Aviso de privacidad

1. Datos Personales Sujetos a Tratamiento

Para la consecución de las finalidades del servicio, el Responsable recabará las siguientes categorías de datos:

• Datos de Identificación y Contacto: Nombre completo, dirección de correo electrónico, número de teléfono celular, fecha de nacimiento y género.

• Datos Personales Sensibles (Salud): Puntajes brutos y ponderados de los cuestionarios de tamizaje clínico (PHQ-9 y GAD-7), los textos y registros narrativos diarios provistos de forma libre por el Paciente en la interfaz, así como los diagnósticos orientativos, hallazgos, metas terapéuticas y valoraciones clínicas emitidas y firmadas por los profesionales de la salud asignados.

2. Finalidades del Tratamiento

• Finalidades Primarias (Necesarias para el Servicio):

1. Acreditación de identidad y verificación de mayoría de edad (18+).

2. Ejecución del tamizaje clínico inicial orientativo de ansiedad y depresión.

3. Prestación integral del servicio de atención psicológica escrita y acompañamiento asíncrono.

4. Asignación del profesional de la salud con cédula correspondiente.

5. Integración, custodia, mantenimiento e inmutabilidad del Expediente Clínico del Paciente.

6. Gestión de cobros, facturación y procesamiento de pagos de la suscripción.

7. Activación de protocolos de seguridad y emisión de Informes de Derivación en casos graves.

• Finalidades Secundarias (Accesorias):

1. Envío de comunicaciones informativas, promocionales, herramientas de salud mental y ofertas de marketing digital relacionadas con los servicios de Alysa, dirigidas exclusivamente a Pacientes que hayan activado el plan de pago.

3. Mecanismo de Consentimiento Expreso para Datos Sensibles y Finalidades Secundarias

De estricta conformidad con la ley aplicable, el Titular otorga su consentimiento expreso y por escrito (mediante validación inequívoca a través de casilla de verificación digital en la Plataforma vinculada a su dirección IP, fecha y hora) para el tratamiento de sus Datos Sensibles de Salud al momento de pulsar el botón de registro.

Respecto a las Finalidades Secundarias, su alcance se limita a los Pacientes que hayan activado el plan de pago. Los usuarios registrados que no convierten a la modalidad de pago no reciben comunicación comercial alguna, en virtud de que la totalidad de sus datos —correo electrónico incluido— se elimina conforme a la Cláusula 4 del presente Aviso.

4. Política de Retención y Borrado

A. Usuarios que no activan el plan de pago

A fin de dar cumplimiento a los principios de proporcionalidad, minimización y responsabilidad, Alysa aplica un procedimiento único, irreversible y sin excepciones a los usuarios que completen la fase de registro y/o tamizaje pero no efectúen el pago de la membresía:

• Borrado total a los treinta (30) días. La totalidad de los datos personales del usuario —cuenta de acceso, correo electrónico, nombre, teléfono, fecha de nacimiento, género, puntajes y respuestas de los cuestionarios de tamizaje clínico (PHQ-9 y GAD-7), respuestas de la entrevista de objetivos y textos de registro escrito— se elimina de forma definitiva e irreversible de los servidores de producción en un plazo de treinta (30) días naturales contados a partir de la fecha de registro. No se practica anonimización, disociación ni conservación parcial de ninguna categoría de dato, y no existe bifurcación alguna en función del consentimiento otorgado para finalidades secundarias.

• Sin conservación con fines comerciales. El correo electrónico de los usuarios no convertidos no se incorpora a ninguna base de prospección, lista de remercadeo ni comunicación comercial, y se elimina junto con el resto de los datos en el mismo plazo. En consecuencia, quien desee volver a utilizar el servicio deberá registrarse nuevamente desde el inicio, pudiendo emplear la misma dirección de correo electrónico.

• Lo único que subsiste, ya sin dato personal. Ejecutado el borrado subsisten exclusivamente: (i) registros técnicos de consumo de infraestructura previamente disociados, que no contienen identificador alguno del usuario, y (ii) una bitácora de ejecución del propio proceso de borrado que almacena únicamente la fecha del proceso y el número de cuentas afectadas, sin correo, sin nombre y sin identificador. Ninguno de estos registros permite reidentificar al usuario.

• Efecto sobre la comprobación. El usuario reconoce que, por tratarse de un borrado total, Alysa no conserva evidencia individual del tratamiento realizado ni del consentimiento otorgado una vez ejecutado el procedimiento. La constancia del cumplimiento es la ausencia del dato en los sistemas de producción.

B. Pacientes que activan el plan de pago

• Conservación del expediente clínico. Una vez activado el plan y emitida la primera valoración firmada, la información del Paciente integra un expediente clínico, que se conserva por un periodo mínimo de cinco (5) años contados a partir de la fecha de la última actuación profesional registrada, conforme a la NOM-004-SSA3-2012 y a la normatividad sanitaria aplicable.

• Límite al derecho de cancelación. El Paciente conserva íntegros sus derechos ARCO. No obstante, el ejercicio del derecho de cancelación sobre los datos que integran el expediente clínico se encuentra acotado por los plazos mínimos de conservación que impone la normatividad sanitaria, en los términos de las excepciones previstas por la propia LFPDPPP. Concluido dicho plazo, procede la supresión.

• Acceso permanente del Paciente. Durante todo el periodo de conservación, el Paciente mantiene el derecho de acceder a su expediente y de obtener copia íntegra del mismo, previa solicitud presentada por los medios y atendida en el plazo previstos en la cláusula «Medios para Ejercer los Derechos ARCO», con independencia de que su plan se encuentre vigente.

5. Transferencia Internacional de Datos y Encargados

El Responsable utiliza proveedores tecnológicos especializados de infraestructura para garantizar la resiliencia y seguridad del entorno digital. Dichos proveedores operan en calidad de Encargados del tratamiento:

• Tipos de Proveedores: Procesadores de infraestructura en la nube y almacenamiento de servidores de datos; procesadores avanzados de Inteligencia Artificial para la organización de textos; y agregadores/pasarelas de pago reguladas.

• Transferencia Internacional: Algunos de estos servidores y servicios principales se encuentran ubicados fuera de los Estados Unidos Mexicanos (principalmente en los Estados Unidos de América). El Responsable garantiza que estas transferencias internacionales se realizan bajo contratos que replican fielmente las exigencias de la LFPDPPP vigente, obligando a los Encargados a mantener medidas de seguridad administrativas, técnicas y físicas idénticas a las exigidas en territorio nacional, impidiendo la utilización de los datos del Paciente para fines propios o entrenamiento general de modelos de IA de terceros.

6. Medios para Ejercer los Derechos ARCO

El Paciente goza en todo momento del derecho de Acceso, Rectificación, Cancelación y Oposición (ARCO) sobre sus datos. Para ejercerlos, o para revocar el consentimiento previamente otorgado, deberá enviar una solicitud formal por escrito al correo electrónico oficial de cumplimiento: hola@alysa.mx. La solicitud deberá contener los requisitos establecidos por la Ley (identificación oficial, descripción clara de los datos y el derecho a ejercer) y será resuelta en un plazo no mayor a veinte (20) días hábiles.