Privacidad

Aviso de privacidad

Última actualización: 27 de septiembre de 2026.

Este aviso describe con precisión los datos que el software DUALMED trata hoy, incluyendo el uso de inteligencia artificial y los proveedores externos (encargados) que reciben datos. Los campos entre corchetes son los únicos datos propios de cada operador/establecimiento que deben completarse antes de publicar (razón social, RUC, dirección y correo de contacto); el resto ya refleja el funcionamiento real del sistema y no debe borrarse ni generalizarse. Este texto no reemplaza asesoría legal: antes de publicarlo, un abogado debe validarlo contra la Ley Orgánica de Protección de Datos Personales (LOPDP) de Ecuador y la normativa sanitaria aplicable.

Quién trata los datos

DUALMED es un software provisto por [Corporación Black / razón social y RUC del operador] ("el operador"), con domicilio en [dirección] y contacto de privacidad en [correo de privacidad] / [teléfono]. Cada clínica o profesional que contrata DUALMED ("el establecimiento") es responsable del tratamiento de los datos de sus propios pacientes; el operador actúa como encargado del tratamiento de esos datos, siguiendo las instrucciones del establecimiento y sujeto a confidencialidad. Sobre los datos de las cuentas de acceso (administradores, doctores y su información de registro), el operador trata esa información directamente para prestar el servicio y facturar la suscripción.

Qué datos se recopilan

Datos de cuenta: nombre, correo, teléfono, contraseña (cifrada) y rol de cada usuario del establecimiento.
Datos del paciente: identificación, contacto, fecha de nacimiento, antecedentes, signos vitales, diagnósticos (incluidos códigos CIE-10/CIE-11), tratamientos, recetas y medicamentos, agenda de citas, consentimientos informados, certificados, y archivos multimedia (fotografías, radiografías, resultados de laboratorio, mapas corporales).
Datos de facturación: información tributaria y comprobantes electrónicos enviados al Servicio de Rentas Internas (SRI) para cumplir la obligación legal de facturación electrónica.
Registros técnicos y de seguridad: dirección IP e intentos de inicio de sesión (para bloquear accesos indebidos), y bitácora de auditoría de cambios dentro del sistema.

Uso de inteligencia artificial (ClinicBot)

DUALMED incluye un asistente interno llamado ClinicBot. Por defecto responde con reglas internas del propio sistema (guías, catálogo CIE, documentos que el establecimiento cargó), sin enviar información a ningún tercero. Cada establecimiento puede activar opcionalmente una función adicional que usa el modelo de inteligencia artificial de OpenAI, L.L.C. (Estados Unidos) para responder preguntas operativas sobre el uso del software. Cuando esa función está activa: solo se envían la pantalla actual y la intención general de la pregunta (por ejemplo "cómo agendar una cita"); el sistema está instruido para no enviar nombres, historias clínicas, contraseñas ni otros datos identificables, no emitir diagnósticos ni reemplazar el criterio del profesional; hay un límite diario de consultas por establecimiento; y el registro de preguntas se conserva un máximo de 90 días, tras lo cual se elimina automáticamente.

Terceros que reciben datos (encargados y subencargados)

OpenAI, L.L.C. — procesa las consultas operativas del asistente ClinicBot, únicamente cuando el establecimiento activa esa función (ver sección anterior).
Meta Platforms, Inc. (WhatsApp Business/Cloud API) — envía recordatorios de citas por WhatsApp al número que el paciente autorizó, únicamente cuando el establecimiento activa esa función.
Servicio de Rentas Internas (SRI) y su proveedor de facturación electrónica autorizado — recibe los comprobantes tributarios por obligación legal.
api.qrserver.com — genera el código QR de verificación impreso en las recetas médicas; solo recibe el número de receta y un código de verificación, nunca datos del paciente.
Proveedor de hospedaje (cPanel/servidor donde opera dualmed.lat) — aloja la base de datos y los archivos del sistema.

No se venden datos a terceros ni se usan con fines publicitarios. No hay transferencias internacionales adicionales a las señaladas arriba.

Base legal y confidencialidad

El establecimiento debe contar con la base legítima aplicable (autorización del paciente u otra prevista en la ley) antes de registrar sus datos en DUALMED. El acceso dentro del sistema está limitado por roles y aislado por establecimiento (multi-tenant): un establecimiento nunca puede ver los datos de otro.

Conservación

Los datos clínicos se conservan mientras dure la relación con el establecimiento y conforme a los plazos que exija la normativa sanitaria vigente en Ecuador, la cual debe confirmar el establecimiento con su asesor legal. Los registros de preguntas al asistente con IA se eliminan automáticamente a los 90 días. Los intentos de inicio de sesión se conservan solo el tiempo necesario para la protección contra accesos indebidos.

Seguridad

DUALMED aplica, entre otras medidas: contraseñas con hash (nunca en texto plano), tokens de sesión cifrados, bloqueo temporal tras varios intentos fallidos de acceso, protección contra CSRF e inyección SQL mediante consultas preparadas, cabeceras de seguridad HTTP, y aislamiento de datos por establecimiento. El detalle completo está en la página de Seguridad.

Derechos del titular

De acuerdo con la Ley Orgánica de Protección de Datos Personales de Ecuador, el paciente puede solicitar acceso, rectificación, actualización, eliminación u oposición sobre sus datos personales, dirigiéndose directamente al establecimiento donde recibió atención (responsable del tratamiento), o al operador en [correo de privacidad] cuando la solicitud se refiera a datos de la cuenta.

Contacto

[Corporación Black / razón social del operador] · [dirección] · [correo de privacidad] · [teléfono].