Aviso de Privacidad Integral — Lapsi

Fecha de última actualización: 20 de octubre de 2026

Responsable: Servicios Avanzados Mandalay SA de CV

Marca: Lapsi / Lapsi.mx

Contacto: contacto@lapsi.mx

Este Aviso de Privacidad Integral se complementa con el Aviso de Privacidad Simplificado y con los Términos y Condiciones de Lapsi. Se publica en https://lapsi.mx/privacidad.html.

---

1. Responsable del tratamiento

Servicios Avanzados Mandalay SA de CV (en adelante, “Lapsi”), con domicilio en San Genaro Sánchez No. 14, Santa Bárbara, Arandas, Jalisco, C.P. 47185, México, es responsable del tratamiento de los datos personales que recaba directamente a través de:

• El sitio https://lapsi.mx.
• La aplicación web.
• Las cuentas de psicólogo, institución, paciente y administrador.
• Los correos, invitaciones, formularios y canales de soporte.
• El software gratuito “Freeware”, cuando corresponda y en los términos que se explican en el Anexo C.

Para efectos de este aviso:

• Correo de contacto: contacto@lapsi.mx.
• Departamento de Protección de Datos Personales: contacto@lapsi.mx.
• Domicilio: San Genaro Sánchez No. 14, Santa Bárbara, Arandas, Jalisco, C.P. 47185, México.
• Medio preferente para solicitudes: correo electrónico a contacto@lapsi.mx, con asunto “Privacidad” o “Derechos ARCO”.

Cuando Lapsi trata datos clínicos por cuenta de un profesional o de una institución, no es el responsable del expediente clínico: actúa como encargado y sigue las instrucciones del responsable. El responsable del expediente es el profesional de la salud mental o la institución que lo genera, custodia y utiliza para la atención.

---

2. Definiciones

Para este aviso se usan las siguientes definiciones:

• Datos personales: cualquier información concerniente a una persona física identificada o identificable.
• Datos personales sensibles: aquellos que afectan la esfera más íntima de la persona, cuya utilización indebida puede dar origen a discriminación o conllevar un riesgo grave. Incluyen el estado de salud, la información clínica y los datos relacionados con la atención psicológica.
• Titular: la persona física a quien corresponden los datos personales.
• Responsable: la persona física o moral que decide sobre el tratamiento de los datos personales.
• Encargado: la persona física o moral que trata datos personales por cuenta del responsable.
• Tratamiento: cualquier operación sobre datos personales, como recabarlos, almacenarlos, usarlos, transmitirlos o eliminarlos.
• Plataforma: el servicio SaaS de Lapsi para la gestión clínica, administrativa y de comunicación.
• Profesional: la persona con formación en psicología o salud mental que usa la plataforma para la atención de sus pacientes.
• Institución: la persona moral que usa la plataforma para gestionar psicólogos, pacientes, documentos y servicios.
• Paciente: la persona que recibe o ha recibido atención psicológica y cuyos datos se registran en la plataforma.
• Portal del paciente: el espacio de la plataforma donde el paciente puede consultar su información y registrar autorreportes, hábitos, journal o progreso, según la configuración de su cuenta.
• Freeware: el software gratuito que se ejecuta localmente y que se describe en el Anexo C.

---

3. Roles de Lapsi frente a los datos

3.1 Lapsi como responsable

Lapsi es responsable de los datos que recaba para:

• Crear y administrar cuentas de psicólogos, instituciones, pacientes y administradores.
• Verificar la identidad y, en su caso, la cédula profesional.
• Gestionar suscripciones, pagos, facturación y cobranza.
• Brindar soporte técnico y atención a solicitudes.
• Proteger la plataforma, prevenir fraudes y atender incidentes de seguridad.
• Enviar comunicaciones operativas y, con consentimiento, comunicaciones comerciales.
• Cumplir obligaciones legales, fiscales, contractuales y de defensa de derechos.
• Elaborar estadísticas agregadas y disociadas para mejorar el servicio, sin identificar a personas.

3.2 Lapsi como encargado

Lapsi actúa como encargado cuando trata datos clínicos, expedientes, notas de sesión, evaluaciones, autorreportes, adjuntos o cualquier información de salud que un profesional o una institución registra en la plataforma.

En ese supuesto:

• El profesional o la institución decide qué datos se recaban, para qué se usan y por cuánto tiempo se conservan.
• Lapsi los trata únicamente para prestar el servicio, conforme a las instrucciones del responsable y a los Términos y Condiciones.
• Lapsi no usa esos datos para publicidad, venta, perfilamiento comercial ni entrenamiento de modelos de inteligencia artificial.
• Lapsi no sustituye al profesional en el consentimiento informado, el diagnóstico, el tratamiento ni la custodia del expediente.
• Si un paciente ejerce sus derechos sobre datos clínicos, Lapsi canalizará la solicitud al profesional o institución responsable y le prestará apoyo para atenderla.
• Cuando el profesional o la institución registra datos de identificación, contacto o cualquier otro dato del paciente como parte del expediente, Lapsi los trata como encargado, aunque el paciente tenga una cuenta propia.

3.3 Profesional o institución como responsable

El profesional o la institución que registra datos clínicos es responsable de:

• Obtener el consentimiento informado y, cuando corresponda, el consentimiento expreso para datos sensibles.
• Informar al paciente sobre el tratamiento de sus datos.
• Mantener el expediente clínico completo, veraz, oportuno y actualizado.
• Custodiar y conservar el expediente conforme a la NOM-004-SSA3-2012 y demás normativa aplicable.
• Atender los derechos ARCO de sus pacientes, con el apoyo de Lapsi.
• Usar la plataforma conforme a la ley, la ética profesional y los Términos y Condiciones.

3.4 Paciente que se registra por su cuenta

Si el paciente se registra por su cuenta y no está vinculado a un profesional o institución, Lapsi tratará sus datos de cuenta y los autorreportes que decida ingresar conforme a este aviso. Esa cuenta es una herramienta de registro personal y no constituye terapia, diagnóstico ni atención de urgencia. El paciente puede solicitar la vinculación con un profesional o la eliminación de su cuenta. Si después se vincula, los datos que se incorporen al expediente se tratarán bajo el rol de encargado.

---

4. Datos personales que tratamos

Lapsi trata las siguientes categorías de datos, según el rol y el uso de la plataforma:

Los adjuntos pueden incluir imágenes, videos, PDF, documentos de texto y otros archivos. Si contienen datos de salud, se tratan como sensibles.

4.1 Datos que no se solicitan de forma deliberada

Lapsi no solicita de forma deliberada:

• Datos biométricos, salvo que el usuario decida subir una imagen o documento que los contenga como parte del expediente.
• Geolocalización precisa.
• Datos de tarjetas completas, códigos de seguridad o contraseñas bancarias.
• Datos de salud de personas distintas del paciente, salvo los que el profesional necesite registrar como parte del expediente (por ejemplo, antecedentes familiares o datos de un tutor).
• Datos de menores sin la intervención de un tutor o profesional, cuando la ley lo exija.

Si el usuario introduce datos de terceros, declara contar con la autorización o base legal correspondiente y asume la responsabilidad de informarles.

4.2 Datos de facturación

Cuando el usuario solicita factura, Lapsi puede recabar datos fiscales como RFC, razón social, régimen fiscal, domicilio fiscal y correo. Estos datos se usan exclusivamente para facturación, cumplimiento fiscal y atención de aclaraciones.

4.3 Datos de pagos

Los pagos pueden procesarse mediante proveedores externos. Lapsi no almacena números completos de tarjeta ni códigos de seguridad. El proveedor de pagos trata los datos de la tarjeta conforme a sus propias políticas.

4.4 Datos de Freeware

El Freeware se ejecuta localmente y no envía a Lapsi los datos clínicos que el usuario introduzca en él. Las descargas, donaciones y comunicaciones relacionadas con Freeware pueden generar datos técnicos y de pago tratados por Lapsi o por PayPal, según se explica en el Anexo C.

---

5. Datos personales sensibles

La información clínica y de salud es sensible. Lapsi la trata con medidas reforzadas de seguridad y confidencialidad.

Cuando el profesional o la institución registra datos sensibles, debe obtener el consentimiento expreso y por escrito del paciente o de su representante legal, con las excepciones que la ley permita. Ese consentimiento debe cubrir, al menos:

• La recolección y el registro de datos de salud.
• El uso de la plataforma para almacenar y consultar el expediente.
• La comunicación con el paciente por los canales habilitados.
• La eventual intervención de encargados técnicos, como el proveedor de hosting o de almacenamiento de archivos.
• La conservación por los plazos legales.
• La posibilidad de ejercer los derechos ARCO.

El consentimiento informado clínico es independiente de la aceptación de los Términos y Condiciones. Aceptar los Términos no sustituye el consentimiento del paciente para la atención ni el consentimiento para el tratamiento de datos sensibles.

---

6. Menores de edad y personas vulnerables

Cuando se tratan datos de menores de edad o de personas que no pueden otorgar su consentimiento por sí mismas:

• El profesional o la institución debe obtener el consentimiento del padre, madre, tutor o representante legal.
• Cuando sea posible y adecuado, debe recabarse también el asentimiento del menor.
• El registro debe limitarse a los datos necesarios para la atención.
• La información debe manejarse con especial cuidado y confidencialidad.
• El acceso del menor al portal debe configurarse conforme a su edad, madurez y al criterio del profesional.

Lapsi no verifica por sí misma la existencia del consentimiento del tutor. Esa obligación corresponde al profesional o a la institución que registra al menor, sin perjuicio de las verificaciones que Lapsi realice conforme a sus políticas.

7. Finalidades primarias

Lapsi trata los datos para las siguientes finalidades necesarias para el servicio. La columna “Consentimiento” indica si la finalidad requiere tu consentimiento y en qué momento se recaba.

Estas finalidades están relacionadas con la relación contractual o con la prestación del servicio. Si no proporcionas los datos necesarios, es posible que no puedas usar la plataforma o algunas de sus funciones.

---

8. Finalidades secundarias

Lapsi podrá usar datos de contacto y datos de cuenta para:

• Enviar comunicaciones comerciales, novedades, contenidos, encuestas o invitaciones a eventos.
• Informar sobre nuevos productos, planes o funciones.
• Realizar estudios de mercado o de satisfacción.

Estas finalidades no son necesarias para el servicio y solo se realizarán si otorgas tu consentimiento expreso mediante la casilla correspondiente, que no está premarcada. Puedes oponerte o revocar tu consentimiento en cualquier momento escribiendo a contacto@lapsi.mx, sin que ello afecte tu acceso al servicio.

Lapsi no usará datos clínicos ni datos sensibles para estas finalidades secundarias, ni los transferirá a terceros para publicidad.

---

9. Bases legales y consentimiento

Conforme a la LFPDPPP, publicada en el DOF el 20 de marzo de 2025 y reformada el 14 de noviembre de 2025, y a su Reglamento en lo que no se oponga, Lapsi trata los datos con base en:

• El consentimiento del titular.
• La relación contractual o precontractual.
• El cumplimiento de obligaciones legales.
• El ejercicio o defensa de derechos.
• Las demás excepciones previstas en la ley.

Cuando se trata de datos personales sensibles, Lapsi requiere consentimiento expreso y por escrito. El profesional o la institución que recaba esos datos debe obtenerlo y documentarlo en el expediente clínico o en el documento de consentimiento informado que utilice. Lapsi no sustituye esa obligación. Cuando Lapsi trate datos sensibles como responsable, recabará el consentimiento expreso y por escrito mediante el mecanismo electrónico que habilite y conservará la evidencia.

El consentimiento puede revocarse en cualquier momento, sin efectos retroactivos, mediante solicitud a contacto@lapsi.mx. La revocación puede impedir la prestación de algunos servicios, especialmente cuando los datos sean necesarios para el expediente o para una obligación legal.

Aceptar los Términos y Condiciones no equivale a consentir el tratamiento de datos sensibles para fines distintos de la prestación del servicio. Lapsi no condiciona el servicio a que aceptes finalidades secundarias.

10. Transferencias, remisiones y encargados

10.1 Regla general

Lapsi no vende, renta ni comercializa datos personales. Tampoco transfiere datos clínicos a anunciantes, redes sociales, corredores de datos o entrenadores de modelos de inteligencia artificial.

Para operar la plataforma, Lapsi se apoya en proveedores que actúan como encargados o que prestan servicios independientes. Cuando la ley califique una comunicación como transferencia, Lapsi recabará el consentimiento correspondiente o aplicará la excepción legal que proceda. Las transferencias se limitan a lo necesario para las finalidades descritas.

10.2 Proveedores y terceros que pueden intervenir

10.3 Transferencias internacionales

Algunos proveedores pueden almacenar o procesar datos fuera de México, principalmente en Estados Unidos de América. Cuando eso ocurra, Lapsi procura que existan garantías contractuales, medidas de seguridad y, en su caso, el consentimiento o la base legal aplicable. El titular puede solicitar información sobre el proveedor y el mecanismo de transferencia escribiendo a contacto@lapsi.mx.

10.4 Datos clínicos y terceros

Lapsi no envía datos clínicos a Google Fonts, jsDelivr ni a redes sociales. Los datos clínicos solo se comunican a:

• El profesional o la institución responsable.
• Los encargados técnicos necesarios para el servicio.
• La autoridad competente, cuando exista obligación legal.
• El paciente o su representante legal.
• Terceros autorizados expresamente por el responsable o el titular.

11. Conservación de los datos

Lapsi conserva los datos durante el tiempo necesario para las finalidades descritas y para cumplir obligaciones legales. Los plazos siguientes se aplican en función de la naturaleza del dato y de las obligaciones legales:

Cuando el plazo termine, Lapsi eliminará, bloqueará o disociará los datos, según corresponda. Algunos datos pueden conservarse por más tiempo cuando exista una obligación legal, un litigio, una investigación o una solicitud de autoridad.

11.1 Borrado por el usuario

El usuario puede solicitar la eliminación de su cuenta o de ciertos datos. La eliminación puede ser irreversible y puede afectar registros relacionados. Antes de borrar un expediente, el profesional debe exportar y conservar la información que la ley le obligue a mantener. Lapsi no será responsable de la pérdida de información que el profesional no haya respaldado.

11.2 Datos que no pueden eliminarse de inmediato

Lapsi puede conservar y bloquear datos cuando:

• Exista una obligación legal de conservación.
• Sea necesario para ejercer o defender derechos.
• Exista una investigación en curso.
• El dato esté incluido en un respaldo que aún no haya sido reemplazado.
• El dato corresponda a un expediente clínico cuya conservación sea responsabilidad del profesional o de la institución.

---

12. Medidas de seguridad

Lapsi procura implementar medidas técnicas, administrativas y organizativas razonables para proteger los datos. Según la configuración del servicio y las capacidades del hosting, estas pueden incluir:

• Cifrado de la conexión mediante HTTPS, cuando el certificado está configurado.
• Almacenamiento de contraseñas mediante funciones de hash, no en texto plano.
• Protección contra falsificación de solicitudes (CSRF) en formularios.
• Consultas preparadas para prevenir inyección SQL.
• Control de acceso por rol y por alcance de pacientes.
• Regeneración de sesiones y cierre de sesión.
• Límites contra intentos repetidos y abuso de formularios.
• Registros técnicos para diagnosticar errores y detectar incidentes.
• Restricciones de acceso a archivos internos y documentación.
• Respaldos del hosting, conforme al plan contratado.
• Medidas de seguridad exigidas al proveedor de almacenamiento de adjuntos.
• Deberes de confidencialidad para el personal y colaboradores con acceso.

Lapsi procura alinearse, en lo aplicable, con la NOM-024-SSA3-2012 y con las buenas prácticas de seguridad de la información en salud.

Ningún sistema es completamente seguro. Lapsi no puede garantizar la inviolabilidad absoluta de la información. El usuario también debe proteger sus credenciales, usar dispositivos confiables, cerrar sesión y reportar cualquier acceso sospechoso.

12.1 Incidentes de seguridad

Si Lapsi detecta un incidente que afecte datos personales, actuará para contenerlo, evaluarlo y mitigarlo. Notificará al profesional o a la institución responsable y, cuando la ley lo exija, a la autoridad competente y a los titulares afectados, de forma inmediata.

13. Accesos internos, instituciones y suplantación

13.1 Acceso del administrador

El administrador de Lapsi puede acceder técnicamente a la información de la plataforma, incluidos expedientes clínicos, para:

• Brindar soporte.
• Diagnosticar y corregir errores.
• Restaurar información.
• Investigar incidentes de seguridad o uso indebido.
• Atender requerimientos legales.
• Verificar el cumplimiento de los Términos y del Código de Ética.

Ese acceso está limitado al personal autorizado, sujeto a deberes de confidencialidad y debe realizarse con el principio de menor privilegio. Lapsi no utiliza ese acceso para fines comerciales ni para modificar el contenido clínico sin instrucción del responsable.

13.2 Acceso de la institución

La institución puede acceder a los datos de:

• Los pacientes que registra o que le son asignados.
• Los psicólogos que dependen de ella, conforme a la configuración de la plataforma.
• Los documentos y reportes institucionales.

La institución no debe acceder a datos de pacientes o psicólogos ajenos a su ámbito. Si la plataforma habilita la función de “entrar como” un psicólogo, la institución solo podrá usarla para fines de gestión, continuidad del servicio o soporte, con autorización y deber de confidencialidad.

13.3 Acceso del psicólogo

El psicólogo puede acceder a los datos de los pacientes que tiene asignados o que ha registrado, conforme a su rol y a las relaciones configuradas en la plataforma. No puede acceder a expedientes de pacientes de otros profesionales o instituciones.

13.4 Acceso del paciente

El paciente puede acceder a su propia información y a las funciones habilitadas en su portal. No puede acceder a información de otros pacientes ni a datos administrativos que no le correspondan.

13.5 Suplantación de cuentas

La plataforma puede permitir que un administrador o una institución “entre como” un psicólogo para resolver incidencias, acompañar la configuración, continuar una atención o supervisar el uso institucional. La suplantación:

• No cambia la titularidad de los datos.
• Debe usarse solo para las finalidades autorizadas.
• Está sujeta a confidencialidad.
• Debe respetar los derechos de los pacientes.
• No debe usarse para espiar, hostigar, modificar registros sin justificación o acceder a información innecesaria.

Lapsi procurará implementar registros de auditoría para estos accesos. Lapsi documenta estos accesos cuando la configuración lo permite y revisa su uso para prevenir abusos.

---

14. Derechos ARCO, limitación y revocación

14.1 Derechos

El titular tiene derecho a:

• Acceder a sus datos personales y conocer las condiciones del tratamiento.
• Rectificar sus datos cuando sean inexactos, incompletos o estén desactualizados.
• Cancelar sus datos cuando no sean necesarios para la finalidad, cuando haya retirado su consentimiento o cuando el tratamiento no se ajuste a la ley.
• Oponerse al tratamiento para finalidades específicas.
• Revocar su consentimiento, sin efectos retroactivos.
• Presentar una queja o denuncia ante la autoridad competente.

Estos derechos no son absolutos. Pueden estar limitados por obligaciones legales, derechos de terceros, investigaciones en curso o la conservación obligatoria del expediente clínico. La cancelación no procede cuando el dato sea necesario para el cumplimiento de una obligación legal o para el ejercicio o defensa de derechos.

14.2 Limitación del uso o divulgación

El titular puede solicitar que Lapsi limite el uso o divulgación de sus datos cuando:

• El tratamiento no sea necesario para la finalidad.
• El dato haya sido tratado con infracción de la ley.
• El titular haya revocado el consentimiento y no exista otra base legal.
• El tratamiento se haya opuesto y esté pendiente de resolución.

Lapsi instrumentará la limitación mediante el bloqueo del dato, la exclusión de la finalidad secundaria correspondiente o la restricción técnica del acceso, según el caso. Para datos clínicos, la limitación se canaliza al profesional o a la institución responsable del expediente. Lapsi no ofrece un derecho autónomo de portabilidad; cuando sea técnicamente posible, facilitará una exportación en formato razonable como medida de apoyo, sin que ello constituya una obligación legal distinta.

14.3 Cómo ejercer los derechos ARCO

El titular puede enviar una solicitud a contacto@lapsi.mx, con asunto “Derechos ARCO”, o presentarla por escrito en el domicilio de Lapsi. La solicitud debe contener:

• Nombre completo del titular.
• Correo o medio para recibir la respuesta.
• Documento que acredite su identidad o, en su caso, la representación legal.
• Descripción clara y precisa del derecho que desea ejercer.
• Datos o documentos que faciliten la localización de la información.
• Firma o manifestación de voluntad, cuando sea necesaria.

Si actúa un representante, debe acreditar su personalidad con poder, carta poder firmada ante dos testigos o documento equivalente. Si la solicitud está incompleta, Lapsi requerirá al titular dentro de los 5 días hábiles siguientes para que la complete en un plazo de 10 días hábiles; de no hacerlo, se tendrá por no presentada.

14.4 Plazos y costos

Lapsi responderá en un plazo máximo de 20 días hábiles contados desde la recepción de la solicitud completa. Cuando exista causa justificada, el plazo se prorrogará por hasta 15 días hábiles adicionales, previa notificación al titular.

• Acceso: la información se pondrá a disposición del titular dentro de los 15 días hábiles siguientes a la fecha en que se comunique la determinación.
• Rectificación: Lapsi realizará la corrección dentro de los 20 días hábiles siguientes y notificará al titular.
• Cancelación: Lapsi resolverá y, en su caso, eliminará o bloqueará los datos dentro de los 20 días hábiles siguientes.
• Oposición: Lapsi resolverá dentro de los 20 días hábiles siguientes.

La primera solicitud es gratuita. Si el titular repite una solicitud sobre el mismo dato dentro de un periodo menor a 12 meses, Lapsi podrá cobrar únicamente el costo de reproducción, envío o certificación que la ley permita, sin que supere 3 UMA vigentes, previa información al titular.

14.5 Datos clínicos

Cuando la solicitud se refiera a datos clínicos, Lapsi la canalizará al profesional o a la institución responsable y le prestará apoyo técnico para atenderla. El titular también puede dirigirse directamente al profesional o a la institución que lo atiende. El profesional o la institución decidirá sobre el acceso, la rectificación, la cancelación o la oposición, conforme a la ley y a la NOM-004-SSA3-2012.

14.6 Negativa y autoridad

Si Lapsi no puede atender una solicitud, comunicará la razón, el fundamento y la vía de impugnación dentro del plazo aplicable. Si no responde en el plazo, la solicitud se tendrá por negada. El titular puede acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en materia de protección de datos personales en posesión de particulares, conforme a la ley vigente.

15. Cookies y tecnologías de almacenamiento

Lapsi usa cookies y almacenamiento local necesarios para:

• Mantener la sesión del usuario.
• Recordar preferencias de interfaz.
• Proteger la seguridad del formulario y de la navegación.
• Recordar el estado de ciertos componentes.

Lapsi no usa cookies de publicidad, analítica de terceros, píxeles de redes sociales ni tecnologías de seguimiento comercial en la plataforma. El sitio público carga tipografías de Google Fonts y bibliotecas de jsDelivr; esos proveedores pueden recibir la dirección IP y el agente de usuario del visitante, pero no reciben datos clínicos.

El usuario puede configurar su navegador para bloquear o eliminar cookies. Si bloquea las cookies necesarias, es posible que no pueda iniciar sesión o usar algunas funciones.

---

16. Decisiones automatizadas e inteligencia artificial

Lapsi no toma decisiones automatizadas que produzcan efectos jurídicos o que afecten significativamente al titular. La plataforma no emite diagnósticos automáticos, no prescribe tratamientos y no sustituye el juicio del profesional.

Lapsi no usa datos clínicos para entrenar modelos de inteligencia artificial ni para generar perfiles comerciales. Si en el futuro se incorpora una función de inteligencia artificial, se informará previamente, se evaluará su impacto y se recabará el consentimiento que corresponda.

---

17. Cambios al aviso de privacidad

Lapsi puede modificar este aviso para reflejar cambios en la ley, en la plataforma, en los proveedores o en las finalidades del tratamiento.

Cuando el cambio sea material:

• Se publicará la nueva versión en https://lapsi.mx/privacidad.html.
• Se actualizará la fecha y la versión.
• Se notificará por correo electrónico o mediante un aviso visible en la plataforma.
• Se solicitará una nueva aceptación cuando sea necesario.

El titular puede consultar la versión vigente en cualquier momento en la página indicada.

---

18. Contacto y autoridad

Para cualquier duda, solicitud o reclamación relacionada con este aviso:

• Correo: contacto@lapsi.mx
• Asunto sugerido: “Privacidad”, “Derechos ARCO” o “Seguridad de datos”.
• Responsable: Servicios Avanzados Mandalay SA de CV.
• Departamento de Protección de Datos Personales: contacto@lapsi.mx.
• Domicilio: San Genaro Sánchez No. 14, Santa Bárbara, Arandas, Jalisco, C.P. 47185, México.
• Horario de atención: lunes a viernes de 9:00 a 18:00 horas, hora del centro de México, excepto días festivos.

Si el titular considera que su solicitud no fue atendida correctamente, puede acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente conforme a la LFPDPPP vigente.

Anexo A. Aviso para pacientes

Este anexo resume el tratamiento de los datos de los pacientes. No sustituye el aviso integral ni el consentimiento informado del profesional.

A.1 Responsable de tu expediente

El responsable de tu expediente clínico es el psicólogo o la institución que te atiende. Lapsi es el proveedor tecnológico que almacena y organiza la información por cuenta de ese responsable.

A.2 Datos que se tratan

• Datos de identificación y contacto.
• Datos de tu expediente clínico.
• Notas de sesión, evaluaciones, objetivos y avances.
• Autorreportes, hábitos, journal y progreso, si usas el portal.
• Datos de contacto de tu tutor, si eres menor de edad.
• Datos de facturación, si solicitas factura.

A.3 Para qué se usan

• Para que el profesional te brinde atención y lleve tu expediente.
• Para que puedas consultar tu información y registrar tu progreso.
• Para organizar sesiones, evaluaciones y seguimiento.
• Para cumplir obligaciones legales y de seguridad.

A.4 Con quién se comparten

• Con el profesional o la institución que te atiende.
• Con los proveedores técnicos necesarios, como el hosting y WideBackup.
• Con la autoridad, cuando exista obligación legal.
• Con terceros, solo si tú o tu representante lo autorizan.

A.5 Tus derechos

Puedes solicitar el acceso, la rectificación, la cancelación o la oposición al tratamiento de tus datos, así como revocar tu consentimiento. Dirígete primero al profesional o institución que te atiende, que es el responsable de tu expediente. También puedes escribir a contacto@lapsi.mx y Lapsi canalizará tu solicitud. Si no recibes respuesta, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno.

A.6 Menores de edad

Si eres menor de edad, el consentimiento debe otorgarlo tu padre, madre, tutor o representante legal. Cuando sea posible, también se tomará en cuenta tu opinión.

A.7 Emergencias

Lapsi no es un servicio de emergencia. Si estás en peligro inmediato, acude a los servicios de emergencia de tu localidad o a un hospital.

---

Anexo B. Aviso para instituciones

Este anexo regula el tratamiento de datos cuando una institución contrata Lapsi para gestionar psicólogos, pacientes, documentos y servicios.

B.1 Roles

• La institución es responsable de los datos de sus psicólogos, pacientes y documentos, y decide las finalidades del tratamiento.
• Lapsi es encargada y trata los datos conforme a las instrucciones de la institución y a los Términos y Condiciones.
• La institución debe contar con base legal y consentimientos para compartir datos con Lapsi.

B.2 Datos que puede tratar Lapsi

• Datos de la institución y de su representante legal.
• Datos de los psicólogos vinculados.
• Datos de los pacientes registrados por la institución.
• Expedientes, sesiones, evaluaciones, reportes y adjuntos.
• Documentos de la biblioteca institucional.
• Datos de facturación y administración.

B.3 Obligaciones de la institución

• Informar a sus psicólogos y pacientes sobre el uso de Lapsi.
• Obtener los consentimientos necesarios, incluido el consentimiento expreso y por escrito para datos sensibles.
• Instruir por escrito a Lapsi sobre el tratamiento.
• No usar la plataforma para fines distintos de los autorizados.
• Custodiar sus credenciales y administrar los accesos de su equipo.
• Atender los derechos ARCO de sus titulares, con apoyo de Lapsi.
• Conservar el expediente conforme a la NOM-004 y demás normativa.
• Reportar incidentes y accesos no autorizados.

B.4 Obligaciones de Lapsi

• Tratar los datos solo conforme a las instrucciones documentadas.
• Mantener medidas de seguridad razonables.
• Guardar confidencialidad.
• Apoyar a la institución en la atención de derechos y incidentes.
• No usar los datos para fines propios ni para publicidad.
• Devolver o eliminar los datos al terminar el servicio, conforme al contrato y a la ley.

B.5 Subencargados

La institución autoriza a Lapsi a usar subencargados necesarios para el servicio, como hosting, WideBackup, correo y respaldos. Lapsi informará los cambios relevantes y exigirá obligaciones equivalentes de confidencialidad y seguridad.

B.6 Transferencias internacionales

Si un subencargado trata datos fuera de México, Lapsi procurará que existan garantías contractuales y medidas de seguridad adecuadas. La institución debe verificar que el mecanismo de transferencia cumpla con la ley aplicable.

B.7 Incidentes

Lapsi notificará a la institución los incidentes que afecten sus datos, de forma inmediata, con la información disponible y las medidas adoptadas. La institución decidirá las notificaciones a titulares o autoridades que correspondan, con el apoyo de Lapsi.

B.8 Terminación

Al terminar el servicio, la institución podrá exportar sus datos. Lapsi los conservará o eliminará conforme al contrato, a los plazos legales y a la política de respaldos. La eliminación puede ser irreversible.

Anexo C. Freeware

El Freeware es un software gratuito que se ejecuta en el equipo del usuario. Su operación es distinta de la plataforma SaaS:

• Los datos clínicos que el usuario introduce en Freeware no se envían a Lapsi.
• El almacenamiento depende del navegador, del equipo y de las decisiones del usuario.
• Lapsi no puede acceder, recuperar ni borrar la información local del usuario.
• El usuario es responsable de respaldar y proteger sus archivos.
• Las descargas y donaciones pueden generar datos técnicos y de pago tratados por Lapsi o por PayPal.
• Las donaciones son voluntarias y no otorgan derechos adicionales sobre el software.
• Freeware se ofrece “tal cual”, sin garantía de resultados clínicos ni de disponibilidad.