Política de privacidad.

REMI (de aquí en adelante, "REMI") es un sistema de expediente clínico electrónico operado para clínicas y consultorios. Esta política describe cómo manejamos los datos de tres tipos de usuarios: pacientes que usan el portal, personal de clínica (médicos, recepción, administración) y visitantes del sitio público.

Recolectamos solo lo necesario para operar el servicio:

• Pacientes: nombre, documento (DUI, pasaporte o carnet), fecha de nacimiento, sexo, teléfono, correo, dirección y la información clínica que tu clínica registra (consultas, recetas, estudios, vacunas, controles obstétricos, hallazgos odontológicos).
• Personal de clínica: nombre, correo, rol, número de colegiado o licencia profesional (si aplica), especialidad y datos de la clínica donde trabaja.
• Visitantes: datos básicos de navegación (IP, navegador, páginas visitadas) y, si te registras, los datos que envías por formulario.

Usamos cookies estrictamente necesarias para mantener tu sesión iniciada (session cookie de Laravel y CSRF token), para la opción "Recordarme" cuando la marcas en el login, y para recordar tus preferencias (por ejemplo, que ya descartaste un aviso global o un consejo del portal). No usamos cookies para publicidad de terceros ni para perfilamiento cross-sitio.

Los datos se usan para:

• Prestar el servicio (registrar consultas, mostrarte tus citas y recetas, generar PDFs).
• Comunicarnos contigo (códigos de acceso, avisos de facturación, recordatorios de cita).
• Mejorar la plataforma y producir estadísticas agregadas y anonimizadas sobre la práctica clínica (ver la sección "Datos agregados y anonimizados").
• Cumplir obligaciones legales locales y de auditoría.

Seamos claros y honestos: nunca vendemos ni cedemos datos que te identifiquen (tu nombre, documento, contacto o tu expediente individual), y nunca para publicidad dirigida a ti. Si en algún momento compartimos o licenciamos información a terceros, es únicamente en forma de estadísticas agregadas y anonimizadas que no permiten identificarte. El detalle está en la siguiente sección.

REMI genera estadísticas agregadas a partir de la información clínica de toda la red: por ejemplo, los diagnósticos más frecuentes, los patrones de prescripción (qué principios activos se usan más), la demanda de estudios y procedimientos, y cómo se distribuyen por rango de edad y sexo. Estas estadísticas tienen valor para salud pública, investigación, aseguradoras y la industria farmacéutica, y pueden ser usadas o comercializadas por REMI.

Lo hacemos de forma que no se te pueda identificar:

• Solo se producen conteos y promedios: nunca nombres, documentos, teléfonos, direcciones ni expedientes individuales.
• La edad se agrupa en rangos (no la fecha exacta combinada con un diagnóstico).
• Se aplica k-anonimato: los grupos demasiado pequeños se ocultan para que un cruce poco común no permita deducir de quién se trata.
• Para compartir con terceros, la anonimización es irreversible y media un contrato de tratamiento de datos.

En otras palabras: el valor está en el patrón de miles de consultas, no en ninguna persona. Tu registro clínico individual no se vende ni se comparte. Si no deseas que tus datos contribuyan ni siquiera de forma anonimizada a estas estadísticas, escríbenos desde la página de contacto y atenderemos tu solicitud conforme a la ley aplicable.

REMI separa la información en cuatro capas:

• Tu historia compartible (diagnósticos, recetas, estudios, constancias, vacunas, controles obstétricos, plan de alimentación, indicaciones y tareas de tu proceso terapéutico) la ves tú en el portal y la ven los profesionales de las clínicas a las que les hayas dado acceso.
• Notas privadas del profesional (impresiones clínicas, observaciones internas) no salen del expediente. Tú no las ves, y otra clínica tampoco.
• Notas de proceso de psicoterapia · la capa más restringida de REMI. Cuando tu psicólogo escribe una nota de proceso, solo él puede leerla: no la ve el dueño de la clínica, ni el administrador, ni recepción, ni otro profesional del equipo, ni nuestro personal técnico. Se guarda cifrada, no viaja en PDF, ni al portal, ni en referencias, ni en la exportación de tu historia, ni en la API, y cada vez que su autor la abre queda registrado quién, cuándo y desde dónde. Es el estándar internacional de las notas de psicoterapia y en REMI está impuesto por el sistema, no por una política de uso.
• Datos de operación (logs, métricas técnicas, auditoría) los usa REMI para mantener el servicio y nunca se asocian con tu identidad clínica de forma pública.

Si vas a varias clínicas que usan REMI, tú decides qué clínica recibe qué nivel de tu historia compartible. Cada autorización es revocable desde tu portal en cualquier momento. Sin tu autorización, una clínica solo ve los datos que ella misma generó.

Tu cuenta del portal puede gestionar el expediente de personas a tu cargo (hijos menores, pareja, adulto mayor que tutelas) mediante la función de núcleo familiar. Para activarla:

• Si la persona es mayor de edad, debe aceptar tu invitación desde su propio portal — esa autorización es revocable por ella en cualquier momento.
• Si es menor de edad o legalmente representado por ti, la clínica verifica la relación (acta de nacimiento o documento equivalente) antes de habilitar el acceso.

Cuando viertes el "perfil activo" a un familiar, lo dejamos explícito en pantalla. Nunca verás el expediente de otra persona sin esa autorización y sin la indicación visual.

En el portal del paciente mostramos, en ubicaciones bien delimitadas y siempre al final del contenido clínico, piezas publicitarias de aliados del sector salud (por ejemplo: farmacias, laboratorios, marcas de suplementos prenatales). Estas piezas se identifican siempre con la etiqueta "Patrocinado". Nunca aparecen dentro de una receta, un control prenatal, un estudio ni en medio de información clínica.

Métricas que registramos. Contamos impresiones agregadas (cuántas veces se mostró la pieza) y clicks (cuántas veces alguien la abrió). El registro de un click incluye un identificador anónimo de evento, el slot donde se mostró, la dirección IP y el navegador. Si en ese momento has iniciado sesión, también guardamos tu identificador interno de paciente para auditoría. Esa identificación nunca se envía al aliado.

Datos que no se comparten con los aliados. No les damos tu nombre, documento, teléfono, correo, expediente, diagnósticos, recetas ni cualquier otro dato personal o clínico. El aliado solo sabe cuántas personas hicieron click en su pieza, no quiénes.

El staff no recibe publicidad. Los portales del personal de clínica y el EHR están libres de piezas publicitarias.

Si una pieza usa código de un network externo (por ejemplo, Google AdSense), ese código se ejecuta dentro de un iframe sandbox aislado del portal y queda sujeto a las políticas del propio network. En cualquier caso, no compartimos con esos networks tu identidad ni tu historia clínica.

Si tu clínica activa el envío de recordatorios de cita por WhatsApp, REMI usa un proveedor (WasenderAPI) que opera una sesión de WhatsApp por cada clínica para enviar los mensajes. En el mensaje viajan únicamente: tu nombre de pila, el médico, la fecha y la hora de la cita.

El módulo es opcional y la clínica lo desactiva con un toque. Tú puedes pedir a tu clínica que no te envíe recordatorios por WhatsApp y usar solamente correo.

Si tu clínica o tu médico activan el módulo opcional de factura electrónica, al emitirte una factura legal ciertos datos tuyos se transmiten al Ministerio de Hacienda de El Salvador, porque así lo exige la ley tributaria: tu nombre, tipo y número de documento (si lo proporcionaste), correo y teléfono, junto con el detalle de los servicios facturados y sus montos.

Puntos importantes:

• La base de esta transmisión es la obligación legal del emisor (la clínica o el médico), no un fin comercial de REMI.
• No viaja información clínica: ni diagnósticos, ni recetas, ni tu expediente — solo los datos de facturación listados arriba.
• El médico revisa y confirma tus datos en pantalla antes de emitir la factura. Si detectas un error en una factura emitida, pide a tu clínica la corrección por los mecanismos legales (nota de crédito o invalidación).
• El Ministerio de Hacienda actúa como autoridad pública receptora, bajo su propia normativa — no es un proveedor de REMI.
• Recibirás el PDF de tu factura por correo si el emisor así lo decide, y puedes verificar el documento en el portal público de Hacienda con el código que aparece en el PDF.

Si tu médico usa la función de consentimiento informado u otro documento firmable, cuando lo firmas electrónicamente REMI guarda, para que el documento tenga valor de prueba y proteja a ambas partes: tu nombre y documento tal como los declaras al firmar, tu firma (el trazo que dibujas), el método de verificación de tu identidad (por ejemplo, el código que te enviamos a tu correo o WhatsApp, guardado de forma enmascarada), la fecha y hora, la dirección IP y el dispositivo desde el que firmaste, y una huella digital (SHA-256) del texto exacto que firmaste. Conservamos el PDF firmado en almacenamiento privado.

• Esta evidencia existe para acreditar que firmaste ese texto, en ese momento — no se usa para publicidad ni se comparte con terceros.
• El enlace para firmar es personal, caduca y deja de funcionar una vez firmas.
• Recibes una copia del documento firmado, y puedes revocarlo desde tu enlace antes del procedimiento; la revocación también queda registrada.
• El contenido del documento lo redacta y es responsabilidad del médico y la clínica; REMI solo lo registra y lo custodia.

Cuando tu médico te envía un documento (receta, orden de estudios, constancia, referencia o boleta) por correo o WhatsApp, o cuando lo descargas desde el portal, recibes una copia digital: lleva una marca de agua, no incluye espacio en blanco para firmar y trae al pie un folio y un código QR.

• El enlace de descarga que llega por correo o WhatsApp caduca a las 48 horas y pide la fecha de nacimiento del paciente.
• El folio es un identificador aleatorio del documento. No es un correlativo: no revela cuántos documentos emite la clínica ni permite deducir los de otras personas.
• El QR abre nuestro verificador público, que sirve para que un tercero (una farmacia, un laboratorio, un empleador) compruebe que el documento salió realmente de la clínica.

Qué muestra el verificador y qué no. Con un folio válido sólo se ve el tipo de documento, la fecha de emisión, el médico que lo firma, la clínica y las iniciales del paciente. Nunca se muestra el nombre completo, el documento de identidad, la fecha de nacimiento, el teléfono, el correo, ni ningún contenido clínico (diagnósticos, medicamentos o estudios). No existe forma de buscar por nombre ni de listar documentos: la única entrada es un folio completo, y los intentos están limitados por dirección IP.

Si la clínica anula o corrige un documento, el verificador deja de darlo por vigente.

Implementamos las siguientes medidas técnicas y organizativas:

• Datos cifrados en tránsito (HTTPS/TLS) y en reposo en la base de datos.
• Aislamiento por clínica: cada tenant tiene su propio espacio de datos lógico.
• Roles y permisos: cada persona del equipo de la clínica ve solo lo que su rol permite.
• Auditoría: cada acceso y modificación a datos clínicos queda registrado.
• Login del paciente por código de un solo uso al correo (sin contraseñas).

Ningún sistema es 100 % inmune. Si detectamos un incidente que afecte tus datos, te lo notificamos sin demora indebida.

Para resolver un problema que no se reproduce de otra forma, una persona autorizada de REMI puede entrar a tu cuenta y verla como la ves tú, sin conocer ni cambiar tu contraseña. Es la excepción, no la norma, y va con estas reglas, todas impuestas por el sistema:

• Solo puede hacerlo el equipo con rol de superadministración, y nunca sobre otra cuenta de superadministración.
• Hay que escribir el motivo antes de entrar. El motivo, la fecha, la dirección IP y el navegador quedan registrados.
• La sesión dura 15 minutos y se cierra sola al vencer.
• Desde esa sesión no se puede tocar dinero (suscripción, extras, facturación, métodos de pago), ni contraseñas, ni eliminar personas o pacientes, ni abrir el panel de administración.
• Recibes un aviso dentro de la aplicación con el motivo que se escribió, para que sepas que fue nuestro equipo y no un intruso.
• Las notas de proceso de psicoterapia siguen siendo ilegibles también desde esa sesión.

Si ves un aviso de este tipo y no lo esperabas, escríbenos desde la página de contacto.

Como titular de tus datos personales, tienes derecho a:

• Acceder a la información que tenemos sobre ti.
• Rectificar datos inexactos o incompletos.
• Exportar tu historia clínica en formato estándar (PDF + FHIR R4).
• Revocar autorizaciones a clínicas en cualquier momento.
• Cerrar tu cuenta del portal — los datos clínicos no se eliminan automáticamente; los puedes pedir.

Los datos clínicos se conservan mientras la clínica titular del expediente los necesite para cumplir con sus obligaciones de archivo médico. Si la clínica cancela su suscripción, los datos pasan a modo lectura y se conservan hasta que la clínica los exporte o solicite eliminación. Los datos de cuenta del paciente se conservan mientras la cuenta esté activa.

Para operar la plataforma trabajamos con proveedores que pueden procesar datos en nuestro nombre, bajo acuerdos de confidencialidad y procesamiento de datos:

• Hosting · DigitalOcean (App Platform y base de datos administrada).
• Envío de correo · para los códigos de acceso y notificaciones.
• Mensajería WhatsApp · WasenderAPI, para los recordatorios de cita cuando tu clínica activa el canal. Aplica solo si la clínica lo habilita.
• Procesamiento de pagos SaaS · Wompi (Banco Agrícola) para el cobro a las clínicas.
• Videollamadas (telemedicina) · Google (Google Calendar / Google Meet) cuando el médico conecta su cuenta, y Daily.co como respaldo de sala de video.

La lista detallada está disponible solicitándola desde la página de contacto.

El módulo opcional de telemedicina permite atender citas por videollamada. Cuando un médico decide ofrecerlo, conecta su propia cuenta de Google mediante el inicio de sesión seguro de Google (OAuth). Esto es relevante solo para el médico que lo activa; los pacientes no conectan ninguna cuenta de Google.

Qué datos de Google usamos y para qué. Con el permiso https://www.googleapis.com/auth/calendar.events creamos, en el calendario del propio médico, el evento de la cita con su enlace de Google Meet. Solo creamos y administramos los eventos de las videoconsultas agendadas en REMI; no leemos, copiamos ni almacenamos el resto de su calendario, contactos ni correos.

Qué almacenamos. Guardamos de forma cifrada los tokens de autorización (token de acceso y de actualización) necesarios para crear esos eventos en nombre del médico, su correo de Google asociado y el identificador del evento/enlace de cada cita. Nada de esto se usa con fines publicitarios.

No compartimos ni vendemos los datos obtenidos de las APIs de Google, y no los usamos para entrenar modelos de inteligencia artificial.

Uso limitado (Limited Use). El uso que REMI hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.

Cómo revocar el acceso. El médico puede desconectar su cuenta en cualquier momento desde Telemedicina → Desconectar dentro de REMI, o revocando el acceso desde la configuración de su cuenta de Google. Al desconectar, eliminamos los tokens almacenados.

Si actualizamos esta política, publicamos la nueva versión aquí y, si el cambio es material, te avisamos por correo. La fecha de vigencia que aparece arriba siempre refleja la versión actual.