Anexo México: Contrato de Encargo (Remisión)

México — ANX-MX: Contrato de Encargo (Remisión)

ID del documento: ANX-MX · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]] Idioma: este texto en español es el auténtico. La versión en inglés (../annex-mx.md) es una traducción de conveniencia. Se aplica a: las Clínicas establecidas en los Estados Unidos Mexicanos. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.

1. Marco legal y naturaleza de la relación

1.1 Marco legal. Este Anexo es el instrumento jurídico que acredita la existencia, el alcance y el contenido de la relación entre:

la Clínica, como responsable; y
VstreamX, como encargado.

Se celebra conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 ("LFPDPPP"), y a su Reglamento publicado el 21 de diciembre de 2011, en la medida en que siga siendo aplicable (el "Reglamento"). [[TO CONFIRM: numeración de los artículos de la LFPDPPP de 2025 sobre el encargado, la remisión y el consentimiento expreso y por escrito para datos sensibles, que se insertarán en las cláusulas 1.2, 2 y 10; la disposición transitoria según la cual el Reglamento de 2011 se aplica solo en lo que no contradiga la nueva Ley; si se ha publicado un nuevo Reglamento; y toda reforma posterior (se informa de una reforma del 14 de noviembre de 2025 que debe verificarse)]]

1.2 Una remisión. La comunicación de los Datos de la Clínica a VstreamX, dentro o fuera del territorio mexicano, es una remisión a un encargado, no una transferencia. Conforme a la LFPDPPP, no requiere, por tanto, el consentimiento de los titulares ni que se les informe de ella como transferencia.

1.3 El uso propio cambiaría esa calificación. Esa calificación se mantiene únicamente mientras VstreamX y sus Subencargados traten los Datos de la Clínica exclusivamente por cuenta de la Clínica. La cláusula 3 la asegura.

2. Obligaciones del encargado

Conforme al artículo 50 del Reglamento, VstreamX:

(I) trata los Datos de la Clínica únicamente conforme a las instrucciones de la Clínica (cláusula 3 del MDPA);
(II) no trata los Datos de la Clínica para finalidades distintas de las que instruye la Clínica (cláusula 4 del MDPA);
(III) implementa las medidas de seguridad del Apéndice 2 del MDPA, conforme a la LFPDPPP, el Reglamento y demás disposiciones aplicables;
(IV) guarda confidencialidad respecto de los Datos de la Clínica (cláusula 5 del MDPA);
(V) suprime los Datos de la Clínica una vez cumplida la relación jurídica con la Clínica, o por instrucción de esta, siempre que no exista una previsión legal que exija su conservación (cláusula 14 del MDPA y cláusula 6 de este Anexo); y
(VI) no transfiere los Datos de la Clínica, salvo:
- cuando la Clínica así lo determine;
- cuando la comunicación derive de una subcontratación conforme a la cláusula 4; o
- cuando lo requiera una autoridad competente, en cuyo caso se aplica la cláusula 16 del MDPA.

3. Prohibición de uso para fines propios de VstreamX o de sus Subencargados

VstreamX garantiza, mediante sus contratos con sus Subencargados, que ni ella ni ellos traten los Datos de la Clínica para fines propios. Esto comprende a Google LLC (incluido Vertex AI) y a Meta Platforms, Inc. / WhatsApp LLC. En particular, los Datos de la Clínica no se usan:

para publicidad;
para elaborar perfiles; ni
para entrenar modelos de inteligencia artificial.

Si un Subencargado usara los Datos de la Clínica para fines propios, dejaría de ser subencargado y la comunicación requeriría el consentimiento de los titulares como transferencia. En tal caso VstreamX:

lo notificaría sin demora a la Clínica; y
dejaría de enviar Datos de la Clínica a ese Subencargado.

4. Subcontratación

4.1 Autorización. Conforme a los artículos 54 y 55 del Reglamento, la Clínica autoriza a VstreamX a subcontratar los servicios con los Subencargados enumerados en el Apéndice 3 del MDPA.

4.2 Obligaciones del subencargado. Cada Subencargado asume, mediante su contrato con VstreamX, las mismas obligaciones que VstreamX conforme a este Anexo.

4.3 Cambios. Todo Subencargado nuevo o sustituto requiere la aprobación previa de la Clínica, otorgada en el Servicio conforme a la cláusula 7.5 del MDPA, antes de que los datos de la Clínica se le dirijan (Reglamento, arts. 54 y 55). [[TO CONFIRM: opinión de los asesores mexicanos sobre si, conforme a la LFPDPPP de 2025, basta la autorización general de la cláusula 4.1 con aviso de 30 días y derecho de oposición conforme a la cláusula 7 del MDPA; si basta, una nueva versión puede volver a ese modelo]]

5. Servicios de cómputo en la nube

Conforme al artículo 52 del Reglamento, VstreamX, como proveedor de servicios de cómputo en la nube:

(a) tiene y aplica políticas de protección de datos personales afines a los principios y deberes de la LFPDPPP;
(b) transparenta las subcontrataciones que involucran los Datos de la Clínica (Apéndice 3 del MDPA);
(c) no se atribuye la titularidad ni derechos sobre los Datos de la Clínica;
(d) guarda confidencialidad respecto de los Datos de la Clínica;
(e) da transparencia a los cambios en sus políticas de privacidad y condiciones del servicio (cláusula 18 del MDPA);
(f) permite a la Clínica limitar el tipo de tratamiento mediante la configuración del Servicio;
(g) implementa las medidas de seguridad del Apéndice 2 del MDPA;
(h) garantiza la supresión de los Datos de la Clínica al término del servicio, y permite a la Clínica verificarla mediante el certificado de la cláusula 14.7 del MDPA;
(i) impide el acceso a los Datos de la Clínica a personas que no cuenten con privilegios de acceso; y
(j) informa a la Clínica de todo requerimiento de una autoridad (cláusula 16 del MDPA).

6. Conservación y expediente clínico

6.1 La obligación de la Clínica. Conforme a la NOM-004-SSA3-2012, el expediente clínico debe conservarse por un mínimo de 5 años contados a partir de la fecha del último acto médico. DentalX no suprime automáticamente los expedientes clínicos.

6.2 Al término del servicio. La exportación completa de la cláusula 14 del MDPA constituye la devolución de los Datos de la Clínica. Permite a la Clínica cumplir esa obligación después de la supresión.

7. Vulneraciones de seguridad

7.1 Aviso a la Clínica. VstreamX notifica a la Clínica toda vulneración de seguridad que afecte a los Datos de la Clínica dentro de las 24 horas siguientes a haberla establecido (cláusula 9 del MDPA).

7.2 Contenido del aviso. El aviso contiene la información que la Clínica necesita para informar de forma inmediata a los titulares afectados cuando la vulneración afecte de forma significativa sus derechos patrimoniales o morales:

la naturaleza del incidente;
los datos personales comprometidos;
las recomendaciones a los titulares;
las acciones correctivas realizadas; y
los medios para obtener más información.

8. Derechos ARCO

8.1 Asistencia. VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud, conforme a la cláusula 8 del MDPA. Esto permite a la Clínica responder a las solicitudes de ejercicio de los derechos de acceso, rectificación, cancelación y oposición (ARCO) y de revocación del consentimiento en un plazo de 20 días, y hacerlas efectivas en un plazo de 15 días desde su respuesta.

8.2 Solo a través de la Clínica. VstreamX no responde directamente a las solicitudes de los titulares; las remite a la Clínica.

9. Sistemas de expediente clínico electrónico (NOM-024)

9.1 Sin certificación. DentalX no está certificado conforme a la NOM-024-SSA3-2012 sobre sistemas de información de registro electrónico para la salud. Si dicha norma se aplica a un servicio de software extranjero utilizado por una clínica dental privada está siendo analizado por asesores jurídicos mexicanos. [[TO CONFIRM: opinión de los asesores mexicanos sobre el alcance de la NOM-024, y decisión de VstreamX de certificarse o de mantener esta divulgación]]

9.2 Reconocimiento de la Clínica. La Clínica reconoce esta situación. Sigue siendo responsable de la validez legal de su expediente clínico.

10. Obligaciones de la Clínica

La Clínica es responsable, como responsable del tratamiento, de:

su aviso de privacidad (integral y simplificado);
obtener el consentimiento expreso y por escrito de cada paciente para el tratamiento de sus datos sensibles de salud, mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación (DentalX proporciona una plantilla que el paciente firma en el Servicio);
designar a la persona o el departamento de datos personales y registrarlo en el Servicio; y
atender los derechos ARCO.

La aceptación de este Anexo por la Clínica no sustituye el consentimiento de sus pacientes.

11. Autoridad

Las referencias a la autoridad de protección de datos se entienden hechas a la autoridad competente conforme a la LFPDPPP. Tras la extinción del INAI, esa autoridad es la Secretaría Anticorrupción y Buen Gobierno. [[TO CONFIRM: autoridad competente y su denominación vigente]]

12. Ley aplicable

La LFPDPPP y el Reglamento se aplican al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA. Nada en este Anexo ni en el MDPA limita los derechos que confieren a los titulares.

13. Cambio legislativo

Cuando se publique un nuevo Reglamento de la LFPDPPP, VstreamX adaptará este Anexo conforme a la cláusula 18.4 del MDPA.

Puntos por confirmar antes de la publicación (México)

La fecha de publicación.
La numeración de los artículos de la LFPDPPP de 2025 sobre el encargado y la remisión, y la publicación, en su caso, de un nuevo Reglamento (§1.1).
La opinión de los asesores mexicanos sobre la NOM-024 y la decisión de certificarse o divulgar (§9).
La autoridad competente y su denominación vigente (§11).