Aviso de Privacidad

1. Quién es el responsable, y cuándo

MedNet Solutions, S. de R.L. de C.V., con domicilio en Juan Vázquez de Mella 481, C.P. 11510, Alcaldía Miguel Hidalgo, Ciudad de México, México. Correo único para todo lo relativo a datos personales: info@mednet.solutions.

La figura de MedNet depende de cómo llegó la persona, y esto importa porque cambia a quién se le reclama:

• Cuando una persona se registra por su cuenta, sin que un laboratorio o una institución la haya invitado, MedNet Solutions es el responsable del tratamiento: es quien decide para qué se usan sus datos personales.
• Cuando el acceso lo habilitó un laboratorio o una institución, por un código, una campaña o un contrato, ese laboratorio o esa institución es el responsable del tratamiento, y MedNet actúa como encargado del tratamiento, tratando los datos por cuenta y bajo instrucciones de aquél.

Departamento de Datos Personales. MedNet Solutions cuenta con un Departamento de Datos Personales designado, encargado de dar trámite a las solicitudes de acceso, rectificación, cancelación y oposición, y de fomentar la protección de datos dentro de la organización. Para ejercer estos derechos, el canal es info@mednet.solutions. Ayuda incluir «Datos Personales», «ARCO» o «Privacidad» en el asunto y el nombre de la plataforma, pero su ausencia no impide la recepción ni el trámite de la solicitud.

2. A qué plataformas alcanza

• MedFlow Training: medflow-training.com, www.medflow-training.com
• Virtual MSL: virtual-msl.com, www.virtual-msl.com
• Virtual Field Trainer: virtualfieldtrainer.com, www.virtualfieldtrainer.com
• MedFlow: medflow.com.mx, www.medflow.com.mx, medflow.clinic, www.medflow.clinic, mednetconnect.org, www.mednetconnect.org

Incluye subdominios y despliegues asociados de cada una.

3. Qué datos se tratan

El detalle exacto está en el anexo de cada plataforma. En común:

Datos de identificación y contacto. Nombre, apellido, correo electrónico, país. Según la plataforma, también teléfono, ciudad, provincia o estado, y fecha de nacimiento.

Datos profesionales. Especialidad médica, cédula o matrícula profesional, institución, y en Virtual Field Trainer el equipo y la organización a la que la persona pertenece.

Datos de uso. Qué se abrió, cuándo, cuánto tiempo, desde qué tipo de dispositivo, dirección IP, y el contenido que la persona escribió o dijo dentro del producto.

Contenido generado por la persona. Es lo más sensible de este aviso y varía mucho por plataforma: en Virtual MSL, la consulta clínica escrita; en Virtual Field Trainer, la conversación completa de una práctica y, en modalidad video, imágenes del rostro.

Datos de terceros que la persona aporta. Ver la sección 4.

4. Datos de pacientes

Esto reemplaza lo que decía el texto anterior de Virtual MSL, que era incorrecto. Aquel texto afirmaba que el servicio «no está diseñado para recibir información identificable de pacientes» y lo prohibía. En los hechos, el asistente de Virtual MSL solicita expresamente iniciales, género, edad o fecha de nacimiento del paciente, la descripción del evento y su fecha de inicio, cuando la consulta involucra un evento adverso o un uso fuera de indicación aprobada.

Lo que corresponde declarar es lo que ocurre:

• El asistente puede solicitar y recibir datos mínimos de un paciente, y lo hace únicamente cuando la consulta lo requiere para dos fines: farmacovigilancia, es decir el reporte de un evento adverso, y uso fuera de indicación aprobada.
• Esos datos se usan en el momento de la conversación para poder responder y, cuando corresponde, para generar el reporte que la normativa de farmacovigilancia exige.
• No se conservan más allá de lo necesario para esos dos fines, y no se usan para ningún otro.
• El profesional de la salud que los aporta es responsable de haberlos obtenido legítimamente y de aportar el mínimo indispensable. Se solicitan iniciales, no nombre.

5. Para qué se usan

• Dar acceso al servicio y sostener la cuenta.
• Entregar el contenido formativo o el asistente, según la plataforma.
• Generar los informes de desempeño y de uso que el producto ofrece.
• Cumplir obligaciones de farmacovigilancia cuando aplica.
• Sostener y mejorar el servicio: diagnóstico de errores, medición de uso.
• Comunicaciones sobre el servicio.

Ninguna de estas finalidades implica venta de datos personales, y no se hace publicidad basada en el comportamiento de la persona.

6. Con quién se comparten

6.1 Con el laboratorio o la institución que habilitó el acceso

Qué ve exactamente varía por plataforma y está en cada anexo. Lo que hay que saber en general:

• En Virtual MSL, el panel del laboratorio muestra hoy la consulta clínica textual con el nombre y apellido de quien la escribió, y el costo imputado a cada persona con el minuto exacto. El texto anterior decía «agregados en la medida posible, sin identificar individualmente», y eso no describía el producto.
• En Virtual Field Trainer, al supervisor y a la gerencia llega el detalle individual de cada práctica, con citas textuales de lo que dijo el representante. Los textos anteriores decían «resultados agregados» y se contradecían entre sí.
• En MedFlow Training, el PDF de informes es agregado, pero el panel del instructor muestra nombre y apellido.

Decidido por MedNet el 27 de agosto de 2026: el acceso nominal se mantiene, y por eso este aviso lo declara expresamente en lugar de describirlo como agregado. Quien usa las plataformas acepta que la organización que habilitó su acceso vea su actividad con su nombre.

6.2 Con proveedores que procesan datos por cuenta de MedNet

Nombrados uno por uno, porque un aviso que dice «proveedores de infraestructura y analítica» sin nombrarlos no permite a nadie evaluar el riesgo.

• Supabase: toda la base de datos y la autenticación. En las cuatro plataformas.
• Vercel: todo el tráfico, y la analítica donde está instalada. En las cuatro plataformas.
• OpenAI: en Virtual MSL, el nombre completo, el correo, la especialidad, la cédula y el país de la persona, más la conversación entera. En MedFlow Training, contenido clínico sintético sin datos de personas. En Virtual Field Trainer, fragmentos de documentos del laboratorio.
• Anthropic: en Virtual Field Trainer, la conversación completa con el texto literal del representante y, en modalidad video, hasta doce imágenes de su rostro y su entorno. En MedFlow Training, agregados sin identificar.
• Deepgram: el audio del micrófono del representante, para transcribirlo. En Virtual Field Trainer.
• ElevenLabs: el texto que el médico simulado o el asistente pronuncian, y un identificador de voz. En Virtual MSL y Virtual Field Trainer.
• HeyGen / LiveAvatar: el texto que el avatar habla. En Virtual MSL.
• Google: correo, nombre y foto de quien entra con su cuenta de Google. Y, en el navegador Chrome, el audio del micrófono: ver la sección 6.3. En MedFlow Training y Virtual MSL.
• Mailgun: correo, nombre, apellido y país de cada destinatario de una comunicación. En MedFlow Training.
• Bouncer: listas de correos, para verificar su validez. En MedFlow Training.
• ipapi.co: la dirección IP del visitante, para deducir su país. En MedFlow Training.
• Consensus: consultas bibliográficas, sin dato personal. En MedFlow Training.
• Cloudflare: IP, agente de usuario y URL de cada visita. En MedFlow.
• Synthesia, Vercel Blob y los micrositios de cada laboratorio: IP y agente de usuario de cada visitante, al cargar la página y sin que nadie haga clic, porque el contenido se sirve desde esos dominios. En MedFlow.

6.3 Una advertencia que ningún texto anterior hacía

En Virtual MSL, el dictado por voz lo realiza una función del propio navegador, no un proveedor contratado por MedNet. En Google Chrome, esa función envía el audio a servidores de Google, fuera de cualquier contrato de MedNet y bajo las condiciones de Google. Quien prefiera evitarlo puede escribir en lugar de dictar, o usar otro navegador.

El texto anterior decía que el audio «es procesado por un proveedor de reconocimiento de voz» y que MedNet «no almacena archivos de audio». La segunda afirmación es cierta, pero por un motivo que conviene decir: el audio nunca llega a MedNet.

6.4 Transferencias entre las plataformas del propio grupo

Las cuatro plataformas comparten infraestructura. En particular, la cuenta con la que alguien se registra en Virtual MSL se crea en la base de MedFlow Training, y quien tiene cuenta en MedFlow Training puede entrar a Virtual MSL sin registrarse de nuevo. Ningún texto anterior lo decía.

6.5 Autoridades

Cuando una autoridad competente lo requiera conforme a derecho.

7. Cuánto tiempo se conservan

No se aplica un plazo máximo fijo. El criterio es el siguiente, y es el que gobierna:

• Los datos de la cuenta y del perfil se conservan mientras la cuenta exista.
• El contenido generado dentro del producto, conversaciones, prácticas y consultas, se conserva mientras subsista la finalidad para la que se generó: sostener el historial de la persona, permitir que su organización mida el uso del servicio que contrató, y cumplir obligaciones legales cuando aplican.
• Los datos que la normativa de farmacovigilancia obliga a conservar se retienen por el plazo que esa normativa exige, aunque la cuenta se haya dado de baja.
• Cuando la finalidad se agota, el dato se elimina o se anonimiza.

Este criterio reemplaza los plazos que los textos anteriores declaraban, conservación por finalidad con anonimización automática a los cinco años, que nunca estuvieron implementados.

Borrado a pedido. Es independiente de todo lo anterior: cualquier persona puede pedir la cancelación de sus datos por el canal de la sección 8, y se ejecuta en los plazos ahí indicados.

8. Derechos

Toda persona puede acceder a sus datos, rectificarlos, cancelarlos u oponerse a su tratamiento, los llamados derechos ARCO, además de limitar el uso o divulgación y revocar el consentimiento.

Canal único: info@mednet.solutions. Ayuda incluir «Datos Personales», «ARCO» o «Privacidad» en el asunto y el nombre de la plataforma, pero su ausencia no impide la recepción ni el trámite.

Se responde en un plazo de 20 días hábiles y, de proceder, se ejecuta dentro de los 15 días hábiles siguientes. En otras jurisdicciones aplican los plazos locales.

Qué debe contener la solicitud. Nombre de la persona titular y un medio para recibir la respuesta; los documentos que acrediten su identidad o la representación con que actúa; una descripción clara de los datos sobre los que ejerce el derecho; y el derecho que pretende ejercer. Para una rectificación, además, qué corresponde corregir y la documentación que lo sustente. Si falta información, MedNet la solicitará sin demora. No se revela ni se modifica ningún dato antes de verificar la identidad.

9. Cookies y almacenamiento local

No hay banner de consentimiento en ninguna plataforma, y tres de las cuatro escriben una cookie antes de cualquier interacción. Las cookies que existen realmente son:

• sb-*: sostener la sesión iniciada. En MedFlow Training, Virtual MSL y Virtual Field Trainer.
• NEXT_LOCALE: recordar el idioma elegido, un año. En Virtual MSL y MedFlow.
• mt_country: recordar el país elegido, un año. En MedFlow Training.

Además, MedFlow guarda en el navegador el recorrido que la persona hizo dentro de una guía clínica, incluidas sus respuestas sobre un paciente. Esa información no sale del dispositivo y ningún texto anterior la mencionaba.

No hay cookies publicitarias ni de terceros con fines de perfilado.

10. Menores

El servicio está dirigido a profesionales de la salud y personas mayores de 18 años. No se solicita la edad en el registro, así que la afirmación se sostiene en el destinatario del producto y no en una verificación.

11. Seguridad

Se aplican controles de acceso por rol, cifrado en tránsito y en reposo por la infraestructura, y separación entre organizaciones. Ningún sistema es completamente seguro, y este aviso no promete lo contrario.

Lo que los textos anteriores prometían y no existe: registros de auditoría inmutables, endpoints de exportación y supresión, y aislamiento impuesto por la base de datos. En Virtual Field Trainer el aislamiento entre laboratorios es real, pero lo sostiene la aplicación y no la base.

12. Autoridades de protección de datos

México: la autoridad competente en materia de protección de datos personales en la jurisdicción aplicable. Brasil: ANPD. Argentina: AAIP. Toda persona puede acudir a la autoridad de su país si considera que su derecho fue vulnerado.

13. Ley aplicable

Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, y la normativa local aplicable en cada país donde el servicio se ofrece.

14. Cambios

Los cambios se publican en esta misma página con su fecha. Los que modifiquen sustancialmente las finalidades o los destinatarios se comunican además por correo.

15. Idioma

La versión en español es la única vinculante. Las traducciones que puedan ofrecerse son de cortesía y, ante cualquier discrepancia, prevalece el texto en español.

En toda pantalla donde exista una casilla de aceptación, esta advertencia aparece arriba de la casilla, escrita en el idioma de la interfaz, y con el enlace al texto vinculante.