El presente Anexo de Subprocesadores (el “Anexo”) identifica a los terceros proveedores que tratan Datos Personales por cuenta de Expertio (el “Encargado”) para soportar la operación y entrega del Servicio, así como su función, categorías de datos típicamente tratadas, región típica y enlaces a sus términos/avisos relevantes.
Para efectos de este Anexo, los términos “Responsable”, “Encargado”, “Datos Personales”, “Tratamiento”, “Servicio” y otros definidos tendrán el significado asignado en el DPA y/o en los Términos del Servicio aplicables.
Subprocesador (o “Subencargado”): tercero que trata Datos Personales por cuenta del Encargado y bajo sus instrucciones, para una finalidad vinculada a la prestación del Servicio.
3.1 Contratación y obligaciones. El Encargado implementa acuerdos con Subprocesadores que incluyen obligaciones de confidencialidad, seguridad, uso limitado a la prestación del Servicio y protecciones sustancialmente equivalentes a las del DPA.
3.2 Minimización. El Encargado procura limitar el acceso del Subprocesador a lo estrictamente necesario para su función.
3.3 Región típica. La región indicada es “típica” y puede variar por configuración técnica (p. ej., selección de región en infraestructura). En su caso, el Encargado reflejará en este Anexo el esquema operativo vigente
4.1 Actualización del Anexo. El Encargado podrá actualizar el presente Anexo por motivos operativos, de seguridad, disponibilidad, mejora del Servicio o sustitución de proveedores.
4.2 Notificación de cambios materiales. Cuando la incorporación o sustitución de un Subprocesador implique un cambio material (por ejemplo: nuevo proveedor con acceso a datos de pacientes o mensajería; cambio de finalidad; cambio relevante de región), el Encargado notificará al Responsable/Suscriptor conforme al mecanismo de notificación de los Términos del Servicio y/o el DPA, con al menos 15 días naturales de antelación (o el plazo que el documento principal establezca).
4.3 Objeción. Si el Responsable tiene una objeción razonable y documentada (p. ej., riesgo material no mitigable) respecto de un nuevo Subprocesador, deberá notificarlo por escrito dentro del plazo de notificación. Las Partes buscarán una medida de mitigación. Si no es posible, se aplicará el mecanismo de terminación/cancelación previsto en los documentos contractuales aplicables.
Las categorías de datos se describen a nivel alto. Cuando aplique mensajería o pagos, el tratamiento específico depende de la configuración. Este Anexo no implica que Expertio almacene datos sensibles de tarjeta (PAN/CVV); en general, dichos datos permanecen bajo el PSP cuando se utiliza tokenización.
Infraestructura cloud (cómputo y almacenamiento). Categorías de datos: Datos Personales de la aplicación en tránsito y en reposo (cuentas, configuración, registros operativos) según el uso del Servicio. Región típica: US (o la región de infraestructura configurada).
Base de datos administrada. Categorías de datos: datos de la aplicación persistidos (perfiles y credenciales de cuenta de usuario, configuración, registros operativos). Región típica: US (o la región del clúster configurada).
Autenticación/identidad (login, tokens, MFA). Categorías de datos: identificadores de cuenta, correo electrónico, credenciales/tokens de sesión y factores de MFA, metadatos de inicio de sesión (IP, dispositivo). Región típica: US (o la región del tenant configurada).
CDN/seguridad/perímetro (WAF, DNS, anti-bots). Categorías de datos: metadatos de red y conexión (direcciones IP, agente de usuario, cabeceras HTTP) y datos de tráfico necesarios para seguridad y mitigación. Región típica: red global (edge), enrutamiento por punto de presencia más cercano.
Mensajería para recordatorios/notificaciones. Categorías de datos: número de teléfono del destinatario, contenido del mensaje (recordatorios y notificaciones) y metadatos de entrega. Región típica: US (según configuración del canal de mensajería).
Procesamiento de pagos/suscripciones (PSP). Categorías de datos: datos de facturación y de la suscripción, identificador de transacción y tokens de pago. Los datos sensibles de tarjeta (PAN/CVV) permanecen bajo el PSP mediante tokenización y no son almacenados por Expertio. Región típica: México.
Sincronización con calendarios externos. Categorías de datos: eventos y citas, título y horario, participantes y direcciones de correo asociadas, y tokens de acceso al calendario del usuario. Región típica: US (o la región de datos configurada).
Analítica de producto (telemetría). Categorías de datos: identificador de usuario seudonimizado; eventos de navegación e interacción; metadatos técnicos (navegador, SO, región). No se tratan datos de pacientes. Región típica: instancia US de Amplitude.
Envío de correos electrónicos transaccionales. Categorías de datos: dirección de correo del destinatario, contenido del mensaje transaccional y metadatos de entrega (envío, apertura, rebotes). Región típica: US.
Registro y administración de dominios asociados. Categorías de datos: datos de contacto del registrante y del contacto administrativo/técnico del dominio (nombre, correo, teléfono, dirección) conforme a los requisitos de registro (WHOIS). Región típica: US.
En caso de conflicto entre este Anexo y el DPA o los Términos del Servicio, prevalecerán los Términos del Servicio y, según corresponda, únicamente respecto del punto en conflicto.
El presente Anexo se considera incorporado por referencia a los Términos del Servicio y al DPA aplicables. La versión vigente será la publicada en https://www.expertiomedica.com/terminos-del-servicio/subprocesadores/, salvo que un contrato escrito entre las Partes establezca expresamente una versión específica.
