Aviso de privacidad

DaleControl (operado por Rafael Papanaklis) ("el Responsable") es responsable del tratamiento de sus datos personales en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento.

Domicilio para asuntos de privacidad: México · contacto: privacidad@dalecontrol.com.

Para prestar los servicios de DaleControl, recabamos los siguientes datos:

• Identificación: nombre, apellidos, fecha de nacimiento, género, CURP (cuando se proporciona), pasaporte (pacientes extranjeros), domicilio, teléfono y correo electrónico.
• Salud: antecedentes médicos personales y heredofamiliares, alergias, padecimientos crónicos, medicamentos, signos vitales, diagnósticos, planes de tratamiento, recetas, estudios de imagen y notas clínicas (datos sensibles conforme al art. 3 fracc. VI de la LFPDPPP).
• Financieros: RFC, régimen fiscal, código postal de domicilio fiscal y registros de pagos cuando se requiere facturación CFDI.
• Datos técnicos: dirección IP, tipo de navegador y registros de acceso al sistema con fines de seguridad y auditoría (NOM-024-SSA3-2012).
• Datos de origen publicitario y de uso del sitio: cuando usted llega a nuestro sitio desde un anuncio de Google, guardamos el identificador del clic de ese anuncio (llamado "gclid" y, en algunos dispositivos Apple, "gbraid" o "wbraid") y la fecha del clic. Si más adelante crea una cuenta, lo asociamos a esa cuenta. También registramos, en nuestras herramientas de medición, dos acciones: que se creó una cuenta y que se realizó el primer pago de la suscripción (con el plan contratado y el importe sin IVA). Estos datos no incluyen información de salud, de pacientes ni de expedientes clínicos.
• Datos de navegación (Píxel de Meta y analítica propia): las páginas que visita en nuestro sitio, y de su visita datos como su dirección IP, su ubicación aproximada, su dispositivo y navegador. Si es personal de una clínica y ha iniciado sesión, nuestra analítica propia asocia esa visita a su cuenta (correo, nombre, rol, clínica y plan). Se describen en la sección 3. Nuestra analítica propia no lee lo que usted escribe en los formularios, y a Meta no le enviamos el contenido de expedientes, recetas ni notas clínicas.

Una cookie es un archivo pequeño que el sitio guarda en su navegador para recordar algo entre una visita y otra. En el sitio público de DaleControl (las páginas que se ven sin iniciar sesión) usamos los siguientes tipos de cookies:

• Cookies estrictamente necesarias. Mantienen su sesión iniciada y protegen el acceso a su cuenta. Las gestiona nuestro proveedor de autenticación (Supabase) y sin ellas no es posible usar el sistema.
• Cookie de atribución del Programa de Afiliados ("dc_aff"). Se guarda únicamente cuando usted llega al sitio a través del link de recomendación de un afiliado (una dirección del tipo dalecontrol.com/r/codigo). Tiene una sola finalidad: saber a qué afiliado corresponde la recomendación si más adelante se contrata una suscripción, para poder pagarle su comisión.
• Cookie del clic de un anuncio de Google ("dc_ads"). Se guarda únicamente cuando usted llega al sitio desde un anuncio de Google (la dirección trae un identificador de clic). Tiene una sola finalidad: saber qué anuncio trajo a la persona que después crea una cuenta, para medir qué anuncios funcionan y poder informárselo a Google Ads.
  Qué guarda: el identificador del clic (gclid, gbraid o wbraid) y la fecha en que se hizo. No guarda su nombre, su correo ni su dirección IP.
  Cuánto dura: hasta 90 días desde el clic; si llega desde otro anuncio, se reemplaza por el más reciente. La escribe nuestro servidor, no puede leerse desde el código que corre en su navegador (httpOnly), viaja solo por conexión segura (Secure) y no se envía a otros sitios (SameSite=Lax).
  Cómo se usa: si usted crea una cuenta, el identificador se guarda junto a ella (ver secciones 4 y 8). Si no la crea, no lo asociamos a ninguna cuenta: solo queda la cookie hasta que caduque o usted la borre (y, como parte de nuestra analítica propia, el identificador del clic puede quedar en el registro de esa visita, ver más abajo «Analítica propia de DaleControl»).
• Cookies del clic de un anuncio de Meta y de los UTM de la dirección ("dc_meta", "dc_utm1" y "dc_utm2"). Se guardan únicamente cuando usted llega al sitio desde un anuncio de Meta (la dirección trae un identificador de clic, «fbclid») o desde un enlace con etiquetas de campaña («utm_source», «utm_medium», «utm_campaign» y «utm_content»). Tienen una sola finalidad: saber qué anuncio o campaña trajo a la persona que después crea una cuenta, para medir qué anuncios funcionan.
  Qué guardan: el identificador del clic de Meta y la fecha en que se hizo («dc_meta»), y las etiquetas de campaña del primer enlace con el que llegó («dc_utm1») y del más reciente («dc_utm2»), con su fecha. No guardan su nombre, su correo ni su dirección IP.
  Cuánto duran: hasta 90 días. Las escribe nuestro servidor, no pueden leerse desde el código que corre en su navegador (httpOnly), viajan solo por conexión segura (Secure) y no se envían a otros sitios (SameSite=Lax).
  Cómo se usan: si usted crea una cuenta, estos datos se guardan junto a ella, junto con el valor de la cookie «_fbp» de Meta de su navegador, y se conservan según la sección 8. Si no la crea, no los asociamos a ninguna cuenta: solo quedan las cookies hasta que caduquen o usted las borre.
• Cookies de Google Analytics y de Google Ads. Usamos Google Analytics 4 y la etiqueta de Google Ads en el sitio público. Guardan en su navegador cookies propias de Google (por ejemplo «_ga», «_ga_…» y «_gcl_aw») que sirven para reconocer que un mismo navegador vuelve al sitio, contar visitas y medir la eficacia de nuestros anuncios. «_ga» dura hasta 2 años y «_gcl_aw» hasta 90 días. Los eventos que enviamos a Google son de negocio y son pocos: se visitó una página pública, se creó una cuenta («sign_up», indicando si fue con correo o con Google) y se hizo el primer pago («purchase», con el importe sin IVA, la moneda MXN, el identificador de la operación y el plan). Nunca enviamos datos de salud, de pacientes ni de expedientes, ni datos de tarjeta, y Google Analytics no mide visitas dentro del panel de la clínica ni en el portal del paciente. La etiqueta de Google Ads sí se carga en todo el sitio, también dentro del panel y del portal, pero allí DaleControl no le envía ningún evento, salvo el aviso del primer pago, que sale desde la pantalla de confirmación del pago (dentro del panel) y llega a Google Ads y también a Google Analytics. Según Google, Analytics 4 no registra ni almacena direcciones IP completas.
• Píxel de Meta (Facebook e Instagram). Usamos el Píxel de Meta en el sitio público para medir cuántas personas llegan desde nuestros anuncios de Meta. Al cargarse, Meta guarda en su navegador cookies propias (por ejemplo «_fbp», y «_fbc» cuando usted llega desde un anuncio de Meta) que, según Meta, duran hasta 90 días. DaleControl envía a Meta solo tres eventos: «PageView»: que se visitó una página pública, en cada página que usted abre; «CompleteRegistration»: que se creó una cuenta, al terminar el registro; y «Purchase»: el primer pago de la suscripción, con su importe sin IVA y la moneda. Junto con cada evento, su navegador entrega a Meta la dirección de esa página, su dirección IP y datos del navegador. Los eventos de cuenta creada y primer pago también los envía nuestro servidor a Meta (API de Conversiones), para que cuenten aunque el navegador bloquee el Píxel y para medir los pagos por transferencia, que no pasan por ninguna página; con ellos van el correo y el teléfono de la cuenta cifrados con un hash (SHA-256), nunca en claro, la dirección IP y el navegador de quien se registró o pagó, y los valores de las cookies «_fbp» y «_fbc» (o del clic guardado en «dc_meta»), solo para que Meta pueda reconocer que vienen de una persona que vio un anuncio. No le enviamos su nombre ni otros datos de la cuenta. Nunca enviamos datos de salud, de pacientes ni de expedientes, ni datos de tarjeta, y el Píxel no se carga dentro del panel de la clínica ni en el portal del paciente, salvo en la pantalla que confirma el primer pago, donde solo envía el evento de pago (sin rastrear clics ni el contenido de la página).
• Botón de WhatsApp. En la página principal y en el blog del sitio público (no en el panel de la clínica, ni en el portal del paciente, ni en el registro) mostramos un botón flotante de WhatsApp. «Iniciar conversación» abre WhatsApp (la aplicación o WhatsApp Web) con un mensaje listo para enviarnos; desde ese momento aplican las condiciones y el aviso de WhatsApp. El formulario «Te escribimos nosotros» recoge su nombre y su número de WhatsApp únicamente para contactarle y darle información sobre DaleControl; los recibimos por correo electrónico en nuestro equipo (mediante Resend, Inc.) y no los usamos para otra cosa; los conservamos hasta 90 días, como se explica en la sección 8. El botón no instala cookies propias ni de terceros. Le pedimos no escribir datos de salud ni datos de pacientes en la conversación.
• Vercel Analytics y Speed Insights. Servicios de Vercel, Inc. que usamos para medir las visitas y el rendimiento (velocidad) del sitio.
• Analítica propia de DaleControl (identificador en el almacenamiento local de su navegador). Medimos cómo se usa el sitio y el sistema con una herramienta nuestra, no de un tercero. Para reconocer que un mismo navegador vuelve, guarda en el almacenamiento local de su navegador (algo parecido a una cookie) un identificador de visitante aleatorio («dc_vid») y uno de sesión («dc_sid»), que cambia tras 30 minutos sin actividad. El identificador de visitante no caduca solo: permanece hasta que usted borre los datos del sitio en su navegador.
  Qué registra: las páginas o pantallas que visita (su dirección, sin lo que va después del signo «?», y el título de la página), sus clics (posición en la pantalla y un identificador técnico del elemento; solo en el sitio público, además, el texto del botón o enlace pulsado, hasta 60 caracteres), cuánto baja por la página y cuánto tiempo permanece; y de su visita, la página de origen, los parámetros de campaña de la dirección (los «utm_…») y, si llega desde un anuncio de Google, el identificador de clic (gclid), además de su dirección IP, su ubicación aproximada (país, región, ciudad y coordenadas), tipo de dispositivo, navegador, sistema operativo, tamaño de pantalla, idioma y zona horaria.
  Si usted es personal de una clínica y ha iniciado sesión, asociamos la visita a su cuenta: su correo, su nombre, su rol, la clínica y el plan contratado.
  Qué no registra: lo que usted escribe en formularios y campos (nunca se lee el contenido de un campo) ni el contenido de expedientes, recetas o notas clínicas. La dirección de una pantalla del sistema puede incluir el código interno de un registro.
  Dónde funciona: en el sitio público y también dentro del panel de la clínica y de los paneles de afiliados, proveedores y laboratorios. No mide el portal del paciente (ni sus enlaces de acceso), el panel de administración de DaleControl ni las pantallas en vivo de la clínica.
  Cuánto se conserva: ver la sección 8.

Qué guarda la cookie de atribución: el código del afiliado, el nombre de la campaña del link (cuando el link trae una) y la fecha de ese primer ingreso. No contiene datos personales: no guarda su nombre, ni su correo, ni su dirección IP, ni ningún dato que permita identificarlo.

Cuánto dura: 90 días contados desde ese primer ingreso. La escribe nuestro servidor y no puede leerse desde el código que corre en su navegador (httpOnly), viaja solo por conexión segura (Secure) y no se envía a otros sitios (SameSite=Lax). Cumplidos los 90 días caduca sola y deja de atribuir la recomendación a nadie; tampoco se renueva con visitas posteriores.

No se comparte con terceros: el contenido de esta cookie no se vende ni se cede, no se usa con fines publicitarios ni para elaborar perfiles sobre usted, y no alimenta ninguna herramienta de análisis. Lo anterior se refiere únicamente a la cookie de atribución de afiliados ("dc_aff"). Las cookies de anuncios y de analítica se describen en los apartados anteriores.

Aceptación por uso del sitio: al continuar navegando en este sitio se entiende que usted acepta el uso de las cookies descritas en esta sección, conforme a este Aviso de privacidad. No mostramos un botón de aceptar ni bloqueamos contenido; usted puede desactivarlas o borrarlas en cualquier momento, como se explica a continuación.

Cómo borrar o bloquear las cookies de anuncios y de analítica: puede eliminar o bloquear en cualquier momento las cookies de este sitio desde la configuración de su navegador (normalmente en la sección de privacidad o de datos de navegación), y así se deja de reconocer su navegador y se deja de medir el anuncio con el que llegó. El sitio funciona igual sin ellas. Además, Google ofrece un complemento para desactivar Google Analytics en su navegador (tools.google.com/dlpage/gaoptout) y una página para gestionar los anuncios personalizados (adssettings.google.com). Si bloquea o borra las cookies de sesión, tendrá que iniciar sesión de nuevo.

Píxel de Meta y analítica propia: las cookies de Meta se eliminan o bloquean igual que las demás, desde su navegador; también puede administrar los anuncios que Meta le muestra desde la configuración de anuncios de su cuenta de Facebook o Instagram. El identificador de nuestra analítica propia está en el almacenamiento local del navegador: se elimina borrando los datos del sitio en su navegador (distinto de borrar solo las cookies). Al borrarlo, su navegador se vuelve a reconocer como un visitante nuevo; no borra los registros que ya guardamos (ver secciones 6 y 8).

Finalidades primarias (necesarias para la relación jurídica):

• Operación del expediente clínico electrónico bajo NOM-004-SSA3-2012 y NOM-024-SSA3-2012.
• Gestión de la agenda, recordatorios, recetas y consentimientos.
• Emisión de comprobantes fiscales (CFDI) cuando proceda.
• Cumplimiento de obligaciones legales y atención de requerimientos sanitarios o judiciales.

Finalidades secundarias (puede oponerse sin afectar la atención):

• Mejora del servicio y comunicaciones operativas no comerciales.
• Medir qué anuncios y campañas de publicidad de DaleControl traen nuevos clientes, y compartir con Google, en forma de eventos de «cuenta creada» y «primer pago», el resultado de esa medición para evaluar y mejorar dichas campañas.
• Conocer cómo se usa el sitio y el sistema (páginas visitadas, clics, tiempo y origen de las visitas) con nuestra analítica propia y con el Píxel de Meta, para mejorar el servicio y medir nuestra publicidad, y compartir con Meta, en forma de eventos de «cuenta creada» y «primer pago», el resultado de esa medición para evaluar y mejorar nuestras campañas en Facebook e Instagram.

Para la operación del servicio, sus datos pueden ser transferidos a los siguientes encargados, sujetos a contrato de confidencialidad y nivel de protección equivalente:

• Supabase, Inc. — hosting de base de datos y autenticación.
• Vercel, Inc. — hosting de la aplicación web y medición de visitas y rendimiento del sitio (Vercel Analytics y Speed Insights).
• Meta Platforms, Inc. (WhatsApp Business Platform) — envío y recepción de los mensajes de WhatsApp de la plataforma (recordatorios, confirmaciones y conversaciones con la clínica).
• Twilio, Inc. — respaldo para el envío de WhatsApp, solo en las clínicas que lo tenían configurado antes de usar WhatsApp Business Platform. No enviamos SMS.
• Resend, Inc. — envío de los correos de la plataforma (avisos de cuenta, portal del paciente, recordatorios y el aviso que nos llega con su nombre y su número cuando usted pide, en el botón de WhatsApp del sitio, que le escribamos).
• Postmark — recepción de correo entrante.
• Stripe, Inc. / PayPal / MercadoPago — procesamiento de pagos cuando aplica.
• FacturAPI / Proveedores autorizados de CFDI — emisión de comprobantes fiscales.
• Daily.co — sesiones de teleconsulta cuando aplica.
• Anthropic / OpenAI — procesamiento de IA con datos disociados (radiografías).
• Google LLC — medición de visitas (Google Analytics) y de conversiones de nuestros anuncios (Google Ads), con los eventos y el identificador de clic descritos en la sección 3.
• Google LLC (Google Calendar) — solo si la clínica conecta su cuenta de Google, las citas de la clínica se escriben en un calendario de esa cuenta. Es una integración opcional, con el alcance descrito en la sección 9.
• Meta Platforms, Inc. — medición de visitas al sitio público, de cuentas creadas y del primer pago con el Píxel de Meta y la API de Conversiones, con lo descrito en la sección 3.
• IPinfo (ipinfo.io) — servicio de ubicación por dirección IP de nuestra analítica propia: se le envía únicamente la dirección IP de la visita, ningún otro dato, para obtener país, región y ciudad aproximados.

No transferimos sus datos a terceros con fines comerciales sin su consentimiento expreso. La única información que compartimos con Google para medir nuestra publicidad es la descrita en la sección 3 (visitas al sitio público, cuenta creada y primer pago, y el identificador del clic del anuncio), sin datos de salud ni de pacientes. Con Meta compartimos únicamente lo que describe la sección 3 (visitas a las páginas públicas, cuenta creada y primer pago, con el correo y el teléfono cifrados con un hash), sin datos de salud ni de pacientes.

Usted tiene derecho a Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos personales, y a revocar el consentimiento otorgado. Puede ejercerlos:

• Enviando correo a privacidad@dalecontrol.com, o
• Completando el formulario al final de esta página.

La respuesta a su solicitud se emitirá en un plazo máximo de 20 días hábiles(LFPDPPP art. 32). En caso de aceptación, la rectificación, cancelación u oposición se hará efectiva en los 15 días siguientes.

Para acreditar su identidad, le pediremos copia de identificación oficial vigente y, en su caso, documento que acredite la representación legal.

Para oponerse a la medición de anuncios: puede pedirnos en cualquier momento que dejemos de usar el identificador de clic asociado a su cuenta y que lo eliminemos, escribiendo a privacidad@dalecontrol.com o con el formulario de solicitud ARCO al final de esta página. Le responderemos en el mismo plazo de 20 días hábiles. Oponerse a esta medición no afecta su servicio ni la atención de su clínica. Para que no se guarden nuevos datos de este tipo, también puede borrar o bloquear las cookies como se indica en la sección 3. Lo mismo puede pedirnos respecto de los registros de nuestra analítica propia asociados a su cuenta.

Puede revocar en cualquier momento el consentimiento otorgado al tratamiento de sus datos personales. La revocación no tendrá efectos retroactivos y, en su caso, no podrá interrumpir tratamientos médicos en curso.

Los datos del expediente clínico se conservan al menos 5 años contados a partir del último acto médico (NOM-004-SSA3-2012, numeral 5.5). Datos fiscales se conservan conforme a la legislación aplicable.

Contacto por el botón de WhatsApp. El nombre y el número de WhatsApp que usted deja en el formulario «Te escribimos nosotros» se conservan hasta 90 díascontados desde que los envía, para darle seguimiento a su solicitud, y después se eliminan; si usted lo solicita antes, se eliminan en ese momento.

Clic de un anuncio de Google. El identificador del clic de un anuncio se guarda en la cookie «dc_ads» hasta 90 días. Si usted crea una cuenta, se conserva asociado a ella durante 12 meses contados desde que se registra la cuenta y después se elimina automáticamente; si la cuenta se elimina antes, o usted lo solicita antes, se elimina en ese momento.

Clic de un anuncio de Meta y UTM. Las cookies «dc_meta», «dc_utm1» y «dc_utm2» duran hasta 90 días. Si usted crea una cuenta, el identificador del clic de Meta, las etiquetas de campaña y el valor de «_fbp» se conservan asociados a ella durante 12 meses contados desde que se registra la cuenta y después se eliminan automáticamente, igual que el clic de Google; si la cuenta se elimina antes, o usted lo solicita antes, se eliminan en ese momento.

Analítica propia. Los registros de cada clic y de cada página visitada se eliminan automáticamente a los 90 días. El registro de cada visita (que incluye la dirección IP, la ubicación aproximada, el dispositivo, el identificador de clic si lo hubo y, si inició sesión, su correo, nombre, rol, clínica y plan) se elimina automáticamente a los 365 días de haberse iniciado. Los datos que reciben Google y Meta se conservan según sus propias políticas.

DaleControl puede conectarse a Google Calendar solo si un administrador de la clínica lo decide desde Configuración → Integraciones y autoriza el acceso en la pantalla de consentimiento de Google. Sin esa conexión, DaleControl no accede a ningún dato de Google Calendar. Esta sección explica qué datos de Google se usan, para qué, cómo se protegen y cómo retirarlos.

Permisos que solicitamos a Google.

• Calendar — https://www.googleapis.com/auth/calendar.app.created: crear un calendario secundario para la clínica y ver, crear, cambiar y borrar eventos únicamente en ese calendario, el que DaleControl crea. No podemos leer ni modificar sus demás calendarios ni los eventos de su calendario personal.
• Identidad — openid y email: conocer el correo de la cuenta de Google conectada, para mostrarle a la clínica qué cuenta está conectada y no permitir que se conecte otra encima por error.

Qué datos escribimos en su Google Calendar. Por cada cita de la clínica, en el calendario de la clínica: el tipo de cita, el horario, el nombre del doctor, el nombre y la dirección de la clínica y, en el título del evento, el nombre de pila del paciente con la inicial de su apellido. Como invitados se agrega el correo del doctor y, si la clínica mantiene activa la opción «Enviar invitación por correo al paciente» (Configuración → Integraciones), el correo del paciente, a quien Google le envía la invitación. Las notas internas de la cita y los datos clínicos (diagnósticos, antecedentes, tratamientos, estudios) nunca se envían a Google.

Qué datos leemos de Google. El correo de la cuenta conectada y el identificador del calendario de la clínica y de los eventos que DaleControl crea, para mantenerlos al día (moverlos o cancelarlos cuando la cita cambia). No leemos eventos creados por otras personas o aplicaciones, y lo que se edite o borre directamente en Google Calendar no modifica la agenda de DaleControl.

Para qué los usamos. Exclusivamente para reflejar las citas de la clínica en su Google Calendar y mantenerlas al día, y para mostrar en la pantalla de Integraciones si la conexión está activa. No usamos los datos de Google para publicidad ni para crear perfiles, no los vendemos, no los usamos para entrenar modelos de inteligencia artificial y no los enviamos a los proveedores de IA mencionados en la sección 5.

Cómo los protegemos y con quién se comparten. Las credenciales de acceso que Google nos entrega (tokens) se guardan en la base de datos de DaleControl (Supabase), se usan solo desde nuestros servidores y nunca se envían al navegador. No compartimos datos de Google con terceros, salvo con los proveedores de infraestructura de la sección 5 que los procesan por nuestra cuenta. Las personas de DaleControl no leen datos de Google Calendar, salvo con su consentimiento, para investigar un abuso o un problema de seguridad, o cuando la ley lo exija.

Conservación y cómo retirarlos.

• Conservamos los tokens solo mientras la integración esté conectada y hasta que se desconecte. Al pulsar Desconectar Google Calendar en Configuración → Integraciones los borramos y revocamos el permiso ante Google.
• Los eventos que ya se crearon se quedan en su calendario de Google: puede borrarlos desde Google Calendar (o el calendario completo de la clínica).
• También puede retirar el acceso de DaleControl en cualquier momento desde myaccount.google.com/permissions.
• Para pedir que eliminemos cualquier dato relacionado con esta integración, escriba a privacidad@dalecontrol.com o a contacto@dalecontrol.com.

Declaración de Uso Limitado. El uso que DaleControl haga de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, cumplirá la Política de datos de usuario de los servicios de las API de Google, incluidos los requisitos de Uso Limitado.

Cualquier modificación al presente aviso se publicará en esta misma URL con la nueva fecha de actualización. Le recomendamos revisarlo periódicamente.

Para cualquier duda relacionada con la protección de sus datos personales, contacte a: privacidad@dalecontrol.com.