English version ← Regresar al inicio

Política de Privacidad

Última actualización: 9 de octubre de 2026

La presente Política de Privacidad describe cómo Vínculo Soluciones Digitales S.A. de C.V. (en adelante "el Responsable" o "Sesiona"), con domicilio en General Prim 184, Col. Vallarta Norte, Guadalajara, Jalisco, México, teléfono 33 3839 6531, y correo electrónico privacidad@sesiona.mx, recaba, usa y protege los datos personales que los usuarios proporcionan al utilizar la plataforma Sesiona (en adelante "la Plataforma"), disponible en sesiona.mx.

Esta Política se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente a partir del 21 de marzo de 2025 —que abroga la anterior ley del 5 de julio de 2010— y la normativa aplicable que la desarrolla. La autoridad competente en materia de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones que antes correspondían al extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

Rol de Sesiona en el tratamiento de datos

Sesiona actúa en una doble capacidad según el tipo de datos involucrados:

• Responsable del tratamiento respecto a los datos de los terapeutas, administradores de instituciones y alumnos que se registran directamente en la Plataforma (nombre, correo, configuración de cuenta, historial de pagos).
• Encargado del tratamiento respecto a los datos clínicos y de consultantes que los terapeutas ingresan en la Plataforma (expedientes, notas de sesión, tareas, registros emocionales, datos de contacto de consultantes). En este caso, el terapeuta es el Responsable conforme a la LFPDPPP y a la NOM-004-SSA3-2012, y Sesiona trata dichos datos únicamente siguiendo sus instrucciones y para la operación del servicio. Esta relación queda formalizada al aceptar los Términos de Uso.

1. Datos personales que recabamos

Dependiendo del tipo de usuario, recabamos los siguientes datos:

Terapeutas:

• Nombre completo y correo electrónico (a través de Google OAuth).
• Información de agenda y calendario de Google (eventos, disponibilidad).
• Datos de consultantes que el terapeuta registra voluntariamente: nombre completo, correo electrónico, número de teléfono y, en el caso de consultantes menores de edad, nombre y datos de contacto del familiar o tutor responsable.
• Notas clínicas, expedientes y registros de sesión ingresados por el terapeuta.
• Configuración de horarios y preferencias de la cuenta.

Consultantes:

• Nombre completo y correo electrónico (a través de Google OAuth).
• Registros emocionales completados voluntariamente: estado emocional, reflexiones de terapia cognitivo-conductual, exploración de pensamientos automáticos y distorsiones cognitivas. Estos datos constituyen datos personales sensibles conforme al Artículo 3, fracción VI de la LFPDPPP, por revelar aspectos del estado de salud mental del titular. Su tratamiento requiere y se realiza bajo consentimiento expreso otorgado al momento de vincular la cuenta.
• Información de tareas terapéuticas asignadas por el terapeuta.
• Aceptación del aviso de privacidad del terapeuta correspondiente.

Alumnos (portal Campus):

• Nombre completo y correo electrónico (a través de Google OAuth, de la invitación de la institución o del enlace de acceso que el alumno pide a su correo).
• Al pedir o usar un enlace de acceso: la dirección IP de conexión, usada solo para limitar abusos y guardada únicamente como una huella recortada que no permite identificar la dirección.
• Progreso en cursos: lecciones vistas, resultados de cuestionarios, porcentaje de avance.
• Entregas de actividades: textos, archivos y respuestas a exámenes.
• Participación en el tablón de avisos del curso.
• Información de pago procesada por Stripe cuando el curso tiene costo (ver sección 6).
• Clases en vivo por videollamada: cuando la institución imparte una clase en vivo dentro de la Plataforma, se transmiten la imagen, voz y pantalla de los participantes (con cámara y micrófono apagados por defecto — el alumno decide activarlos). La institución puede grabar la clase como material del curso: la grabación se anuncia antes de entrar y con un indicador visible (🔴 REC) durante la clase, se almacena temporalmente de forma cifrada y puede publicarse para los alumnos del curso como video no listado de YouTube. La institución es la responsable del tratamiento de estas grabaciones; Sesiona actúa como encargado.

Datos de facturación (terapeutas e instituciones que contratan un plan de pago):

• Solo si pides factura: RFC, nombre o razón social, régimen fiscal, código postal del domicilio fiscal y correo para recibir las facturas.
• Datos de la suscripción: plan contratado, fechas de cobro y estado del pago. Los datos de la tarjeta los recaba y procesa directamente Stripe; Sesiona no los almacena.

Administradores de instituciones:

• Nombre completo y correo electrónico (a través de Google OAuth).
• Información de la institución, cursos y alumnos ingresada voluntariamente.

2. Finalidades del tratamiento

Finalidades primarias (necesarias para el servicio):

• Autenticar la identidad del usuario mediante Google OAuth o, en el portal Campus, mediante un enlace de acceso de un solo uso enviado a su correo.
• Gestionar la agenda del terapeuta y sincronizar eventos con Google Calendar.
• Almacenar y mostrar expedientes clínicos y notas de sesión.
• Facilitar la comunicación entre terapeuta y consultante dentro de la Plataforma.
• Generar mensajes de recordatorio de cita para envío por WhatsApp, utilizando el nombre del consultante y la información de la cita.
• Permitir a instituciones coordinar terapeutas, cursos y alumnos.
• Dar al terapeuta las herramientas para integrar y conservar el expediente clínico conforme a la NOM-004-SSA3-2012, cuyo cumplimiento le corresponde como prestador del servicio.
• Cobrar los planes de pago contratados (a través de Stripe) y emitir los comprobantes fiscales (CFDI) que se soliciten, en cumplimiento de las obligaciones fiscales.

Finalidades secundarias (el titular puede negarse sin que ello afecte el uso del servicio):

• Envío de comunicaciones sobre mejoras, nuevas funciones o actualizaciones de la Plataforma.

3. Uso de Google Calendar API

La Plataforma utiliza la API de Google Calendar para leer, crear, modificar y eliminar eventos en el calendario del terapeuta, exclusivamente con su consentimiento expreso mediante el flujo de autorización OAuth 2.0 de Google.

El acceso a Google Calendar se usa únicamente para:

• Mostrar la agenda semanal del terapeuta dentro de la Plataforma.
• Crear, mover o cancelar citas con consultantes.
• Consultar disponibilidad para proponer horarios de sesión.

Los datos obtenidos de Google Calendar no se comparten con terceros, no se utilizan para publicidad y no se transfieren fuera del contexto del servicio descrito. El Responsable cumple con la Política de Datos de Usuario de los Servicios de API de Google, incluyendo los requisitos de Uso Limitado (Limited Use).

El terapeuta puede revocar el acceso a Google Calendar en cualquier momento desde la sección "Agenda" de la Plataforma o directamente en myaccount.google.com/permissions.

4. Datos de Google: retención y eliminación

Qué datos de Google almacenamos y por cuánto tiempo:

• Tokens de autorización de Google Calendar — tokens OAuth 2.0 que permiten a la Plataforma acceder al calendario del terapeuta en su nombre. Se almacenan de forma cifrada en servidores de Google Cloud (Firestore, con acceso restringido exclusivamente a Cloud Functions del lado del servidor — nunca accesibles desde el navegador). Se conservan mientras el terapeuta mantenga la conexión con Google Calendar. Se eliminan de forma permanente cuando el terapeuta desconecta Google Calendar desde la Plataforma o revoca el acceso en myaccount.google.com/permissions.
• Información de perfil de Google (nombre completo, correo electrónico, foto de perfil) — obtenida al iniciar sesión y almacenada en la base de datos de la Plataforma. Se conserva mientras el usuario mantenga una cuenta activa. Se elimina previa solicitud de baja de cuenta en un plazo máximo de 30 días.
• Datos de eventos del calendario — la Plataforma lee los eventos en tiempo real para mostrar la agenda semanal del terapeuta. Solo los campos específicos de cada cita (fecha, hora, título del evento e identificador del evento en Google Calendar) se almacenan en la base de datos de la Plataforma para sincronizar las citas con la app del consultante. Estos datos se conservan hasta que el terapeuta elimina la cita correspondiente o solicita la baja de la cuenta. El contenido de los eventos del calendario no se almacena más allá de lo estrictamente necesario para la finalidad descrita.

Cómo eliminar tus datos de Google:

• Solo desconectar Google Calendar: haz clic en "Desconectar" en la sección "Mi cuenta" de la Plataforma. Esto revoca y elimina inmediatamente los tokens de autorización almacenados. También puedes revocar el acceso directamente en myaccount.google.com/permissions.
• Eliminar todos los datos de Google (baja completa de cuenta): envía una solicitud a privacidad@sesiona.mx con el asunto "Solicitud de eliminación de datos de Google". Todos los datos provenientes de Google (perfil, tokens, citas sincronizadas del calendario) serán eliminados de forma permanente en un plazo máximo de 30 días a partir de la confirmación de la solicitud.

Las solicitudes de eliminación son irreversibles. Los expedientes clínicos y datos de consultantes ingresados manualmente por el terapeuta están sujetos a requisitos de conservación propios de la NOM-004-SSA3-2012 y se gestionan a través del proceso de derechos ARCO descrito en la Sección 8.

5. Uso de WhatsApp para recordatorios de cita

La Plataforma genera mensajes de texto prediseñados con información de la cita (nombre del consultante, fecha y hora) para que el terapeuta los envíe manualmente a sus consultantes a través de WhatsApp. La Plataforma no envía mensajes de forma automática ni tiene acceso a la cuenta de WhatsApp del terapeuta o del consultante; el envío es siempre una acción voluntaria y manual del terapeuta. WhatsApp es un servicio de Meta Platforms, Inc., sujeto a sus propios términos y política de privacidad.

6. Transferencia de datos y subencargados

Los datos personales no son vendidos, cedidos ni transferidos a terceros, salvo en los siguientes casos necesarios para operar el servicio. Todos los proveedores listados actúan como subencargados del tratamiento y cuentan con niveles adecuados de protección conforme a estándares internacionales. Los datos se almacenan en servidores ubicados principalmente en Estados Unidos de América.

• Google LLC (EUA) — autenticación (Firebase Authentication), base de datos (Firestore) y funciones de servidor (Cloud Functions). Política de privacidad de Google.
• Google LLC (EUA) — integración con Google Calendar API, bajo consentimiento expreso del terapeuta. Ver Sección 3.
• Cloudflare, Inc. (EUA) — almacenamiento y reproducción de videos de cursos grabados en el portal Campus, mediante Cloudflare Stream. Los videos se transmiten con tokens de acceso temporales. Política de privacidad de Cloudflare.
• Resend, Inc. (EUA) — envío de correos electrónicos transaccionales (bienvenida, recordatorios de cuenta, invitaciones de alumnos y enlaces de acceso al portal Campus). Política de privacidad de Resend.
• Stripe, Inc. (EUA) — procesamiento de pagos para suscripciones de terapeutas e instituciones, y pagos de cursos en Campus. Stripe maneja los datos de tarjeta directamente; Sesiona no almacena datos de instrumentos de pago. Política de privacidad de Stripe.
• Proveedor Autorizado de Certificación (PAC) del SAT — solo para timbrar las facturas (CFDI) que se soliciten, con los datos de facturación indicados arriba.
• LiveKit, Inc. (EUA) — transmisión de las videollamadas de teleconsulta entre terapeuta y consultante, y de las clases en vivo del portal Campus. El audio y video se transmiten cifrados en tránsito; LiveKit actúa como subencargado del transporte de la sesión y sus servidores pueden ubicarse fuera de México. Sesiona no graba las teleconsultas terapéuticas; las clases en vivo del Campus pueden ser grabadas por la institución (con aviso previo e indicador visible), usando la infraestructura de grabación de LiveKit y almacenamiento cifrado de Google Cloud. Política de privacidad de LiveKit.
• Firebase Cloud Storage / Google Cloud Storage (EUA) — almacenamiento de archivos adjuntos a expedientes, sesiones, tareas y recursos de cursos.

7. Seguridad de los datos

El Responsable implementa las siguientes medidas técnicas y organizativas:

• Transmisión cifrada mediante HTTPS/TLS en todas las comunicaciones.
• Acceso a datos restringido por reglas de seguridad de Firestore: cada usuario solo puede acceder a sus propios datos.
• Tokens de acceso a Google Calendar almacenados de forma segura en Google Secret Manager, inaccesibles desde el navegador.
• Bitácora de acceso a expedientes clínicos conforme a NOM-004-SSA3-2012.
• Autenticación obligatoria mediante cuenta de Google para todos los usuarios, salvo el acceso de alumnos al portal Campus con un enlace de un solo uso enviado a su correo, que vence a los 60 minutos y del que solo se guarda su huella criptográfica.

8. Derechos ARCO

El titular de los datos tiene derecho a Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos personales. Para ejercer estos derechos, envíe una solicitud a:

• Correo: privacidad@sesiona.mx.
• Asunto: "Ejercicio de derechos ARCO".

La solicitud será atendida en un plazo máximo de 20 días conforme a lo establecido en la LFPDPPP. En caso de que proceda, los cambios se efectuarán dentro de los 15 días siguientes.

Si el titular considera que su solicitud no fue atendida adecuadamente, puede acudir ante la autoridad competente en materia de protección de datos personales en posesión de los particulares, la Secretaría Anticorrupción y Buen Gobierno (que asumió las funciones que antes correspondían al extinto INAI).

9. Cookies y tecnologías de rastreo

La Plataforma utiliza el almacenamiento local del navegador (localStorage e IndexedDB) exclusivamente para mantener la sesión activa del usuario y guardar preferencias de la aplicación. No se utilizan cookies de rastreo ni publicidad de terceros.

10. Datos de menores de edad

La Plataforma no está dirigida directamente a menores de edad. Los terapeutas pueden registrar datos de consultantes menores bajo su responsabilidad profesional y con el consentimiento del tutor o representante legal correspondiente, conforme a la LFPDPPP y a la normativa profesional aplicable. Al registrar un consultante menor de edad, el terapeuta confirma haber obtenido dicho consentimiento. Sesiona no verifica de forma independiente la existencia del consentimiento tutelar; esa responsabilidad recae en el terapeuta como Responsable del tratamiento.

10 bis. Retención y eliminación de datos

Los datos se conservan por los siguientes plazos:

• Expedientes clínicos y notas de sesión — mínimo 5 años desde la última consulta, conforme a NOM-004-SSA3-2012. Pueden conservarse por más tiempo si la normativa profesional aplicable así lo exige.
• Registros emocionales de consultantes — mientras la cuenta del consultante esté activa y vinculada al terapeuta. El terapeuta puede eliminarlos en cualquier momento.
• Tokens de Google Calendar — hasta que el terapeuta desconecte el calendario o cancele su cuenta. Ver Sección 4.
• Datos de pago (Stripe) — Stripe conserva registros de transacciones según su política; Sesiona conserva únicamente el identificador de cliente y suscripción por el tiempo que sea necesario para gestionar la cuenta.
• Progreso de alumnos en Campus — mientras el alumno mantenga inscripción activa en la institución correspondiente.
• Grabaciones de clases en vivo (archivo original MP4) — se conservan temporalmente mientras la institución las descarga y publica como material del curso, y se eliminan conforme a la política de retención vigente.
• Datos de cuenta (nombre, correo) — hasta que el usuario solicite la baja de su cuenta, con un plazo máximo de eliminación de 30 días hábiles a partir de la confirmación.

Los datos de auditoría (bitácora de acceso a expedientes conforme a NOM-004) no pueden eliminarse durante el periodo de retención obligatorio establecido por dicha norma.

11. Cambios a esta Política

El Responsable se reserva el derecho de modificar esta Política en cualquier momento. Los cambios sustanciales serán notificados a través de la Plataforma o por correo electrónico con al menos 30 días de anticipación.

12. Cumplimiento de Uso Limitado de Google API

El uso que Sesiona hace de la información recibida de las APIs de Google se apega a la Política de Datos de Usuario de los Servicios de API de Google, incluyendo los requisitos de Uso Limitado. Específicamente: los datos de Google Calendar se utilizan únicamente para proveer y mejorar las funciones de gestión de agenda descritas en esta política; no se usan para publicidad, no se venden ni transfieren a terceros para ningún otro fin, y los datos del usuario no son leídos por personas salvo cuando sea necesario por razones de seguridad, obligaciones legales o con el consentimiento expreso del usuario.

13. Contacto