Sub-procesadores de Datos
Versión 2.1 — Vigente desde el 9 de septiembre de 2026
Cambios en esta versión: inventario reverificado contra el sistema en operación. Se incorporan cuatro encargados que la versión anterior no declaraba: Datadog (observabilidad), Facturapi (timbrado CFDI) y los servicios de notificaciones push del navegador. Se verificó además que PortalPrimus no recibe datos personales —la integración es de lectura— por lo que no se declara como encargado.
Esta página enumera a los proveedores externos que tratan datos personales en nombre de Armando Javier Flores Salazar, persona física con actividad empresarial inscrita ante el Servicio de Administración Tributaria en el Régimen Simplificado de Confianza (RESICO) desde el 15 de junio de 2026, con Registro Federal de Contribuyentes FOSA070928DY2, operando bajo la marca comercial AUCTORUM, con domicilio en Ramos Arizpe, Coahuila de Zaragoza, México, conforme al artículo 36 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Cada uno opera bajo un contrato de tratamiento de datos (DPA) que limita el uso de la información al propósito declarado.
Algunos de estos sub-procesadores se ubican fuera de México (principalmente Estados Unidos). Las transferencias internacionales se realizan con salvaguardas contractuales conforme al artículo 37 LFPDPPP. Al usar nuestros servicios, usted otorga consentimiento informado para estas transferencias.
Tabla de sub-procesadores
| Proveedor | Propósito | Datos tratados | Ubicación | PHI | DPA |
|---|---|---|---|---|---|
| Supabase Inc. | Base de datos PostgreSQL, autenticación y almacenamiento de archivos | Todos los datos del expediente clínico, credenciales, sesiones, archivos. | EE.UU. (us-east-1) | Sí | ver |
| OpenAI LLC | Procesamiento de lenguaje natural: asistente conversacional + categorización de formularios pre-consulta | Mensajes de pacientes y respuestas del formulario pre-consulta (transitorio). Configuración store:false — sin retención. | EE.UU. | Sí | ver |
| Stripe Inc. | Procesamiento de pagos en línea (Stripe Connect) | Nombre del titular, últimos 4 dígitos de tarjeta, importe, RFC del comercio. | EE.UU. | No | ver |
| MercadoPago / MercadoLibre | Procesamiento de pagos en línea (alternativa para clientes en MX) | Mismo set que Stripe. | Argentina / México | No | ver |
| Cloudflare Inc. | DNS, CDN, protección DDoS, terminación TLS | IPs de visitantes, headers de requests, contenido cacheable. | EE.UU. (red global) | No | ver |
| Resend Inc. | Envío de correos transaccionales (confirmaciones, recordatorios) | Email del destinatario, asunto, cuerpo del mensaje. | EE.UU. | Sí | ver |
| Meta Platforms Inc. | WhatsApp Business Cloud API (mensajería con pacientes) | Número de teléfono, contenido del mensaje, timestamps. | EE.UU. / Irlanda | Sí | ver |
| Meta Platforms Inc. | Medición de conversión publicitaria (Conversions API, server-side) | Únicamente el identificador de clic del anuncio (fbclid) y la marca de tiempo del clic, cuando la visita llegó desde un anuncio de Meta. NUNCA correo, teléfono, nombre ni dato alguno de salud, ni siquiera cifrados. No se ejecuta ningún script de Meta en la plataforma. | EE.UU. / Irlanda | No | ver |
| Google LLC | Sincronización con Google Calendar (opcional, por consentimiento OAuth) | Eventos de calendario (fecha/hora/título), dirección de correo del titular. | EE.UU. | No | ver |
| Microsoft Corporation (Azure) | Infraestructura de cómputo (máquina virtual) y almacenamiento de respaldos cifrados | Logs de aplicación y respaldos cifrados de la base de datos. | EE. UU. (Virginia) | Sí | ver |
| Sentry (Functional Software Inc.) | Telemetría de errores en producción (opcional, redactado de PII) | Stack traces, breadcrumbs. PII redactada en el SDK antes de enviar. | EE.UU. | No | ver |
| Datadog Inc. | Observabilidad de infraestructura y aplicación (APM, métricas, registros del servidor) | Registros de aplicación del servidor y métricas de infraestructura. Los registros pueden contener datos personales cuando el motor de base de datos emite una excepción; se aplica enmascarado en origen antes de la transmisión. | EE.UU. | Sí | ver |
| Facturapi S.A.P.I. de C.V. | Timbrado de comprobantes fiscales digitales (CFDI) ante el SAT | Datos fiscales del emisor y del receptor: RFC, razón social, régimen, domicilio fiscal, conceptos e importes. Sin datos clínicos. | México | No | ver |
| Servicios de notificaciones push del navegador | Entrega de notificaciones web (Web Push). El servicio concreto lo determina el navegador del titular: Google (Chrome), Mozilla (Firefox) o Apple (Safari). | Endpoint de suscripción del navegador y el contenido de la notificación. Las notificaciones no incluyen datos clínicos. | EE.UU. / según el proveedor del navegador | No | ver |
Proveedores de inteligencia artificial
El proveedor primario de IA es OpenAI LLC (modelo gpt-4o-mini, configuración store:false), utilizado para el asistente conversacional y para estructurar la información de los formularios pre-consulta. OpenAI no retiene los datos enviados por la API ni los utiliza para entrenar sus modelos.
Anthropic PBC (modelo claude-sonnet-4-6) está contemplado como proveedor de respaldo para la categorización de formularios pre-consulta. Aún no está activo y no trata datos de pacientes. Su activación se realizará con aviso previo de al menos 30 días y, por tratarse de datos de salud, con la recolección del consentimiento correspondiente.
Notificación de cambios
AUCTORUM notificará a los titulares por correo electrónico cuando se incorpore un nuevo sub-procesador que trate PHI. La versión vigente de esta lista siempre está disponible en esta página y se referencia desde el Aviso de Privacidad.
Ejercicio de derechos ARCO
Para acceder, rectificar, cancelar u oponerse al tratamiento de sus datos personales, escriba a privacidad@auctorum.com.mx o use el formulario en /data-deletion. El plazo máximo de respuesta es de 20 días hábiles conforme al artículo 32 LFPDPPP.