ACUERDO DE ENCARGADO DE TRATAMIENTO DE DATOS PERSONALES (DPA)
Entre Grupo iikno S.A. de C.V. ("el Encargado") y el Cliente ("el Responsable")
Última actualización: 28 de julio de 2026
Este Acuerdo de Encargado de Tratamiento de Datos ("DPA", por sus siglas en inglés) forma parte integral de los Términos y Condiciones de Servicio de la Plataforma anik y regula específicamente el tratamiento de datos personales de pacientes, en cumplimiento del artículo 49 de la LFPDPPP y su Reglamento.
1. Definición de roles
El Cliente (clínica, consultorio, profesional de la salud) es el Responsable del tratamiento de los datos personales de sus pacientes, conforme al artículo 3, fracción XIV de la LFPDPPP.
Grupo iikno S.A. de C.V. (anik) actúa exclusivamente como Encargado del tratamiento, conforme al artículo 3, fracción IX de la LFPDPPP, procesando los datos personales de pacientes únicamente conforme a las instrucciones documentadas del Cliente, plasmadas en la funcionalidad contratada de la Plataforma.
2. Alcance e instrucciones del tratamiento
2.1 El Encargado tratará los datos personales de pacientes (incluyendo datos sensibles de salud) exclusivamente para los fines de proveer la funcionalidad de la Plataforma contratada por el Cliente: agenda, expediente clínico, gestión de pacientes, teleconsulta, facturación de servicios clínicos, y el módulo Red Médica cuando el Cliente opte por habilitarlo.
2.2 El Encargado no utilizará los datos personales de pacientes para fines propios, de mercadotecnia, de entrenamiento de modelos de inteligencia artificial de terceros, ni los transferirá a terceros distintos de los subencargados listados en la sección 5, salvo instrucción expresa del Cliente o requerimiento legal.
2.3 Cualquier instrucción del Cliente que el Encargado considere contraria a la LFPDPPP u otra normativa aplicable deberá ser notificada de inmediato al Cliente, quedando el Encargado facultado para suspender su ejecución hasta que se aclare o modifique.
3. Arquitectura de aislamiento de datos (multi-tenant de base compartida)
3.1 El Cliente reconoce y acepta que la Plataforma anik opera bajo una arquitectura multi-tenant de base de datos compartida, en la cual los datos de múltiples clínicas residen en la misma infraestructura de base de datos, segregados lógicamente mediante un identificador de aislamiento (clinicaId) aplicado a nivel de fila y validado en cada solicitud mediante un componente de control de acceso (TenantGuard).
3.2 El acceso cruzado entre distintos tenants (clínicas) solo ocurre en el módulo Red Médica, y únicamente respecto de los campos explícitamente habilitados para dicho fin (perfil público del médico, referencia de paciente), sujeto a un componente de control de acceso independiente (CrossTenantGuard) y previo consentimiento específico del paciente capturado mediante firma digital.
3.3 El Encargado se compromete a mantener esta segregación lógica como medida de seguridad central de la Plataforma y a notificar al Cliente de cualquier cambio material en la arquitectura de aislamiento que pudiera afectar la confidencialidad de sus datos.
4. Medidas de seguridad
El Encargado implementa, entre otras, las siguientes medidas de seguridad administrativas, técnicas y físicas:
- Autenticación mediante JWT y control de acceso basado en roles (RBAC).
- Aislamiento de datos por tenant (
clinicaId) con verificación en cada solicitud (TenantGuard). - Cifrado en tránsito (TLS) para toda comunicación entre cliente y servidor.
- Almacenamiento de archivos e imágenes clínicas en Amazon S3 con control de acceso, nunca en formato base64 embebido en la base de datos.
- Bitácora de auditoría (entidad
Actividad) que registra cambios relevantes sobre información clínica en formato JSON, incluyendo el campoIdUltimaActividaden las tablas relevantes para trazabilidad. - Cifrado en reposo de la base de datos (Amazon RDS) mediante AWS KMS, y cifrado en reposo del almacenamiento de archivos e imágenes clínicas en Amazon S3 mediante cifrado del lado del servidor (SSE).
5. Subencargados autorizados
El Cliente autoriza al Encargado a utilizar a los siguientes subencargados para la prestación del servicio:
| Subencargado | Función | Ubicación |
|---|---|---|
| Amazon Web Services (AWS) | Hosting de base de datos y almacenamiento de archivos (S3) | México (región mx-central-1, Valle de México) |
| Stripe, Inc. | Procesamiento de pagos de suscripción (datos de facturación, no clínicos) | Estados Unidos |
| ApiMarket (apimarket.mx) | Validación de documentos oficiales (cédula profesional, RFC, CURP) de médicos en Red Médica | México |
El Encargado se compromete a notificar al Cliente con anticipación razonable en caso de incorporar un nuevo subencargado que trate datos personales de pacientes, otorgando al Cliente la posibilidad de oponerse por causa justificada.
6. Ubicación de los datos (territorio nacional)
Los datos personales de pacientes, incluyendo datos sensibles de salud, se alojan en infraestructura AWS ubicada en territorio mexicano (región mx-central-1), por lo que no existe transferencia internacional de datos derivada del hosting de la Plataforma. El único tratamiento fuera de territorio nacional corresponde a los datos de facturación del Cliente (no clínicos) procesados por Stripe, Inc., conforme a la sección 5.
7. Notificación de vulneraciones de seguridad (brechas de datos)
7.1 El Encargado notificará al Cliente sin dilación indebida y en un plazo no mayor a 72 (setenta y dos) horas a partir de que tenga conocimiento de cualquier vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los pacientes del Cliente, conforme al artículo 20 de la LFPDPPP.
7.2 La notificación incluirá, como mínimo: naturaleza del incidente, datos comprometidos, medidas correctivas adoptadas, y recomendaciones para el Cliente.
8. Devolución o destrucción de datos al término del contrato
Al término de la relación contractual con el Cliente, el Encargado pondrá a disposición del Cliente sus datos para exportación durante el plazo señalado en los Términos y Condiciones (sección 8), transcurrido el cual procederá a su eliminación segura y definitiva, salvo obligación legal de conservación.
9. Auditoría
El Cliente podrá solicitar, con una periodicidad razonable (máximo una vez al año, salvo incidente de seguridad), evidencia documental del cumplimiento de las medidas de seguridad descritas en este Acuerdo, incluyendo certificaciones vigentes de los subencargados listados en la sección 5.