Aviso de Privacidad

1. Quién es responsable de tus datos

El responsable del tratamiento de los datos que se describen aquí es Kuravi, que opera este sitio y la aplicación.

Para cualquier asunto relacionado con este Aviso —dudas, derechos ARCO, revocación de tu consentimiento— escribe a soporte@kuravi.mx.

2. Kuravi y tu médico son responsables distintos

Kuravi es responsable de la plataforma: tu cuenta, la búsqueda, el agendado, los mensajes que la plataforma envía y la infraestructura donde todo vive.

El médico o consultorio que eliges es responsable por su cuenta de lo que él trata: las notas clínicas que escribe sobre ti dentro de Kuravi, los datos que te pide fuera de la plataforma y los mensajes que decide enviarte. Cuando llenas el formulario de contacto del sitio de un médico, ese formulario te dice —y es correcto— que el responsable de ese mensaje es el médico. Kuravi trata esos datos por cuenta de él, para guardarlos y entregárselos.

En la práctica: lo que quieras ejercer sobre tu cuenta, tus citas o los mensajes de la plataforma, pídenoslo a nosotros. Lo que quieras ejercer sobre las notas clínicas de un médico o sobre lo que le escribiste directo a su consultorio, pídeselo a él.

3. Qué datos recabamos

De tu cuenta, cuando te registras o editas tu perfil:

• Nombre y apellido.
• Correo electrónico. Si lo cambias, guardamos también el anterior.
• Teléfono.
• Fecha de nacimiento.
• Género.
• Ciudad.
• Las aseguradoras que declaras. Es un dato de cobertura médica y por eso lo tratamos como sensible (sección 4).
• Tus preferencias de comunicación por correo y SMS.
• Si aceptas recibir avisos por WhatsApp: la fecha en que lo aceptaste y desde dónde (al registrarte, al agendar una cita, en tu perfil o en tu panel).

De cada cita que agendas:

• Nombre, teléfono y correo de la persona que va a la consulta.
• Médico, consultorio, servicio, modalidad, fecha y hora.
• El motivo de consulta que escribes. Es un dato sensible de salud (sección 4).
• Si agendas sin cuenta y aceptas avisos por WhatsApp, la fecha en que lo aceptaste, guardada con esa cita.
• Si el médico tiene habilitado el cobro en línea y decides poner tu tarjeta: el monto, el estado del cargo y una referencia cifrada de tu tarjeta con la que se puede cobrar esa cita, y sólo esa. El número de tu tarjeta nunca llega a nuestros servidores: lo tecleas en un formulario de Stripe y lo captura y lo guarda Stripe. Esa referencia se borra en cuanto el cobro se hace o se libera, cuando se da por perdido tras tres intentos fallidos, y también cuando la cita se cancela, cuando el médico deja de cobrar en línea o cuando das de baja tu cuenta.

Datos que escribe otra persona sobre ti:

• Las notas del médico. El médico puede escribir notas sobre ti en tu ficha dentro de Kuravi. Son suyas, tú no las ves en la plataforma, y son datos sensibles de salud.
• Citas de mostrador. Un médico puede agendarte tecleando tu nombre, apellido y teléfono cuando llamas o llegas a su consultorio. En ese caso el dato lo recogió él y a él le corresponde haberte informado.

Del formulario de contacto del sitio de un médico, aunque no tengas cuenta: tu nombre, correo, teléfono y el mensaje libre que escribas, de hasta 2000 caracteres. Ese formulario te invita a contar qué necesitas, así que lo tratamos como dato sensible de salud (sección 4).

Datos técnicos, que se recaban solos al usar el sitio:

• Tu dirección IP, guardada en claro en la bitácora de seguridad y en el registro de tus sesiones abiertas.
• Lo que tu navegador dice de sí mismo (el «User-Agent»: por ejemplo «Chrome en macOS») y una huella calculada a partir de él. Sirven para avisarte cuando alguien entra a tu cuenta desde un aparato nuevo.
• Fecha, hora y tipo de las acciones de seguridad de tu cuenta.
• Un pseudónimo de medición: un identificador aleatorio que tu propio navegador genera y guarda, para contar cuánta gente completa cada paso. No se deriva de tu correo, tu teléfono ni tu aparato, y no lo ligamos a tu cuenta (sección 9).

Lo que NO recabamos: no te pedimos CURP ni datos biométricos, y no te pedimos identificación oficial para usar la plataforma —sólo si ejerces un derecho ARCO, para acreditar que eres tú (sección 10)—. El número de tu tarjeta nunca toca nuestros servidores. Kuravi tampoco lleva expediente clínico: lo que un médico anote sobre ti aquí son sus notas, no un expediente.

4. Datos sensibles de salud

La ley da protección reforzada a los datos personales sensibles y exige tu consentimiento expreso para tratarlos. En Kuravi son cuatro, y los nombramos uno por uno para que sepas exactamente cuáles son:

• El motivo de consulta que escribes al agendar una cita.
• Las notas que el médico escribe sobre ti en tu ficha dentro de Kuravi.
• El mensaje del formulario de contacto del sitio de un médico, cuando describes un síntoma o el motivo por el que buscas atención.
• Las aseguradoras que declaras en tu perfil.

Al escribir cualquiera de estos datos y enviarlos, consientes expresamente su tratamiento para la finalidad de conectarte con la atención que estás pidiendo.

El motivo de consulta es obligatorio para agendar en línea: la plataforma no deja reservar una cita sin escribirlo. Si prefieres no compartirlo con nosotros, llama al consultorio y agenda directamente con él. Las aseguradoras, en cambio, son opcionales: puedes dejar ese campo vacío en tu perfil o borrarlo cuando quieras.

El motivo de consulta se guarda cifrado en la base de datos. Hay una excepción que te tenemos que decir sin adornos: el médico puede incluir tu motivo en las plantillas de los recordatorios que te envía (existe una variable [MOTIVO] que puede insertar en el texto). Cuando lo hace, ese texto viaja en claro por SMS o por correo, y queda guardado en claro en el historial de mensajes. Quien pueda leer tu teléfono o tu bandeja puede leerlo. Por WhatsApp no: ahí sólo salen textos fijos que aprobó Meta, y ninguno lleva tu motivo. Los de tu cita pueden llevar, además, una línea de indicaciones que escribe tu médico: es la misma para todos sus pacientes, no un dato tuyo.

No usamos tus datos de salud con fines publicitarios y no los vendemos a nadie.

5. Para qué usamos tus datos (finalidades primarias)

Estas finalidades son necesarias para darte el servicio. Si te opones a ellas, no podemos prestarte el servicio:

• Crear tu cuenta, identificarte al entrar y mantener tu sesión.
• Mostrarte médicos y consultorios, y filtrarlos por ciudad y especialidad.
• Agendar, confirmar, reagendar y cancelar tus citas.
• Entregarle al médico que elegiste los datos de tu cita, incluido tu motivo de consulta.
• Enviarte los mensajes de tu cita y de su pago: confirmación, recordatorios, avisos de cambio o cancelación y, si pagaste en línea, del cobro. Salen por correo y SMS, y por WhatsApp sólo si lo aceptaste (sección 6).
• Enviarte los mensajes de seguridad de tu cuenta: códigos de verificación, aviso de entrada desde un aparato nuevo, cambio de contraseña o de correo, recuperación de acceso.
• Cuando el médico que elegiste tiene habilitado el cobro en línea y pones tu tarjeta: apartar y cobrar el importe de la consulta a través de Stripe, en la cuenta del médico, y pedirle a Stripe la devolución a esa misma tarjeta si el consultorio cancela una cita ya cobrada.
• Atender lo que nos escribas a soporte y responderte.
• Detectar y frenar abusos contra las cuentas: intentos de entrada fallidos, registros duplicados y accesos sospechosos. Para esto guardamos tu IP.
• Cumplir las obligaciones legales que nos apliquen.

6. Finalidades secundarias y cómo negarte

Esta no es necesaria para darte el servicio. Si te opones, sigues usando Kuravi igual:

• Medir el uso de la plataforma para saber en qué paso se atora la gente y mejorar el producto. Se hace con el pseudónimo de la sección 9, sin ligarlo a tu cuenta.

No te mandamos boletines ni publicidad. Todos los mensajes que salen de Kuravi son de tu cita y su pago, de tu cuenta —su seguridad y, si aceptaste WhatsApp, un mensaje de bienvenida al crearla—, o escritos a mano por tu médico.

Cómo te niegas. Basta con que borres el almacenamiento local de este sitio desde tu navegador o uses una ventana privada: sin ese pseudónimo no se registra nada. También puedes escribirnos a soporte@kuravi.mx pidiendo que dejemos de tratar tus datos con esta finalidad. Negarte no afecta tus citas ni tu cuenta.

Aparte de esto, y aunque no sea una finalidad secundaria: los avisos por WhatsApp son opcionales, y así funcionan:

• Sólo te llegan si lo aceptaste: al registrarte o al agendar, con una casilla que aparece sin marcar, o después en tu perfil. Sin esa aceptación, guardada con su fecha, no sale ningún WhatsApp hacia ti.
• Salen del número de WhatsApp de Kuravi, con textos fijos que aprobó Meta. Son avisos de tus citas y sus pagos y, al crear tu cuenta, un mensaje de bienvenida (sólo si tu celular quedó verificado). Los de tu cita pueden llevar datos que escribe tu médico: el nombre de su consultorio, su dirección y una línea de indicaciones igual para todos sus pacientes.
• Van además del correo y el SMS, nunca en su lugar, y de las 21:00 a las 8:00 (hora del centro de México) no sale ninguno.
• Lo apagas cuando quieras desde tu perfil, en «Avisos por WhatsApp» (si eres profesional, en la configuración de tu panel). Vale para el número de tu cuenta: si lo cambias, la aceptación se borra y tendrías que volver a darla.
• Si agendaste sin cuenta, tu aceptación vale sólo para los avisos de esa cita y su pago. La retiras tú mismo, al momento: abre el enlace de tu cita que te llega en sus mensajes y toca «Ya no quiero avisos por WhatsApp».

Los mensajes de tus citas por correo y SMS no tienen un interruptor en la app. Oponerte a recibirlos es uno de tus derechos ARCO (sección 10).

7. Con quién compartimos tus datos

Remisiones. Proveedores que tratan tus datos por cuenta de Kuravi, siguiendo nuestras instrucciones y no para fines propios. La ley no exige tu consentimiento para estas:

• Contacta (México) — envía tus SMS, tus WhatsApp si los aceptaste, y tus correos cuando no salen por Google. Por SMS y por correo recibe tu nombre, teléfono, correo, la fecha, la hora, el servicio, el nombre del consultorio, su dirección y, si el médico usó la variable [MOTIVO] en su plantilla, tu motivo de consulta. Por WhatsApp recibe lo mismo que Meta (abajo, en transferencias).
• Google (fuera de México) — envía los correos de Kuravi desde la cuenta de Google Workspace de Kuravi, por la API de Gmail. Recibe tu correo y el texto completo de cada correo que te mandamos, con tu motivo dentro si el médico lo incluyó. Sale de México.
• ElevenLabs (Estados Unidos) — convierte a voz el texto de los recordatorios telefónicos. Recibe el texto del recordatorio. Sale de México.
• DigitalOcean (fuera de México) — aloja la plataforma y guarda los respaldos. Ahí vive todo lo descrito en este Aviso. Sale de México.

Transferencias. Terceros que reciben tus datos y los tratan como responsables propios, bajo sus propias políticas:

• El médico o consultorio que eliges. Recibe los datos de tu cita y tu motivo de consulta. Esta transferencia es necesaria para cumplir la relación que tú iniciaste al agendar.
• Meta Platforms — WhatsApp (fuera de México) — cuando un aviso va por WhatsApp. Si tú aceptaste WhatsApp, recibe tu número en formato internacional y cada aviso: un texto fijo aprobado por Meta, completado con tu nombre y, según el aviso, la fecha y la hora de tu cita, el nombre del médico o del consultorio, su dirección, las indicaciones que tu médico escribe para todos sus pacientes, un enlace a tu cita o para apartar un lugar, el importe de un cobro o, en la bienvenida, tu correo. Y si tu médico aceptó WhatsApp, recibe lo que va en sus avisos: tu nombre completo con la fecha y la hora de tu cita cuando la pides o pides que te vea antes; sin tu nombre, la fecha de tu cita y, si aplica, el importe, cuando un cobro o un reembolso tuyo falló o disputaste un cargo; o, si le escribiste por el formulario de su página, tu nombre y el teléfono que dejaste (el mensaje no). Nunca tu motivo de consulta. Sale de México.
• Stripe (Stripe Payments México, S. de R.L. de C.V.; los datos personales los trata Stripe, LLC, en Estados Unidos), sólo si el médico tiene habilitado el cobro en línea. Stripe trabaja aquí para el médico, no para Kuravi: el cargo se hace en la cuenta de Stripe del médico. Lo que Kuravi le manda es el monto, el concepto «Consulta médica» y un identificador interno de la cita; no le manda tu nombre ni tu correo. Lo que sale directamente de tu navegador hacia Stripe es tu tarjeta, que tecleas en su formulario, y tu dirección IP: el código de Stripe se carga en la pantalla de confirmar la cita en cuanto el médico cobra en línea, aunque decidas no poner ninguna tarjeta. Sale de México.
• Fundación OpenStreetMap (fuera de México) — cuando ves un mapa, tu navegador le pide las imágenes directamente a sus servidores, y en esa petición viaja tu dirección IP. Ocurre en el buscador cuando cambias a la vista de mapa, y en el sitio de un médico cuando llegas a su sección de ubicación, aunque no tengas cuenta y aunque no agendes nada. Sale de México.

Además, si una autoridad competente nos lo requiere en el ejercicio de sus facultades, entregamos lo que la ley nos obligue a entregar.

Cómo te opones a una transferencia. Escríbenos a soporte@kuravi.mx diciendo a cuál. Ten presente que oponerte a la transferencia al médico equivale a no poder agendar, y que oponerte a Stripe equivale a no poder pagar en línea. Las demás puedes evitarlas tú mismo: a Meta no le llegan tus avisos si no aceptas WhatsApp o lo apagas en tu perfil —lo que va en los avisos a tu médico depende de él—, y para OpenStreetMap quédate en la vista de lista del buscador. En el sitio de un médico el mapa se dibuja solo al llegar a su sección de ubicación, así que ahí no hay forma de evitarlo más que no abrir esa página; y con un médico que cobra en línea, el código de Stripe se carga al llegar a confirmar la cita, pongas tarjeta o no.

Kuravi no vende tus datos personales.

8. Cuánto tiempo conservamos tus datos

Hay plazos que la plataforma aplica sola, con un borrado automático diario:

• Bitácora de seguridad: 180 o 365 días según la acción. Lo que guarda tu IP o un correo tecleado en un intento fallido se borra a los 180 días; el registro de acciones de tu propia cuenta —entradas correctas, cambios de contraseña, cambios de correo— se borra a los 365 días.
• Eventos de medición: 180 días. Después se borran.
• Pseudónimo de medición en tu navegador: 30 días. Pasado ese plazo tu navegador genera otro y el rastro anterior ya no se puede encadenar con el nuevo.
• Respaldos: 90 días. Un dato que borres de la plataforma puede seguir existiendo en un respaldo hasta 90 días más.

Y hay datos para los que hoy no existe un plazo automático: tus citas y su motivo, el historial de mensajes que te enviamos, los mensajes del formulario de contacto y las fichas que los médicos llevan de sus pacientes. Se conservan mientras tu cuenta esté activa y mientras el médico mantenga su ficha, y no se borran solos. Para eliminarlos antes tienes que pedirlo (sección 10): tu cuenta puede borrarse desde tus ajustes, y para lo que esté en poder de un médico hay que pedírselo a él, porque es él quien lo trata.

9. Cookies y almacenamiento local

Kuravi no usa cookies de publicidad ni de terceros para seguirte por otros sitios. Lo que sí guarda tu navegador es:

Antes, lo que NO está ahí: tu credencial de sesión, que es lo que prueba que eres tú. En el navegador es una cookie que pone nuestro servidor y que el código de la página no puede leer —eso la protege de guiones maliciosos—; en la aplicación móvil vive en el llavero cifrado del sistema, el mismo donde tu teléfono guarda sus contraseñas. En los dos casos se borra al cerrar sesión.

En el almacenamiento local, que sobrevive a cerrar el navegador:

• Una copia de tu perfil, para no abrir la pantalla en blanco (kuravi:session): lo que ya te habíamos mostrado de ti —tu nombre, tu correo, tu teléfono y, si los capturaste, tu ciudad y tus aseguradoras—, para que al volver a abrir Kuravi no parezca que se cerró tu sesión. No sirve para entrar: sin la credencial de arriba, el servidor no contesta nada. Se borra al cerrar sesión.
• El tema claro u oscuro que elegiste en el panel (kuravi:panel-theme).
• El pseudónimo de medición (kuravi:embudo:sesion). Es un identificador aleatorio que caduca a los 30 días; después tu navegador genera otro. Los eventos que se cuentan con él se guardan 180 días en el servidor.

En el almacenamiento de la pestaña, que se borra en cuanto la cierras, queda el borrador de la cita que estabas llenando —incluidos tu nombre, tu correo, tu teléfono y tu motivo de consulta—, el acuse de la cita recién agendada y, si eres médico, el borrador de tu alta (kuravi:onboardingDraft). Se guardan ahí, y no en el disco, justo para que en una computadora compartida no queden después de ti.

Tu contraseña no se guarda en ninguna parte del navegador, ni siquiera mientras llenas tu alta: vive sólo en la memoria de la página y desaparece al recargarla. Por eso, si recargas a medio registro, te pedimos escribirla otra vez.

Puedes borrar todo esto desde la configuración de tu navegador, o evitarlo usando una ventana privada. Si borras el almacenamiento y las cookies de este sitio, se cierra tu sesión y deja de medirse tu recorrido.

10. Tus derechos ARCO y cómo ejercerlos

Tienes derecho a Acceder a tus datos, a Rectificarlos si son inexactos o incompletos, a Cancelarlos cuando consideres que no se requieren, y a Oponerte a que se usen para fines determinados.

Cómo se pide. Manda un correo a soporte@kuravi.mx, incluyendo:

• Tu nombre y un medio para responderte.
• Copia de una identificación oficial, o del documento que acredite tu representación si actúas por otra persona. Es para no entregarle tus datos a quien no eres tú.
• Qué derecho ejerces y sobre qué datos.
• Si pides rectificación: qué debe corregirse y con qué documento lo acreditas.

Plazos. Te comunicamos la resolución dentro de los 20 días hábiles siguientes a que recibamos la solicitud, y si procede la hacemos efectiva dentro de los 15 días hábiles siguientes. Si nos falta información para atenderte, te la pedimos y el plazo corre desde que la entregues. Ejercer estos derechos es gratuito; sólo se cobrarían los gastos de envío o de reproducción, si los hubiera.

Sin escribirnos y sin costo, desde la propia app: puedes ver y corregir tus datos en tu perfil, descargar en un archivo todos los datos que tenemos de tu cuenta, y borrar tu cuenta. Lo segundo y lo tercero están en tus ajustes de seguridad y te piden tu contraseña, porque entregar todos tus datos o borrarlos no debe poder hacerlo quien se siente un momento frente a tu sesión abierta.

Si consideras que no atendimos tu solicitud o que tu derecho fue vulnerado, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

11. Revocar tu consentimiento

Puedes retirar en cualquier momento el consentimiento que diste para tratar tus datos, incluidos los sensibles de salud. Escríbenos a soporte@kuravi.mx y usamos el mismo procedimiento y los mismos plazos de la sección 10.

La aceptación de los avisos por WhatsApp la retiras tú mismo, sin escribirnos y al momento: apaga «Avisos por WhatsApp» en tu perfil, o, si agendaste sin cuenta, toca «Ya no quiero avisos por WhatsApp» en el enlace de tu cita (sección 6).

Te decimos las consecuencias por adelantado, para que decidas con la información completa: revocar el consentimiento sobre tu motivo de consulta o sobre la transferencia al médico significa que no podemos agendarte citas. La revocación no aplica a lo que la ley nos obligue a conservar, ni deshace los envíos ya hechos: un recordatorio que ya salió por SMS, correo o WhatsApp ya está en poder de quien lo recibió y no lo podemos recuperar.

12. El enlace que va en tus recordatorios

Los mensajes de tu cita incluyen un enlace personal que abre esa cita sin pedir contraseña, para que puedas confirmar, reagendar o cancelar en dos toques. Ese enlace muestra el nombre y la foto del médico, su especialidad, el nombre y la dirección del consultorio, la modalidad, la fecha, la hora y el servicio. No muestra tu motivo de consulta.

Cualquiera que tenga ese mensaje puede abrirlo y actuar sobre tu cita, así que no lo reenvíes a quien no quieras que la vea. El enlace deja de funcionar dos horas después de que termina la cita.

13. Cómo protegemos tus datos

• El motivo de consulta se guarda cifrado en la base de datos.
• Las contraseñas se guardan como resumen criptográfico, nunca en claro.
• Puedes activar verificación en dos pasos, ver todas tus sesiones abiertas y cerrarlas.
• Te avisamos cuando alguien entra a tu cuenta desde un aparato que no reconocemos.
• Todo el tráfico del sitio va cifrado en tránsito.

Ninguna medida es infalible. Si ocurre una vulneración que afecte de forma significativa tus datos, te lo informamos para que puedas tomar medidas.

14. Cambios a este Aviso

Cuando cambie, publicamos la versión nueva en esta misma página y actualizamos la fecha de arriba. No te avisamos por correo: hoy la plataforma no manda ninguna notificación cuando este texto cambia, y decir que sí sería prometerte algo que no ocurre. Si te importa, revisa esta página de vez en cuando. Un cambio que amplíe las finalidades o añada una transferencia nueva te lo pediremos consentir antes de aplicarlo.

15. Contacto

Dudas sobre este Aviso, derechos ARCO o revocación: soporte@kuravi.mx.

Las reglas de uso de la plataforma están en los Términos y Condiciones.