POLÍTICA DE RETENCIÓN Y SUPRESIÓN DE DATOS PERSONALES — NELHU
Última actualización: 26 de septiembre de 2026 Versión: 2.3 — vigente Documentos relacionados: Aviso de Privacidad, Convenio de Encargado (DPA), Documento de Seguridad.
1. Objeto y principio
Esta política establece cuánto tiempo INCUBEIT SAPI DE CV ("Nelhu") conserva cada categoría de datos personales y cómo los suprime de forma segura, en cumplimiento del principio de calidad del artículo 10 de la LFPDPPP: los datos deben suprimirse cuando dejen de ser necesarios para las finalidades que justificaron su tratamiento, y no conservarse más allá de los plazos que fijen las disposiciones aplicables.
Todos los plazos de la §3 están implementados en la plataforma como procesos automáticos (jobs) que corren a diario, no como una intención administrativa.
Doble rol. Para los datos de pacientes, Nelhu es encargado: los plazos se aplican por instrucción del Consultorio (responsable) y conforme al Convenio de Encargado. Para los datos de la cuenta del Consultorio, Nelhu es responsable y fija los plazos directamente.
2. Bloqueo previo a la supresión
Antes del borrado definitivo, los datos pueden pasar por un periodo de bloqueo: se conservan pero no se tratan, salvo para deslindar responsabilidades, durante el plazo de prescripción de las obligaciones aplicables. Concluido ese plazo se procede a la supresión definitiva.
En la plataforma, el bloqueo se materializa en la baja de la cuenta: desde que el Consultorio causa baja definitiva, sus datos dejan de tratarse operativamente y permanecen 90 días antes de la purga (§3, última fila), ventana durante la cual el Consultorio puede exportarlos.
3. Tabla de retención
| Categoría de dato | Dónde se guarda | Plazo | Cómo se ejecuta |
|---|---|---|---|
| Conversaciones de pacientes (mensajes, motivo de consulta) | Registro de la conversación | Mientras dure la relación con el Consultorio; se suprime con la purga de la cuenta | No se purgan por antigüedad: son la continuidad de la atención y el respaldo de la evidencia del consentimiento. En el portal, el médico consulta de forma ordinaria los últimos 365 días |
| Citas (agendadas, canceladas, historial) | Agenda del Consultorio | Mientras dure la relación; se suprime con la purga de la cuenta | Borrado en cascada al purgar el tenant |
| Datos de contacto del paciente | Directorio de pacientes | Mientras dure la relación; se suprime con la purga de la cuenta, salvo el paciente que tiene expediente clínico | Borrado al purgar el tenant; el paciente con expediente se conserva con sus datos identificativos y de contacto, junto con el expediente |
| Expediente clínico (líneas de atención, notas, antecedentes, franja de seguridad clínica, bitácora de accesos) | Tablas del expediente | Al menos 5 años desde el último acto médico (NOM-004-SSA3-2012) | Se preserva deliberadamente en la purga de la cuenta y nunca se suprime por inactividad; sólo sale de la plataforma al vencer el plazo o al entregarse íntegro al Consultorio, responsable del expediente |
| Adjuntos del paciente (imágenes, PDF) | Almacenamiento de objetos + su registro en la base de datos | 365 días desde su recepción | Job diario a las 4:00 a. m.: borra el objeto del almacenamiento y después la fila |
| Telemetría conversacional (eventos por turno) | Registro de telemetría, particionado por fecha | 365 días a nivel de evento individual | Job diario a las 5:00 a. m. Los rollups estadísticos se conservan ya disociados (no permiten reidentificar a un titular, por lo que dejan de ser datos personales) |
| Escalaciones a humano | Registro de escalaciones | Mientras dure la relación; se suprime con la purga de la cuenta | Trazabilidad de la atención escalada |
| Evidencia del consentimiento | Registro de consentimiento, append-only (solo admite altas) | Mientras dure la relación; se suprime con la purga de la cuenta | Es la prueba de que se informó el aviso; su borrado anticipado dejaría al Consultorio sin poder acreditarlo |
| Datos de la cuenta del Consultorio (registro, configuración, perfiles, horarios, servicios) | Tablas de la cuenta | Durante el contrato + 90 días desde la baja definitiva | Job diario a las 5:30 a. m.: purga los datos y anonimiza los registros raíz de médico, usuarios y organización |
| Datos fiscales y de facturación | Registro fiscal e historial de cobros | 5 años — obligación legal de conservar la contabilidad (art. 30 del Código Fiscal de la Federación) | Se preservan deliberadamente en la purga de la cuenta; se suprimen al vencer la obligación |
| Sesiones del portal | Registro de sesiones en el servidor + cookie nelhu_token |
Caducidad por inactividad a los 30 días; ventana máxima 90 días; revocables al instante | Ver Política de Cookies §2 |
| Enlaces de un solo uso | Registros de tokens de un solo uso | Enlace mágico 15 minutos; invitación a delegado 7 días; URL firmada de un adjunto 10 minutos | Caducidad por diseño |
| Credenciales de integración (token de WhatsApp, token de Google Calendar) | Registro de integraciones — cifradas en reposo | Mientras la integración esté conectada | Se borran al desconectar la integración y en la purga de la cuenta |
| Respaldos cifrados de la base de datos | Object storage, cifrados con age |
Diarios 14 días · semanales 56 días · mensuales 200 días | Rotación GFS automática; el respaldo más antiguo recuperable tiene 200 días |
| Bitácoras técnicas y de seguridad | Registros de sistema y monitoreo | Rotación de la plataforma de observabilidad | Rotación + borrado |
| Secretos de operación (llaves de API, DSN) | Gestor de secretos Infisical | Mientras estén vigentes | Revocación y borrado al rotar o al terminar la relación con el proveedor |
Nota sobre respaldos. Tras una supresión, el dato puede subsistir en los respaldos cifrados hasta que el ciclo de rotación lo sobrescriba —como máximo 200 días—. Los respaldos no se restauran para recuperar datos ya suprimidos.
4. Disparadores de la supresión
La supresión se inicia cuando:
- Vence el plazo de la tabla anterior.
- Termina la relación con el Consultorio: 90 días de gracia para exportar y después purga con anonimización de los registros raíz. El expediente clínico queda fuera de esta purga (§3).
- Prospera una solicitud ARCO de cancelación de un titular, por la vía del Procedimiento ARCO.
- Se revoca el consentimiento y no existe otra base legal para conservar el dato.
5. Método de borrado seguro
- Base de datos:
DELETEdefinitivo en orden de dependencia (hijo → padre), dentro de una sola transacción y de forma idempotente. No se deja el dato en soft delete. - Anonimización: los registros raíz que no pueden borrarse sin romper la integridad referencial (médico, usuarios, organización) se anonimizan de modo irreversible.
- Disociación: los datos que se conservan con fines estadísticos se agregan de forma que no permitan reidentificar al titular. El umbral mínimo de agregación (5 consultorios y 20 pacientes por cifra, sin desglose que permita aislar a uno por diferencia) y el derecho del consultorio a oponerse a ese uso constan en el Estándar de anonimización de métricas y en el DPA §5.3 a §5.5.
- Archivos y objetos: se borran del almacenamiento antes de borrar la fila que los referencia, para no dejar objetos huérfanos.
- Respaldos: sobrescritura por el ciclo de rotación; no se restauran datos ya suprimidos.
- Constancia: a solicitud del Consultorio, Nelhu emite constancia del borrado.
6. Roles y responsabilidades
- Departamento de Datos Personales de Nelhu (admin@nelhu.io) — mantiene esta política, supervisa los plazos y verifica que los procesos automáticos de borrado corran.
- Consultorio (responsable de los datos de pacientes) — imparte las instrucciones aplicables dentro de los márgenes legales y decide sobre las cancelaciones que le competen.
- Equipo técnico de Nelhu — implementa los jobs de retención y verifica su ejecución.
7. Revisión
Esta política se revisa al menos una vez al año y siempre que cambien la legislación aplicable, la arquitectura de la plataforma o la lista de subencargados.