Política de Privacidad

1. Responsable del tratamiento

Grupo Robles Gil Candás, S.A. de C.V., sociedad anónima de capital variable constituida conforme a las leyes de los Estados Unidos Mexicanos, que opera la plataforma y la marca Ordexa, con domicilio en la ciudad de Querétaro, Querétaro, México, es responsable del tratamiento de los datos personales de los usuarios de la plataforma Ordexa (profesionales de la salud, administradores y personal de los consultorios).

Respecto a los datos personales de los pacientes registrados en la plataforma, el profesional de la salud que contrató el Servicio actúa como Responsable y Ordexa actúa como Encargado, procesando dichos datos únicamente para prestar el Servicio conforme a las instrucciones del Responsable y a lo establecido en el contrato de servicio.

Contacto del responsable: [email protected]

2. Datos personales que recopilamos

Datos de usuarios de la plataforma (profesionales y personal):

• Nombre, apellidos, correo electrónico y contraseña (encriptada).
• Nombre del consultorio o clínica.
• Número de teléfono (opcional, para configuración de WhatsApp).
• Datos de facturación y método de pago (procesados por Stripe; Ordexa no almacena datos de tarjetas).
• Información de uso de la plataforma (logs de acceso, métricas de uso de funcionalidades).
• La campaña o el anuncio del que llegaste a ordexa.mx, cuando te registras desde el sitio, y, si aceptas las cookies de medición, cómo navegas en el sitio (sección 8).

Datos de pacientes (tratados como Encargado):

• Datos de identificación: nombre, fecha de nacimiento, género, teléfono, correo.
• Datos de salud sensibles: expediente clínico, diagnósticos, historial de tratamiento, notas SOAP, evaluaciones funcionales.
• Datos de citas y sesiones.

Los datos de salud de pacientes constituyen datos personales sensibles conforme a la LFPDPPP, y reciben el nivel más elevado de protección.

3. Finalidades del tratamiento

Finalidades primarias (necesarias para el Servicio):

• Crear y gestionar tu cuenta y la de tu consultorio.
• Prestar las funcionalidades de la plataforma (agenda, expediente clínico, reportes).
• Procesar pagos y gestionar tu suscripción.
• Enviarte comunicaciones transaccionales (bienvenida, avisos de suscripción, notificaciones del sistema).
• Brindar soporte técnico y atención al cliente.
• Cumplir con obligaciones legales aplicables.

Finalidades secundarias (puedes oponerte):

• Enviarte información sobre nuevas funcionalidades, actualizaciones y promociones de Ordexa.
• Realizar estudios de uso y análisis para mejorar el Servicio.
• Medir qué anuncios y campañas traen visitas y registros, con las herramientas de Meta y PostHog descritas en las secciones 5 y 8.

Si no deseas que tus datos sean utilizados para las finalidades secundarias, puedes manifestarlo en cualquier momento escribiendo a [email protected].

4. Consentimiento para datos sensibles

El tratamiento de datos personales sensibles requiere el consentimiento expreso y por escrito del titular (mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación) conforme a la LFPDPPP. Este consentimiento debe ser obtenido por el profesional de la salud (Responsable) de sus propios pacientes antes de registrar su información en la plataforma.

Al registrarte como usuario de Ordexa, manifiestas que cuentas con las autorizaciones necesarias de tus pacientes para el tratamiento de su información en plataformas digitales y que cumples con la NOM-004-SSA3-2012 en materia de expediente clínico.

5. Transferencia de datos

Ordexa puede compartir datos personales con los siguientes terceros para la prestación del Servicio, sin requerir tu consentimiento adicional cuando sea necesario para el cumplimiento del contrato:

• Supabase / PostgreSQL: Almacenamiento de base de datos (servidores en EE.UU.).
• Amazon Web Services (S3): Almacenamiento de los archivos del expediente.
• Stripe: Procesamiento de pagos (EE.UU.).
• Resend: Envío de correos transaccionales (EE.UU.).
• OpenAI: Funcionalidades de inteligencia artificial (EE.UU.). Los datos enviados a OpenAI no son usados para entrenar sus modelos conforme al acuerdo de API.
• Meta (WhatsApp Business API): Envío de recordatorios por WhatsApp.
• Meta (pixel y Conversions API): Medición y publicidad. El pixel mide las visitas a ordexa.mx y los resultados de nuestros anuncios, y ayuda a mostrarlos. Solo se activa si lo aceptas (sección 8). Cuando te registras, Ordexa le manda a Meta por la Conversions API tu correo y tu teléfono cifrados con SHA-256, junto con la dirección IP y el navegador del registro, el plan y el monto, para saber qué anuncio trajo el registro. Es una finalidad secundaria y puedes oponerte a ella (sección 3).
• PostHog: Analítica de ordexa.mx, solo si la aceptas (EE.UU.).
• Chatwoot, en infraestructura de AM TechWorks: Chat de atención en ordexa.mx y en nuestro WhatsApp de soporte.
• Cloudflare: DNS y protección del sitio y de la plataforma contra ataques y abuso.
• Hostinger: Servidor donde corre el API de la plataforma.
• Sentry: Registro de errores técnicos del API y de la aplicación web.
• Vercel: Infraestructura de la aplicación web (EE.UU.).

Ordexa nunca manda datos de pacientes al pixel de Meta, a la Conversions API, a PostHog ni a Chatwoot.

Ordexa no vende ni alquila datos personales. Lo único que se comparte para medir la publicidad es lo que se describe arriba para Meta.

6. Derechos ARCO

Conforme a la LFPDPPP, tienes derecho a Acceder, Rectificar, Cancelar u Oponerte al tratamiento de tus datos personales (derechos ARCO). Para ejercerlos, envía una solicitud a [email protected] indicando:

• Nombre completo y correo electrónico de la cuenta.
• Descripción clara del derecho que deseas ejercer.
• Copia de identificación oficial.

Daremos respuesta en un plazo máximo de 20 días hábiles. La cancelación de datos no aplica cuando exista una obligación legal de conservarlos.

Para solicitudes relacionadas con datos de pacientes, el titular del dato debe dirigirse directamente al profesional de la salud (Responsable), quien deberá coordinarse con Ordexa en caso necesario.

7. Seguridad de los datos

Ordexa implementa medidas técnicas, administrativas y físicas para proteger tus datos, incluyendo:

• Cifrado de contraseñas con bcrypt.
• Comunicaciones cifradas mediante HTTPS/TLS.
• Aislamiento de datos por consultorio (multi-tenancy con tenant_id en todas las tablas).
• Autenticación mediante tokens JWT con expiración.
• Acceso a producción restringido a personal autorizado.

Ningún sistema de seguridad es infalible. En caso de una brecha de seguridad que afecte tus datos, te notificaremos en los términos que establezca la legislación aplicable.

8. Cookies y tecnologías de rastreo

Estas son las cookies y tecnologías parecidas que usamos en ordexa.mx y en la plataforma, y para qué sirven:

• Necesarias: en la plataforma, cookies de sesión para autenticarte y guardar tus preferencias. En ordexa.mx, tu navegador guarda tu elección sobre cookies y, mientras tengas abierta la pestaña, la campaña o el anuncio del que llegaste (los parámetros utm de la liga), que pasan a la plataforma si te registras.
• Chat de atención: el chat de ordexa.mx (Chatwoot) guarda una cookie para mantener tu conversación con nosotros.
• Medición y publicidad: el pixel de Meta registra las páginas que visitas en ordexa.mx y cuándo tocas un botón para probar Ordexa o para escribirnos por WhatsApp, para medir nuestros anuncios y mostrarlos. Usa las cookies _fbp y _fbc. PostHog registra qué páginas visitas para ayudarnos a mejorar el sitio y guarda un identificador en tu navegador. Si aceptas y te registras, la plataforma también recibe el identificador de Meta de tu visita, para saber qué anuncio te trajo.

Las de medición y publicidad solo se activan si tocas «Aceptar» en el aviso de cookies que aparece en tu primera visita. Nunca se mandan datos de pacientes a estas herramientas.

Puedes cambiar tu elección o retirar tu consentimiento cuando quieras desde «Preferencias de cookies», al pie de cada página. Desde ese momento dejamos de medir y se borran las cookies del pixel de Meta. También puedes borrar las cookies desde la configuración de tu navegador.

9. Retención de datos

Los datos personales de usuarios se conservan mientras la cuenta esté activa y por 30 días adicionales tras la cancelación, periodo durante el cual el usuario puede solicitar una exportación. Los datos de pacientes registrados en expedientes clínicos se conservan conforme a los plazos establecidos por la NOM-004-SSA3-2012 (mínimo 5 años).

10. Modificaciones a esta Política

Ordexa podrá actualizar esta Política de Privacidad para reflejar cambios en el Servicio, en la legislación aplicable o en nuestras prácticas de tratamiento de datos. Los cambios materiales serán notificados por correo electrónico. La versión vigente siempre estará disponible en esta página.

11. Contacto y quejas

Para cualquier consulta, ejercicio de derechos ARCO o queja relacionada con el tratamiento de tus datos personales:

• Grupo Robles Gil Candás, S.A. de C.V. — Ordexa
• Correo: [email protected]
• Querétaro, Querétaro, México

Si consideras que tu solicitud no fue atendida correctamente, puedes presentar una queja ante la autoridad competente en materia de protección de datos personales en posesión de los particulares. Conforme a la reforma a la LFPDPPP publicada el 20 de marzo de 2025, dicha autoridad es la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones que antes correspondían al INAI.