Aviso integral de privacidad

1. Responsable y contacto

Biounity Global S.A. de C.V. es responsable del tratamiento de los datos recabados mediante historial.biounityglobal.com y de su resguardo en el expediente privado administrado en la plataforma Biounity. Este flujo está destinado a la captura y revisión por médicos registrados en el cotizador que acceden con sus credenciales existentes de Biblioteca, y por el equipo interno autorizado según sus funciones. El paciente sigue siendo titular de sus datos.

Oficina de Privacidad de Datos: hola@biounityglobal.com · 722 537 0972. El paciente, su representante y el médico respecto de sus propios datos pueden presentar solicitudes por correo electrónico o por escrito en este domicilio.

2. Datos, origen y personas que intervienen

El médico obtiene la información del paciente, de su representante cuando corresponda y de los documentos clínicos que tenga autorización para utilizar. Debe poner este aviso a disposición del paciente antes de comunicar sus datos a Biounity Global y registrar únicamente lo necesario para la revisión solicitada.

• Datos del paciente: nombre, fecha de nacimiento y edad, identificación y contacto, localidad y país de residencia, idioma y contacto de emergencia cuando sea pertinente.
• Datos personales sensibles de salud: antecedentes, sexo y situación de embarazo o lactancia, medidas corporales, síntomas, diagnósticos, alergias, medicamentos y tratamientos, hábitos, evolución y respuestas clínicas, incluidos los datos de salud capilar, de piel y de quemaduras que se registren.
• Estudios y documentación clínica: resultados, fechas, observaciones y archivos PDF que el médico incorpore lícitamente. Los estudios originales se conservan en el expediente privado y sus páginas se añaden una sola vez al final del PDF profesional, después de las versiones de idioma que correspondan.
• Datos profesionales del médico: nombre, cédula profesional, institución o relación asistencial cuando se registre, identidad de la cuenta médica autorizada y dirección de correo profesional registrada en su ficha. El nombre y correo del médico se toman de ese registro. Si falta una dirección válida, el médico autenticado debe escribirla y repetirla para guardarla en su propia ficha antes de continuar. Repetirla confirma la coincidencia de los datos introducidos, no la titularidad del buzón. La autenticación de la cuenta no certifica por sí misma la validez de la cédula ni una verificación oficial de la identidad profesional. Se distingue al médico capturista o solicitante del paciente al que corresponde la historia.
• Trazabilidad y protección: autor de la captura, fecha y hora, versión del aviso y formulario, declaración del médico sobre la autorización del paciente, referencia y custodia de la evidencia correspondiente, identificadores del registro y documentos y datos técnicos de sesión y seguridad. La evidencia de autorización se solicita y conserva sólo en la medida necesaria.

El médico debe evitar datos de terceros ajenos al caso e informar al contacto de emergencia cuando aporte sus datos. La procedencia indirecta de la información no elimina los deberes de información, confidencialidad y legitimación del tratamiento.

3. Finalidades de la captura y revisión profesional

1. Recibir, organizar y resguardar la historia y sus estudios en un expediente privado, identificando al paciente y al médico que aporta la información.
2. Permitir que el médico tratante y el equipo profesional autorizado revisen el caso, soliciten aclaraciones y documenten su valoración y seguimiento.
3. Preparar resúmenes, avisos y referencias o sugerencias internas de apoyo a la decisión clínica. Pueden utilizarse reglas internas y referencias de productos o protocolos; sus resultados son preliminares y requieren revisión profesional. La decisión clínica final corresponde al médico tratante, quien debe evaluar al paciente y determinar la pertinencia del producto, presentación y esquema, así como obtener el consentimiento informado que proceda.
4. Generar documentos para consulta y descarga en el acceso profesional autorizado y enviar dos mensajes separados con el informe: uno al correo profesional registrado en la ficha del médico solicitante y otro a hola@biounityglobal.com para la revisión y gestión interna autorizadas de Biounity Global, desde direccion.finanzas@biounityglobal.com. El correo del paciente no se utiliza como destinatario automático.
5. Cuando el médico solicite una cotización, utilizar los datos mínimos de identificación, contacto, edad, medidas corporales, país, tipo de cliente e idioma necesarios para prepararla. El personal administrativo autorizado puede gestionar esos datos mínimos y la referencia al expediente; el historial completo, sus sugerencias y estudios se consultan mediante el acceso médico protegido. Esta finalidad no autoriza publicidad ni el envío automático del historial al paciente.
6. Relacionar el registro con el expediente correcto, conservar su trazabilidad y atender solicitudes de privacidad, seguridad y obligaciones legales.

Este flujo no ofrece un portal del paciente ni muestra al paciente las sugerencias internas de forma automática. No envía automáticamente estos documentos al correo del paciente ni por WhatsApp. La limitación del acceso ordinario al sistema no restringe los derechos legales del paciente ni sustituye la información que deba comunicarle el médico.

Estas finalidades no incluyen publicidad, prospección comercial ni investigación. La aparición de referencias de productos no autoriza el uso de los datos para promoción o venta dirigida. Un uso adicional que requiera consentimiento deberá informarse y autorizarse por separado.

4. Acceso profesional, proveedores y transferencias

El acceso ordinario se limita al médico solicitante o tratante con cuenta médica individual registrada y autenticada y al personal autorizado que necesite la información para la revisión y gestión descritas, bajo deberes de confidencialidad y acceso según sus funciones. Los médicos solicitantes acceden únicamente a las historias que les corresponden. La cuenta organizacional Biounity Global Doctor está asignada al médico de casa Miguel Ángel Gómez García, quien tiene acceso a las historias para la revisión profesional interna por cuenta de Biounity Global. Esta asignación organizacional no implica por sí misma una transferencia a un médico independiente ni habilita el acceso externo mediante una contraseña compartida. No se habilita este flujo a perfiles de pacientes o usuarios no médicos.

Los proveedores de alojamiento, respaldo, soporte y correo que actúen por cuenta de Biounity Global deben sujetarse a instrucciones, medidas de protección y obligaciones de confidencialidad documentadas. El uso de infraestructura dentro o fuera de México no convierte a esos proveedores en receptores autorizados para fines propios.

La función real del médico o institución determina su papel en el tratamiento. Un profesional que actúe como responsable independiente de la atención o de su expediente no se convierte automáticamente en proveedor por encargo por utilizar esta plataforma. Cuando exista una transferencia a un responsable independiente, se aplicarán las finalidades y obligaciones comunicadas al paciente; se recabará la autorización que proceda o se documentará una excepción legal concreta, limitada a los datos necesarios. También podrán atenderse requerimientos de autoridades competentes en los supuestos legales.

5. Documentos y comunicaciones profesionales

El informe se remite en mensajes separados a la dirección profesional registrada en la ficha del médico autorizado y a hola@biounityglobal.com, buzón de la oficina de Biounity Global para la revisión y gestión internas autorizadas. Esa dirección también recibe solicitudes de privacidad y derechos. Este flujo no utiliza un correo libre indicado en la historia como destino del informe profesional ni toma el correo del paciente como destinatario de las sugerencias. El acceso al buzón de la oficina debe limitarse al personal autorizado y debe evitarse el reenvío a personas no autorizadas.

La descarga queda a cargo del profesional autorizado, sujeto al secreto médico y a sus obligaciones de custodia y comunicación. La plataforma no activa un envío automático al paciente o por WhatsApp. Las copias entregadas por correo también quedan sujetas a la seguridad y conservación del servicio y del destinatario. La Oficina de Privacidad puede atender una solicitud para limitar futuros envíos, sin prometer retirar mensajes ya entregados.

El paciente puede solicitar sus datos, información asistencial, un resumen clínico u otras constancias por los canales legales y clínicos correspondientes. La entrega que resulte procedente se realiza tras acreditar identidad o representación y mediante un medio adecuado.

6. Derechos del paciente y de las demás personas titulares

El paciente conserva sus derechos de acceso, rectificación, cancelación y oposición (ARCO) respecto de sus datos. Su representante puede ejercerlos cuando acredite sus facultades. El médico también puede ejercerlos sobre sus propios datos profesionales. Que un documento o una sugerencia se utilice internamente no autoriza una negativa general de acceso a los datos personales que contenga.

Para ejercer estos derechos, revocar el consentimiento o limitar el uso y divulgación, escribe a hola@biounityglobal.com con el asunto «Privacidad · historial médico», o presenta la solicitud en la Oficina de Privacidad. Indica nombre, medio para recibir respuesta, derecho o petición y datos que permitan localizar el registro. Deberás acreditar identidad y, en su caso, representación. Para rectificaciones, describe el cambio y aporta su sustento. No es necesario reenviar todos los estudios para iniciar la solicitud.

La determinación se comunicará en el plazo legal de 20 días hábiles y, si procede, se hará efectiva en los 15 días hábiles siguientes a la respuesta, con las reglas aplicables de acreditación, aclaración y una eventual ampliación justificada por un periodo igual. Una negativa, incluso parcial, deberá motivarse conforme a la ley. El ejercicio es gratuito salvo los costos legalmente permitidos de reproducción o envío; puede acudirse a la Secretaría Anticorrupción y Buen Gobierno conforme al procedimiento vigente.

La revocación no tiene efectos retroactivos. Si una obligación legal exige conservar información o impide cesar determinado tratamiento, se explicará su alcance. No se condiciona la recepción de una solicitud por correo a una llamada telefónica. Los derechos de información asistencial, decisión informada y solicitud de resumen clínico se conservan ante el prestador de atención médica; las sugerencias del sistema no son una prescripción.

7. Conservación, seguridad y expediente clínico

Los datos se conservan durante el tiempo necesario para las finalidades informadas, las obligaciones legales y las responsabilidades aplicables; posteriormente procede su bloqueo o supresión según corresponda. Cuando los documentos formen parte de un expediente clínico sujeto a la NOM-004-SSA3-2012, deberá observarse el plazo mínimo de cinco años desde el último acto médico, sin perjuicio de otras obligaciones que resulten aplicables. Esto no fija una conservación indefinida de todos los datos de la plataforma.

El prestador médico debe determinar las obligaciones que correspondan a su expediente. La captura debe permitir identificar autor, fecha, hora y validación profesional según el acto realizado. Las correcciones procedentes se documentan sin ocultar antecedentes cuya conservación sea obligatoria. El aviso, un cuestionario o un PDF no acreditan por sí solos que se hayan cumplido todos los requisitos del expediente clínico.

Biounity Global mantiene sus propias obligaciones como responsable de los datos y debe aplicar medidas administrativas, técnicas y físicas adecuadas. La responsabilidad clínica del médico no exime a Biounity Global de sus deberes de protección, confidencialidad y atención de derechos. Los incidentes que deban notificarse se comunicarán conforme a la normativa aplicable.

8. Información al paciente y autorización para datos sensibles

El médico capturista debe informar al paciente sobre este tratamiento y contar con su consentimiento expreso y por escrito, o el de su representante cuando legalmente corresponda, para comunicar y tratar sus datos sensibles con Biounity Global. Debe conservar la autorización o documentar el supuesto legal específico que permita actuar sin ella y poder aportar la evidencia pertinente cuando proceda. No se presume una excepción sólo porque quien registra sea médico; la excepción asistencial de la ley tiene condiciones concretas.

La declaración o casilla del médico registra lo que éste manifiesta sobre su actuación y la base de la captura. No equivale a la firma del paciente, no demuestra por sí sola su consentimiento y no es una autorización para recibir un tratamiento. Biounity Global debe poder acreditar la base del tratamiento de datos que le corresponda. El mero conocimiento de la historia o el acceso a una cuenta no acreditan representación del paciente.

La autorización de privacidad, la autorización para una transferencia cuando proceda y el consentimiento informado para un procedimiento o tratamiento son cuestiones distintas. El médico tratante debe comunicar al paciente la información clínica pertinente y recabar el consentimiento que legalmente corresponda. Este aviso no certifica la seguridad o eficacia de productos, la validación de un protocolo, una autorización sanitaria ni el cumplimiento integral de una NOM.

9. Tecnología y cambios del aviso

Se utilizan medios funcionales de sesión y seguridad para el acceso profesional autorizado, la continuidad de la captura y la trazabilidad. El acceso a documentos debe respetar los permisos asignados; disponer del vínculo del sitio o de un identificador no constituye autorización. Esta página no incorpora herramientas publicitarias de seguimiento.

Las actualizaciones se publican en esta dirección con fecha y versión. Si un cambio requiere un consentimiento nuevo, se recabará antes del tratamiento correspondiente. Las evidencias y documentos de registros anteriores conservan su versión original; este aviso no les atribuye retroactivamente una autorización nueva. Puede solicitarse una copia del aviso aplicable al registro en la Oficina de Privacidad.

Consulta el aviso general de Biounity Global. Para este flujo profesional se informa específicamente el tratamiento descrito aquí.

Referencias normativas

LFPDPPP, nueva ley del 20 de marzo de 2025, texto consolidado con reforma del 14 de noviembre de 2025; Reglamento y Lineamientos del Aviso de Privacidad, en lo compatible con el marco vigente; Ley General de Salud, texto consolidado al 15 de enero de 2026; y NOM-004-SSA3-2012. La aplicabilidad de la NOM-024-SSA3-2012 depende del servicio y sistema efectivamente utilizados; este aviso no afirma certificación de la plataforma.

1. Data controller and contact

Biounity Global S.A. de C.V. is the controller of the data collected through historial.biounityglobal.com and safeguarded in the private record administered in the Biounity platform. This workflow is intended for entry and review by physicians registered in the quoting platform who sign in with their existing Biblioteca credentials, and by authorized internal personnel according to their roles. The patient remains the data subject.

Data Privacy Office: hola@biounityglobal.com · +52 722 537 0972. Patients, their representatives and physicians regarding their own data may submit requests by email or in writing at this address.

2. Data, sources and participants

The physician obtains information from the patient, an appropriate representative and clinical documents the physician is authorized to use. The physician must make this notice available to the patient before disclosing data to Biounity Global and record only what is needed for the requested review.

• Patient data: name, date of birth and age, identification and contact details, location and country of residence, language and an emergency contact where relevant.
• Sensitive health data: history, sex and pregnancy or breastfeeding status, body measurements, symptoms, diagnoses, allergies, medicines and treatments, habits, clinical course and responses, including any recorded hair, skin and burn information.
• Studies and clinical documents: results, dates, observations and PDF files lawfully supplied by the physician. Original studies are retained in the private record and their pages are appended once to the professional PDF, after the applicable language editions.
• Physician professional data: name, professional license, institution or care relationship where recorded, authorized physician-account identity and professional email address recorded in the physician profile. The physician name and email come from that record. If a valid address is missing, the authenticated physician must enter it twice to save it to their own profile before continuing. Matching entries confirm consistency, not ownership of the mailbox. Account authentication does not itself certify the professional license or establish official verification of professional identity. The recording or requesting physician is distinguished from the patient whose history is entered.
• Traceability and protection: recording author, date and time, notice and form version, the physician's statement about patient authorization, the reference to and custodian of supporting evidence, record and document identifiers, and technical session and security data. Authorization evidence is requested and retained only to the extent necessary.

The physician should avoid unrelated third-party data and inform an emergency contact whose details are supplied. Receiving information indirectly does not remove the duties to inform the data subject and ensure confidentiality and a lawful basis.

3. Professional recording and review purposes

1. Receive, organize and safeguard the history and studies in a private record, identifying the patient and the physician supplying the information.
2. Allow the treating physician and authorized professional team to review the case, request clarification and document assessment and follow-up.
3. Prepare summaries, alerts and internal references or suggestions to support clinical decisions. Internal rules and product or protocol references may be used; their output is preliminary and requires professional review. The final clinical decision rests with the treating physician, who must assess the patient and determine the suitability of the product, presentation and regimen, and obtain the required informed consent.
4. Generate documents for access and download by authorized professionals and send two separate messages with the report: one to the professional email recorded in the requesting physician profile and one to hola@biounityglobal.com for Biounity Global’s authorized internal review and administration, from direccion.finanzas@biounityglobal.com. The patient’s email is not an automatic recipient.
5. When a physician requests a quotation, use the minimum identification, contact, age, body measurements, country, client type and language data needed to prepare it. Authorized administrative personnel may manage these minimum data and the file reference; the complete history, suggestions and studies are accessed through the protected physician portal. This purpose does not authorize advertising or automatic delivery of the history to the patient.
6. Associate the submission with the correct record, maintain traceability and address privacy, security and legal obligations.

This workflow does not provide a patient portal or automatically display internal suggestions to the patient. It does not automatically send these documents to the patient's email or through WhatsApp. Limiting ordinary system access does not restrict the patient's legal rights or replace information the physician must communicate.

These purposes do not include advertising, commercial prospecting or research. Product references do not authorize use of the data for targeted promotion or sales. Any additional use requiring consent must be separately disclosed and authorized.

4. Professional access, providers and transfers

Ordinary access is limited to the requesting or treating physician with an individually registered, authenticated physician account and authorized personnel who need information for the review and administration described, under confidentiality duties and role-based access. Requesting physicians can access only the histories assigned to them. The organizational Biounity Global Doctor account is assigned to in-house physician Miguel Ángel Gómez García, who can access histories for internal professional review on behalf of Biounity Global. This organizational assignment does not itself imply a transfer to an independent physician or enable external access through a shared password. Patient profiles and non-physician users are not enabled for this workflow.

Hosting, backup, support and email providers acting for Biounity Global must follow documented instructions, safeguards and confidentiality duties. Infrastructure inside or outside Mexico does not authorize those providers to receive data for their own purposes.

A physician's or institution's actual role determines its data-processing responsibilities. A professional independently responsible for care or its own records does not automatically become a processor merely by using this platform. Transfers to an independent controller must follow the purposes and obligations disclosed to the patient; appropriate authorization must be obtained or a specific legal exception documented, limited to necessary data. Requests from competent authorities may also be addressed in legally permitted circumstances.

5. Professional documents and communications

The report is sent in separate messages to the professional address recorded in the authorized physician's profile and to hola@biounityglobal.com, Biounity Global’s office mailbox for authorized internal review and administration. That address also receives privacy and rights requests. This workflow does not use an unrestricted email entered in the history as the professional report recipient or treat the patient's email as the destination for suggestions. Access to the office mailbox must be restricted to authorized personnel, and forwarding to unauthorized persons should be avoided.

Authorized professionals are responsible for downloaded copies under medical confidentiality and their custody and communication obligations. The platform does not activate automatic delivery to the patient or through WhatsApp. Delivered email copies are also subject to the service's and recipient's security and retention practices. The Privacy Office may address requests to limit future messages, without promising to recall messages already delivered.

Patients may request their personal data, care information, a clinical summary or other records through the appropriate legal and clinical channels. Any disclosure that is due will follow identity or representation checks and use an appropriate delivery method.

6. Rights of patients and other data subjects

Patients retain their Mexican-law access, rectification, cancellation and objection rights (ARCO) over their data. Representatives may exercise them upon establishing their authority. Physicians may also exercise these rights over their own professional data. Internal use of a document or suggestion does not justify a blanket denial of access to personal data it contains.

To exercise these rights, revoke consent or limit use and disclosure, email hola@biounityglobal.com with the subject “Medical history privacy”, or submit a request to the Privacy Office. Provide your name, response contact, the right or request and details helping locate the record. Identity and any representation must be established. For corrections, describe and support the change. You do not need to resend all studies to initiate a request.

A determination will be communicated within the statutory 20 business days and, where accepted, implemented within 15 business days after the response, subject to applicable identity, clarification and justified one-time extension rules. Any refusal, including a partial one, must have a lawful explanation. Requests are free apart from legally permitted reproduction or delivery costs. Protection may be sought from Mexico's Secretaría Anticorrupción y Buen Gobierno under the current procedure.

Revocation has no retroactive effect. If legal retention or another obligation prevents deletion or stopping particular processing, its scope will be explained. An emailed request does not require a follow-up call to be received. Care-information, informed-decision and clinical-summary rights remain available through the medical provider; system suggestions are not prescriptions.

7. Retention, security and clinical records

Data are retained as needed for the stated purposes, legal obligations and applicable liabilities, then restricted or deleted as appropriate. Where documents form part of a clinical record subject to NOM-004-SSA3-2012, its minimum five-year period from the last medical act must be observed, without prejudice to other applicable duties. This does not establish indefinite retention of all platform data.

The medical provider must determine the duties applying to its record. Entries should identify the author, date, time and professional validation appropriate to the act. Accepted corrections are documented without concealing history that must be retained. A notice, questionnaire or PDF alone does not establish compliance with all clinical-record requirements.

Biounity Global retains its own controller duties and must apply appropriate administrative, technical and physical safeguards. A physician's clinical responsibility does not release Biounity Global from data-protection, confidentiality or rights-handling obligations. Incidents requiring notification will be communicated under applicable rules.

8. Informing the patient and authorizing sensitive-data processing

The recording physician must inform the patient about this processing and hold the patient's express written consent, or that of an appropriate representative, for disclosure to and sensitive-data processing by Biounity Global. The physician must retain the authorization or document the particular legal ground allowing processing without it, and be able to supply relevant evidence where required. An exception is not presumed merely because the person entering data is a physician; the statutory medical-care exception has specific conditions.

A physician's statement or checkbox records what the physician declares about the action and basis for entering data. It is not the patient's signature, does not by itself prove patient consent, and does not authorize treatment. Biounity Global must be able to establish the lawful basis for its own processing. Knowing the history or holding account access does not establish authority to represent the patient.

Privacy authorization, transfer authorization where needed, and informed consent to a procedure or treatment are distinct. The treating physician must communicate relevant clinical information and obtain the consent required by law. This notice does not certify product safety or efficacy, clinical validation of a protocol, regulatory authorization or full compliance with a Mexican Official Standard.

9. Technology and notice changes

Functional session and security mechanisms support authorized professional access, continuity and traceability. Document access must respect assigned permissions; having the website address or an identifier does not constitute authorization. This notice page has no advertising trackers.

Updates are published here with their date and version. Fresh consent, where required, will be obtained before the relevant processing. Earlier records retain their original evidence and document versions; this notice does not retroactively attribute new authorization to them. The Privacy Office can supply the notice applicable to a record.

See Biounity Global's general privacy notice. This notice specifically describes processing in the professional workflow.

Legal references

Mexico's Federal Law on Protection of Personal Data Held by Private Parties, enacted March 20, 2025, consolidated text with the November 14, 2025 amendment; its Regulations and Privacy Notice Guidelines, insofar as compatible with the current framework; the General Health Law, consolidated through January 15, 2026; and NOM-004-SSA3-2012. Applicability of NOM-024-SSA3-2012 depends on the actual service and system used; this notice does not claim platform certification.