Privacidad y seguridad

Salvia se diseña con el principio de privacidad por diseño. Este documento describe las medidas técnicas, administrativas y físicas que aplicamos para proteger tu información de salud.

1. Propósito y alcance

Este documento aplica a la información tratada por la aplicación Salvia y por las páginas web compartidas. Complementa la política de privacidad y forma parte de los términos y condiciones.

2. Privacidad por diseño

Incorporamos la privacidad en cada capa del producto: minimización de datos, transparencia en las finalidades, controles de compartición centrados en el usuario y ausencia de publicidad y de elaboración de perfiles comerciales.

3. Almacenamiento local primero (offline-first)

Tu expediente se guarda primero en tu dispositivo (base de datos local SQLite). Puedes registrar y consultar tu información sin conexión; la sincronización con nuestro servicio ocurre únicamente cuando hay red y tu sesión está activa. Los datos que nunca sincronizas no salen de tu dispositivo.

4. Cifrado

• En tránsito: toda la comunicación entre la app y nuestros servicios usa HTTPS/TLS (1.2 o superior), protegiendo los datos mientras viajan por internet.
• En reposo: la base de datos del servicio y sus respaldos se protegen con los mecanismos de cifrado de la plataforma (Supabase) y el almacenamiento local de la app queda resguardado por el sistema operativo del dispositivo.
• Contraseñas de enlaces: se almacenan como hash criptográfico (SHA-256), nunca en texto plano.

5. Autenticación y control de acceso

El acceso a tu expediente se realiza con tu cuenta de Google; no manejamos contraseñas propias ni datos de tarjetas de pago. El acceso al servicio se restringe al mínimo personal necesario para su operación, y el equipo no lee tu información sin tu autorización.

6. Minimización de datos

Solo almacenamos lo necesario para que la aplicación funcione. Los catálogos médicos se consultan de forma puntual y no se retienen más allá de lo necesario para la búsqueda solicitada.

7. Compartición controlada

Cuando compartes tu expediente mediante un enlace protegido:

• Tú eliges las categorías y el rango de fechas que se comparten, y asignas una contraseña.
• El enlace es único y solo es accesible con la contraseña correcta.
• Cada enlace registra un contador de visitas que puedes consultar.
• Puedes desactivar o eliminar el enlace en cualquier momento; al hacerlo, deja de ser accesible.

8. Asistente de IA

El chat con el asistente de IA solo accede a tu propio expediente para responder tus preguntas. El historial de conversación es efímero: no se almacena en nuestra base de datos. El asistente no emite diagnósticos ni tratamiento y no debe usarse para decisiones médicas.

9. Notificación de vulneraciones de seguridad

En caso de una vulneración que comprometa datos personales, notificaremos sin demora injustificada al titular afectado y, cuando aplique, al INAI, conforme al artículo 20 de la LFPDPPP, indicando la naturaleza del incidente, los datos comprometidos y las recomendaciones de protección.

10. Respaldo y continuidad

El servicio cuenta con respaldos automáticos de la base de datos y procedimientos de recuperación ante fallas, de modo que tu expediente permanezca disponible y consistente en condiciones normales de uso.

11. Recomendaciones para ti

• No compartas las contraseñas de tus enlaces con personas que no deban ver tu información.
• Cierra sesión en dispositivos compartidos.
• Protege tu cuenta de Google con verificación en dos pasos.
• Mantén tu dispositivo actualizado y con bloqueo de pantalla.

12. Reporte de incidentes y contacto

Si detectas una vulnerabilidad o un uso indebido de tu información, escríbenos a diego.torres.itid@unipolidgo.edu.mx con el asunto "Seguridad". Atendemos los reportes con la mayor prioridad.