Política de Privacidad

Versión 1.0 · Última actualización: 2 de julio de 2026

Esta Política describe qué datos personales trata RhaxsApex (operada por RhaxsApex (razón social en proceso de registro), el “Proveedor”), con qué finalidad, dónde se almacenan y qué derechos asisten a sus titulares. Aplica al sitio rhaxsapex.com y a la Plataforma contratada por las organizaciones clientes.

Nos tomamos esto en serio por una razón simple: la Plataforma procesa datos de salud, que son datos sensibles. Esta Política se alinea con el derecho venezolano — en particular la garantía constitucional de protección de datos (habeas data, artículos 28 y 60 de la Constitución), la jurisprudencia de la Sala Constitucional en la materia y el deber de secreto médico previsto en la legislación sanitaria — y adopta como buena práctica los principios internacionales de protección de datos (licitud, finalidad, minimización, calidad, seguridad y confidencialidad).

1. Los dos roles: quién responde por qué

• La Organización cliente (laboratorio, clínica, consultorio) es la responsable de los datos de sus pacientes y clientes: decide qué datos recolecta, con qué base legal y para qué los usa.
• El Proveedor es el encargado del tratamiento: procesa esos datos por cuenta y bajo instrucciones de la Organización, exclusivamente para prestar el servicio (ver el Anexo de Encargo de Tratamiento al final de esta Política).

Si usted es paciente de un laboratorio o clínica que usa RhaxsApex, el primer punto de contacto para ejercer sus derechos es esa institución. Igual puede escribirnos y canalizaremos su solicitud con ella.

2. Qué datos se tratan

a) Datos de los Usuarios de la Plataforma

• Identificación y contacto: nombre, correo electrónico, teléfono, cargo/rol.
• Credenciales: contraseña (almacenada con hash criptográfico, nunca en claro) y PIN de firma profesional.
• Datos profesionales exigidos por la norma ISO 15189 para la firma de reportes: título, registro profesional, firma y sello.
• Registros técnicos: dirección IP, dispositivo/navegador, fechas de acceso y bitácoras de actividad (auditoría de acciones dentro del sistema).

b) Datos cargados por la Organización (datos de terceros)

• Pacientes: identificación (nombre, cédula/documento, fecha de nacimiento, sexo), contacto, representante legal en caso de menores, y datos de salud (estudios solicitados, resultados de laboratorio, historia clínica, presupuestos médicos, dietas hospitalarias).
• Datos administrativos: pagos, cuentas por cobrar/pagar, proveedores, inventario.

c) Visitantes del sitio público

• El sitio rhaxsapex.com no usa herramientas de analítica ni publicidad. Solo se generan los registros técnicos estándar del servidor (IP, fecha, recurso solicitado) con fines de seguridad.

3. Para qué se usan (finalidades)

• Prestar el servicio contratado: gestión de laboratorio, clínica, consultorio y alimentación.
• Autenticar usuarios, aplicar permisos y mantener la trazabilidad exigida por ISO 15189.
• Emitir reportes de resultados y documentos con validez ante terceros (médicos, seguros).
• Seguridad: prevenir accesos no autorizados, detectar abuso, auditar acciones sensibles.
• Soporte técnico y comunicación operativa con la Organización.
• Cumplir obligaciones legales.

Lo que NO hacemos: no vendemos datos, no los cedemos para publicidad, no perfilamos pacientes con fines comerciales y no usamos los datos de salud para ningún fin distinto de la prestación del servicio.

4. Dónde se almacenan y quiénes son los subencargados

La Plataforma utiliza proveedores de infraestructura de primer nivel. Al usar el servicio, la Organización autoriza estas transferencias, necesarias para su prestación:

Todos operan bajo sus propios compromisos contractuales de seguridad y confidencialidad. La lista puede actualizarse; los cambios sustanciales se notificarán a las Organizaciones.

5. Medidas de seguridad

• Cifrado del tráfico (HTTPS/TLS) en todo el sitio y la Plataforma.
• Contraseñas con hash criptográfico (bcrypt); PIN de firma protegido.
• Aislamiento multi-organización: cada consulta de datos se filtra por la organización del usuario autenticado; una organización no puede ver datos de otra.
• Control de acceso por roles y permisos granulares dentro de cada organización.
• Protección del inicio de sesión contra ataques de fuerza bruta.
• Bitácoras de auditoría de acciones sensibles.
• Respaldos diarios automáticos cifrados.

6. Conservación

• Los datos se conservan mientras la suscripción de la Organización esté activa.
• Al terminar la relación, la Organización dispone de sesenta (60) días para exportar sus datos; luego se eliminan de forma segura, salvo obligación legal de conservación (los registros clínicos pueden estar sujetos a plazos de retención propios de la normativa sanitaria, cuya observancia corresponde a la Organización responsable).
• Los respaldos rotan y expiran en ciclos automáticos.

7. Derechos de los titulares

Toda persona puede solicitar el acceso, la rectificación, la actualización o la supresión de sus datos personales (habeas data). Cómo ejercerlos:

• Pacientes: ante la institución de salud donde se atendieron (la Organización responsable). Si nos escriben directamente, remitiremos la solicitud a la Organización y colaboraremos con la respuesta.
• Usuarios de la Plataforma: ante su Organización o directamente al Proveedor en admin@rhaxsapex.com.

Nota: la supresión de registros clínicos puede estar limitada por los deberes legales de conservación de la historia clínica y por la trazabilidad exigida a los laboratorios (ISO 15189).

8. Menores de edad

La Plataforma registra datos de pacientes menores de edad únicamente cargados por la Organización responsable y asociados a su representante legal, conforme a la práctica asistencial. El sitio público no está dirigido a menores.

9. Cambios a esta Política

Publicaremos aquí cualquier cambio, actualizando la fecha y la versión. Los cambios sustanciales se notificarán a las Organizaciones con antelación razonable.

10. Contacto

admin@rhaxsapex.com · +58 412-0561691 · Mérida, Venezuela.

Anexo — Encargo de tratamiento de datos

Este anexo forma parte de los Términos y Condiciones y aplica a todos los datos personales que la Organización cargue en la Plataforma:

1. Instrucciones. El Proveedor tratará los datos únicamente para prestar, mantener y asegurar el servicio, siguiendo las instrucciones documentadas de la Organización. No los usará para fines propios.
2. Confidencialidad. El personal del Proveedor con acceso a datos está sujeto a deberes de confidencialidad. El acceso a datos de producción se limita a lo estrictamente necesario (soporte, diagnóstico) y queda registrado.
3. Seguridad. El Proveedor mantiene las medidas técnicas y organizativas descritas en la sección 5 de esta Política.
4. Subencargados. La Organización autoriza a los subencargados de la sección 4. El Proveedor les exigirá obligaciones equivalentes y notificará los cambios sustanciales.
5. Incidentes. Ante una violación de seguridad que afecte datos personales, el Proveedor notificará a la Organización sin dilación indebida, con la información disponible sobre alcance y medidas adoptadas.
6. Colaboración. El Proveedor colaborará con la Organización para atender solicitudes de titulares (habeas data) y requerimientos de autoridad competente.
7. Devolución y supresión. Al terminar el servicio aplica la sección 6: exportación a solicitud dentro de sesenta (60) días y posterior eliminación segura.