Política de Privacidad

Última actualización: 22 de febrero de 2026

1. Introducción

CBCTHub ("nosotros", "nuestro" o "la Plataforma") es una plataforma en la nube para almacenamiento, visualización y compartición de imágenes médicas en formato DICOM, orientada a profesionales de la salud dental y centros de imagenología. Esta Política de Privacidad describe cómo recopilamos, usamos, almacenamos, protegemos y compartimos información personal, incluyendo datos de salud contenidos en archivos DICOM.

Esta política ha sido diseñada para cumplir con las normativas internacionales de protección de datos aplicables, incluyendo el Reglamento General de Protección de Datos de la Unión Europea (GDPR), la Ley de Portabilidad y Responsabilidad de Seguros de Salud de EE.UU. (HIPAA), la Ley General de Protección de Datos de Brasil (LGPD), la Ley 21.719 de Chile, la Ley 1581 de 2012 de Colombia, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México, la Ley 25.326 de Protección de Datos Personales de Argentina, y demás normativas aplicables en las jurisdicciones donde operamos.

2. Definiciones

Datos Personales: Cualquier información relativa a una persona física identificada o identificable, incluyendo pero no limitado a nombre, correo electrónico, dirección, teléfono e identificadores en línea.

Datos Sensibles de Salud: Información relativa a la salud física o mental de una persona, incluyendo datos contenidos en archivos DICOM como imágenes médicas, nombre del paciente, fecha de nacimiento, identificación del paciente, datos biométricos faciales derivados de tomografías y cualquier información que revele el estado de salud de una persona. Bajo la legislación europea (GDPR Art. 9), brasileña (LGPD Art. 5), chilena (Ley 21.719), colombiana (Ley 1581), argentina y mexicana, estos datos gozan de protección reforzada.

Responsable del Tratamiento (Controlador): El profesional de salud o centro de imagenología que sube los archivos DICOM y determina los fines y medios del tratamiento de los datos de sus pacientes.

Encargado del Tratamiento (Procesador): CBCTHub, que trata los datos por cuenta del Responsable, siguiendo sus instrucciones y conforme a esta política.

PHI (Protected Health Information): Bajo HIPAA, toda información de salud individualmente identificable transmitida o mantenida en cualquier medio electrónico, incluyendo los metadatos de los archivos DICOM (nombre del paciente, fecha de nacimiento, identificación, fecha del estudio, institución, etc.).

3. Roles y responsabilidades en la protección de datos

3.1 CBCTHub como Encargado/Procesador. CBCTHub actúa exclusivamente como Encargado del Tratamiento (Procesador de Datos) respecto a los datos de pacientes contenidos en los archivos DICOM. No determinamos los fines del tratamiento de dichos datos, no accedemos al contenido clínico de las imágenes y no utilizamos los datos de pacientes para ningún fin propio. Bajo HIPAA, actuamos como Business Associate.

3.2 El usuario como Responsable/Controlador. El profesional de salud o centro de imagenología que utiliza CBCTHub es el Responsable del Tratamiento (Controlador de Datos) de la información de sus pacientes. En esta calidad, el usuario es responsable de:

Obtener el consentimiento informado del paciente antes de subir sus imágenes, conforme a la legislación local aplicable.
Cumplir con las normativas de protección de datos de salud vigentes en su jurisdicción.
Garantizar que tiene base legal para el tratamiento de los datos (consentimiento explícito, obligación legal, interés vital o interés legítimo según aplique).
Informar a sus pacientes sobre el uso de una plataforma en la nube para el almacenamiento de sus imágenes.
Gestionar las solicitudes de ejercicio de derechos de sus pacientes (acceso, rectificación, supresión, etc.).
Bajo HIPAA: mantener un Business Associate Agreement (BAA) vigente con CBCTHub.

3.3 Acuerdo de Procesamiento de Datos (DPA). Para usuarios que requieran un Acuerdo de Procesamiento de Datos formal bajo GDPR (Art. 28) o un Business Associate Agreement bajo HIPAA, pueden solicitarlo contactando a legal@cbcthub.com.

4. Información que recopilamos

4.1 Datos de la cuenta del usuario:

Nombre completo, correo electrónico, contraseña (hasheada)
Nombre de la clínica, dirección, teléfono, correo de contacto, logotipo
Plan de suscripción y datos de facturación (procesados por Stripe, no almacenamos datos de tarjetas)
Zona horaria e idioma preferido
Preferencias de notificación

4.2 Datos contenidos en archivos DICOM:

Imágenes médicas (tomografías CBCT)
Metadatos DICOM: nombre del paciente, fecha de nacimiento, ID del paciente, fecha y hora del estudio, institución de origen, nombre del médico referente, descripción del estudio, parámetros de adquisición del equipo
Estos datos constituyen PHI bajo HIPAA y datos sensibles de salud bajo GDPR, LGPD y legislaciones latinoamericanas

4.3 Datos generados por el uso:

Registros de acceso a exámenes compartidos (nombre del visitante, email, dirección IP, user agent, fecha/hora)
Mensajes y comentarios asociados a exámenes
Informes clínicos creados en la plataforma
Anotaciones, mediciones e implantes colocados sobre las imágenes
Métricas de uso: almacenamiento utilizado, cantidad de exámenes, frecuencia de acceso

4.4 Datos recopilados automáticamente:

Dirección IP, tipo de navegador, sistema operativo
Cookies de sesión estrictamente necesarias para la autenticación
No utilizamos cookies de seguimiento, publicidad ni analítica de terceros

5. Base legal para el tratamiento

Según la jurisdicción aplicable, tratamos datos personales con las siguientes bases legales:

5.1 Bajo GDPR (Unión Europea / EEE):

Ejecución contractual (Art. 6.1.b): para proveer el servicio contratado por el usuario.
Interés legítimo (Art. 6.1.f): para mejorar y asegurar la plataforma.
Obligación legal (Art. 6.1.c): para cumplir con requerimientos fiscales y regulatorios.
Consentimiento explícito (Art. 9.2.a): cuando el usuario sube datos sensibles de salud de sus pacientes, debe haber obtenido el consentimiento explícito del titular o contar con otra excepción del Art. 9.2 (como la provisión de asistencia sanitaria).

5.2 Bajo HIPAA (Estados Unidos):

CBCTHub opera como Business Associate conforme a las reglas de HIPAA.
El tratamiento de PHI se realiza conforme al Business Associate Agreement (BAA) suscrito con el usuario (Covered Entity).
Implementamos salvaguardas administrativas, físicas y técnicas conforme a la HIPAA Security Rule.

5.3 Bajo LGPD (Brasil):

Ejecución contractual (Art. 7, V) para los datos del usuario.
Consentimiento específico y destacado del titular (Art. 11) para datos sensibles de salud.
Tutela de la salud (Art. 11, II, f) cuando aplique.

5.4 Bajo legislación chilena (Ley 21.719):

Consentimiento expreso del titular para el tratamiento de datos sensibles, conforme a los nuevos estándares alineados con GDPR.
Ejecución de un contrato para datos no sensibles del usuario.

5.5 Bajo legislación colombiana (Ley 1581 de 2012):

Autorización previa, expresa e informada del titular para datos sensibles.
Las finalidades del tratamiento deben ser legítimas y estar informadas al titular.

5.6 Bajo legislaciones de México, Argentina, y demás países:

México: consentimiento tácito o expreso según la LFPDPPP, con aviso de privacidad.
Argentina: consentimiento libre, expreso e informado (Ley 25.326), con protección reforzada para datos genéticos y biométricos.
En todos los casos, el usuario (Responsable) debe garantizar la obtención del consentimiento del paciente conforme a su legislación local.

6. Uso de la información

Utilizamos la información recopilada exclusivamente para:

Proveer, mantener y mejorar el Servicio de almacenamiento, visualización y compartición de imágenes DICOM.
Procesar pagos y gestionar suscripciones a través de Stripe.
Enviar notificaciones relacionadas con el servicio (acceso a exámenes, mensajes, expiración de enlaces, resúmenes de actividad).
Proveer soporte técnico al usuario.
Detectar y prevenir fraude, abuso y amenazas de seguridad.
Cumplir con obligaciones legales y regulatorias.

No realizamos: venta, alquiler ni compartición de datos personales con terceros para fines publicitarios o de marketing. No utilizamos los archivos DICOM ni datos de pacientes para entrenar modelos de inteligencia artificial, investigación ni ningún otro fin ajeno a la prestación del servicio. No realizamos perfilado automatizado ni decisiones automatizadas con efectos legales sobre los titulares.

7. Medidas de seguridad técnicas y organizativas

Implementamos medidas de seguridad conforme a los estándares internacionales, incluyendo:

7.1 Cifrado:

Cifrado en tránsito: TLS 1.2+ para todas las comunicaciones.
Cifrado en reposo: los archivos DICOM se almacenan cifrados en Cloudflare R2 con cifrado AES-256.
Las contraseñas se almacenan con hash seguro (bcrypt) a través de Supabase Auth.

7.2 Control de acceso:

Autenticación mediante credenciales o Google OAuth.
Row Level Security (RLS) en base de datos: cada usuario solo puede acceder a sus propios exámenes.
Tokens de compartición con expiración configurable.
Protección opcional mediante PIN de 4 dígitos único por examen para enlaces compartidos.
URLs firmadas con expiración temporal para acceso a archivos.

7.3 Auditoría y monitoreo:

Registro de accesos a exámenes compartidos (quién, cuándo, desde dónde).
Notificaciones en tiempo real al propietario cuando alguien accede a sus exámenes.
Logs de auditoría para acciones relevantes.

7.4 Infraestructura:

Hospedaje en Vercel (plataforma con certificaciones SOC 2 Type II).
Base de datos en Supabase (certificado SOC 2 Type II, cifrado en reposo).
Almacenamiento en Cloudflare R2 (cifrado en reposo, redundancia geográfica).
Pagos procesados por Stripe (certificado PCI-DSS Level 1). CBCTHub no almacena datos de tarjetas de crédito.

8. Compartición y transferencia de datos

8.1 Compartición por el usuario:

Cuando el usuario comparte un examen mediante un enlace, las personas con acceso a dicho enlace (y PIN, si está habilitado) podrán visualizar las imágenes DICOM y los metadatos asociados. El usuario es responsable de controlar con quién comparte estos enlaces y de utilizar las funciones de protección disponibles (PIN, expiración, notificaciones de acceso).

8.2 Subprocesadores:

CBCTHub utiliza los siguientes subprocesadores para la prestación del servicio:

Supabase Inc. — Autenticación y base de datos (EE.UU.).
Cloudflare Inc. — Almacenamiento de archivos DICOM y CDN (red global).
Stripe Inc. — Procesamiento de pagos (EE.UU.).
Resend Inc. — Envío de correos electrónicos transaccionales (EE.UU.).
Vercel Inc. — Hospedaje de la aplicación web (EE.UU.).

Cada subprocesador ha sido evaluado respecto a sus prácticas de seguridad y opera bajo acuerdos que exigen la protección adecuada de los datos.

8.3 Transferencias internacionales:

Los datos pueden ser transferidos y almacenados en servidores ubicados en Estados Unidos. Para usuarios del EEE/UE, estas transferencias se realizan bajo las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea, conforme al Art. 46 del GDPR. Para usuarios de países latinoamericanos con restricciones de transferencia internacional, nos comprometemos a cumplir con los requisitos locales aplicables, incluyendo la obtención del consentimiento del titular cuando sea necesario.

8.4 Divulgación por obligación legal:

Podremos divulgar datos personales si así lo requiere una orden judicial, citación, o cuando sea necesario para cumplir con la ley, proteger derechos o la seguridad de nuestros usuarios, o responder a una emergencia.

9. Retención de datos

Datos de cuenta: Se retienen mientras la cuenta esté activa. Al solicitar eliminación, se eliminan en un plazo máximo de 30 días.
Archivos DICOM: Se retienen según la configuración del usuario. Los exámenes con fecha de expiración se eliminan automáticamente en la fecha configurada. Los exámenes sin expiración se retienen mientras la cuenta esté activa.
Registros de acceso: Se retienen por 12 meses para fines de auditoría y seguridad.
Datos de facturación: Se retienen conforme a las obligaciones tributarias aplicables (mínimo 5 años en la mayoría de jurisdicciones).
Copias de seguridad: Los datos pueden persistir en respaldos cifrados por un máximo de 30 días adicionales tras la eliminación.

10. Derechos de los titulares de datos

Dependiendo de su jurisdicción, usted tiene los siguientes derechos:

10.1 Derechos universales (disponibles para todos los usuarios):

Acceso: Solicitar una copia de sus datos personales.
Rectificación: Corregir datos inexactos o incompletos.
Supresión: Eliminar su cuenta y todos los datos asociados.
Portabilidad: Descargar sus archivos DICOM en cualquier momento.
Retiro del consentimiento: Revocar su consentimiento en cualquier momento.

10.2 Derechos adicionales bajo GDPR (UE/EEE):

Limitación del tratamiento (Art. 18).
Oposición al tratamiento basado en interés legítimo (Art. 21).
No ser objeto de decisiones automatizadas (Art. 22).
Reclamar ante la autoridad de control de su país (Art. 77).

10.3 Derechos bajo LGPD (Brasil):

Confirmación de la existencia del tratamiento.
Anonimización, bloqueo o eliminación de datos innecesarios.
Información sobre compartición con terceros.
Revisión de decisiones automatizadas (Art. 20).
Reclamar ante la ANPD (Autoridad Nacional de Protección de Datos).

10.4 Derechos ARCO (México, Colombia, Argentina, Chile):

Acceso a sus datos personales y la información de su tratamiento.
Rectificación de datos personales cuando sean inexactos o incompletos.
Cancelación (supresión) de datos cuando ya no sean necesarios.
Oposición al tratamiento de sus datos para fines específicos.
En Chile (Ley 21.719): derecho a la portabilidad de datos.
En Colombia: derecho a consultar y reclamar ante la SIC (Superintendencia de Industria y Comercio).
En Argentina: derecho de supresión (habeas data) y reclamo ante la AAIP.

10.5 Derechos de los pacientes:

Los pacientes cuyos datos aparecen en los archivos DICOM tienen derechos sobre sus datos de salud conforme a la legislación aplicable. Las solicitudes de ejercicio de derechos de los pacientes deben dirigirse al profesional de salud que subió los archivos (Responsable del Tratamiento). CBCTHub colaborará con el Responsable para atender dichas solicitudes en los plazos legales correspondientes.

Para ejercer cualquiera de estos derechos, contacte a privacidad@cbcthub.com. Responderemos dentro de los plazos legales aplicables (30 días bajo GDPR, 15 días hábiles bajo LGPD, 10 a 20 días hábiles bajo legislaciones latinoamericanas, según jurisdicción).

11. Cumplimiento con normativas sectoriales de salud

11.1 HIPAA (Estados Unidos):

CBCTHub está preparado para operar como Business Associate bajo HIPAA. Implementamos las salvaguardas requeridas por la Security Rule (45 CFR §164.312), incluyendo: control de acceso, auditoría de actividades, integridad de datos, autenticación de personas y cifrado en tránsito y reposo. Ofrecemos Business Associate Agreements (BAA) a los usuarios que sean Covered Entities bajo HIPAA. La PHI contenida en archivos DICOM recibe protección conforme a los estándares de la HIPAA Privacy Rule y Security Rule.

11.2 Normativas de salud en Latinoamérica:

Chile: Cumplimiento con la Ley 20.584 (derechos de los pacientes) y la futura implementación de la Ley 21.719. Los datos de salud requieren consentimiento expreso y medidas de seguridad reforzadas.
Colombia: Cumplimiento con la Ley 1581 de 2012, el Decreto 1377 de 2013 y la Resolución 839 de 2017 de MinSalud. Los datos de salud son sensibles y requieren autorización expresa.
México: Cumplimiento con la NOM-004-SSA3-2012 (expediente clínico), la LFPDPPP y su Reglamento. Los datos de salud son sensibles y requieren consentimiento expreso por escrito.
Brasil: Cumplimiento con la LGPD y la Resolución CFM 2.299/2021 sobre telemedicina. Los datos de salud son sensibles bajo Art. 5, II y requieren base legal específica bajo Art. 11.
Argentina: Cumplimiento con la Ley 25.326, la Ley 26.529 (derechos del paciente) y la Disposición 60-E/2016. Datos biométricos y genéticos gozan de protección especial.
Perú: Cumplimiento con la Ley 29.733 de Protección de Datos Personales. Los datos de salud requieren consentimiento expreso.
Ecuador, Panamá, Costa Rica, Uruguay, Paraguay, Bolivia, Guatemala: Cumplimiento con las respectivas leyes de protección de datos vigentes en cada jurisdicción.

11.3 GDPR y regulaciones europeas de salud:

Los datos de salud están clasificados como categoría especial bajo el Art. 9 del GDPR y requieren base legal reforzada. CBCTHub cumple con los principios de minimización de datos, limitación de finalidad, exactitud, limitación del plazo de conservación, integridad y confidencialidad. Para usuarios del EEE, ofrecemos Evaluaciones de Impacto de Protección de Datos (DPIA) y designación de representante en la UE a solicitud.

12. Notificación de brechas de seguridad

En caso de una brecha de seguridad que afecte datos personales, CBCTHub se compromete a:

Notificar a los usuarios afectados sin demora indebida y dentro de las 72 horas (conforme GDPR Art. 33).
Reportar a las autoridades de control competentes según la jurisdicción (72 horas bajo GDPR, plazo razonable bajo LGPD, sin demora injustificada bajo HIPAA).
Documentar la naturaleza de la brecha, los datos afectados, las consecuencias probables y las medidas adoptadas.
Implementar medidas correctivas para prevenir futuras brechas.

13. Datos de menores de edad

CBCTHub no está dirigido a menores de 18 años. Los archivos DICOM pueden contener datos de pacientes menores de edad, cuyo tratamiento es responsabilidad del profesional de salud (Responsable del Tratamiento), quien debe contar con la autorización del representante legal del menor conforme a la legislación aplicable. Bajo GDPR, LGPD y legislaciones latinoamericanas, los datos de menores requieren protección reforzada y consentimiento del representante legal.

14. Cookies y tecnologías similares

CBCTHub utiliza exclusivamente cookies estrictamente necesarias para el funcionamiento del Servicio (autenticación y preferencias de sesión). No utilizamos cookies de seguimiento, publicidad, analítica de terceros ni tecnologías de fingerprinting. Las cookies de sesión se eliminan al cerrar el navegador. Dado que solo utilizamos cookies esenciales, no se requiere consentimiento expreso bajo la Directiva ePrivacy de la UE ni la LGPD.

15. Cambios a esta política

Podemos actualizar esta Política de Privacidad periódicamente. Notificaremos sobre cambios significativos mediante correo electrónico y/o un aviso destacado en la Plataforma con al menos 30 días de anticipación. La versión vigente estará siempre disponible en esta página con la fecha de última actualización. El uso continuado del Servicio tras la notificación de cambios constituye la aceptación de la política actualizada. Si no está de acuerdo con los cambios, puede eliminar su cuenta antes de que entren en vigor.

16. Contacto y Delegado de Protección de Datos

Para cualquier consulta, solicitud o reclamo relacionado con la privacidad y protección de datos:

Email general: soporte@cbcthub.com
Privacidad y protección de datos: privacidad@cbcthub.com
Solicitudes legales (BAA/DPA): legal@cbcthub.com

Responderemos a todas las solicitudes dentro de los plazos legales aplicables en su jurisdicción.