Política de privacidad

Versión 2026-08-23

1. Responsable del tratamiento

El centro médico donde te atiendes es el responsable del tratamiento de tus datos personales y clínicos. Sus datos de identificación (nombre, RUC, dirección, teléfono) están disponibles en recepción y en toda documentación oficial (facturas, recetas, informes).

REI es la plataforma tecnológica que el centro utiliza para gestionar tu atención; actúa como encargado de tratamiento bajo instrucciones del centro, con las medidas técnicas y organizativas descritas más abajo (punto 5).

2. Bases legales del tratamiento

Conforme al Art. 7 de la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP), tus datos se tratan bajo tres bases distintas que conviven:

3. Datos que recolectamos

• Identificación: nombres, apellidos, cédula/pasaporte/RUC, fecha de nacimiento, sexo, nacionalidad.
• Contacto: teléfono, correo electrónico, dirección.
• Datos clínicos: antecedentes personales/familiares, alergias, medicación habitual, tipo de sangre, signos vitales, historia clínica, diagnósticos, prescripciones, exámenes, procedimientos, informes.
• Cobertura de salud: seguro privado, medicina prepagada o vinculación a la Red Pública Integral de Salud (RPIS) si corresponde.
• Datos transaccionales y financieros: facturación, forma de pago, número de cuenta bancaria únicamente si se requiere una devolución.
• Imagen y firma: foto de perfil (si se carga), firma manuscrita en documentos clínicos (consentimientos informados).
• Grabaciones de voz: audios capturados durante la consulta con tu consentimiento informado previo, con el único fin de apoyar al médico en la redacción de la historia clínica. Las grabaciones se procesan mediante servicios de transcripción automática e inteligencia artificial y se eliminan una vez concluida la atención.
• Datos de contacto de emergencia: nombre y teléfono de la persona designada por ti.

4. Finalidades del tratamiento

Tus datos se utilizan para:

• Prestación de servicios médicos y de apoyo diagnóstico.
• Registro y conservación de la historia clínica conforme a la Ley de Salud.
• Agendamiento de citas, recordatorios, confirmaciones y cancelaciones (por correo o WhatsApp cuando lo autorizas).
• Coordinación con laboratorio, imagen y otras especialidades cuando el médico lo indique.
• Emisión de recetas, órdenes de exámenes, certificados, procedimientos e informes.
• Transcripción automática y análisis asistido por inteligencia artificial de las grabaciones de voz autorizadas, con el único fin de redactar la nota clínica. El contenido generado por la inteligencia artificial es revisado y validado por el médico tratante antes de incorporarse a la historia clínica.
• Facturación electrónica ante el SRI y gestión de cobros/devoluciones.
• Verificación de cobertura de seguro privado o red pública cuando corresponda.
• Cumplimiento de obligaciones legales, contractuales y requerimientos de autoridades competentes (MSP, IESS, SRI, autoridad judicial).
• Contacto por novedades clínicas (resultados críticos, ajustes de tratamiento, seguimiento).
• Atención a solicitudes de ejercicio de derechos LOPDP.
• Investigación con fines científicos, cumpliendo la normativa vigente y previo consentimiento específico si corresponde.

5. Medidas de protección

Adoptamos medidas técnicas y organizativas para prevenir la pérdida, alteración, acceso no autorizado o robo de tus datos:

• Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones.
• Cifrado en reposo de la base de datos y de los archivos adjuntos.
• Autenticación de doble factor (MFA/TOTP) disponible para todo el personal del centro.
• Control de acceso por rol — cada usuario solo ve lo que su función requiere.
• Registro de accesos (audit log) — quién ve o modifica tu información, cuándo y desde qué IP, con retención de 3 años.
• Copias de seguridad cifradas, periódicas y con verificación de integridad.
• Break-the-glass: cualquier acceso a tu historia clínica fuera de una relación clínica activa exige justificación explícita y queda auditado.

6. Transferencias a terceros

Tus datos no se comparten con terceros salvo en los siguientes supuestos, siempre limitados a la información mínima necesaria y bajo obligación de confidencialidad:

• Laboratorios de análisis clínico, imagen o patología a los que el médico refiera un examen.
• Aseguradoras, empresas de medicina prepagada o convenios corporativos cuando tu cobertura lo requiera.
• Red Pública Integral de Salud (RPIS) si estás derivado por su intermedio.
• Servicio de Rentas Internas (SRI) para facturación electrónica.
• Autoridades competentes (Ministerio de Salud Pública, autoridad judicial, IESS) por requerimiento legal.
• Proveedores de infraestructura y procesamiento:
  • Amazon Web Services (AWS, Estados Unidos): hosting, almacenamiento cifrado, copias de seguridad y transcripción automática de audio (Amazon Transcribe). AWS actúa como encargado del tratamiento bajo cláusulas contractuales tipo y acuerdo de procesamiento de datos (DPA).
  • Anthropic PBC (Estados Unidos): análisis asistido por inteligencia artificial (modelos Claude) de contenidos clínicos autorizados por el paciente, con el único fin de apoyar la redacción de la historia clínica. Anthropic no utiliza estos datos para entrenar sus modelos y actúa bajo cláusulas contractuales tipo.
  • Meta Platforms (WhatsApp Business API): envío de recordatorios y notificaciones a los pacientes que lo autorizan, bajo las condiciones de servicio de WhatsApp Business.
  • Stripe: procesamiento de pagos de la suscripción del centro, sin acceso a datos clínicos de los pacientes.
  Todos estos proveedores están sujetos a confidencialidad contractual y a las medidas técnicas descritas en el punto 5. Los datos se transfieren cifrados en tránsito y se almacenan cifrados en reposo.
• Asesoría jurídica del centro, para la defensa de sus intereses.

Transferencia internacional

Parte del tratamiento ocurre en servidores ubicados en Estados Unidos (principalmente región AWS us-east-2). Esta transferencia internacional se realiza al amparo de cláusulas contractuales tipo que garantizan un nivel de protección equivalente al exigido por la LOPDP de Ecuador. Si deseas más información sobre las garantías aplicadas puedes contactar al Delegado de Protección de Datos del centro.

7. Conservación

La historia clínica se conserva por el plazo mínimo que exige la normativa sanitaria ecuatoriana (típicamente 15–20 años desde la última atención, según el tipo). Los datos no clínicos (contacto, facturación) se conservan mientras el centro mantenga una relación contigo o exista una obligación legal específica de retenerlos.

8. Actualizaciones a esta política

Si actualizamos esta política te pediremos un nuevo consentimiento la próxima vez que uses el portal. La versión que aceptaste queda registrada para que sepas exactamente qué condiciones consentiste.

9. Tus derechos

Conforme a la LOPDP tienes derecho a:

• Acceder a los datos que tenemos sobre ti.
• Rectificar datos inexactos o incompletos.
• Portar tus datos a otro centro (formato estructurado).
• Revocar tu consentimiento respecto a la base (c) del punto 2. Al revocar se detienen los recordatorios y comunicaciones automáticas y se bloquea el portal público para tu cuenta.
• Suspender el tratamiento mientras se resuelve una impugnación sobre la exactitud de tus datos.
• Oposición y eliminación respecto a datos que no estén bajo obligación legal sanitaria. La historia clínica NO puede eliminarse mientras esté vigente el plazo legal de conservación (punto 7).

10. Consecuencias de la aceptación

Al aceptar esta política autorizás al centro a almacenar, tratar y transferir tus datos personales dentro de las finalidades descritas en el punto 4, con las medidas de protección del punto 5, y por los plazos del punto 7. La aceptación NO extiende la autorización a usos distintos de los enumerados — para cualquier otro uso se pedirá tu consentimiento específico.

11. Almacenamiento local en tu dispositivo

REI guarda en tu navegador información técnica estrictamente necesaria para el funcionamiento del sistema, mediante localStorage y sessionStorage (no cookies HTTP). Concretamente:

• Token de sesión (JWT de acceso y de refresco) — para mantenerte logueado sin pedir contraseña en cada request.
• Rol activo — cuando tenés varios roles en un centro (ej. médico + administrador), guarda con cuál estás operando.
• Preferencia de tema (claro / oscuro / paleta de color).
• Dispositivo de confianza para MFA — si activaste doble factor y marcaste "confiar en este dispositivo", se guarda un token para no volver a pedirte código durante el plazo definido (24 h en web, 60 d en móvil).
• Aviso de esta política — un flag para no volver a mostrar el banner informativo.
• Estado temporal de check-in — si estás en la sala de espera con QR, guarda tu turno activo para reabrirlo si cerraste la pestaña por accidente.

No usamos cookies de tracking, analytics de terceros, píxeles de publicidad ni herramientas de marketing (Google Analytics, Facebook Pixel, Hotjar, etc.). No hay contenido embebido de terceros que setee cookies desde otros dominios.

Podés borrar este almacenamiento en cualquier momento desde la configuración de tu navegador. Al cerrar sesión (logout), el sistema borra automáticamente el token de sesión, el rol activo y la preferencia de tema.