Borrador pendiente de revisión por abogado. Este texto describe lo que el producto hace hoy; no es asesoría legal y puede cambiar antes de su publicación definitiva.
La lista de proveedores que reciben datos personales para operar la plataforma: para qué, qué datos, en qué país, y si pueden recibir datos de salud.
1 · 1. Qué muestra esta página
Tsunami Automation Global LLC usa proveedores para operar Soluciones para Doctores. Esta página los lista. Para datos de pacientes, la clínica es la responsable y Tsunami Automation Global LLC es la encargada. Los proveedores de esta lista reciben datos por cuenta nuestra.
La lista está separada en cuatro grupos: proveedores activos, proveedores que solo se usan en ciertos casos, infraestructura propia, y proveedores que hoy no están activos.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 2, fr. XII y XIV; Reglamento de la LFPDPPP (2011), arts. 49 a 55
2 · 2. Proveedores activos
| Proveedor | Para qué | Qué datos recibe | País | ¿Puede recibir datos de salud? |
|---|---|---|---|---|
| Proveedor de infraestructura en la nube (Unión Europea) | Hospedaje de la aplicación, la base de datos y los respaldos. | Todos los datos de la plataforma. Los datos personales de pacientes (nombre, correo, teléfono, notas) y el texto de los mensajes se guardan cifrados a nivel de campo. | Alemania (Núremberg) | Sí, puede recibirlos |
| Proveedores de modelos de lenguaje de IA | Modelos de lenguaje de la recepcionista con IA: redactan respuestas, y transcriben las notas de voz de WhatsApp. | El mensaje del paciente, hasta 12 turnos anteriores de la conversación, el nombre del paciente, datos de la clínica (servicios, horarios, políticas) y, en notas de voz, el audio. El mensaje puede contener información de salud que el paciente decide escribir. | Estados Unidos | Sí, puede recibirlos |
| Proveedor de agente de voz | Agente de voz (llamadas telefónicas de la recepcionista), con su modelo de lenguaje. El proveedor conserva el audio y la transcripción hasta que se eliminen. Puedes pedir su eliminación (sección ARCO). | Audio y transcripción de las llamadas con el agente de voz, número de teléfono y nombre del paciente en llamadas salientes, y los datos que el agente recoge (nombre, motivo de consulta, urgencia). | Estados Unidos | Sí, puede recibirlos |
| Proveedor de telefonía y mensajería | Llamadas y mensajes de aviso al personal de la clínica; canal de WhatsApp de algunas clínicas. | Número de teléfono, texto del mensaje y, en el aviso al personal, el nombre del paciente y el motivo general (urgencia, cita). | Estados Unidos | Sí, puede recibirlos |
| Proveedor de la plataforma de WhatsApp Business | Envío y recepción de mensajes de WhatsApp entre la clínica y el paciente. | Número de teléfono y texto de los mensajes. | Estados Unidos | Sí, puede recibirlos |
| Proveedor de correo transaccional | Envío de correos transaccionales (enlaces de acceso, invitaciones, avisos y recordatorios). | Dirección de correo, asunto y contenido del mensaje; en avisos al personal, el nombre del paciente y el canal. | Proveedor internacional | No |
| Cloudflare, Inc. | Servicio de nombres de dominio (DNS). | Consultas DNS. No recibe el contenido de la aplicación. | Global | No |
| Almacenamiento de copias de seguridad (Unión Europea) | Copias de seguridad de la base de datos. | Copia de la base de datos (con los campos sensibles cifrados). | Alemania (ubicación exacta por confirmar) | Sí, puede recibirlos |
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 35
3 · 3. Proveedores que solo se usan en ciertos casos
| Proveedor | Para qué | Qué datos recibe | País | ¿Puede recibir datos de salud? |
|---|---|---|---|---|
| Google LLC (Google Analytics) | Medición de visitas a las páginas públicas del sitio. Solo se activa si aceptas las cookies analíticas. | Dirección IP, tipo de navegador, identificador de cookie y páginas visitadas (sin parámetros ni identificadores largos). Nunca se carga en el portal del paciente, en enlaces con token ni dentro de la aplicación. | Estados Unidos | No |
| Google LLC (Google Calendar) | Sincronización opcional de citas con el calendario de la clínica. Solo si la clínica conecta su calendario. | Título de la cita con el nombre del paciente, servicio, notas de la cita y horario. | Estados Unidos | Sí, puede recibirlos |
| Stripe, Inc. y Mercado Pago | Cobros y suscripciones, cuando una clínica o un plan los usa. Los pagos en línea solo están activos para las clínicas que los habilitan. | Correo del pagador, monto, referencia y organización. No recibimos ni guardamos el número completo de la tarjeta. | Estados Unidos; México y Latinoamérica | No |
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 35
4 · 4. Infraestructura propia
Estos servicios funcionan en nuestros propios servidores en Alemania. No son terceros.
| Proveedor | Para qué | Qué datos recibe | País | ¿Puede recibir datos de salud? |
|---|---|---|---|---|
| Motor de reservas de citas (instancia propia) | Motor de reservas de citas. Operado por nosotros en nuestra propia infraestructura; no es un tercero. | Nombre, correo o teléfono del paciente y notas de la cita. | Alemania (servidores propios) | Sí, puede recibirlos |
| Registro de errores técnicos (instancia propia) | Registro de errores técnicos. No es un tercero. | Información técnica de errores, sin datos personales por configuración. | Alemania (servidores propios) | No |
5 · 5. Proveedores que hoy no están activos
Los listamos para que sepas qué podría pasar. Hoy no reciben datos. Si los activamos, actualizamos esta lista antes.
| Proveedor | Para qué | Qué datos recibe | País | ¿Puede recibir datos de salud? |
|---|---|---|---|---|
| Servicio de revisión de seguridad de mensajes | Clasificación de mensajes para detectar urgencias y oposiciones a recibir mensajes. Hoy está desactivado en la plataforma. Si se activa, actualizaremos esta lista antes. | Texto del mensaje del paciente con datos identificadores enmascarados y los últimos 2 turnos. | Estados Unidos | Sí, puede recibirlos |
6 · 6. Inteligencia artificial
La recepcionista con IA envía a su proveedor de modelos de lenguaje el mensaje del paciente, hasta 12 turnos anteriores de la conversación, el nombre del paciente y los datos de la clínica. En una nota de voz de WhatsApp, también envía el audio para transcribirlo. El agente de voz tiene su propio modelo de lenguaje dentro de su proveedor.
Esto ocurre antes de que las reglas de urgencia revisen el mensaje. Las reglas pueden reemplazar la respuesta, pero el proveedor del modelo ya recibió el texto. Por eso un paciente no debe escribir datos de salud detallados en el chat.
No usamos datos personales para entrenar modelos propios. Cada proveedor aplica sus propias condiciones sobre cuánto conserva y cómo usa los datos que recibe.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 26, fr. II
7 · 7. Transferencias internacionales
Parte de los datos sale de México. El hospedaje y las copias de seguridad están en Alemania. Los demás proveedores tratan datos principalmente en Estados Unidos. El proveedor de correo es un proveedor internacional.
La ley dice que quien recibe datos personales asume las mismas obligaciones que quien los entrega. Lo formalizamos con los términos de servicio de cada proveedor. Las transferencias necesarias para prevención, diagnóstico o atención médica, o para administrar servicios de salud, no requieren consentimiento.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 35; LFPDPPP (DOF 20-mar-2025), art. 36, fr. II; Reglamento de la LFPDPPP (2011), arts. 74 a 76
8 · 8. Cómo te avisamos de cambios
Si agregamos o cambiamos un proveedor, actualizamos esta página y su versión. Antes de agregar un proveedor que reciba datos de pacientes, avisamos a las clínicas. Los pacientes pueden ver aquí la lista vigente.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 15
9 · 9. Lo que decide cada clínica
Las clínicas pueden usar servicios por su cuenta. Por ejemplo, el personal puede pegar enlaces de imágenes que haya subido a un servicio de alojamiento de imágenes, y la clínica puede conectar su propio calendario. Esas decisiones y los datos que se envían a esos servicios son responsabilidad de la clínica, que debe informarlo en su aviso de privacidad.
Fundamento: LFPDPPP (DOF 20-mar-2025), art. 13
10 · 10. Tus derechos
Si quieres saber qué proveedor recibió tus datos, o pedir su eliminación, usa el camino de tu aviso de privacidad (/privacidad) o escribe a privacy@tsunamiautomation.com. Para pedir que se eliminen los datos que tiene un proveedor, ver /legal/conservacion-eliminacion.
Fundamento: LFPDPPP (DOF 20-mar-2025), arts. 21 a 26
11 · 11. Versión
Versión 2026-10. Fecha prevista de entrada en vigor: 2026-11-01. Contrato de encargo con las clínicas: /legal/contrato-encargo.