AVISO DE PRIVACIDAD INTEGRAL — NELHU

Última actualización: 19 de octubre de 2026 Versión: 2.6 — vigente

1. Identidad y domicilio del Responsable

INCUBEIT SAPI DE CV (en adelante, "Nelhu", "nosotros" o "el Responsable"), con domicilio en José Ugarte #180 Fte. 315, Col. Nueva Chapultepec, C.P. 58280, Morelia, Michoacán, México, RFC IIT130912G85, sitio web https://www.nelhu.io, es responsable del tratamiento de sus datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) —publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abrogó la ley de 2010—, su Reglamento y los Lineamientos del Aviso de Privacidad.

Correo de contacto en materia de privacidad / Departamento de Datos Personales: admin@nelhu.io.

1.1 Doble rol de Nelhu (responsable / encargado)

• Como RESPONSABLE: Nelhu trata directamente los datos de las cuentas de los profesionales, consultorios y clínicas que contratan la plataforma (datos de registro, facturación y uso), así como los datos técnicos del servicio.
• Como ENCARGADO: respecto de los datos de los pacientes que los consultorios gestionan a través de Nelhu, el responsable es el consultorio/profesional de la salud o la clínica que usa la plataforma; Nelhu actúa como encargado que recaba, almacena, cifra, resguarda y trata esos datos por cuenta y según instrucciones del consultorio o de la clínica (art. 49–55 del Reglamento). Esto incluye los datos de los pacientes que agendan una cita desde la página pública de un profesional o de una clínica, y las opiniones de pacientes (secciones 3.4 y 3.5). El presente Aviso cubre el tratamiento del que Nelhu es responsable e informa, de forma transparente, el tratamiento que realiza como encargado.
• Perfil público del profesional y página pública de clínica: el profesional o la clínica decide publicarlos y es el responsable de la información que contienen y del tratamiento de los datos personales relacionados con ellos, incluidos los de los pacientes que agendan desde su página. La función de Nelhu se limita a publicar esa información en su plataforma y, en su caso, en el directorio, tal como el profesional o la clínica la captura y mientras la mantenga publicada (secciones 3.4 y 3.5).

1.2 Cuando este Aviso se le muestra en nombre de un consultorio o de una clínica

Si usted agenda una cita desde la página pública de un profesional o de una clínica, o conversa con el asistente de WhatsApp de un consultorio, y ese profesional o clínica no ha puesto a su disposición un aviso de privacidad propio, se le muestra este Aviso. En ese caso:

El responsable de sus datos es el profesional o la clínica cuyo nombre aparece en la página o en la conversación; su domicilio es el de su consultorio o sede. Como responsable, le corresponde:

• (a) decidir el uso de sus datos, que se limita a las finalidades relacionadas con su atención: agendar, confirmar, reagendar, cancelar y recordarle sus citas, y atenderle;
• (b) atender las citas que confirma y la consulta, e integrar y conservar su expediente clínico conforme a la normativa sanitaria;
• (c) contar con su consentimiento expreso para tratar sus datos de salud (sección 2.1);
• (d) guardar la confidencialidad de sus datos y el secreto profesional sobre la información de su salud;
• (e) mantener exactos y actualizados sus datos y la información que publica (servicios, precios, sedes y horarios);
• (f) decidir qué personas de su equipo acceden a sus datos y con qué permisos;
• (g) no transferir sus datos a terceros sin su consentimiento, salvo en los casos que permite la ley;
• (h) atender sus solicitudes de acceso, rectificación, cancelación u oposición, de revocación del consentimiento y de limitación del uso, en los plazos de la LFPDPPP (sección 5); y
• (i) informarle de cualquier vulneración de seguridad que afecte de forma significativa sus derechos.

Nelhu actúa como encargado del profesional o de la clínica. Le corresponde:

• (a) recabar sus datos por cuenta del responsable, mediante el formulario de cita o el asistente de WhatsApp;
• (b) almacenarlos, cifrarlos y protegerlos con las medidas de seguridad de la sección 8;
• (c) tratarlos únicamente para las finalidades que determina el responsable, sin usarlos para fines propios ni venderlos;
• (d) apoyarse sólo en los proveedores de la sección 4, bajo obligaciones de confidencialidad y seguridad;
• (e) informar al responsable de cualquier vulneración de seguridad;
• (f) hacer llegar al responsable las solicitudes que usted envíe a admin@nelhu.io; y
• (g) suprimir o devolver sus datos al terminar la relación con el responsable, conforme a la sección 3.3.

2. Datos personales que tratamos

Podemos recabar y tratar las siguientes categorías de datos, según su relación con Nelhu:

De profesionales/consultorios (titulares-clientes): nombre, datos de contacto (correo, teléfono), datos de la cuenta y credenciales, datos de facturación y fiscales, e información del consultorio.

De prospectos / contacto comercial: cuando usted solicita una demostración o información comercial a través de nuestro sitio web, recabamos los datos que voluntariamente nos proporciona (nombre, correo y, en su caso, teléfono) para atender su solicitud y darle seguimiento comercial.

De pacientes (a través del consultorio, Nelhu como encargado): nombre, número de teléfono de WhatsApp, y el contenido de la conversación para agendar/gestionar citas, que puede incluir el motivo de la consulta o síntomas descritos por el paciente.

De pacientes que dejan una opinión sobre un profesional (a través del consultorio, Nelhu como encargado): la calificación (de 1 a 5 estrellas), el comentario que voluntariamente escriba, su nombre de pila con la inicial de su apellido, el servicio recibido y la fecha de la opinión (sección 3.4).

De pacientes que agendan una cita desde la página pública de un profesional o de una clínica (a través del consultorio o la clínica, Nelhu como encargado): nombre, número de teléfono de WhatsApp, correo electrónico, el servicio, la sede, el médico y el horario elegidos, si es su primera consulta, y datos técnicos para prevenir el abuso del formulario (dirección IP y una verificación automática contra robots). El formulario no pide el motivo de la consulta (secciones 3.4 y 3.5).

Datos de navegación/técnicos: dirección IP, identificadores de dispositivo, registros (logs) y cookies o tecnologías similares en el sitio web.

2.1 Datos personales sensibles

Algunos datos pueden constituir datos personales sensibles (datos de salud), por ejemplo el motivo de consulta que el paciente comparta. Conforme al artículo 8 de la LFPDPPP, su tratamiento requiere el consentimiento expreso del titular, que puede manifestarse por medios electrónicos o por signos inequívocos (art. 7).

Cómo se obtiene y se acredita. Antes de tratar sus datos, el asistente le muestra este Aviso —o el del consultorio, si tiene uno propio— y le informa que, al continuar, lo acepta. Solo después el paciente decide, voluntariamente, si escribe el motivo de su consulta: esa manifestación es su consentimiento. La plataforma deja constancia de ello en un registro de solo inserción que guarda el texto exacto que se mostró, su versión y la fecha, de modo que el consultorio pueda acreditarlo. El aviso se muestra una sola vez por paciente y reaparece únicamente cuando se publica una nueva versión.

Citas agendadas desde una página pública. Cuando el paciente agenda desde la página de un profesional o de una clínica, el formulario le muestra el aviso de privacidad del profesional o de la clínica —o este Aviso, en los términos de la sección 1.2, si no ha puesto a disposición uno propio— y el paciente debe aceptarlo antes de enviar su solicitud. La plataforma deja constancia del aviso mostrado, la fecha y la dirección IP desde la que se aceptó.

Nota de minimización: la plataforma está diseñada para no solicitar información clínica detallada. El agente pregunta una sola vez por el motivo de la consulta, en texto libre y sin repreguntar: una respuesta genérica basta para agendar. No diagnostica, no receta ni interpreta estudios.

El detalle del mecanismo y la cláusula que los consultorios pueden usar en sus propios formularios están en el documento Mecanismo y cláusula de consentimiento para datos de salud, disponible a solicitud en admin@nelhu.io.

2.2 Tratamiento mediante inteligencia artificial (transparencia)

El servicio de agendamiento opera mediante un asistente automatizado basado en inteligencia artificial (IA). Le informamos de manera transparente que:

• Está interactuando con un sistema automatizado, no con una persona. El asistente se identifica como tal y, cuando usted lo solicite o el caso lo amerite (p. ej. una posible urgencia), la conversación se escala a una persona del consultorio.
• Finalidad acotada: la IA se utiliza únicamente para interpretar su mensaje y gestionar la cita (entender fechas, intención de agendar/reagendar/cancelar y datos de contacto). El sistema no toma decisiones médicas, no diagnostica, no receta ni sustituye el criterio de un profesional de la salud.
• Sin decisiones jurídicas o significativas automatizadas: el agente no realiza perfilamiento ni adopta decisiones que produzcan efectos jurídicos o le afecten significativamente de forma automatizada; su función se limita a la agenda.
• Proveedores de IA: para procesar el lenguaje natural se utilizan proveedores tecnológicos que actúan como encargados/sub-encargados bajo obligaciones de confidencialidad y seguridad (ver sección 4). Esos proveedores procesan únicamente lo necesario para atender su solicitud en el momento y no utilizan sus datos para entrenar, mejorar ni desarrollar sus modelos, ni para ningún fin propio.

Para cualquier duda sobre el tratamiento automatizado o para solicitar atención por una persona, puede escribir a admin@nelhu.io.

3. Finalidades del tratamiento

3.1 Finalidades primarias (necesarias para el servicio)

• Crear y administrar la cuenta del profesional/consultorio.
• Permitir el agendamiento, reagendamiento, cancelación y consulta de citas vía WhatsApp.
• Enviar confirmaciones, recordatorios y notificaciones operativas de las citas.
• Gestionar la escalación a una persona del consultorio cuando el paciente lo solicita o ante una posible urgencia.
• Facturación, cobranza y soporte del servicio (para clientes).
• Publicar el perfil público del profesional y la página pública de la clínica que ellos deciden publicar y, cuando las tienen activas, las opiniones de sus pacientes (secciones 3.4 y 3.5).
• Recibir y gestionar, por cuenta del profesional o de la clínica, las citas que los pacientes agendan desde su página pública (secciones 3.4 y 3.5).
• Cumplir obligaciones legales y atender requerimientos de autoridad competente.
• Garantizar la seguridad, prevención de abuso y continuidad del servicio.

3.2 Finalidades secundarias (NO necesarias; usted puede negarse)

• Métricas y analítica agregada y disociada para mejorar el producto.
• Comunicaciones sobre novedades del servicio (para clientes).
• Incluir el perfil público del profesional y la página pública de la clínica en el directorio de Nelhu. El profesional o la clínica puede quitarlos en cualquier momento (secciones 3.4 y 3.5).
• Marketing y promoción comercial de Nelhu dirigido a prospectos que lo solicitan o lo consienten (responder solicitudes de demostración, enviar información comercial) y publicidad del sitio y del producto mediante herramientas de analítica/medición (ver sección 7, Cookies).

Compromiso de Nelhu sobre marketing. Nuestras actividades de marketing se apoyan únicamente en (i) datos propios de prospectos que voluntariamente nos los proporcionan, con su consentimiento, y (ii) métricas agregadas y disociadas del uso del producto, que ya no son datos personales porque no permiten identificar ni reidentificar a ninguna persona.

Lo que nunca hacemos: utilizar para marketing —ni para ningún otro fin propio— datos de pacientes identificables o reidentificables, el contenido de las conversaciones, la agenda o el directorio de contactos de un consultorio, ni dar a esos datos uso alguno más allá del autorizado por el profesional para prestar el servicio. Tampoco publicamos cifras de un consultorio en particular.

Umbral de agregación. Ninguna cifra que Nelhu publique o comparta se calcula con menos de 5 consultorios y 20 pacientes detrás, ni se desglosa de manera que permita aislar a un consultorio o a una persona restando dos cifras entre sí.

Derecho de oposición del consultorio. El consultorio puede oponerse a que los datos tratados a través de su cuenta alimenten esas métricas agregadas, desde Mi Cuenta → Privacidad en el portal o escribiendo a admin@nelhu.io. La oposición se aplica en un plazo máximo de 5 (cinco) días hábiles, rige hacia adelante y no afecta la prestación del servicio ni su precio (DPA §5.3).

Si no desea que sus datos se traten para finalidades secundarias, puede manifestarlo enviando un correo a admin@nelhu.io. Su negativa no será motivo para negarle el servicio.

3.3 Plazo de conservación de los datos

Conservamos sus datos personales mientras subsista la finalidad que justificó su tratamiento y, en su caso, durante los plazos legales aplicables. En particular:

• Historial de la relación con el consultorio —su historial de citas (fechas, motivo, profesional) y el historial de su conversación con el asistente por WhatsApp— se conserva a largo plazo, mientras subsista la relación con el consultorio, ya que es necesario para la continuidad de la atención (que el profesional cuente con sus antecedentes en consultas posteriores). En el portal del consultorio, la conversación se muestra por defecto del último año; el histórico más antiguo permanece disponible bajo consulta explícita.
• Datos identificativos y de contacto (nombre, teléfono) se conservan mientras dure la relación, para poder gestionar sus citas y atenderle.
• Expediente clínico —las notas clínicas, antecedentes, alergias y demás información de salud que el profesional registra, junto con la bitácora de quién lo consultó o modificó— sigue un plazo distinto al del resto de sus datos: se conserva al menos 5 (cinco) años contados desde el último acto médico, conforme a la NOM-004-SSA3-2012 del expediente clínico. No se suprime por inactividad de la cuenta ni al vencer el plazo de 90 días descrito abajo; también se conservan, con él, su nombre y los datos que lo identifican como paciente.
• Registros internos de analítica/telemetría del funcionamiento del servicio se conservan 365 días y luego se suprimen automáticamente, manteniéndose únicamente información agregada y disociada (que ya no permite identificarle) con fines estadísticos.
• Adjuntos (imágenes o documentos que el paciente envía por WhatsApp) se conservan 365 días desde su recepción y luego se borran, tanto el archivo como su registro.
• Registros de escalación a una persona del consultorio se conservan para trazabilidad de la atención.
• Opiniones de pacientes se conservan mientras existan la cita a la que corresponden y la cuenta del profesional. Una opinión ocultada por moderación deja de publicarse, pero se conserva junto con el registro del motivo. Se suprimen con la cuenta del profesional o cuando el paciente solicita su cancelación (sección 5).
• Respaldos (backups): tras una supresión, el dato puede subsistir en respaldos hasta que el ciclo de rotación lo sobrescriba; no se restauran datos ya suprimidos.

Al terminar la cuenta del consultorio: tras la cancelación o terminación, mantenemos la cuenta disponible para exportar los datos durante 90 días; después se bloquean y suprimen de forma segura, salvo los datos que debamos conservar por obligación legal (p. ej. fiscal/contable) y el expediente clínico. Ese plazo de 90 días aplica a los datos operativos (agenda, conversaciones, configuración); el expediente clínico no se suprime mientras corra su plazo de 5 años, salvo que se entregue íntegro al consultorio, que es el responsable del expediente clínico conforme a la normativa sanitaria, para que él lo conserve.

Concluida la finalidad o el plazo aplicable, los datos se bloquean y posteriormente se suprimen de forma segura, conforme a nuestra política interna de retención y al principio de calidad de la LFPDPPP. Usted puede solicitar la cancelación de sus datos en los términos de la sección 5 (derechos ARCO), cuando no exista una obligación legal o una base que justifique conservarlos.

3.4 Perfil público del profesional, directorio de médicos, citas en línea y opiniones de pacientes

Perfil público. El profesional puede publicar una página con su información profesional en medicos.nelhu.io. Nelhu nunca publica un perfil sin que el profesional lo publique, y el profesional puede despublicarlo en cualquier momento. El profesional es el responsable de la información de su perfil y del tratamiento de los datos personales relacionados con él; Nelhu se limita a publicarla tal como él la captura (sección 1.1).

Directorio de médicos. Al publicar su perfil, el profesional aparece por defecto en el directorio de médicos de Nelhu (medicos.nelhu.io), donde los pacientes pueden buscar por especialidad, ciudad y servicio. Puede quitarse del directorio en cualquier momento desde «Perfil público» en el portal, sin despublicar su perfil. El directorio muestra únicamente datos que el profesional ya publicó en su perfil, según las secciones que tenga activas: nombre, fotografía, especialidad, dirección del consultorio, formas de pago, padecimientos que atiende, un extracto de su presentación, precio desde el que ofrece consulta, calificación promedio y número de opiniones, y próximos horarios disponibles.

Las páginas del perfil y del directorio son públicas y pueden ser indexadas por buscadores (como Google). Al despublicar el perfil o quitarlo del directorio, Nelhu deja de mostrarlo, pero no controla el tiempo en que un buscador conserva copias o resultados ya indexados.

Citas en línea desde el perfil. Cuando el perfil ofrece agendar en línea, el paciente elige el servicio y el horario, y proporciona su nombre, su teléfono de WhatsApp y su correo. Antes de enviar, se le muestra el aviso de privacidad del profesional o, si no ha puesto a disposición uno propio, este Aviso en los términos de la sección 1.2, y debe aceptarlo. Para confirmar la cita, el paciente recibe un mensaje de WhatsApp del consultorio; si no la confirma, el horario se libera. La cita queda en la agenda del profesional como cualquier otra. El responsable de esos datos es el profesional, y Nelhu los recaba, almacena, cifra y gestiona como encargado, por su cuenta.

Opiniones de pacientes. El responsable de las opiniones es el consultorio: el profesional o, en su caso, la clínica, respecto de las opiniones sobre sus médicos y sobre la propia clínica. Nelhu actúa como encargado: las almacena, las publica y las modera conforme a las reglas que el consultorio acepta en los Términos de Uso. Quien escribe una opinión es responsable de su contenido.

Si el profesional tiene activa la sección de opiniones, después de una cita atendida el paciente recibe un solo mensaje de WhatsApp del consultorio con un enlace personal para calificar su experiencia. El enlace es de un solo uso, vence a los 14 días y solo permite una opinión por cita. Dejar una opinión es voluntario.

Cuando el paciente deja una opinión, se publica en el perfil del profesional: la calificación, el comentario (si lo escribió), su nombre de pila con la inicial de su apellido (por ejemplo, «Laura G.»), el servicio recibido y la fecha. Nunca se publican su apellido completo, su teléfono, sus conversaciones ni información de su expediente.

No incluya datos de salud en su opinión. Su comentario será público. Le pedimos no escribir diagnósticos, medicamentos, tratamientos ni otros datos sobre su salud o la de otras personas.

El profesional puede publicar una respuesta a cada opinión. No puede borrar opiniones; puede, en cambio, ocultar la sección completa de opiniones de su perfil. Nelhu puede ocultar una opinión que incluya datos de salud o de terceros, lenguaje ofensivo o contenido ajeno a la atención recibida, y deja registro del motivo.

Cómo retirar su opinión. El paciente puede pedir que se retire o corrija su opinión escribiendo a admin@nelhu.io, con el nombre del profesional y la fecha de la cita, o ejercer sus derechos ARCO ante el consultorio o ante Nelhu en los términos de la sección 5.

3.5 Página pública de clínica y citas agendadas desde ella

Quién es responsable. Una clínica que usa Nelhu puede publicar una página propia en medicos.nelhu.io/clinica/ seguida de su nombre. La clínica es la responsable de la información que publica en ella —nombre público, logotipo, presentación, servicios, precios, sedes con su ubicación y número de WhatsApp de la clínica— y del tratamiento de los datos personales de los pacientes que agendan desde ella. La función de Nelhu se limita a publicar la página tal como la clínica la captura y, como encargado, a recabar, almacenar, cifrar y gestionar esas citas por cuenta y según instrucciones de la clínica (sección 1.1).

Qué se publica. Además de los datos de la clínica, la página muestra a sus médicos que ya publicaron su propio perfil (sección 3.4) y que la clínica no ha ocultado: su nombre, fotografía, especialidad, calificación y un enlace a su perfil. Cada médico sigue siendo responsable de su propio perfil. La calificación de la clínica es el promedio de las opiniones de sus médicos; los comentarios se ven en el perfil de cada médico. Nelhu nunca publica la página de una clínica sin que la clínica la publique, y la clínica puede despublicarla en cualquier momento. La página deja de estar disponible mientras la clínica no tenga ningún médico activo.

Directorio. Al publicar su página, la clínica aparece por defecto en el directorio de Nelhu (medicos.nelhu.io), junto a los médicos, y puede quitarse en cualquier momento desde el portal, sin despublicar su página. El directorio muestra únicamente datos que la clínica ya publicó: nombre, logotipo, ciudad y sedes, especialidades, calificación promedio, algunos de sus médicos y su próximo horario disponible. Igual que los perfiles de los médicos, la página de la clínica y el directorio son públicos y pueden ser indexados por buscadores; Nelhu no controla el tiempo en que un buscador conserva copias ya indexadas.

Citas desde la página de la clínica. El paciente elige sede, servicio, médico y horario, y proporciona su nombre, su teléfono de WhatsApp y su correo. Antes de enviar, se le muestra el aviso de privacidad de la clínica; si la clínica no ha puesto a disposición uno propio, se le muestra este Aviso, en el que la clínica identificada en la página es la responsable de sus datos, con las obligaciones que señala la sección 1.2, y Nelhu el encargado. Para confirmar la cita, el paciente recibe un mensaje de WhatsApp desde el número de la clínica; si no la confirma, el horario se libera. La cita queda en la agenda de la clínica y del médico elegido como cualquier otra.

Sus derechos. Para ejercer sus derechos ARCO sobre los datos tratados a través de la página de una clínica, diríjase a la clínica, que es la responsable; también puede escribir a admin@nelhu.io y Nelhu hará llegar su solicitud a la clínica (sección 5).

4. Transferencias de datos

Nelhu no vende datos personales. Podemos transferir o dar acceso a datos a:

• Proveedores que actúan como encargados (sub-encargados), bajo contrato y obligaciones de confidencialidad y seguridad, por ejemplo: proveedor de mensajería WhatsApp/Meta Platforms (para enviar/recibir los mensajes), proveedores de inteligencia artificial (un modelo de lenguaje y un servicio de transcripción de notas de voz, que procesan únicamente lo necesario para atender su solicitud y no usan sus datos para entrenar sus modelos), proveedor de infraestructura/hosting, proveedor de envío de correo y proveedor de verificación contra robots de los formularios públicos. Estos proveedores tratan datos fuera de México —principalmente en Estados Unidos, y en el caso de la mensajería y los pagos también en Irlanda—; en todos los casos se exigen garantías contractuales de protección equivalente. El Registro de Sub-encargados y Transferencias, con la identidad, la función, el país y la garantía de cada proveedor, está disponible para cualquier consultorio que lo solicite en admin@nelhu.io.
• El consultorio/profesional o la clínica responsable de los datos del paciente (es a quien se entrega la gestión de la cita, incluidas las que se agendan desde su página pública).
• Autoridades competentes, cuando sea legalmente requerido.

Conforme al artículo 36 de la LFPDPPP, ciertas transferencias no requieren su consentimiento (p. ej. las necesarias para cumplir el servicio contratado o por obligación legal). Salvo esos supuestos, las transferencias se realizarán informándole y, cuando aplique, recabando su consentimiento.

4.1 Integración con Google Calendar y Uso Limitado de datos de Google API

Cuando un consultorio así lo autoriza, Nelhu se integra con Google Calendar mediante las APIs de Google para sincronizar la disponibilidad y las citas. Esta conexión se realiza con su consentimiento explícito a través del flujo de autorización de Google (OAuth), y puede revocarse en cualquier momento desde la configuración de la cuenta de Google del consultorio o desde la plataforma.

Qué accedemos y para qué. La autorización se limita a tres accesos, cada uno con un propósito único y acotado:

El uso, almacenamiento y transmisión de los datos recibidos de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de las API de Google (Google API Services User Data Policy), incluidos sus requisitos de Uso Limitado (Limited Use). En particular:

• Solo usamos el acceso al calendario de Google para proveer y mejorar las funciones de agendamiento visibles para el usuario (sincronizar disponibilidad, agendar/reagendar/cancelar citas y evitar empalmes).
• No transferimos ni vendemos los datos de Google a terceros, salvo para prestar el servicio, por obligación legal, como parte de una operación corporativa o con su consentimiento.
• No usamos los datos de Google con fines de publicidad de ningún tipo.
• No usamos los datos obtenidos de las APIs de Google para desarrollar, mejorar o entrenar modelos de inteligencia artificial o de aprendizaje automático generalizados, ni los transferimos a terceros para que lo hagan. Nelhu emplea modelos de lenguaje de terceros para conversar con los pacientes por WhatsApp (§2.2) y el contenido de sus eventos de Google Calendar no se envía a esos modelos: el asistente únicamente consulta si un horario está libre u ocupado, un cálculo que Nelhu resuelve por sí mismo contra su propia base de datos.
• No permitimos que personas lean los datos de Google, salvo: (i) con su consentimiento expreso; (ii) por seguridad (p. ej. investigar abuso); (iii) por obligación legal; o (iv) datos agregados y anonimizados usados para operar o depurar el servicio.
• Conservamos los datos del calendario solo el tiempo necesario para prestar el servicio; al desconectar la integración o cancelar la cuenta, se eliminan o anonimizan conforme a nuestra Política de Retención.

5. Medios para ejercer sus derechos ARCO y revocar el consentimiento

Usted tiene derecho a Acceder, Rectificar, Cancelar u Oponerse (derechos ARCO) al tratamiento de sus datos, así como a revocar su consentimiento y a limitar el uso o divulgación de sus datos.

Para ejercerlos, envíe una solicitud a admin@nelhu.io indicando: (i) nombre del titular y medio para recibir respuesta; (ii) documento que acredite identidad (o representación); (iii) descripción clara de los datos y del derecho que desea ejercer; (iv) cualquier elemento que facilite la localización de los datos. Responderemos en los plazos que marca la LFPDPPP (en general, 20 días hábiles para responder y 15 para hacerla efectiva).

Si usa WhatsApp con Nelhu, también puede desconectar su número usted mismo desde el panel y solicitar la eliminación de sus datos siguiendo las instrucciones de Eliminación de Datos.

Pacientes: si usted es paciente y sus datos fueron tratados a través de un consultorio o de una clínica que usa Nelhu, incluso al agendar desde su página pública, el responsable es dicho consultorio o clínica; puede dirigir su solicitud ARCO al consultorio o a la clínica, o a Nelhu, y le orientaremos/canalizaremos según corresponda.

6. Medios para limitar el uso o divulgación de sus datos

Además de los derechos ARCO, puede solicitar la inscripción en los registros de exclusión que correspondan y solicitar dejar de recibir comunicaciones de finalidades secundarias escribiendo a admin@nelhu.io.

7. Uso de cookies y tecnologías de rastreo (sitio web)

El sitio https://www.nelhu.io usa cookies y tecnologías similares para funcionamiento, preferencias, analítica y marketing (incluidas herramientas de terceros como Google Analytics, Google Ads y Meta Pixel). El sitio muestra un aviso visible al primer contacto; si usted continúa navegando después de conocerlo sin manifestar oposición, Nelhu entiende que existe consentimiento tácito para el tratamiento descrito. Puede borrar o bloquear cookies desde su navegador, así como ejercer derechos ARCO, revocar su consentimiento u oponerse al tratamiento escribiendo a admin@nelhu.io. Estas tecnologías se usan únicamente en nelhu.io: app.nelhu.io, incluido el registro y el portal autenticado, no carga Google Analytics, Google Tag Manager, Meta Pixel ni otros tags publicitarios. Detalle en la Política de Cookies.

8. Medidas de seguridad

Nelhu implementa medidas administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso y acceso no autorizados. Entre otras:

• Cifrado en tránsito en todas las conexiones, incluida la de la base de datos, que exige verificación completa del certificado.
• Aislamiento por consultorio aplicado en la propia base de datos, de modo que una consulta no puede alcanzar datos de otro consultorio aunque el código lo intentara.
• Control de acceso por rol y por capacidad, decidido siempre en el servidor.
• Credenciales de integración cifradas en reposo y secretos custodiados en un gestor dedicado.
• Respaldos cifrados antes de salir de la infraestructura, con rotación programada.
• Registros de auditoría de las operaciones sensibles y monitoreo continuo del servicio.

Ningún sistema es infalible; ante una vulneración que afecte significativamente los derechos de los titulares, se notificará conforme a la ley y al plan de respuesta a vulneraciones de Nelhu.

9. Cambios al Aviso de Privacidad

Este Aviso puede actualizarse. La versión vigente estará disponible en https://app.nelhu.io/legal/aviso-de-privacidad.html con su fecha de última actualización. Cuando los cambios sean sustanciales, se comunicarán por los medios de contacto registrados.

10. Consentimiento

Al proporcionar sus datos personales por cualquier medio —sitio web, registro en la plataforma, formulario de cita de una página pública o interacción con el asistente de WhatsApp—, y de no manifestar oposición, usted consiente el tratamiento conforme a este Aviso. Tratándose de datos sensibles de salud, su consentimiento expreso se obtiene y se acredita en los términos de la sección 2.1.