Contrato de encargado del tratamiento de datos personales

Versión: 2026-10-30 · Última actualización: 30 de octubre de 2026

Borrador en revisión legal. Este contrato está vigente y nos obliga, pero puede ajustarse tras la revisión de un especialista.

Este contrato forma parte de los Términos y condiciones de Prisma Care y se celebra entre:

• El Cliente, persona física o moral que contrata Prisma Care y acepta este contrato al crear su cuenta, en su carácter de responsable del tratamiento; y
• Bruno Hernandez Vazquez, persona física que opera Prisma Care (contacto: hola@prisma-care.com), en su carácter de encargado del tratamiento (“Prisma Care”).

Se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la “Ley”).

1. Definiciones

Los términos “datos personales”, “datos personales sensibles”, “responsable”, “persona encargada”, “titular”, “tratamiento”, “transferencia” y “derechos ARCO” tienen el significado del artículo 2 de la Ley. Además:

• Datos del Cliente: los datos personales que el Cliente o sus usuarios capturan o cargan en Prisma Care.
• Subencargado: proveedor que trata Datos del Cliente por cuenta de Prisma Care para prestar el servicio.
• Vulneración: pérdida, destrucción, robo, extravío, copia, uso, acceso, alteración o daño no autorizado de Datos del Cliente.

2. Objeto y alcance

1. Prisma Care trata los Datos del Cliente únicamente por cuenta del Cliente y para prestarle el servicio contratado.
2. Los detalles del tratamiento (titulares, categorías de datos, finalidades y duración) están en el Anexo A.
3. Si el Cliente es una persona física que registra a un familiar exclusivamente para uso personal, sin fines comerciales ni de divulgación, el tratamiento puede estar exceptuado de la Ley (art. 1 fr. II). Aun así, Prisma Care cumplirá con las obligaciones de este contrato.

3. Instrucciones del Cliente

1. Prisma Care tratará los Datos del Cliente conforme a las instrucciones del Cliente. Las instrucciones son: este contrato, los Términos y condiciones, y las acciones que el Cliente y sus usuarios realizan en la plataforma (capturar, editar, compartir, enviar reportes, generar enlaces de emergencia, eliminar).
2. Prisma Care no usará los Datos del Cliente para fines propios, no los venderá, no los usará para publicidad ni los comunicará a terceros, salvo a los subencargados del Anexo B o por mandato de autoridad competente.
3. Si Prisma Care considera que una instrucción viola la Ley, se lo informará al Cliente y podrá abstenerse de ejecutarla.
4. Prisma Care puede generar información agregada y disociada, que no permita identificar a ninguna persona, para operar y mejorar el servicio.

4. Obligaciones del Cliente (responsable)

El Cliente:

1. Pondrá a disposición de residentes o pacientes, familiares, médicos y personal su propio aviso de privacidad, que deberá mencionar el uso de una plataforma tecnológica con alojamiento en el extranjero.
2. Obtendrá el consentimiento expreso y por escrito de los titulares (o de su representante legal o de quien ejerza la tutela) para el tratamiento de datos de salud y demás datos sensibles, mediante firma autógrafa, firma electrónica u otro mecanismo de autenticación (art. 8 de la Ley), salvo las excepciones del art. 9.
3. Capturará solo los datos necesarios para la atención y cuidado, y los mantendrá exactos y actualizados.
4. Asignará los roles y accesos de sus usuarios bajo el principio de mínimo privilegio y retirará el acceso de quien deje de colaborar con él.
5. Decidirá a quién comparte información (enlaces públicos de emergencia, reportes por correo o Telegram) y se asegurará de que los destinatarios estén autorizados.
6. Atenderá las solicitudes de derechos ARCO de los titulares como responsable.
7. Cumplirá la regulación sanitaria aplicable, incluida la conservación de expedientes clínicos (NOM-004-SSA3-2012).

5. Apoyo en derechos ARCO y consentimiento

1. Si Prisma Care recibe directamente una solicitud ARCO sobre Datos del Cliente, la trasladará al Cliente en un máximo de 5 días hábiles e indicará al titular que se dirija al responsable.
2. Prisma Care ayudará al Cliente a atender esas solicitudes, en lo técnicamente posible, mediante las funciones de la plataforma (consulta, edición, archivo y eliminación) o, cuando sea necesario, mediante exportaciones a solicitud.

6. Confidencialidad y seguridad

1. Prisma Care mantendrá la confidencialidad de los Datos del Cliente, obligación que subsiste tras la terminación del contrato (art. 20 de la Ley). Toda persona que trate datos por su cuenta estará sujeta a la misma obligación.
2. Prisma Care aplicará las medidas de seguridad administrativas, técnicas y físicas del Anexo C, acordes con la sensibilidad de los datos de salud (art. 18 de la Ley). Podrá actualizarlas siempre que no disminuya el nivel de protección.
3. El Cliente es responsable de la seguridad de sus cuentas, contraseñas y dispositivos, incluida la información guardada para uso sin conexión.

7. Vulneraciones de seguridad

1. Prisma Care notificará al Cliente, sin demora y a más tardar en 72 horas desde que la confirme, cualquier vulneración que afecte Datos del Cliente, indicando en lo posible: naturaleza del incidente, datos y titulares afectados, medidas tomadas y recomendaciones.
2. Corresponde al Cliente, como responsable, informar a los titulares afectados (art. 19 de la Ley). Prisma Care colaborará con la información a su alcance.

8. Subencargados

1. El Cliente autoriza a Prisma Care a usar los subencargados del Anexo B.
2. Prisma Care exigirá a cada subencargado obligaciones de confidencialidad y seguridad equivalentes a las de este contrato y responderá por sus actos frente al Cliente como si fueran propios.
3. Prisma Care avisará al Cliente por correo con al menos 15 días naturales de anticipación antes de agregar o sustituir un subencargado. Si el Cliente se opone por motivos razonables de protección de datos y no se encuentra una solución, podrá terminar el contrato sin penalización.
4. Alojamiento en el extranjero. Los Datos del Cliente se alojan en servidores ubicados en Estados Unidos. La comunicación de datos a subencargados es una remisión por cuenta del responsable y no una transferencia (art. 2 fr. XX de la Ley). El Cliente acepta esta ubicación.

9. Conservación, devolución y supresión

1. Durante la vigencia, el Cliente puede consultar, editar y eliminar los Datos del Cliente desde la plataforma, y solicitar una exportación a hola@prisma-care.com.
2. Al terminar la suscripción, la Organización pasa a modo lectura. Tras 90 días naturales, y previo aviso por correo con al menos 15 días naturales, Prisma Care suprimirá los Datos del Cliente, incluidos los respaldos en su ciclo normal de rotación, salvo que una ley le obligue a conservarlos bloqueados.
3. La conservación de expedientes que exija la regulación sanitaria es obligación del Cliente: deberá exportar su información antes de la supresión.

10. Verificación

Prisma Care pondrá a disposición del Cliente, a solicitud razonable y como máximo una vez al año, la información necesaria para demostrar el cumplimiento de este contrato, mediante cuestionarios o documentación, sin que ello implique revelar información que comprometa la seguridad de la plataforma o de otros clientes.

11. Responsabilidad

1. Cada parte responde por sus propios incumplimientos de la Ley y de este contrato (art. 53 de la Ley).
2. Prisma Care no responde por tratamientos realizados conforme a las instrucciones del Cliente ni por la falta de aviso de privacidad o de consentimiento que corresponde obtener al Cliente.
3. Aplican los límites de responsabilidad de los Términos y condiciones, salvo dolo o negligencia grave.

12. Vigencia

Este contrato está vigente mientras Prisma Care trate Datos del Cliente y sobrevive a la terminación de los Términos hasta su supresión. En caso de contradicción entre este contrato y los Términos en materia de datos personales, prevalece este contrato.

Anexo A. Detalle del tratamiento

Anexo B. Subencargados

Anexo C. Medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) en toda comunicación con la plataforma.
• Contraseñas almacenadas con algoritmo de hash robusto (Argon2); sesiones con tokens de corta duración.
• Control de acceso por roles y por sucursal; aislamiento de datos entre organizaciones.
• Registro de auditoría de acciones relevantes.
• Enlaces públicos de emergencia con token aleatorio y vigencia limitada, excluidos de buscadores.
• Respaldos diarios de la base de datos, cifrados antes de salir del servidor; la llave para descifrarlos no se guarda en el servidor.
• Acceso administrativo a servidores restringido.
• Limitación de solicitudes (rate limiting) y cabeceras de seguridad.