Volver al inicio

Acuerdo de tratamiento de datos personales entre el consultorio y Praxia

Versión 2026-10-19. Actualizado el 19 de octubre de 2026.

Se basa en la Ley para la Protección de Datos Personales (Decreto Legislativo 144 de 2024, reformado por el Decreto Legislativo 659 de 2026) y en la Ley de Deberes y Derechos de los Pacientes y Prestadores de Servicios de Salud. Forma parte de los Términos y condiciones de Praxia.

Partes

1. Objeto y funciones

1.1. El consultorio es el responsable del tratamiento de los datos de sus pacientes y decide sus fines. Praxia es el encargado: trata esos datos solo por cuenta del consultorio y para prestar el servicio descrito en los Términos y condiciones de Praxia.

1.2. Praxia es responsable, no encargado, de los datos de las cuentas del equipo del consultorio y de su relación comercial con el consultorio.

2. Instrucciones y finalidades

2.1. Praxia trata los datos solo para: agendar, confirmar, cambiar y recordar citas; responder mensajes de WhatsApp con el asistente automático; llevar el expediente clínico electrónico; y las tareas técnicas que estas funciones requieren (alojamiento, respaldo, seguridad y soporte).

2.2. Las instrucciones del consultorio son este acuerdo, la configuración que hace en Praxia y las que dé por escrito su representante. Praxia avisa al consultorio si una instrucción le parece contraria a la ley y puede no ejecutarla hasta que se aclare.

2.3. Praxia no usa los datos de los pacientes para fines propios, publicidad ni venta, y solo usa proveedores de modelos que no los guardan ni los usan para entrenar.

3. Datos y personas

3.1. Personas: pacientes, incluidos menores de edad; sus madres, padres, representantes legales y contactos de emergencia; personas que escriben desde un número compartido; y el equipo del consultorio.

3.2. Datos: identificación y contacto (nombre, WhatsApp, fecha de nacimiento, DUI, dirección); citas y respuestas de ingreso; mensajes; y datos de salud (motivo de consulta, alergias, antecedentes, diagnósticos, notas clínicas, recetas, órdenes y archivos). Los datos de salud son datos sensibles (Art. 4).

4. Consentimiento de los pacientes

4.1. Antes de atender a un paciente, el asistente le envía el aviso de privacidad del consultorio y le pide tocar “Acepto” o escribir ACEPTO. Praxia guarda la fecha, la versión del aviso y el mensaje de aceptación, y los entrega al consultorio cuando los pida. Las partes reconocen esta aceptación como el consentimiento escrito que exigen los Arts. 26 y 44 para los datos de salud y la transferencia internacional.

4.2. El aviso de cada consultorio se publica en la dirección /privacidad/[identificador del consultorio]. Cuando el aviso cambia, el asistente pide de nuevo la autorización.

4.3. Cuando el paciente es menor de 18 años, basta con la aceptación de su madre, padre o representante legal. Cuando varias personas comparten un número, basta con que quien escribe declare que tiene permiso del paciente.

4.4. Los datos clínicos que el consultorio registra para la atención médica se tratan además conforme a las normas de salud y al Art. 20 de la Ley de Deberes y Derechos de los Pacientes.

5. Confidencialidad y acceso

5.1. Cada persona del consultorio usa su propia cuenta. Los permisos separan las funciones administrativas y clínicas, y solo los doctores ven los datos de salud.

5.2. El personal de Praxia accede a datos de pacientes solo cuando es necesario para soporte o seguridad, con autorización del consultorio salvo urgencia, y bajo un deber de confidencialidad que continúa después de terminar su relación con Praxia.

6. Seguridad

6.1. Praxia mantiene, como mínimo: cifrado en tránsito; cifrado en la aplicación de mensajes, DUI, notas clínicas y archivos antes de guardarlos; separación de datos por consultorio; verificación de dispositivos del equipo; firma inmutable de notas y recetas; y registro de accesos a archivos clínicos.

6.2. Nombres, teléfonos, fechas de nacimiento y códigos de diagnóstico no se cifran en la aplicación porque se usan para búsquedas. El asistente necesita el texto de la conversación sin cifrar para responder.

6.3. Las copias de seguridad las mantiene Supabase según su política. [Anexo de seguridad con frecuencia y retención de copias, pendiente.]

7. Subencargados y transferencias internacionales

7.1. El consultorio autoriza a Praxia a usar estos subencargados, todos empresas de Estados Unidos:

7.2. Praxia contrata a cada subencargado bajo condiciones de protección de datos no menores que las de este acuerdo (Arts. 33, 41 y 44) y responde ante el consultorio por su cumplimiento.

7.3. Praxia avisa al consultorio con 30 días de anticipación antes de agregar o cambiar un subencargado. Si el consultorio se opone por motivos de protección de datos, puede terminar el acuerdo sin penalidad.

7.4. Praxia informa a la Agencia de Ciberseguridad del Estado de los flujos transfronterizos de datos, como exige el Art. 45, en nombre de los consultorios que usan el servicio, y entrega al consultorio la constancia cuando la pida.

8. Derechos de los pacientes

8.1. Las solicitudes de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación (ARCO-POL) se responden en un máximo de 20 días hábiles, prorrogables una vez por 20 días hábiles con causa justificada (Art. 20). El consultorio decide sobre cada solicitud y Praxia le ayuda a cumplirla.

8.2. Si Praxia recibe una solicitud de un paciente, la traslada al consultorio en 2 días hábiles.

8.3. Praxia ayuda al consultorio a cumplir: entrega los datos de un paciente en un formato portable, corrige o marca los datos en rectificación (Art. 21) y aplica las cancelaciones, salvo lo que el expediente clínico deba conservar.

8.4. Retiro del consentimiento. Se resuelve en 5 días hábiles desde que se recibe (Art. 30). Praxia lo ejecuta de inmediato: el asistente deja de atender al paciente y Praxia lo comunica a sus subencargados dentro del mismo plazo.

8.5. Cuando se rectifiquen, actualicen o eliminen datos que ya se compartieron, se avisa a quienes los recibieron dentro de 5 días hábiles desde que se determinó que la solicitud procede (Art. 21).

9. Vulneraciones de seguridad

9.1. Praxia avisa al consultorio sin demora y a más tardar 24 horas después de conocer una vulneración que afecte sus datos, con lo que se sepa en ese momento: naturaleza, datos afectados, medidas tomadas y recomendaciones.

9.2. Praxia notifica en nombre del consultorio a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a los pacientes afectados dentro de las 72 horas siguientes a conocer la vulneración (Art. 25). El consultorio colabora con la información que Praxia le pida.

9.3. Praxia documenta cada vulneración (fecha, causa, efectos y medidas) y sigue su procedimiento de incidentes.

10. Conservación, devolución y eliminación

10.1. Praxia conserva los datos mientras dure el servicio. Archivar un paciente no elimina su expediente.

10.2. Si el consultorio no paga, al terminar los 7 días de gracia pierde el acceso al servicio hasta que pague. Durante la suspensión, Praxia conserva los datos sin cambios y sigue atendiendo las solicitudes de los pacientes.

10.3. Al terminar el acuerdo, Praxia entrega al consultorio una exportación completa en CSV dentro de 30 días. Borra los datos 30 días después de entregarla, y las copias de seguridad dentro de 90 días. Conserva solo lo que la ley le obligue a conservar, y lo informa por escrito.

10.4. El consultorio es responsable de conservar el expediente clínico durante 10 años, según la norma técnica del expediente clínico, con la exportación que recibe.

11. Rendición de cuentas

11.1. Praxia entrega al consultorio, cuando lo pida, la información necesaria para demostrar que cumple este acuerdo: lista de subencargados, medidas de seguridad, registros de consentimiento y de accesos.

11.2. Cada parte responde por los daños que cause su incumplimiento de la ley o de este acuerdo. La responsabilidad total de Praxia no excederá lo que el consultorio haya pagado en los 12 meses anteriores al hecho que la origina, salvo dolo o culpa grave.

12. Vigencia y terminación

12.1. Este acuerdo rige mientras el consultorio use Praxia y hasta que se cumpla la cláusula 10.

12.2. Cualquiera de las partes puede terminarlo avisando con 30 días de anticipación. El consultorio también puede terminarlo según la cláusula 7.3.

13. Ley aplicable y arbitraje

Este acuerdo se rige por las leyes de El Salvador. Cualquier controversia se resolverá por arbitraje de derecho en el Centro de Mediación y Arbitraje de la Cámara de Comercio e Industria de El Salvador, en San Salvador y en español.

14. Aceptación

El consultorio acepta este acuerdo en la aplicación por medio de su representante. Las partes reconocen esa aceptación como vinculante. Praxia guarda quién aceptó, la fecha y la versión.