Política de Privacidad

1. Introducción

En MediClick Plus ("nosotros", "nuestro" o "MediClick"), nos comprometemos a proteger la privacidad y seguridad de los datos personales que se tratan a través de nuestra plataforma de gestión clínica. Esta Política de Privacidad explica qué datos se recopilan, con qué finalidad, con quién se comparten, cuánto tiempo se conservan y qué derechos existen sobre ellos.

Al usar MediClick Plus, aceptas las prácticas descritas en esta Política, que forma parte integrante de los Términos de Servicio. Si no estás de acuerdo, por favor no utilices la plataforma.

2. Rol de las Partes: Responsable y Encargado

Esta distinción determina quién decide sobre cada dato y a quién deben dirigirse las solicitudes:

• Datos de pacientes y expedientes clínicos: la clínica, el consultorio o el profesional que contrata el servicio es el Responsable del tratamiento. Decide qué datos registra, con qué finalidad, quién accede y cuánto tiempo los conserva. MediClick Plus actúa únicamente como Encargado del tratamiento: procesa esos datos siguiendo las instrucciones del Responsable y solo para prestar el servicio. No somos propietarios del expediente clínico ni lo usamos para fines propios.
• Datos de la cuenta, del contrato y de la facturación: respecto de los datos de las personas que administran o usan la plataforma (nombre, correo, teléfono, rol, registros de acceso, datos de suscripción), MediClick Plus actúa como Responsable, porque decide cómo operar la cuenta, la seguridad y el cobro.

El Responsable es quien debe obtener el consentimiento del paciente, informarle sobre el tratamiento de sus datos y atender sus solicitudes. Si eres paciente y deseas ejercer tus derechos, debes dirigirte a la clínica que te atiende; nosotros la asistiremos técnicamente, pero no podemos modificar ni eliminar un expediente sin su instrucción, salvo obligación legal.

3. Datos de Contacto

MediClick Plus
Responsable de protección de datos: [email protected]
Asuntos legales: [email protected]
Sitio web: https://mediclickplus.com
Dirección: Nicaragua

4. Información que Recopilamos

4.1 Datos proporcionados directamente

• Nombre completo, correo electrónico y contraseña
• Número de teléfono con código de país y dirección
• Datos de la organización/clínica (nombre, RUC/NIT, dirección, sucursales)
• Datos del equipo (profesionales, recepción, administración) y su rol y permisos
• Datos de pacientes (nombre, documento, contacto, historial médico, diagnósticos, tratamientos)
• Información de facturación y suscripción

4.2 Datos médicos sensibles

MediClick Plus maneja información médica considerada como "datos sensibles" bajo la legislación aplicable. Esta información incluye, pero no se limita a:

• Historial médico y clínico
• Diagnósticos y pronósticos (CIE-10 / CIE-11)
• Tratamientos prescritos
• Resultados de laboratorio y estudios
• Notas y observaciones médicas
• Imágenes y archivos clínicos adjuntos
• Consentimientos firmados

Estos datos pertenecen al paciente y a la clínica que los registra. MediClick Plus actúa únicamente como Encargado, conforme a la sección 2.

4.3 Datos técnicos y de uso

Al utilizar la plataforma recopilamos automáticamente datos técnicos necesarios para operarla y protegerla:

• Dirección IP y país aproximado de conexión
• Tipo de dispositivo, sistema operativo, navegador e idioma (agente de usuario)
• Fecha y hora de inicio de sesión, dispositivos recordados e intentos de acceso fallidos
• Registros de auditoría de acciones sensibles (creación, modificación, exportación o eliminación de registros) con el usuario que las realizó
• Diagnósticos técnicos de errores y rendimiento de la aplicación

Estos datos se usan para seguridad, trazabilidad, soporte y mejora del servicio, y para detectar accesos indebidos. No los usamos para publicidad ni para elaborar perfiles comerciales.

4.4 Datos de pago

MediClick Plus no almacena números de tarjeta de crédito o débito, códigos de seguridad ni fechas de vencimiento en sus servidores. El cobro de la suscripción se procesa íntegramente en la pasarela de pago, que opera bajo sus propias condiciones y estándares de seguridad. Nosotros conservamos únicamente el resultado de la transacción: identificador de la operación, monto, moneda, fecha, estado y, cuando el proveedor lo entrega, los últimos dígitos y la marca de la tarjeta.

5. Cómo Usamos la Información

Utilizamos la información para:

• Proveer y mantener la plataforma de gestión clínica
• Gestionar citas, expediente digital, videoconsultas y facturación
• Enviar notificaciones, recordatorios y confirmaciones de cita
• Generar reportes, documentos y análisis para la clínica
• Brindar soporte técnico cuando lo solicitas
• Mejorar, medir y optimizar el servicio
• Cumplir obligaciones legales, fiscales y regulatorias
• Detectar y prevenir fraudes o accesos no autorizados

No utilizamos datos clínicos para publicidad, no los vendemos y no los usamos para entrenar modelos de inteligencia artificial.

6. Base Legal para el Tratamiento

Procesamos los datos personales bajo las siguientes bases legales:

• Consentimiento: cuando te registras y aceptas estos términos, y cuando el paciente autoriza a su clínica el tratamiento de sus datos de salud
• Ejecución de un contrato: para prestar los servicios solicitados
• Obligaciones legales: para cumplir requisitos fiscales, sanitarios y de conservación del expediente
• Interés legítimo: para la seguridad de la plataforma, la prevención del fraude y la mejora del servicio
• Interés vital: cuando el acceso a información clínica sea necesario para proteger la vida o la salud del paciente

7. Datos Agregados y Anonimizados

Podemos generar estadísticas agregadas y anonimizadas sobre el uso de la plataforma (por ejemplo volumen de citas, tasa de ausencias, tiempos de respuesta del sistema) para operar, dimensionar y mejorar el servicio. Estos datos se procesan de forma que no permitan identificar, ni directa ni indirectamente, a un paciente, a un profesional o a una clínica, y no se publican a nivel de clínica individual sin autorización previa. No se realiza reidentificación ni se comercializan bases anonimizadas de datos de salud.

8. Con Quién Compartimos Información

No vendemos información personal. Compartimos datos únicamente con subencargados que necesitamos para operar el servicio, cuando la ley lo exige, o para proteger derechos legales. Cada subencargado está sujeto a obligaciones contractuales de confidencialidad y seguridad, y trata los datos solo para la finalidad indicada:

Esta lista se mantiene actualizada. Si incorporamos un nuevo subencargado que trate datos clínicos, actualizaremos esta sección y lo notificaremos con antelación razonable.

También podemos divulgar información cuando sea requerido por ley o por autoridad competente, o cuando sea necesario para ejercer o defender derechos legales. En ese caso, y salvo prohibición legal, informaremos al Responsable afectado.

9. Transferencias Internacionales

Nuestros proveedores operan centros de datos fuera de Nicaragua, principalmente en la Unión Europea y en los Estados Unidos, según la tabla anterior. Esto implica que los datos pueden almacenarse o procesarse en esas jurisdicciones. Para estas transferencias exigimos cláusulas contractuales de protección de datos con cada proveedor, cifrado en tránsito y en reposo, y compromisos de confidencialidad y de notificación de incidentes equivalentes a los descritos en esta Política.

10. Comunicaciones a Pacientes

La plataforma envía recordatorios y confirmaciones de cita por correo electrónico y WhatsApp en nombre de la clínica. Al respecto:

• La clínica es responsable de contar con el consentimiento del paciente para ser contactado por esos canales
• Los mensajes incluyen únicamente los datos mínimos necesarios (nombre, fecha, hora, profesional, sucursal y enlace de confirmación o de videoconsulta). No enviamos diagnósticos, notas clínicas ni resultados por estos canales
• Los enlaces de confirmación y de intake usan un token de un solo uso con vencimiento
• El contenido del mensaje pasa por el proveedor de mensajería correspondiente y queda sujeto a sus políticas de retención
• Las videoconsultas no se graban por la plataforma. Cualquier grabación por parte del profesional requiere consentimiento expreso del paciente y queda bajo su exclusiva responsabilidad

11. Integración Opcional con Google

Cuando un profesional conecta voluntariamente su cuenta de Google, MediClick Plus recibe su identificador y correo de Google, los permisos autorizados y una credencial OAuth cifrada. Usamos estos datos exclusivamente para crear salas de Google Meet y calendarios secundarios con los eventos generados por MediClick Plus.

• No solicitamos acceso general al calendario personal ni a reuniones que no hayan sido creadas por MediClick Plus.
• No enviamos a Google nombres, correos, diagnósticos, servicios ni motivos de consulta de pacientes.
• No vendemos los datos de Google, no los usamos para publicidad y no los utilizamos para entrenar modelos de inteligencia artificial.
• El profesional puede desconectar Google desde la configuración; esto revoca el acceso y elimina de MediClick Plus la credencial almacenada.

El uso y la transferencia de información recibida desde las API de Google cumplen con laPolítica de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.

12. Seguridad de los Datos

Implementamos medidas técnicas y organizacionales apropiadas para proteger los datos:

• Cifrado en tránsito (TLS/SSL)
• Cifrado en reposo de la base de datos y del almacenamiento de archivos
• Autenticación robusta y verificación en dos pasos (TOTP)
• Control de acceso basado en roles y permisos (RBAC)
• Aislamiento de los datos de cada organización
• Credenciales de terceros cifradas en la base de datos
• Registro de auditoría de accesos y cambios sensibles
• Respaldos periódicos y cifrados de la base de datos
• Monitoreo de seguridad, errores y disponibilidad

Nuestros proveedores de infraestructura operan centros de datos con certificaciones reconocidas del sector, tales como ISO/IEC 27001 y SOC 2. El acceso de nuestro personal a datos de una organización se limita a lo necesario para soporte o para atender un incidente, bajo deber de confidencialidad y con registro.

Ningún sistema es completamente invulnerable. La protección efectiva depende también de la custodia de las credenciales y de la correcta asignación de permisos por parte de cada clínica.

13. Notificación de Violaciones de Seguridad

Si se produce una violación de seguridad que afecte datos personales o clínicos, notificaremos al Responsable afectado sin dilación indebida y, a más tardar, dentro de las 72 horas siguientes a que tengamos conocimiento confirmado. La notificación incluirá, según la información disponible: naturaleza del incidente, categorías y volumen aproximado de datos afectados, consecuencias probables, medidas de contención y mitigación adoptadas, y un punto de contacto para el seguimiento. Mantendremos un registro interno de los incidentes y apoyaremos al Responsable en la notificación a pacientes y autoridades cuando corresponda.

14. Conservación y Eliminación

• Cuenta activa: conservamos los datos mientras la cuenta esté vigente y sean necesarios para las finalidades descritas.
• Expediente clínico: los datos de pacientes se conservan según los plazos exigidos por la legislación sanitaria aplicable al Responsable, típicamente entre 5 y 10 años desde el último contacto.
• Tras la cancelación: mantenemos los datos durante 30 días corridos en modo de solo lectura y exportación, para que la clínica pueda descargar sus registros.
• Después de ese plazo: los datos se eliminan o se anonimizan de forma irreversible, salvo los que debamos conservar por obligación legal, fiscal o sanitaria, o para la defensa de reclamos. La eliminación en respaldos cifrados se completa en el ciclo de rotación siguiente, que no excede 90 días.
• Registros de auditoría y facturación: se conservan por el plazo legal de prescripción aplicable, incluso después del cierre de la cuenta.

15. Tus Derechos

Tienes derecho a (derechos de acceso, rectificación, cancelación y oposición, conocidos como ARCO en varias jurisdicciones de la región, y sus equivalentes en otras normativas de protección de datos):

• Acceso: conocer qué datos tenemos sobre ti
• Rectificación: corregir datos inexactos
• Cancelación o supresión: solicitar la eliminación de tus datos, cuando sea legalmente posible
• Portabilidad: recibir tus datos en formato estructurado
• Oposición: oponerte a ciertos tratamientos
• Limitación: solicitar la limitación del tratamiento
• Retiro del consentimiento: revocarlo en cualquier momento, sin efecto retroactivo sobre tratamientos ya realizados

Responderemos las solicitudes dentro de un plazo máximo de 30 días corridos. Podemos requerir verificación de identidad antes de atenderlas.

Si eres paciente: tu clínica es la Responsable de tu expediente; dirige tu solicitud a ella. Si nos escribes directamente, la trasladaremos a la clínica correspondiente y la asistiremos técnicamente, pero no podemos modificar ni eliminar un expediente sin su instrucción.

Para ejercer cualquiera de estos derechos, escríbenos a[email protected]. También puedes presentar un reclamo ante la autoridad de protección de datos competente de tu país.

16. Cookies

Utilizamos cookies esenciales para el funcionamiento de la plataforma: sesión y autenticación, protección contra falsificación de solicitudes, dispositivos recordados para la verificación en dos pasos y preferencias de interfaz como el tema claro u oscuro. Estas cookies son necesarias para prestar el servicio y no requieren consentimiento adicional.

No utilizamos cookies de seguimiento, de perfilado ni de publicidad de terceros, y no compartimos identificadores con redes publicitarias. Puedes bloquear las cookies desde tu navegador, pero la plataforma no podrá mantener tu sesión.

17. Menores de Edad

Cuentas de usuario: MediClick Plus no está destinado a menores de 18 años. No permitimos que menores creen cuentas ni administren una organización, y no recopilamos deliberadamente sus datos con ese fin.

Pacientes menores de edad: la plataforma sí permite registrar pacientes menores como parte de la atención clínica, incluidos sus datos de salud. En tal caso, la clínica Responsable debe contar con el consentimiento del padre, la madre o el representante legal, informarle sobre el tratamiento de los datos y aplicar la normativa local que rige el expediente de menores. Estos datos reciben las mismas medidas de seguridad y plazos de conservación descritos en esta Política.

18. Cambios a esta Política

Podemos actualizar esta Política de Privacidad periódicamente. Los cambios significativos, incluida la incorporación de nuevos subencargados que traten datos clínicos, se notificarán mediante un aviso en la plataforma o por correo electrónico con al menos 15 días de anticipación. La versión y la fecha de la última actualización se indican al inicio de este documento.

19. Contacto

Si tienes preguntas sobre esta Política de Privacidad o deseas ejercer tus derechos, contáctanos:

Email: [email protected]
Asuntos legales: [email protected]
Dirección: Nicaragua