Monterrey, N.L
CONNECT IMED
Responsable: IMED Internal Medicine Clin Trials S.C.
Programa: Connect IMED
Versión: POL-PRIV-2026-01
Fecha: 20 de agosto de 2026
La presente Política establece los principios, responsabilidades, medidas y reglas internas que deberán observar IMED Internal Medicine Clin Trials S.C., el personal que participe en Connect IMED y los proveedores que tengan acceso autorizado a datos personales.
Su objetivo es asegurar que la información sea tratada de manera coherente con el Aviso de Privacidad Integral de Connect IMED.
Esta Política aplica al tratamiento de datos realizado mediante:
Todo tratamiento deberá observar:
El responsable del tratamiento es:
IMED Internal Medicine Clin Trials S.C.
Connect IMED es un programa operado por IMED y no una persona moral independiente.
La coordinación interna de asuntos de privacidad estará a cargo del:
Dr. José Ángel Garza.
Nivel 1 — Información operativa
Campaña, origen, citas, métricas y estatus operativos.
Nivel 2 — Identificación y contacto
Nombre, teléfono, edad y municipio.
Nivel 3 — Datos sensibles
Respuestas médicas, antecedentes, condiciones de salud e inferencias derivadas del prefiltro.
Nivel 4 — Información clínica formal
Diagnósticos, resultados, medicamentos, expediente, eventos adversos detallados y documentación del estudio.
Los niveles 3 y 4 requieren controles reforzados.
El formulario inicial podrá solicitar únicamente los datos necesarios para identificación, contacto y aplicación de criterios preliminares.
No deberán solicitarse durante el prerregistro inicial:
salvo aprobación previa para una fase posterior.
Antes del tratamiento de datos relacionados con salud deberá obtenerse consentimiento mediante el mecanismo electrónico aprobado.
El consentimiento deberá ser:
No se utilizarán casillas premarcadas.
Zoho CRM podrá utilizar reglas para clasificar inicialmente registros.
Las clasificaciones no podrán:
El personal autorizado de IMED deberá revisar los registros antes de continuar el seguimiento correspondiente.
Zoho CRM se utilizará para:
No sustituirá al expediente clínico.
Deberá configurarse con:
Cada usuario interno deberá contar con credenciales identificables.
No deberán compartirse contraseñas.
Los accesos deberán eliminarse o reducirse cuando una persona deje de colaborar o cambie de función.
Para proveedores externos se deberán utilizar, preferentemente, usuarios propios e identificables con permisos limitados.
Personal médico
Acceso a contacto, prefiltro e información necesaria para evaluación.
Coordinadores de estudio
Acceso a contacto, prefiltro, estatus, citas y seguimiento necesario.
Personal administrativo autorizado
Acceso a información indispensable para coordinación y administración.
Agencia de marketing digital y/o proveedor externo autorizado
Podrá acceder únicamente, cuando resulte necesario, a:
No deberá acceder ordinariamente a:
Toda agencia de marketing digital y/o proveedor externo autorizado que participe en Connect IMED deberá tratar los datos únicamente conforme a las instrucciones de IMED y dentro del alcance de los servicios autorizados.
Podrá intervenir en funciones como:
No podrá:
Cuando corresponda, la relación deberá formalizarse mediante contrato o instrumento de encargado del tratamiento.
Las plataformas publicitarias deberán utilizarse para atraer e informar, no como repositorios de información clínica.
No deberán enviarse deliberadamente:
Cualquier futura implementación de Pixel, CAPI, Analytics, Tag Manager u otras herramientas deberá revisarse previamente.
WhatsApp podrá utilizarse para:
No deberá utilizarse ordinariamente para solicitar o recibir documentación clínica detallada.
Las llamadas serán ordinarias.
No serán grabadas, transcritas ni analizadas mediante IA mientras no exista aprobación expresa para ello.
El correo de Connect IMED podrá utilizarse para privacidad y contacto general.
No deberá utilizarse ordinariamente para documentación clínica detallada.
Sólo podrán incorporarse personas que hayan otorgado autorización específica.
Podrán conservarse:
No deberán conservarse por defecto todas las respuestas médicas del prefiltro anterior.
Plazo máximo: 3 años desde la autorización, salvo revocación previa.
Cuando una persona solicite dejar de recibir comunicaciones:
Modalidad A
Connect IMED entrega al interesado los datos de contacto de la otra clínica.
No existe transferencia de datos.
Modalidad B
Con autorización expresa podrá transferirse únicamente:
No se transferirán por defecto respuestas médicas ni expediente clínico.
No viable y sin autorización futura
Cerrar registro y conservar únicamente lo mínimo durante un periodo administrativo corto.
Posteriormente eliminar, bloquear o anonimizar.
Futuras convocatorias
Máximo 3 años desde autorización.
Personas que continúan
Seguimiento durante el proceso y periodo administrativo posterior de hasta 3 años, sujeto a naturaleza y obligaciones aplicables.
Expedientes clínicos
Se regirán por su normativa específica.
Eliminar no equivale necesariamente a:
La eliminación deberá considerar registros, copias, exportaciones, respaldos e integraciones.
Sólo usuarios autorizados podrán exportar información.
Los archivos deberán:
Las agencias y proveedores externos no deberán tener ordinariamente permisos para exportar bases completas.
Zoho CRM podrá registrar únicamente la existencia de una situación que requiere seguimiento.
El detalle clínico deberá documentarse en expediente, plataforma del patrocinador o sistema correspondiente.
Zoho CRM y el expediente clínico son sistemas distintos.
El CRM no debe convertirse en un expediente clínico paralelo.
Toda solicitud deberá:
IMED comunicará su determinación en un máximo de 20 días hábiles contados desde la recepción de la solicitud.
Si resulta procedente, el derecho deberá hacerse efectivo dentro de los 15 días hábiles siguientes a la comunicación de la respuesta.
La revocación se administrará independientemente de los derechos ARCO.
Cuando corresponda a futuras convocatorias o boletines, deberá detenerse la finalidad respectiva y conservar únicamente la evidencia mínima necesaria.
Connect IMED no aceptará registros ordinarios de menores de 18 años.
Un registro accidental deberá detenerse y gestionarse conforme al procedimiento interno.
Requerirán autorización independiente.
El Aviso general no autoriza automáticamente su uso publicitario.
No deberá activarse IA sobre datos médicos sin evaluación previa.
Antes de habilitarla deberá determinarse:
Todo incidente deberá ser reportado internamente y gestionado mediante:
Antes de habilitar un proveedor deberán revisarse, cuando corresponda:
Cualquier nueva:
deberá pasar por revisión de privacidad previa.
Los usuarios deberán recibir capacitación apropiada en:
Esta Política deberá revisarse al menos una vez al año y cuando existan cambios relevantes en la operación.
Cada versión deberá contar con número y fecha.
Los incumplimientos deberán documentarse y podrán dar lugar a:
Antes de implementar un nuevo tratamiento deberá responderse:
¿Necesitamos realmente este dato?
¿Quién necesita verlo?
¿Dónde se almacenará?
¿Para qué se utilizará?
¿Qué proveedor tendrá acceso?
¿Cuánto tiempo se conservará?
¿Cómo se eliminará?
Si alguna de estas preguntas no puede responderse claramente, el tratamiento deberá revisarse antes de implementarse.
La presente Política entrará en vigor junto con la puesta en operación del ecosistema digital de Connect IMED.
Responsable: IMED Internal Medicine Clin Trials S.C.
Programa: Connect IMED
Versión: POL-PRIV-2026-01
Fecha: 20 de agosto de 2026