# Aviso de Privacidad Integral — Labento

> **Marco:** Ley Federal de Protección de Datos Personales en Posesión de los  
> Particulares (LFPDPPP) y su Reglamento · México.  
> **Versión:** 1.0 · **Fecha de publicación:** 2026-08-04  
> **Producto:** Labento (software SaaS para laboratorios clínicos)  
> **Fuente de estructura:** `docs/Politica_Privacidad_IA_LFPDPPP.md`  
> **Pendiente de completar antes de producción comercial:** domicilio físico del  
> Responsable (marcado como `[DOMICILIO]` abajo).

**Aviso:** este texto es un borrador operativo alineado a la LFPDPPP y al uso  
real del software. No sustituye dictamen de un abogado. Revisa y completa  
`[DOMICILIO]` antes de considerarlo definitivo.

---

## Aviso de Privacidad Simplificado (medios electrónicos)

**Responsable:** Oswaldo Sánchez (persona física), operando comercialmente como  
**Labento**. Domicilio: **[DOMICILIO completo: calle, número, colonia, C.P.,  
municipio/alcaldía, estado, México]**.

**Datos que tratamos (resumen):** identificación y contacto de usuarios del  
software; datos de cuenta y laboratorio; datos de pacientes y de salud  
(resultados de laboratorio) capturados por cada laboratorio cliente; datos de  
uso y navegación (incl. Matomo self-hosted).

**Finalidades primarias:** prestar y operar el servicio SaaS Labento  
(registro, autenticación, punto de venta, captura de resultados, entrega  
segura al paciente, soporte técnico y seguridad).

**Finalidades secundarias:** no aplican en esta versión. No usamos tus datos  
para prospección comercial ni newsletters de terceros.

**Limitación de uso / ARCO:** escribe a  
[oswaldo.sanchez@me.com](mailto:oswaldo.sanchez@me.com) (ver procedimiento  
integral).

**Aviso integral:** este mismo documento (versión publicada en  
`/privacidad` del sitio Labento).

---

## 1. Identidad y domicilio del Responsable

| Concepto | Dato |
|----------|------|
| **Responsable** | Oswaldo Sánchez (persona física) |
| **Nombre comercial del servicio** | Labento |
| **Giro** | Desarrollo y operación de software en la nube para laboratorios clínicos (LIMS / SaaS multi-tenant) |
| **Domicilio** | **[DOMICILIO — completar antes de publicar en producción]** |
| **Contacto privacidad / ARCO / soporte** | oswaldo.sanchez@me.com |

El Responsable decide sobre el tratamiento de los datos personales relacionados  
con la **plataforma Labento** (cuentas, laboratorios tenant, telemetría de  
producto y seguridad), en los términos de este Aviso.

---

## 2. Roles en el ecosistema multi-tenant (importante)

Labento es un **software multi-laboratorio**: cada laboratorio (tenant) opera  
su propia operación clínica sobre la plataforma.

| Actor | Rol respecto de datos de pacientes / resultados clínicos |
|-------|----------------------------------------------------------|
| **Laboratorio cliente (tenant)** | Por regla general es el **Responsable** del tratamiento de datos de sus pacientes, médicos de referencia y personal, porque decide finalidades y medios de su práctica clínica. |
| **Labento (Oswaldo Sánchez)** | Actúa como **Encargado** (o coadyuva técnicamente) al alojar, procesar y resguardar en sus sistemas la información que el laboratorio introduce, **solo** para prestar el servicio contratado/autorizado y conforme a las instrucciones del laboratorio y a este Aviso. |

Los titulares (pacientes) deben ejercer preferentemente sus derechos ARCO  
**ante el laboratorio** que les realizó el estudio. Labento puede apoyar al  
laboratorio o canalizar solicitudes cuando corresponda.

---

## 3. Datos personales que se recaban

### 3.1 Usuarios de la plataforma (dueños de lab, admin, empleados, laboratoristas, superadmin)

- Identificación: nombre, nombre de usuario.
- Contacto: correo electrónico, teléfono (opcional).
- Credenciales de acceso (contraseñas almacenadas mediante mecanismos de  
  hash; no en texto plano).
- Datos del laboratorio: nombre comercial, identificador (slug), plan/estado,  
  notas operativas internas del operador de plataforma.
- Roles y permisos (admin, empleado, laboratorista, superadmin).
- Datos de sucursal: nombre, dirección, teléfono, email, logotipo (si se  
  cargan).
- Registros de auditoría de acciones en el sistema (quién creó/actualizó/  
  eliminó registros de negocio, login/logout cuando aplique).
- Contenido de **feedback** de producto (texto e imágenes que el usuario  
  adjunte de forma voluntaria).
- Dirección IP y metadatos técnicos en registro o seguridad (p. ej. control  
  de abuso / throttle).

### 3.2 Pacientes y datos de la operación clínica (capturados por el laboratorio)

Estos datos los introduce el laboratorio en el curso de su actividad:

- Identificación y contacto del paciente: nombre, fecha de nacimiento / edad,  
  sexo u otros campos del catálogo, teléfono, correo, identificadores que el  
  lab configure.
- Datos de la orden / venta: folio, sucursal, fechas, montos, abonos,  
  descuentos, monedero/puntos si aplica.
- Médico de referencia (nombre y datos de contacto si se registran).
- **Datos de salud / resultados de laboratorio** (parámetros, valores,  
  rangos, estados de muestra, códigos CDB, PDF de resultados, tokens de  
  acceso al portal público `/r/…` y `/s/…`).

### 3.3 Datos personales sensibles

Conforme a la LFPDPPP, se consideran **datos personales sensibles**, entre  
otros, los relativos a la **salud**.

Labento **sí aloja datos de salud** cuando un laboratorio usa el módulo de  
captura y entrega de resultados. El tratamiento de esos datos:

- es **necesario** para la finalidad primaria del servicio (operar el LIMS);
- se realiza bajo medidas de seguridad técnicas y organizativas (cuenta con  
  contraseña, aislamiento por `tenant_id`, soft-delete y auditoría, enlaces  
  de resultados con verificación o token, `noindex` en portal de resultados);
- requiere que el **laboratorio** obtenga el consentimiento y/o base legal  
  aplicables frente a sus pacientes, y cuente con su propio aviso de  
  privacidad cuando así lo exija la ley.

El Responsable de la plataforma no recaba datos de salud de forma independiente  
para finalidades de marketing ni de elaboración de perfiles con fines ajenos  
al servicio.

### 3.4 Datos financieros o patrimoniales

Pueden tratarse montos de venta, abonos y saldos **dentro de la operación del  
laboratorio** (cobro de estudios). En la fase actual **no** se solicitan  
datos de tarjetas bancarias en Labento (acceso $0 en desarrollo; sin cobro de  
suscripción activo). Si en el futuro se integran pagos, se actualizará este  
Aviso y, en su caso, se recabará el consentimiento expreso que corresponda.

### 3.5 Datos de navegación y analítica

- Cookies o almacenamiento local necesarios para **sesión**, **CSRF** y  
  preferencias técnicas del sitio.
- **Matomo** (analítica web autoalojada en infraestructura del operador,  
  p. ej. `matomo.sistematlan.icu`), con fines de medición de uso del sitio  
  y del producto (páginas visitadas, eventos técnicos). No se vende  
  información a redes publicitarias de terceros.

---

## 4. Finalidades del tratamiento

### 4.1 Finalidades primarias (necesarias para el servicio)

1. Crear y administrar la cuenta del laboratorio y de sus usuarios.
2. Autenticar el acceso y gestionar roles (admin, caja/empleado,  
   laboratorista, superadmin).
3. Prestar las funciones del software: catálogo de análisis, punto de venta /  
   cotización, folios, abonos, monedero, tablero de órdenes, captura de  
   resultados, PDF, portal de consulta para paciente/médico.
4. Aislar datos entre laboratorios (multi-tenant) y aplicar controles de  
   seguridad y auditoría.
5. Soporte técnico, atención de fallas, prevención de abuso (CAPTCHA,  
   throttle, honeypot) y mejora de la estabilidad del servicio.
6. Comunicaciones operativas relacionadas con la cuenta (p. ej. avisos de  
   servicio, recuperación de acceso cuando existan).
7. Cumplir obligaciones legales aplicables al Responsable.

### 4.2 Finalidades secundarias

**En esta versión no existen finalidades secundarias** de mercadotecnia,  
publicidad de terceros ni elaboración de perfiles comerciales.

Si en el futuro se incorporan (p. ej. boletín de novedades), se actualizará  
este Aviso y se ofrecerá un mecanismo claro para **negarse** a dichas  
finalidades sin afectar las primarias.

---

## 5. Transferencias y encargados

### 5.1 Encargados / proveedores de infraestructura

Para operar Labento pueden intervenir proveedores que tratan datos por  
cuenta del Responsable, bajo instrucciones y medidas de seguridad, por  
ejemplo:

| Encargado / servicio | Finalidad | Ubicación (según configuración actual) |
|----------------------|-----------|----------------------------------------|
| Hospedaje web / base de datos (p. ej. Hostinger u homólogo en México) | Almacenamiento y ejecución de la aplicación | México |
| Matomo self-hosted (sistematlan) | Analítica de uso | Infraestructura del operador |
| Proveedor de correo (SMTP), si se configura | Envío de notificaciones o resultados cuando el laboratorio o la plataforma lo activen | Según configuración del operador |

Estos proveedores **no** están autorizados a usar los datos para fines  
propios ajenos al servicio.

### 5.2 Transferencias a terceros distintos del Encargado

Labento **no vende** datos personales.

Pueden realizarse transferencias o revelaciones cuando:

- el titular haya consentido;
- sea necesario para el cumplimiento de una relación jurídica (p. ej.  
  entrega de resultados al paciente o al médico que el laboratorio autorice);
- lo exija una ley, mandato de autoridad competente o situación de  
  emergencia sanitaria / interés público en los términos de la LFPDPPP;
- se trate de las excepciones del artículo 36 de la LFPDPPP.

Los **laboratorios** pueden exportar o compartir resultados (PDF, enlace  
`/s/…`, correo) según su propia práctica; esa comunicación la determina el  
laboratorio como Responsable de su relación con el paciente.

### 5.3 Transferencias internacionales

La configuración prevista opera con **hospedaje en México** y analítica  
propia. Si en el futuro algún componente se aloja fuera del país, se  
actualizará este Aviso indicando el país y las salvaguardas aplicables.

---

## 6. Medios para limitar el uso o divulgación

- Solicitud por correo a **oswaldo.sanchez@me.com** con asunto  
  «Limitación de uso de datos — Labento», indicando qué tratamiento deseas  
  limitar (siempre que no impida finalidades primarias legalmente  
  exigibles).
- Inscripción en el **Registro Público para Evitar Publicidad (REPEP)** de  
  la PROFECO, respecto de publicidad comercial no deseada en general  
  (cuando existan finalidades de mercadotecnia; hoy no aplican por parte  
  de Labento).
- Cierre o desactivación de cuenta de laboratorio, en la medida en que lo  
  permita la operación y las obligaciones de retención.

---

## 7. Derechos ARCO y revocación del consentimiento

Puedes ejercer los derechos de **Acceso, Rectificación, Cancelación y  
Oposición (ARCO)**, así como revocar el consentimiento cuando el  
tratamiento se base en él, conforme a la LFPDPPP.

### 7.1 Canal

- **Correo:** oswaldo.sanchez@me.com  
- **Asunto sugerido:** «Solicitud ARCO — Labento»  
- **Contenido mínimo de la solicitud:**
  1. Nombre completo del titular.
  2. Medio para recibir la respuesta (correo).
  3. Descripción clara del derecho que se ejerce y de los datos  
     involucrados.
  4. Documentos que acrediten identidad (y, en su caso, representación  
     legal).
  5. Si la solicitud se refiere a datos de un **paciente de un  
     laboratorio**, indicar el nombre del laboratorio y cualquier folio o  
     referencia que ayude a localizar el expediente (Labento podrá  
     redirigir al laboratorio Responsable).

### 7.2 Plazos (Art. 31 LFPDPPP)

| Etapa | Plazo máximo |
|-------|----------------|
| Respuesta sobre procedencia | **20 días hábiles** contados desde la recepción de la solicitud |
| Ejecución, si procede | **15 días hábiles** siguientes a la comunicación de la respuesta |
| Prórroga | Una sola vez, por periodo igual, cuando las circunstancias lo justifiquen, con aviso al titular |

La **cancelación** puede implicar un **periodo de bloqueo** antes de la  
supresión definitiva, por el tiempo de las obligaciones legales o  
contractuales aplicables.

### 7.3 Autoridad competente

Si consideras que tu derecho a la protección de datos personales ha sido  
lesionado, puedes acudir a la autoridad competente en la materia, actualmente  
referida en la normativa aplicable como **Secretaría Anticorrupción y Buen  
Gobierno** (vigilancia y sanción en el ámbito de la LFPDPPP, conforme a la  
reforma publicada en el DOF).

---

## 8. Uso de cookies y tecnologías similares

| Tipo | Finalidad | Esencial |
|------|-----------|----------|
| Sesión de aplicación | Mantener login y estado de la aplicación | Sí |
| Token CSRF | Protección frente a peticiones forjadas | Sí |
| Matomo | Estadísticas de uso del sitio/producto | Preferente / analítica |

Puedes bloquear cookies no esenciales desde la configuración de tu  
navegador; ello puede afectar mediciones, no necesariamente el uso básico  
del servicio autenticado.

El portal de resultados (`/r/*`, `/s/*`) está configurado con **noindex**  
para reducir su indexación en buscadores.

---

## 9. Conservación de los datos

Los datos se conservarán mientras:

- exista la cuenta del laboratorio o la relación de servicio;
- sean necesarios para las finalidades primarias;
- lo exijan plazos legales, contables, de auditoría o de defensa de  
  pretensiones.

Tras la cancelación o el fin del servicio, podrán aplicarse soft-delete,  
bloqueo y, en su momento, supresión o anonimización, según la  
configuración del sistema y las obligaciones de retención.

Los laboratorios son responsables de definir sus propias políticas de  
retención clínica frente a sus pacientes, sin perjuicio de los controles  
técnicos de la plataforma.

---

## 10. Medidas de seguridad

Entre otras medidas técnicas y organizativas (sin carácter exhaustivo ni  
garantía absoluta frente a todo incidente):

- acceso autenticado y control por roles;
- aislamiento lógico multi-tenant (`tenant_id`);
- contraseñas con hash;
- HTTPS en entornos de producción cuando está configurado;
- registro de auditoría en operaciones de negocio;
- enlaces de resultados con token y/o verificación de identidad;
- políticas de `robots` / `noindex` en zonas no públicas de marketing.

En caso de vulneración de seguridad que afecte de forma significativa a  
titulares, se seguirán los procedimientos de notificación que exija la  
normativa aplicable.

---

## 11. Menores de edad

El servicio Labento está dirigido a **laboratorios y profesionales**  
autorizados. No está pensado para que menores se registren como operadores  
del SaaS. Los datos de pacientes menores solo deben capturarse por el  
laboratorio en el marco de su práctica y con las bases legales /  
consentimientos que a este le correspondan.

---

## 12. Cambios al Aviso de Privacidad

Cualquier modificación sustancial a este Aviso se publicará en la ruta  
**`/privacidad`** del sitio Labento y, cuando el cambio lo amerite, se  
comunicará por un medio razonable (p. ej. aviso en el panel o correo de  
contacto del laboratorio).

La fecha de la versión vigente aparece al inicio de este documento.

---

## 13. Consentimiento

Al **crear un laboratorio**, **iniciar sesión** o **utilizar Labento**,  
declaras haber leído este Aviso (en su versión simplificada y, en su caso,  
integral) y consientes el tratamiento de tus datos personales para las  
**finalidades primarias** aquí descritas, en los términos de la LFPDPPP.

Cuando el tratamiento recaiga sobre **datos sensibles de salud** de  
pacientes, el laboratorio usuario se obliga a contar con la base legal y  
los avisos/consentimientos exigibles frente a dichos titulares.

---

## 14. Contacto

| | |
|--|--|
| Responsable | Oswaldo Sánchez |
| Servicio | Labento |
| Correo | oswaldo.sanchez@me.com |
| Domicilio | **[DOMICILIO — completar]** |

---

*Estructura alineada a los Arts. 5, 15, 16, 21–36 LFPDPPP y a la guía*  
*`docs/Politica_Privacidad_IA_LFPDPPP.md`.*