La LFPDPPP clasifica los datos de salud como datos personales sensibles: exigen consentimiento expreso y medidas reforzadas. El expediente clínico se rige por la NOM-004-SSA3-2012 y los sistemas de registro electrónico por la NOM-024-SSA3-2012. Si la información de tus pacientes circula por un correo gratuito o extranjero, ahí hay un hallazgo esperando a la próxima verificación.
Última actualización: octubre 2026 · Normas citadas: NOM-004-SSA3-2012 y NOM-024-SSA3-2012, ambas vigentes
Los datos de salud son sensibles por definición legal: consentimiento expreso del paciente, aviso de privacidad que los mencione, medidas de seguridad reforzadas y consecuencias serias si hay una vulneración. Es la capa general.
Define el expediente clínico como documento: qué debe contener, cómo se conserva, quién puede consultarlo y su confidencialidad. Aplica aunque el expediente sea electrónico.
Regula los sistemas de información de registro electrónico para la salud y el intercambio entre ellos (estándares HL7, CDA, XML). Los sistemas de expediente clínico electrónico se certifican ante la DGIS (esquema SIRES). Sigue vigente.
Arca no es un sistema de expediente clínico electrónico y no sustituye la certificación NOM-024 de tu sistema. Arca es el correo, el calendario, los archivos y los documentos alrededor de ese sistema — donde también circula información de pacientes (resultados, referencias, recetas, agenda) y donde la LFPDPPP y la confidencialidad de la NOM-004 aplican igual. Esa capa es la que muchas clínicas dejan en Gmail gratuito, y es la que resolvemos.
| Lo que exige el marco (LFPDPPP + NOM-004) | Cómo lo cubre la arquitectura de Arca |
|---|---|
| Confidencialidad de la información de pacientes | Correos y archivos cifrados en reposo con AES-256-GCM y llave única por organización. TLS en tránsito con SPF, DKIM, DMARC y MTA-STS. Nada vive en servidores de Google ni de Microsoft. |
| Protección reforzada por ser datos sensibles | Modo Bóveda para lo más delicado: cifrado con una llave que solo existe en el dispositivo del médico — ni Arca, ni la nube, ni una orden judicial pueden leer lo guardado ahí. |
| Solo personal autorizado accede | Passkeys WebAuthn, MFA y revocación de sesión inmediata. Si sale alguien de la clínica, su acceso se apaga en el momento — crítico con rotación de personal y residentes. |
| Trazabilidad de accesos | Bitácora encadenada con SHA-256 por organización: quién consultó qué, cuándo y desde dónde, a prueba de manipulación. Si un día hay que explicar un acceso, la evidencia existe. |
| La IA no debe tratar datos sin control | El asistente corre en infraestructura propia, no en OpenAI ni Google; no entrena modelos de terceros; es gated por el usuario; y la LFPDPPP de 2025 exige revisión humana de decisiones automatizadas — en Arca la IA propone y una persona autoriza. |
| Saber quién trata los datos (encargados) | Un encargado identificable y mexicano: Deployalo S.A. de C.V. Correo self-hosted en servidores en Europa, sin subencargados de correo de terceros. |
Esto es información general, no asesoría legal ni sanitaria. Las verificaciones de la Secretaría de Salud y la COFEPRIS tienen sus propios criterios — revisa tu caso con tu asesor regulatorio.
Preguntas frecuentes
No, y es importante decirlo claro: Arca no sustituye a tu sistema de expediente clínico ni a su certificación SIRES ante la DGIS. Arca es el correo, calendario, archivos y documentos alrededor de ese sistema — donde también circula información de pacientes y también aplica la norma.
Técnicamente sí, y con Arca el contenido viaja por TLS y se guarda cifrado con llave por organización. Para lo más delicado, Modo Bóveda cifra con una llave que solo existe en tu dispositivo. La decisión clínica y de consentimiento es tuya: la NOM-004 y la LFPDPPP te exigen consentimiento expreso del paciente para tratar sus datos de salud.
Porque la LFPDPPP los clasifica como datos personales sensibles: su uso indebido puede generar discriminación o riesgo grave para la persona. Eso significa consentimiento expreso del titular, medidas de seguridad reforzadas y mayor responsabilidad si hay una vulneración.
El asistente de IA corre en infraestructura que controlamos — no en OpenAI ni Google — y procesa contenido solo para ayudarte a ti; nada entrena modelos de terceros. Además es gated: tú decides si está activa. Y lo que guardes en Modo Bóveda no lo lee nadie, ni siquiera nosotros.
La NOM-004 regula la conservación del expediente clínico como documento — eso vive en tu sistema de expediente. En la capa de correo, los derechos ARCO de la LFPDPPP aplican normal: búsqueda y exportación en formato estándar para acceso, y borrado real para cancelación.
Agenda de citas con recordatorios, migración desde Gmail u Outlook en una semana y soporte en español en horario CDMX: Arca para clínicas y salud. Y para el marco general de datos personales: guía de LFPDPPP.
Correo cifrado por organización con una empresa mexicana respondiendo — por $120 MXN por usuario al mes.