Privacidad, explicada
con precisión.

1. Resumen

AMD es una herramienta de trabajo para profesionales de la salud. Su arquitectura parte de una decisión deliberada: el desarrollador no tiene infraestructura capaz de leer tu información clínica. La historia clínica no pasa por ningún servidor del desarrollador: no hay base de datos remota con tus registros ni panel de administración. La única excepción es un servicio optativo, el alta de pacientes por enlace (§16). Ese servicio recibe cifrados los datos de alta que envían tus pacientes, no recibe datos clínicos y el desarrollador tampoco puede leerlo.

• Todo vive en tu dispositivo. Los datos se guardan localmente con la protección de archivos de iOS.
• Si activás iCloud, se replican en tu propia zona privada de CloudKit, asociada a tu cuenta de Apple. El desarrollador no puede leer su contenido: no hay credenciales, ni consola, ni API que lo permitan. El cifrado lo administra Apple, y hasta dónde llega el cifrado de extremo a extremo depende de la configuración de tu cuenta.
• La función clínica funciona offline. AMD no envía ni recibe datos clínicos de ningún servidor, propio o de terceros. La búsqueda de diagnósticos CIE-11 funciona íntegramente offline, contra un catálogo incluido en la app. Además de las consultas de datos públicos descriptas en §6, existen estas funciones opcionales, que iniciás vos y no llevan datos clínicos: el clima, que consulta a Apple Weather con la ubicación aproximada del dispositivo (§8); el acceso con tu cuenta de Apple, que le pregunta a Apple si la credencial sigue vigente (§10); el dictado, para el que el sistema descarga de Apple el modelo de voz si el dispositivo todavía no lo tiene (§7), y el alta de pacientes por enlace, que consulta un servidor del desarrollador para traer cifrados los datos de alta que envían tus pacientes (§16).
• Cero dependencias de terceros. Ni una sola biblioteca externa está integrada en la app: no hay SDK de analítica, de publicidad, de crash reporting ni de atribución.
• Sin seguimiento. AMD no realiza tracking entre apps o sitios web, no usa el identificador de publicidad y no construye perfiles de uso.
• Los datos salen del dispositivo sólo cuando vos lo decidís, con una acción explícita: exportar un PDF, exportar una copia de seguridad o una planilla, compartir un adjunto, enviar un recordatorio de turno, compartir una ficha de la Biblioteca o crear una invitación de alta por enlace, que lleva tu tarjeta profesional (§16).
• El alta por enlace es optativa y está apagada de fábrica. Si la activás, tus pacientes cargan sus datos de alta en un formulario web. Esos datos viajan cifrados con una clave que sólo tenés vos. Se borran del servidor cuando los incorporás o los descartás, o a los 30 días como máximo. Disponible a partir de AMD 1.2. Hasta entonces, AMD no envía invitaciones ni recibe datos por este servicio.
• La IA es del sistema y corre en el dispositivo. Los resúmenes de sesión usan Apple Intelligence local; las notas clínicas no se envían a ningún servicio de IA para generarlos.

2. Quién es responsable de qué

Esta distinción es la base de todo lo demás, y conviene que quede explícita.

Vos, el profesional

Sos el responsable del tratamiento de los datos de tus pacientes, en el sentido de la Ley 25.326. Vos decidís qué datos cargar, con qué finalidad, cuánto conservarlos, a quién comunicarlos y cuándo eliminarlos. La historia clínica que generás con AMD es tu historia clínica y tu responsabilidad profesional, exactamente igual que si la llevaras en papel.

Eso incluye obtener el consentimiento informado de tus pacientes cuando corresponda, resguardar el secreto profesional, y responder los pedidos de acceso, rectificación o supresión que te dirijan. AMD te da las herramientas —exportar, corregir, dar de baja—; el deber es tuyo.

El desarrollador

Juan Ignacio Antolini es responsable únicamente de los datos que la app trata sobre vos como usuario: tu nombre, matrícula, especialidad y contacto profesional. En la práctica, no accede a ellos, salvo a los que se muestran en la tarjeta del alta por enlace. Si usás esa función, tu nombre, título, matrícula, correo de contacto y el domicilio, si lo cargaste, se guardan sin cifrar en el servidor junto con cada invitación, para que tu paciente vea quién recibe sus datos antes de cargarlos. De esos datos, el desarrollador es responsable del tratamiento. La tarjeta se borra cuando la invitación se cierra (al incorporar, descartar o revocar). Si nadie la cierra, se borra junto con la invitación, como máximo unos 32 días después de crearla.

Como regla, el desarrollador no es «encargado del tratamiento» de los datos de tus pacientes: no aloja tu historia clínica, no la procesa por cuenta tuya y no puede recuperarla si la perdés.

La excepción es el alta de pacientes por enlace (§16). Si usás esa función, el desarrollador recibe por tu cuenta los formularios que envían tus pacientes. Los conserva cifrados hasta que los incorporás o los descartás, y después los borra. Para eso actúa como encargado de tratamiento (art. 25, Ley 25.326), según el anexo que aceptás en la app antes de la primera invitación.

DonWeb

Si usás el alta por enlace, DonWeb (Dattatec.com S.R.L.) aloja el servidor del formulario y sus copias de seguridad en Argentina, como subencargado y con las mismas obligaciones que el desarrollador. No puede leer el contenido de los envíos.

Apple

Si activás la sincronización, Apple es el proveedor de la infraestructura de almacenamiento (iCloud / CloudKit) bajo tu cuenta y su propio marco de privacidad. La relación es entre vos y Apple; el desarrollador no participa de ella ni tiene visibilidad sobre tus registros.

3. Qué datos trata la app

AMD guarda lo que vos cargás para ejercer tu práctica y, si usás el alta por enlace, lo que tus pacientes te envían por ese formulario. Nada se recolecta en segundo plano ni se deduce de tu comportamiento.

Todo se usa exclusivamente para la función clínica de la app. No hay analítica, publicidad, perfilado ni ninguna finalidad secundaria.

4. Dónde se guardan

AMD divide el almacenamiento en cuatro bases separadas dentro del dispositivo, y sólo una de ellas sincroniza:

La separación no es cosmética: los catálogos derivan de la app y nunca viajan a iCloud, de modo que no pueden duplicarse ni contaminar tus datos al sincronizar entre dispositivos.

Algunos archivos viven fuera de la base de datos, en el contenedor privado de la app: los documentos adjuntos (guardados con protección de archivos y nombres aleatorios, sin dato clínico en el nombre), tu avatar, y los PDF que exportás. También las copias en PDF de las fichas que preparás en la Biblioteca: se guardan con la protección de archivos más estricta de iOS —no se pueden leer con el dispositivo bloqueado—, se excluyen del respaldo de iCloud, no sincronizan y vencen a las 24 horas y se eliminan apenas la app puede hacerlo de forma segura. Los archivos de los adjuntos también sincronizan: viajan a tu zona privada de iCloud junto con su ficha (nombre, tipo, fecha y el título que les pongas), y cada dispositivo guarda además una copia local para abrirlos. Los adjuntos agregados antes de esta función se suben desde el dispositivo donde se agregaron, si todavía conserva el archivo. Mientras preparás una copia de seguridad o una planilla, AMD la escribe en el contenedor de la app con la protección de archivos más estricta de iOS —no se puede leer con el dispositivo bloqueado— y la excluye del respaldo de iCloud. Esa copia temporal se borra apenas termina el panel donde elegís dónde guardarla, la hayas guardado o no. Si la app se cierra a mitad de camino, la borra en la próxima apertura, a las 24 horas como máximo. Lo mismo pasa con una copia que traés para importar: AMD la copia a su contenedor con esa protección, la lee y la borra.

5. Sincronización con iCloud

La sincronización es opcional y depende de tu cuenta de Apple. Si está activa, tus datos clínicos se replican en la zona privada de CloudKit del contenedor de la app, dentro de tu propio espacio de iCloud.

• Esa zona es inaccesible para el desarrollador: no hay credenciales, ni consola, ni API que permitan leerla.
• Sirve para que veas los mismos datos en tu iPhone y tu iPad, y como respaldo asociado a tu cuenta.
• La app no puede confirmar que una escritura llegó efectivamente a iCloud. La plataforma no expone esa garantía, y AMD prefiere avisarte que una copia está «sin confirmar» antes que afirmar un éxito que no puede probar. Por eso, en el alta por enlace la copia del servidor se borra cuando la app detecta que iCloud completó una sincronización posterior al alta, aunque no pueda verificar que una ficha en particular llegó. Si iCloud no está activo, la copia se borra a los 30 días del envío.
• Si desactivás iCloud para AMD, los datos siguen funcionando en el dispositivo, sin sincronizar.
• Junto con la base clínica se sincroniza el historial de la Biblioteca (§3). Los PDF de las fichas no se sincronizan.

6. Lo que AMD no hace

• No hay servidores propios para la historia clínica. No existe una base de datos remota del desarrollador con tus registros. El único servidor del desarrollador es el del alta por enlace, que también usa el consentimiento a distancia (§16): guarda envíos y consentimientos cifrados por 30 días como máximo, más hasta 7 días en la copia de seguridad semanal del proveedor (§16), y no puede leerlos.
• No hay pedidos de red para la función clínica. Ninguna API externa interviene en la historia clínica. En particular, la búsqueda CIE-11 es totalmente offline: el término que escribís al buscar un diagnóstico nunca sale del dispositivo. Además de las consultas de datos públicos descriptas debajo, hay funciones opcionales que consultan la red sin enviar datos clínicos: la del clima (§8), la verificación de tu cuenta de Apple si activás ese acceso (§10), la descarga del modelo de voz del sistema para el dictado (§7) y el alta de pacientes por enlace (§16).
• No hay bibliotecas de terceros. La app se compila sin una sola dependencia externa. Eso elimina de raíz la categoría de riesgo más común en apps móviles: el SDK que recolecta por su cuenta.
• No hay analítica ni telemetría de producto. El desarrollador no sabe qué pantallas abrís, cuántos pacientes tenés ni con qué frecuencia usás la app.
• No hay publicidad ni identificador publicitario.
• No hay venta ni cesión de datos. No hay a quién cederlos.
• No se accede a HealthKit. AMD no lee datos de la app Salud ni escribe en ella. El micrófono sólo se usa mientras dictás una nota, con el alcance descripto en §7: el audio no se graba ni se guarda. La ubicación sólo se usa si activás el clima, con el alcance descripto en §8; fuera de esa función, AMD no la pide ni la usa.
• No se lee tu libreta de contactos. Cuando importás un paciente desde Contactos, es el sistema el que te muestra el selector y le entrega a AMD únicamente la ficha que elegiste. La app nunca recorre tu agenda ni escribe en ella.
• No se escribe en tu fototeca. El selector de fotos también corre fuera de la app.
• No se registran datos clínicos en los logs del sistema. Los registros técnicos contienen conteos, códigos de error y categorías; nunca nombres, notas, diagnósticos ni identificadores de pacientes.

Datos públicos: IPC y feriados

Desde la versión 48, cuando las actualizaciones remotas están habilitadas, AMD consulta por HTTPS el IPC publicado por ArgentinaDatos y los feriados publicados por Argentina.gob.ar. Las consultas pueden ser automáticas o iniciarse al actualizar estos datos. Consultan información pública: no envían datos de pacientes ni del profesional, notas clínicas, honorarios, importes, fechas de turnos ni ubicación del dispositivo. La consulta de feriados indica únicamente el año del calendario público que se solicita.

Los sitios que reciben esas consultas y la infraestructura que las atiende pueden conocer la dirección IP y los metadatos técnicos de la conexión, como los de HTTP/TLS y el agente de usuario. Eso no equivale a una consulta anónima. El desarrollador no controla la conservación de esos datos. ArgentinaDatos informa que el servidor de origen registra la IP completa y metadatos para operar el servicio, protegerlo y elaborar estadísticas de tráfico. El access log dura hasta su rotación, sin máximo publicado; las estadísticas horarias se conservan 30 días y las diarias 395 días. Cloudflare y el alojamiento también procesan datos según sus políticas. No conocemos todos los plazos de los intermediarios ni los de Argentina.gob.ar.

AMD conserva localmente los datos públicos para poder consultarlos sin conexión. Una actualización fallida conserva la última información válida disponible. Descargar el IPC no cambia automáticamente tus honorarios, y descargar feriados no crea, cambia ni cancela turnos.

Para diagnóstico técnico de estabilidad, AMD recibe del sistema los informes de MetricKit (caídas, bloqueos, uso de CPU). Ese procesamiento ocurre íntegramente en el dispositivo, no se envía a ninguna parte y nunca incluye contenido clínico: sólo categorías técnicas y conteos.

Servidor del alta por enlace

AMD se conecta por HTTPS a ingreso.jia.ar cuando creás o renovás una invitación, cuando consultás tus invitaciones, cuando incorporás, revocás o descartás un envío, y cuando la app confirma, sin que tengas que hacer nada, que iCloud completó la sincronización de un alta incorporada; esa confirmación sólo lleva identificadores, sin datos del paciente. Esos pedidos llevan identificadores técnicos opacos de la invitación, del envío, del equipo y de la ficha que se va a crear: no contienen datos personales, pero se vinculan entre sí y con tu clave de firma. El de la ficha es el mismo que tendrá el paciente en tu historia clínica. Tus pacientes se conectan al mismo servidor cuando abren y envían el formulario. Como en cualquier conexión, el servidor ve la dirección IP y los metadatos técnicos de la conexión, como los de HTTP/TLS y el agente de usuario, tanto los tuyos como los de tus pacientes. El servicio no guarda registros propios de esas conexiones, salvo una huella de la IP, sin la IP en claro, que usa para limitar los intentos y que se borra a las 2 horas. El proveedor de alojamiento conserva sus registros técnicos hasta un mes y después los elimina automáticamente. Ninguno de esos registros contiene el contenido de los envíos.

Si mandás un consentimiento para firmar a distancia, la app sube al mismo servidor el texto cifrado y después descarga la respuesta cifrada. La persona que firma abre el enlace en su navegador y se conecta a ese servidor para leer el texto y mandar su respuesta. Ese texto puede incluir datos de salud del paciente, como el diagnóstico, la medicación, la indicación u otros datos clínicos que cargues al preparar el consentimiento. Por eso viaja y se guarda cifrado en capas que se pueden verificar: la clave para leerlo va sólo en el fragmento del enlace (lo que sigue a «#»), que el navegador no le manda al servidor, y el servidor guarda únicamente una huella (hash) de esa clave, que le sirve para comprobar que quien responde tiene el enlace pero no para descifrar el texto. Como en cualquier conexión, cuando alguien abre el enlace el servidor ve su dirección IP, el momento de la conexión y su navegador y el sistema de su dispositivo (agente de usuario). El proveedor de alojamiento conserva esos registros técnicos hasta un mes. El texto cifrado se borra del servidor como indica el §16 y puede seguir hasta 7 días más en la copia de seguridad semanal del proveedor.

Si generás un pase de turno para Apple Wallet, la app manda al mismo servidor sólo lo que va impreso en el pase: tu nombre y especialidad, el horario del turno, la modalidad, si está programado o cancelado y, si la escribís, la dirección del consultorio. No manda nada del paciente. El servidor firma el pase y no lo guarda.

Si en cambio enviás el pase «Próximo turno», que AMD mantiene al día, el servidor sí guarda datos, porque tiene que mandarle a Wallet la versión nueva cada vez que el turno cambia: tu nombre y especialidad, y el horario, la zona horaria y la modalidad del próximo turno programado, o que no hay ninguno. No guarda la dirección del consultorio ni el enlace de videollamada, ni datos que identifiquen al paciente —ni su nombre, ni su documento, ni el identificador de su ficha—; sí guarda un identificador de su dispositivo, como se explica más abajo. El pase se reconoce con un identificador que AMD calcula y que no permite volver a la ficha. El turno se guarda cifrado con una clave del servidor, que lo descifra sólo para armar el pase. Cuando tu paciente agrega el pase, su dispositivo se registra en el servidor: el servidor guarda una huella (hash) del identificador que Wallet le asigna a ese dispositivo y la dirección de notificaciones (push token) que Apple le da, que identifica ese dispositivo. Con ella, el servidor le avisa al dispositivo, a través del servicio de notificaciones de Apple, que hay una versión nueva; el aviso no lleva datos del turno ni del paciente, y el dispositivo descarga el pase actualizado. AMD no puede confirmar que el pase se actualizó en el dispositivo de tu paciente: Apple no garantiza la entrega de esos avisos, y Wallet también lo actualiza cuando se abre el pase. Como en cualquier conexión, el servidor ve la dirección IP y los metadatos técnicos del dispositivo de tu paciente cuando Wallet se conecta. Cuánto se guarda cada cosa está en §16.

El formulario que abren tus pacientes no usa analítica, cookies de terceros ni rastreadores.

7. Inteligencia artificial

Resumen de sesión

Cuando pedís un resumen de una sesión, AMD usa el modelo de lenguaje de Apple Intelligence que corre en el dispositivo. La entrada son las notas clínicas y el plan terapéutico de esa sesión; la salida es el resumen que después podés editar o descartar.

• El procesamiento es local: no se usa ningún servicio de IA externo, ni del desarrollador ni de terceros, y las notas no se transmiten para generarlo.
• Cada solicitud abre una sesión nueva con el modelo, para que el contenido de una consulta no contamine el de otra.
• Si el dispositivo no es compatible o Apple Intelligence está desactivado, la función no está disponible. No hay alternativa en la nube.

Avatar generado

Podés generar un avatar profesional con Image Playground, el servicio de imágenes de Apple Intelligence. La entrada es una descripción de estilo que escribís vos, más un concepto fijo de la app. Ningún dato de paciente participa de esa generación. La generación la ejecuta el sistema operativo, no AMD.

Dictado de notas

Podés dictar las notas y el plan de una sesión en lugar de escribirlos. AMD convierte tu voz en texto con el reconocimiento de voz de Apple que corre en el dispositivo.

• Está pensado para que dictes vos, no para registrar la consulta ni lo que dice el paciente.
• El audio vive sólo en memoria mientras dictás: no se graba, no se guarda en ningún archivo y no sale del dispositivo. Lo único que queda es el texto, que se inserta en el campo y podés editar antes de guardar la sesión.
• La transcripción es local. Si el dispositivo todavía no tiene el modelo de voz del idioma, el sistema lo descarga de Apple antes de empezar; esa descarga no lleva audio ni texto tuyo.
• Requiere dos permisos del sistema: micrófono y reconocimiento de voz (§8). Si los denegás, podés seguir escribiendo como siempre.

Herramientas de escritura del sistema

iOS ofrece sus propias herramientas de escritura (reescribir, corregir, resumir) en los campos de texto de cualquier app, y AMD no las deshabilita. Si las usás sobre un campo de notas clínicas, ese texto se procesa según el marco de privacidad de Apple Intelligence, que en algunas operaciones puede recurrir a Private Cloud Compute. Es una función del sistema, no de AMD, y podés desactivarla en los ajustes de iOS.

8. Permisos del sistema

Todos son opcionales, se piden en el momento en que los necesitás y vienen desactivados por defecto. Denegarlos no impide usar la app: sólo apaga la función correspondiente.

Qué se escribe en tu calendario

Si activás la integración, el evento que AMD crea lleva un título fijo y neutral —«Sesión»—, idéntico para todas las sesiones, y las notas del evento van vacías. No se escribe nombre, iniciales, diagnóstico, estado clínico, ubicación ni invitados. El evento incluye un enlace interno a la sesión, que es un identificador opaco sin significado fuera de la app.

Esto importa porque un evento de calendario se propaga a iCloud Calendar, a la pantalla de bloqueo, a los widgets y a cualquier dispositivo donde uses esa cuenta. Por eso no lleva nada que permita identificar al paciente. AMD además sólo modifica o borra eventos que ella misma creó.

Qué dicen las notificaciones

Son locales, las programa el dispositivo y su texto es fijo: avisan que hay sesiones sin completar, o que algunos pacientes superaron cierta cantidad de días sin atención. El único valor variable es un número. No aparece ningún nombre, ni identificador, ni dato clínico, ni en la notificación ni en su contenido interno.

Clima y Apple Weather

El clima es una función opcional y apagada de fábrica. Se activa desde la pantalla «Hoy», con un botón; recién ahí el sistema te pide el permiso de ubicación «mientras se usa la app». Si no la activás, AMD no pide ubicación ni consulta el clima.

Cuando está activa:

• Se usa la ubicación aproximada del dispositivo, en una lectura puntual por cada consulta. No hay seguimiento continuo ni en segundo plano.
• La consulta va directo a Apple Weather (WeatherKit) mediante la API del sistema, sin ningún servidor del desarrollador en el medio, y pide únicamente las condiciones actuales. No hay pronóstico, ni ciudad guardada, ni búsqueda de direcciones.
• AMD no guarda esa ubicación: no la escribe en la base de datos, ni en las preferencias, ni en los registros técnicos, ni en el registro de auditoría.
• La respuesta del clima queda en memoria hasta el menor de dos plazos —el que indique Apple o 30 minutos— y se descarta al desactivar el clima.
• La ubicación no se asocia con pacientes, sesiones ni con tu perfil profesional, y no se envía ningún dato clínico junto con la consulta.
• Junto al dato se muestra la marca oficial «Apple Weather». En el detalle del clima, además, un enlace legal que provee Apple. Cargar esa marca y abrir ese enlace son accesos a servidores de Apple; AMD no les agrega coordenadas.
• Podés desactivar el clima cuando quieras, desde el detalle del clima.

El tratamiento que Apple haga de esa consulta se rige por los términos y la política de privacidad de Apple, no por esta política.

Siri y Atajos

Siri y Atajos es opcional y viene apagado. Se activa en Ajustes → Seguridad → Siri y Atajos, después de una pantalla que explica qué cambia, y queda activado en todos tus equipos con el mismo perfil.

Con la opción activada, Siri y la app Atajos pueden:

• abrir la pantalla «Hoy» y empezar una sesión nueva. Las dos acciones abren AMD y piden desbloquear el dispositivo;
• decir en voz alta cuántos pacientes tenés hoy. Siri recibe sólo el número. Pide desbloquear el dispositivo, pero responde aunque AMD tenga su bloqueo con Face ID, Touch ID u Optic ID activado: quien desbloquee el equipo puede preguntarlo. Si activaste el acceso con tu cuenta de Apple (§10), en cambio, espera a que inicies sesión.

Siri, Atajos y Apple Intelligence nunca reciben nombres de pacientes, diagnósticos, notas ni otros datos clínicos. AMD no agrega nada al índice de Spotlight. Cada uso queda registrado en la auditoría como una lectura, sin el resultado.

El pedido de voz lo procesa Siri según los términos y la política de privacidad de Apple. AMD no puede borrar los atajos que armes en la app Atajos ni lo que Siri o iOS guarden por su cuenta. Al desactivar la opción, y al eliminar tu cuenta, AMD retira del dispositivo el registro que el sistema guarda de estas acciones.

Búsqueda en la CIE-11. Con o sin esa opción, podés pedirle a Siri que busque un código o un diagnóstico en el catálogo CIE-11 incluido en la app («Buscá en CIE-11 en AMD»). La búsqueda responde sin abrir la app, lee sólo el catálogo y no toca tus pacientes ni tu historia clínica. AMD no guarda ni audita el término que dictás y borra el registro que el sistema guarda de cada búsqueda. Abrir el resultado en AMD pide desbloquear el dispositivo.

9. Salidas que vos iniciás

AMD nunca transmite datos por su cuenta. Estas son las únicas vías por las que información clínica puede salir del dispositivo, y todas requieren una acción explícita tuya. Más abajo se describen dos salidas más que no son información clínica: las fichas de la Biblioteca, que se preparan para un paciente, y las invitaciones del alta por enlace, que llevan tu tarjeta profesional.

PDF de resumen de historia clínica

La identidad del paciente va siempre: nombre, número de historia clínica, edad, fecha de nacimiento, sexo biológico y género. El resto lo elegís vos, y, si querés, un rango de fechas para las sesiones:

• vienen activados los datos personales adicionales (documento, nacionalidad, residencia, ocupación, nivel educativo y estado civil), la historia clínica y los diagnósticos, las notas de sesión y tu firma, si tenés una registrada;
• vienen apagados el contacto del paciente, el contacto de emergencia y la cobertura médica.

Por eso es un resumen configurable y no la copia íntegra de la historia clínica. Es la salida más sensible de la app: puede contener datos de contacto, diagnósticos y notas de sesión completas.

• El archivo se genera en el contenedor de la app con protección de archivos, se excluye del respaldo de iCloud y vence a las 24 horas y se borra apenas la app puede hacerlo de forma segura.
• El nombre del archivo usa el número de historia clínica, no el nombre del paciente. Aun así, ese número es visible para quien reciba el archivo.
• La generación queda registrada en la auditoría con severidad crítica, anotando qué categorías incluiste, nunca el contenido.
• El PDF sólo se muestra, se comparte o se guarda después de que la exportación quedó registrada en la auditoría. Si ese registro falla, el archivo se retira sin mostrarse.
• Podés compartirlo o guardarlo en Archivos. Una copia guardada en Archivos queda donde la elegiste, fuera del borrado automático de las 24 horas. Cada página lleva el aviso «Documento confidencial — contiene información clínica protegida».
• Desde el momento en que lo compartís, el archivo queda fuera del control de AMD y bajo tu responsabilidad profesional.

Copia de seguridad y planilla

Desde Ajustes → Copia de seguridad podés exportar toda tu información en un archivo .amdbackup, o una planilla con los datos administrativos. Es la salida más amplia de la app: la copia lleva la historia clínica de todos tus pacientes, incluidas las notas.

Antes de exportar. Cada exportación te avisa que vas a sacar datos sensibles de todos tus pacientes y te pide confirmar tu identidad con Face ID, Touch ID u Optic ID, o con el código del dispositivo. Si el dispositivo no tiene código de bloqueo, no se puede exportar ni importar.

Qué lleva la copia. Pacientes, sesiones y sus notas, diagnósticos, antecedentes, antropometría, medicación, escalas, cobros, tus tipos de sesión y tu política de precios, las constancias emitidas, el historial de la Biblioteca y el registro de auditoría. También incluye lo que ocultaste y lo que diste de baja. No lleva los catálogos que vienen con la app (CIE-11, vademécum y datos de referencia) ni tus preferencias del dispositivo. Si AMD no puede atribuir con certeza un registro a tu perfil, porque en el mismo dispositivo hay otro perfil con un paciente o una sesión del mismo identificador, ese registro queda afuera y la copia lo cuenta.

Con contraseña (la opción predeterminada). Elegís una contraseña de al menos 10 caracteres. AMD deriva de ella la clave con PBKDF2-HMAC-SHA256 y cifra el contenido con AES-256-GCM, que además detecta cualquier modificación. AMD no guarda la contraseña: si la perdés, nadie puede abrir la copia, tampoco el desarrollador. Es la única copia que lleva los adjuntos (PDF e imágenes), hasta un máximo de 192 MB; los que no entran no se incluyen, y al importarla AMD te dice cuántos faltan.

Sin contraseña. Es optativo y la app te advierte que cualquiera que abra el archivo va a ver la historia clínica de tus pacientes, incluidas las notas. Para no sacar de su protección lo que iCloud guarda con cifrado de extremo a extremo, la copia sin contraseña no lleva tu firma ni tu domicilio profesional, los enlaces de videollamada, las plantillas de informes ni las copias de las constancias emitidas, la Biblioteca, los adjuntos, tu configuración del tipo de turno base, los títulos privados de tus reservas ni las confirmaciones de ausencia en hábitos y antecedentes familiares. La app te muestra esa lista antes de exportar, y el archivo declara qué quedó afuera.

La planilla. Son cuatro archivos CSV para leer en Excel o Numbers: pacientes (número de historia clínica, nombre, DNI, fecha de nacimiento, contacto y estado), sesiones (fecha, modalidad, estado, duración y honorario), diagnósticos (código CIE-11, título, tipo y fecha) y cobros (fecha, importe, moneda y medio). No lleva notas clínicas y no sirve para restaurar. No lleva contraseña, y la app te advierte que tiene datos identificatorios y diagnósticos de todos tus pacientes. Respeta lo que la app oculta: no incluye pacientes eliminados, sesiones ocultas ni cobros anulados.

Dónde queda. Vos elegís dónde guardarla en el panel de Archivos del sistema: en el dispositivo, en iCloud Drive o en otro proveedor que tengas instalado. AMD no la sube a ningún lado por su cuenta y no la comparte. El archivo se llama AMD-copia- seguido de la fecha y la hora, sin tu nombre ni el de ningún paciente. Desde que lo guardás, el archivo queda fuera del control de AMD: su resguardo depende del lugar que elegiste y queda bajo tu responsabilidad profesional. Guardá la copia sólo donde tengas acceso exclusivo.

Registro. La exportación de la copia y la de la planilla quedan registradas en la auditoría con el tipo de protección y la cantidad de registros de cada tipo, nunca el contenido. El archivo sólo se te ofrece para guardar después de que ese registro quedó guardado; si el registro falla, se borra sin salir del dispositivo.

Importar una copia. Importar sólo agrega lo que no tenés: nunca reemplaza ni borra nada. Antes de aplicar nada, AMD te muestra qué va a agregar, qué ya está y qué no va a importar. Un registro que difiere del que ya tenés no se importa y se conserva el tuyo. Si algo falla en el medio, no se cambia nada. Lo importado pasa a tu base clínica y, si usás iCloud, se sincroniza como el resto. El registro de auditoría de la copia se agrega con sus fechas originales, y la importación queda registrada.

• Copia dañada o modificada. Una copia con contraseña que no se puede verificar no se importa. Lo mismo vale si la contraseña no es la correcta.
• Copia sin contraseña. AMD puede detectar si se dañó, pero no si alguien la modificó, así que te lo avisa y te pide confirmar antes de importarla. Importala sólo si sabés de dónde viene.
• Copia de otro perfil. Si la copia la exportó otro perfil profesional, AMD te avisa antes de importar: sus pacientes quedan a tu nombre, con los tipos de turno que usan sus sesiones. Su agenda, sus modelos de informe y sus ajustes no se importan, y las constancias emitidas quedan sólo en la copia. Un paciente o una sesión que en este dispositivo ya pertenece a otro perfil no se importa ni se mezcla con el tuyo.

Para pasar tus datos a otro equipo con la misma cuenta de iCloud no hace falta importar: se sincronizan solos (§5).

Constancia de asistencia

Pensada para entregar a un tercero, así que su nombre de archivo es deliberadamente neutro: no incluye el número de historia clínica. Al emitirla, AMD guarda una copia de lo emitido —nombre y DNI del paciente, fecha de la sesión, tus datos profesionales y tu firma, si la incluiste— para que puedas volver a compartirla tal como salió, desde «Constancias emitidas» en la ficha del paciente. Esa copia se sincroniza con tu iCloud junto con la base clínica y no se puede editar ni borrar desde la app. La emisión y cada vez que compartís una copia quedan registradas en la auditoría, sin el contenido. Si eliminás tu cuenta, la copia se borra (§12).

Constancias de atención y de licencia

Pensadas para entregar a un tercero, por ejemplo un empleador. La constancia de atención certifica que el paciente recibió atención en una fecha; la de licencia, que requiere licencia por una cantidad de días. Las dos llevan el nombre y el DNI del paciente, tus datos profesionales y tu firma, si la incluís.

• La constancia de licencia dice por defecto «por razones de salud», un texto que podés editar para esa constancia. Sólo imprime un diagnóstico, con su código CIE-11, si lo elegís vos para ese documento.
• El nombre del archivo es neutro: no incluye el nombre ni el número de historia clínica del paciente.
• El PDF recibe el mismo tratamiento que el resumen de historia clínica: protección de archivos, exclusión del respaldo de iCloud y vencimiento a las 24 horas. AMD no guarda una copia de su contenido.
• Cada emisión queda registrada en la auditoría con el tipo de documento, si salió firmado y, en la de licencia, si incluyó un diagnóstico; nunca el contenido.

Copia del consentimiento

Podés darle al paciente una copia en PDF de un consentimiento firmado. Lleva el texto, las firmas, quién firmó y en qué carácter, la fecha y hora de tu equipo y una huella abreviada que permite detectar cambios. Dice «Firmado de forma electrónica en pantalla. No es una firma digital (Ley 25.506).». El archivo se genera con protección de archivos y nombre neutro, se excluye del respaldo de iCloud y la salida queda registrada en la auditoría, sin el contenido. Desde que lo compartís, queda fuera del control de AMD.

Consentimiento a distancia

Podés mandarle al paciente o a su representante un enlace para leer un consentimiento y responder desde su teléfono, con su firma en pantalla. El enlace lleva la clave para leer el texto, y la respuesta viaja cifrada: el servidor no ve ni el texto, que puede incluir datos de salud, ni la firma. Con la respuesta no se guarda la IP ni el navegador de quien firma; los registros técnicos del alojamiento sí anotan la IP, el momento y el navegador de quien abre el enlace (§6). El servidor agrega la hora de recepción, firmada. El enlace vence a las 48 horas. Los nombres y el DNI no salen de tu equipo: AMD los agrega al guardar la respuesta. Compartí el enlace sólo con la persona que tiene que firmar. Quien no pueda firmar responde en persona, con testigos.

Recordatorios de turno

Podés enviar un recordatorio por correo, SMS o WhatsApp. AMD prepara el mensaje y lo entrega al canal que elijas después de que lo revisás y tocás enviar.

• Las plantillas de AMD incluyen sólo el nombre de pila del paciente —nunca el apellido—, tu nombre de firma y la logística del turno (fecha, hora, duración, modalidad, dirección o enlace de videollamada). Nunca diagnósticos ni notas clínicas.
• Si escribís el mensaje a mano, lleva exactamente lo que escribas: ahí el contenido es tu decisión.
• Al usar WhatsApp, el teléfono del paciente y el texto del mensaje pasan por una URL de WhatsApp y quedan sujetos a la política de ese servicio. Es la contrapartida inevitable de usar un canal de terceros.
• AMD no guarda el mensaje ni el destinatario: registra el canal, el resultado y una huella criptográfica opaca que sólo sirve para distinguir un envío de otro. Si cambiás el teléfono o el correo del paciente, la autorización previa deja de coincidir y se invalida.
• Exigir una autorización registrada del paciente antes de enviarle recordatorios es optativo y viene apagado. Se configura en cada equipo y no se sincroniza. Con o sin ese requisito, cada envío sale sólo cuando vos lo revisás y lo confirmás.

Compartir un adjunto

La vista previa de documentos usa el visor del sistema, que incluye su propio botón de compartir. AMD registra cada apertura de un documento clínico, pero no puede interceptar ni suprimir esa acción del sistema: si compartís un adjunto desde ahí, sale del dispositivo por el canal que elijas.

Compartir una ficha de la Biblioteca

La Biblioteca reúne fichas psicoeducativas incluidas en la app. Son material de divulgación, sin confidencialidad, y no forman parte de la historia clínica. Cuando preparás una ficha para un paciente, AMD genera en el dispositivo una copia en PDF; si elegís Compartir, esa copia sale por la hoja de compartir del sistema.

• El PDF no lleva ningún dato del paciente. Incluye el material, su autoría y, sólo si los activaste al prepararlo, tus datos profesionales: nombre, profesión, matrícula o correo electrónico. Vienen apagados de fábrica.
• Antes de cada envío —también si volvés a compartir la misma copia— AMD te pide confirmarlo en una pantalla propia que muestra la ficha, el paciente para quien la preparaste y qué datos tuyos van impresos. El nombre del paciente se muestra sólo ahí, dentro de la app; nunca en el archivo.
• El archivo se llama «Documento AMD.pdf», o «AMD Document.pdf» si la ficha está en inglés. Sus metadatos identifican la app y la autoría del material; nunca el título de la ficha ni datos del paciente.
• Sólo se comparte una copia vigente: vence a las 24 horas de prepararla, y no se puede compartir con el dispositivo bloqueado ni si el paciente fue dado de baja.
• La hoja ofrece los destinos del sistema —como Mail, Mensajes, AirDrop, imprimir o «Guardar en Archivos»— y las apps de terceros que tengas instaladas. AMD excluye copiar al portapapeles, asignar a un contacto, agregar a la lista de lectura y guardar en Fotos.
• El destino y el destinatario los elegís en la otra app: AMD no puede ver quién lo recibe y no guarda el destinatario. En el historial del paciente registra la fecha, lo que informó la hoja («Se abrió la hoja de compartir», «Se compartió», «Se canceló», «La app de destino informó un error» o «Sin respuesta de la hoja») y, cuando el sistema lo informa, la categoría del canal. «Se compartió» significa que la app de destino informó que terminó; no que el paciente lo haya recibido o leído.
• Después de compartirlo, el archivo sale del control de AMD y se rige por la política de privacidad del destino.

Contacto directo

Los botones de llamar, escribir por WhatsApp o mandar un correo desde la ficha del paciente abren la app correspondiente con el dato de contacto ya cargado, sin cuerpo de mensaje. A partir de ahí gobierna la app que elegiste.

Invitaciones de alta por enlace

Cuando invitás a un paciente, AMD genera un enlace de un solo uso, válido por 48 horas, y vos lo mandás por el medio que elijas. El enlace no lleva datos del paciente: contiene un código aleatorio y tu clave pública de cifrado.

Al abrir la página, el navegador no le manda al servidor esa parte del enlace. Después, el formulario le presenta el código para que el servidor reconozca la invitación, y el servidor guarda sólo una huella del código. Tu clave pública de cifrado no le llega nunca. Para que veas tus invitaciones desde tus otros equipos, el servidor guarda además una copia cifrada del enlace, que sólo tus claves pueden abrir, y registra tu clave pública de firma, con la que comprueba que los pedidos vienen de tu app y que no sirve para leer nada.

Si mandás el enlace por WhatsApp, correo o SMS, ese canal se rige por sus propios términos, igual que los recordatorios de turno.

El formulario le muestra a tu paciente tu nombre, título, matrícula, correo de contacto y el domicilio, si lo cargaste, para que sepa quién recibe sus datos. Sólo los ve quien tenga el enlace.

10. Seguridad

• Protección de archivos de iOS aplicada a la base clínica, a los adjuntos, al avatar, a los PDF exportados y a las copias de seguridad y planillas mientras AMD las tiene. El nivel efectivo de protección en reposo depende del tipo de dato y de cómo el sistema gestiona cada archivo; en todos los casos los datos quedan cubiertos por el cifrado del dispositivo, que exige tu código de acceso.
• Bloqueo de la app con Face ID, Touch ID u Optic ID, opcional. Con el bloqueo activo, elegís en Ajustes cuándo se vuelve a pedir: inmediatamente al pasar la app a segundo plano (es la opción predeterminada en iPhone y iPad) o después de 5, 10, 15, 30, 45, 60 o 90 minutos fuera de la app. Bloquear el iPhone o el iPad también bloquea AMD, aunque ese plazo no haya terminado. Si la biometría no está disponible, se ofrece el código del dispositivo. Si la preferencia de bloqueo o el plazo elegido no se pueden leer, la app no asume que están apagados: bloquea el acceso y usa el plazo más corto. Excepción: con Siri y Atajos activado, el número de pacientes del día se puede pedir con el dispositivo desbloqueado aunque este bloqueo esté activo (§8). No pasa lo mismo con el acceso con tu cuenta de Apple.
  En el Mac, AMD pide Touch ID o la contraseña del Mac al abrirse, y vuelve a pedirla después del tiempo que elijas sin usar la app (30 minutos de forma predeterminada; de 5 a 90 minutos). La sincronización y las notificaciones no cuentan como uso. También podés elegir «Nunca»: en ese caso AMD no se bloquea por tiempo, y la protección queda a cargo del bloqueo de tu Mac. Aun así, AMD se bloquea siempre que el Mac se duerme, que se bloquea la pantalla o que se cambia de usuario.
• Acceso con tu cuenta de Apple (Iniciar sesión con Apple), opcional, desde Ajustes → Seguridad. Una vez activado, AMD lo pide en cada arranque, antes del bloqueo biométrico, y sólo lo abre la misma cuenta de Apple que lo activó. No es una cuenta de AMD ni hay servidor del desarrollador: AMD no pide tu nombre ni tu correo, y de Apple sólo recibe un identificador opaco, propio de esta app, que guarda en el llavero del dispositivo. Al arrancar y al volver a la app le pregunta a Apple si esa credencial sigue vigente; si Apple responde que no, vuelve a pedir el acceso. Sin conexión, y hasta 7 días después de la última validación con Apple, podés entrar con Face ID, Touch ID o el código del dispositivo. Cerrar sesión no borra datos.
• Escudo del conmutador de apps: al salir de la app se cubre la pantalla para que la miniatura del multitarea no exponga datos clínicos.
• Aislamiento entre perfiles: si en un mismo dispositivo hay más de un perfil profesional, cada uno accede sólo a sus propios pacientes y sesiones. La verificación es estricta: ante cualquier ambigüedad de identidad, la app deniega el acceso en lugar de adivinar. El aislamiento es lógico, no criptográfico: quien tenga tu código de acceso y tu biometría accede al dispositivo.
• Llavero (Keychain): preferencias y registros técnicos —la preferencia de bloqueo y su plazo, la cuenta profesional elegida al arrancar, un marcador técnico de la cuenta sincronizada y, si activás el acceso con Apple, su identificador opaco y la fecha de la última validación—, sin contraseñas ni datos clínicos. Quedan atados a este dispositivo: no sincronizan ni se restauran en otro. Se leen sólo con el dispositivo desbloqueado, salvo el marcador de la cuenta sincronizada, que también se lee después del primer desbloqueo tras reiniciar.
• La excepción son las claves del alta por enlace. Si usás esa función, AMD genera dos claves privadas, una de cifrado y otra de firma, y las guarda en el llavero de iCloud. El llavero las sincroniza entre tus equipos con la misma cuenta de Apple (iPhone, iPad y Mac), para que puedas incorporar los envíos desde cualquiera de ellos. Se leen después del primer desbloqueo tras reiniciar y nunca pasan por el servidor del desarrollador. Lo único que queda atado a cada equipo es su identificador.
• Sin criptografía propia: AMD usa algoritmos estándar del sistema y del navegador, sin inventar ninguno. Emplea SHA-256 para huellas de integridad e identidades derivadas, que es hashing, no cifrado. Dos funciones cifran. El alta por enlace: el navegador de tu paciente cifra el formulario con ECDH P-256, HKDF-SHA256 y AES-256-GCM, y sólo tu clave privada de cifrado puede descifrarlo. El alta usa además una clave privada de firma. Y la copia de seguridad con contraseña: AMD deriva la clave de tu contraseña con PBKDF2-HMAC-SHA256 y cifra la copia con AES-256-GCM. La contraseña y la clave no se guardan en ningún lado (§9).
• El contenedor de la app no se expone en la app Archivos, y los catálogos regenerables se excluyen del respaldo.
• Endurecimiento del proceso activado en la app (protecciones de memoria y de carga de código de iOS).

11. Trazabilidad y auditoría

AMD mantiene un registro de auditoría de las operaciones clínicamente relevantes: creación, modificación, baja, restauración, lectura de datos clínicos, exportación y eliminación definitiva. Existe para sostener la trazabilidad que una historia clínica exige.

• Cada entrada guarda la acción, el tipo de entidad, su identificador, quién la realizó, la fecha y una severidad. Es append-only: no se edita ni se borra.
• El campo de detalle es estructural —qué categorías se tocaron, qué opciones tenía una exportación— y no contiene notas clínicas, nombres ni datos de contacto. Sí puede contener el código diagnóstico CIE-11 de la operación registrada, que es un dato de salud.
• El registro sincroniza junto con el resto de la base clínica a tu zona privada de iCloud.
• Se conserva 15 años y se purga automáticamente por antigüedad. El plazo se fijó por encima del mínimo legal de conservación de la historia clínica, tomando el más exigente de los marcos aplicables.
• La Biblioteca no entra en este registro: sus fichas no forman parte de la historia clínica. Lo que preparaste y compartiste queda en su propio historial (§3), que se elimina por completo al eliminar tu cuenta (§12).
• Cuando incorporás un paciente desde el alta por enlace, el alta de su ficha queda registrada con el origen «alta por enlace». Invitar, revocar o descartar no quedan en el registro, porque no tocan la historia clínica.
• La exportación de una copia de seguridad o de una planilla queda registrada con su tipo de protección y la cantidad de registros, sin el contenido. Al importar una copia, su registro de auditoría se agrega al tuyo tal como estaba, con sus fechas originales, y la importación queda registrada.

12. Retención y eliminación

Como la historia clínica no pasa por servidores del desarrollador, la retención la controlás vos: los datos permanecen en tu dispositivo y en tu iCloud mientras los conserves ahí. Podés exportar la información de cada paciente en PDF, o la de todos en una copia de seguridad, en cualquier momento. Tené presente que la historia clínica tiene un plazo legal de conservación —la Ley 26.529 exige diez años desde la última actuación registrada— y que su custodia es tuya: borrar un registro dentro de la app no te libera de ese plazo. La única excepción son los envíos del alta por enlace. El servidor borra cada envío cuando lo incorporás o lo descartás, o a los 30 días del envío, lo que ocurra primero. Las invitaciones sin completar se borran 30 días después de vencer, y los registros de invitaciones cerradas, a los 7 días. Tu tarjeta se borra al cerrarse la invitación.

Baja de paciente

Dar de baja un paciente lo retira de la operación diaria conservando su historia, que es lo que corresponde a un registro médico-legal. No es un borrado destructivo.

Eliminación de tu cuenta

Desde Ajustes → Cuenta → Eliminar cuenta, con doble confirmación. Al confirmarla:

• Se borran de forma inmediata los datos que te identifican a vos (nombre, apellido, correo, matrícula, avatar y firma) y a tus pacientes (nombre, apellido, DNI, correo, teléfono, domicilio, contacto de emergencia, cobertura médica, foto y genograma).
• Se dan de baja todos tus pacientes y se eliminan tus datos de configuración no clínicos: tipos de sesión, política de precios y tu biblioteca personal de medicamentos.
• Se elimina por completo —sin anonimizar ni retener— todo lo de la Biblioteca: el historial de las fichas que preparaste y de cada vez que las compartiste, y las copias en PDF que quedaban en el dispositivo. No es historia clínica, así que no rige el plazo de conservación. Lo que ya compartiste está fuera del alcance de AMD.
• Se borran las copias de seguridad y las planillas que AMD todavía tuviera a medio preparar en el dispositivo. Las que ya guardaste en Archivos, iCloud Drive u otro lugar no las borra: están fuera del alcance de AMD, y si tienen datos de tus pacientes, siguen bajo tu custodia.
• Se borra el contenido de las copias de las constancias emitidas (datos del paciente, tus datos y tu firma).
• Los consentimientos informados no se borran ni se anonimizan: conservan el texto, los nombres, los DNI y las firmas. Son parte de la historia clínica (Ley 26.529, arts. 16 y 18) y su valor como prueba depende de que sigan íntegros, a diferencia de las copias de las constancias, que se pueden volver a emitir. Quedan en tu iCloud, bajo tu custodia, por el plazo legal de conservación. La pantalla de baja te lo avisa antes de confirmar.
• Se limpian las preferencias del dispositivo: recordatorios pendientes, preferencia de calendario y la preferencia de bloqueo biométrico guardada en el llavero. El acceso con tu cuenta de Apple se desactiva y su identificador se borra del llavero del dispositivo. También se retira el registro que el sistema guarda de las acciones de Siri y Atajos.
• Los envíos y las invitaciones del alta por enlace que queden pendientes no se borran en el momento, porque el servidor no sabe a qué cuenta de AMD pertenecen. Se borran solos en los plazos de §16. En el servidor quedan registradas tu clave pública de firma, identificadores técnicos opacos y la versión y la fecha en que aceptaste el anexo: no contienen datos personales, pero se vinculan entre sí y con tu clave de firma. En cambio, AMD borra de tu llavero de iCloud las claves del alta y tu aceptación del anexo. Tus otros equipos reciben el borrado cuando se sincronizan con iCloud.
• Si enviaste pases «Próximo turno», AMD le pide al servidor que los retire antes de borrar tus claves: pasan a «Pase retirado» en el Wallet de tus pacientes, con una nota al dorso que dice que dejaste de usarlos, dejan de actualizarse y se borran del servidor a los 7 días. Si en ese momento no hay conexión, la baja sigue igual, y el servidor los retira solo cuando tu clave pasa 45 días sin conectarse; se borran 7 días después.
• Se retienen los registros clínicos —sesiones y sus notas, diagnósticos, antropometría, internaciones, tratamientos previos, escalas y pagos— y el registro de auditoría, sin los datos identificatorios de los campos que se listan arriba. Es lo que exige la conservación de la historia clínica. Las notas, los textos libres y los adjuntos se conservan como los escribiste o guardaste, así que pueden contener datos que identifiquen a una persona; siguen bajo tu custodia por el plazo legal de conservación.

13. Tus derechos

Como titular de tus datos personales, la Ley 25.326 te reconoce los derechos de acceso, rectificación, actualización y supresión. Cómo ejercerlos depende de qué datos se trate:

• Tus datos como usuario de AMD. Están en tu dispositivo: podés consultarlos, corregirlos o eliminarlos desde la app, sin intermediarios ni plazos de espera. Si necesitás algo que la app no te permita hacer, escribinos a soporte.amd@jia.ar. Respondemos los pedidos de acceso dentro de 10 días corridos y los de rectificación o supresión dentro de 5 días hábiles, conforme a los artículos 14 y 16 de la Ley 25.326. Tené en cuenta que, como tu historia clínica no está en servidores del desarrollador, el desarrollador no puede acceder a tus registros ni recuperarlos por vos: lo que podemos hacer es orientarte y responder por lo que sí está bajo nuestro control.
• Datos de un paciente. El pedido debe dirigirse al profesional que lleva su historia clínica, que es su responsable del tratamiento. El desarrollador no tiene acceso ni puede intervenir. Si sos ese profesional, AMD te da las herramientas para responder: exportar la historia en PDF, corregir cada campo y dar de baja al paciente. Lo mismo vale para lo que un paciente envió por el alta por enlace: ejerce sus derechos ante su profesional. El desarrollador, como encargado, ayuda al profesional en lo que dependa del servicio, pero no puede leer el contenido de los envíos.

El organismo de control en Argentina es la Agencia de Acceso a la Información Pública (AAIP), ante la cual podés presentar un reclamo si considerás que tus derechos no fueron atendidos.

14. Pacientes menores de edad

AMD es una herramienta profesional: los pacientes no son usuarios de la app. La única forma en que interactúan con AMD es el formulario del alta por enlace, si lo usás.

La app permite registrar pacientes menores de edad y señala esa condición con un indicador en la ficha, para que la tengas presente. En el formulario del alta por enlace, un adolescente desde los 13 años puede completar sus propios datos. Si el paciente tiene menos de esa edad, lo completa un adulto a cargo, que declara su nombre y su vínculo con el paciente. Para el consentimiento informado, AMD propone quién firma según la edad: desde los 13 años, el propio paciente en tratamientos no invasivos (Código Civil y Comercial, art. 26); antes, un representante, con lugar para anotar la opinión del niño o la niña. Si la fecha de nacimiento no está completa, elegís vos. Siempre podés elegir otra opción, por ejemplo la firma del adolescente y del adulto cuando hay riesgo grave. AMD no verifica la representación legal: confirmar quién puede firmar y documentarlo sigue siendo responsabilidad profesional tuya.

La app no está dirigida a menores de edad como usuarios y no se distribuye para ese público.

15. Transferencias internacionales

El desarrollador no transfiere datos a ningún país. El único servicio en el que recibe datos, el alta por enlace, se aloja en Argentina, en centros de datos de DonWeb, que también guarda ahí las copias de seguridad. El servicio no se muda fuera del país sin avisarte con 30 días de anticipación. Si el nuevo destino no tiene un nivel adecuado de protección, el cambio sólo se hace después de firmar con el proveedor las cláusulas modelo de la Disposición 60-E/2016.

Si activás la sincronización, tus datos se almacenan en la infraestructura de iCloud de Apple, que puede estar ubicada fuera de la Argentina. Esa relación es entre vos y Apple, bajo tu cuenta y la política de privacidad de Apple. Si preferís evitarla, podés usar AMD sin sincronización, con los datos únicamente en el dispositivo.

Lo mismo aplica a los canales que elijas para comunicarte con un paciente: correo, SMS o WhatsApp operan bajo sus propios términos e infraestructura.

Lo mismo aplica a los destinos que elijas al compartir una ficha de la Biblioteca.

Lo mismo aplica al clima, si lo activás: la consulta la resuelve Apple en su propia infraestructura, que puede estar ubicada fuera de la Argentina, bajo los términos y la política de privacidad de Apple.

Lo mismo aplica a la verificación de tu cuenta de Apple, si activás ese acceso, y a la descarga del modelo de voz para el dictado: las resuelve Apple en su propia infraestructura.

Lo mismo aplica a Siri, si lo usás: el pedido de voz lo procesa Apple en su propia infraestructura.

Lo mismo aplica a las claves del alta por enlace: el llavero de iCloud las sincroniza en la infraestructura de Apple, bajo tu cuenta.

Lo mismo aplica a los avisos del pase «Próximo turno»: el servidor los manda al dispositivo de tu paciente por el servicio de notificaciones de Apple, que puede estar ubicado fuera de la Argentina. El aviso sólo lleva la dirección de notificaciones del dispositivo, sin datos del turno ni del paciente.

16. Alta de pacientes por enlace

Qué es. Es una función optativa y apagada de fábrica. Desde AMD generás un enlace de un solo uso, válido por 48 horas, y se lo mandás a tu paciente por el medio que prefieras. Tu paciente abre en su navegador un formulario en ingreso.jia.ar y carga sus datos de alta. Vos los revisás y los incorporás como ficha en AMD. Para activar la función tenés que aceptar en la app el anexo de encargo de tratamiento.

Qué datos se reciben. Nombre, apellido y teléfono, que son obligatorios. Si tu paciente quiere, también correo, documento, fecha de nacimiento, obra social o prepaga con número de afiliado y plan, domicilio, género, estado civil, nivel académico, nacionalidad, país de residencia, ocupación y una foto. Si el formulario lo completa otra persona por el paciente, se reciben además su nombre y su vínculo con él. Si es un adulto que completa por el paciente, AMD te propone a esa persona como contacto de emergencia, con el teléfono del formulario; lo confirmás, lo cambiás o lo descartás antes de crear la ficha. No se piden datos clínicos.

Quién es quién. Vos sos responsable de la base de datos de tus pacientes. El desarrollador actúa como encargado de tratamiento por tu cuenta (art. 25, Ley 25.326). DonWeb (Dattatec.com S.R.L.) aloja el servicio y sus copias de seguridad en Argentina, como subencargado.

Cómo se protegen. El navegador de tu paciente cifra los datos antes de enviarlos, con tu clave pública, que viaja dentro del enlace. Sólo tu clave privada de cifrado, guardada en tu llavero de iCloud, puede descifrarlos. El servidor guarda texto cifrado: ni el desarrollador ni DonWeb pueden leer su contenido. El servicio no guarda registros propios de las conexiones, salvo una huella de la IP, sin la IP en claro, que usa para limitar los intentos y que se borra a las 2 horas. El proveedor de alojamiento conserva sus registros técnicos (dirección IP y horario) hasta un mes (§6). El formulario no usa analítica, cookies de terceros ni rastreadores.

Cuánto se guardan. Cada envío se borra del servidor en el primero de estos casos:

• cuando lo incorporás, es decir, cuando la app detecta que iCloud completó una sincronización posterior al alta;
• cuando lo descartás;
• a los 30 días del envío.

Si no usás iCloud, rige el plazo de 30 días. Las invitaciones sin completar se borran 30 días después de vencer, y los registros de invitaciones cerradas, a los 7 días. Lo borrado puede seguir hasta 7 días más en la copia de seguridad semanal del proveedor, que se sobrescribe sola con la siguiente. Los pases de turno de Wallet no se guardan en el servidor: se arman y se borran en el mismo pedido. Los pases «Próximo turno» se guardan mientras se usan y se borran en el primero de estos casos: cuando ya no están en el Wallet de ningún dispositivo de tu paciente, contando desde los 7 días de enviados para darle tiempo a agregarlos; 7 días después de que los retirás; a los 90 días de terminado el último turno, o de quedar sin turno agendado; o 7 días después de que el servidor los retira porque tu clave pasó 45 días sin conectarse (§12). La huella y la dirección de notificaciones de un dispositivo se borran cuando ese dispositivo ya no tiene ningún pase. Lo borrado puede seguir hasta 7 días más en la copia de seguridad semanal del proveedor. Los consentimientos a distancia sin responder se borran 24 horas después de vencer. Los respondidos se borran cuando AMD los descarga o a los 30 días como máximo. En los dos casos pueden seguir hasta 7 días más en la copia de seguridad semanal del proveedor. Una vez incorporados, los datos quedan en tu equipo y en tu iCloud, como el resto de AMD.

Tu tarjeta. Para que tu paciente sepa quién recibe sus datos, tu nombre, título, matrícula, correo de contacto y el domicilio, si lo cargaste, viajan sin cifrar con cada invitación. Se guardan en el servidor hasta que la invitación se cierra. De esos datos, el desarrollador es responsable (§2).

Qué lee tu paciente. Antes de enviar, el formulario le muestra un aviso con tu nombre, título, matrícula, correo de contacto y el domicilio, si lo cargaste. El aviso también dice qué datos son obligatorios, quién más interviene, cuánto se guardan y cuáles son sus derechos. Para enviar, tu paciente tiene que marcar que da su consentimiento expreso.

Tus obligaciones como responsable. Tenés que inscribir la base de datos de tus pacientes en el Registro Nacional de Bases de Datos Personales de la AAIP y atender los pedidos de acceso, rectificación y supresión de tus pacientes. AMD te lo recuerda al activar la función.

Consultas sobre el servicio: soporte.amd@jia.ar.

17. Cambios en esta política

Esta política está versionada y fechada en el encabezado. Cuando la actualicemos, cambiaremos la versión y la fecha de última actualización. Si un cambio afecta de forma sustancial el tratamiento de datos, se comunicará dentro de la app.

La política también está disponible dentro de AMD, en Ajustes → Privacidad. Ante cualquier discrepancia entre ambas, la versión publicada en esta página es la vigente. Las condiciones de uso de la app están en los términos de uso.

Historial de versiones

• 2.12 — 27 de octubre de 2026. Se describió el pase «Próximo turno» de Apple Wallet, que AMD mantiene al día: qué guarda el servidor y por cuánto tiempo (§6 y §16), los avisos por el servicio de notificaciones de Apple (§15) y su retiro con la baja de cuenta (§12).
• 2.11 — 26 de octubre de 2026. En la seguridad del alta por enlace (§16) se sumó la huella de la IP que el servidor usa para limitar intentos, como en el §6.
• 2.10 — 26 de octubre de 2026. Se precisó que el texto del consentimiento a distancia puede incluir datos de salud, cómo se cifra, qué registros técnicos deja quien abre el enlace y cuánto se conserva (§6 y §9), y la huella de la IP que el servidor usa para limitar intentos (§6).
• 2.9 — 26 de octubre de 2026. Se describieron la copia de seguridad y la planilla, con y sin contraseña, su contenido, su cifrado, dónde quedan y la importación (§1, §4, §9, §10, §11 y §12).
• 2.8 — 26 de octubre de 2026. En el alta por enlace (§16), lo borrado puede seguir hasta 7 días más en la copia de seguridad semanal del proveedor. En la baja de cuenta (§12), AMD borra del llavero de iCloud las claves del alta y la aceptación del anexo. Se precisaron en §6 las conexiones al servidor del alta. Se describió el consentimiento informado: sus datos (§3), la copia en PDF (§9), que no se borra con la baja de cuenta (§12) y quién firma según la edad (§14). Se describió el pase de turno de Apple Wallet (§6 y §16) y el consentimiento a distancia (§6, §9 y §16). Se precisó qué se conserva tras la baja de cuenta (§12): las notas, los textos libres y los adjuntos quedan como se escribieron. Se precisaron lo que guarda el servidor del alta y el contacto de emergencia propuesto (§6, §9 y §16), la autorización para recordatorios y el vencimiento de los PDF (§4 y §9) y los datos técnicos de la Biblioteca (§3). Se describió el plazo de bloqueo que se elige en Ajustes, en iPhone, iPad y Mac (§10).
• 2.7 — 16 de octubre de 2026. Se describió el alta optativa de pacientes por enlace, disponible a partir de AMD 1.2 (§16). Para esa función, el desarrollador pasa a ser encargado de tratamiento (§2), con su servidor en Argentina (§6 y §15), su cifrado y sus claves en el llavero de iCloud (§10), sus plazos de borrado (§12) y el formulario para pacientes, incluidos los menores (§14). Se precisaron §1, §3, §5, §9, §11 y §13. Cambiaron los números de «Cambios en esta política» (§17) y «Contacto» (§18).
• 2.6 — 15 de octubre de 2026. Se completaron los hechos publicados por ArgentinaDatos sobre IP completa, metadatos y conservación: access log hasta rotación sin máximo publicado; estadísticas horarias 30 días y diarias 395 días. Se mantienen explícitos los límites de conocimiento sobre intermediarios y Argentina.gob.ar.
• 2.5 — 12 de octubre de 2026. Se describieron las consultas de IPC y feriados desde la versión 48, sus datos y metadatos de conexión y los límites de conservación conocidos (§1 y §6); se acotaron las afirmaciones generales sobre la red y se corrigió la versión del pie.
• 2.4 — 30 de septiembre de 2026. Se describieron las copias de las constancias emitidas (§3, §9 y §12), las constancias de atención y de licencia (§9), Siri y Atajos y la búsqueda en la CIE-11 (§3, §8, §10, §12 y §15), y se precisó el contenido y el recorrido del PDF de historia clínica (§9), y se enlazaron los términos de uso (encabezado y §17).
• 2.3 — 29 de septiembre de 2026. Se agregó la Biblioteca de fichas psicoeducativas: su historial en §3 y §5, las copias temporales en §4, la subsección «Compartir una ficha de la Biblioteca» en §9, su relación con la auditoría en §11 y su eliminación en §12, con las precisiones correspondientes en §1 y §15. Se agregaron el dictado de notas (§6, §7 y §8) y el acceso con tu cuenta de Apple (§1, §6, §10, §12 y §15), se actualizó el llavero (§10) y se corrigió que los archivos de los adjuntos sí sincronizan (§4 y §12).
• 2.2 — 17 de septiembre de 2026. Se agregó la función Clima: el permiso de ubicación en §8, la subsección «Clima y Apple Weather», y las precisiones correspondientes en §1, §3, §6 y §15.
• 2.1 — 4 de septiembre de 2026. Precisiones sobre el alcance del cifrado (§1), el plazo legal de conservación de la historia clínica (§12) y el nombre del PDF exportado (§9).
• 2.0 — 1 de septiembre de 2026. Versión inicial de esta política.

18. Contacto

Para consultas de privacidad o solicitudes sobre tus datos personales —acceso, rectificación, actualización o supresión— escribinos a soporte.amd@jia.ar.

Responsable: Juan Ignacio Antolini — Ciudad Autónoma de Buenos Aires, República Argentina.