Ya anunciamos la próxima versión, 1.0.13-DRAFT-2026-10: entra en vigor el 1 de noviembre de 2026. Leerla
Este Aviso de Privacidad se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, con última reforma del 14 de noviembre de 2025, la "LFPDPPP") y demás normativa aplicable en los Estados Unidos Mexicanos.
NOPAIN TECHNOLOGIES, S.A.S. —denominación seguida siempre de las palabras "Sociedad por Acciones Simplificada" o de su abreviatura "S.A.S."— (en adelante "NoPain", "nosotros"), con Registro Federal de Contribuyentes NTE260708GI1 y domicilio en Calle Lago Calafquén No. 98, Int. 94, Col. Fuentes del Lago, C.P. 20200, Aguascalientes, Aguascalientes, México, es quien emite este Aviso de Privacidad respecto de la plataforma tecnológica NoPain, integrada por:
Teléfono de contacto: +52 449 928 0100 (también WhatsApp), para aclaraciones y reclamaciones sobre el servicio.
Para cualquier asunto relacionado con la protección de tus datos personales puedes contactar a nuestro departamento de datos personales en: privacidad@nopain.mx. Los derechos ARCO sobre los datos de los que NoPain es Responsable (sección 2.1), incluida la oposición a sus finalidades secundarias (sección 4.2), se ejercen por ese correo o desde el módulo de la aplicación (sección 10), no por teléfono: la ley nos obliga a dejar constancia de la fecha en que recibimos tu solicitud y del sentido de nuestra respuesta, y una llamada no deja esa constancia. Los de tu expediente clínico se ejercen ante tu clínica, que es su Responsable (sección 10).
NoPain es una plataforma que utilizan clínicas y profesionales de la fisioterapia para gestionar la atención de sus pacientes. Por ello, conforme a la LFPDPPP, NoPain actúa con dos roles distintos, y es importante que sepas cuál aplica a cada categoría de tus datos:
NoPain decide sobre el tratamiento y es Responsable de:
Dónde está la línea con tus datos de identificación. El correo y la contraseña con los que entras a la aplicación son datos de tu cuenta, y de ellos NoPain es Responsable. Tu nombre, tu CURP, tu fecha de nacimiento, tu folio de expediente y los demás datos de identificación que tu clínica captura en tu expediente (sección 3.1) son del expediente, y de ellos la Responsable es tu clínica: NoPain los trata como Encargado, por cuenta de ella. Que el mismo dato aparezca en los dos sitios no lo convierte en dos datos: manda el sitio desde el que se trata.
Por eso las solicitudes sobre tu identificación dentro del expediente se dirigen a tu clínica, como explica la sección 10, aunque nos escribas a nosotros.
Cuándo mira NoPain tus datos. El personal de NoPain puede localizarte en la plataforma sólo por seis motivos tasados —turnar una solicitud de derechos a tu clínica, resolver una que nos toque a nosotros, cumplir una orden de autoridad o una retención legal, decidir la supresión de un expediente vencido, responder a una petición de tu propia clínica, y la custodia cuando tu clínica cerró—, y lo que ve son datos operativos: tu folio, el estado legal de tu expediente y con qué clínicas estás vinculado. Nunca el contenido de tu expediente. Cada una de esas consultas queda registrada en la bitácora de auditoría de tu clínica, con su motivo y su fecha, para que tu clínica —que es la Responsable— pueda vigilarlo. El detalle de cualquiera de ellas se entrega a petición en privacidad@nopain.mx.
Los datos clínicos de los pacientes (expediente clínico, historia clínica, notas de evolución, diagnósticos funcionales, prescripciones de ejercicio, registros de dolor y de cumplimiento, signos vitales, estudios de imagen, consentimientos) son tratados por NoPain por cuenta y bajo las instrucciones de la clínica o profesional de la salud que te atiende, quien es el Responsable de dichos datos conforme a la LFPDPPP y el propietario del expediente clínico conforme a la NOM-004-SSA3-2012.
Respecto de esos datos, NoPain actúa como Encargado del tratamiento: los almacena, protege y pone a disposición de tu clínica, pero no decide para qué se usan. El aviso de privacidad que rige el tratamiento de tu expediente clínico es el aviso de privacidad de tu clínica, que te fue presentado al otorgar tu consentimiento y que puedes consultar y descargar en cualquier momento desde la aplicación.
Como Encargado, NoPain se obliga frente a las clínicas y frente a ti a: (i) tratar los datos únicamente conforme a las instrucciones del Responsable; (ii) abstenerse de usarlos para finalidades propias distintas a las descritas en este aviso; (iii) implementar las medidas de seguridad descritas en la sección 8; (iv) guardar confidencialidad; (v) suprimir o devolver los datos al concluir la relación, salvo que una obligación legal exija su conservación (ver sección 9); y (vi) abstenerse de transferirlos salvo en los supuestos aquí descritos.
Nombre(s), apellidos, fecha de nacimiento, sexo/género, nacionalidad, CURP, domicilio, teléfono, correo electrónico, contacto de emergencia, folio de expediente y firma (imagen de firma autógrafa digitalizada).
Si una clínica te invita a la plataforma —como profesional o como paciente— tratamos la dirección de correo a la que se envía la invitación y el código de un solo uso que la acompaña, con la única finalidad de entregártela y permitir que quien te invitó la reenvíe mientras siga vigente. Esa dirección nos la proporciona la clínica que te invita, no tú, y no la usamos para ninguna otra cosa: no entra en analíticas, ni en directorios, ni en comunicaciones comerciales. Si la invitación no se acepta, se suprime en el plazo de la sección 9.
Si te invitaron como profesional y no quieres recibir esos correos, el propio correo lleva un enlace para cancelar la invitación. No necesitas cuenta ni acreditar tu identidad para usarlo: cancelada, deja de ser válida y no volvemos a escribirte por ella. A la clínica que te invitó le mostramos que declinaste, sin decirle por qué ni por qué medio, para que no vuelva a invitarte sin que se lo pidas. Es la vía que te damos para oponerte al tratamiento de tu dirección cuando no tienes ninguna relación con nosotros (LFPDPPP art. 26); si prefieres el canal formal, o quieres ejercer cualquier otro derecho, la sección 10 explica cómo.
Número de cédula profesional, rol dentro de la clínica, sede(s) asignada(s), fecha en que te uniste a cada clínica y actividad realizada dentro de la plataforma (con fines de atribución de notas clínicas conforme a la NOM-004-SSA3-2012 y de auditoría conforme a la NOM-024-SSA3-2012).
Si eres profesional: la imagen o el PDF de tu cédula que adjuntes; el resultado de la consulta de tu cédula en el Registro Nacional de Profesionistas (el nombre, el número, la profesión y la institución con que aparece, y la fecha de la consulta); y, si una clínica te dio un rol que atiende pacientes, su declaración de que vio tu identificación y tu cédula.
En la operación de la plataforma se tratan, por cuenta de tu clínica, datos personales sensibles relativos a tu estado de salud presente y futuro, incluyendo de manera enunciativa: historia clínica (antecedentes heredofamiliares, personales patológicos y no patológicos, hábitos), alergias y medicación, signos vitales y antropometría, tipo sanguíneo, diagnóstico funcional y pronóstico, motivo de consulta, notas de evolución, plan y tratamiento fisioterapéutico, prescripciones de ejercicio, registros de intensidad de dolor (escala del 0 al 10) y zonas corporales, percepción de esfuerzo (escala del 0 al 10), registros de cumplimiento de ejercicios, estudios de imagen, diagnóstico de referencia emitido por el médico tratante, y los consentimientos otorgados.
El tratamiento de datos sensibles requiere tu consentimiento expreso y por escrito, el cual se recaba mediante firma (autógrafa digitalizada o electrónica) antes de crear tu expediente. Puedes revocarlo en los términos de la sección 7.
Dirección IP, tipo de dispositivo y sistema (user agent), fechas y horas de acceso y de acciones sobre registros clínicos. Estos datos se recaban de manera automática y son necesarios para la seguridad del sistema y las bitácoras de auditoría exigidas por la NOM-024-SSA3-2012.
Si activas los avisos en tu dispositivo, se almacena además el identificador de notificaciones push que tu sistema operativo asigna a esa instalación de la app. Sirve únicamente para entregarte los avisos y se elimina cuando cierras sesión, o cuando el servicio de notificaciones informa que esa instalación dejó de existir (por ejemplo, si desinstalas la aplicación).
También guardamos el registro de entrega de los correos que te enviamos: un identificador del mensaje, de qué tipo de aviso se trataba, si se entregó o no y, cuando no, el motivo técnico que nos informó el proveedor. Ese registro no contiene el texto del mensaje, su asunto ni tu dirección de correo, y sirve para dos cosas: saber si un aviso importante te llegó y avisarle a tu clínica cuando una dirección está mal escrita, para que pueda corregirla.
NoPain no recaba datos de geolocalización precisa, biométricos (más allá de la imagen de firma), ni datos de origen étnico, creencias religiosas, afiliación sindical u opiniones políticas como parte del funcionamiento de la plataforma. Los campos de historia clínica que tu profesional documente (p. ej. religión, cuando sea clínicamente relevante) forman parte del expediente clínico bajo responsabilidad de tu clínica.
Puedes oponerte a las finalidades secundarias en cualquier momento: (i) desde el módulo de derechos ARCO de la aplicación (solicitud de oposición); o (ii) escribiendo a privacidad@nopain.mx. Registrada tu oposición, tus datos quedan excluidos de las analíticas agregadas de manera permanente.
NoPain no vende ni renta datos personales. Solo se realizan las siguientes comunicaciones de datos:
| Destinatario | País | Finalidad | Fundamento |
|---|---|---|---|
| La clínica o profesional que te atiende | México | Prestación del servicio de fisioterapia (es el Responsable de tu expediente) | Relación jurídica / consentimiento otorgado a la clínica |
| La clínica en la que trabajas, si formas parte de su personal | México | Que su personal coordine el trabajo contigo: el correo y el teléfono de tu cuenta y la fecha en que te uniste (sección 4.1, punto 11) | Art. 36, fr. VII LFPDPPP: transferencia precisa para el cumplimiento de la relación jurídica entre tú y nosotros. La clínica los recibe solo para esa finalidad, con confidencialidad, y asume respecto de ellos nuestras mismas obligaciones (art. 35; Términos de Servicio, sección 4, apartado 7) |
| La clínica en la que tienes un rol que atiende pacientes | México | Que compruebe que su personal está autorizado para ejercer y lleve el archivo de su documentación: el resultado de la revisión de tu cédula, si puedes firmar, el documento de tu cédula que tengas vigente y, si quedó confirmada, la consulta al registro (sección 4.1, punto 12). Solo mientras tengas ahí un rol que atiende pacientes, y solo quien gestiona las sedes donde lo tienes | Art. 36, fr. VII LFPDPPP; la clínica lo recibe solo para esa finalidad y asume nuestras mismas obligaciones (art. 35) |
| Autoridades competentes | México | Cumplimiento de requerimientos legales fundados y motivados | Art. 9, fr. VII y 36 LFPDPPP |
| Encargados (subencargados) de infraestructura descritos en la sección 6 | EE. UU. (ver sección 6) | Alojamiento, almacenamiento de archivos, generación de documentos, correo electrónico y operación técnica | Remisión a encargados; no constituye transferencia que requiera consentimiento (actúan por cuenta de NoPain bajo contrato) |
| Plus Five Five, Inc. (Resend) | EE. UU. | Los datos de entrega de cada correo (remitente, destinatario y registro técnico del envío) que el proveedor usa por cuenta propia para operar, facturar y prevenir el abuso de su servicio | Art. 36, fr. VII LFPDPPP: transferencia precisa para mantener la relación jurídica entre tú y nosotros o, en los correos que te enviamos por cuenta de tu clínica, entre tú y tu clínica, que nos instruye a hacerla. No incluye el contenido de los mensajes, que el proveedor trata por nuestra cuenta para entregarlos |
Cualquier otra transferencia que legalmente requiera tu consentimiento te será informada y solicitada previamente.
Para operar la plataforma, NoPain contrata los servicios tecnológicos de la tabla. Estos proveedores tratan los datos por cuenta de NoPain, para prestarle el servicio que se indica en cada fila. Hay tres excepciones, que se explican en los párrafos siguientes: el video de los ejercicios, en el que tu dispositivo se conecta directamente con YouTube; la verificación del formulario público, cuyas señales técnicas Cloudflare recibe directamente de tu navegador y usa también por su cuenta; y los datos de entrega de los correos, que el proveedor de correo usa también por su cuenta (sección 5).
| Proveedor | Servicio | Ubicación del tratamiento |
|---|---|---|
| Laravel Cloud (Laravel Holdings Inc.) | Alojamiento de la aplicación y base de datos | Estados Unidos (región US East, Ohio), sobre infraestructura de Amazon Web Services |
| Cloudflare, Inc. (R2) | Almacenamiento cifrado de archivos: estudios y documentos escaneados, imágenes de firma, los PDF que genera la Plataforma y las identificaciones que se envían para comprobar una identidad | Estados Unidos |
| Fly.io, Inc. | Generación de los documentos PDF de la Plataforma —entre ellos notas, recetas, consentimientos, el expediente completo, el resumen de progreso, la bitácora y el aviso de privacidad—: recibe el contenido de cada documento, incluido el de tu expediente, y devuelve el archivo sin conservar copia | Estados Unidos (Ashburn, Virginia) |
| Plus Five Five, Inc. (Resend) | Envío de correos electrónicos transaccionales | Estados Unidos |
| Google Cloud Mexico, S. de R.L. de C.V. (Google Workspace) | Correo electrónico de las direcciones @nopain.mx, incluida privacidad@nopain.mx: los mensajes que escribimos y recibimos, entre ellos las solicitudes de derechos y lo que las acompaña | Estados Unidos; el procesamiento puede ocurrir de paso en otros países donde Google o sus subencargados tienen instalaciones |
| Cloudflare, Inc. | Verificación antifraude del formulario público de la lista de espera (Turnstile) | Estados Unidos |
| Laravel Holdings Inc. (Laravel Nightwatch) | Monitoreo técnico y registro de errores del servidor (telemetría operativa) | Estados Unidos |
| YouTube LLC | Reproducción del video demostrativo de los ejercicios del catálogo | Estados Unidos |
| Functional Software, Inc. (Sentry) | Registro de errores técnicos de las aplicaciones móviles | Estados Unidos |
| 650 Industries, Inc. (Expo) | Entrega de las notificaciones push a tu dispositivo | Estados Unidos |
| Apple Inc. (APNs) y Google LLC (FCM) | Servicio de notificaciones del sistema operativo de tu dispositivo | Estados Unidos |
Sobre el video de los ejercicios. Los videos demostrativos del catálogo están alojados en YouTube, un servicio de YouTube LLC, y la aplicación los reproduce con los servicios para desarrolladores de YouTube (YouTube API Services). Cuando ves un ejercicio con video, tu dispositivo puede pedirle a YouTube la imagen de vista previa, y cuando pulsas reproducir carga su reproductor. En los dos casos se conecta directamente con los servidores de YouTube y de Google, que reciben tu dirección IP y datos técnicos del dispositivo y de la reproducción, pueden guardar o leer cookies u otros identificadores en tu dispositivo y pueden mostrar su propio contenido, incluida publicidad. Todo esto ocurre conforme a la Política de Privacidad de Google (https://www.google.com/policies/privacy). NoPain no envía a YouTube ningún dato de tu expediente, ni tu nombre, tu correo o tu cuenta. Esa conexión le revela a YouTube qué video decidiste ver y que lo ves desde una aplicación de NoPain, porque YouTube pide que cada aplicación que usa su reproductor se identifique. Si tocas un enlace del reproductor, como el logotipo o el título del video, YouTube se abre en tu navegador, fuera de la aplicación, y ahí se aplican sus términos y su política de privacidad. Si reproduces un video, quedas sujeto a los Términos de Servicio de YouTube (https://www.youtube.com/t/terms).
Sobre la verificación del formulario público. El formulario de la lista de espera está protegido con Cloudflare Turnstile, que distingue a una persona de un programa automatizado sin plantearte un acertijo. Para hacerlo, tu navegador se conecta directamente con Cloudflare, que así recibe tu dirección IP y señales técnicas de tu navegador y de la conexión; ese intercambio ocurre antes de que envíes el formulario, porque es lo que decide si el envío se acepta. NoPain no le envía a Cloudflare tu dirección IP ni nada de lo que escribes en el formulario: solo le pregunta si la verificación salió bien. Cloudflare usa esas señales para prestarnos la verificación y, además, por su cuenta, para mejorar su detección de programas automatizados, conforme a su aviso de privacidad de Turnstile (https://www.cloudflare.com/turnstile-privacy-policy/). Sólo interviene en esa pantalla: dentro de la aplicación no hay ninguna verificación de este tipo.
Sobre el monitoreo técnico y el registro de errores. Para comprobar que el servicio funciona y corregir lo que falla usamos dos proveedores: Laravel Nightwatch, para el servidor, y Sentry, para las aplicaciones móviles. El servidor envía a Nightwatch datos técnicos de su funcionamiento —qué parte del servicio se usó, cuánto tardó, qué respondió y, si algo falló, el tipo de error y el lugar del código donde ocurrió—. Las aplicaciones envían a Sentry un reporte solo cuando algo falla, con el tipo de error, el lugar del código y datos técnicos del dispositivo, como el modelo, el sistema operativo y la versión de la aplicación.
Nada de eso incluye el contenido de tu expediente —notas, diagnósticos, registros de dolor, ejercicios— ni tu nombre, tu correo, tu CURP o lo que escribes o buscas en la aplicación: las direcciones del servicio viajan sin los términos de búsqueda, y los mensajes de error de la base de datos y los que el servidor redacta para la pantalla se sustituyen por un código antes de salir del servidor o del teléfono. Para saber a qué cuenta corresponde cada dato se usan números internos que solo NoPain puede vincular con una persona: en el servidor y en la aplicación para profesionales, el de la cuenta del profesional, el de la clínica y, en algunos errores, el del registro en el que ocurrió. Si eres paciente, no se envía el número de tu cuenta: en NoPain Paciente, el reporte lleva un identificador aleatorio de esa instalación, que ves como código de soporte (Perfil › Ayuda) y que solo sirve para encontrar los errores de ese teléfono si nos escribes, y, cuando aplica, el número de tu clínica. El servidor no envía tu dirección IP; Sentry la ve al recibir el reporte, como ocurre en cualquier conexión a internet, y está configurado para no guardarla.
Este monitoreo forma parte de prestarte el servicio y mantenerlo seguro (sección 4.1, finalidad 10). No se usa para las estadísticas ni los análisis de la sección 4.2, ni para publicidad.
Sobre las notificaciones push. Cuando la aplicación te avisa de un cambio en tu agenda, el mensaje viaja de nuestros servidores a los de Expo y de ahí al servicio de notificaciones de Apple o de Google, que es el único camino por el que un aviso puede llegar a un teléfono. Ese mensaje nunca contiene información clínica, porque un aviso aterriza en la pantalla bloqueada, a la vista de quien esté cerca. Si eres paciente, el aviso de tu cita dice solo la fecha, la hora y el nombre de quien te atiende, y si cambió la sede, sin decir cuál; si formas parte del personal de una clínica, el aviso de un cambio en la agenda dice qué pasó y cuándo, sin nombrar al paciente. Nunca lleva diagnóstico, motivo de consulta, zona de dolor ni nada del expediente. Puedes desactivar los avisos en cualquier momento desde los ajustes de tu dispositivo, sin que ello afecte el resto del servicio.
Sobre el correo electrónico. Los correos que te enviamos —tu código de invitación, la verificación de tu dirección, el restablecimiento de contraseña, los avisos de seguridad y los de tu agenda— salen a través de un proveedor especializado ubicado en Estados Unidos, que los entrega en tu bandeja y nos informa si llegaron. Ese proveedor conserva el contenido del mensaje y su registro de entrega durante 30 días, y después los elimina; si dejáramos de ser sus clientes, borraría lo que quede dentro de los 90 días siguientes. Por eso el contenido de nuestros correos es deliberadamente escaso: nunca llevan información de tu expediente —ni diagnóstico, ni motivo de consulta, ni zona de dolor, ni ejercicios—, y el asunto, el remitente y la vista previa de la invitación no nombran a tu clínica, porque esos tres se ven en la pantalla bloqueada del teléfono. Si necesitas que un mensaje concreto se elimine antes de esos 30 días, escríbenos a privacidad@nopain.mx y lo solicitamos.
En consecuencia, tus datos personales se almacenan en servidores ubicados en los Estados Unidos de América, y pueden procesarse de paso en otros países donde operan nuestros proveedores, como indica la tabla. Ni la ley mexicana ni su reglamento exigen que los datos se alojen en territorio nacional, y en el T-MEC (art. 19.12) México se comprometió a no exigir que las instalaciones de cómputo se ubiquen en su territorio como condición para operar. Esta comunicación a proveedores que tratan los datos por nuestra cuenta no requiere tu consentimiento. NoPain responde de lo que esos proveedores hacen con tus datos por nuestra cuenta y, antes de guardarla, cifra en la propia plataforma la información más sensible (sección 8). Los proveedores que alojan la plataforma cuentan con certificaciones de seguridad reconocidas (SOC 2 Tipo II y, en algunos casos, ISO 27001). Al aceptar este aviso, quedas informado de dicho tratamiento transfronterizo.
La lista de proveedores puede actualizarse; la versión vigente estará siempre disponible en este aviso. Cambios de proveedor que impliquen nuevas categorías de tratamiento se comunicarán conforme a la sección 12.
NoPain implementa medidas de seguridad administrativas, técnicas y físicas alineadas con la LFPDPPP, la NOM-024-SSA3-2012 y buenas prácticas de la industria, entre ellas:
Vulneraciones de seguridad: si una vulneración afecta de forma significativa tus derechos: (a) si afecta datos de los que NoPain es responsable (sección 2.1), como los de tu cuenta, te lo avisaremos de inmediato, en cuanto confirmemos qué ocurrió, con la naturaleza del incidente, los datos comprometidos, lo que te recomendamos hacer, las acciones que tomamos y dónde puedes obtener más información; (b) si afecta datos de tu expediente clínico, el aviso te lo da tu clínica, que es la responsable; NoPain le informa a ella y le da lo necesario para hacerlo.
Reporte de vulnerabilidades: si detectas una falla de seguridad o un acceso indebido, escríbenos a seguridad@nopain.mx. Atendemos los reportes de buena fe y no emprenderemos acciones contra quien nos informe de una vulnerabilidad sin explotarla ni divulgarla antes de que la corrijamos.
| Categoría | Plazo |
|---|---|
| Expediente clínico y registros asociados, incluidos tus datos de identificación en el expediente, tus citas, los consentimientos que firmaste ante tu clínica y su evidencia | Al menos 5 años desde el último acto médico (NOM-004-SSA3-2012, numeral 5.4), contados por cada clínica con lo suyo. Después, si ya no se te atiende, queda bloqueado —se guarda sin usarse— hasta cumplir 10 años desde tu última consulta, cita, firma de consentimiento o registro en la app con esa clínica, o el plazo mayor que fije el código civil del estado donde te atendió (hoy, 20 años en Veracruz; en Yucatán, si eras menor de edad, desde que cumples 18 años); entonces se suprime de forma segura, salvo un juicio, una reclamación en curso o una orden de autoridad. Si nunca firmaste tu consentimiento en esa clínica, aplica la fila siguiente |
| Tus datos en una clínica donde te registraron y nunca firmaste tu consentimiento —identificación y contacto, citas, invitaciones y la constancia del aviso de privacidad que se te dio— | Si pasan 90 días desde lo más reciente entre tu registro, la última vez que se te dio el aviso de privacidad, tu última cita con esa clínica y tu aceptación de su invitación a NoPain Paciente, sin una cita programada, se suprimen 60 días después, sin bloquearse, salvo que antes se agende una cita o firmes tu consentimiento, o que un juicio, una reclamación, una orden de autoridad o una solicitud tuya en trámite obligue a conservarlos. Aplica en cada clínica desde que lo instruyó a NoPain (Términos de Servicio para Profesionales y Clínicas, sección 8); antes, la fila anterior. Queda la constancia de la supresión que se describe más abajo |
| Datos de cuenta (correo, teléfono, contraseña, fotografía, perfil profesional, preferencias y notas privadas de los ejercicios) | Mientras la cuenta exista. Al eliminarla se suprimen de inmediato, salvo lo que la ley obliga a conservar y que se detalla en las filas siguientes. Las notas privadas que escribas sobre los ejercicios personalizados de una clínica se suprimen antes, cuando dejas de pertenecer a ella o cuando cierra, y no se recuperan si vuelves; las de cualquier ejercicio personalizado, también cuando ese ejercicio se elimina, lo que le pasa a uno archivado cuando ya no forma parte de ningún expediente ni programa. |
| Tu cuenta de NoPain Paciente cuando lo tuyo se suprime en todas tus clínicas | Se elimina también, salvo que esa cuenta tenga en NoPain otro papel además del de paciente |
| Nombre y cédula profesional que figuran como autoría de una nota, receta o registro clínico | Mientras exista el registro clínico que los contiene. No son un dato de tu cuenta: identifican a quien elaboró un documento clínico, y la ley obliga a conservarlos sin alteración (NOM-004-SSA3-2012, numerales 5.10 y 5.11; LFPDPPP art. 25, fracción II). Se conservan solo como autoría: se leen donde son autoría de un registro, y en ningún otro lugar |
| Bitácora de auditoría (quién consultó o modificó qué, cuándo, y desde qué dirección IP y dispositivo) | Lo que se refiere a un expediente clínico, mientras ese expediente exista y hasta 5 años después de que se suprima; desde la supresión, sin los valores que se consultaron o cambiaron. Lo demás —inicios de sesión, seguridad de tu cuenta, administración de la clínica—, 5 años desde que ocurrió. Sirve para demostrar cómo se trataron los datos y que se suprimieron a tiempo (Reglamento de la LFPDPPP, art. 39). La NOM-024-SSA3-2012 pide trazabilidad y no repudio (numeral 6.6.1), pero no fija un plazo de conservación. Si un juicio, una autoridad o una reclamación lo requieren, se conserva hasta que concluyan |
| Constancia de la supresión de lo tuyo en una clínica —folio, fechas, retenciones y cuántos registros se suprimieron y, si nunca firmaste tu consentimiento ahí, las fechas y el estado de tus citas y los datos del aviso de privacidad que se te dio, sin tu nombre, tu CURP ni tus datos de contacto— y el registro de las comunicaciones legales que se te enviaron sobre ello | 5 años desde la supresión, para demostrar que se hizo a tiempo (Reglamento de la LFPDPPP, art. 39); después se suprime. Si un juicio, una autoridad o una reclamación lo requieren, se conserva hasta que concluyan |
| Registro de las vulneraciones de seguridad que alcanzan datos de los que NoPain es responsable (sección 2.1): qué ocurrió, cómo lo atendimos y, si te alcanzó, si te avisamos —con el texto del aviso— o por qué no pudimos hacerlo. Te identifica con un número interno y no guarda tu teléfono ni tu correo; de este, la constancia de entrega conserva solo una huella que no muestra la dirección. El texto del aviso, que lleva tu nombre, se guarda cifrado | 5 años desde que se cierra cada caso, solo para poder demostrar cómo atendimos la vulneración si la autoridad lo revisa, durante el plazo que tiene para sancionar (Ley Federal de Procedimiento Administrativo, art. 79); después se suprime. Si un juicio, una autoridad o una reclamación lo requieren, se conserva hasta que concluyan |
| Invitaciones a la plataforma que no se aceptaron (la dirección de correo a la que se enviaron y el código de un solo uso) | 30 días naturales desde que la invitación venció, se canceló o se rechazó —incluido cuando la cancelas tú desde el enlace del correo—. Cumplido el plazo suprimimos el correo y el código, y queda únicamente la constancia de que esa invitación existió y quién la envió, sin identificar a quién iba dirigida (LFPDPPP art. 10: los datos que dejaron de ser necesarios para la finalidad que los motivó se suprimen). Si la invitación se acepta, ese correo pasa a ser el de tu cuenta y le aplica la fila «Datos de cuenta» |
| Copia de la identificación que nos envías para comprobar tu identidad cuando tu clínica cerró | Se destruye en cuanto queda comprobado que eres tú, o si tu solicitud se cierra sin respuesta negativa. Si no coincide, queda bloqueada hasta 25 días hábiles después de que te respondimos, y nunca más de 40 días hábiles desde el cotejo, salvo un procedimiento ante la autoridad. Queda la constancia de la comprobación y la huella del archivo |
| La imagen o el PDF de tu cédula que adjuntas | Mientras sea la vigente; si la sustituyes o eliminas tu cuenta, se suprime en ese momento, salvo que un juicio, una orden o un procedimiento de autoridad, o una reclamación escrita obliguen a conservarla: entonces queda bloqueada hasta que concluya. Queda solo su huella en la bitácora |
| El resultado de la consulta de tu cédula en el Registro Nacional de Profesionistas | Mientras sea el vigente; cuando lo sustituye otra revisión o eliminas tu cuenta, queda bloqueado 10 años y después se suprime, o hasta que concluya un juicio, una orden o un procedimiento que obligue a conservarlo, si es más tarde |
| La declaración de la clínica de que vio tu identificación y tu cédula | Mientras exista tu relación con esa clínica en la plataforma y, después, 10 años bloqueada, o hasta que concluya un juicio, una orden o un procedimiento que obligue a conservarla, si es más tarde |
| Si te pedimos mostrar tu identificación por una duda sobre tu cédula | No guardamos copia; queda la constancia de que se cotejó |
| Evidencia de tu aceptación de los Términos y de este Aviso (contrato electrónico), seas clínica, profesional o paciente | Mientras tu cuenta exista y 10 años después de que la elimines (Código de Comercio, arts. 49 y 1047); después de eliminarla se guarda solo como prueba del contrato. Si eres paciente y tu expediente se suprime en todas tus clínicas antes de ese plazo, se suprime con él |
| Constancia de que eliminaste tu cuenta: tu nombre, tu cédula si eres profesional, una huella de tu correo que no muestra la dirección, la fecha, por dónde la pediste y cómo comprobamos que eras tú | 10 años desde la eliminación, bloqueada: prueba que atendimos tu solicitud, no se usa para nada más y solo se consulta ante una reclamación o un requerimiento de autoridad; después se suprime, o hasta que concluya un juicio, una orden o un procedimiento que obligue a conservarla, si es más tarde (LFPDPPP arts. 2, fracción III, y 24). Si eres paciente y tu expediente se suprime en todas tus clínicas antes de ese plazo, se suprime con él |
| Datos de facturación de clínicas | Plazos fiscales aplicables (mínimo 5 años, Código Fiscal de la Federación art. 30) |
| Registro de entrega de los correos enviados | 90 días desde el último cambio de estado del mensaje; después se suprime. Cuando el correo prueba el cumplimiento de una obligación legal (la respuesta a una solicitud de derechos, el aviso de cancelación de tu cuenta, la aceptación de un documento legal), la constancia de entrega y el texto enviado se conservan en el registro que documenta ese acto, con el plazo que le corresponde |
| Registros técnicos de funcionamiento y de errores | Hasta 30 días en los registros de nuestros servidores; hasta 90 días en los proveedores de monitoreo, según el plan contratado. No contienen el contenido de tu expediente. Los de nuestros servidores pueden incluir números internos de registro y la dirección IP y el dispositivo desde los que se hizo cada petición; los de los proveedores, lo descrito en la sección 6 («Sobre el monitoreo técnico y el registro de errores») |
| Lista de espera / interesados | Tu baja surte efecto de inmediato y el registro se elimina dentro de los 30 días siguientes (la ventana mantiene válido el enlace de baja del correo); en todo caso, se elimina a los 24 meses sin actividad |
Eliminar la cuenta y cancelar el expediente son cosas distintas. Eliminar tu cuenta te quita el acceso y suprime tus datos de contacto, y lo resuelve NoPain de inmediato (sección 10). Cancelar el expediente clínico se le pide a la clínica que te atendió, que es su Responsable, y está sujeto al plazo de conservación de 5 años. Ninguna de las dos hace la otra.
Qué significa "bloqueado". Cuando un dato ya no se trata pero todavía puede hacer falta para determinar posibles responsabilidades derivadas de su tratamiento, lo conservamos con ese único propósito, y durante ese periodo no lo tratamos para ninguna otra finalidad: no entra en analíticas, ni en directorios, ni en búsquedas, ni en comunicaciones, y solo se consulta cuando una ley lo exige, como para entregarte tu copia o atender una reclamación. Vencido el plazo, se suprime (LFPDPPP arts. 2 y 24). La conservación del expediente clínico es otra cosa: la explica la sección 10.
Tienes derecho a Acceder a tus datos personales, Rectificarlos cuando sean inexactos o estén desactualizados, Cancelarlos y Oponerte a su tratamiento (incluido el tratamiento para finalidades secundarias y la elaboración de estadísticas).
Cómo ejercerlos:
Si nos escribes a privacidad@nopain.mx sobre tu expediente clínico o sobre el consentimiento que le diste a tu clínica, no resolvemos tu solicitud nosotros: te confirmamos la fecha en que la recibimos y se la turnamos a tu clínica dentro de los 2 días hábiles siguientes. Tu clínica cuenta el plazo de respuesta desde esa fecha. Para turnarla sin demora, dinos qué clínica o profesional te atiende. Salvo que tu clínica haya cerrado: en ese caso no hay a quién turnarla y te respondemos nosotros, como se explica enseguida.
Si tu clínica cerró. Cuando la clínica o el profesional que te atendió cerró su espacio y no queda nadie que lo suceda, tu expediente no desaparece: se conserva el tiempo que la ley obliga y, después, bloqueado hasta su supresión (sección 9), y NoPain lo custodia por instrucción previa de tu clínica, que sigue siendo su Responsable. En ese caso te respondemos nosotros, por cuenta de ella, dentro de los mismos plazos y contándolos desde el día en que recibimos tu solicitud. Podemos entregarte copia de tu expediente, negarte de forma motivada una cancelación que la ley todavía no permite —o, si ya la permite, decirte que procede y que tu expediente queda bloqueado hasta su supresión—, registrar tu oposición a las estadísticas y atender un requerimiento de autoridad. No podemos corregir una nota ya firmada ni continuar tu atención; si eso es lo que necesitas, te lo decimos por escrito.
Cómo comprobamos que eres tú. Antes de entregarte nada comprobamos tu identidad, por el medio menos invasivo que funcione en tu caso: (1) si tienes cuenta en NoPain Paciente desde antes de que tu clínica cerrara, o con el mismo correo que tu clínica registró en tu expediente, descargas tu expediente tú mismo, sin que nadie de NoPain intervenga; (2) si no, al recibir tu solicitud te pedimos, una sola vez, lo necesario para comprobarlo: tus datos tal como aparecen en tu identificación, copia de una identificación oficial vigente y el código de un solo uso que te mandamos al correo que tu clínica registró en tu expediente —nunca a uno distinto que nos indiques en la solicitud, porque es justamente ese contacto previo el que nos permite saber que eres tú—. Si te lo pedimos dentro de los 5 días hábiles siguientes a recibir tu solicitud, tienes 10 días hábiles para responder, por el enlace que te enviamos o por correo; cualquier respuesta cuenta, y desde ella vuelve a correr completo el plazo para contestarte. Si no respondes, tu solicitud se tiene por no presentada, te lo avisamos y puedes volver a presentarla cuando quieras; (3) si los datos no coinciden, puedes corregirlos y volver a intentarlo hasta la fecha que te indicamos; si tu expediente no tiene un correo tuyo, o si aun así no podemos acreditar que eres tú, te lo decimos por escrito, con el motivo, y te explicamos que puedes acudir ante la Secretaría Anticorrupción y Buen Gobierno dentro de los 15 días hábiles siguientes. Nadie en NoPain lee tu expediente para hacer esta comprobación: el sistema compara tu nombre, tu fecha de nacimiento y, si consta, tu CURP, y solo muestra si coinciden. La copia de tu identificación se destruye en cuanto queda comprobado que eres tú, o si tu solicitud se cierra sin una respuesta negativa. Si no coincide, la conservamos bloqueada —sin usarla para nada más y sin que nadie la consulte— solo para poder demostrar cómo se hizo la comprobación si acudes ante la autoridad, y la destruimos a más tardar 25 días hábiles después de responderte, salvo que antes nos notifiquen que acudiste: entonces, cuando concluya el procedimiento. En todos los casos queda la constancia de que la comprobación se hizo y con qué resultado.
Cómo te llega la copia. En PDF, por un enlace de un solo uso que caduca a las 24 horas y que te pide un código nuevo al momento de descargar, enviado al mismo correo que ya verificamos. La copia lleva todo lo que tu clínica conserva de tu expediente en NoPain al día en que se genera: en su primera hoja verás cuántos registros hay de cada sección y de qué fechas; los estudios y documentos escaneados van anexos, y si alguno no se pudo incluir, la copia lo dice con el motivo. Si al generarla había notas que su autor no había terminado ni firmado, van después de las notas, aparte y marcadas como borradores sin firmar: no son notas de tu expediente, pero contienen datos tuyos. La descarga queda registrada y te mandamos un acuse con el hash SHA-256 del archivo, para que puedas comprobar más adelante que es el mismo que recibiste. El archivo estructurado (JSON) se descarga desde la aplicación.
Si el enlace o el archivo fallan. Si el enlace caduca sin que lo uses, no te llega o lo pierdes, escríbenos a privacidad@nopain.mx con tu folio y te mandamos otro al mismo correo, sin costo y sin que tengas que volver a solicitarlo, hasta tres veces; el nuevo deja sin efecto al anterior. Puedes pedirlo hasta la fecha que te indicamos en el correo del enlace, que nunca es anterior al fin del plazo de respuesta ni a los 15 días hábiles siguientes a que te enviamos el archivo. Si ya descargaste la copia y el archivo no abre o tiene páginas que no se leen, avísanos antes de la fecha que te indicamos en el acuse de descarga, que te da al menos 15 días hábiles: la generamos de nuevo y te mandamos un enlace al archivo nuevo, hasta dos veces, y si aun así falla, acordamos contigo otra forma de entregártela. Si crees que le falta información, dínoslo en el mismo plazo y te respondemos por escrito, con la huella del archivo y la autoridad ante la que puedes acudir. Pasados esos plazos, otra copia es una solicitud nueva. Nada de esto tiene costo para ti.
Si NoPain deja de operar. Si tienes una cuenta en NoPain o estás en nuestra lista de espera, te lo avisaremos con anticipación. Si tu clínica sigue operando, le ponemos a disposición toda la información de tu expediente, que es suya, y tus solicitudes sobre él se siguen dirigiendo a ella. Si tu clínica ya había cerrado y todavía no termina el plazo en que la ley obliga a conservar tu expediente, te escribiremos al correo que tu clínica registró en él al menos 60 días antes —o, si la causa no nos permite esa anticipación, en cuanto la conozcamos—, para que puedas pedir tu copia, y te diremos quién lo conservará desde entonces o, si nadie puede asumirlo, que se suprimirá en esa fecha; si eso cambia, te lo volveremos a decir. Si usas NoPain Paciente, también te avisaremos en la app; si tu expediente no registra un correo, solo podremos avisarte ahí. Si ese plazo ya había terminado, tu expediente, que estaba bloqueado, se suprime en esa fecha. Si usas NoPain Paciente, puedes descargar tu copia desde la app hasta el día anterior, y en ningún caso se suprime tu expediente mientras una solicitud tuya sobre él siga pendiente de entregar. Los datos de tu cuenta se suprimen al dejar de operar, salvo lo que la ley nos obliga a conservar (sección 9).
Eliminar tu cuenta. Es un caso aparte y no necesita solicitud: lo haces tú, cuando quieras, desde los ajustes de cuenta de la aplicación —está en NoPain y en NoPain Paciente, también mientras no hayas aceptado una versión nueva de este aviso o de los Términos— y surte efecto de inmediato. Si ya no puedes entrar a la aplicación, o no la tienes instalada, puedes pedirlo en nopain.mx/eliminar-cuenta, sin tener que volver a instalarla, o escribirnos a privacidad@nopain.mx desde el correo de tu cuenta, y lo atendemos como solicitud de cancelación, en los plazos de esta sección. En los dos casos te mandamos un enlace para confirmarla solo al correo de tu cuenta. Te confirmamos por correo cuando quede hecho. En esa página se explica qué se elimina, qué se conserva por obligación legal y hasta cuándo (sección 9). Recuerda que eliminar la cuenta no cancela el expediente clínico: eso se le pide a tu clínica por los medios 1 o 2 de arriba.
Plazos legales: recibirás respuesta en un máximo de 20 días hábiles; de ser procedente, se hará efectiva dentro de los 15 días hábiles siguientes. Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen, y te avisaremos dentro del plazo original si ello ocurre.
Límite al uso o divulgación de tus datos: con independencia de los derechos ARCO, puedes pedirnos en cualquier momento que limitemos el uso o la divulgación de tus datos para las finalidades secundarias de la sección 4.2, por cualquiera de los dos medios de esta sección y sin necesidad de justificar tu decisión. Registrada tu solicitud, tus datos quedan excluidos de las analíticas agregadas de manera permanente. Esta limitación no afecta el tratamiento necesario para tu atención clínica ni las obligaciones legales de conservación de tu expediente.
Tu contacto ante tus compañeros: si formas parte del personal de una clínica, puedes ocultar a tus compañeros tu correo, tu teléfono o los dos desde tu perfil, en cualquier momento y sin explicar por qué. Quien gestiona la clínica los sigue viendo (sección 4.1, punto 11). Si por una razón tuya quieres oponerte también a eso, escríbenos a privacidad@nopain.mx.
Límites que marca la ley sanitaria: sobre tu expediente clínico, mientras la ley obligue a conservarlo (al menos 5 años desde tu última atención, NOM-004-SSA3-2012, numeral 5.4), su cancelación no procede: se conserva, no se usa para ningún otro fin y solo se consulta para atender tus derechos, una obligación legal o una orden de autoridad. Cuando termina ese plazo y ya no se te atiende, queda bloqueado —se guarda sin usarse— hasta que se cumplen 10 años desde tu última consulta, cita, firma de consentimiento o registro en la app con esa clínica, o el plazo mayor que fije el código civil del estado donde te atendió, que es el plazo en que prescriben las acciones que podrían derivar de tu atención (hoy, 20 años en Veracruz; en Yucatán, si eras menor de edad, ese plazo empieza a contar cuando cumples 18 años). Entonces se suprime de forma segura, salvo que un juicio, una reclamación en curso o una orden de autoridad obligue a conservarlo más tiempo (sección 9).
También tienes derecho a obtener un resumen o copia de tu expediente clínico conforme a la NOM-004-SSA3-2012, en dos formatos y sin intermediarios: en PDF, para leerlo o imprimirlo, y en un archivo de datos estructurado (JSON), pensado para que puedas llevártelo a otro profesional o sistema. El archivo estructurado se genera por consultorio —cada clínica responde por separado del expediente que lleva— y su enlace de descarga caduca a las 24 horas, porque contiene tus datos de salud en claro. Si cuando la descargas un profesional está escribiendo una nota tuya que todavía no firma, la copia la incluye aparte, marcada como borrador sin firmar.
La atención de pacientes menores de 18 años requiere que el consentimiento sea otorgado por quien ejerza la patria potestad o tutela; la opinión del menor se toma en cuenta y queda escrita en su consentimiento. NoPain Paciente es solo para mayores de 18 años: las clínicas no invitan a menores a la aplicación. Los derechos ARCO de menores se ejercen a través de su representante legal.
NoPain puede modificar este aviso para reflejar cambios legales, de proveedores o del servicio. Cada versión tiene número y fecha de entrada en vigor. La vigente está en la aplicación, y en api.nopain.mx/aviso-de-privacidad se consultan la vigente, la próxima si ya la anunciamos y las anteriores. Cuando publiquemos una versión te lo mostraremos en la pantalla de inicio de la aplicación hasta que nos indiques que la viste. Si el cambio requiere tu consentimiento —por ejemplo, porque agrega una finalidad—, te lo avisaremos al menos 15 días naturales antes de que entre en vigor; puedes aceptarlo desde que lo anunciamos y, desde esa fecha, la aplicación te pedirá aceptarlo antes de seguir usándola. Si creas tu cuenta mientras hay un cambio anunciado, o lo aceptas cuando tenías pendiente uno anterior, la versión que aceptas rige para ti desde ese momento; si ya tenías aceptada la versión en vigor, la nueva rige para ti desde la fecha anunciada, aunque la aceptes antes. Mientras no lo aceptes no trataremos tus datos para lo nuevo, y siempre podrás ejercer tus derechos, descargar tu información y eliminar tu cuenta (sección 10). La evidencia de la versión que aceptaste queda registrada de forma inmutable.
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la Secretaría Anticorrupción y Buen Gobierno (autoridad garante en materia de protección de datos personales en posesión de particulares en México).
Al crear una cuenta, aceptar este aviso en la aplicación o continuar utilizando la plataforma tras la publicación de una nueva versión conforme a la sección 12, reconoces haber leído y entendido este Aviso de Privacidad. La aceptación queda registrada con fecha, hora, versión, dirección IP y dispositivo.
Documento de referencia normativa: LFPDPPP (DOF 20/03/2025, última reforma DOF 14/11/2025); NOM-004-SSA3-2012; NOM-024-SSA3-2012; Ley General de Salud (última reforma DOF 15/01/2026); NOM-151-SCFI-2016.