Este documento explica cómo trata Zentro la información que pasa por la plataforma. Lo más importante está en dos líneas: los datos de los pacientes son de la óptica que los atiende, no nuestros. Nosotros los guardamos y los procesamos por cuenta suya, sin venderlos, sin hacer perfiles y sin entrenar inteligencia artificial con ellos.
Si eres paciente y quieres ejercer tus derechos, la sección V te dice a quién dirigirte. Si tienes una cuenta en Zentro, también.
IIdentidad y domicilio del encargado
Zentro, plataforma tecnológica operada por persona física con actividad empresarial (en adelante, "Zentro" o el "Encargado"), con domicilio en México, y correo electrónico de contacto: nexdevcoding@gmail.com, trata los datos personales que se registran en la plataforma por cuenta y bajo instrucciones de la óptica que la utiliza, la cual es el Responsable frente a sus pacientes. El tratamiento se realiza conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025.
IIDatos personales que se recaban
Para las finalidades señaladas, Zentro podrá recabar las siguientes categorías de datos personales:
Datos de identificación y contacto:
- Nombre completo (nombre, apellido paterno, apellido materno)
- Correo electrónico
- Número de teléfono
- Indicador de disponibilidad de WhatsApp
- Dirección
- Fecha de nacimiento y edad
- Ocupación
Datos del personal de la óptica:
- Nombre, correo y datos de la cuenta de acceso
- Cédula profesional y firma autógrafa digitalizada, en el caso del personal sanitario
- Las quejas, sugerencias y solicitudes de soporte que envían desde la aplicación, con su nombre y su óptica
Cada óptica pone a disposición de su personal el aviso que describe este tratamiento con detalle, y Zentro se lo muestra la primera vez que entran.
Datos personales sensibles:
- Datos de salud visual (agudeza visual, graduación, diagnósticos oftalmológicos)
- Expedientes clínicos y exámenes de optometría
- Recetas de lentes (armazón y lentes de contacto)
- Imágenes y estudios clínicos anexados al expediente (topografía, queratometría, retinografía, campimetría, segmento anterior, adaptación de lentes de contacto y estudios externos)
Qué significa esto: el artículo 9 de la LFPDPPP considera sensibles los datos de salud, y por eso hace falta tu consentimiento expreso antes de tratarlos. Es la razón por la que tu óptica te lo pide al abrir tu expediente, y no un trámite de más.
IIIFinalidades del tratamiento
Finalidades primarias (necesarias para el servicio):
- Gestión y administración de citas de optometría
- Creación, consulta y actualización de expedientes clínicos y exámenes visuales
- Registro y seguimiento de ventas de productos ópticos (armazones, micas, lentes de contacto)
- Gestión de abonos, saldos pendientes y estatus de pedidos
- Emisión de recetas ópticas (armazón y lentes de contacto)
- Generación de documentos: constancias de tránsito, constancias de asistencia, recomendaciones visuales y —cuando el profesional está facultado y verificado— recetas médicas y justificantes
- Registro y seguimiento de garantías
- Cálculo y gestión de comisiones de vendedores
- Generación de reportes operativos y financieros
- Redacción de los mensajes de WhatsApp que la óptica envía a sus clientes desde su propia cuenta (confirmación de compra, pedido listo y pedido entregado)
- Gestión multi-sucursal (administración de varias ópticas bajo una cuenta principal)
Finalidades secundarias:
- Seguimiento post-venta (aviso de revisión o ajuste de producto)
Si no desea que sus datos sean tratados para finalidades secundarias, comuníquese a nexdevcoding@gmail.com.
IVRemisiones y transferencias de datos personales
Para funcionar, Zentro se apoya en los proveedores de esta tabla. La columna "carácter" importa más de lo que parece: una remisión es un proveedor de infraestructura que actúa por cuenta de Zentro y no decide nada sobre los datos, así que la ley no la considera una transferencia. Una transferencia sí es una entrega a un tercero que trata los datos con finalidades propias. Hay además dos casos aparte —la impresión remota y WhatsApp— en los que quien decide activarlos y quien realmente envía es la propia óptica.
| Destinatario | Carácter | Finalidad | País |
|---|---|---|---|
| Supabase Inc. | Remisión | Base de datos y almacenamiento | EE. UU. (Oregón) |
| Vercel Inc. | Remisión | Hosting y distribución de la aplicación | Estados Unidos |
| Resend Inc. | Remisión | Transporte de los correos electrónicos que envía la plataforma, incluidos los documentos —recetas, constancias y justificantes— que pueden contener datos de salud visual. El destino de cada envío es el que se describe en las dos filas siguientes. | Estados Unidos |
| Dirección de correo del propio titular | Entrega al titular | Entrega del documento al propio paciente. Ocurre únicamente a petición suya y a la dirección registrada en su expediente. | — |
| Servicio de impresión en la nubeEpson Connect, HP ePrint o el que la óptica elija | Remisión | Impresión remota. Es una función opcional y apagada de origen. Cuando la óptica la pide, Zentro registra la dirección de correo de su impresora y desde entonces los documentos que la óptica mande por ahí se imprimen en su establecimiento para entregárselos al paciente, pasando por el proveedor del servicio de impresión. La óptica elige ese proveedor; si no hay dirección registrada, no se envía nada por este medio. | Según el proveedor elegido por la óptica |
| WhatsAppdesde la cuenta de la propia óptica | Envío que hace la óptica | Mensajes operativos al cliente: confirmación de compra, pedido listo y pedido entregado. Conviene entender cómo funciona: la plataforma redacta el mensaje y lo abre ya escrito en el WhatsApp del personal de la óptica, que decide si lo envía. Zentro no envía nada, no tiene una cuenta de WhatsApp Business conectada y no mantiene relación con Meta por este concepto; la comunicación viaja por la cuenta de la óptica y bajo las condiciones que ella tenga con ese servicio. El aviso de compra detalla lo adquirido, incluido el tipo de lente y el tratamiento de las micas. Por este medio no viajan la graduación, el diagnóstico ni ningún otro contenido del expediente clínico. | Según la cuenta de la óptica |
| Stripe Inc. | Transferencia | Procesamiento de pagos de suscripción de la óptica. No involucra datos de pacientes. | Estados Unidos |
VDerechos ARCO
Tienes derecho a Acceder a tus datos, Rectificarlos, Cancelarlos u Oponerte a su tratamiento —son los derechos ARCO—, y también a retirar tu consentimiento. A quién se lo pides depende de quién sea el Responsable de esos datos:
Si eres paciente de una óptica
Acude a la óptica que te atiende: ella es la Responsable de tu expediente y la única que puede resolver tu solicitud. Su Aviso de Privacidad, con su domicilio y su correo, está publicado en la dirección que la propia óptica te indica al pedirte tu consentimiento. Si la solicitud nos llega a nosotros se la pasamos de inmediato y te decimos quién es la Responsable, pero no la resolvemos: no sería correcto que decidiéramos sobre información que no nos toca.
Si tienes una cuenta en Zentro
Es decir, si eres propietario, administrador o parte del personal de una óptica y quieres ejercer tus derechos sobre los datos de tu cuenta, tu facturación o tu contacto comercial, escríbenos a:
En cualquiera de los dos casos, con que tu solicitud incluya esto es suficiente:
- Tu nombre completo
- Qué datos son y qué quieres que se haga con ellos
- Un documento que acredite tu identidad
- Un correo donde recibir la respuesta
La respuesta llega en un máximo de 20 días hábiles, que es el plazo que marca la LFPDPPP.
VIRevocación del consentimiento
Puedes retirarlo cuando quieras, escribiendo al correo que corresponda según la sección anterior. Vale la pena que lo sepas de antemano: al retirarlo, puede que ya no sea posible seguir prestándote algunos servicios, simplemente porque dependen de esos datos.
VIICookies y tecnologías de rastreo
Sólo las estrictamente necesarias para que la sesión funcione: los tokens que mantienen a alguien dentro de su cuenta. Nada de cookies publicitarias ni de rastreo, ni propias ni de terceros.
VIIIPeriodos de conservación
El expediente clínico se conserva por un plazo mínimo de 5 (cinco) años contados a partir del último acto médico, conforme al numeral 5.4 de la NOM-004-SSA3-2012. Dicha conservación es obligación de la óptica en su carácter de Responsable.
Ningún expediente se elimina automáticamente por antigüedad mientras el servicio esté vigente.
Cuando termina la relación con una óptica, Zentro le deja disponible la descarga completa de su información por un plazo no menor a 30 días naturales, y sólo elimina los datos después de que la óptica se los llevó y firmó el acuse de entrega. Si la óptica no contesta, no se borra nada: el silencio nunca se toma como permiso.
Aunque una óptica esté en pausa por falta de pago, sigue pudiendo consultar y descargar sus expedientes. Nos parece lo mínimo: su obligación de conservar el expediente y de atenderte a ti no se suspende porque una tarjeta haya fallado.
IXDecisiones automatizadas
Ninguna. Zentro no toma decisiones automatizadas sobre ti, no hace perfiles y no usa inteligencia artificial con tus datos. Lo que ves en la plataforma es lo que tu óptica registró; no hay nada calculando conclusiones por detrás.
XResponsable y encargado del tratamiento
Es la distinción de la que cuelga todo lo demás. Zentro es Encargado del tratamiento (art. 3, fracc. IX LFPDPPP): cuida los datos por cuenta de otro. La óptica es la Responsable (art. 3, fracc. XIV): es de quien son los datos y quien decide sobre ellos. A ella le corresponde:
- Contar con su propio Aviso de Privacidad
- Obtener el consentimiento de sus pacientes para el tratamiento de datos sensibles
- Atender solicitudes de derechos ARCO de sus pacientes
- Informar sobre el uso de Zentro como herramienta de gestión
XIMedidas de seguridad
- Cifrado en tránsito (HTTPS/TLS)
- Cifrado en reposo en base de datos
- Control de acceso basado en roles y permisos personalizados
- Autenticación segura con tokens de sesión
- Respaldos automáticos
- Aislamiento de datos por óptica (multi-tenant seguro con Row Level Security)
XIICambios al aviso de privacidad
Este aviso puede cambiar con el tiempo, y cuando cambie lo publicamos en esta misma dirección con una versión nueva y su fecha, para que siempre puedas saber cuál estabas leyendo.
XIIIConsentimiento
El artículo 9 de la LFPDPPP pide consentimiento expreso del titular para tratar datos sensibles como los de salud visual. La óptica te lo pide al abrir tu expediente, y la plataforma guarda la fecha, el medio que se usó, la versión de este aviso y quién lo recabó, para que quede constancia de cómo se te preguntó.
La óptica puede pedírtelo por cualquiera de estos medios:
- Firma autógrafa capturada en pantalla táctil
- Aceptación remota mediante enlace enviado al titular
- Formato impreso firmado de forma autógrafa
- Consentimiento verbal informado, declarado por el personal que lo recabó
Tratándose de menores de edad, el consentimiento lo otorga quien ejerce la patria potestad o tutela, cuyo nombre y parentesco se registran en el expediente.
XIVNotificación de vulneraciones de seguridad
Si algo saliera mal con la seguridad de los datos, lo dices y lo dices pronto. El artículo 20 de la LFPDPPP lo pide así: toda vulneración que afecte de forma significativa los derechos patrimoniales o morales del titular se le informa de forma inmediata, para que pueda tomar sus propias medidas.
En la práctica, Zentro avisa a la óptica —que es la Responsable— dentro de las 72 horas siguientes a confirmar el incidente, con esta información como mínimo:
- La naturaleza del incidente
- Los datos personales comprometidos
- Las recomendaciones al titular sobre las medidas que puede adoptar para proteger sus intereses
- Las acciones correctivas realizadas de forma inmediata
- Los medios donde puede obtener más información al respecto
Avisarles a los pacientes afectados le toca a la óptica, por ser la Responsable (artículo 20 de la LFPDPPP y artículos 63 a 66 de su Reglamento), y Zentro la acompaña con lo que necesite para hacerlo.
XVPortabilidad de los datos
Puedes pedir que tus datos personales te los entreguen, o que se los pasen a otro responsable, en un formato estructurado y de uso común que se pueda leer y usar por medios electrónicos. No es un favor: es un derecho.
La plataforma exporta en hoja de cálculo (.xlsx) toda la información: datos de identificación y contacto, expedientes clínicos, graduaciones, antecedentes, historial de consultas, ventas y documentos emitidos.
La solicitud la presentas ante la óptica que te atiende, por ser la Responsable, y por los mismos medios que los derechos ARCO.
XVIAutoridad competente
Si crees que tu derecho a la protección de datos personales no se respetó, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, que es la autoridad en la materia desde la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025, en sustitución del extinto INAI.
Asimismo, la referida ley establece el juicio de amparo ante juzgados y tribunales especializados como medio de defensa, en sustitución del juicio de nulidad ante el Tribunal Federal de Justicia Administrativa.
Redactado conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el DOF el 20 de marzo de 2025, y a la NOM-004-SSA3-2012 del expediente clínico. Gracias por leer hasta aquí.