León, México, C.P. 67189

2. Alcance del aviso y naturaleza de Davalta

Davalta es una herramienta digital de documentación clínica, organización de información y apoyo administrativo/analítico para profesionales de salud mental. Puede auxiliar al Profesional Usuario en la integración, consulta, conservación y exportación de información clínica, sin constituir por sí misma un Sistema de Información de Registro Electrónico para la Salud certificado, un sistema certificado conforme a NOM-024-SSA3-2012, un dispositivo médico, una herramienta diagnóstica autónoma, un sistema de prescripción, un sistema de triaje ni un servicio de emergencia.

Davalta no se ostenta como Sistema de Información de Registro Electrónico para la Salud certificado, ni como sistema certificado conforme a NOM-024-SSA3-2012. Cualquier referencia a documentación clínica, registros clínicos o expediente debe entenderse como funcionalidad de apoyo documental, organización y exportación para el Profesional Usuario, salvo que Davalta obtenga y comunique expresamente la certificación, dictamen o autorización correspondiente.

La información generada, organizada, almacenada o exportada desde Davalta puede ser utilizada por el Profesional Usuario como insumo o parte de su expediente clínico, bajo su responsabilidad profesional, sanitaria, legal y de custodia. Davalta no sustituye las obligaciones del Profesional Usuario frente a sus pacientes, autoridades, colegios profesionales, empleadores, instituciones o normas aplicables.

2.1 Alcance territorial y uso fuera de México

Davalta está constituida en México y este Aviso se estructura principalmente bajo el marco mexicano de protección de datos personales en posesión de particulares, documentación clínica, salud digital y servicios profesionales de salud mental, en lo que resulte aplicable. Lo anterior no implica certificación NOM-024, registro SIRES, autorización sanitaria, validación clínica ni cumplimiento automático de toda obligación profesional aplicable al Profesional Usuario.

Cuando el Profesional Usuario se encuentre fuera de México, atienda pacientes ubicados fuera de México, trate datos sujetos a leyes extranjeras o esté obligado por reglas profesionales de otra jurisdicción, será responsable de verificar previamente la base legal aplicable, informar al paciente, obtener los consentimientos, autorizaciones, avisos, contratos o medidas adicionales requeridas y abstenerse de utilizar Davalta cuando dicho uso sea incompatible con la ley aplicable a su práctica.

3. Roles de Davalta por tipo de tratamiento

Para efectos de protección de datos personales, Davalta distingue los siguientes roles:

Cuando Davalta trate datos de pacientes por cuenta del Profesional Usuario, actúa como persona encargada y no decide la finalidad clínica, el diagnóstico, el tratamiento, la necesidad de conservar el expediente, la suficiencia de la nota, la firma clínica, la relación terapéutica ni la respuesta ante emergencias.

Cuando Davalta trate datos para seguridad, soporte, prevención de abuso, defensa de derechos, continuidad operativa estrictamente necesaria para prestar el servicio, cumplimiento contractual o cumplimiento legal propio, limitará dicho tratamiento a lo razonablemente necesario y procurará minimizar cualquier dato clínico incidental.

4. Datos personales que tratamos

4.1 Datos del Profesional Usuario y clientes institucionales

Podemos tratar:

• Datos de identificación: nombre completo, constancia de aceptación, fotografía de perfil, identificador interno.
• Datos de contacto: correo electrónico, teléfono, WhatsApp, domicilio profesional, ciudad, país.
• Datos profesionales: profesión, especialidad, orientación terapéutica, cédula profesional, institución, experiencia y área clínica de interés.
• Datos de cuenta: credenciales cifradas, proveedor de autenticación, tokens de sesión, preferencias, configuración, permisos, rol y plan contratado.
• Datos de uso: fecha y hora de acceso, dirección IP, navegador, sistema operativo, eventos de uso, interacciones con funciones activas, registros técnicos, errores, rendimiento y actividad de seguridad.
• Datos de facturación: RFC, razón social, domicilio fiscal, constancia fiscal, plan, pagos, comprobantes y datos mínimos necesarios para procesar la suscripción.
• Datos de soporte: comunicaciones, solicitudes, reportes, incidencias, archivos o capturas compartidas por el usuario.

4.2 Datos de pacientes y terceros mencionados en registros clínicos

El Profesional Usuario puede registrar o generar dentro de Davalta información de pacientes y terceros relacionados. Estos datos pueden incluir:

• Datos de identificación: nombre, seudónimo, identificador, edad, sexo, género, fecha de nacimiento, ocupación, escolaridad, estado civil.
• Datos de contacto: teléfono, correo, domicilio, contacto de emergencia y referidos.
• Datos clínicos y de salud mental: motivo de consulta, antecedentes, historia clínica, síntomas, diagnósticos si el profesional los documenta, notas de evolución, objetivos terapéuticos, intervenciones, técnicas, escalas psicométricas, resultados, progreso, documentos de consentimiento, reportes y demás información que el Profesional Usuario decida incorporar.
• Audio, transcripciones y documentos derivados: grabaciones o fragmentos de sesión cuando el Profesional Usuario active funciones de audio, transcripciones, borradores de notas, resúmenes, documentos adjuntos y archivos de conocimiento por paciente.
• Datos generados o estructurados con apoyo de IA: borradores, sugerencias de organización, resúmenes, clasificaciones documentales, indicadores auxiliares no exhaustivos, respuestas de apoyo documental, metadatos de generación, fragmentos indexados y representaciones técnicas que puedan ser reidentificables.
• Datos contextuales: familiares, parejas, otros profesionales, instituciones, hechos relevantes, eventos vitales o cualquier información que el paciente o el Profesional Usuario decidan incorporar al registro clínico.

Estos datos pueden ser datos personales sensibles, especialmente cuando revelan salud presente o futura, salud mental, vida familiar, sexualidad, consumo de sustancias, violencia, discapacidad, ideación suicida, información íntima, riesgo para terceros, origen étnico, creencias, opiniones u otra información cuya utilización indebida pueda afectar la esfera más íntima de la persona titular.

4.3 Datos de visitantes, prospectos y contactos comerciales

Podemos tratar:

• Nombre, correo, teléfono, WhatsApp, especialidad, ciudad, institución, fuente pública del contacto, interés declarado, historial de comunicaciones, fecha y estado de seguimiento.
• Dirección IP, identificadores de navegador, páginas visitadas, UTM, interacciones con el sitio, cookies técnicas, analítica de rendimiento, formularios y newsletter.
• Datos de redes sociales o plataformas profesionales cuando la persona interactúa con publicaciones, anuncios, formularios o mensajes de Davalta.

5. Datos sensibles, voz y salud mental

Davalta trata datos de salud mental y otros datos sensibles cuando el Profesional Usuario utiliza la Plataforma para registrar, transcribir, organizar, consultar, conservar o exportar información clínica. Para estos datos:

• El Profesional Usuario debe obtener el consentimiento informado y, cuando corresponda, el consentimiento expreso y por escrito del paciente o de su representante legal.
• El Profesional Usuario debe informar al paciente, en términos claros, sobre el uso de herramientas digitales, almacenamiento en nube, funciones de audio, funciones de IA, proveedores tecnológicos y posible procesamiento internacional.
• Davalta trata la información clínica por cuenta del Profesional Usuario, conforme a los Términos y Condiciones, la Adenda de Tratamiento de Datos y la configuración de la Plataforma.
• Davalta no debe utilizar datos clínicos identificables de pacientes para publicidad, marketing, venta de bases de datos o prospección de terceros.
• Davalta procurará contratar o configurar proveedores de forma que los datos clínicos identificables no se utilicen para entrenamiento general de modelos, salvo consentimiento específico, instrucción documentada y contrato separado. Esta obligación no debe entenderse como garantía proveedor por proveedor hasta confirmar términos, planes, DPAs y configuraciones aplicables.
• Davalta puede procesar voz y audio para transcripción cuando el Profesional Usuario active esa función. La voz puede permitir identificación directa o indirecta; por ello se trata como información de alto riesgo. Davalta no debe usar la voz para autenticación biométrica, identificación biométrica o perfilamiento biométrico salvo que actualice su documentación legal, obtenga la base legal correspondiente e informe expresamente a las personas titulares.

6. Finalidades primarias

Tratamos datos personales para las siguientes finalidades necesarias:

1. Crear, autenticar, mantener y administrar cuentas.
2. Operar Davalta como herramienta digital de documentación clínica, organización de información, apoyo administrativo/analítico y exportación para profesionales de salud mental.
3. Permitir la captura, conservación, búsqueda, organización, exportación y consulta de información clínica que el Profesional Usuario decida tratar en la Plataforma.
4. Transcribir audio a texto cuando el Profesional Usuario active esa función y cuente con las autorizaciones necesarias.
5. Generar borradores, resúmenes, sugerencias de organización, clasificaciones documentales e indicadores auxiliares no exhaustivos mediante funciones de IA o procesamiento automatizado, cuando estén disponibles.
6. Facilitar al Profesional Usuario la revisión, edición, validación, conservación y exportación de fuentes clínicas razonablemente disponibles, como notas revisadas, transcripciones guardadas, adjuntos, datos del paciente, consentimientos cargados y metadatos esenciales, según la capacidad técnica vigente.
7. Procesar pagos, suscripciones, facturación y renovaciones.
8. Proporcionar soporte técnico, seguridad, prevención de abuso, diagnóstico de errores y continuidad operativa.
9. Cumplir obligaciones fiscales, mercantiles, contractuales, regulatorias y de protección de datos que correspondan a Davalta y, cuando proceda, apoyar al Profesional Usuario en obligaciones sanitarias relacionadas con la documentación que este determine.
10. Atender solicitudes ARCO, revocaciones de consentimiento, objeciones, exportaciones y solicitudes de cancelación, bloqueo o eliminación.
11. Notificar cambios relevantes del servicio, seguridad, privacidad, términos o subprocesadores.
12. Gestionar respuestas a solicitudes, demostraciones, propuestas, mensajes o comunicaciones iniciadas por la persona titular, prospecto, Profesional Usuario o cliente institucional, siempre que no involucren datos clínicos identificables de pacientes.

Estas finalidades primarias son necesarias para crear cuenta, contratar, operar la Plataforma, prestar el servicio, proteger seguridad, cumplir obligaciones legales o sostener la relación jurídica con Davalta. Si la persona titular no acepta las finalidades primarias que resulten aplicables, Davalta no podrá prestar el servicio o habilitar ciertas funciones.

7. Finalidades secundarias

Las finalidades secundarias u opcionales no son necesarias para prestar el servicio esencial. La persona titular puede rechazarlas desde el inicio, oponerse a ellas o revocar su consentimiento posteriormente, sin que ello afecte el acceso a las funciones esenciales contratadas, salvo que una función opcional dependa precisamente de ese tratamiento.

Conforme al consentimiento, oposición o mecanismo de baja aplicable, podemos tratar datos no clínicos para:

1. Enviar comunicaciones de producto, boletines, contenido educativo, invitaciones a eventos o información comercial.
2. Compartir resultados de investigaciones, materiales educativos, novedades, promociones, eventos, invitaciones o información sobre productos y servicios de Davalta.
3. Solicitar retroalimentación, encuestas, entrevistas, pruebas de usabilidad, participación en programas beta o testimonios.
4. Elaborar métricas comerciales internas sobre adquisición, conversión, retención y soporte.
5. Usar datos no clínicos de interacción profesional y retroalimentación del Profesional Usuario para mejorar la Plataforma y, cuando exista consentimiento opcional separado, mejorar modelos internos o sistemas de apoyo documental.

Davalta no utilizará datos clínicos identificables de pacientes para finalidades secundarias sin consentimiento específico, expreso e informado del titular correspondiente o de su representante legal.

7.1 Comunicaciones comerciales, educativas e investigaciones

Davalta podrá solicitar consentimiento opcional para enviar comunicaciones comerciales, educativas, de investigación, promociones, eventos, novedades de producto, boletines o invitaciones. Estas comunicaciones podrán enviarse por correo electrónico, WhatsApp, teléfono, mensajería, formularios, redes profesionales u otros canales informados, según los datos de contacto proporcionados y las preferencias vigentes.

La persona titular podrá rechazar o cancelar estas comunicaciones mediante los mecanismos disponibles en cada mensaje, el centro de preferencias de la Plataforma o escribiendo a privacidad@davalta.ai. Davalta no debe utilizar datos clínicos identificables de pacientes para segmentar, personalizar o enviar comunicaciones comerciales, promocionales o publicitarias.

7.2 Mejora de Plataforma y modelos con datos no clínicos

Davalta podrá solicitar consentimiento opcional separado para utilizar datos no clínicos del Profesional Usuario, tales como configuraciones de cuenta, preferencias, métricas agregadas de uso, interacción con funciones, aceptación o rechazo de sugerencias, calificaciones, comentarios, reportes de errores, retroalimentación explícita y señales de calidad no clínicas, con la finalidad de mejorar la Plataforma, sus flujos, plantillas, instrucciones (prompts), evaluaciones internas, sistemas de apoyo documental y modelos internos.

Esta finalidad opcional no incluye datos clínicos identificables de pacientes, audio, voz, transcripciones, notas clínicas, expedientes, adjuntos clínicos, instrucciones clínicas (prompts), salidas clínicas, archivos de conocimiento por paciente ni información que el Profesional Usuario cargue o genere por cuenta de sus pacientes, salvo consentimiento específico, expreso e informado del titular correspondiente, instrucción documentada del Profesional Usuario o cliente institucional y contrato separado que lo autorice.

Cuando Davalta utilice datos no clínicos para mejora de producto o modelos, procurará aplicar medidas de minimización, agregación, disociación, seudonimización o controles de acceso razonables, según la finalidad, el riesgo y la capacidad técnica vigente.

7.3 Preferencias, oposición y revocación

Davalta podrá habilitar un centro de preferencias, casillas de consentimiento, enlaces de baja o canales equivalentes para que la persona titular acepte, rechace, modifique o revoque finalidades secundarias. La negativa o revocación de finalidades secundarias no afectará el servicio esencial, pero no tendrá efectos retroactivos sobre tratamientos realizados válidamente antes de la revocación.

8. Base legal del tratamiento

El tratamiento se basa, según corresponda, en:

• Consentimiento de la persona titular.
• Consentimiento opcional para finalidades secundarias.
• Consentimiento expreso y por escrito para datos personales sensibles.
• Relación contractual entre Davalta y el Profesional Usuario o cliente institucional.
• Cumplimiento de obligaciones legales y regulatorias.
• Interés jurídico para seguridad, prevención de abuso, defensa de derechos y cumplimiento de auditoría.
• Instrucciones documentadas del Profesional Usuario como responsable de datos de pacientes.
• Supuestos de atención médica, emergencia, salud pública, secreto profesional u otras excepciones permitidas por la legislación aplicable, cuando correspondan al Profesional Usuario o al marco legal aplicable.

9. Proveedores, subprocesadores y tecnología utilizada

Davalta puede utilizar proveedores tecnológicos para operar la Plataforma. La intervención de cada proveedor depende de las funciones activas, la configuración del servicio, el plan contratado, la arquitectura vigente y los contratos aplicables. Esta lista es preliminar y por categorías; la lista definitiva de proveedores activos deberá confirmarse en el registro vigente de subprocesadores antes de uso productivo con datos clínicos.

Davalta no debe enviar datos clínicos identificables a proveedores de marketing, redes publicitarias, píxeles, publicidad de seguimiento, formularios comerciales o analítica conductual. Los campos de pago, facturación, solicitudes de soporte y metadatos comerciales no deben incluir datos clínicos innecesarios.

10. Remisiones, transferencias y procesamiento internacional

Cuando un proveedor trata datos por cuenta de Davalta o por cuenta del Profesional Usuario bajo instrucciones documentadas, la relación se tratará como remisión, subprocesamiento o tratamiento por encargado, según corresponda, y no como venta de datos.

Cuando la ley considere que existe transferencia de datos personales a un tercero nacional o extranjero distinto de la persona encargada, Davalta informará las finalidades correspondientes y obtendrá el consentimiento requerido, salvo que aplique una excepción legal.

Los proveedores tecnológicos pueden encontrarse en Estados Unidos u otras jurisdicciones fuera de México. Al utilizar la Plataforma, el Profesional Usuario reconoce que el servicio puede requerir procesamiento internacional para almacenamiento, transcripción, IA, pagos, seguridad, correo, soporte u operación. El Profesional Usuario debe informar y obtener el consentimiento que corresponda de sus pacientes para este procesamiento internacional.

11. Inteligencia artificial, automatización y revisión humana

Las funciones de IA de Davalta, cuando estén disponibles, son funciones de apoyo documental, organización de información y apoyo administrativo/analítico para profesionales. Pueden generar borradores, resúmenes, sugerencias de organización, clasificaciones documentales o indicadores auxiliares no exhaustivos.

Las funciones de IA no emiten diagnósticos, tratamientos, pronósticos, triaje, recomendaciones clínicas definitivas ni alertas de emergencia. Tampoco sustituyen la entrevista, evaluación, criterio clínico, consentimiento informado, firma, supervisión, lex artis, protocolos de seguridad o responsabilidad profesional del Profesional Usuario.

Todo contenido generado, resumido, transcrito, clasificado o sugerido por IA debe ser revisado, corregido, validado y, en su caso, firmado o cerrado por el Profesional Usuario antes de incorporarse al expediente o utilizarse en la atención.

Davalta puede conservar metadatos técnicos, versiones, marcas de tiempo, estados de generación, ediciones, rechazos, errores y trazas mínimas razonables para seguridad, auditabilidad, soporte, prevención de abuso y defensa de derechos, procurando minimizar contenido clínico en registros técnicos y herramientas de observabilidad.

12. Seudonimización, minimización y datos para IA

Davalta procurará implementar medidas de minimización y seudonimización, incluyendo sustitución de nombres por códigos o reducción de contexto antes de enviar texto a ciertos proveedores de IA, cuando sea técnicamente posible y compatible con la finalidad.

La seudonimización reduce el riesgo, pero no elimina toda posibilidad de identificación indirecta. Transcripciones, notas, contexto clínico, circunstancias vitales, patrones lingüísticos, fragmentos indexados o representaciones técnicas pueden permitir reidentificación. Por ello, Davalta trata estos datos como información sensible o de alto riesgo cuando puedan vincularse directa o indirectamente con una persona.

El audio no puede seudonimizarse de manera equivalente antes de transcribirse, porque la voz puede identificar directa o indirectamente. Davalta procurará limitar el tratamiento de audio a lo necesario para transcripción, verificación técnica, seguridad y prestación del servicio, salvo que el Profesional Usuario configure o solicite conservación y cuente con base legal para ello.

13. Medidas de seguridad

Davalta implementará medidas administrativas, técnicas y físicas razonables y proporcionales al riesgo, sujetas a evolución técnica, configuración de proveedores, arquitectura vigente y validación operativa. Entre ellas pueden incluirse:

• Cifrado en tránsito mediante HTTPS/TLS.
• Cifrado en reposo conforme a los controles de los proveedores de infraestructura.
• Autenticación mediante proveedor de identidad, correo, contraseña o proveedor federado.
• Controles de acceso por usuario, paciente, rol o tenant cuando corresponda.
• Registros de actividad, auditoría técnica, registros de seguridad y monitoreo de errores.
• Minimización o seudonimización previa al procesamiento textual por IA cuando sea posible.
• Restricciones para reducir el envío de contenido clínico innecesario a proveedores.
• Controles de acceso administrativo limitados a fines legítimos de soporte, seguridad, mantenimiento, cumplimiento o defensa jurídica.
• Medidas de confidencialidad, respuesta a incidentes y revisión periódica.

Davalta no afirma seguridad absoluta, invulnerabilidad, certificación ISO, certificación SOC, cumplimiento HIPAA, certificación NOM-024, autorización COFEPRIS ni residencia de datos en México, salvo que lo comunique expresamente con soporte documental.

Si Davalta confirma una vulneración de seguridad que afecte de forma significativa derechos patrimoniales o morales de las personas titulares, notificará sin dilación indebida a los usuarios o responsables afectados para que puedan tomar medidas y cumplir sus obligaciones frente a pacientes y autoridades.

14. Cookies, analítica y tecnologías similares

Davalta puede usar cookies, almacenamiento local, identificadores técnicos y tecnologías similares para:

• Mantener la sesión.
• Recordar preferencias.
• Operar el sitio y la aplicación.
• Medir rendimiento y errores.
• Proteger contra abuso, spam o accesos no autorizados.
• Analizar uso agregado y mejorar el producto.

Las cookies o tecnologías de marketing, publicidad de seguimiento o publicidad conductual no deben activarse sobre datos clínicos ni dentro de áreas autenticadas con información de pacientes. Si se activan herramientas como Google Analytics, Meta Pixel, LinkedIn Insight Tag u otras para páginas públicas, Davalta deberá informar su uso, ofrecer los mecanismos de consentimiento u oposición aplicables y evitar el envío de datos clínicos.

15. Conservación, bloqueo, exportación y eliminación

15.1 Información clínica

Mientras la cuenta esté activa, Davalta conservará la información necesaria para prestar el servicio y permitir al Profesional Usuario documentar, consultar, organizar y exportar información clínica dentro de las capacidades técnicas disponibles.

Cuando la relación termine, Davalta podrá bloquear el acceso operativo a los datos y conservarlos de forma restringida durante el plazo legal, contractual, sanitario, fiscal, de seguridad, respaldo, auditoría o defensa que resulte aplicable. Si los datos forman parte del expediente clínico del Profesional Usuario, la determinación del plazo, cierre, conservación, cancelación o custodia corresponde al marco jurídico aplicable y al Profesional Usuario como responsable clínico.

Como referencia regulatoria, la NOM-004-SSA3-2012 establece reglas de conservación para expedientes clínicos integrados por prestadores de servicios de atención médica. Esta referencia no implica que Davalta sea un establecimiento de atención médica ni un SIRES certificado.

15.2 Audio, transcripciones y derivados

El audio se tratará bajo un principio de minimización y no deberá conservarse más tiempo del necesario para las finalidades informadas, salvo configuración, instrucción documentada, obligación legal, seguridad, respaldo, verificación técnica o conservación solicitada por el Profesional Usuario.

Davalta no promete borrado inmediato de audio, transcripciones, instrucciones (prompts), salidas, registros técnicos, respaldos o datos alojados por proveedores, porque la supresión puede depender de capacidades técnicas, ciclos de respaldo, ventanas de retención, seguridad, obligaciones legales e instrucciones del Profesional Usuario.

Las transcripciones, notas revisadas, documentos, consentimientos, adjuntos y otros derivados pueden ser utilizados por el Profesional Usuario como parte de su expediente, si así lo determina y cumple sus obligaciones legales.

15.3 Exportación

El Profesional Usuario puede solicitar exportación de sus datos y fuentes clínicas razonablemente disponibles, como notas revisadas, transcripciones guardadas, adjuntos, datos del paciente, consentimientos cargados y metadatos esenciales, mediante privacidad@davalta.ai. Davalta procurará entregar la información en formatos estructurados, legibles y comúnmente utilizables, tales como PDF, JSON, CSV, ZIP u otros formatos razonables según el tipo de dato y la capacidad técnica vigente.

La exportación puede no incluir registros técnicos internos completos, secretos técnicos, tokens, reglas de seguridad, vectores en formato nativo, respaldos directos de proveedores, datos de otros usuarios o elementos cuya entrega comprometa seguridad, derechos de terceros, propiedad intelectual, confidencialidad o integridad del servicio. Cuando existan índices, embeddings o representaciones derivadas reidentificables, Davalta procurará informar su existencia y eliminarlos, invalidarlos o reconstruirlos cuando proceda y sea técnicamente posible.

15.4 Eliminación, cancelación y bloqueo

La eliminación se atenderá conforme a derechos ARCO, instrucciones del responsable clínico, obligaciones de conservación, bloqueo y defensa jurídica. Si la eliminación inmediata no procede por obligación legal, sanitaria, fiscal, contractual, de seguridad o técnica, Davalta podrá bloquear los datos y limitar su tratamiento a la finalidad que justifique su conservación.

Después de una eliminación operativa, ciertos datos pueden permanecer temporalmente en respaldos, registros técnicos o sistemas de proveedores conforme a sus ciclos técnicos de recuperación, seguridad, auditoría y borrado.

16. Derechos ARCO y revocación de consentimiento

Las personas titulares pueden ejercer derechos de acceso, rectificación, cancelación y oposición, así como revocar su consentimiento, conforme a la legislación aplicable.

16.1 Solicitudes de Profesionales Usuarios

El Profesional Usuario puede enviar solicitud a privacidad@davalta.ai, indicando:

1. Nombre completo.
2. Medio para recibir respuesta.
3. Documento de identidad o acreditación de representación.
4. Derecho que desea ejercer.
5. Datos o cuenta respecto de los cuales recae la solicitud.
6. Cualquier información que facilite la localización.

Davalta responderá en un plazo máximo de veinte días hábiles contados desde la recepción de la solicitud completa. Si la solicitud resulta procedente, se hará efectiva dentro de los quince días hábiles siguientes a la comunicación de la respuesta, salvo ampliación legalmente procedente.

16.2 Solicitudes de pacientes

Cuando una persona paciente contacte directamente a Davalta por datos cuyo responsable clínico sea un Profesional Usuario o clínica cliente, Davalta podrá:

• Canalizar la solicitud al Profesional Usuario responsable.
• Asistir técnicamente al Profesional Usuario para localizar, exportar, rectificar, bloquear o eliminar datos.
• Actuar directamente cuando la ley lo exija, exista orden de autoridad, sea indispensable para proteger derechos, o el Profesional Usuario no pueda ser localizado y la actuación sea legalmente procedente.

17. Menores de edad y personas con representación legal

El uso de Davalta con pacientes menores de edad, personas sujetas a tutela, personas con discapacidad que requieran apoyos o personas que no puedan otorgar consentimiento por sí mismas exige que el Profesional Usuario obtenga, documente y conserve la autorización, el consentimiento o el asentimiento aplicables, conforme a la ley, al interés superior de la niñez, a la autonomía progresiva y al contexto clínico.

Respecto de pacientes menores de edad, el Profesional Usuario debe determinar y documentar, bajo su responsabilidad:

• Identidad del paciente menor de edad y edad o rango de edad.
• Nombre y carácter de quien autoriza, por ejemplo padre, madre, tutor, persona con patria potestad, guarda, custodia, representación legal o apoyo correspondiente.
• Base legal y consentimiento informado para la atención y documentación clínica.
• Consentimiento expreso para datos personales sensibles de salud mental, cuando corresponda.
• Autorización específica para funciones de audio, transcripción, IA, almacenamiento en nube, proveedores tecnológicos y procesamiento internacional, cuando correspondan.
• Asentimiento, opinión o participación de la persona menor de edad, cuando sea adecuado conforme a su edad, desarrollo evolutivo, madurez y contexto clínico.
• Límites de confidencialidad, acceso de padres o representantes, deberes de reporte y protocolos aplicables ante emergencia, abuso, violencia, autolesión, suicidio o riesgo para terceros.

Davalta trata los datos de pacientes menores de edad por cuenta del Profesional Usuario o cliente institucional y no decide si una persona puede recibir atención, si un consentimiento es suficiente, si una persona adulta tiene derecho de acceso al expediente, si existe conflicto de patria potestad, guarda o custodia, ni si procede un deber de reporte o intervención clínica. Esas decisiones corresponden al Profesional Usuario conforme a la ley, ética profesional, lex artis y circunstancias del caso.

Davalta podrá ofrecer campos, plantillas, cargas de documentos, marcas de expediente, bitácoras o confirmaciones reforzadas para apoyar la documentación de consentimiento y representación. Salvo acuerdo escrito, requerimiento legal o proceso específico habilitado por Davalta, Davalta no revisa, valida ni aprueba ordinariamente la suficiencia legal, clínica o ética de dichos consentimientos o documentos.

Davalta podrá incorporar medidas técnicas reforzadas para pacientes menores de edad, tales como marcar registros de menores, registrar fecha y tipo de consentimiento, limitar funciones de IA o audio, exigir confirmaciones adicionales, restringir ciertas exportaciones o solicitudes directas, limitar accesos administrativos, evitar uso de herramientas de marketing o píxeles, clasificar incidentes con menores como alta severidad o bloquear operaciones cuando exista riesgo legal, clínico o de seguridad. Mientras esos controles no estén disponibles o no hayan sido activados, el Profesional Usuario conserva la responsabilidad de contar con base legal y medidas clínicas adecuadas antes de tratar datos de menores en Davalta.

18. Emergencias, suicidio, autolesión, violencia y seguridad de personas

Davalta no es un servicio de emergencia, no monitorea pacientes en tiempo real, no sustituye líneas de crisis, servicios de urgencia, contacto directo con el paciente, supervisión clínica, protocolos de seguridad ni deberes de reporte.

Davalta no garantiza detección de crisis, suicidio, autolesión, violencia, abuso, negligencia, riesgo para terceros, deterioro clínico, urgencias psiquiátricas ni cualquier otra situación que requiera intervención inmediata.

En situaciones de emergencia, riesgo suicida, autolesión, riesgo para terceros, violencia, abuso, mandato de autoridad o supuestos legales equivalentes, el Profesional Usuario es responsable de actuar conforme a la lex artis, sus obligaciones profesionales, leyes sanitarias, deberes de reporte y protocolos de emergencia aplicables.

19. Cambios al aviso

Davalta puede modificar este aviso por cambios legales, regulatorios, técnicos, de proveedores, funcionalidades, tratamiento de IA, salud digital, seguridad o modelo de negocio.

Los cambios sustanciales que afecten datos clínicos, datos sensibles, finalidades, transferencias o subprocesadores relevantes se notificarán al correo registrado o mediante la Plataforma con anticipación razonable, salvo urgencia legal, de continuidad o de seguridad.

20. Autoridad competente

La autoridad federal en materia de protección de datos personales en posesión de particulares es la Secretaría Anticorrupción y Buen Gobierno, sin perjuicio de otras autoridades competentes en materia sanitaria, de consumo, fiscal, civil, penal o profesional, o de la autoridad que legalmente la sustituya.

Anexo: Aviso de Privacidad Simplificado

Davalta - Aviso de Privacidad breve

Davalta Soluciones Digitales, S.A.S. de C.V., con domicilio en Calle Río La Silla 114, Col. 2 de Junio, Guadalupe, Nuevo León, México, C.P. 67189, trata datos personales para operar Davalta, herramienta digital de documentación clínica, organización de información, apoyo administrativo/analítico y exportación para profesionales de salud mental.

Davalta no se ostenta como SIRES certificado, sistema certificado conforme a NOM-024-SSA3-2012, dispositivo médico, herramienta diagnóstica autónoma, sistema de prescripción, sistema de triaje ni servicio de emergencia.

Tratamos datos de cuenta, contacto, profesión, uso, facturación, soporte y, cuando el Profesional Usuario lo registra, datos clínicos de pacientes, incluyendo datos sensibles de salud mental, transcripciones, notas, documentos, audio y datos generados o estructurados con apoyo de IA.

Los datos clínicos son tratados por cuenta del Profesional Usuario o clínica responsable de la atención. Davalta los aloja y procesa para prestar el servicio, aplicar seguridad, permitir exportación y apoyar la documentación clínica. Davalta no vende datos, no usa datos clínicos identificables para publicidad y debe procurar que sus proveedores no usen datos clínicos identificables para entrenamiento general de modelos salvo consentimiento específico y contrato separado.

Las comunicaciones comerciales, educativas, investigaciones, promociones, eventos y el uso de datos no clínicos del Profesional Usuario para mejora de Plataforma/modelos son finalidades opcionales. Pueden rechazarse o revocarse sin afectar el servicio esencial. Estas finalidades no incluyen datos clínicos identificables de pacientes.

Para operar, Davalta puede utilizar proveedores de infraestructura, almacenamiento, autenticación, transcripción, IA, observabilidad, correo, pagos y operación comercial no clínica, según las funciones activas. Algunos proveedores pueden ubicarse fuera de México.

Puedes ejercer derechos ARCO, revocar consentimiento o solicitar información escribiendo a privacidad@davalta.ai. El aviso integral está disponible en davalta.ai/aviso-de-privacidad.