Aviso de Privacidad Integral

1Identidad y domicilio del responsable

Para los efectos de la LFPDPPP y de su Reglamento aplicable, OMNINOVA S.A.S de C.V. (que opera bajo la marca Klinova) es responsable del tratamiento de los datos personales descritos en este Aviso.

2Encargado interno de privacidad

Klinova ha designado como responsable de atender las solicitudes de los titulares y de fomentar la cultura de protección de datos a su titular:

3Datos personales que serán tratados

De los clientes (clínicas, profesionales de la salud) y sus representantes

• Datos de identificación: nombre o razón social, RFC, domicilio fiscal, correo electrónico, teléfono.
• Datos fiscales: régimen fiscal SAT, uso de CFDI, código postal fiscal.
• Datos del representante legal: nombre completo, cargo, correo electrónico, teléfono.
• Datos de pago: procesados por Stripe Payments Mexico. Klinova no almacena números de tarjeta ni códigos CVV.
• Datos de uso de la plataforma: direcciones IP, logs de acceso, patrones de uso.

De los visitantes del sitio web klinova.mx

• Datos técnicos de navegación: IP, dispositivo, navegador, páginas visitadas, fecha y hora.
• Datos de formularios de contacto: nombre, correo electrónico, teléfono, organización, mensaje.

4Finalidades del tratamiento

Finalidades primarias (necesarias para la prestación del servicio)

1. Celebración, ejecución y seguimiento del contrato de prestación de servicios SaaS.
2. Facturación y cobranza, incluyendo emisión de CFDI 4.0.
3. Cumplimiento de obligaciones legales (fiscales, mercantiles, protección de datos).
4. Soporte técnico y comunicación operativa.
5. Seguridad de la plataforma y prevención de fraudes.
6. Defensa de intereses legítimos en caso de litigio.

Finalidades secundarias (sujetas a negativa del titular)

1. Envío de comunicaciones comerciales sobre nuevos productos o servicios.
2. Análisis estadísticos agregados para mejorar el servicio (siempre anonimizados).
3. Estudios de mercado internos (siempre anonimizados).

5Encargados del tratamiento (sub-procesadores)

Las siguientes relaciones constituyen remisiones (no transferencias) conforme a la LFPDPPP. Cada encargado ha suscrito un acuerdo de protección de datos con OMNINOVA S.A.S de C.V.

Google LLC figura en dos renglones porque trata datos para dos finalidades distintas —la sincronización opcional del calendario del médico, que la clínica activa, y la medición de audiencia del sitio público, que el visitante consiente— con datos, bases de legitimación y destinatarios diferentes. Se declara un renglón por finalidad en lugar de fundirlas: una sola línea obligaría a que una misma casilla de finalidad cubriera dos tratamientos que no comparten ni el titular de los datos ni el mecanismo de consentimiento. Los encargados del sitio público klinova.mx —Google Analytics 4, Microsoft Clarity y Vercel— se detallan además en la Sección 13 de este Aviso, con su marco de transferencia internacional.

Klinova notificará cambios en la lista de encargados con 30 días de anticipación en esta página.

6Uso limitado de los datos de las APIs de Google

Cuando un profesional de la salud conecta voluntariamente su Google Calendar a Klinova:

• Se solicitan únicamente los permisos calendar.events (para crear, actualizar y cancelar las citas gestionadas por Klinova) y calendar.readonly (para leer los periodos ocupados y evitar dobles reservas, solo en modo bidireccional).
• No se almacena el contenido de los eventos de Google (títulos, descripciones, invitados): únicamente las franjas horarias de inicio y fin necesarias para calcular la disponibilidad.
• No se transfieren estos datos a terceros, no se usan con fines publicitarios y no se permite que personas los lean, salvo con consentimiento explícito, por motivos de seguridad, para cumplir la ley, o como parte de operaciones internas con datos agregados o anonimizados.
• El profesional puede revocar el acceso en cualquier momento desde Klinova (Configuración → Médicos) o desde su cuenta de Google; al hacerlo, se eliminan los tokens de acceso y los periodos ocupados almacenados.

7Transferencias de datos

Klinova no transfiere datos personales a terceros, salvo cuando:

1. Sea legalmente requerido por autoridad competente.
2. Sea necesario para cumplir obligaciones fiscales (transmisión al SAT vía PAC).
3. Exista consentimiento expreso del titular.

Solicitudes de autoridades públicas

Revisión de legalidad e impugnación. Toda solicitud de acceso a datos personales formulada por una autoridad pública es sometida a una revisión de legalidad previa antes de cualquier divulgación. OMNINOVA S.A.S de C.V. únicamente atiende solicitudes que consten por escrito, provengan de autoridad competente y se encuentren fundadas y motivadas en los términos del artículo 16 de la Constitución Política de los Estados Unidos Mexicanos. Impugnaremos, por las vías legales disponibles y a nuestra costa, toda solicitud que resulte ilícita, carezca de fundamentación o motivación suficientes, exceda las facultades de la autoridad requirente, o sea manifiestamente desproporcionada respecto de la finalidad invocada. Salvo prohibición legal expresa, informaremos a la clínica cliente afectada antes de cualquier divulgación, para que pueda ejercer sus propios medios de defensa.

Minimización y documentación. Cuando la divulgación resulte legalmente obligatoria, divulgaremos únicamente el mínimo de datos necesarios, circunscrito a la clínica, al período y a las categorías de datos expresamente señalados en el mandamiento; nunca la totalidad de una base de datos, ni datos de clínicas o pacientes ajenos a la solicitud. Cada solicitud queda asentada en nuestro registro de auditoría de operación exclusiva de escritura (append-only), con fecha de recepción, autoridad requirente, fundamento jurídico invocado, categorías y volumen de datos solicitados, análisis de legalidad efectuado, decisión adoptada —atención, impugnación o negativa— y su razonamiento, datos efectivamente divulgados y fecha de respuesta. Este registro se conserva 5 años y se pone a disposición de la autoridad de control que lo requiera.

8Períodos de conservación

9Derechos ARCO y otros derechos del titular

Como titular, tienes derecho a:

• Acceder a tus datos personales en posesión de Klinova.
• Rectificar datos inexactos o incompletos.
• Cancelar tus datos cuando no sean necesarios para ninguna finalidad.
• Oponerte al uso de tus datos para fines específicos.
• Revocar el consentimiento otorgado para el tratamiento.
• Limitar el uso o divulgación de tus datos.

Cómo ejercer tus derechos

Envía una solicitud a arco@klinova.mx indicando:

1. Nombre completo y medio para recibir respuesta.
2. Documento que acredite tu identidad.
3. Descripción clara del derecho que deseas ejercer.
4. Cualquier elemento que facilite la localización de los datos.

10Medidas de seguridad

• Cifrado AES-256-GCM at-rest con derivación de claves por tenant (HKDF).
• Cifrado en tránsito con TLS 1.2 como mínimo, priorizando TLS 1.3.
• Autenticación multi-factor para administradores y operadores.
• Aislamiento entre clientes mediante Row Level Security en PostgreSQL.
• Auditoría inmutable de accesos y operaciones sensibles.
• Política documentada de gestión y rotación de claves criptográficas.
• Procedimientos de respuesta a incidentes y notificación de vulneraciones.

11Notificación de vulneraciones de seguridad

En caso de vulneración que afecte significativamente los derechos del titular, Klinova lo notificará de forma inmediata conforme a la LFPDPPP 2025, incluyendo la naturaleza del incidente, los datos comprometidos, recomendaciones de protección y acciones correctivas tomadas.

Klinova no fija en este Aviso ningún plazo en horas para dicha notificación. El estándar aplicable es el de la Ley — de forma inmediata (artículo 19 LFPDPPP) — y no un plazo más amplio. Los objetivos operativos internos de Klinova constan en su procedimiento de respuesta a incidentes y en ningún caso relevan del estándar legal ni lo sustituyen.

12Tratamiento de datos de menores

Klinova no recaba ni trata datos personales de menores en su calidad de responsable. Los datos de menores en contextos pediátricos son tratados exclusivamente como encargado, bajo las instrucciones de la clínica responsable.

13Uso de cookies y tecnologías similares

Esta Sección cubre los dos dominios de Klinova: el sitio público klinova.mx y la aplicación app.klinova.mx. Su régimen no es el mismo, y describirlos juntos sin distinguirlos sería inexacto: el sitio público recibe visitantes anónimos y les ofrece un banner de consentimiento; la aplicación no trata a ningún visitante anónimo. Los apartados a) a c) describen el sitio público; el apartado d) describe la aplicación.

En el sitio público klinova.mx se utilizan tres categorías de cookies y tecnologías similares. Son exactamente las tres que el banner de consentimiento ofrece al primer acceso: necesarias, analítica y marketing.

a) Cookies estrictamente necesarias

En el sitio público, la única cookie de esta categoría es klinova_consent (13 meses), que conserva la propia elección del usuario en materia de cookies: el sitio público no requiere inicio de sesión y no instala ninguna cookie de sesión. En la aplicación, son además esenciales las cookies de gestión de sesión de Clerk y de protección CSRF. Ninguna de ellas requiere consentimiento previo, y ninguna puede desactivarse sin impedir el funcionamiento.

b) Cookies y tecnologías analíticas del sitio público

Para el análisis interno del uso del sitio, sin compartir los datos con terceros con fines comerciales. Su instalación está sujeta al consentimiento del usuario, recabado mediante el banner de cookies presente al primer acceso al sitio. El usuario puede modificar su preferencia en cualquier momento desde el centro de preferencias accesible desde el pie de página del sitio. Los encargados de esta categoría son:

El sitio público carga además Vercel Web Analytics (Vercel Inc.), una medición de audiencia agregada sin cookies y sin identificador persistente, que se sirve junto con la página con independencia de la elección expresada en el banner.

c) Cookies de marketing publicitario

El banner ofrece esta tercera categoría, destinada al Meta Pixel (Meta Platforms, Inc.), para medir el rendimiento de las campañas de Facebook e Instagram. A la fecha de este Aviso esa etiqueta no se carga: la versión publicada del sitio no incorpora el identificador de píxel, de modo que aceptar esta categoría no instala hoy ninguna cookie publicitaria ni remite dato alguno a Meta Platforms con esa finalidad.

En consecuencia, y mientras ese identificador no se incorpore, la categoría de marketing no instala hoy ninguna cookie. Klinova hace constar a la vez la categoría ofrecida y su estado real: el día en que el identificador se incorpore, esta Sección y la lista de encargados se enmendarán antes de su activación, con el preaviso previsto en la Sección 5.

d) La aplicación app.klinova.mx — régimen propio, sin banner y sin visitante anónimo

La aplicación no muestra banner de cookies, y no lo necesita: a diferencia del sitio público, no trata a ningún visitante anónimo con fines analíticos. Se hace constar el estado medido el 7 de septiembre de 2026 sobre la aplicación efectivamente servida:

1. La única tecnología analítica presente es PostHog. No se cargan Google Analytics 4, ni Microsoft Clarity, ni el Meta Pixel, ni ninguna otra etiqueta de terceros — ninguno de esos tres figura en el paquete servido de la aplicación.
2. PostHog se inicializa únicamente para personas usuarias del personal de la clínica que han iniciado sesión. El código no lo inicializa para un visitante anónimo, no lo inicializa fuera del entorno de producción, y no lo inicializa si la región de tratamiento no ha sido configurada de forma explícita — una región de tratamiento es un hecho oponible y no se deduce de un valor por defecto.
3. Nunca en las superficies destinadas a pacientes. La página de cita app.klinova.mx/cita/…, a la que el paciente accede por enlace, queda excluida incluso para una persona autenticada.
4. Región de tratamiento: Estados Unidos (https://app.posthog.com), configurada de forma explícita y verificada en la configuración de producción, coincidente con la declarada en el cuadro del apartado b).

Base del tratamiento y forma de oponerse. El tratamiento analítico de la aplicación recae sobre personas usuarias del personal de la clínica, en el marco de la relación de servicio, y se realiza sobre datos seudonimizados de uso del producto — nunca sobre datos de salud ni sobre datos de pacientes. Puesto a disposición el presente Aviso y no manifestándose oposición, el consentimiento es tácito conforme al artículo 8 de la LFPDPPP. Toda persona usuaria puede oponerse en cualquier momento a este tratamiento por el mismo canal de derechos ARCO previsto en la Sección 9 de este Aviso, sin que ello afecte al uso de la aplicación: la analítica de producto no es necesaria para prestar el servicio.

Si algún día la aplicación incorporara una tecnología dirigida a visitantes anónimos o al público general, este apartado dejaría de ser exacto y la aplicación requeriría su propio mecanismo de consentimiento previo. Esta Sección se enmendará antes de tal incorporación, y no después.

14Modificaciones al Aviso de Privacidad

Cualquier modificación será:

1. Publicada en esta página con fecha de actualización.
2. Notificada a clientes activos por correo con al menos 15 días naturales de anticipación para modificaciones de finalidades o políticas generales, y con al menos 30 días naturales para cambios de encargados del tratamiento.
3. Sujeta a consentimiento cuando incluya nuevas finalidades o cambios sustanciales.

15Autoridad de control

La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno, que sustituyó al INAI conforme a las reformas publicadas en el DOF el 20 de marzo de 2025.

Más información: www.gob.mx/buengobierno

16Datos de contacto