Contrato de Encargo de Datos Personales

Acuerdo de Tratamiento de Datos (DPA) entre cada negocio y Zurex One · Forma parte de los Términos y Condiciones · Versión 1.1, vigente desde el 15 de octubre de 2026

1. Partes y para qué sirve

Las partes.

• El Negocio, que contrata Zurex One. Es el responsable (controller) de los datos de sus clientes, pacientes y personal.
• Zurex, el prestador de su país según el Anexo A de los Términos. Es el encargado (processor / service provider): trata esos datos solo por cuenta e instrucciones del Negocio.

Para qué sirve. Este contrato cumple con:

• México: el artículo 2, fracción XII, de la LFPDPPP y los artículos 49 a 52 de su Reglamento, incluidas las reglas de cómputo en la nube.
• Estados Unidos: las leyes estatales (CCPA y equivalentes).
• Latinoamérica: la ley de cada país (módulos del Anexo 4).

Se acepta junto con los Términos al registrarse. Si este contrato y los Términos chocan en materia de datos, manda este contrato.

2. Qué datos tratamos y para qué

El detalle está en el Anexo 1. En corto:

• Qué hacemos: guardar, organizar, mostrar y enviar los datos que el Negocio captura.
• Para qué: agenda, cobros, comprobantes, recordatorios y reportes.
• Por cuánto tiempo: mientras dure la suscripción.

3. Lo que Zurex se obliga a hacer

1. Instrucciones. Tratar los datos solo para prestar el Servicio y según las instrucciones del Negocio, que son la configuración que hace en el sistema y lo que pida por escrito. Si una instrucción viola la ley, Zurex lo avisa y no la ejecuta.
2. No usarlos para otra cosa. No vender ni "compartir" los datos, no usarlos para publicidad, no combinarlos con datos de otros negocios y no conservarlos fuera de la relación con el Negocio. Solo se permite información agregada y anónima para mejorar el Servicio.
3. Confidencialidad. Todo el que acceda a los datos por parte de Zurex tiene obligación de confidencialidad, que sigue después de terminar el contrato.
4. Seguridad. Mantener las medidas del Anexo 2, no menores a las que Zurex usa para su propia información.
5. Subencargados. Usar solo los del Anexo 3, con contratos que les impongan obligaciones equivalentes. Avisar al Negocio con 30 días antes de agregar o cambiar uno. Si el Negocio se opone con razones justificadas y no hay solución, puede cancelar sin penalización.
6. Transferencias internacionales. Los datos se alojan en México. Cualquier acceso desde otro país se protege con los mecanismos del Anexo 4.
7. Ayuda con derechos. Dar al Negocio herramientas para ver, corregir, exportar y borrar los datos de una persona. Si una persona escribe a Zurex, reenviar su solicitud al Negocio en un máximo de 5 días hábiles, sin responderla por cuenta propia.
8. Incidentes. Avisar al Negocio de cualquier vulneración que afecte sus datos en un máximo de 24 horas desde que se confirme. Incluir lo ocurrido, los datos y personas afectadas, las medidas tomadas y un contacto. Ayudarle a dar los avisos que su ley exija.

9. Al terminar. El Negocio puede descargar sus datos antes de que termine su periodo. Después Zurex los borra:

   • de inmediato del sistema;
   • de los respaldos en un máximo de 35 días.

   Solo conserva lo que una ley le obligue. En el modo salud aplica además la sección 6.

10. Rendir cuentas. Responder por escrito, una vez al año o cuando lo pida una autoridad, un cuestionario razonable sobre sus medidas de seguridad. También avisar si deja de poder cumplir este contrato.

11. Autoridades. Si una autoridad pide datos del Negocio, avisarle antes de entregarlos, salvo que la ley lo prohíba, y entregar solo lo estrictamente ordenado.

4. Lo que el Negocio se obliga a hacer

1. Avisos de privacidad. Dar a sus clientes o pacientes su propio aviso de privacidad. El Anexo 5 trae una plantilla, y el sistema puede mostrarla en la página de citas.
2. Autorizaciones. Obtener los consentimientos que pida su ley, por ejemplo para mensajes de promoción o para datos de salud, y conservarlos.
3. Solo lo necesario. En los giros generales, no capturar datos sensibles (salud, religión, vida sexual, biométricos y similares) en notas ni campos libres.
4. Menores. Registrar los datos de la madre, el padre o el tutor y obtener su autorización cuando corresponda.
5. Derechos de sus clientes. Atender las solicitudes de acceso, corrección, cancelación, oposición, etc. de sus clientes, con las herramientas del sistema.
6. Sus usuarios. Cuidar que sus usuarios usen accesos personales y no compartan contraseñas.
7. Registros locales. Inscribir sus propias bases de datos donde la ley de su país lo pida (por ejemplo, Argentina, Uruguay y Perú).

5. Responsabilidad

Cada parte responde por lo que le toca:

• El Negocio: por la licitud de los datos que captura y por los consentimientos que obtiene.
• Zurex: por cumplir este contrato y sus medidas de seguridad.

Se aplica el límite de responsabilidad de los Términos, salvo dolo o culpa grave y lo que la ley no permita limitar.

6. Modo salud (México): reglas adicionales

Se activa cuando se publique el módulo médico.

• Los datos de salud son sensibles. El médico o la clínica obtiene el consentimiento expreso y por escrito del paciente, que el sistema permite firmar en tableta.
• Zurex aplica las medidas de la NOM-024-SSA3-2012 que le correspondan como proveedor del sistema:
  • bitácora de accesos;
  • notas firmadas que no se pueden alterar (se agregan correcciones, no se borra lo anterior);
  • cifrado;
  • roles.
• La NOM-004-SSA3-2012 obliga al prestador de salud a conservar el expediente al menos 5 años desde el último acto médico. Por eso, al cancelar, Zurex no borra los expedientes sin antes:
  • entregar al médico la exportación completa (un PDF por paciente y los datos estructurados);
  • ofrecerle el plan de archivo de solo lectura;
  • si el médico no lo quiere, recibir su confirmación firmada de que recibió y asume la custodia de los expedientes.

7. Duración

Este contrato dura lo mismo que la suscripción y las obligaciones de borrado. La confidencialidad continúa después.

Anexo 1. Descripción del tratamiento

Anexo 2. Medidas de seguridad

• Conexión cifrada (HTTPS/TLS) de punta a punta.
• Servidores sin puertos abiertos a internet; acceso solo por túnel seguro.
• Discos cifrados.
• Respaldos diarios cifrados con retención limitada (35 días).
• Contraseñas guardadas con algoritmo irreversible.
• Bloqueo por intentos fallidos y detección de bots.
• Separación total entre negocios. Cada consulta se filtra por negocio en el servidor.
• Permisos por rol aplicados en el servidor. Por ejemplo, los empleados no ven el teléfono, el correo ni el historial de los clientes.
• Bitácora de cambios que no se puede editar ni borrar. En el modo salud se suma la bitácora de quién abrió cada expediente.
• Constancias fiscales y documentos sensibles cifrados dentro de la base.
• Acceso administrativo de Zurex limitado al titular, con autenticación de dos pasos en la nube.
• Actualizaciones de seguridad y pruebas automáticas antes de cada versión.
• Plan de respuesta a incidentes con aviso en 24 horas.

Anexo 3. Subencargados

Mercado Pago y Square no son subencargados de Zurex. El Negocio los contrata directamente y les da los datos de sus cobros bajo sus propios términos.

Anexo 4. Módulos por país

Anexo 5. Plantilla de aviso de privacidad para el Negocio

El Negocio la completa y la puede publicar en su página de citas. Versión corta para México; para otros países se ajusta al Anexo de país.

[Nombre del negocio], con domicilio en [dirección], es responsable de tus datos personales.

Los usamos para agendar y recordarte tus citas, cobrarte, enviarte tu comprobante y llevar tu historial de servicios. Con tu permiso, también para mandarte promociones; puedes negarte en cualquier momento.

Para guardar tus datos usamos la plataforma Zurex One, que los trata solo por nuestra cuenta, con servidores en México.

No vendemos tus datos. Puedes ejercer tus derechos de acceso, rectificación, cancelación y oposición escribiendo a [correo o WhatsApp del negocio].

Aviso completo: [enlace].