Política de privacidad

Versión 2.2 · publicada el 22 de octubre de 2026

Esta política explica qué información se guarda, para qué y por cuánto tiempo. Las referencias a leyes argentinas corresponden a ese marco; si la atención se rige por otro país, también deben considerarse sus normas aplicables. Las referencias generales por país están en el apartado 10 de los términos. Esta edición no reemplaza automáticamente las aceptaciones históricas.

Versiones anteriores y cambios.

Quién es quién con los datos

En Mi Consultorio conviven tres papeles distintos y conviene no mezclarlos:

• El paciente es titular de sus datos de salud. La historia clínica le pertenece: puede pedir acceso y una copia, y pedir que se rectifique lo que esté mal (Ley 26.529, artículos 14 y 19).
• La profesional que lo asiste es la responsable del tratamiento de esos datos y la custodia de su historia clínica: decide qué se registra, para qué, y responde por el secreto profesional (Ley 25.326, artículo 2; Ley 26.529, artículo 18).
• Mi Consultorio es la encargada del tratamiento: presta el servicio técnico por cuenta de esa profesional y sólo trata los datos de sus pacientes siguiendo sus instrucciones (Ley 25.326, artículo 25). No los usa para fines propios.

Respecto de los datos de la persona usuaria (su nombre, su correo, su suscripción), la responsable del tratamiento es la Lic. María Belén Flood, M.P. 14.845, Córdoba, República Argentina. Esta distinción es la misma que establece el artículo 11 de los términos.

Qué información se guarda

De la persona usuaria: nombre, correo electrónico, correo de respaldo, matrícula si decide cargarla, y los datos de la suscripción que administra Mercado Pago o PayPal.

De sus pacientes: lo que la persona usuaria decide registrar, es decir datos de contacto, turnos, cobros, historia clínica y notas de sesión. El paciente es titular de esos datos; la profesional que los registra es su custodia y responde por ellos. Mi Consultorio sólo los trata para prestarle el servicio a esa profesional, nunca con fines propios.

Cuentas de pacientes

Un paciente puede crear, si quiere, su propia cuenta con nombre, correo, celular opcional y contraseña. Sirve para reservar sin volver a escribir sus datos y para ver sus próximos turnos. Desde esa cuenta no se accede a notas de sesión, historia clínica ni a ningún otro dato que registre la profesional. La cuenta se asocia a la ficha que tiene su profesional cuando el correo coincide. El paciente puede borrarla en cualquier momento desde «Mi cuenta».

Desde esa cuenta el paciente también puede firmar el consentimiento informado y completar los cuestionarios que su profesional le pida. La firma (texto, nombre, DNI, fecha y cuenta) se guarda legible para que el paciente pueda volver a descargarla y recibe una copia por mail. Las respuestas a los cuestionarios se cifran en el dispositivo del paciente con una llave de su profesional: el servidor no puede leerlas y las borra cuando la profesional las guarda en la historia clínica. Si una respuesta indica riesgo (ideas de muerte o de lastimarse), se le avisa a la profesional por mail, sin incluir las respuestas. Ese aviso no es un servicio de emergencia: es un correo que puede demorar, no llegar o no ser leído a tiempo, y no reemplaza una consulta de guardia ni una línea de crisis. Las escalas orientan la evaluación; no diagnostican ni detectan riesgo por sí solas, y su interpretación es siempre profesional. El paciente puede elegir no recibir recordatorios por mail y pedir copia de su historia clínica.

Verificación de matrícula y buscador de terapeutas

Para verificar la matrícula se solicita el número de matrícula, la jurisdicción y el documento. En Argentina se consulta el registro público nacional de profesionales de la salud (REFEPS, Ministerio de Salud de la Nación); si no alcanza, la verificación se hace a mano contra el registro oficial del país. El buscador de terapeutas muestra sólo a quienes lo activan y tienen la matrícula verificada, y sólo lo que cada profesional elige publicar: nombre, matrícula, modalidad, zona, enfoques y el enlace para reservar. Nunca su correo, teléfono ni la agenda de sus pacientes.

Medios de pago

Los datos de la tarjeta no se reciben ni se almacenan: los procesa íntegramente Mercado Pago o, fuera de la Argentina, PayPal. Del pago sólo se conserva el identificador de la suscripción y su estado.

Cómo se protege

La información se transmite y se almacena protegida, con acceso restringido a la cuenta de cada profesional y registro de las modificaciones. La infraestructura está provista por Supabase y Netlify. El envío de correos está a cargo de Brevo, que recibe únicamente la dirección de destino y el texto del mensaje.

Dónde se guarda la información

Los servidores de estos proveedores están fuera de la Argentina, principalmente en Estados Unidos. Al usar el servicio, la información se transfiere a esos servidores, que la almacenan protegida y con acceso restringido en los términos de esta política.

Registro de errores

Si algo falla dentro del sistema, se guarda un aviso técnico para poder corregirlo: el mensaje de error, la pantalla en la que ocurrió, la versión del sistema y el tipo de navegador. Antes de guardarlo se eliminan del mensaje los textos entre comillas, los correos y los números largos, para que no quede ningún dato de pacientes. No se registra quién estaba usando el sistema ni su dirección de internet. Estos avisos se borran a los noventa días.

Asistente con inteligencia artificial (opcional)

Cada profesional puede activar, si lo desea, un asistente que propone borradores de evolución, informes, objetivos y resúmenes, prepara un repaso antes de la sesión, responde consultas sobre su agenda, sus cobros y sus notas de sesión, y lee escalas escaneadas. Viene desactivado y se puede apagar en cualquier momento desde Configuración.

Cuando se usa, el texto necesario para la tarea (por ejemplo, las notas de sesión de un paciente o, en las consultas, las de varios) se envía a Anthropic, proveedor del modelo Claude, con servidores en Estados Unidos. Antes de enviarlo, el propio equipo reemplaza nombres, documentos, teléfonos, correos, domicilios y números de afiliado por marcadores, y los nombres se vuelven a poner recién al recibir la respuesta. En las imágenes, la profesional tapa los datos identificatorios antes de enviarlas.

El reemplazo es automático: reconoce los datos identificatorios habituales, pero puede no reconocer referencias escritas de forma libre, como un apodo, un lugar de trabajo o un hecho muy particular. El contenido clínico de lo enviado (lo que se trabajó en sesión) sí llega al proveedor, sin el nombre del paciente.

Según las condiciones comerciales de Anthropic, ese contenido no se utiliza para entrenar modelos y se conserva por un plazo limitado. Mi Consultorio no guarda ni el pedido ni la respuesta: el borrador queda sólo en la pantalla hasta que la profesional decide qué registrar. Sólo se cuenta la cantidad de usos por día, para aplicar el límite diario.

Lo que devuelve el asistente es un borrador sin valor clínico hasta que la profesional lo revisa. No genera diagnósticos, altas, derivaciones ni alertas de emergencia, y nada se incorpora a la historia clínica sin una decisión explícita. Si se incorpora, pasa a seguir las reglas de conservación de la historia clínica.

Reemplazar nombres reduce el riesgo, pero una historia singular puede identificar igual a una persona: por eso corresponde llamarlo minimización o seudonimización, no anonimización garantizada.

El uso del asistente es opcional y revocable. Se puede no activarlo nunca, o desactivarlo después, sin perder ninguna otra función ni calidad de atención. Quien lo active es responsable de informarlo a sus pacientes —por ejemplo, en su consentimiento informado— y de recabar un consentimiento específico para ese uso, distinto del consentimiento general del tratamiento.

Restablecimiento de la contraseña

Para que sea posible restablecer la contraseña por correo, el sistema conserva una clave de rescate del lado del servidor. Esto implica que quien administra el servicio tiene la capacidad técnica de acceder a los datos de una cuenta. Ese acceso se utiliza exclusivamente para restituir el acceso a su titular, cada pedido queda registrado con fecha y origen, y se envía un aviso al correo de la cuenta y al de respaldo cada vez que ocurre.

Espera de 24 horas. Desde el 5 de octubre de 2026, cuando se pide restablecer la contraseña por correo la clave de rescate no se entrega en el momento: se entrega recién 24 horas después del primer pedido. Apenas se pide, llega un aviso al correo de la cuenta y al de respaldo con un enlace para cancelarlo. Así, si alguien tomara el control de la casilla de correo de la profesional, ella tiene un día para enterarse y frenarlo. Las cuentas con verificación en dos pasos no esperan, porque el código de la app de autenticación ya prueba que es su titular.

Cómo funciona: la clave de rescate es una llave al azar, distinta para cada cuenta, que se genera en el dispositivo de la profesional. Con ella se envuelve la llave que cifra sus datos, y esa envoltura viaja cifrada junto con los datos. La clave de rescate se guarda en una tabla del servidor a la que no acceden las cuentas de usuario: sólo la función de rescate, que la entrega a quien entró con el enlace del correo (y con el código de la verificación en dos pasos, si está activa). Con esa clave y los datos cifrados de la cuenta se pueden descifrar sus notas e historias clínicas. Los pedidos que pasan por la función quedan registrados; un acceso directo a la base con la clave de administración del proyecto no pasa por ese registro.

Quien prefiera que nadie pueda hacerlo puede desactivar el restablecimiento por correo en Configuración → Seguridad: la clave de rescate se borra del servidor y el acceso pasa a depender sólo de su contraseña y de una frase de recuperación de doce palabras que se le muestra en ese momento. Si pierde las dos, los datos no se pueden recuperar.

Cada profesional puede activar la verificación en dos pasos (un código de una app de autenticación). Con ella activa, restablecer la contraseña por correo no alcanza: también se pide el código, y los datos de la cuenta sólo se pueden leer con una sesión que lo haya ingresado.

Con quién se comparte

No se venden, ceden ni comparten datos con terceros que los usen para fines propios. La información cargada en el sistema no se utiliza para publicidad ni para entrenar sistemas de inteligencia artificial. Los únicos terceros que intervienen son los proveedores de infraestructura que hacen funcionar el servicio, en carácter de subencargados y bajo instrucción:

Transferencias internacionales. Varios de esos proveedores están fuera de la Argentina. Aceptar los términos no es, por sí solo, el mecanismo que habilita una transferencia internacional de datos sensibles: el mecanismo aplicable debe verificarse para cada proveedor, destino y jurisdicción, considerando las excepciones y garantías que admita la normativa. La existencia de una política o un contrato publicado por un proveedor no acredita por sí sola que se haya formalizado un instrumento específico para esta cuenta. Podés solicitar a belenflood1@gmail.com el detalle documentado de proveedores, destinos y garantías. Esta política no certifica la formalización de cláusulas que no se hayan comprobado. La AAIP explica los mecanismos para Argentina.

Por cuánto tiempo

Dar de baja la cuenta del portal no equivale a borrar la historia clínica. Son objetos distintos y cada uno tiene su regla:

El procedimiento es: se pide la baja → se comprueba la identidad sin pedir documentación de más → se identifica qué información corresponde a cada categoría → se entrega la exportación → se informa por escrito qué se eliminó, qué se conserva, por qué motivo y hasta cuándo. Quien quiera la eliminación inmediata de lo que sí puede eliminarse puede pedirlo en cualquier momento. Para la parte sujeta a conservación legal, la profesional puede indicar a quién se transfiere la custodia.

Las reservas hechas desde la página pública y los avisos de turno (nombre, correo, teléfono, fecha y hora) se guardan sin el cifrado de la app, porque el servidor los necesita para enviar confirmaciones y recordatorios. Se borran solos a los 180 días de la fecha del turno; lo que la profesional pase a su agenda queda guardado, cifrado, junto con el resto de sus datos.

Los registros de errores de la app no contienen datos de pacientes y se borran a los 90 días.

Copias de seguridad. Además de la base de datos, que el proveedor respalda una vez por día, el sistema guarda: (1) una copia diaria de los archivos adjuntos y de las copias cifradas de cada cuenta en un depósito aparte al que ninguna cuenta accede; si un archivo se borra, su copia se conserva 30 días más y después se elimina; y (2) una copia semanal fuera de Supabase, en el almacenamiento de Netlify, de los registros (cifrados en el dispositivo), el historial de versiones, los perfiles públicos, las suscripciones, las cuentas y vínculos del portal y sus tareas y respuestas, de la que se conservan las últimas 8 semanas. No se incluyen las claves de rescate ni las contraseñas. Los registros clínicos ya cifrados conservan ese cifrado; los datos operativos del portal y los consentimientos no tienen el mismo cifrado de la app y se guardan bajo los controles de acceso del servidor. Las respuestas a cuestionarios se cifran para la profesional antes de enviarse. No debe interpretarse que todo el contenido de una copia externa es ilegible.

Las respuestas del portal que la profesional todavía no importó no se eliminan automáticamente por cumplir 180 días. Su conservación se diferencia de la limpieza de reservas y avisos de turno.

Notas de sesión. Para cumplir con la integridad que exigen las normas de historia clínica, una nota se puede corregir durante 24 horas (cada cambio guarda la versión anterior) y después queda cerrada: lo que se agregue va como adenda fechada. Una nota no se borra: se anula, con fecha y motivo, y se conserva junto con el resto de la historia clínica.

Conteos de uso. Para saber si la app se entiende, se anotan hitos de cada cuenta (por ejemplo, «cargó su primer paciente» o «agendó su primer turno», y a lo sumo un rango de cantidad). Los conteos propios no incluyen nombres, montos ni texto de pacientes. La medición de las páginas públicas mediante herramientas de terceros se describe en el apartado «Cookies y medición pública»; no se afirma que esas herramientas funcionen siempre sin cookies ni identificadores.

Antes de dar de baja la cuenta conviene descargar el respaldo completo y definir la continuidad de custodia conforme al país de atención. El plazo argentino de diez años no se extiende automáticamente a todos los países.

Derechos

La Ley 25.326 reconoce el derecho a acceder, rectificar, actualizar y suprimir los datos personales, con plazos distintos para cada uno:

• Acceso: se responde dentro de los diez días corridos (artículo 14).
• Rectificación, actualización y supresión: dentro de los cinco días hábiles (artículo 16).
• La supresión no procede cuando existe un deber legal de conservación —como el plazo de diez años de la historia clínica— o cuando puede causar perjuicio a derechos de terceros. En ese caso se informa el motivo, hasta cuándo y con qué restricciones de uso queda esa información.

El acceso y la rectificación de los datos de la cuenta están disponibles de manera directa dentro del sistema. Para el resto, escribí a belenflood1@gmail.com.

Si sos paciente: tu historia clínica está bajo la custodia de la profesional que te atiende, no de Mi Consultorio. Pedile a ella la copia: la Ley 26.529 fija 48 horas para entregarla, y de inmediato si hay una emergencia. Mi Consultorio no puede entregarte la historia que lleva otra profesional, pero sí le da las herramientas para exportarla completa.

La Agencia de Acceso a la Información Pública es el organismo de control y ante ella puede presentarse un reclamo.

Incidentes

Se avisa a las personas usuarias alcanzadas sin demora indebida y, como máximo contractual, dentro de las 72 horas de detectado un incidente que afecte información clínica. Los plazos legales más breves prevalecen. El aviso del servicio a la profesional y las comunicaciones a autoridades o pacientes son actuaciones diferentes; se evalúan conforme a la jurisdicción y a la información disponible.

Cookies y medición pública

Las páginas públicas cargan Google Tag Manager para administrar etiquetas de medición. Las etiquetas habilitadas pueden usar cookies o identificadores propios de sus proveedores. Su presencia no debe confundirse con los conteos propios ni con una garantía de medición sin cookies. Google Tag Manager no se carga dentro de la app de gestión clínica ni del portal autenticado del paciente.

La página de inicio usa el píxel de Meta (Facebook e Instagram) para saber cuántas personas que llegan desde un anuncio visitan la página y empiezan la prueba gratis. Meta puede colocar una cookie para eso. Al píxel no se le envía tu nombre, tu correo ni tu matrícula, y nunca se usa dentro del sistema, donde está la información de pacientes. Dentro del sistema sólo se guarda lo necesario para mantener la sesión abierta y recordar las preferencias de visualización.

Contacto

Consultas sobre esta política o sobre el ejercicio de los derechos mencionados: por correo a belenflood1@gmail.com.