Política de privacidad de Pulsalud

Qué datos trata Pulsalud, quién responde de cada uno (la clínica por los datos de sus pacientes, MSSPRD por los de la cuenta), cuánto los conserva y cómo ejercer sus derechos.

Última actualización: 2026-11-14
Responsable del tratamiento de los datos de cuenta y de contacto: MSSPRD, Proveedor de Servicios Gestionados de Tecnología, Ciberseguridad y Soporte, SRL, constituida en República Dominicana.
Domicilio: Calle Hermana Roque Martínez núm. 60, Condominio Patrony, apartamento 2D, El Millón, Santo Domingo, Distrito Nacional, República Dominicana.
Teléfono: +1 849 878 0923 · Soporte: +1 809 657 8441 · Correo: info@mssprd.com
Contacto de privacidad: privacidad@mssprd.com

1. Quiénes somos y qué papel jugamos

MSSPRD, Proveedor de Servicios Gestionados de Tecnología, Ciberseguridad y Soporte, SRL (en adelante, MSSPRD) opera Pulsalud, una plataforma de gestión clínica para consultorios y centros de salud, accesible en https://app.pulsalud.do. Este sitio informativo está en https://www.pulsalud.com.do.

En esta política hay dos situaciones distintas, y conviene no confundirlas:

• Datos de pacientes. Son los datos que un consultorio o clínica (en adelante, la clínica) carga o genera en Pulsalud sobre sus pacientes. Para ellos, la clínica es la responsable del tratamiento y MSSPRD es la encargada: los trata solo por cuenta de la clínica, siguiendo sus instrucciones y conforme al acuerdo de tratamiento de datos que forma parte de la contratación. MSSPRD no los usa para fines propios, no los vende y no los combina con los de otras clínicas.
• Datos de cuenta y de contacto. Son los datos de quien contrata Pulsalud, del personal de la clínica que usa la plataforma y de quien solicita una demostración. Para ellos, MSSPRD es la responsable del tratamiento: decide las finalidades, las fuentes y los plazos de conservación, y asume las obligaciones de ese papel.

2. Marco normativo aplicable

Esta política se fundamenta en la Ley 172-13 de Protección de Datos de Carácter Personal de la República Dominicana y su reglamento de aplicación (Decreto 230-18), y, en lo que atañe a la confidencialidad del expediente clínico, en la Ley 42-01 General de Salud y la normativa sanitaria que la desarrolla.

Dos precisiones que importan:

• Cumplimos los principios generales del Título II de la Ley 172-13: finalidad, calidad del dato, proporcionalidad, seguridad y confidencialidad.
• No nos aplica el régimen de consentimiento previo del Título III, que la ley reserva a las Sociedades de Información Crediticia (SIC). MSSPRD no es una SIC y no opera un buró de crédito.

No invocamos figuras de derecho extranjero. Cuando usamos ISO/IEC 27701 como referencia, lo hacemos como buena práctica de gestión, sin atribuirle valor normativo vinculante en República Dominicana.

Los datos de salud son una categoría sensible. Los trata la clínica, sujeta a secreto profesional, y MSSPRD los trata como encargada con las garantías reforzadas descritas en la sección 8.

3. Qué datos tratamos

Datos de cuenta y de suscripción (MSSPRD como responsable):

• Nombre, correo electrónico y teléfono de quien contrata y del personal con usuario.
• Datos de la clínica: nombre, RNC y dirección.
• Rol del usuario en la plataforma y permisos de su cuenta.
• Datos de seguridad de la cuenta: contraseña protegida y configuración de la verificación en dos pasos (MFA).
• Registro de actividad: quién entró, cuándo y qué hizo, con la dirección IP y datos básicos del navegador o del dispositivo.
• Datos de la suscripción: plan, estado, fechas y, si usted lo pide, el RNC para el comprobante fiscal. El cobro lo hacen los servicios de pago (sección 6): MSSPRD no guarda los datos de su tarjeta.
• Los mensajes que usted nos envía para pedir soporte, ventas o una demostración.

Datos de contacto comercial (MSSPRD como responsable): nombre, medio de contacto y mensaje de quien nos escribe o pide una demostración, por correo o por WhatsApp.

Datos de pacientes (la clínica como responsable, MSSPRD como encargada):

• Identidad y contacto: nombre, cédula, teléfono, correo y aseguradora (ARS).
• Datos de salud: expediente clínico, odontograma, consultas, recetas, estudios, fotos clínicas, consentimientos.
• Cobro y facturación de la clínica a su paciente, incluido el comprobante fiscal (NCF).
• Personas que piden una cita por la web de la clínica o por WhatsApp (Timone, sección 7), con el contenido de sus mensajes, que puede incluir datos de salud que ellas mismas compartan.

Visitantes del sitio informativo. El servidor que entrega las páginas registra datos técnicos mínimos de conexión, como la dirección IP y la fecha y hora de la visita. El sitio no instala cookies ni guarda nada en su navegador (ver la Política de cookies). El sitio no tiene formularios: si usted pulsa el enlace de WhatsApp para contactarnos, la conversación pasa a regirse también por las condiciones de WhatsApp.

4. Para qué los tratamos y con qué base

No vendemos datos personales ni los usamos para publicidad de terceros. No reutilizamos datos recogidos para una finalidad en otra distinta sin informarlo y, cuando proceda, recabar su consentimiento.

5. Cuánto tiempo los conservamos

Expedientes clínicos. Pulsalud no borra el expediente clínico por inactividad ni por falta de pago. Si una norma sanitaria obliga a la clínica a conservar el expediente, lo conservamos bloqueado, sin otro uso, hasta que la clínica lo exporte o instruya su supresión, o venza el plazo normativo, y siempre después de ofrecer la exportación. En los demás casos, vencido el plazo, los datos se eliminan o se anonimizan de forma irreversible.

Los registros que debamos conservar por obligación legal o para la defensa de reclamaciones se mantienen bloqueados: accesibles solo para ese fin.

6. Con quién los compartimos

Compartimos datos solo con proveedores que nos ayudan a operar la plataforma, y solo lo necesario:

Los servicios de pago tratan los datos de cobro conforme a sus propias políticas. También podemos comunicar datos a una autoridad cuando una ley o una orden judicial lo exija.

Transferencias internacionales. Sí: los servidores están en centros de datos en Canadá y las copias de respaldo se guardan en Estados Unidos, de modo que los datos salen de República Dominicana. Si la clínica activa Timone, el contenido de los mensajes se procesa además en Estados Unidos por Anthropic, proveedor del modelo de inteligencia artificial. Estas transferencias se hacen para ejecutar el contrato del servicio y, cuando el artículo 80 de la Ley 172-13 lo exige, con la autorización de la persona titular de los datos, y, tratándose de datos de salud, cuando lo requiera el tratamiento. Exigimos a esos proveedores obligaciones de seguridad y confidencialidad equivalentes a las nuestras.

7. Timone: atención por WhatsApp e inteligencia artificial

<!-- IA_APLICA: sí -->
<!-- BYOK_APLICA: no -->

Timone es un complemento opcional, contratado junto con Pulsalud en el plan «Pulsalud + Timone», que atiende por WhatsApp a las personas que escriben a una clínica. Para esos mensajes, la clínica es la responsable del tratamiento y MSSPRD es la encargada.

Qué ocurre con su mensaje. Cuando una persona escribe al número de WhatsApp de la clínica, Timone recibe el mensaje, su contenido, el nombre y el número de teléfono de quien escribe. Para leerlo y responderlo, Timone utiliza un modelo de inteligencia artificial (Claude Sonnet 5.5, de Anthropic): el mensaje se procesa con ese modelo, en Estados Unidos, para responder, agendar y clasificar la solicitud. Las respuestas son generadas automáticamente y pueden contener errores; no sustituyen la atención de un profesional de la salud ni sirven para urgencias.

Datos de salud en los mensajes. El flujo previsto solicita nombre y teléfono, pero el contenido del mensaje lo escribe quien contacta y puede incluir datos de salud que usted mismo decida compartir. Esos datos son sensibles y, si llegan, se tratan con el mismo régimen reforzado que el resto de los datos de pacientes. Le recomendamos no incluir información clínica que no sea necesaria para su solicitud.

Citas. Timone solo solicita las citas. Las confirma una persona del consultorio, que decide si las acepta.

Con quién se comparte. El mensaje circula por el proveedor de mensajería de WhatsApp y queda sujeto también a las condiciones de WhatsApp. Anthropic, proveedor del modelo de inteligencia artificial, recibe el contenido del mensaje para procesarlo y actúa como subencargado de MSSPRD (sección 6), con obligaciones de seguridad y confidencialidad. El proveedor no usa estos datos para entrenar sus modelos.

Conservación. Las conversaciones de Timone se conservan 30 días y luego se eliminan. Las solicitudes de cita que la clínica no atienda se eliminan en un máximo de 30 días.

8. Cómo protegemos los datos

Las medidas técnicas y organizativas que aplicamos están descritas en el Marco de seguridad adoptado, documento público de la organización. MSSPRD adopta esos marcos como referencia de su práctica; no afirma estar certificada por ningún organismo. Para Pulsalud, en resumen:

• Los datos clínicos se cifran dentro de la propia aplicación, además del cifrado del disco donde se guardan.
• Cada clínica ve solo sus propios datos, y esa separación se aplica en la base de datos, no solo en la pantalla.
• La verificación en dos pasos (MFA) es obligatoria para el personal.
• Las conexiones a la plataforma viajan cifradas.
• Hacemos copias de respaldo cifradas todos los días, protegidas contra alteración durante su plazo de retención.
• Registramos quién accede a los datos y qué hace.
• Cada persona ve solo lo que su rol permite. Por ejemplo, el personal auxiliar no ve importes.
• El acceso del personal de MSSPRD a los datos de las clínicas es limitado, queda registrado y se usa solo para soporte o incidentes.

Ninguna medida elimina el riesgo por completo. Si se produce una violación de seguridad que afecte a datos personales, la investigamos y la contenemos. Si afecta a datos de pacientes, avisamos primero y sin demora indebida a la clínica responsable, que decide cómo informar a sus pacientes y a las autoridades. Si afecta a datos de cuenta, se lo comunicaremos sin dilación indebida, con la naturaleza del incidente y las medidas adoptadas. Para reportar una vulnerabilidad: seguridad@mssprd.com.

9. Sus derechos

Usted puede ejercer sus derechos de acceso, rectificación, cancelación y oposición (ARCO), y retirar su consentimiento cuando este sea la base del tratamiento, sin que ello afecte a lo ya hecho.

• Sobre sus datos de cuenta o de contacto (MSSPRD es responsable): escriba a privacidad@mssprd.com y acredite su identidad. Responderemos en un máximo de 5 días hábiles para el acceso y de 10 días hábiles para rectificar o suprimir, desde la recepción de una solicitud completa. Verificamos su identidad antes de actuar, porque sin ello cualquiera podría pedir la copia o la cancelación de datos ajenos. El ejercicio es gratuito, salvo que la solicitud sea manifiestamente infundada o repetitiva, y se lo indicaremos antes.
• Sobre los datos de un paciente (la clínica es responsable): diríjase a su clínica. MSSPRD ayuda a la clínica a atender la solicitud, pero no responde directamente por esos datos. Si un paciente nos escribe, le indicaremos que se dirija a la clínica y se lo comunicaremos a ella sin demora.

La supresión de datos clínicos puede no proceder cuando exista una obligación legal de conservarlos; es la clínica quien decide y documenta esa excepción.

Si considera que no hemos atendido correctamente su solicitud, puede acudir a la autoridad competente en República Dominicana, incluida la vía judicial de hábeas data prevista en la Ley 172-13.

10. Responsabilidad sobre la información que usted maneja

Esta sección es determinante y le pedimos que la lea entera.

Toda la información que usted cargue, consulte, genere o exporte en Pulsalud, incluida la de sus pacientes, es única y exclusivamente su responsabilidad. Usted declara que cuenta con la potestad legal para tratarla, con la base legal y, cuando la ley lo exija, la autorización de sus pacientes, y que su uso se ajusta a la normativa que le resulte aplicable, incluida la sanitaria.

MSSPRD pone a su disposición una herramienta; no dirige, supervisa ni valida el uso concreto que usted haga de ella, ni la licitud del origen de la información que usted introduzca.

MSSPRD queda expresamente desvinculada de cualquier uso indebido, ilícito o contrario a esta política, a la Política de uso aceptable o a la normativa vigente, que usted o cualquier persona bajo su cuenta realice de Pulsalud o de la información tratada en ella. Las consecuencias de ese uso, incluidas las reclamaciones de terceros y de pacientes, recaen sobre usted.

Su aceptación de esta política queda registrada con la versión del documento, su huella criptográfica y la fecha, y podrá serle mostrada a requerimiento.

<!-- MARCADOR-GATE: RESPONSABILIDAD-UNICA-USUARIO -->

11. Menores de edad

Pulsalud está dirigida a profesionales y personal de salud, no a menores. Las clínicas pueden registrar a pacientes menores de edad; en ese caso la responsabilidad del trato es de la clínica, conforme a las normas que protegen a niños, niñas y adolescentes. Si cree que un menor nos ha facilitado datos suyos por su cuenta, escríbanos a privacidad@mssprd.com.

12. Cambios en esta política

Si modificamos esta política de forma sustantiva, se lo comunicaremos por los medios de contacto asociados a su cuenta y, cuando el cambio afecte a sus derechos o a las finalidades del tratamiento, le pediremos que la acepte de nuevo antes de seguir usando el servicio. Guardamos cada versión para poder comprobar qué texto aceptó usted. El historial está disponible a solicitud. La versión vigente es la publicada en https://www.pulsalud.com.do/legal/privacidad/.

<!-- canon: mssprd-platform-docs/legal v1.2.0 -->