Política de privacidad.

REMI (de aquí en adelante, "REMI") es un sistema de expediente clínico electrónico operado para clínicas y consultorios. Esta política describe cómo manejamos los datos de tres tipos de usuarios: pacientes que usan el portal, personal de clínica (médicos, recepción, administración) y visitantes del sitio público.

La ley salvadoreña reparte dos papeles y conviene saber cuál nos toca:

• Tu clínica es la responsable. Ella decide qué se registra en tu expediente y para qué. Es quien nombra a su Delegado de Protección de Datos y quien atiende tus solicitudes.
• REMI es el encargado. Tratamos los datos por cuenta de la clínica, siguiendo sus instrucciones y el contrato que firmamos con ella. No los usamos para fines propios distintos de los que se describen aquí.

REMI Software Médico es el nombre del servicio. La identificación completa y el domicilio de quien lo opera constan en el contrato que firma cada clínica, y te los damos a ti si los pides al correo de abajo — no los publicamos aquí porque identifican a una persona.

Contacto en materia de datos: [email protected]. Escribe ahí para cualquier cosa sobre tus datos personales, y también si tu clínica no te responde.

Con qué fundamento tratamos tu información clínica. Los artículos 28 letra b, 37 y 39 de la Ley para la Protección de Datos Personales permiten tratar datos de salud sin consentimiento previo cuando son necesarios para el diagnóstico, la asistencia sanitaria o la gestión de servicios de salud, y los trata un profesional sujeto al secreto profesional. Tu expediente existe sobre esa base legal, no sobre una casilla que marcaste. Los usos que sí requieren tu autorización están señalados uno por uno en la sección de finalidades.

Recolectamos solo lo necesario para operar el servicio:

• Pacientes: nombre, documento (DUI, pasaporte o carnet), fecha de nacimiento, sexo, teléfono, correo, dirección y la información clínica que tu clínica registra (consultas, recetas, estudios, vacunas, controles obstétricos, hallazgos odontológicos).
• Personal de clínica: nombre, correo, rol, número de colegiado o licencia profesional (si aplica), especialidad y datos de la clínica donde trabaja.
• Visitantes: datos básicos de navegación (IP, navegador, páginas visitadas) y, si te registras, los datos que envías por formulario.

Cuáles de estos datos son sensibles. La ley llama datos personales sensibles a los que tocan la esfera más íntima de una persona, y nombra expresamente la salud física y mental, la información biométrica y la genética. Por lo tanto todo tu expediente clínico es dato sensible: diagnósticos, medicamentos, estudios, fotografías clínicas, notas de psicoterapia, medidas corporales y antecedentes familiares. Los tratamos con la protección reforzada que eso implica, y el resto de esta política dice exactamente cómo.

Usamos cookies estrictamente necesarias para mantener tu sesión iniciada (session cookie de Laravel y CSRF token), para la opción "Recordarme" cuando la marcas en el login, y para recordar tus preferencias (por ejemplo, que ya descartaste un aviso global o un consejo del portal). No usamos cookies para publicidad de terceros ni para perfilamiento cross-sitio.

Los datos se usan para:

• Prestar el servicio (registrar consultas, mostrarte tus citas y recetas, generar PDFs).
• Comunicarnos contigo (códigos de acceso, avisos de facturación, recordatorios de cita).
• Mejorar la plataforma y producir estadísticas agregadas y anonimizadas sobre la práctica clínica (ver la sección "Datos agregados y anonimizados").
• Cumplir obligaciones legales locales y de auditoría.

Qué necesita tu autorización y qué no. No la necesitan las finalidades que sostienen la atención misma: llevar tu expediente, emitirte una receta, agendar tu cita, guardar tus estudios. Tampoco el alojamiento de tu información, por la razón que explica la sección «Dónde se alojan tus datos». Sí la necesitan, y las autorizas por separado, estas tres: abrir tu cuenta del portal, recibir recordatorios por WhatsApp y que tus datos cuenten en las estadísticas agregadas. Puedes retirar cualquiera de las tres cuando quieras, sin perder la atención médica.

Seamos claros y honestos: nunca vendemos ni cedemos datos que te identifiquen (tu nombre, documento, contacto o tu expediente individual), y nunca para publicidad dirigida a ti. Si en algún momento compartimos o licenciamos información a terceros, es únicamente en forma de estadísticas agregadas y anonimizadas que no permiten identificarte. El detalle está en la siguiente sección.

REMI genera estadísticas agregadas a partir de la información clínica de toda la red: por ejemplo, los diagnósticos más frecuentes, los patrones de prescripción (qué principios activos se usan más), la demanda de estudios y procedimientos, y cómo se distribuyen por rango de edad y sexo. Estas estadísticas tienen valor para salud pública, investigación, aseguradoras y la industria farmacéutica, y pueden ser usadas o comercializadas por REMI.

Lo hacemos de forma que no se te pueda identificar:

• Solo se producen conteos y promedios: nunca nombres, documentos, teléfonos, direcciones ni expedientes individuales.
• La edad se agrupa en rangos (no la fecha exacta combinada con un diagnóstico).
• Se aplica k-anonimato: los grupos demasiado pequeños se ocultan para que un cruce poco común no permita deducir de quién se trata.
• Para compartir con terceros, la anonimización es irreversible y media un contrato de tratamiento de datos.

En otras palabras: el valor está en el patrón de miles de consultas, no en ninguna persona. Tu registro clínico individual no se vende ni se comparte. Si no deseas que tus datos contribuyan ni siquiera de forma anonimizada a estas estadísticas, escríbenos desde la página de contacto y atenderemos tu solicitud conforme a la ley aplicable.

REMI separa la información en cuatro capas:

• Tu historia compartible (diagnósticos, recetas, estudios, constancias, vacunas, controles obstétricos, plan de alimentación, indicaciones y tareas de tu proceso terapéutico) la ves tú en el portal y la ven los profesionales de las clínicas a las que les hayas dado acceso.
• Notas privadas del profesional (impresiones clínicas, observaciones internas) no salen del expediente. Tú no las ves, y otra clínica tampoco.
• Notas de proceso de psicoterapia · la capa más restringida de REMI. Cuando tu psicólogo escribe una nota de proceso, solo él puede leerla: no la ve el dueño de la clínica, ni el administrador, ni recepción, ni otro profesional del equipo, ni nuestro personal técnico. Se guarda cifrada, no viaja en PDF, ni al portal, ni en referencias, ni en la exportación de tu historia, ni en la API, y cada vez que su autor la abre queda registrado quién, cuándo y desde dónde. Es el estándar internacional de las notas de psicoterapia y en REMI está impuesto por el sistema, no por una política de uso.
• Datos de operación (logs, métricas técnicas, auditoría) los usa REMI para mantener el servicio y nunca se asocian con tu identidad clínica de forma pública.

Si vas a varias clínicas que usan REMI, tú decides qué clínica recibe qué nivel de tu historia compartible. Cada autorización es revocable desde tu portal en cualquier momento. Sin tu autorización, una clínica solo ve los datos que ella misma generó.

Tu cuenta del portal puede gestionar el expediente de personas a tu cargo (hijos menores, pareja, adulto mayor que tutelas) mediante la función de núcleo familiar. Para activarla:

• Si la persona es mayor de edad, debe aceptar tu invitación desde su propio portal — esa autorización es revocable por ella en cualquier momento.
• Si es menor de edad o legalmente representado por ti, la clínica verifica la relación (acta de nacimiento o documento equivalente) antes de habilitar el acceso.

Cuando viertes el "perfil activo" a un familiar, lo dejamos explícito en pantalla. Nunca verás el expediente de otra persona sin esa autorización y sin la indicación visual.

En el portal del paciente mostramos, en ubicaciones bien delimitadas y siempre al final del contenido clínico, piezas publicitarias de aliados del sector salud (por ejemplo: farmacias, laboratorios, marcas de suplementos prenatales). Estas piezas se identifican siempre con la etiqueta "Patrocinado". Nunca aparecen dentro de una receta, un control prenatal, un estudio ni en medio de información clínica.

Métricas que registramos. Contamos impresiones agregadas (cuántas veces se mostró la pieza) y clicks (cuántas veces alguien la abrió). El registro de un click incluye un identificador anónimo de evento, el slot donde se mostró, la dirección IP y el navegador. Si en ese momento has iniciado sesión, también guardamos tu identificador interno de paciente para auditoría. Esa identificación nunca se envía al aliado.

Datos que no se comparten con los aliados. No les damos tu nombre, documento, teléfono, correo, expediente, diagnósticos, recetas ni cualquier otro dato personal o clínico. El aliado solo sabe cuántas personas hicieron click en su pieza, no quiénes.

El staff no recibe publicidad. Los portales del personal de clínica y el EHR están libres de piezas publicitarias.

Si una pieza usa código de un network externo (por ejemplo, Google AdSense), ese código se ejecuta dentro de un iframe sandbox aislado del portal y queda sujeto a las políticas del propio network. En cualquier caso, no compartimos con esos networks tu identidad ni tu historia clínica.

Si tu clínica activa el envío de recordatorios de cita por WhatsApp, REMI usa un proveedor (WasenderAPI) que opera una sesión de WhatsApp por cada clínica para enviar los mensajes. En el mensaje viajan únicamente: tu nombre de pila, el médico, la fecha y la hora de la cita.

El módulo es opcional y la clínica lo desactiva con un toque. Tú puedes pedir a tu clínica que no te envíe recordatorios por WhatsApp y usar solamente correo.

Si tu clínica o tu médico activan el módulo opcional de factura electrónica, al emitirte una factura legal ciertos datos tuyos se transmiten al Ministerio de Hacienda de El Salvador, porque así lo exige la ley tributaria: tu nombre, tipo y número de documento (si lo proporcionaste), correo y teléfono, junto con el detalle de los servicios facturados y sus montos.

Puntos importantes:

• La base de esta transmisión es la obligación legal del emisor (la clínica o el médico), no un fin comercial de REMI.
• No viaja información clínica: ni diagnósticos, ni recetas, ni tu expediente — solo los datos de facturación listados arriba.
• El médico revisa y confirma tus datos en pantalla antes de emitir la factura. Si detectas un error en una factura emitida, pide a tu clínica la corrección por los mecanismos legales (nota de crédito o invalidación).
• El Ministerio de Hacienda actúa como autoridad pública receptora, bajo su propia normativa — no es un proveedor de REMI.
• Recibirás el PDF de tu factura por correo si el emisor así lo decide, y puedes verificar el documento en el portal público de Hacienda con el código que aparece en el PDF.

Si tu médico usa la función de consentimiento informado u otro documento firmable, cuando lo firmas electrónicamente REMI guarda, para que el documento tenga valor de prueba y proteja a ambas partes: tu nombre y documento tal como los declaras al firmar, tu firma (el trazo que dibujas), el método de verificación de tu identidad (por ejemplo, el código que te enviamos a tu correo o WhatsApp, guardado de forma enmascarada), la fecha y hora, la dirección IP y el dispositivo desde el que firmaste, y una huella digital (SHA-256) del texto exacto que firmaste. Conservamos el PDF firmado en almacenamiento privado.

• Esta evidencia existe para acreditar que firmaste ese texto, en ese momento — no se usa para publicidad ni se comparte con terceros.
• El enlace para firmar es personal, caduca y deja de funcionar una vez firmas.
• Recibes una copia del documento firmado, y puedes revocarlo desde tu enlace antes del procedimiento; la revocación también queda registrada.
• El contenido del documento lo redacta y es responsabilidad del médico y la clínica; REMI solo lo registra y lo custodia.

Cuando tu médico te envía un documento (receta, orden de estudios, constancia, referencia o boleta) por correo o WhatsApp, o cuando lo descargas desde el portal, recibes una copia digital: lleva una marca de agua, no incluye espacio en blanco para firmar y trae al pie un folio y un código QR.

• El enlace de descarga que llega por correo o WhatsApp caduca a las 48 horas y pide la fecha de nacimiento del paciente.
• El folio es un identificador aleatorio del documento. No es un correlativo: no revela cuántos documentos emite la clínica ni permite deducir los de otras personas.
• El QR abre nuestro verificador público, que sirve para que un tercero (una farmacia, un laboratorio, un empleador) compruebe que el documento salió realmente de la clínica.

Qué muestra el verificador y qué no. Con un folio válido sólo se ve el tipo de documento, la fecha de emisión, el médico que lo firma, la clínica y las iniciales del paciente. Nunca se muestra el nombre completo, el documento de identidad, la fecha de nacimiento, el teléfono, el correo, ni ningún contenido clínico (diagnósticos, medicamentos o estudios). No existe forma de buscar por nombre ni de listar documentos: la única entrada es un folio completo, y los intentos están limitados por dirección IP.

Si la clínica anula o corrige un documento, el verificador deja de darlo por vigente.

Implementamos las siguientes medidas técnicas y organizativas:

• Cifrado en tránsito con HTTPS/TLS en todo el tráfico.
• Cifrado en reposo: los discos de la base de datos y del almacenamiento de archivos están cifrados por el proveedor, y los datos más delicados —notas de proceso de psicoterapia, claves de acceso a servicios externos, secretos de tu app autenticadora— van además cifrados campo por campo, de modo que ni con acceso directo a la base se leen.
• Aislamiento por clínica: cada tenant tiene su propio espacio de datos lógico.
• Roles y permisos: cada persona del equipo de la clínica ve solo lo que su rol permite.
• Auditoría: cada acceso y modificación a datos clínicos queda registrado.
• Login del paciente por código de un solo uso al correo (sin contraseñas).

Ningún sistema es 100 % inmune. Si detectamos un incidente que afecte tus datos, te lo notificamos sin demora indebida.

Para resolver un problema que no se reproduce de otra forma, una persona autorizada de REMI puede entrar a tu cuenta y verla como la ves tú, sin conocer ni cambiar tu contraseña. Es la excepción, no la norma, y va con estas reglas, todas impuestas por el sistema:

• Solo puede hacerlo el equipo con rol de superadministración, y nunca sobre otra cuenta de superadministración.
• Hay que escribir el motivo antes de entrar. El motivo, la fecha, la dirección IP y el navegador quedan registrados.
• La sesión dura 15 minutos y se cierra sola al vencer.
• Desde esa sesión no se puede tocar dinero (suscripción, extras, facturación, métodos de pago), ni contraseñas, ni eliminar personas o pacientes, ni abrir el panel de administración.
• Recibes un aviso dentro de la aplicación con el motivo que se escribió, para que sepas que fue nuestro equipo y no un intruso.
• Las notas de proceso de psicoterapia siguen siendo ilegibles también desde esa sesión.

Si ves un aviso de este tipo y no lo esperabas, escríbenos desde la página de contacto.

La ley salvadoreña te reconoce siete derechos sobre tus datos, conocidos como ARCO-POL. Ejercerlos es gratis y puedes hacerlo desde tu portal o escribiendo a [email protected].

• Acceso · saber qué tenemos sobre ti, de dónde salió y quién lo ha consultado. En tu portal, «Mis datos» te muestra la bitácora de accesos a tu expediente sin que tengas que pedirla.
• Rectificación · corregir un dato inexacto o incompleto. Mientras se revisa, el dato queda bloqueado y marcado como en revisión.
• Cancelación · pedir que se eliminen tus datos. Aquí hay un límite que no depende de nosotros: el expediente clínico tiene un deber legal de conservación, y la ley excluye la cancelación cuando contraviene una obligación legal. Lo que sí procede es el bloqueo previsto en el artículo 11: tu identidad se retira de las columnas vivas y el registro clínico queda inaccesible, conservado solo para la autoridad judicial. Lo explicamos completo en la sección de retención.
• Oposición · pedir que dejemos de tratar tus datos para un fin determinado, como las estadísticas agregadas o los recordatorios por WhatsApp.
• Portabilidad · recibir una copia de tus datos en un formato estructurado e interoperable. Te la damos en JSON y en FHIR R4, el estándar internacional de historia clínica, para que otro sistema pueda leerla sin intervención nuestra.
• Olvido · pedir que tus datos se retiren de lo que esté publicado en internet, cuando ya no exista razón para que siga ahí.
• Limitación · pedir que tus datos se conserven pero se deje de usarlos, mientras se resuelve una impugnación o un reclamo.

Plazos. Acusamos recibo en 5 días hábiles y resolvemos en 20 días hábiles, prorrogables otros 20 por causa justificada que te notificamos. Si retiras una autorización, la ejecutamos en 5 días hábiles. Toda negativa va por escrito y motivada.

Formularios oficiales. Si prefieres usar los formularios que publica la Agencia de Ciberseguridad del Estado (ACE) en su sitio, los aceptamos tal cual. No estás obligado a usar los nuestros.

Si no estás conforme con cómo se resolvió tu solicitud, puedes presentar tu reclamo ante la Agencia de Ciberseguridad del Estado (ACE) (https://ace.gob.sv).

Los datos clínicos se conservan mientras la clínica titular del expediente los necesite para cumplir con sus obligaciones de archivo médico. El Código de Salud y la normativa del expediente clínico imponen un deber de conservación, y la ética profesional sanciona la destrucción de un expediente: no es algo que la clínica ni nosotros podamos decidir a criterio propio. Como referencia, conservamos el expediente diez años desde el último contacto asistencial, y en el caso de menores, diez años desde su mayoría de edad.

Nada se borra: se retira. Cuando un expediente debe salir de circulación, lo que se elimina es la identidad que lo vincula a una persona — nombre, documento, contacto, fotografía salen de las columnas vivas y entran a una bóveda cifrada. El registro clínico sigue existiendo para efectos de auditoría y defensa legal, pero deja de estar asociado a ti y nadie en la clínica lo vuelve a ver. Abrir esa bóveda requiere orden judicial, doble control interno y queda registrado.

Si la clínica cancela su suscripción, los datos pasan a modo lectura y se conservan hasta que ella los exporte. Los datos de tu cuenta del portal se conservan mientras la cuenta esté activa.

La aplicación y la base de datos de REMI viven en servidores de DigitalOcean en Nueva York, Estados Unidos (región nyc1). Ese es el único lugar donde se guarda tu información: de tu clínica va directo ahí, y no se replica ni se almacena en ningún otro país.

Ese es el único país donde vive tu información. Quien administra la plataforma lo hace desde otro país, pero eso no mueve tus datos: el domicilio de quien administra y el lugar donde se guarda la información son dos cosas distintas, y la segunda es la que importa para tu privacidad.

Qué garantías hay. Estados Unidos no tiene una ley general de protección de datos equivalente a la salvadoreña. Cuando el país de destino no ofrece ese nivel, el artículo 44 de la ley exige que quien envía los datos garantice, por contrato y por medidas técnicas, que el tratamiento se hace conforme a la ley salvadoreña. Es la vía que seguimos: contrato de tratamiento de datos con tu clínica, contrato con el proveedor de los servidores, cifrado en tránsito y en reposo, y las medidas que detalla la sección de seguridad.

Por qué no te pedimos que firmes nada. La ley llama «transferencia» a entregar tus datos a alguien distinto de tu clínica y de quien trata los datos por cuenta de ella. REMI es esto segundo: el encargado del tratamiento, no un tercero. Por eso alojar tu expediente aquí no es una transferencia que requiera tu autorización — lo que la ley exige es que te lo digamos con claridad, que es lo que hace este aviso.

Sí te pedimos autorización expresa, y la puedes retirar, para las cosas que no son la atención en sí: abrir tu cuenta del portal, recibir recordatorios por WhatsApp, y que tus datos cuenten en las estadísticas agregadas.

Transparencia con la autoridad. La ley pide además que este flujo de datos hacia el exterior se ponga en conocimiento de la Agencia de Ciberseguridad del Estado (ACE). Le damos a cada clínica el aviso redactado para que lo presente, y podemos acompañarla en el trámite.

Para operar la plataforma trabajamos con los proveedores de abajo. Cada uno trata datos por nuestra cuenta, bajo contrato y deber de confidencialidad. Los marcados como solo con el módulo entran únicamente si tu clínica activa esa función.

Si agregamos o cambiamos un proveedor, actualizamos esta tabla y subimos la versión de esta política.

El módulo opcional de telemedicina permite atender citas por videollamada. Cuando un médico decide ofrecerlo, conecta su propia cuenta de Google mediante el inicio de sesión seguro de Google (OAuth). Esto es relevante solo para el médico que lo activa; los pacientes no conectan ninguna cuenta de Google.

Qué datos de Google usamos y para qué. Con el permiso https://www.googleapis.com/auth/calendar.events creamos, en el calendario del propio médico, el evento de la cita con su enlace de Google Meet. Solo creamos y administramos los eventos de las videoconsultas agendadas en REMI; no leemos, copiamos ni almacenamos el resto de su calendario, contactos ni correos.

Qué almacenamos. Guardamos de forma cifrada los tokens de autorización (token de acceso y de actualización) necesarios para crear esos eventos en nombre del médico, su correo de Google asociado y el identificador del evento/enlace de cada cita. Nada de esto se usa con fines publicitarios.

No compartimos ni vendemos los datos obtenidos de las APIs de Google, y no los usamos para entrenar modelos de inteligencia artificial.

Uso limitado (Limited Use). El uso que REMI hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.

Cómo revocar el acceso. El médico puede desconectar su cuenta en cualquier momento desde Telemedicina → Desconectar dentro de REMI, o revocando el acceso desde la configuración de su cuenta de Google. Al desconectar, eliminamos los tokens almacenados.

Si actualizamos esta política, publicamos la nueva versión aquí y, si el cambio es material, te avisamos por correo. La fecha de vigencia que aparece arriba siempre refleja la versión actual.