Ya anunciamos la próxima versión, 1.0.13-DRAFT-2026-10: entra en vigor el 1 de noviembre de 2026. Leerla
Este Aviso de Privacidad se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, con última reforma del 14 de noviembre de 2025, la "LFPDPPP") y demás normativa aplicable en los Estados Unidos Mexicanos.
NOPAIN TECHNOLOGIES, S.A.S. —denominación seguida siempre de las palabras "Sociedad por Acciones Simplificada" o de su abreviatura "S.A.S."— (en adelante "NoPain", "nosotros"), con Registro Federal de Contribuyentes NTE260708GI1 y domicilio en Calle Lago Calafquén No. 98, Int. 94, Col. Fuentes del Lago, C.P. 20200, Aguascalientes, Aguascalientes, México, es quien emite este Aviso de Privacidad respecto de la plataforma tecnológica NoPain, integrada por:
Teléfono de contacto: +52 449 928 0100 (también WhatsApp), para aclaraciones y reclamaciones sobre el servicio.
Para cualquier asunto relacionado con la protección de tus datos personales puedes contactar a nuestro departamento de datos personales en: privacidad@nopain.mx. Los derechos ARCO sobre los datos de los que NoPain es Responsable (sección 2.1), incluida la oposición a sus finalidades secundarias (sección 4.2), se ejercen por ese correo o desde el módulo de la aplicación (sección 10), no por teléfono: la ley nos obliga a dejar constancia de la fecha en que recibimos tu solicitud y del sentido de nuestra respuesta, y una llamada no deja esa constancia. Los de tu expediente clínico se ejercen ante tu clínica, que es su Responsable (sección 10).
NoPain es una plataforma que utilizan clínicas y profesionales de la fisioterapia para gestionar la atención de sus pacientes. Por ello, conforme a la LFPDPPP, NoPain actúa con dos roles distintos, y es importante que sepas cuál aplica a cada categoría de tus datos:
NoPain decide sobre el tratamiento y es Responsable de:
Dónde está la línea con tus datos de identificación. El correo y la contraseña con los que entras a la aplicación son datos de tu cuenta, y de ellos NoPain es Responsable. Tu nombre, tu CURP, tu fecha de nacimiento, tu folio de expediente y los demás datos de identificación que tu clínica captura en tu expediente (sección 3.1) son del expediente, y de ellos la Responsable es tu clínica: NoPain los trata como Encargado, por cuenta de ella. Que el mismo dato aparezca en los dos sitios no lo convierte en dos datos: manda el sitio desde el que se trata.
Por eso las solicitudes sobre tu identificación dentro del expediente se dirigen a tu clínica, como explica la sección 10, aunque nos escribas a nosotros.
Cuándo mira NoPain tus datos. El personal de NoPain puede localizarte en la plataforma sólo por seis motivos tasados —turnar una solicitud de derechos a tu clínica, resolver una que nos toque a nosotros, cumplir una orden de autoridad o una retención legal, decidir la supresión de un expediente vencido, responder a una petición de tu propia clínica, y la custodia cuando tu clínica cerró—, y lo que ve son datos operativos: tu folio, el estado legal de tu expediente y con qué clínicas estás vinculado. Nunca el contenido de tu expediente. Cada una de esas consultas queda registrada en la bitácora de auditoría de tu clínica, con su motivo y su fecha, para que tu clínica —que es la Responsable— pueda vigilarlo. El detalle de cualquiera de ellas se entrega a petición en privacidad@nopain.mx.
Los datos clínicos de los pacientes (expediente clínico, historia clínica, notas de evolución, diagnósticos funcionales, prescripciones de ejercicio, registros de dolor y de cumplimiento, signos vitales, estudios de imagen, consentimientos) son tratados por NoPain por cuenta y bajo las instrucciones de la clínica o profesional de la salud que te atiende, quien es el Responsable de dichos datos conforme a la LFPDPPP y el propietario del expediente clínico conforme a la NOM-004-SSA3-2012.
Respecto de esos datos, NoPain actúa como Encargado del tratamiento: los almacena, protege y pone a disposición de tu clínica, pero no decide para qué se usan. El aviso de privacidad que rige el tratamiento de tu expediente clínico es el aviso de privacidad de tu clínica, que te fue presentado al otorgar tu consentimiento y que puedes consultar y descargar en cualquier momento desde la aplicación.
Como Encargado, NoPain se obliga frente a las clínicas y frente a ti a: (i) tratar los datos únicamente conforme a las instrucciones del Responsable; (ii) abstenerse de usarlos para finalidades propias distintas a las descritas en este aviso; (iii) implementar las medidas de seguridad descritas en la sección 8; (iv) guardar confidencialidad; (v) suprimir o devolver los datos al concluir la relación, salvo que una obligación legal exija su conservación (ver sección 9); y (vi) abstenerse de transferirlos salvo en los supuestos aquí descritos.
Nombre(s), apellidos, fecha de nacimiento, sexo/género, nacionalidad, CURP, domicilio, teléfono, correo electrónico, contacto de emergencia, folio de expediente y firma (imagen de firma autógrafa digitalizada).
Si una clínica te invita a la plataforma —como profesional o como paciente— tratamos la dirección de correo a la que se envía la invitación y el código de un solo uso que la acompaña, con la única finalidad de entregártela y permitir que quien te invitó la reenvíe mientras siga vigente. Esa dirección nos la proporciona la clínica que te invita, no tú, y no la usamos para ninguna otra cosa: no entra en analíticas, ni en directorios, ni en comunicaciones comerciales. Si la invitación no se acepta, se suprime en el plazo de la sección 9.
Si te invitaron como profesional y no quieres recibir esos correos, el propio correo lleva un enlace para cancelar la invitación. No necesitas cuenta ni acreditar tu identidad para usarlo: cancelada, deja de ser válida y no volvemos a escribirte por ella. Es la vía que te damos para oponerte al tratamiento de tu dirección cuando no tienes ninguna relación con nosotros (LFPDPPP art. 26); si prefieres el canal formal, o quieres ejercer cualquier otro derecho, la sección 10 explica cómo.
Número de cédula profesional, rol dentro de la clínica, sede(s) asignada(s) y actividad realizada dentro de la plataforma (con fines de atribución de notas clínicas conforme a la NOM-004-SSA3-2012 y de auditoría conforme a la NOM-024-SSA3-2012).
En la operación de la plataforma se tratan, por cuenta de tu clínica, datos personales sensibles relativos a tu estado de salud presente y futuro, incluyendo de manera enunciativa: historia clínica (antecedentes heredofamiliares, personales patológicos y no patológicos, hábitos), alergias y medicación, signos vitales y antropometría, tipo sanguíneo, diagnóstico funcional y pronóstico, motivo de consulta, notas de evolución, plan y tratamiento fisioterapéutico, prescripciones de ejercicio, registros de intensidad de dolor (escala del 0 al 10) y zonas corporales, percepción de esfuerzo (escala del 0 al 10), registros de cumplimiento de ejercicios, estudios de imagen, diagnóstico de referencia emitido por el médico tratante, y los consentimientos otorgados.
El tratamiento de datos sensibles requiere tu consentimiento expreso y por escrito, el cual se recaba mediante firma (autógrafa digitalizada o electrónica) antes de crear tu expediente. Puedes revocarlo en los términos de la sección 7.
Dirección IP, tipo de dispositivo y sistema (user agent), fechas y horas de acceso y de acciones sobre registros clínicos. Estos datos se recaban de manera automática y son necesarios para la seguridad del sistema y las bitácoras de auditoría exigidas por la NOM-024-SSA3-2012.
Si activas los avisos en tu dispositivo, se almacena además el identificador de notificaciones push que tu sistema operativo asigna a esa instalación de la app. Sirve únicamente para entregarte los avisos y se elimina cuando cierras sesión, o cuando el servicio de notificaciones informa que esa instalación dejó de existir (por ejemplo, si desinstalas la aplicación).
También guardamos el registro de entrega de los correos que te enviamos: un identificador del mensaje, de qué tipo de aviso se trataba, si se entregó o no y, cuando no, el motivo técnico que nos informó el proveedor. Ese registro no contiene el texto del mensaje, su asunto ni tu dirección de correo, y sirve para dos cosas: saber si un aviso importante te llegó y avisarle a tu clínica cuando una dirección está mal escrita, para que pueda corregirla.
NoPain no recaba datos de geolocalización precisa, biométricos (más allá de la imagen de firma), ni datos de origen étnico, creencias religiosas, afiliación sindical u opiniones políticas como parte del funcionamiento de la plataforma. Los campos de historia clínica que tu profesional documente (p. ej. religión, cuando sea clínicamente relevante) forman parte del expediente clínico bajo responsabilidad de tu clínica.
Puedes oponerte a las finalidades secundarias en cualquier momento: (i) desde el módulo de derechos ARCO de la aplicación (solicitud de oposición); o (ii) escribiendo a privacidad@nopain.mx. Registrada tu oposición, tus datos quedan excluidos de las analíticas agregadas de manera permanente.
NoPain no vende ni renta datos personales. Solo se realizan las siguientes comunicaciones de datos:
| Destinatario | País | Finalidad | Fundamento |
|---|---|---|---|
| La clínica o profesional que te atiende | México | Prestación del servicio de fisioterapia (es el Responsable de tu expediente) | Relación jurídica / consentimiento otorgado a la clínica |
| Autoridades competentes | México | Cumplimiento de requerimientos legales fundados y motivados | Art. 9, fr. VII y 36 LFPDPPP |
| Encargados (subencargados) de infraestructura descritos en la sección 6 | EE. UU. (ver sección 6) | Alojamiento, almacenamiento de archivos, generación de documentos, correo electrónico y operación técnica | Remisión a encargados; no constituye transferencia que requiera consentimiento (actúan por cuenta de NoPain bajo contrato) |
| Plus Five Five, Inc. (Resend) | EE. UU. | Los datos de entrega de cada correo (remitente, destinatario y registro técnico del envío) que el proveedor usa por cuenta propia para operar, facturar y prevenir el abuso de su servicio | Art. 36, fr. VII LFPDPPP: transferencia precisa para el cumplimiento de la relación jurídica entre tú y nosotros. No incluye el contenido de los mensajes, que el proveedor trata únicamente por nuestra cuenta |
Cualquier otra transferencia que legalmente requiera tu consentimiento te será informada y solicitada previamente.
Para operar la plataforma, NoPain contrata los servicios tecnológicos de la tabla. Estos proveedores tratan los datos por cuenta de NoPain, para prestarle el servicio que se indica en cada fila. Hay dos excepciones, que se explican en los párrafos siguientes: el video de los ejercicios, en el que tu dispositivo se conecta directamente con YouTube, y los datos de entrega de los correos, que el proveedor de correo usa también por su cuenta (sección 5).
| Proveedor | Servicio | Ubicación del tratamiento |
|---|---|---|
| Laravel Cloud (Laravel Holdings Inc.) | Alojamiento de la aplicación y base de datos | Estados Unidos (región US East, Ohio), sobre infraestructura de Amazon Web Services |
| Cloudflare, Inc. (R2) | Almacenamiento cifrado de archivos: estudios y documentos escaneados, imágenes de firma, los PDF que genera la Plataforma y las identificaciones que se envían para comprobar una identidad | Estados Unidos |
| Fly.io, Inc. | Generación de los documentos PDF de la Plataforma (notas, recetas, consentimientos, el expediente completo, la bitácora y el aviso de privacidad): recibe el contenido de cada documento, incluido el de tu expediente, y devuelve el archivo sin conservar copia | Estados Unidos (Ashburn, Virginia) |
| Plus Five Five, Inc. (Resend) | Envío de correos electrónicos transaccionales | Estados Unidos |
| Google Cloud Mexico, S. de R.L. de C.V. (Google Workspace) | Correo electrónico de las direcciones @nopain.mx, incluida privacidad@nopain.mx: los mensajes que escribimos y recibimos, entre ellos las solicitudes de derechos y lo que las acompaña | Estados Unidos; el procesamiento puede ocurrir de paso en otros países donde Google o sus subencargados tienen instalaciones |
| Cloudflare, Inc. | Verificación antifraude del formulario público de la lista de espera (Turnstile) | Estados Unidos |
| Laravel Holdings Inc. (Laravel Nightwatch) | Monitoreo técnico y registro de errores del servidor (telemetría operativa) | Estados Unidos |
| Google LLC (YouTube) | Reproducción del video demostrativo de los ejercicios del catálogo | Estados Unidos |
| Functional Software, Inc. (Sentry) | Registro de errores técnicos de las aplicaciones móviles | Estados Unidos |
| Exponent, Inc. (Expo) | Entrega de las notificaciones push a tu dispositivo | Estados Unidos |
| Apple Inc. (APNs) y Google LLC (FCM) | Servicio de notificaciones del sistema operativo de tu dispositivo | Estados Unidos |
Sobre el video de los ejercicios. Los videos demostrativos del catálogo están alojados en YouTube y se reproducen dentro de la aplicación. Cuando pulsas reproducir —y solo entonces; el reproductor no se carga hasta que lo pides— tu dispositivo se conecta a los servidores de Google, que recibirán tu dirección IP y datos técnicos de la reproducción conforme a sus propias políticas. NoPain usa el dominio youtube-nocookie.com, que no coloca cookies de seguimiento publicitario. NoPain no envía a Google ningún dato de tu expediente ni te identifica ante el proveedor: la conexión es entre tu dispositivo y YouTube, y el único dato que la origina es qué ejercicio decidiste ver.
Sobre la verificación del formulario público. El formulario de la lista de espera está protegido con Cloudflare Turnstile, que distingue a una persona de un programa automatizado sin plantearte un acertijo. Para hacerlo, tu navegador se comunica con Cloudflare y le entrega tu dirección IP y señales técnicas del dispositivo; ese intercambio ocurre antes de que envíes el formulario, porque es lo que decide si el envío se acepta. No se usa para publicidad ni para seguirte por otros sitios, y sólo interviene en esa pantalla: dentro de la aplicación no hay ninguna verificación de este tipo.
Sobre el monitoreo técnico y el registro de errores. Para comprobar que el servicio funciona y corregir lo que falla usamos dos proveedores: Laravel Nightwatch, para el servidor, y Sentry, para las aplicaciones móviles. El servidor envía a Nightwatch datos técnicos de su funcionamiento —qué parte del servicio se usó, cuánto tardó, qué respondió y, si algo falló, el tipo de error y el lugar del código donde ocurrió—. Las aplicaciones envían a Sentry un reporte solo cuando algo falla, con el tipo de error, el lugar del código y datos técnicos del dispositivo, como el modelo, el sistema operativo y la versión de la aplicación.
Nada de eso incluye el contenido de tu expediente —notas, diagnósticos, registros de dolor, ejercicios— ni tu nombre, tu correo, tu CURP o lo que escribes o buscas en la aplicación: las direcciones del servicio viajan sin los términos de búsqueda, y los mensajes de error de la base de datos y los que el servidor redacta para la pantalla se sustituyen por un código antes de salir del servidor o del teléfono. Para saber a qué cuenta corresponde cada dato se usan números internos que solo NoPain puede vincular con una persona: en el servidor y en la aplicación para profesionales, el de la cuenta del profesional, el de la clínica y, en algunos errores, el del registro en el que ocurrió. Si eres paciente, no se envía el número de tu cuenta: en NoPain Paciente, el reporte lleva un identificador aleatorio de esa instalación, que ves como código de soporte (Perfil › Ayuda) y que solo sirve para encontrar los errores de ese teléfono si nos escribes, y, cuando aplica, el número de tu clínica. El servidor no envía tu dirección IP; Sentry la ve al recibir el reporte, como ocurre en cualquier conexión a internet, y está configurado para no guardarla.
Este monitoreo forma parte de prestarte el servicio y mantenerlo seguro (sección 4.1, finalidad 10). No se usa para las estadísticas ni los análisis de la sección 4.2, ni para publicidad.
Sobre las notificaciones push. Cuando la aplicación te avisa de un cambio en tu agenda, el mensaje viaja de nuestros servidores a los de Expo y de ahí al servicio de notificaciones de Apple o de Google, que es el único camino por el que un aviso puede llegar a un teléfono. Ese mensaje nunca contiene información clínica: por decisión de diseño solo puede llevar nombre, fecha, hora y sede de la cita —nunca diagnóstico, motivo de consulta, zona de dolor ni nada del expediente—, porque un aviso aterriza en la pantalla bloqueada, a la vista de quien esté cerca. Puedes desactivar los avisos en cualquier momento desde los ajustes de tu dispositivo, sin que ello afecte el resto del servicio.
Sobre el correo electrónico. Los correos que te enviamos —tu código de invitación, la verificación de tu dirección, el restablecimiento de contraseña, los avisos de seguridad y los de tu agenda— salen a través de un proveedor especializado ubicado en Estados Unidos, que los entrega en tu bandeja y nos informa si llegaron. Ese proveedor conserva el contenido del mensaje y su registro de entrega durante 30 días, y después los elimina; si dejáramos de ser sus clientes, borraría lo que quede dentro de los 90 días siguientes. Por eso el contenido de nuestros correos es deliberadamente escaso: nunca llevan información de tu expediente —ni diagnóstico, ni motivo de consulta, ni zona de dolor, ni ejercicios—, y el asunto, el remitente y la vista previa de la invitación no nombran a tu clínica, porque esos tres se ven en la pantalla bloqueada del teléfono. Si necesitas que un mensaje concreto se elimine antes de esos 30 días, escríbenos a privacidad@nopain.mx y lo solicitamos.
En consecuencia, tus datos personales se almacenan en servidores ubicados en los Estados Unidos de América; el correo electrónico puede procesarse de paso en otros países, como indica la tabla. Ni la ley mexicana ni su reglamento exigen que los datos se alojen en territorio nacional, y en el T-MEC (art. 19.12) México se comprometió a no exigir que las instalaciones de cómputo se ubiquen en su territorio como condición para operar; esta remisión internacional se realiza con proveedores que ofrecen garantías contractuales y certificaciones de seguridad reconocidas (p. ej. cifrado en tránsito y en reposo, controles de acceso, certificaciones de seguridad reconocidas de la infraestructura subyacente: SOC 2 Tipo II y, en algunos proveedores, ISO 27001). Al aceptar este aviso, quedas informado de dicho tratamiento transfronterizo.
La lista de proveedores puede actualizarse; la versión vigente estará siempre disponible en este aviso. Cambios de proveedor que impliquen nuevas categorías de tratamiento se comunicarán conforme a la sección 12.
NoPain implementa medidas de seguridad administrativas, técnicas y físicas alineadas con la LFPDPPP, la NOM-024-SSA3-2012 y buenas prácticas de la industria, entre ellas:
Vulneraciones de seguridad: si una vulneración afecta de forma significativa tus derechos: (a) si afecta datos de los que NoPain es responsable (sección 2.1), como los de tu cuenta, te lo avisaremos de inmediato, en cuanto confirmemos qué ocurrió, con la naturaleza del incidente, los datos comprometidos, lo que te recomendamos hacer, las acciones que tomamos y dónde puedes obtener más información; (b) si afecta datos de tu expediente clínico, el aviso te lo da tu clínica, que es la responsable; NoPain le informa a ella y le da lo necesario para hacerlo.
Reporte de vulnerabilidades: si detectas una falla de seguridad o un acceso indebido, escríbenos a seguridad@nopain.mx. Atendemos los reportes de buena fe y no emprenderemos acciones contra quien nos informe de una vulnerabilidad sin explotarla ni divulgarla antes de que la corrijamos.
| Categoría | Plazo |
|---|---|
| Expediente clínico y registros asociados, incluidos los consentimientos que firmaste ante tu clínica y su evidencia | Mínimo 5 años desde la fecha del último acto médico (NOM-004-SSA3-2012, numeral 5.4); después, supresión segura |
| Datos de cuenta (correo, teléfono, contraseña, fotografía, perfil profesional y preferencias) | Mientras la cuenta exista. Al eliminarla se suprimen de inmediato, salvo lo que la ley obliga a conservar y que se detalla en las filas siguientes |
| Nombre y cédula profesional que figuran como autoría de una nota, receta o registro clínico | Mientras exista el registro clínico que los contiene. No son un dato de tu cuenta: identifican a quien elaboró un documento clínico, y la ley obliga a conservarlos sin alteración (NOM-004-SSA3-2012, numerales 5.10 y 5.11; LFPDPPP art. 25, fracción II). Se conservan solo como autoría: se leen donde son autoría de un registro, y en ningún otro lugar |
| Bitácora de auditoría (quién consultó o modificó qué, cuándo, y desde qué dirección IP y dispositivo) | Lo que se refiere a un expediente clínico, mientras ese expediente exista y hasta 5 años después de que se suprima; desde la supresión, sin los valores que se consultaron o cambiaron. Lo demás —inicios de sesión, seguridad de tu cuenta, administración de la clínica—, 5 años desde que ocurrió. Sirve para demostrar cómo se trataron los datos y que se suprimieron a tiempo (Reglamento de la LFPDPPP, art. 39). La NOM-024-SSA3-2012 pide trazabilidad y no repudio (numeral 6.6.1), pero no fija un plazo de conservación. Si un juicio, una autoridad o una reclamación lo requieren, se conserva hasta que concluyan |
| Invitaciones a la plataforma que no se aceptaron (la dirección de correo a la que se enviaron y el código de un solo uso) | 30 días naturales desde que la invitación venció, se canceló o se rechazó —incluido cuando la cancelas tú desde el enlace del correo—. Cumplido el plazo suprimimos el correo y el código, y queda únicamente la constancia de que esa invitación existió y quién la envió, sin identificar a quién iba dirigida (LFPDPPP art. 10: los datos que dejaron de ser necesarios para la finalidad que los motivó se suprimen). Si la invitación se acepta, ese correo pasa a ser el de tu cuenta y le aplica la fila «Datos de cuenta» |
| Copia de la identificación que nos envías para comprobar tu identidad cuando tu clínica cerró | Se destruye en cuanto queda comprobado que eres tú, o si tu solicitud se cierra sin respuesta negativa. Si no coincide, queda bloqueada hasta 25 días hábiles después de que te respondimos, y nunca más de 40 días hábiles desde el cotejo, salvo un procedimiento ante la autoridad. Queda la constancia de la comprobación y la huella del archivo |
| Evidencia de tu aceptación de los Términos y de este Aviso (contrato electrónico), seas clínica, profesional o paciente | Mientras tu cuenta exista y 10 años después de que la elimines (Código de Comercio, arts. 49 y 1047); después de eliminarla se guarda solo como prueba del contrato. Si eres paciente y tu expediente se suprime antes porque procedió su cancelación, se suprime con él |
| Constancia de que eliminaste tu cuenta: tu nombre, tu cédula si eres profesional, una huella de tu correo que no muestra la dirección, la fecha, por dónde la pediste y cómo comprobamos que eras tú | 10 años desde la eliminación, bloqueada: prueba que atendimos tu solicitud, no se usa para nada más y solo se consulta ante una reclamación o un requerimiento de autoridad; después se suprime (LFPDPPP arts. 2, fracción III, y 24). Si eres paciente y tu expediente se suprime antes porque procedió su cancelación, se suprime con él |
| Datos de facturación de clínicas | Plazos fiscales aplicables (mínimo 5 años, Código Fiscal de la Federación art. 30) |
| Registro de entrega de los correos enviados | 90 días desde el último cambio de estado del mensaje; después se suprime. Cuando el correo prueba el cumplimiento de una obligación legal (la respuesta a una solicitud de derechos, el aviso de cancelación de tu cuenta, la aceptación de un documento legal), la constancia de entrega y el texto enviado se conservan en el registro que documenta ese acto, con el plazo que le corresponde |
| Registros técnicos de funcionamiento y de errores | Hasta 30 días en los registros de nuestros servidores; hasta 90 días en los proveedores de monitoreo, según el plan contratado. No contienen el contenido de tu expediente. Los de nuestros servidores pueden incluir números internos de registro y la dirección IP y el dispositivo desde los que se hizo cada petición; los de los proveedores, lo descrito en la sección 6 («Sobre el monitoreo técnico y el registro de errores») |
| Lista de espera / interesados | Tu baja surte efecto de inmediato y el registro se elimina dentro de los 30 días siguientes (la ventana mantiene válido el enlace de baja del correo); en todo caso, se elimina a los 24 meses sin actividad |
Eliminar la cuenta y cancelar el expediente son cosas distintas. Eliminar tu cuenta te quita el acceso y suprime tus datos de contacto, y lo resuelve NoPain de inmediato (sección 10). Cancelar el expediente clínico se le pide a la clínica que te atendió, que es su Responsable, y está sujeto al plazo de conservación de 5 años. Ninguna de las dos hace la otra.
Qué significa "bloqueado". Cuando un dato ya no se trata pero todavía puede hacer falta para determinar posibles responsabilidades derivadas de su tratamiento, lo conservamos con ese único propósito, y durante ese periodo no lo tratamos para ninguna otra finalidad: no entra en analíticas, ni en directorios, ni en búsquedas, ni en comunicaciones, y solo se consulta cuando una ley lo exige, como para entregarte tu copia o atender una reclamación. Vencido el plazo, se suprime (LFPDPPP arts. 2 y 24). La conservación del expediente clínico es otra cosa: la explica la sección 10.
Tienes derecho a Acceder a tus datos personales, Rectificarlos cuando sean inexactos o estén desactualizados, Cancelarlos y Oponerte a su tratamiento (incluido el tratamiento para finalidades secundarias y la elaboración de estadísticas).
Cómo ejercerlos:
Si nos escribes a privacidad@nopain.mx sobre tu expediente clínico o sobre el consentimiento que le diste a tu clínica, no resolvemos tu solicitud nosotros: te confirmamos la fecha en que la recibimos y se la turnamos a tu clínica dentro de los 2 días hábiles siguientes. Tu clínica cuenta el plazo de respuesta desde esa fecha. Para turnarla sin demora, dinos qué clínica o profesional te atiende. Salvo que tu clínica haya cerrado: en ese caso no hay a quién turnarla y te respondemos nosotros, como se explica enseguida.
Si tu clínica cerró. Cuando la clínica o el profesional que te atendió cerró su espacio y no queda nadie que lo suceda, tu expediente no desaparece: se conserva el tiempo que la ley obliga y NoPain lo custodia por instrucción previa de tu clínica, que sigue siendo su Responsable. En ese caso te respondemos nosotros, por cuenta de ella, dentro de los mismos plazos y contándolos desde el día en que recibimos tu solicitud. Podemos entregarte copia de tu expediente, negarte de forma motivada una cancelación que la ley todavía no permite, registrar tu oposición a las estadísticas y atender un requerimiento de autoridad. No podemos corregir una nota ya firmada ni continuar tu atención; si eso es lo que necesitas, te lo decimos por escrito.
Cómo comprobamos que eres tú. Antes de entregarte nada comprobamos tu identidad, por el medio menos invasivo que funcione en tu caso: (1) si tienes cuenta en NoPain Paciente, descargas tu expediente tú mismo, sin que nadie de NoPain intervenga; (2) si no, al recibir tu solicitud te pedimos, una sola vez, lo necesario para comprobarlo: tus datos tal como aparecen en tu identificación, copia de una identificación oficial vigente y el código de un solo uso que te mandamos al correo que tu clínica registró en tu expediente —nunca a uno distinto que nos indiques en la solicitud, porque es justamente ese contacto previo el que nos permite saber que eres tú—. Si te lo pedimos dentro de los 5 días hábiles siguientes a recibir tu solicitud, tienes 10 días hábiles para responder, por el enlace que te enviamos o por correo; cualquier respuesta cuenta, y desde ella vuelve a correr completo el plazo para contestarte. Si no respondes, tu solicitud se tiene por no presentada, te lo avisamos y puedes volver a presentarla cuando quieras; (3) si los datos no coinciden, puedes corregirlos y volver a intentarlo hasta la fecha que te indicamos; si tu expediente no tiene un correo tuyo, o si aun así no podemos acreditar que eres tú, te lo decimos por escrito, con el motivo, y te explicamos que puedes acudir ante la Secretaría Anticorrupción y Buen Gobierno dentro de los 15 días hábiles siguientes. Nadie en NoPain lee tu expediente para hacer esta comprobación: el sistema compara tu nombre, tu fecha de nacimiento y, si consta, tu CURP, y solo muestra si coinciden. La copia de tu identificación se destruye en cuanto queda comprobado que eres tú, o si tu solicitud se cierra sin una respuesta negativa. Si no coincide, la conservamos bloqueada —sin usarla para nada más y sin que nadie la consulte— solo para poder demostrar cómo se hizo la comprobación si acudes ante la autoridad, y la destruimos a más tardar 25 días hábiles después de responderte, salvo que antes nos notifiquen que acudiste: entonces, cuando concluya el procedimiento. En todos los casos queda la constancia de que la comprobación se hizo y con qué resultado.
Cómo te llega la copia. En PDF, por un enlace de un solo uso que caduca a las 24 horas y que te pide un código nuevo al momento de descargar, enviado al mismo correo que ya verificamos. La copia lleva todo lo que tu clínica conserva de tu expediente en NoPain al día en que se genera: en su primera hoja verás cuántos registros hay de cada sección y de qué fechas; los estudios y documentos escaneados van anexos, y si alguno no se pudo incluir, la copia lo dice con el motivo. No incluye las notas que quedaron en borrador, porque su autor no las terminó y no forman parte del expediente. La descarga queda registrada y te mandamos un acuse con el hash SHA-256 del archivo, para que puedas comprobar más adelante que es el mismo que recibiste. El archivo estructurado (JSON) se descarga desde la aplicación.
Si el enlace o el archivo fallan. Si el enlace caduca sin que lo uses, no te llega o lo pierdes, escríbenos a privacidad@nopain.mx con tu folio y te mandamos otro al mismo correo, sin costo y sin que tengas que volver a solicitarlo, hasta tres veces; el nuevo deja sin efecto al anterior. Puedes pedirlo hasta la fecha que te indicamos en el correo del enlace, que nunca es anterior al fin del plazo de respuesta ni a los 15 días hábiles siguientes a que te enviamos el archivo. Si ya descargaste la copia y el archivo no abre o tiene páginas que no se leen, avísanos antes de la fecha que te indicamos en el acuse de descarga, que te da al menos 15 días hábiles: la generamos de nuevo y te mandamos un enlace al archivo nuevo, hasta dos veces, y si aun así falla, acordamos contigo otra forma de entregártela. Si crees que le falta información, dínoslo en el mismo plazo y te respondemos por escrito, con la huella del archivo y la autoridad ante la que puedes acudir. Pasados esos plazos, otra copia es una solicitud nueva. Nada de esto tiene costo para ti.
Eliminar tu cuenta. Es un caso aparte y no necesita solicitud: lo haces tú, cuando quieras, desde los ajustes de cuenta de la aplicación —está en NoPain y en NoPain Paciente, también mientras no hayas aceptado una versión nueva de este aviso o de los Términos— y surte efecto de inmediato. Si ya no puedes entrar a la aplicación, o no la tienes instalada, puedes pedirlo en nopain.mx/eliminar-cuenta, sin tener que volver a instalarla, o escribirnos a privacidad@nopain.mx desde el correo de tu cuenta, y lo atendemos como solicitud de cancelación, en los plazos de esta sección. En los dos casos te mandamos un enlace para confirmarla solo al correo de tu cuenta. Te confirmamos por correo cuando quede hecho. En esa página se explica qué se elimina, qué se conserva por obligación legal y hasta cuándo (sección 9). Recuerda que eliminar la cuenta no cancela el expediente clínico: eso se le pide a tu clínica por los medios 1 o 2 de arriba.
Plazos legales: recibirás respuesta en un máximo de 20 días hábiles; de ser procedente, se hará efectiva dentro de los 15 días hábiles siguientes. Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen, y te avisaremos dentro del plazo original si ello ocurre.
Límite al uso o divulgación de tus datos: con independencia de los derechos ARCO, puedes pedirnos en cualquier momento que limitemos el uso o la divulgación de tus datos para las finalidades secundarias de la sección 4.2, por cualquiera de los dos medios de esta sección y sin necesidad de justificar tu decisión. Registrada tu solicitud, tus datos quedan excluidos de las analíticas agregadas de manera permanente. Esta limitación no afecta el tratamiento necesario para tu atención clínica ni las obligaciones legales de conservación de tu expediente.
Límites que marca la ley sanitaria: sobre tu expediente clínico, mientras la ley obligue a conservarlo (al menos 5 años desde tu última atención, NOM-004-SSA3-2012, numeral 5.4), su cancelación no procede: se conserva, no se usa para ningún otro fin y solo se consulta para atender tus derechos, una obligación legal o una orden de autoridad. Al terminar ese plazo se suprime, salvo que otra disposición legal o una orden de autoridad obligue a conservarlo (sección 9).
También tienes derecho a obtener un resumen o copia de tu expediente clínico conforme a la NOM-004-SSA3-2012, en dos formatos y sin intermediarios: en PDF, para leerlo o imprimirlo, y en un archivo de datos estructurado (JSON), pensado para que puedas llevártelo a otro profesional o sistema. El archivo estructurado se genera por consultorio —cada clínica responde por separado del expediente que lleva— y su enlace de descarga caduca a las 24 horas, porque contiene tus datos de salud en claro.
La atención de pacientes menores de 18 años requiere que el consentimiento sea otorgado por quien ejerza la patria potestad o tutela; la opinión del menor se toma en cuenta y queda escrita en su consentimiento. NoPain Paciente es solo para mayores de 18 años: las clínicas no invitan a menores a la aplicación. Los derechos ARCO de menores se ejercen a través de su representante legal.
NoPain puede modificar este aviso para reflejar cambios legales, de proveedores o del servicio. Cada versión tiene número y fecha de entrada en vigor. La vigente está en la aplicación, y en api.nopain.mx/aviso-de-privacidad se consultan la vigente, la próxima si ya la anunciamos y las anteriores. Cuando publiquemos una versión te lo mostraremos en la pantalla de inicio de la aplicación hasta que nos indiques que la viste. Si el cambio requiere tu consentimiento —por ejemplo, porque agrega una finalidad—, te lo avisaremos al menos 15 días naturales antes de que entre en vigor; puedes aceptarlo desde que lo anunciamos y, desde esa fecha, la aplicación te pedirá aceptarlo antes de seguir usándola. Si creas tu cuenta mientras hay un cambio anunciado, o lo aceptas cuando tenías pendiente uno anterior, la versión que aceptas rige para ti desde ese momento; si ya tenías aceptada la versión en vigor, la nueva rige para ti desde la fecha anunciada, aunque la aceptes antes. Mientras no lo aceptes no trataremos tus datos para lo nuevo, y siempre podrás ejercer tus derechos, descargar tu información y eliminar tu cuenta (sección 10). La evidencia de la versión que aceptaste queda registrada de forma inmutable.
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la Secretaría Anticorrupción y Buen Gobierno (autoridad garante en materia de protección de datos personales en posesión de particulares en México).
Al crear una cuenta, aceptar este aviso en la aplicación o continuar utilizando la plataforma tras la publicación de una nueva versión conforme a la sección 12, reconoces haber leído y entendido este Aviso de Privacidad. La aceptación queda registrada con fecha, hora, versión, dirección IP y dispositivo.
Documento de referencia normativa: LFPDPPP (DOF 20/03/2025, última reforma DOF 14/11/2025); NOM-004-SSA3-2012; NOM-024-SSA3-2012; Ley General de Salud (última reforma DOF 15/01/2026); NOM-151-SCFI-2016.