Aviso de Privacidad Integral

El presente Aviso de Privacidad Integral se emite en cumplimiento de los artículos 14, 15 y 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (en adelante, la Ley), y describe qué datos personales trata Ikovita, con qué finalidades, quién los procesa por su cuenta, cuánto tiempo los conserva y cómo el titular puede ejercer sus derechos.

1. Responsable del tratamiento

NOVARA AI Technologies, S.A. de C.V., titular y operadora de la plataforma Ikovita, es la responsable del tratamiento de los datos personales descritos en este aviso, con domicilio en los Estados Unidos Mexicanos, el cual se comunica al titular a solicitud enviada al correo de contacto.

En términos del artículo 29 de la Ley, el Departamento de Datos Personales de Ikovita es el área encargada de dar trámite a las solicitudes de los titulares y de fomentar la protección de datos personales al interior de la organización. Contacto: privacidad@ikovita.com

2. Marco legal aplicable

El tratamiento se rige por la Ley y su normativa secundaria; por la Ley General de Salud y las Normas Oficiales Mexicanas NOM-004-SSA3-2012 (expediente clínico) y NOM-024-SSA3-2012 (sistemas de información de registro electrónico para la salud), en lo que resulten aplicables. De forma adicional y voluntaria, Ikovita adopta como referencia técnica el estándar HL7 FHIR y las salvaguardas de HIPAA y del NIST Cybersecurity Framework, sin que ello implique sujeción a legislación extranjera.

Conforme al artículo 2, fracción VI de la Ley, los datos relativos al estado de salud presente o futuro, la información genética, los diagnósticos, la medicación y los resultados de estudios son datos personales sensibles y reciben el tratamiento reforzado que la Ley les asigna.

3. Datos sometidos a tratamiento y finalidades necesarias

En cumplimiento del artículo 15, fracciones II y III de la Ley, se identifican a continuación los datos personales sometidos a tratamiento, señalando cuáles son sensibles, y las finalidades que resultan necesarias para prestar el servicio:

• Nombre, correo electrónico, teléfono y contraseña: registro, autenticación, recuperación de acceso y comunicaciones operativas del servicio.
• Fecha de nacimiento, edad, sexo, ubicación general y tipo de sangre: personalización del seguimiento, rangos de referencia y datos de emergencia.
• SENSIBLES — Padecimientos crónicos, alergias, síntomas, medicación, notas importantes y contacto de emergencia: seguimiento longitudinal, recordatorios, alertas y apoyo en consulta.
• SENSIBLES — Documentos clínicos que el usuario carga voluntariamente (estudios, recetas, informes): almacenamiento en su perfil, lectura asistida y disponibilidad para el profesional que el propio usuario autorice.
• SENSIBLES — Registros de consultas, citas y videoconsultas: preparación, realización y seguimiento de la atención agendada en la plataforma.
• SENSIBLES — Mediciones y parámetros biométricos capturados por el usuario o por dispositivos que él conecte: visualización de tendencias, metas y alertas.
• Datos técnicos (dirección IP, dispositivo, sistema operativo, navegación y registros de acceso): seguridad informática, prevención de abuso, auditoría y diagnóstico de fallas.
• Registros de auditoría de acceso a la información clínica: trazabilidad de quién consultó o modificó cada dato y cuándo.

Estas finalidades son necesarias para la existencia y cumplimiento de la relación jurídica entre el titular e Ikovita: sin ellas no es posible prestar el servicio, por lo que negarse a ellas implica no poder utilizar la plataforma.

Conforme al artículo 9 de la Ley, Ikovita podrá tratar datos personales sin consentimiento únicamente en los supuestos ahí previstos, en particular cuando exista una situación de emergencia que pueda dañar al titular en su persona o bienes (fracción V), cuando los datos resulten indispensables para la atención médica mientras el titular no esté en condiciones de otorgar su consentimiento (fracción VI), o cuando medie orden judicial o mandato fundado y motivado de autoridad competente (fracción VII).

4. Finalidades que no son necesarias (voluntarias y revocables)

Las siguientes finalidades no son necesarias para prestar el servicio y requieren el consentimiento adicional del titular, en términos del artículo 15, fracción III de la Ley. Su negativa no condiciona ni limita el uso de la plataforma:

• Analíticas poblacionales de salud: generación de estadísticas agregadas y anonimizadas para instituciones, empresas o aseguradoras, y para la mejora del servicio.
• Encuestas de satisfacción y evaluación de la experiencia de uso.

Las analíticas poblacionales son de aceptación expresa (opt-in) y se activan o desactivan en cualquier momento desde Perfil → Privacidad y seguridad. Cuando están activas, los datos del usuario se incorporan únicamente en forma agregada, con supresión automática de cualquier grupo con menos de diez usuarios únicos, de modo que ningún resultado permite identificar a una persona. Nunca se entrega información individual identificable a estos destinatarios.

5. Consentimiento expreso para datos sensibles y su revocación

En términos del artículo 8 de la Ley, el tratamiento de datos personales sensibles de salud requiere el consentimiento expreso y por escrito del titular. Ikovita lo recaba durante el registro mediante la aceptación electrónica del Consentimiento Expreso e Informado y de este aviso, autenticada con las credenciales de la cuenta y con la verificación del correo del titular, mecanismo de autenticación que la propia Ley admite para tal efecto. La base de datos que contiene estos datos se justifica en la finalidad legítima y concreta de organizar y dar seguimiento a la información de salud del propio titular.

Conforme al artículo 7 de la Ley, el titular puede revocar su consentimiento en cualquier momento y sin expresión de causa, escribiendo a privacidad@ikovita.com, desactivando la finalidad correspondiente en Perfil → Privacidad y seguridad, o eliminando su cuenta desde la plataforma. La revocación no tiene efectos retroactivos y puede implicar la imposibilidad de seguir usando funcionalidades que dependan de esos datos.

6. Opciones y medios para limitar el uso o divulgación de los datos

Para efectos del artículo 15, fracción IV de la Ley, el titular cuenta con los siguientes medios, disponibles de forma inmediata dentro de la plataforma:

• Desactivar las finalidades no necesarias (analíticas poblacionales) en Perfil → Privacidad y seguridad.
• Revocar el acceso de cualquier médico o familiar a su información, en cualquier momento y sin necesidad de justificarlo.
• Consultar la bitácora de accesos a su expediente y solicitar aclaración sobre cualquier consulta registrada.
• Editar u ocultar los campos clínicos que no desee mantener en su perfil.
• Eliminar su cuenta, lo que activa el procedimiento descrito en la sección de conservación y eliminación.
• Solicitar por escrito a privacidad@ikovita.com la limitación del uso o divulgación de datos específicos.

7. Menores de edad y familiares a cargo

La plataforma permite que un usuario administre el perfil de un familiar (menor de edad, adulto mayor o persona bajo su cuidado). Al hacerlo, el usuario declara contar con la facultad legal para ello: representación legal tratándose de menores o personas sujetas a representación, o autorización expresa del familiar mayor de edad.

Todo acceso familiar es visible para el titular del perfil y revocable en cualquier momento desde Perfil → Privacidad y seguridad.

8. Tratamiento mediante inteligencia artificial

Ikovita utiliza modelos de lenguaje para asistir la lectura de documentos clínicos y para el asistente conversacional. La lógica aplicada consiste en: (i) extraer valores y parámetros de los documentos y registros del usuario; (ii) compararlos con los rangos de referencia que el propio laboratorio o prestador incluye en el documento; y (iii) sintetizar esa información en un resumen legible y en recordatorios u orientación preventiva general.

Este procesamiento no constituye diagnóstico médico ni prescripción. Ikovita no adopta decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre el titular o que afecten significativamente sus intereses, derechos o libertades sin intervención humana. Toda orientación debe ser validada por un profesional de la salud.

Sin perjuicio de lo anterior, el artículo 26, fracción II de la Ley reconoce al titular el derecho a oponerse en todo momento al tratamiento automatizado de sus datos cuando este le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades. El titular puede ejercer esta oposición escribiendo a privacidad@ikovita.com o dejando de utilizar las funcionalidades asistidas por inteligencia artificial, sin que ello afecte el resto de la plataforma.

Para generar cada respuesta se envía al proveedor de modelos únicamente el contexto necesario del usuario. Ikovita contrata estos servicios bajo condiciones que prohíben el uso de los datos para entrenar modelos y que limitan su retención al tiempo necesario para procesar la solicitud.

9. Personas encargadas y transferencias

Los proveedores tecnológicos que intervienen en la operación de Ikovita tienen el carácter de personas encargadas en términos del artículo 2, fracción XII de la Ley: tratan los datos por cuenta y bajo instrucciones de Ikovita, sin finalidades propias. Conforme al artículo 2, fracción XX, la remisión de datos a una persona encargada no constituye transferencia. Su intervención sí implica el almacenamiento y procesamiento de datos en servidores ubicados fuera del territorio mexicano, principalmente en los Estados Unidos de América:

• Almacenamiento de documentos clínicos: DigitalOcean (object storage cifrado, con acceso mediante enlaces firmados de vigencia limitada).
• Base de datos operativa: servicio administrado de MongoDB, con cifrado de campos sensibles.
• Procesamiento por modelos de lenguaje y síntesis de voz: OpenRouter, Inc. y los proveedores de modelos a los que enruta cada solicitud.
• Envío de correo transaccional: Resend.
• Videoconsulta en tiempo real: LiveKit (transporte cifrado; la sesión no se graba salvo autorización expresa del usuario).
• Notificaciones push: servicios de notificación del navegador o sistema operativo del usuario.

Con cada persona encargada, Ikovita mantiene un acuerdo de tratamiento de datos que la obliga a tratar los datos únicamente conforme a estas instrucciones, a guardar confidencialidad y a mantener medidas de seguridad equivalentes a las descritas en este aviso, en cumplimiento de los artículos 13, 18 y 20 de la Ley.

10. Cláusula de transferencia

Para efectos del artículo 35 de la Ley, Ikovita informa que no realiza transferencias de datos personales a terceros distintos de las personas encargadas señaladas, salvo en los supuestos siguientes:

• Cuando el propio titular comparta su información con un médico o familiar desde la plataforma, en los términos de la sección 12.
• Cuando la transferencia sea necesaria para la prevención, el diagnóstico médico, la prestación de asistencia sanitaria, el tratamiento médico o la gestión de servicios sanitarios, supuesto previsto en el artículo 36, fracción II de la Ley.
• Cuando exista orden judicial o requerimiento de autoridad competente debidamente fundado y motivado, o cualquier otro supuesto del artículo 36 de la Ley.

Cualquier transferencia distinta de las anteriores requerirá el consentimiento previo del titular. Si el titular no manifiesta su oposición al presente aviso, se entenderá que acepta las transferencias descritas en esta cláusula; puede oponerse en cualquier momento escribiendo a privacidad@ikovita.com. Todo tercero receptor asume las mismas obligaciones que corresponden a Ikovita como responsable.

11. Usos que Ikovita no realiza

Ikovita se obliga expresamente a no:

• Vender, arrendar o ceder los datos personales a terceros con fines comerciales.
• Utilizar los datos con fines publicitarios o de mercadotecnia directa de terceros.
• Compartir información identificable con aseguradoras, empleadores, instituciones o autoridades, salvo requerimiento legal o autorización expresa del propio titular.
• Utilizar los datos para finalidades distintas a las declaradas sin obtener previamente un nuevo consentimiento.
• Entregar datos personales a los proveedores de modelos de lenguaje para fines distintos a la generación de la respuesta solicitada por el usuario.

12. Información que el usuario comparte por decisión propia

El usuario puede compartir su información clínica con un médico tratante o con un familiar desde la propia plataforma. Esa compartición la inicia y autoriza el titular, se registra en la bitácora de auditoría y es revocable en cualquier momento desde Perfil → Privacidad y seguridad.

Al tratarse de una comunicación autorizada por el propio titular, no constituye transferencia de datos por parte de Ikovita. Es responsabilidad del usuario verificar la identidad del destinatario. Ikovita no responde por el uso que el destinatario haga de la información una vez compartida.

13. Medidas de seguridad

En cumplimiento de los artículos 18 y 20 de la Ley, Ikovita establece y mantiene medidas de seguridad administrativas, técnicas y físicas que protegen los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, considerando el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnológico:

• Cifrado en tránsito (TLS) y cifrado a nivel de campo en reposo para consultas, recetas y datos clínicos.
• Documentos clínicos almacenados en modo privado y servidos mediante enlaces firmados de vigencia limitada.
• Control de acceso por roles y permisos: solo el usuario, quien él autorice y el personal estrictamente necesario acceden a la información.
• Bitácora de auditoría de accesos y modificaciones al historial clínico.
• Sesiones basadas en cookies de sesión con atributos de seguridad, límites de frecuencia de peticiones y endurecimiento de cabeceras HTTP.
• Respaldos periódicos y procedimientos documentados de recuperación ante incidentes.
• Obligaciones de confidencialidad para el personal y los proveedores con acceso a datos, que subsisten aun después de terminada la relación jurídica con Ikovita, conforme al artículo 20 de la Ley.

Ningún sistema es invulnerable. Ikovita no garantiza invulnerabilidad absoluta frente a ciberataques, pero se obliga a mantener y revisar periódicamente las medidas descritas.

14. Vulneraciones de seguridad

Conforme al artículo 19 de la Ley, las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales del titular le serán informadas de forma inmediata, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos.

Ikovita se obliga a que dicha comunicación se realice, en todo caso, dentro de las 72 horas siguientes a la confirmación del incidente, e informará: la naturaleza del incidente, los datos comprometidos, las recomendaciones al titular, las acciones correctivas inmediatas y el canal de contacto para consultas. En paralelo ejecutará el protocolo interno de incidentes documentado en el Centro de Documentación y dará aviso a la autoridad cuando la normativa aplicable lo exija.

15. Derechos ARCO y su ejercicio

Conforme a los artículos 21 a 26 de la Ley, el titular o su representante legal pueden ejercer en cualquier momento los derechos siguientes. El ejercicio de uno no es requisito ni impedimento para ejercer otro:

• Acceso (artículo 22): conocer qué datos personales suyos obran en posesión de Ikovita y las condiciones y generalidades de su tratamiento.
• Rectificación (artículo 23): corregir sus datos cuando resulten inexactos, incompletos o desactualizados.
• Cancelación (artículo 24): solicitar que sus datos dejen de estar en posesión de Ikovita, lo que da lugar a un periodo de bloqueo previo a su supresión.
• Oposición (artículo 26): oponerse al tratamiento por causa legítima o cuando este sea automatizado y le produzca efectos jurídicos no deseados o afecte significativamente sus intereses, derechos o libertades.

De forma adicional, el titular puede revocar su consentimiento (artículo 7), limitar el uso o divulgación de sus datos por los medios señalados en la sección 6, y solicitar una copia de su expediente en formato estructurado HL7 FHIR. Esta última posibilidad es una facilidad que Ikovita ofrece de forma voluntaria y no deriva de una obligación legal.

La solicitud se envía a privacidad@ikovita.com y, conforme al artículo 28 de la Ley, debe contener: el nombre del titular y domicilio o medio para recibir notificaciones; los documentos que acrediten su identidad o la personalidad e identidad de su representante; la descripción clara y precisa de los datos respecto de los que se ejerce el derecho, salvo tratándose del derecho de acceso; la descripción del derecho que se pretende ejercer; y cualquier otro elemento que facilite la localización de los datos. Tratándose de rectificación, deben indicarse las modificaciones solicitadas y aportarse la documentación que las sustente (artículo 30).

En términos del artículo 31 de la Ley, Ikovita comunicará la determinación adoptada en un plazo máximo de veinte días contados desde la recepción de la solicitud y, de resultar procedente, la hará efectiva dentro de los quince días siguientes a esa comunicación. Ambos plazos pueden ampliarse por una sola vez y por un periodo igual cuando las circunstancias del caso lo justifiquen, lo que se notificará al titular de forma fundada.

El ejercicio de los derechos ARCO es gratuito (artículo 34); solo podrán cobrarse los costos de reproducción, copias o envío, y ningún costo aplicará cuando el titular aporte el medio para reproducir sus datos. Ikovita podrá negar total o parcialmente el ejercicio en los supuestos del artículo 33, informando siempre el motivo de su decisión por el mismo medio de la solicitud.

Buena parte de estos derechos se ejerce de forma inmediata desde la propia plataforma, sin necesidad de solicitud escrita: consulta y edición del perfil clínico, descarga de documentos, revocación de accesos de médicos y familiares, y eliminación de la cuenta en Perfil → Privacidad y seguridad.

16. Conservación, bloqueo y supresión

Los datos se conservan mientras la cuenta permanezca activa. Al eliminarla, Ikovita anonimiza de inmediato los datos de identificación y del perfil clínico del usuario, invalida sus credenciales y sesiones, y revoca todos los accesos de médicos y familiares a su información.

Los documentos y registros clínicos asociados se someten al periodo de bloqueo previsto en los artículos 10 y 24 de la Ley: quedan inaccesibles para cualquier finalidad distinta de la determinación de responsabilidades nacidas del tratamiento, y se suprimen de forma irreversible dentro de los 30 días naturales siguientes a la eliminación de la cuenta, salvo cuando deban conservarse por disposición legal. Una vez cancelado el dato se da aviso al titular.

Ikovita podrá conservar información en los supuestos del artículo 25 de la Ley, en particular cuando los datos deban tratarse por disposición legal o cuando sean objeto de tratamiento para la prevención, el diagnóstico médico o la gestión de servicios de salud por un profesional sujeto a deber de secreto. En estos casos la conservación se limita a lo estrictamente necesario y los datos permanecen bloqueados.

Los datos agregados y anonimizados que no permiten identificar a persona alguna, ni directa ni indirectamente, pueden conservarse sin plazo determinado para fines estadísticos y de mejora del servicio. Ikovita mantiene las medidas técnicas necesarias para impedir su reidentificación.

17. Cookies y tecnologías de rastreo

Ikovita utiliza cookies estrictamente necesarias para mantener la sesión iniciada y recordar preferencias de uso, así como almacenamiento local del navegador para el funcionamiento de la aplicación. No utilizamos cookies publicitarias, píxeles de redes sociales ni servicios de rastreo de terceros. Las métricas de uso se procesan en nuestra propia infraestructura.

18. Cambios al aviso de privacidad

Para efectos del artículo 15, fracción VI de la Ley, Ikovita comunicará cualquier cambio a este aviso por los medios siguientes: publicación de la versión vigente en esta misma dirección, señalando su fecha de actualización, y aviso dentro de la plataforma al iniciar sesión cuando el cambio sea sustancial, antes de su entrada en vigor. Si el tratamiento se destinara a una finalidad distinta de las aquí previstas, Ikovita recabará nuevamente el consentimiento del titular en términos del artículo 11 de la Ley.

19. Autoridad y legislación aplicable

La autoridad competente en la materia es la Secretaría Anticorrupción y Buen Gobierno. El titular que no esté conforme con la respuesta de Ikovita, o que no la reciba dentro del plazo señalado, puede presentar una solicitud de protección de datos ante dicha Secretaría dentro de los quince días siguientes a la fecha en que se le comunique la respuesta, en términos del artículo 40 de la Ley.

El presente aviso se rige por la legislación de los Estados Unidos Mexicanos. Para su interpretación y cumplimiento, las partes se someten a la jurisdicción de los tribunales competentes en dicho país, renunciando a cualquier otro fuero.

Dudas sobre el manejo de sus datos: privacidad@ikovita.com