Política de privacidad

1. Quién trata los datos

El centro o profesional es responsable del tratamiento asistencial que determina. Evexya actuará como encargado cuando procese esa información por cuenta del prestador. Para sus propias cuentas, soporte, seguridad y gestión de suscripciones, el operador de Evexya podrá actuar como responsable de un tratamiento distinto. Los roles se determinan por las actividades reales, no sólo por su denominación contractual.

2. Datos y finalidades

La implementación podrá tratar identificación y contacto, perfil y credenciales profesionales, agenda y reservas, vínculos con centros, consentimientos y registros de acceso. Los datos de salud, fichas, documentos, transcripciones y notas requieren protección reforzada y sólo se tratarán para la finalidad autorizada. No se deben solicitar datos excesivos ni incorporar datos sensibles a reseñas públicas.

3. Fundamento y consentimiento

Cada responsable debe identificar y documentar la base jurídica aplicable. El consentimiento para grabación, transcripción, derivación o publicación es específico y separado cuando corresponda; no se presume a partir del registro general. El paciente debe conocer finalidad, destinatarios y posibilidad de revocación, sin perjuicio de obligaciones legales de conservación.

4. Accesos y confidencialidad

El diseño previsto contempla acceso por función y relación asistencial, cartera individual y trazabilidad. El personal administrativo no obtiene acceso ordinario a notas clínicas. Los accesos técnicos excepcionales deberán limitarse, justificarse y registrarse. Las derivaciones no habilitan compartir información fuera del alcance aprobado por las tres partes.

5. Encargados y servicios externos

Antes de activar hosting, correo, Google, Zoom, pagos o IA se deben identificar proveedores, ubicación del tratamiento, permisos, condiciones y eventuales transferencias internacionales; formalizar garantías y acuerdos cuando sean exigibles. Esta política no afirma que esas integraciones ya estén operativas. No se comparten datos para publicidad ni se venden fichas o conversaciones.

6. Calendario, videollamadas e IA

La autorización de Google Calendar sirve para las funciones expresamente consentidas, no permite leer toda la información sin límites. Google y Zoom mantienen políticas propias. La transcripción y los borradores de IA deberán habilitarse por separado, con revisión profesional y sin entrenamiento de modelos sobre datos asistenciales autorizado por estos textos.

7. Seguridad e incidentes

Evexya deberá establecer controles de acceso, protección de comunicaciones y almacenamiento, gestión de credenciales, actualizaciones, copias y procedimientos de respuesta adecuados al riesgo. Las medidas concretas deben verificarse antes de producción. Ante incidentes se colaborará con el responsable y se realizarán las comunicaciones que exija la normativa, sin prometer ausencia total de riesgos.

8. Conservación y eliminación

El prestador define los plazos asistenciales conforme a sus obligaciones. El operador define y documenta los plazos para cuentas, soporte y seguridad. Al finalizar el servicio, el acuerdo de tratamiento debe regular exportación, devolución, eliminación y expiración de copias. No se conserva indefinidamente por defecto ni se promete eliminación inmediata de documentación legalmente exigible.

9. Derechos y contacto

Se podrá solicitar información y ejercer los derechos de acceso, rectificación, actualización, inclusión o supresión que correspondan. Para la ficha asistencial se debe contactar al centro o profesional; para cuentas y datos propios de la plataforma, al operador de Evexya. Las solicitudes se verificarán y atenderán en los plazos legales. En Uruguay puede recurrirse a la URCDP. Antes de publicación deben completarse identidad, domicilio y canal de privacidad del operador y de cada responsable.

10. Demo y almacenamiento local

La versión actual es una demostración y no admite datos personales o clínicos reales. Guarda ciertas preferencias y registros ficticios en el navegador. No implementa autenticación real, correo de verificación, aislamiento de carteras o escucha de sesiones. Esos controles deben completarse antes de utilizarla con pacientes.

Anexo regional · Latinoamérica

Revisión de referencias: 30/10/2026. Inventario inicial no exhaustivo para 20 países. No certifica cumplimiento, vigencia consolidada de cada disposición ni autorización para operar. Las normas se aplican según establecimiento, pacientes, territorio, profesión y actividad efectiva. Se deben revisar también decretos, resoluciones, normas provinciales o estatales y cambios posteriores.

Normas identificadas y fuentes

Revisión local pendiente

Bolivia, Guatemala, Haití, Honduras, Nicaragua, Venezuela: no se declara ausencia de regulación ni cumplimiento. Antes de habilitar servicios deben verificarse las disposiciones constitucionales, datos personales, secreto profesional, salud, comercio electrónico, consumo y ciberseguridad vigentes. Para Nicaragua se debe verificar específicamente la Ley 787 y su desarrollo en la fuente legislativa oficial. Ningún proyecto se tratará como ley vigente.

Materias complementarias por jurisdicción

• Habilitación y matrícula profesional; teleatención y ubicación del paciente; historia clínica, firma y conservación documental.
• Niñez y adolescencia, representación, autonomía progresiva y reglas de consentimiento según edad y prestación.
• Confidencialidad, datos sensibles, información sobre creencias religiosas y salud; transferencias internacionales y subencargados.
• Seguridad, notificación de incidentes, registros de bases, delegado o representante y evaluación de impacto cuando sean exigibles.
• Protección del consumidor, contratación electrónica, publicidad de salud, cancelaciones y cobros del prestador. No se promete reconocimiento sanitario de terapias alternativas por incluirlas en el catálogo.
• Grabación, transcripción e IA: base jurídica, consentimiento específico cuando corresponda, revisión humana, acceso restringido y condiciones del proveedor.

Condiciones para habilitar un país

Documentar la entidad operadora y responsables, servicios autorizados, matriz de requisitos locales, canales y plazos de derechos, proveedores y ubicación de datos, transferencias, retención, respuesta a incidentes y acuerdos de encargado. Los plazos y requisitos de un país no se trasladan automáticamente a otro.

La relación paciente-prestador determina la responsabilidad asistencial y económica; el contrato no elimina obligaciones propias de Evexya como responsable o encargado. En caso de conflicto prevalecen las normas imperativas y los derechos irrenunciables aplicables.

Los principios de privacidad de la OEA son una referencia regional; no sustituyen leyes nacionales ni constituyen por sí solos una certificación de cumplimiento.