Acuerdo de Tratamiento de Datos

Este Acuerdo forma parte de los Términos y Condiciones. Se celebra entre Jorge Antonio Sánchez Lorenzo, quien opera Qunqari, y la clínica, consultorio, profesional o negocio que contrata la Plataforma, denominado el Cliente.

Entra en vigor cuando una persona facultada lo acepta durante la contratación o cuando el Cliente comienza a incorporar datos personales a la Plataforma, y permanece vigente mientras Qunqari trate esos datos por cuenta del Cliente.

El Cliente es el Responsable de los datos personales que obtiene de pacientes, clientes finales, personal y terceros. Determina las finalidades y medios esenciales del tratamiento, y debe contar con fundamento, avisos de privacidad, consentimientos y autorizaciones aplicables.

Qunqari actúa como Encargado y trata esos datos únicamente por cuenta y conforme a instrucciones documentadas del Cliente. Qunqari es responsable independiente respecto de los datos necesarios para administrar su propia relación comercial, facturación, soporte, seguridad y cumplimiento legal.

El tratamiento tiene por objeto alojar y operar agenda, clientes, expedientes, archivos, comunicaciones, cobros, reportes y demás módulos contratados. Puede incluir recopilación, registro, organización, consulta, transmisión técnica, respaldo, actualización, bloqueo y supresión durante la vigencia y los periodos de conservación aplicables.

Las personas titulares pueden ser pacientes, clientes finales, familiares, representantes, personal y usuarios autorizados. Los datos pueden incluir identificación, contacto, agenda, pagos, archivos y, cuando el Cliente active módulos clínicos, datos sensibles de salud, antecedentes, diagnósticos, fotografías, estudios, recetas, consentimientos y notas clínicas.

Las instrucciones documentadas comprenden la configuración realizada por usuarios autorizados, el uso legítimo de las funciones contratadas, solicitudes enviadas por canales de soporte autenticados y este Acuerdo. Qunqari no utilizará los datos para fines propios incompatibles, publicidad dirigida basada en expedientes ni venta de bases de datos.

Si una instrucción pudiera infringir la legislación aplicable, Qunqari podrá suspender su ejecución e informar al Cliente. Si Qunqari decide por cuenta propia finalidades o medios esenciales ajenos a las instrucciones, asumirá las obligaciones que legalmente correspondan respecto de ese tratamiento.

• Entregar su aviso de privacidad y obtener consentimiento expreso para datos sensibles cuando sea necesario.
• Registrar únicamente datos adecuados, pertinentes, correctos y necesarios.
• Configurar usuarios con privilegios mínimos, retirar accesos oportunamente y proteger sus credenciales.
• Atender derechos ARCO, conservación clínica, facturación y demás obligaciones sectoriales.
• No cargar información obtenida ilícitamente ni instruir tratamientos incompatibles con los derechos de las personas titulares.

Qunqari limitará el acceso al personal y proveedores que lo necesiten para prestar, asegurar o soportar el Servicio. Dichas personas estarán sujetas a obligaciones de confidencialidad que subsisten después de concluir su participación.

Qunqari mantendrá medidas administrativas, técnicas y físicas razonables y proporcionales al riesgo, sensibilidad y tecnología disponible. Incluyen gestión de accesos y permisos, aislamiento lógico por negocio, cifrado de comunicaciones, gestión de secretos, registros de auditoría, respaldos, actualización de componentes, monitoreo y procedimientos de respuesta a incidentes.

Ninguna medida elimina completamente el riesgo. El Cliente conserva la responsabilidad sobre la seguridad de sus dispositivos, redes, usuarios, exportaciones y copias que mantenga fuera de la Plataforma.

El Cliente otorga autorización general para utilizar subencargados necesarios para operar el Servicio. Según las funciones activadas, pueden incluir:

• Vercel: Hosting del frontend / entrega web.
• Railway (u hosting equivalente del API): Ejecución del backend.
• PostgreSQL (proveedor del entorno): Base de datos de aplicación.
• Resend: Correo transaccional.
• Stripe: Suscripciones, pagos, anticipos y cuentas conectadas.
• Meta Platforms (WhatsApp Cloud API): Mensajería WhatsApp Business por tenant.
• Cloudflare (DNS/CDN/R2): DNS, CDN y almacenamiento de archivos.

Qunqari exigirá obligaciones de protección compatibles con el servicio encargado y publicará cambios materiales en esta lista. El Cliente puede plantear una objeción fundada en protección de datos; las partes buscarán una alternativa razonable y, si no existe, el Cliente podrá desactivar la integración o terminar el módulo afectado.

Algunos subencargados pueden tratar información fuera de México. Qunqari procurará que las remisiones y transferencias aplicables cuenten con obligaciones contractuales y salvaguardas compatibles con la legislación mexicana y el aviso de privacidad correspondiente.

Cuando Qunqari confirme una vulneración que afecte datos tratados por cuenta del Cliente, se lo comunicará sin demora indebida mediante sus contactos administrativos o de seguridad. La comunicación incluirá, conforme esté disponible, naturaleza del incidente, categorías afectadas, posibles consecuencias, medidas adoptadas y recomendaciones.

Qunqari investigará, contendrá, mitigará y documentará el incidente. El Cliente decidirá y realizará las notificaciones a pacientes, clientes finales, autoridades u otras personas cuando legalmente le correspondan, con la asistencia razonable de Qunqari.

El Cliente es el canal principal para solicitudes de acceso, rectificación, cancelación y oposición relacionadas con sus pacientes o clientes finales. Si Qunqari recibe directamente una solicitud identificable como responsabilidad del Cliente, la remitirá al contacto registrado sin responder sobre el fondo, salvo obligación legal.

Qunqari proporcionará asistencia razonable mediante funciones de consulta, corrección, exportación, bloqueo o eliminación disponibles. El Cliente es responsable de verificar identidad, procedencia, alcance y plazos de cada solicitud.

Mientras la cuenta esté activa, el Cliente puede consultar y exportar la información mediante las funciones disponibles. Tras terminar la relación, podrá existir un periodo operativo de hasta 90 días para recuperación o exportación, salvo que el Cliente solicite una eliminación anterior compatible con sus obligaciones legales.

Concluido ese periodo, Qunqari suprimirá o anonimizará los datos bajo su control, excepto aquellos sujetos a conservación legal, bloqueo por una controversia o respaldos pendientes de rotación segura. Los respaldos aislados no se utilizarán para finalidades ordinarias y se eliminarán conforme a su ciclo técnico.

La eliminación por Qunqari no libera al Cliente de las obligaciones sanitarias, fiscales o documentales que le exijan conservar un expediente; el Cliente debe exportarlo antes de solicitar la supresión.

Qunqari solo divulgará datos por instrucción del Cliente, subcontratación autorizada o requerimiento legal válido. Cuando la ley lo permita, informará al Cliente antes de responder y limitará la entrega a la información exigida.

Qunqari conservará evidencia de aceptación, controles y operaciones relevantes, y proporcionará información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo. Revisiones adicionales, auditorías extraordinarias o asistencia que exceda el soporte ordinario podrán acordarse por escrito considerando seguridad, confidencialidad, alcance y costos.

Este Acuerdo complementa los Términos, el Aviso de Privacidad y las instrucciones válidas del Cliente. En caso de contradicción sobre tratamiento por encargo, prevalece este Acuerdo. Ninguna disposición autoriza un tratamiento contrario a la ley ni limita derechos irrenunciables de las personas titulares.

Versión 1.0.0 · Estado: vigente · Fecha: 26 de agosto de 2026. La aceptación electrónica identifica al negocio, usuario, versión, contexto y fecha correspondientes.