Anexo de Salud

01. Ámbito

Este Anexo aplica a toda organización que preste servicios de salud o que trate datos de salud de sus contactos. Por ejemplo:

• clínicas y consultorios médicos, dentales o de cirugía estética;
• nutriólogos;
• quiroprácticos, fisioterapeutas y terapeutas;
• psicólogos;
• laboratorios.

En este Anexo, "pacientes" se refiere a los contactos finales del Cliente que reciben o solicitan sus servicios.

02. Declaraciones del Cliente

El Cliente declara que:

1. cuenta con las licencias, avisos de funcionamiento y permisos que exige su actividad;
2. su personal tiene los títulos, cédulas profesionales y certificaciones que exige la ley para los servicios que presta;
3. es el único prestador de los servicios de salud que ofrece a sus pacientes. Grupal no presta servicios de salud ni interviene en la relación entre el Cliente y sus pacientes.

03. Expediente clínico

1. El Cliente es responsable de integrar, conservar y resguardar el expediente clínico de sus pacientes conforme a la NOM-004-SSA3-2012 y, en su caso, a la NOM-013-SSA2-2015 y demás normas aplicables a su especialidad.
2. Para registrar información clínica, el Cliente debe usar los formularios con firma y bloqueo de edición. Esos formularios registran autor, fecha y hora, y no pueden modificarse después de firmados. Las correcciones se hacen como un registro nuevo.
3. Las notas generales del perfil del contacto no sustituyen al expediente clínico. El Cliente no debe usarlas para registrar diagnósticos, tratamientos ni antecedentes clínicos.
4. El expediente clínico debe conservarse al menos 5 años desde el último acto médico. Grupal no conserva datos después de que el Cliente elimina su organización, por lo que el Cliente debe exportarlos antes, conforme a la sección 9.

04. Aviso de privacidad y consentimiento de los pacientes

1. El Cliente debe poner su aviso de privacidad a disposición de cada paciente antes de recabar sus datos.
2. El aviso debe informar que el Cliente usa proveedores tecnológicos, incluidos WhatsApp e inteligencia artificial, y que los datos se alojan en Estados Unidos.
3. Antes de tratar datos de salud, el Cliente debe obtener el consentimiento expreso y por escrito del paciente. Para ello puede usar los formularios de Grupal con firma del paciente, que guardan la fecha, la hora y la versión del aviso aceptado.
4. Si el paciente es menor de edad o no puede consentir, el consentimiento debe darlo quien ejerza la patria potestad, la tutela o la representación legal.
5. Grupal pone a disposición del Cliente un modelo de aviso de privacidad y un texto de consentimiento. Son plantillas que el Cliente debe revisar y adaptar a su caso. No constituyen asesoría legal.

05. Agentes de inteligencia artificial

1. En las organizaciones de salud, las salvaguardas clínicas de los agentes están activas por defecto. Los agentes:
   • no diagnostican;
   • no recomiendan medicamentos ni tratamientos;
   • no interpretan estudios;
   • no prometen resultados.

   El Cliente no debe configurar a sus agentes para hacerlo.

2. Los agentes pueden informar sobre los servicios que el Cliente aprobó, agendar citas, recabar datos de contacto y derivar la conversación a una persona del Cliente.
3. Los agentes no llenan dentro de la conversación los formularios clínicos ni los formularios con firma. En su lugar, comparten con el paciente un enlace al formulario, donde este puede leer el aviso, dar su consentimiento y firmar.
4. Si un paciente describe síntomas de urgencia, el agente le indicará que acuda a un servicio de urgencias o llame al 911, y derivará la conversación a una persona del Cliente.
5. El Cliente supervisa a sus agentes y responde por la información que estos dan a sus pacientes.

06. Atención a distancia

Si el Cliente presta atención a distancia a través de Grupal, por ejemplo consultas o seguimiento por WhatsApp, es responsable de cumplir las condiciones de la Ley General de Salud para la telesalud. Entre ellas:

• que su personal esté capacitado;
• obtener el consentimiento informado del paciente;
• registrar la atención en el expediente.

07. Seguridad de acceso

1. La autenticación de dos pasos es obligatoria para todos los usuarios de organizaciones de salud.
2. El Cliente debe:
   • dar a cada persona solo el rol que necesita;
   • retirar el acceso de inmediato a quien deje de colaborar con él;
   • no compartir cuentas entre varias personas.
3. Grupal registra en bitácora quién crea, edita, consulta y exporta la información de los pacientes. El Owner y los Admins pueden consultar esa bitácora.
4. Las organizaciones de salud deben tener contratado el complemento Seguridad avanzada. En ellas, la autenticación de dos pasos y el cierre de sesión por inactividad no pueden desactivarse.

08. Personal del Cliente

El Cliente responde por que su personal guarde la confidencialidad de la información de los pacientes y el secreto profesional, y por el uso que haga de sus cuentas. Grupal responde por su propio personal conforme a la sección 12 del Contrato de Encargo.

09. Conservación, cancelación y suspensión

1. Antes de eliminar su organización, el Owner debe exportar la información de sus pacientes y descargar los formularios firmados en PDF y los archivos adjuntos que deba conservar. La app le pedirá confirmar que lo hizo o que asume no conservar esos datos.
2. Durante una suspensión, el Owner conserva el acceso para consultar y exportar la información, conforme a la sección 18 de los Términos.
3. El Cliente puede eliminar datos de un paciente cuando proceda. Es responsable de no eliminar información que la ley le obligue a conservar.

10. Solicitudes de los pacientes

Los pacientes deben ejercer sus derechos ante el Cliente. Grupal no atiende directamente esas solicitudes; si alguna le llega, la turna al Cliente conforme al Contrato de Encargo. El Cliente puede consultar, corregir, exportar o eliminar los datos de un paciente desde la app.

11. Alcance regulatorio de Grupal

El Cliente reconoce que:

1. Grupal es un software de comunicación y gestión. No es un dispositivo médico ni sustituye el juicio clínico de los profesionales de la salud.
2. Grupal no cuenta con certificación conforme a la NOM-024-SSA3-2012. El Cliente no debe presentarlo a terceros como un sistema certificado.
3. Grupal no ofrece cumplimiento con la ley HIPAA de Estados Unidos. El Cliente no debe usarlo para atender pacientes sujetos a esa ley.
4. Grupal no es un servicio de emergencias.

12. Uso de la información de los pacientes por Grupal

Grupal no usa el contenido de las conversaciones, notas, formularios ni expedientes de organizaciones de salud para mejorar el producto, entrenar modelos o ningún otro fin propio. Solo usa métricas técnicas de uso que no contienen información de los pacientes.

13. Incumplimiento

Si el Cliente incumple este Anexo de forma que ponga en riesgo a sus pacientes o a la plataforma, Grupal podrá suspender las funciones afectadas, avisándole al Owner. El acceso a la consulta y exportación de sus datos se mantiene.