Política de Privacidad

El servicio se ofrece bajo el nombre comercial HBSystemas. La razón social, identificación fiscal, domicilio y jurisdicción de la parte contratante deben constar en la orden, factura o contrato aplicable. El contacto de privacidad es soporte@hbsystemas.com.

Para datos de cuenta, facturación, soporte y seguridad de la plataforma, la parte operadora actúa como responsable. Para información que una clínica o profesional incorpora sobre sus pacientes o clientes, esa organización determina los fines y suele actuar como responsable; la plataforma actúa como encargado conforme al anexo de tratamiento de datos. La asignación real depende de la operación y la ley local.

• Cuenta y organización: nombre, correo, credenciales protegidas, profesión, licencia, clínica, equipo, roles, país, zona horaria, soporte y preferencias.
• HBS Medic: identidad y contacto de pacientes, historia clínica, diagnósticos, notas, medicamentos, signos vitales, imágenes, documentos, estudios, antecedentes gineco-obstétricos, psicológicos, oncológicos y genéticos cuando se usan esos módulos.
• HB Dent: odontograma, examen, fotografías, planes y sesiones de tratamiento, presupuestos, laboratorio dental, inventario, agenda y recalls.
• HB Lab: pacientes, órdenes, muestras, resultados, rangos, banderas críticas, reportes, validadores, equipos, calidad, trazabilidad y entregas.
• HBS Fit: medidas corporales, hábitos, alimentación, actividad, objetivos, restricciones, planes nutricionales y de entrenamiento.
• Operación: citas, mensajes, consentimientos, facturas, pagos, archivos, registros de acceso y acciones, IP, navegador, errores y seguridad.

La autorización para prestar el servicio no permite vender expedientes ni entrenar modelos propios con datos clínicos identificables. El alcance del tratamiento de pacientes se rige por las instrucciones de la organización y el DPA.

Los datos provienen del usuario, su organización, el paciente mediante un enlace firmado, integraciones habilitadas y registros técnicos del servicio.

• Prestar, asegurar y soportar el servicio solicitado; administrar cuentas, roles, agenda, comunicaciones, facturación y pagos.
• Tratar datos de pacientes conforme a instrucciones documentadas de la clínica y facilitar su atención o gestión profesional.
• Cumplir obligaciones legales, fiscales, sanitarias, de expediente, auditoría y respuesta a derechos o incidentes.
• Prevenir fraude, abuso y accesos no autorizados, y mantener continuidad y respaldos.
• Mejorar el producto con telemetría técnica o datos agregados, evitando reutilizar expedientes identificables para publicidad o entrenamiento.

En Costa Rica, el tratamiento se sujeta a la Ley 8968 y su reglamento: se solicita el consentimiento informado cuando sea exigible y se aplican únicamente las excepciones que la ley permita. El contrato de software no autoriza por sí solo cualquier uso de datos sensibles. Para pacientes de otros países, la organización debe determinar además las bases y requisitos locales aplicables. Un consentimiento genérico no sustituye el consentimiento clínico para un procedimiento.

La IA es opcional y se activa en funciones identificadas. Puede recibir texto, imágenes o resultados necesarios para producir un borrador. No toma la decisión clínica final ni debe usarse como único fundamento de diagnóstico, prescripción, alta, exclusión o urgencia. Revisa proveedores, retención, límites y controles en el Aviso de IA.

El titular de una cuenta individual elegible de HB Dent o HBS Medic puede autorizar la conexión de su número para avisos operativos. Se registra el número vinculado, el estado de conexión, las entregas y la evidencia de aceptación de las condiciones. Los códigos de seguridad son de un solo uso y el QR se muestra temporalmente. Las credenciales de sesión se conservan protegidas en la infraestructura del servicio; no se entregan a otros usuarios.

La integración basada en WhatsApp Web utiliza Evolution API alojada en Railway. WhatsApp administra su plataforma bajo sus propias condiciones y puede procesar datos fuera de Costa Rica. No se habilita la sincronización completa del historial ni el uso de grupos. El servicio procesa únicamente los eventos necesarios para operar los avisos, sus respuestas y las bajas. La autorización del profesional no sustituye el consentimiento de cada paciente para recibir mensajes. No deben incluirse diagnósticos ni información clínica innecesaria.

Se puede detener la conexión desde Configuración y revocar el dispositivo vinculado desde WhatsApp. Los registros de aceptación y seguridad se conservan conforme a los plazos legales y contractuales aplicables. Consultá las condiciones de vinculación de HB Dent o de HBS Medic.

Para contratar una licencia o recarga se utilizan el nombre, correo, datos de facturación, dirección y contacto exigidos por el medio elegido, importe, moneda, producto, referencia y estado del pago. Pueden tratarse IP y datos de navegador para seguridad y autenticación. También se conserva evidencia de la aceptación y de la entrega para atender consultas, conciliación, obligaciones fiscales y reclamos. Los datos requeridos para autorizar el pago deben proporcionarse para completar esa compra; no implican consentimiento publicitario.

Según el medio habilitado, la tarjeta se introduce en el formulario del procesador o en nuestra pantalla de pago. Con el SDK de Tilopay, sus datos viajan directamente del navegador al procesador, sin pasar por nuestros servidores ni guardarse en la cuenta. La cuenta guarda referencias de pago y, cuando el proveedor las devuelve, marca y últimos dígitos. Los números completos y el código de seguridad no forman parte del registro de compra que consultamos para soporte. No incluyas esos datos en un mensaje, archivo o expediente.

Tilopay interviene únicamente cuando se ofrece y selecciona como procesador habilitado. La información necesaria se comparte con el procesador, adquirente y emisor para ejecutar el cobro, prevenir fraude o atender una disputa. El respaldo de una compra de software debe limitarse a esa transacción y su entrega; no se envían expedientes de pacientes para justificarla. Consulta también la política de pagos y reembolsos.

Para facturar nuestras licencias y créditos, conservamos los datos fiscales declarados para esa compra: nombre o razón social, identificación y tipo, actividad cuando corresponda, dirección, país y correo de entrega. Los datos necesarios para emitir y validar el comprobante se transmiten a AVD/D-FAC y a Hacienda de Costa Rica. Hacienda los trata en ejercicio de sus atribuciones legales; no actúa como un proveedor de publicidad ni como encargado de la clínica. La identidad fiscal de esa compra no se sustituye por cambios posteriores del perfil.

Resend recibe el destinatario, contenido y archivos necesarios para entregar el comprobante administrativo y los documentos fiscales. Estos documentos de compra describen el software o los créditos contratados; no incluyen expedientes ni contenido clínico para justificar el cobro. La información fiscal puede conservarse aunque se cierre la cuenta cuando exista una obligación legal aplicable; las solicitudes de corrección se atienden sin alterar documentos emitidos al margen del procedimiento fiscal correspondiente.

Las funciones habilitadas pueden utilizar los proveedores indicados abajo. La ubicación efectiva y las salvaguardas dependen de la cuenta y plan contratados. La habilitación de un país o carga regulada requiere revisar DPA, términos, región, subprocesadores y, si corresponde, BAA o cláusulas de transferencia. La lista no acredita por sí sola esa habilitación.

En el cobro de nuestras licencias, algunos procesadores y bancos actúan también como responsables de sus propias obligaciones de seguridad, prevención de fraude y regulación financiera. Su inclusión no les permite tratar expedientes clínicos ni los convierte automáticamente en subencargados de la clínica. La transferencia a otro responsable y el uso de un encargado tecnológico se evalúan según su función y la normativa aplicable.

Una clínica puede solicitar información contractual o plantear una objeción razonable a un nuevo subencargado en soporte@hbsystemas.com.

La integración de HB Sistemas permite conectar una cuenta de Google desde HB Dent, HBS Medic o HBS Fit. La autorización es opcional y está separada del acceso a la plataforma. Se obtiene la identidad y el correo de Google para identificar la cuenta conectada. Gmail se usa para enviar los mensajes que autoriza el profesional; no se solicita acceso para leer el buzón. Calendar permite crear, consultar, actualizar y cancelar los eventos vinculados a las citas, elegir un calendario autorizado y generar enlaces de Google Meet.

Se comparten con Google los destinatarios y el contenido de los mensajes enviados, y el nombre, contacto, horario y consultorio necesarios para la cita. El motivo clínico y las notas internas no se incorporan a los eventos. Los invitados reciben avisos de Google únicamente cuando se activa esa opción. La plataforma conserva la cuenta y los permisos concedidos, credenciales cifradas, identificadores y enlaces de eventos, recibos de envío y datos cifrados necesarios para reintentar la sincronización.

Los datos obtenidos de las APIs de Google se utilizan únicamente para estas funciones visibles y su operación, seguridad y soporte autorizado. No se venden ni se utilizan para publicidad, evaluación crediticia o entrenamiento de modelos de IA de propósito general. Su uso y transferencia se limitan conforme a la Política de Datos del Usuario de los Servicios de las APIs de Google, incluidos sus requisitos de uso limitado.

Podés desconectar la cuenta desde Integraciones o retirar el acceso desde tu cuenta de Google. Desconectar elimina las credenciales locales e intenta revocar el permiso en Google; no borra los mensajes enviados, los eventos existentes ni los registros operativos de la clínica. Para solicitar la eliminación de esos registros, usá el contacto de privacidad; se aplican las reglas de conservación y derechos descritas en esta política.

No aplicamos un único plazo a todos los datos. La cuenta se conserva mientras exista relación contractual y durante los plazos fiscales, de defensa o fraude aplicables. Los expedientes se conservan según instrucciones de la clínica y los mínimos sanitarios de su país; una solicitud de borrado no prevalece sobre una obligación legal de archivo. Los respaldos y registros de seguridad dependen de los ciclos y contratos del proveedor. Los plazos concretos deben documentarse por categoría, finalidad y obligación aplicable; no se presume una conservación indefinida por haber realizado una compra.

Al terminar el servicio, la clínica debe exportar lo necesario y emitir una instrucción de devolución, bloqueo o supresión. La orden o DPA debe fijar ventanas concretas antes de usar el sistema en producción. No prometemos eliminación instantánea ni un plazo clínico universal.

Se emplean TLS en tránsito, almacenamiento gestionado con cifrado del proveedor, URLs firmadas para objetos privados, autorización por cuenta o clínica y registros de determinadas acciones. El acceso debe concederse por rol y revocarse cuando deja de ser necesario. Ningún control elimina todo riesgo. El alcance verificado y sus límites se describen en Seguridad y alcance HIPAA.

La aplicación usa cookies o almacenamiento estrictamente necesarios para autenticación, seguridad, idioma y funcionamiento. La versión actual no carga Google Fonts ni una etiqueta publicitaria de terceros. Si se habilita analítica no esencial o publicidad, se actualizará este aviso y se mostrará el control de consentimiento requerido antes de activarla.

Los menores no crean cuentas profesionales. Cuando una clínica trata datos pediátricos debe comprobar representación, asentimiento cuando corresponda, necesidad y límites de uso. Datos genéticos, salud mental, sexualidad, fotografías y decisiones con efecto futuro requieren una evaluación reforzada y consentimiento específico cuando la ley lo exija.

Según el país pueden existir derechos de acceso, rectificación, actualización, cancelación, supresión, oposición, portabilidad, limitación, revocación y revisión humana. Para datos del expediente, la solicitud debe dirigirse primero a la clínica responsable; la plataforma le prestará asistencia. Para datos de cuenta o si no sabes quién es la clínica, escribe a soporte@hbsystemas.com. Podemos pedir verificación razonable de identidad y autoridad.

Cuando corresponda la Ley 8968 de Costa Rica, las solicitudes para ejercer los derechos de su artículo 7 se resuelven de forma gratuita dentro de cinco días hábiles desde su recepción. Si un dato debe conservarse por una obligación legal o una solicitud no procede, se informa la razón; la verificación de identidad no sustituye la obligación de responder. Puedes plantear una reclamación ante la Agencia de Protección de Datos de los Habitantes (PRODHAB) o ante la autoridad competente de tu país.

Investigamos accesos, pérdidas o divulgaciones no autorizadas y notificamos a la parte responsable sin demora indebida para que cumpla los plazos legales. Si la plataforma actúa como responsable, notificará a titulares y autoridades cuando corresponda. Reporta de inmediato cualquier sospecha al contacto de privacidad.

Los cambios materiales se comunicarán de forma razonable y podrán requerir nueva aceptación. El historial de aceptación registra la versión, fecha y metadatos técnicos disponibles.