Aviso de Privacidad

Para los profesionales de la salud que utilizan la plataforma ZitIA

Versión A: Solo Agenda · Versión B: Agente IA

Versión v2.1 · Documento legal versionado · AUTOMATIZACIONES INTELIGENTES EN CITAS ZITT, S.A.S.

1. Aviso de privacidad simplificado

Este aviso simplificado se presenta en cumplimiento del artículo 29 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) vigente desde el 21 de marzo de 2025. Es un resumen del aviso integral que se desarrolla a continuación.

2. Aviso de privacidad integral

El presente aviso integral cumple con los artículos 26 y 27 de la LFPDPPP 2025. Su lectura completa es importante antes de aceptarlo en el proceso de registro como usuario de la plataforma ZitIA.

2.1 Identidad y domicilio del Responsable

AUTOMATIZACIONES INTELIGENTES EN CITAS ZITT, S.A.S., Registro Federal de Contribuyentes AIC260601QEA, con domicilio en Carretera Lerma-Champotón KM 193, Interior 3, Colonia Lerma, C.P. 24500, Campeche, Campeche, México, titular de la marca ZitIA y operadora de la plataforma tecnológica para gestión de citas médicas con asistentes de inteligencia artificial disponible en https://zitia.mx (en lo sucesivo «ZitIA» o ‘el Responsable’), es responsable del tratamiento de los datos personales del profesional de la salud que se registra y utiliza la plataforma como cliente.

Las comunicaciones formales relativas a derechos ARCO, revocación de consentimiento, limitación de uso o cualquier asunto relacionado con el tratamiento de datos personales pueden dirigirse al correo electrónico privacidad@zitia.mx.

2.1.1 Aplicabilidad de este aviso

Este aviso aplica a profesionales de la salud (médicos, especialistas, dentistas y demás personal sanitario habilitado para prestar servicios de salud en México) que se registren en la plataforma ZitIA en cualquiera de sus modalidades de ingreso (auto-registro, invitación de SuperAdmin, invitación grupal, activación por canal WhatsApp).

Este aviso NO aplica al tratamiento de datos personales de los pacientes del médico. En relación con esos datos, ZitIA actúa como Encargado del tratamiento conforme al artículo 55 de la LFPDPPP 2025 y al Acuerdo de Procesamiento de Datos (DPA) celebrado con el médico. El aviso de privacidad para los pacientes es responsabilidad del médico publicar y aplicar.

2.2 Datos personales que se tratan

Conforme al artículo 27 fracción II de la LFPDPPP 2025, se identifican expresamente las categorías de datos personales que ZitIA trata de los médicos clientes, distinguiendo cualquier dato que tenga el carácter de sensible o financiero.

2.2.1 Datos de identificación profesional

Nombre completo.

Especialidad médica y área de práctica.

Cédula profesional.

Correo electrónico de cuenta.

Teléfono de contacto.

Contraseña almacenada con hashing pgcrypto bcrypt (no recuperable en texto plano).

Número de WhatsApp Business (cuando se utiliza el módulo de Agente IA).

2.2.2 Datos operativos de práctica

Nombre comercial de la clínica o consultorio.

Domicilio de práctica y código postal.

Configuración de servicios médicos, horarios y precios.

Configuración del agente conversacional (modo, mensajes, plantillas).

Catálogo de pacientes que el médico cliente registra en su cuenta · estos datos son responsabilidad del médico bajo el DPA.

2.2.3 Datos financieros (Art. 7 LFPDPPP 2025 · consentimiento expreso)

2.2.4 Datos de uso del sistema

Registro de inicio de sesión: fecha, hora, IP, navegador (user-agent).

Métricas de uso: número de citas agendadas, pacientes registrados, conversaciones del agente, conversiones de cita.

Logs técnicos de errores depurados de información personal identificable (PII) mediante el hook beforeSend de Sentry.

2.2.5 ZitIA NO trata datos personales sensibles del médico

Para evitar ambigüedad: ZitIA, como Responsable de los datos del médico, NO recolecta ni trata datos personales sensibles del médico (entendidos como aquellos relativos a su salud, origen étnico, creencias o preferencias). Los datos sensibles que circulan en la plataforma corresponden EXCLUSIVAMENTE a los pacientes del médico, y son tratados por ZitIA en su carácter de Encargado del tratamiento conforme al DPA, no bajo este aviso.

2.3 Finalidades del tratamiento

Conforme al artículo 27 fracción IV de la LFPDPPP 2025, las finalidades se distinguen entre aquellas que NO requieren consentimiento adicional (necesarias para la prestación del servicio o el cumplimiento de obligaciones legales) y aquellas que SÍ requieren consentimiento expreso (voluntarias o secundarias).

2.3.1 Finalidades necesarias (no requieren consentimiento adicional)

Crear y mantener tu cuenta de usuario en la plataforma ZitIA.

Autenticarte cuando ingresas al panel y proteger el acceso mediante hashing de contraseña.

Prestar el servicio de gestión de citas conforme al plan contratado.

Facturar y cobrar el plan contratado mediante OpenPay (BBVA México) en su carácter de procesador PCI-DSS (Capa 1 · licencias).

Gestionar el alta y operación de tu cuenta conectada Stripe para el módulo de cobros a Pacientes (Capa 2 · Stripe Connect), cuando lo actives.

Emitir comprobantes fiscales digitales (CFDI) por los servicios de ZitIA cuando lo solicites o lo requiera la ley.

Brindarte soporte técnico y atender tus consultas operativas.

Atender solicitudes de derechos ARCO y revocación de consentimiento.

Cumplir obligaciones legales aplicables (fiscales, contables, mercantiles).

Defender los intereses legítimos de ZitIA ante autoridades competentes.

Mantener registros de uso del sistema para fines de seguridad informática y prevención de fraude.

2.3.2 Finalidades voluntarias (requieren tu consentimiento expreso)

Enviarte comunicaciones promocionales sobre nuevas funciones, planes y eventos de ZitIA.

Realizar encuestas de satisfacción y mejora del servicio.

Compartir datos agregados y anonimizados sobre uso de la plataforma para fines estadísticos y de mejora del producto.

Contactarte para programas de referidos o testimonios públicos.

Puedes negar tu consentimiento a cualquiera de las finalidades voluntarias sin que ello afecte la prestación del servicio contratado. Tu consentimiento se manifiesta al momento del registro mediante el checkbox correspondiente y puede ser revocado en cualquier momento conforme se describe en la sección 2.7.

2.4 Tratamiento por inteligencia artificial · APLICA SOLO A VERSIÓN B (Agente IA)

En la Versión B, ZitIA opera un asistente conversacional basado en inteligencia artificial que atiende a tus pacientes a través de WhatsApp. El procesamiento del texto de los mensajes se realiza mediante el modelo de lenguaje de Anthropic PBC (sociedad constituida en Estados Unidos), proveedor sub-encargado del tratamiento. Es importante que conozcas las siguientes condiciones:

Anthropic PBC procesa el texto de los mensajes para generar las respuestas del asistente. Este procesamiento se realiza bajo cláusulas contractuales que prohíben expresamente el uso de los datos para entrenamiento de modelos.

Los datos viajan a servidores de Anthropic en territorio de Estados Unidos. Esta es una transferencia internacional de datos personales conforme al artículo 36 fracción II de la LFPDPPP 2025 (entre empresas del mismo grupo o relación contractual con políticas comunes de protección).

ZitIA mantiene un Data Processing Agreement (DPA) con Anthropic alineado a estándares internacionales y autorización expresa documentada en nuestro DPA contigo.

Tu obligación como Responsable de los datos de tus pacientes es informar a éstos del uso de inteligencia artificial en el aviso de privacidad que tú publicas. La plantilla v3 que ZitIA genera para tu uso ya contiene esta declaración.

La identidad del asistente como inteligencia artificial se declara automáticamente en el primer mensaje a cada paciente, conforme a la política de Meta Business Messaging.

2.5 Encargados subcontratistas

ZitIA se apoya en los siguientes proveedores que actúan como sub-encargados del tratamiento conforme al artículo 55 y 56 de la LFPDPPP 2025. Esta información se proporciona en aras de transparencia, aun cuando la nueva ley ya no exige incluir transferencias en el aviso de privacidad. La autorización expresa para subcontratación se incluye en el DPA que firmas como parte del onboarding.

Cada sub-encargado opera bajo contrato escrito con obligaciones de confidencialidad, seguridad y limitación al fin específico para el que fue contratado, conforme al artículo 56 de la LFPDPPP 2025.

2.6 Mecanismo de autenticación del consentimiento

Para los datos financieros que requieren consentimiento expreso conforme al artículo 7 de la LFPDPPP 2025, ZitIA implementa el siguiente mecanismo de autenticación:

Durante el onboarding (P2), el médico marca explícitamente cinco casillas de aceptación: Términos y Condiciones, Aviso de Privacidad, Acuerdo de Procesamiento de Datos (DPA), Declaración profesional de salud, y Cláusula de IA externa (solo Versión B).

Al pulsar ‘Aceptar’, el sistema registra en la base de datos el momento exacto de la aceptación (acepta_terminos_at, acepta_privacidad_at, acepta_dpa_at, declara_profesional_at, acepta_ia_externa_at), la versión del documento aceptada (version_terminos), la dirección IP desde la que se aceptó y el navegador utilizado.

Estos campos son inmutables (write-once). Cualquier modificación posterior a las versiones de los documentos requiere nuevo consentimiento.

La evidencia de consentimiento se conserva por un mínimo de cinco años para fines probatorios.

2.7 Tus derechos ARCO y revocación de consentimiento

Conforme a los artículos 38 a 46 de la LFPDPPP 2025 tienes derecho a:

Acceso · conocer qué datos personales tuyos están en posesión de ZitIA y cómo se tratan.

Rectificación · solicitar la corrección de datos inexactos, incompletos o desactualizados.

Cancelación · pedir que tus datos sean dados de baja cuando consideres que ya no son necesarios. La cancelación implica un periodo de bloqueo previo a su supresión y NO procede para datos que ZitIA deba conservar por obligación legal (fiscal, mercantil) o para defender intereses legítimos.

Oposición · oponerte al tratamiento de tus datos para finalidades específicas, dentro de los supuestos que la ley permite.

Revocación de consentimiento · puedes revocar tu consentimiento en cualquier momento. La revocación no opera de manera retroactiva ni afecta la validez de los tratamientos ya realizados antes de la revocación.

Procedimiento para ejercer tus derechos

Envía un correo electrónico a privacidad@zitia.mx desde la dirección registrada en tu cuenta.

Indica EXPRESAMENTE qué derecho deseas ejercer (acceso, rectificación, cancelación, oposición o revocación).

Adjunta una identificación oficial vigente que acredite tu identidad (INE, pasaporte, cédula profesional).

Describe con claridad los datos personales sobre los que ejerces el derecho y, si procede, la rectificación o limitación específica que solicitas.

Si actúas a través de representante legal, adjunta carta poder simple firmada ante dos testigos o poder notarial.

ZitIA atenderá tu solicitud en un plazo no mayor a 20 días hábiles, prorrogable por una sola vez por un periodo igual cuando la complejidad lo justifique. La respuesta se emitirá al correo desde el cual presentaste la solicitud.

En caso de inconformidad con la respuesta, podrás acudir ante la Secretaría Anticorrupción y Buen Gobierno (autoridad sustituta del extinto INAI desde marzo 2025) o promover juicio de amparo ante los Juzgados de Distrito y Tribunales Colegiados de Circuito especializados en acceso a información pública y protección de datos personales.

2.8 Limitación del uso o divulgación de tus datos

Independientemente del ejercicio de derechos ARCO, puedes limitar el uso o divulgación de tus datos para finalidades secundarias en cualquier momento, escribiendo a privacidad@zitia.mx. Esto NO afectará los tratamientos necesarios para la prestación del servicio contratado.

2.9 Transferencias

ZitIA NO transfiere tus datos personales a terceros distintos de los encargados listados en la sección 2.5 sin tu consentimiento, salvo en los supuestos establecidos en el artículo 36 de la LFPDPPP 2025. La transferencia internacional a Anthropic PBC en Estados Unidos en la Versión B se realiza bajo cláusulas contractuales y constituye un sub-encargo expresamente autorizado en el DPA, no una transferencia abierta.

Cuando una transferencia esté prevista en una disposición legal o sea requerida por autoridad competente mediante mandato judicial fundado y motivado (Art. 36 LFPDPPP 2025), ZitIA lo realizará sin requerir tu consentimiento expreso adicional, garantizando siempre la confidencialidad de la información.

2.10 Cambios al presente aviso de privacidad

ZitIA puede modificar este aviso por necesidades operativas, normativas o jurisprudenciales. Cuando se realicen modificaciones que afecten finalidades distintas a las originalmente declaradas, ZitIA solicitará nuevamente tu consentimiento conforme al artículo 12 de la LFPDPPP 2025, mediante notificación al correo electrónico registrado o a través del panel del médico.

La versión vigente de este aviso estará disponible permanentemente en https://zitia.mx/privacidad.html. Te recomendamos consultarlo periódicamente.

2.11 Conservación de tus datos

Concluido el plazo correspondiente, los datos serán bloqueados durante un periodo razonable y posteriormente suprimidos, salvo que una obligación legal o judicial requiera su conservación.

2.12 Medidas de seguridad

ZitIA implementa medidas de seguridad administrativas, físicas y técnicas conforme a los artículos 28 y 29 de la LFPDPPP 2025, incluyendo:

Comunicación cifrada en tránsito (HTTPS/TLS) en todos los puntos de captura.

Hashing de contraseñas con pgcrypto bcrypt (no recuperable en texto plano).

Aislamiento multi-tenant a nivel base de datos (FK clinica_id en todas las tablas relacionadas).

Tokens de autenticación con expiración para formularios públicos.

Respaldos automatizados con retención mínima de 30 días.

Monitoreo continuo de errores con depuración de datos PII (Sentry beforeSend hook).

Control de acceso por roles para personal de ZitIA con principio de mínimo privilegio.

Procedimiento de respuesta a incidentes de seguridad con notificación a la Secretaría Anticorrupción y Buen Gobierno y a los titulares afectados sin demora indebida en caso de vulneración significativa.

3. Diferencias materiales entre Versión A (Solo Agenda) y Versión B (Agente IA)

Esta sección documenta las diferencias entre las dos versiones del aviso. La versión aplicable depende del modo_uso elegido en el campo correspondiente del onboarding. Si modificas el modo_uso de Solo Agenda a Agente IA en cualquier momento futuro, se solicitará nuevamente tu consentimiento conforme al artículo 12 de la LFPDPPP 2025.

Si en el futuro activas el módulo Agente IA desde tu panel, se te presentará un modal con las cláusulas adicionales de la Versión B y se solicitará tu consentimiento expreso (acepta_ia_externa_at) antes de habilitar el módulo.

4. Datos del documento

— Fin del Aviso de Privacidad ZitIA v2 —