Acuerdo de tratamiento de datos

Este Acuerdo regula el tratamiento de datos personales que Bitácora Profesional realiza por cuenta del profesional identificado en su cuenta.

Profesional: determina las finalidades de su práctica, las personas registradas, el contenido incorporado y los accesos que autoriza.

Bitácora Profesional: presta el servicio tecnológico y trata esos registros siguiendo las instrucciones del profesional y las condiciones de este Acuerdo.

El paciente conserva los derechos que le corresponden y, cuando aplique, es titular de su historia clínica. El profesional o establecimiento mantiene los deberes de guarda y custodia que legalmente le correspondan.

Bitácora puede actuar como responsable independiente respecto de datos propios de cuenta, seguridad, soporte, comunicaciones operativas y administración, según la Política de Privacidad. Esa condición no autoriza a reutilizar contenido clínico para finalidades ajenas al servicio.

El tratamiento puede incluir, según las funciones habilitadas:

• identidad y datos de contacto;
• agenda y turnos;
• antecedentes e información de salud;
• entrevistas y formularios;
• encuentros o sesiones;
• objetivos y evaluaciones;
• informes y documentos;
• archivos adjuntos;
• datos de familiares, representantes o contactos.

Los titulares pueden incluir pacientes o personas acompañadas, niñas, niños y adolescentes, familiares, representantes y otros contactos vinculados con la práctica profesional.

El tratamiento se mantiene mientras se presta el servicio y, después de su finalización, sólo durante el tiempo necesario para devolución, eliminación, obligaciones legales o una conservación específica y documentada.

Las operaciones que el profesional realiza mediante las funciones habilitadas y las solicitudes que envía por los canales establecidos constituyen instrucciones dentro del alcance del servicio.

El profesional debe:

• actuar dentro de su habilitación y normativa aplicable;
• informar a los titulares cuando corresponda;
• contar con las autorizaciones o condiciones jurídicas necesarias;
• incorporar únicamente información pertinente;
• verificar identidad, representación y destinatarios;
• atender los derechos y deberes de guarda que estén a su cargo.

La aceptación de este Acuerdo no sustituye el consentimiento informado sanitario ni habilita tratamientos o transferencias que requieran condiciones adicionales.

Bitácora tratará los datos del encargo únicamente:

• para prestar las funciones solicitadas;
• siguiendo instrucciones lícitas del profesional;
• para seguridad, soporte y continuidad necesarias del servicio;
• y para cumplir obligaciones legales aplicables.

Bitácora no utilizará contenido clínico identificable para publicidad, venta de datos, perfiles comerciales, investigación propia ajena al servicio o entrenamiento de modelos de inteligencia artificial por defecto.

Las personas que puedan intervenir en soporte u operación deben estar sujetas a confidencialidad y a permisos acordes con sus tareas.

El acceso humano a registros no debe ser una operación ordinaria. Si excepcionalmente es necesario, debe limitarse a lo mínimo necesario, tener un motivo o instrucción válida y dejar una constancia proporcionada.

Bitácora mantendrá medidas técnicas y organizativas razonables de acuerdo con la sensibilidad de los datos y el estado del producto.

Actualmente se encuentran implementados, entre otros controles:

• autenticación de usuarios;
• autorización y separación de registros por cuenta;
• conexiones HTTPS;
• almacenamiento privado de archivos clínicos;
• gestión de secretos en servidor;
• copia técnica cifrada para el profesional mediante contraseña elegida para esa exportación;
• registros técnicos y controles administrativos limitados.

La existencia de estos controles no equivale a una certificación externa ni a cifrado de extremo a extremo de toda la plataforma.

La beta todavía no debe presentarse como único sistema para cumplir requisitos de historia clínica electrónica mientras no se verifiquen de forma suficiente integridad, inalterabilidad, trazabilidad, conservación y recuperación para ese uso.

Bitácora puede utilizar proveedores tecnológicos cuando sean necesarios para prestar el servicio.

Los servicios actualmente identificados incluyen Supabase, Vercel, Google y Resend. El reconocimiento de voz del navegador puede intervenir sólo cuando el profesional activa voluntariamente el dictado.

Antes de considerar cubierta una transferencia internacional deben documentarse, según el flujo, el proveedor, finalidad, categorías de datos, países de tratamiento, subproveedores y mecanismo jurídico aplicable.

Algunos tratamientos se realizan actualmente en Estados Unidos. Cuando el destino no cuente con un nivel de protección considerado adecuado por la normativa argentina, Bitácora deberá utilizar garantías u otra habilitación válida conforme al artículo 12 de la Ley 25.326 y las normas de la AAIP.

La utilización de estos proveedores puede implicar transferencias internacionales. Bitácora debe documentar y gestionar esos flujos conforme a la normativa argentina, incluyendo las garantías que correspondan cuando el destino no cuente con un nivel de protección reconocido como adecuado. La aceptación de este Acuerdo por el profesional no sustituye esas garantías.

La incorporación de un proveedor que implique un cambio material para el encargo debe ser informada antes de afectar el tratamiento y gestionarse de acuerdo con la normativa y las condiciones del servicio.

Bitácora asistirá razonablemente al profesional para atender solicitudes de acceso, rectificación, actualización, confidencialidad o supresión relativas a datos del encargo.

Si Bitácora recibe directamente una solicitud:

1. verificará razonablemente la identidad y representación;
2. identificará al profesional responsable cuando corresponda;
3. canalizará la solicitud sin generar demoras indebidas;
4. preservará los derechos y plazos que resulten aplicables;
5. no adoptará decisiones clínicas sustantivas que correspondan al profesional.

El canal de privacidad debe permanecer disponible aun cuando una cuenta esté suspendida o cerrada.

Si Bitácora toma conocimiento de un incidente que pueda comprometer datos del encargo, deberá iniciar su contención e investigación y comunicar al profesional sin demora injustificada la información disponible que resulte relevante.

La comunicación podrá completarse a medida que avance la investigación y debe evitar exponer innecesariamente datos de pacientes.

Cada parte evaluará las comunicaciones a autoridades o titulares que le correspondan según la normativa y el caso. Este Acuerdo no crea un plazo legal general de 72 horas que no exista en la legislación argentina aplicable.

Al finalizar el servicio, el profesional debe poder obtener una copia utilizable y segura de la información bajo su responsabilidad.

Bitácora dispone de una exportación técnica cifrada para la cuenta profesional y de descargas de documentos según las funciones habilitadas. La exportación genera una copia de los registros y archivos asociados a la cuenta, incluye un manifiesto de integridad y se protege con una contraseña elegida por el profesional que Bitácora no conserva. La herramienta actual admite hasta 64 MB sin comprimir y no entrega copias parciales si falla la generación completa. No incluye contraseñas, sesiones, MFA, secretos ni configuración de infraestructura, y no restaura automáticamente una cuenta. Si la herramienta no alcanza por tamaño, formato o contenido, deberá acordarse una alternativa razonable por el canal de privacidad.

Luego de la devolución, los datos del encargo se eliminarán o conservarán según las instrucciones lícitas, las obligaciones legales y el ciclo técnico de copias de respaldo.

Una excepción de conservación debe tener fundamento, alcance y duración definidos. No se presume una autorización para conservar indefinidamente todos los registros.

La inactividad de una cuenta no autoriza por sí sola a borrar documentación clínica ni a convertirla en información propia de Bitácora.

Bitácora conservará documentación razonable sobre los compromisos de este Acuerdo, protegiendo a la vez información de seguridad, secretos y datos de terceros.

Los controles implementados, las evidencias verificadas y los pendientes deben diferenciarse. No se presentarán como existentes auditorías, certificaciones o capacidades que no hayan sido comprobadas.

Los cambios sustanciales de este Acuerdo se informarán y, cuando corresponda, requerirán nueva aceptación. Las versiones anteriores se conservarán.

Respecto del tratamiento de datos realizado por cuenta del profesional, este Acuerdo prevalece frente a disposiciones generales incompatibles de los Términos y Condiciones, sin afectar normas imperativas.

Servicio: plataforma de organización y documentación profesional.

Finalidad: prestar las funciones habilitadas por el profesional.

Titulares: pacientes o personas acompañadas, familiares, representantes y contactos relacionados.

Datos: identificación, contacto, agenda, antecedentes, salud, entrevistas, encuentros, objetivos, evaluaciones, informes y archivos.

Duración: prestación del servicio y período necesario para devolución, eliminación o conservación específica.

Medidas actualmente identificadas: autenticación, autorización por cuenta, HTTPS, almacenamiento privado, secretos de servidor, exportación cifrada, registros técnicos y procedimientos de soporte limitado.

Los controles de integridad de registros clínicos cerrados, auditoría clínica integral, recuperación completa de infraestructura y separación definitiva de entornos deben seguir verificándose antes de afirmar cobertura suficiente para una HCE.

• Supabase: autenticación, base de datos y almacenamiento.
• Vercel: alojamiento y ejecución de la aplicación; analítica pública limitada.
• Google: identificación de la cuenta.
• Resend: entrega de correos operativos.
• Reconocimiento de voz: función del navegador, sólo si el usuario la activa.

La información contractual detallada sobre entidades, subproveedores, países, retención y garantías internacionales se mantiene en el inventario interno de proveedores y debe revisarse ante cambios materiales.

Privacidad y cooperación: hola@bitacoraprofesional.com.ar

Contacto general: https://bitacoraprofesional.com.ar/contacto

El canal de privacidad debe mantenerse operativo y accesible sin una cuenta activa.