Adenda de Tratamiento de Datos

Anexo a los Términos y Condiciones de Davalta

Esta Adenda regula el tratamiento de datos personales y datos personales sensibles de pacientes que Davalta realiza por cuenta del Profesional Usuario o cliente institucional, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente, su Reglamento, la legislación sanitaria aplicable y los Términos y Condiciones de Davalta.

Alcance territorial y jurisdicciones extranjeras

Esta Adenda se estructura principalmente bajo el marco mexicano de protección de datos personales en posesión de particulares y bajo el modelo responsable/persona encargada previsto en la legislación mexicana. Cuando el Responsable atienda pacientes ubicados fuera de México, opere desde otra jurisdicción, esté sujeto a reglas profesionales extranjeras o trate datos sometidos a leyes extranjeras, será responsable de verificar si requiere anexos, cláusulas contractuales, autorizaciones, evaluaciones de impacto, medidas de seguridad, avisos, consentimientos o restricciones adicionales.

Davalta no garantiza que esta Adenda satisfaga automáticamente requisitos de leyes extranjeras de privacidad, salud, telemedicina, expediente clínico, IA, secreto profesional, transferencia internacional o ejercicio profesional. El Responsable no deberá instruir a Davalta el tratamiento de datos cuando dicha instrucción sea incompatible con la ley aplicable a su práctica, a sus pacientes o al tratamiento correspondiente.

1. Partes y roles

Responsable: El Profesional Usuario, consultorio, clínica o institución que decide utilizar Davalta para documentar, transcribir, conservar, consultar, organizar, exportar o procesar información clínica de sus pacientes.

Encargado: Davalta Soluciones Digitales, S.A.S. de C.V., con domicilio en Calle Río La Silla 114, Col. 2 de Junio, Guadalupe, Nuevo León, México, C.P. 67189.

Cuando Davalta trate datos de cuenta, facturación, soporte, seguridad o relación contractual del Profesional Usuario, actuará como responsable conforme al Aviso de Privacidad. Esta Adenda aplica principalmente a datos de pacientes tratados por cuenta del Responsable.

2. Objeto

El Encargado prestará al Responsable servicios de herramienta digital de documentación clínica, organización de información, apoyo administrativo/analítico y exportación para profesionales de salud mental, incluyendo almacenamiento, transcripción, organización, búsqueda, generación de borradores, exportación, seguridad y soporte, según las funciones activas.

Davalta no se ostenta como Sistema de Información de Registro Electrónico para la Salud certificado, ni como sistema certificado conforme a NOM-024-SSA3-2012. Cualquier referencia a documentación clínica, registros clínicos o expediente debe entenderse como funcionalidad de apoyo documental, organización y exportación para el Responsable, salvo que Davalta obtenga y comunique expresamente la certificación, dictamen o autorización correspondiente.

El Encargado tratará los datos personales únicamente para prestar el servicio, cumplir estos instrumentos, ejecutar instrucciones documentadas, proteger seguridad, asistir en cumplimiento legal y atender obligaciones exigibles.

3. Naturaleza, categorías y duración del tratamiento

4. Instrucciones del Responsable

Las instrucciones del Responsable se integran por:

1. Los Términos y Condiciones.
2. Esta Adenda.
3. El Aviso de Privacidad.
4. La configuración elegida dentro de la Plataforma.
5. Las acciones realizadas por usuarios autorizados.
6. Instrucciones escritas enviadas a privacidad@davalta.ai.
7. Obligaciones legales o mandatos de autoridad aplicables.

Si Davalta considera que una instrucción es ilegal, insegura, incompatible con la Plataforma o contraria a obligaciones de conservación, bloqueo, seguridad, confidencialidad o derechos de terceros, podrá rechazarla, pedir aclaración, limitar su ejecución o suspenderla hasta recibir instrucción viable.

5. Obligaciones del Encargado

Davalta se obliga a:

1. Tratar datos personales solo conforme a instrucciones documentadas del Responsable.
2. Abstenerse de tratar datos clínicos para finalidades propias distintas de las autorizadas, salvo seguridad, defensa, cumplimiento legal o continuidad operativa estrictamente necesaria para prestar el servicio, proteger los datos o cumplir instrucciones legalmente viables.
3. No vender, ceder, licenciar ni usar datos clínicos identificables para publicidad, marketing, prospección o publicidad de seguimiento.
4. Procurar contratar o configurar proveedores para evitar que datos clínicos identificables se usen para entrenamiento general de modelos propios o de terceros, salvo consentimiento específico, instrucción documentada y contrato separado.
5. Implementar medidas de seguridad administrativas, técnicas y físicas razonables y proporcionales al riesgo, sujetas a evolución técnica y capacidades de proveedores.
6. Mantener confidencialidad sobre los datos tratados.
7. Limitar accesos administrativos a personal o proveedores con necesidad de conocer.
8. Asistir razonablemente al Responsable en solicitudes ARCO, exportación, rectificación, bloqueo y eliminación.
9. Notificar al Responsable sin dilación indebida vulneraciones de seguridad confirmadas que afecten datos personales tratados por cuenta del Responsable.
10. Documentar subprocesadores relevantes y notificar cambios sustanciales cuando reciban datos clínicos.
11. Devolver, exportar, bloquear o suprimir datos conforme a los Términos, el Aviso, esta Adenda, instrucciones legalmente procedentes y obligaciones de conservación.
12. Mantener medidas de trazabilidad, registros técnicos o evidencia técnica razonable de operaciones relevantes, procurando minimizar contenido clínico.
13. No interpretar consentimientos opcionales del Profesional Usuario para comunicaciones, investigación, mejora de producto o mejora de modelos como autorización para tratar datos clínicos identificables de pacientes para finalidades propias distintas de la prestación del servicio.

6. Obligaciones del Responsable

El Responsable se obliga a:

1. Contar con base legal para tratar datos de pacientes en Davalta.
2. Obtener consentimiento informado y consentimiento expreso por escrito para datos sensibles cuando corresponda.
3. Informar al paciente, de forma clara y suficiente, sobre el uso de herramientas digitales y proveedores tecnológicos en su atención, incluyendo nube, IA, transcripción y procesamiento internacional, así como la identidad de proveedores específicos cuando sea legalmente necesario, cuando el aviso de privacidad o consentimiento aplicable los identifique, cuando el paciente lo solicite conforme a la ley aplicable o cuando la naturaleza del tratamiento haga materialmente relevante dicha identificación.
4. Mantener su propio cumplimiento profesional, ético, sanitario y de expediente clínico.
5. Revisar, corregir, validar y firmar notas o documentos antes de incorporarlos al expediente.
6. Atender solicitudes ARCO de pacientes cuando actúe como responsable primario.
7. No cargar datos excesivos, innecesarios o no autorizados.
8. Controlar credenciales y accesos de sus colaboradores.
9. Notificar a Davalta incidentes, accesos no autorizados o instrucciones de pacientes que requieran acción técnica.
10. Responder frente a pacientes y autoridades por sus decisiones clínicas, consentimientos, omisiones de documentación y uso de salidas de IA.
11. Mantener protocolos clínicos y legales para emergencia, suicidio, autolesión, violencia, abuso, menores y riesgo para terceros.
12. Antes de cargar datos de pacientes menores de edad o personas con representación legal, documentar la base legal, representación aplicable, consentimiento informado, consentimiento expreso para datos sensibles cuando corresponda, asentimiento u opinión de la persona menor de edad cuando proceda, límites de acceso de padres o tutores, restricciones clínicas, deberes de reporte y protocolos de protección.
13. No instruir a Davalta tratamientos incompatibles con los consentimientos, avisos de privacidad, limitaciones, oposiciones, revocaciones o instrucciones legalmente procedentes de sus pacientes.

Cuando el Responsable utilice avisos, consentimientos o plantillas paciente-profesional que describan herramientas digitales o proveedores por categorías, deberá asegurarse de que dicha descripción no oculte información material, sea compatible con su aviso de privacidad y permita al paciente solicitar información adicional sobre proveedores específicos cuando proceda conforme a la ley aplicable. La descripción por categorías no autoriza tratamientos incompatibles con la ley, con los consentimientos otorgados ni con las instrucciones documentadas aplicables.

6.1 Tratamiento de datos de menores

Cuando el Responsable trate datos de pacientes menores de edad en Davalta, Davalta actuará como Encargado y tratará dichos datos conforme a instrucciones documentadas del Responsable, esta Adenda, los Términos, el Aviso de Privacidad y la configuración de la Plataforma.

El Responsable será el único responsable de determinar si cuenta con autorización suficiente de padre, madre, tutor, persona con patria potestad, guarda, custodia, representación legal o apoyo correspondiente; si debe recabarse asentimiento, opinión o participación de la persona menor de edad conforme a su edad, desarrollo evolutivo, madurez y contexto clínico; y si existen límites de confidencialidad, acceso, reporte o intervención.

Davalta podrá ofrecer campos, plantillas, cargas de documentos, marcas de expediente, bitácoras o confirmaciones reforzadas para apoyar la documentación de consentimiento y representación. Salvo acuerdo escrito, requerimiento legal o proceso específico habilitado por Davalta, dichos recursos no implican revisión, validación o aprobación por Davalta de la suficiencia legal, clínica o ética del consentimiento obtenido por el Responsable.

Davalta podrá implementar medidas técnicas razonables para datos de menores, incluyendo marcado de registros, limitación o confirmación reforzada para IA, audio, transcripción, exportación, eliminación o acceso, minimización de accesos administrativos, clasificación de incidentes con menores como alta prioridad y asistencia técnica para bloqueo, exportación o supresión conforme a instrucciones legalmente viables del Responsable. Estas medidas se suman a la prohibición general de tratar datos clínicos identificables de cualquier paciente, sea adulto o menor de edad, mediante herramientas de marketing, píxeles, publicidad de seguimiento o analítica conductual.

7. Subprocesadores autorizados por categoría

El Responsable autoriza de forma inicial el uso de categorías de subprocesadores necesarias para prestar el servicio, sujeto a que Davalta mantenga un registro vigente de proveedores activos y notifique cambios sustanciales conforme a esta Adenda. La intervención de cada proveedor depende de las funciones activas, configuración del servicio, plan contratado, arquitectura vigente y contratos aplicables. Algunos proveedores pueden ser actuales, opcionales, posibles o sub-subprocesadores de un proveedor principal.

Davalta procurará que los subprocesadores reciban solo los datos necesarios para su función. La lista definitiva de proveedores activos deberá confirmarse en el registro vigente de subprocesadores antes de uso productivo con datos clínicos. El Responsable podrá objetar cambios sustanciales de subprocesadores que reciban datos clínicos dentro del plazo indicado en la notificación. Si no existe alternativa razonable, el Responsable podrá terminar el servicio y solicitar exportación.

Davalta no debe utilizar proveedores de marketing, redes publicitarias, píxeles, publicidad de seguimiento o analítica conductual para tratar datos clínicos identificables.

8. Transferencias internacionales y remisiones

El Responsable reconoce y autoriza que el tratamiento puede implicar procesamiento internacional, especialmente cuando proveedores tecnológicos operen fuera de México. El Responsable debe obtener de los pacientes las autorizaciones necesarias para que sus datos sean procesados por Davalta y sus subprocesadores fuera de México, salvo que aplique una excepción legal.

Cuando un proveedor trate datos por cuenta del Responsable o de Davalta bajo instrucciones documentadas, se considerará remisión, subprocesamiento o tratamiento por encargado, según corresponda. Cuando un tercero determine finalidades propias o la ley considere que existe transferencia, se aplicarán las reglas de transferencia que correspondan.

Davalta deberá procurar celebrar o mantener compromisos contractuales, políticas o términos compatibles con seguridad, confidencialidad, subprocesamiento, eliminación y protección de datos, según el rol y la función contratada, hasta contar con confirmación documental de términos, planes, DPAs y configuraciones aplicables.

9. Seguridad

Las medidas del Encargado podrán incluir, según la arquitectura vigente y las capacidades del servicio:

• Cifrado en tránsito.
• Cifrado en reposo conforme a proveedores de infraestructura.
• Control de acceso por usuario, rol y reglas de seguridad.
• Separación lógica entre cuentas cuando corresponda.
• Registros técnicos y monitoreo técnico.
• Minimización o seudonimización de texto antes de IA cuando sea posible.
• Restricciones para reducir envío de contenido clínico innecesario a IA.
• Respaldo y recuperación según capacidades de proveedores.
• Procedimientos razonables de respuesta a incidentes.

Davalta no afirma seguridad total, certificación ISO, certificación SOC, cumplimiento HIPAA, certificación NOM-024, autorización COFEPRIS, residencia de datos en México ni invulnerabilidad, salvo que lo comunique expresamente con soporte documental.

El Responsable reconoce que ciertos accesos administrativos, respaldos, registros técnicos, funciones del lado del servidor y operaciones de soporte pueden operar con permisos elevados. Davalta limitará esos accesos a finalidades legítimas y los sujetará a confidencialidad.

10. IA, automatización, seudonimización y auditabilidad

Davalta podrá aplicar seudonimización o minimización de texto antes de enviar información a modelos de IA cuando sea técnicamente posible. Esta medida no elimina por completo la identificabilidad indirecta.

Las funciones de IA no emiten diagnósticos, tratamientos, pronósticos, triaje, recomendaciones clínicas definitivas ni alertas de emergencia. Sus salidas son borradores, resúmenes, sugerencias de organización, clasificaciones documentales o indicadores auxiliares no exhaustivos, sujetos a revisión, corrección y validación del Responsable.

El audio se procesa directamente por proveedores de transcripción y no puede seudonimizarse previamente de forma equivalente. Davalta limitará su uso a la transcripción y finalidades autorizadas, salvo instrucción o configuración distinta del Responsable.

Davalta podrá conservar registros técnicos, versiones, marcas de tiempo, estados de generación, ediciones y metadatos necesarios para auditabilidad, seguridad, soporte, prevención de abuso y defensa de derechos, procurando minimizar contenido clínico en dichos registros.

11. No entrenamiento general

Davalta no debe usar datos clínicos identificables para entrenar modelos generales propios o de terceros por decisión propia.

Respecto de proveedores, Davalta deberá procurar contratar, configurar y utilizar modalidades comerciales o técnicas que eviten el entrenamiento general con datos clínicos identificables, salvo que exista consentimiento específico de los titulares, instrucción documentada del Responsable y contrato separado que lo autorice. Esta obligación no debe interpretarse como garantía proveedor por proveedor hasta que los términos, planes, DPAs y configuraciones aplicables hayan sido confirmados documentalmente.

El consentimiento opcional que un Profesional Usuario otorgue a Davalta para comunicaciones comerciales, investigación de producto, mejora de Plataforma o mejora de modelos con datos no clínicos no autoriza el uso de datos clínicos identificables de pacientes, audio, voz, transcripciones, notas clínicas, expedientes, adjuntos clínicos, instrucciones clínicas (prompts), salidas clínicas ni archivos de conocimiento por paciente para entrenamiento, mejora general de modelos, marketing, publicidad de seguimiento o finalidades propias de Davalta distintas de la prestación del servicio.

Cualquier excepción relacionada con datos clínicos de pacientes deberá documentarse de forma separada, específica y verificable, con consentimiento expreso e informado de los titulares o sus representantes cuando corresponda, instrucción documentada del Responsable, evaluación legal previa y contrato separado que delimite finalidad, datos, proveedores, medidas de seguridad, retención, revocación, responsabilidades y derechos aplicables.

12. Derechos ARCO y solicitudes de pacientes

Si Davalta recibe una solicitud directa de un paciente respecto de datos controlados por el Responsable, Davalta podrá canalizarla al Responsable y asistirá técnicamente cuando sea razonable.

Cuando el Responsable reciba una solicitud, Davalta prestará apoyo razonable para localizar, exportar, rectificar, bloquear o eliminar datos, sujeto a capacidades técnicas, conservación legal, seguridad, derechos de terceros y costos razonables cuando aplique.

Davalta podrá actuar directamente cuando la ley lo exija, exista orden de autoridad, sea indispensable para proteger derechos, o el Responsable no pueda ser localizado y la actuación sea legalmente procedente.

13. Vulneraciones de seguridad

Davalta notificará al Responsable sin dilación indebida y, en la medida de lo razonablemente posible, dentro de setenta y dos horas naturales desde que confirme una vulneración de seguridad que afecte datos personales tratados por cuenta del Responsable.

La notificación incluirá, cuando sea posible:

• Naturaleza del incidente.
• Categorías de datos afectados.
• Número aproximado de titulares o registros afectados.
• Medidas adoptadas.
• Riesgos probables.
• Recomendaciones para mitigación.
• Punto de contacto para seguimiento.

El Responsable conserva la obligación de decidir y ejecutar notificaciones a pacientes y autoridades cuando legalmente correspondan.

14. Auditoría y evidencia

El Responsable podrá solicitar información razonable sobre medidas de seguridad, subprocesadores, políticas de privacidad, certificaciones de proveedores y procedimientos de cumplimiento.

Las auditorías presenciales o técnicas directas solo procederán mediante acuerdo escrito, confidencialidad, alcance limitado, horario razonable, no afectación de otros usuarios y pago de costos asociados por el Responsable, salvo que la ley ordene otra cosa.

Davalta podrá satisfacer auditorías mediante documentación, cuestionarios, reportes de proveedores, políticas, registros o auditorías externas disponibles. Davalta no queda obligada a revelar secretos técnicos, código fuente, datos de otros usuarios, información que comprometa seguridad o documentación de proveedores que esté sujeta a confidencialidad.

15. Conservación, bloqueo, devolución y supresión

Al terminar la relación, Davalta procurará permitir exportación razonable de las fuentes clínicas razonablemente disponibles del Responsable, como notas revisadas, transcripciones guardadas, adjuntos, datos del paciente, consentimientos cargados y metadatos esenciales, salvo impedimento legal, técnico, de seguridad, fraude, abuso, orden de autoridad, impago grave o riesgo para terceros.

Una vez que el Responsable descarga, copia, comparte, migra o exporta fuentes clínicas fuera del entorno controlado de Davalta, el Responsable asume la custodia, conservación, integridad, confidencialidad, almacenamiento local, canales de envío y seguridad de dichas copias externas. Davalta no controla ni responde por el uso, alteración, pérdida, divulgación, almacenamiento inseguro, envío por canales no autorizados o integración en sistemas de terceros de la información exportada, salvo por fallas directamente imputables a Davalta en el proceso técnico de generación del archivo exportado dentro de la Plataforma.

Davalta podrá bloquear y conservar datos clínicos de forma restringida cuando:

• Exista obligación sanitaria, fiscal, contractual, civil, penal o administrativa.
• Los datos formen parte del expediente clínico del Responsable.
• Sean necesarios para acreditar atención, consentimiento, seguridad, integridad, defensa o cumplimiento.
• Exista instrucción legalmente válida del Responsable.
• Existan ciclos técnicos de respaldo, recuperación, registros técnicos o retención de proveedores.

La supresión definitiva procederá cuando se cumplan finalidades, plazos de conservación y bloqueo, y no exista obligación legal o derecho de tercero que justifique conservarlos.

Como referencia regulatoria, la NOM-004-SSA3-2012 establece reglas de conservación para expedientes clínicos integrados por prestadores de servicios de atención médica. La determinación final del plazo, cierre del expediente y procedencia de cancelación corresponde al Responsable, sujeto a la ley aplicable.

Los índices, embeddings, fragmentos indexados o representaciones técnicas reidentificables deberán eliminarse, invalidarse o reconstruirse cuando se eliminen las fuentes correspondientes, siempre que proceda y sea técnicamente posible.

16. Audio, transcripciones y derivados

Davalta procurará minimizar el tratamiento de audio y conservarlo solo durante el tiempo necesario para transcripción, verificación técnica, seguridad, soporte, cumplimiento, respaldo o instrucciones documentadas del Responsable.

Davalta no promete borrado inmediato de audio, transcripciones, instrucciones (prompts), salidas, registros técnicos, respaldos, índices, embeddings o datos alojados por proveedores, porque la supresión puede depender de capacidades técnicas, ciclos de respaldo, ventanas de retención, seguridad, obligaciones legales e instrucciones del Responsable.

Las transcripciones guardadas, notas revisadas, documentos, adjuntos, consentimientos y demás fuentes clínicas pueden ser utilizadas por el Responsable como parte de su expediente si así lo determina. Los borradores no revisados o descartados no deben tratarse como nota clínica final salvo decisión expresa del Responsable y cumplimiento de sus obligaciones documentales.

17. Solicitudes de autoridad

Si Davalta recibe una solicitud, requerimiento, inspección, orden o mandato de autoridad relacionado con datos tratados por cuenta del Responsable, Davalta notificará al Responsable cuando sea legalmente permitido y razonablemente posible.

Davalta podrá responder directamente cuando esté legalmente obligada, exista urgencia, una orden lo prohíba o la falta de respuesta pueda generar responsabilidad. En esos casos, Davalta procurará limitar la entrega a lo requerido por la autoridad competente.

18. Responsabilidad

Cada parte responderá por las obligaciones que le correspondan.

Davalta responderá por incumplimientos propios como Encargado, sujeto a los límites de responsabilidad de los Términos y a la ley aplicable.

El Responsable responderá por obtención de consentimiento, calidad de la información, decisiones clínicas, uso de IA, firma de notas, cumplimiento de NOM-004, deber de secreto, protocolos de emergencia y atención de derechos de pacientes.

19. Vigencia

Esta Adenda entra en vigor junto con los Términos aceptados por el Responsable y permanecerá vigente mientras Davalta trate datos por cuenta del Responsable. Las obligaciones de confidencialidad, bloqueo, conservación, devolución, supresión y defensa subsistirán mientras sea necesario.

20. Comunicaciones

Comunicaciones al Encargado:

• privacidad@davalta.ai
• legal@davalta.ai
• Calle Río La Silla 114, Col. 2 de Junio, Guadalupe, Nuevo León, México, C.P. 67189

Comunicaciones al Responsable:

• Correo electrónico registrado en la cuenta.
• Administrador institucional designado.
• Otros medios pactados por escrito.