CRM para clínicas y consultorios: agenda, seguimiento y datos personales

Una clínica puede tener una agenda perfectamente organizada y aun así perder oportunidades de seguimiento. Una cita cancelada que nadie retoma, un paciente que no vuelve después de su tratamiento o una llamada que queda registrada únicamente en el teléfono de recepción son ejemplos de información que la agenda por sí sola no resuelve.

Aquí es donde puede entrar un CRM para clínicas: no como sustituto del expediente clínico ni como herramienta para tomar decisiones médicas, sino como una capa para organizar relaciones, comunicaciones y procesos administrativos.

El punto delicado es que una clínica trabaja con información especialmente sensible. Por eso, antes de automatizar mensajes o segmentar pacientes, hay que distinguir entre lo que ayuda a operar mejor y lo que puede convertirse en un uso indebido de datos personales.

¿Qué resuelve un CRM en una clínica que la agenda no resuelve?

Un CRM resuelve lo que pasa antes y después de la cita: de dónde llegó el paciente, qué se le comunicó, qué cita canceló y quién debe darle seguimiento.

La agenda administra espacios de tiempo; el CRM administra la relación. No sustituye al expediente clínico ni guarda información médica: solo lo que el proceso administrativo necesita.

Por ejemplo, recepción puede saber que alguien solicitó información, recibió una propuesta de servicio, agendó una cita y posteriormente la canceló. Esa secuencia permite crear una tarea de seguimiento sin depender de que alguien recuerde manualmente lo ocurrido.

Eso no significa que toda la información del paciente deba guardarse ahí. Una buena implementación empieza definiendo qué datos necesita el proceso administrativo y cuáles deben quedarse en el sistema clínico. Esa frontera no es solo una buena práctica: también es legal, y la explicamos en la siguiente sección.

¿Qué puede aportar el CRM en cada proceso?

Aunque el CRM solo guarde datos administrativos, en una clínica esos datos pueden ser sensibles. Saber que una persona tiene cita en una clínica de fertilidad o de salud mental ya dice algo sobre su estado de salud.

Por eso la regla no es «el CRM no tiene datos sensibles», sino «el CRM tiene los mínimos, con una finalidad clara y protegidos».

¿Cómo se maneja el seguimiento sin invadir al paciente?

El seguimiento no invade cuando responde a algo que el paciente ya inició, usa solo los datos necesarios para continuarlo y respeta las finalidades que aceptó en el aviso de privacidad.

Dar el teléfono para agendar una consulta no autoriza a usarlo para publicidad, y como la automatización repite cualquier error, cada mensaje debe probarse antes de activarse.

Un CRM puede ayudar a recordar una cita o una tarea administrativa, pero no debería convertir cada interacción en una oportunidad para enviar comunicaciones clínicas o publicitarias no autorizadas.

Un mensaje manual equivocado le llega a una persona y alguien lo nota; un workflow mal configurado le llega a cientos antes de que alguien lo revise. En una clínica, esos errores suelen ser de tres tipos:

• Error de filtro: una lista mal construida envía las indicaciones de preparación para un estudio a pacientes que no lo tienen agendado.
• Error de contenido: la plantilla incluye la especialidad («tu consulta de psiquiatría») y llega a un teléfono que comparte la familia.
• Error de estado: una cita cancelada sigue recibiendo recordatorios porque la agenda y el CRM no se sincronizaron.

Por eso cada automatización debe probarse con registros de prueba antes de activarse, usar plantillas revisadas por la clínica y tener a una persona responsable de vigilarla. Además, también importa qué datos existen en el CRM: un dato que no está ahí no puede filtrarse por error.

Por ejemplo, un mensaje como "Te recordamos tu cita de mañana" tiene una finalidad administrativa clara. En cambio, un mensaje que menciona un diagnóstico, tratamiento o condición de salud requiere mucho mayor cuidado porque está utilizando información sensible.

La clínica debería definir qué información puede aparecer en cada canal y qué comunicaciones requieren consentimiento específico.

También es recomendable separar los datos necesarios para prestar el servicio de aquellos utilizados para comunicación comercial.

El hecho de que una persona haya proporcionado su teléfono para agendar una consulta no significa automáticamente que ese dato pueda utilizarse para cualquier finalidad de marketing.

La LFPDPPP establece que el tratamiento debe sujetarse a las finalidades informadas y que, cuando se pretenda utilizar la información para una finalidad distinta incompatible o no análoga, pueden existir obligaciones adicionales de consentimiento.

¿Qué normas aplican a un CRM para clínicas en México?

En México aplican dos marcos distintos. Las NOM-004 y NOM-024 regulan el expediente clínico, no el CRM, y marcan el límite de lo que el CRM no debe guardar.

La nueva LFPDPPP sí aplica al CRM: los datos de salud son sensibles, requieren consentimiento expreso y por escrito, y la clínica responde aunque el proveedor esté fuera del país.

Las NOM del expediente clínico: dónde termina el CRM

El CRM no tiene que cumplir la NOM-004-SSA3-2012 ni la NOM-024-SSA3-2012, porque no es el expediente clínico.

La NOM-004 define el contenido mínimo del expediente en cualquier establecimiento de atención médica, y la NOM-024 fija los requisitos de interoperabilidad, seguridad e integridad de los sistemas de expediente clínico electrónico.

Ambas las vigila la autoridad sanitaria, no la autoridad de datos personales.

Justo por eso funcionan como límite. Si la clínica empieza a guardar en el CRM notas de consulta, diagnósticos o resultados, el CRM se convierte en parte del expediente y queda sujeto a esas normas, que un CRM comercial no está diseñado para cumplir.

La regla práctica es sencilla: lo clínico vive en el expediente; el CRM guarda lo necesario para la relación administrativa.

La LFPDPPP: los datos de salud son datos sensibles

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) fue sustituida por completo el 20 de marzo de 2025.

Hoy la autoridad que vigila su cumplimiento es la Secretaría Anticorrupción y Buen Gobierno, a través del órgano "Transparencia para el Pueblo".

El artículo 2, fracción VI de la ley vigente define como datos personales sensibles aquellos que afecten la esfera más íntima de la persona o cuya utilización indebida pueda dar origen a discriminación o un riesgo grave — mencionando expresamente el estado de salud presente o futuro.

Para tratarlos, el artículo 8 exige el consentimiento expreso y por escrito del titular, mediante firma autógrafa, firma electrónica o un mecanismo de autenticación equivalente, y prohíbe crear bases de datos con información sensible sin una finalidad legítima, concreta y justificada.

Hay un matiz importante que conviene tener presente: el artículo 9, fracción VI exime de este consentimiento cuando el dato es indispensable para la atención médica, prevención, diagnóstico o gestión de servicios sanitarios — pero únicamente mientras el titular no esté en condiciones de otorgar el consentimiento, y solo si quien trata el dato está sujeto a secreto profesional.

Esta excepción cubre al médico en el consultorio, no cubre la recepción cargando esa misma información al CRM para fines administrativos o de marketing — y esa es exactamente la línea que separa el uso clínico del uso administrativo del dato.

El artículo 12 agrega una obligación que suele pasarse por alto: para datos sensibles, el responsable debe hacer esfuerzos razonables para limitar el periodo de tratamiento al mínimo indispensable — es decir, no solo importa qué se guarda, también cuánto tiempo se conserva.

El artículo 20 obliga a que toda persona que participe en el tratamiento de estos datos guarde confidencialidad, incluso después de dejar de trabajar en la clínica.

¿Qué pasa si el CRM guarda los datos fuera de México?

La mayoría de los CRM comerciales guardan la información fuera del país. HubSpot, por ejemplo, tiene centros de datos en Estados Unidos, la Unión Europea, Canadá y Australia, no en México. Eso no está prohibido, pero tiene tres consecuencias que la clínica debe tener claras.

La clínica sigue siendo la responsable. Aunque los datos estén en servidores de otro país, frente al paciente y frente a la autoridad responde la clínica, no el proveedor.

El proveedor debe quedar obligado por contrato. El proveedor del CRM normalmente trata los datos por cuenta de la clínica; la ley lo llama persona encargada.

El contrato debe obligarlo a usar los datos solo según las instrucciones de la clínica y con las mismas condiciones de confidencialidad y seguridad. En HubSpot, ese contrato es su acuerdo de tratamiento de datos (DPA).

Si los datos se comparten con un tercero, es una transferencia. Cuando los datos van a alguien que los usará para sus propios fines —una aseguradora, un laboratorio externo, una plataforma de publicidad—, el artículo 35 de la ley exige comunicarle el aviso de privacidad y las finalidades, que el aviso incluya una cláusula en la que el paciente acepte o no esa transferencia, y el receptor asume las mismas obligaciones que la clínica.

Aunque la ley no obliga a nombrar al proveedor del CRM en el aviso, recomendamos informar que los datos se alojan con proveedores tecnológicos que pueden estar fuera de México. Es la forma más transparente de hacerlo y evita sorpresas si un paciente lo pregunta.

¿Qué multas contempla la ley?

Las consecuencias de no cumplir no son simbólicas: el artículo 59 fija multas de 100 a 160,000 UMA para la mayoría de las infracciones, y de 200 a 320,000 UMA para las más graves —incluyendo crear bases de datos sensibles sin justificación—, con la posibilidad de duplicar el monto cuando la infracción involucra datos sensibles.

También está en ese rango más alto cambiar sustancialmente la finalidad para la que se recabaron los datos (artículo 58, fracción IX), que es justo lo que ocurre cuando un teléfono dado para agendar una consulta se usa para publicidad sin autorización.

Al valor vigente de la UMA en 2026 —117.31 pesos diarios—, ese techo superior pasa de 37 millones de pesos, y puede llegar a más de 75 millones si se duplica por tratarse de datos sensibles.

¿Qué se puede automatizar y qué no debe automatizarse nunca?

Se pueden automatizar tareas administrativas con un disparador preciso: el recordatorio 24 horas antes de la cita, la tarea de seguimiento a las 2 horas de una cancelación sin nueva cita y la reactivación a los 12 meses sin consulta.

Nunca deben automatizarse diagnósticos, recomendaciones de tratamiento ni segmentaciones publicitarias basadas en padecimientos.

Estos son los tres automatismos que más recomendamos. Los plazos son un punto de partida; cada clínica debe ajustarlos a su operación:

• Recordatorio de cita. Disparador: 24 horas antes de una cita agendada; si la consulta requiere preparación (ayuno o suspender un medicamento), otro a 72 horas con las indicaciones que el médico aprobó como plantilla. Acción: mensaje con fecha, hora, dirección y cómo reagendar, que pide al paciente responder para confirmar. Su respuesta se registra en el CRM; sin respuesta, la cita no cuenta como confirmada.
• Seguimiento de una cancelación. Disparador: cita cancelada y, 2 horas después, ninguna nueva cita registrada. Las 2 horas dan margen para que el paciente reagende por su cuenta sin perder el mismo día. Acción: tarea para que recepción llame y ofrezca un nuevo horario.
• Reactivación de pacientes inactivos. Disparador: 12 meses sin cita en consulta general. El plazo sale del intervalo de revisión que recomienda la propia clínica, así que en otras especialidades será distinto. Condición: que el paciente haya autorizado comunicaciones comerciales. Acción: tarea para recepción o mensaje general que invita a agendar, sin mencionar padecimientos ni presentarse como recomendación médica.

La automatización debe detenerse donde empieza una decisión clínica.

Un workflow no debería determinar que una persona necesita determinado tratamiento, interpretar síntomas, recomendar procedimientos ni enviar mensajes basados en un diagnóstico sin la intervención y validación que corresponda.

Tampoco debería utilizarse una propiedad como "tipo de padecimiento" para alimentar automáticamente audiencias de publicidad.

¿Cómo se mide la recuperación de pacientes inactivos?

La recuperación se mide con dos tasas: pacientes que vuelven a agendar sobre los contactados y sobre todos los inactivos identificados.

Por ejemplo, si una clínica dental identifica 400 pacientes con 12 meses sin cita, contacta a 250 y 28 reagendan, recupera 11.2% de los contactados y 7% de la base. Con esa cifra compara canales.

La métrica debe evaluar el proceso de recuperación, no inferir necesidades clínicas ni utilizar diagnósticos como criterio de segmentación.

La medición puede comenzar con: Pacientes inactivos identificados → contactos de seguimiento → respuestas → nuevas citas → pacientes recuperados.

Un ejemplo con números: una clínica dental define inactivo a los 12 meses sin cita, que es el intervalo de su propia recomendación de limpieza, y encuentra 400 pacientes en esa condición.

Recepción contacta a 250, responden 60 (24%) y 28 vuelven a agendar. La tasa de recuperación sobre contactados es 11.2%, y sobre la base identificada, 7%. Con ese piso ya se puede comparar: si el trimestre siguiente el contacto telefónico da 15% y el correo 6%, la clínica sabe dónde poner las horas de recepción.

Pero hay que tener cuidado con la interpretación. Que una persona no haya vuelto a agendar no significa necesariamente que haya abandonado el tratamiento, que esté satisfecha o que tenga una determinada necesidad médica.

El CRM registra comportamiento administrativo; no debería utilizarse para inventar conclusiones clínicas.

También conviene medir el tiempo que transcurre entre una cancelación y el seguimiento, cuántos casos quedan sin atender y qué porcentaje termina con una nueva cita. Estas métricas ayudan a mejorar la operación sin necesitar demasiada información clínica.

¿Cómo implementar un CRM para clínicas sin convertirlo en otro expediente?

Para no convertir el CRM en otro expediente, define antes de configurarlo qué datos necesita cada proceso, quién puede verlos y para qué finalidad se usan.

Lo clínico se queda en el expediente; el CRM guarda lo administrativo. Si hace falta algún campo sensible, protégelo con permisos por campo y cifrado, que en HubSpot requieren una suscripción Enterprise.

El CRM puede funcionar como punto de coordinación entre estas actividades sin convertirse necesariamente en el repositorio de toda la información clínica.

Esta separación también facilita establecer permisos. No todas las personas que trabajan en recepción necesitan acceder a la misma información que un profesional de salud, y no todos los usuarios administrativos deberían poder consultar datos sensibles.

Cada CRM resuelve esta separación de forma distinta. En HubSpot, la plataforma con la que trabajamos, por ejemplo, se resuelve así:

• Al crear una propiedad (Configuración > Propiedades > Crear propiedad), existe una pestaña llamada "Sensitive Data" que permite marcar un campo como dato sensible o altamente sensible. Un requisito que conviene decir antes de prometerlo: esta función solo existe en suscripciones Enterprise —Marketing, Sales, Service, Content, Data Hub o Smart CRM Enterprise— y, una vez que marcas la propiedad, ese ajuste ya no se puede cambiar.

Con eso activado, un Super Admin puede restringir quién ve o edita esa propiedad específica por usuario o por equipo — así que el personal de recepción puede tener acceso completo a citas, contactos y seguimiento administrativo, sin poder ver jamás un campo marcado como sensible que solo el personal médico autorizado puede consultar.

Los valores quedan además protegidos con cifrado en la capa de aplicación, y el acceso a los valores sin cifrar está restringido a las aplicaciones de HubSpot designadas y a las apps privadas que la propia clínica autorice.

Dos detalles más antes de activarlo: una vez encendida la función de datos sensibles en la cuenta, no se puede apagar, y las propiedades sensibles no pueden usarse como tokens de personalización en correos ni en chatbots, lo que evita que un dato de salud termine por error en un mensaje.

Si la clínica no tiene Enterprise, la alternativa correcta no es guardar el dato sin protección: es dejarlo fuera del CRM y consultarlo en el sistema clínico.

¿Por dónde empezar con un CRM en tu clínica?

Empieza por cinco decisiones: qué datos necesita cada proceso, qué finalidades cubre tu aviso de privacidad, dónde guarda los datos tu proveedor y qué dice su contrato, qué disparadores tendrán tus automatizaciones y cómo medirás la recuperación.

Con esas respuestas por escrito, configurar el CRM deja de ser una discusión y se vuelve una tarea concreta.

Si tu clínica en México necesita ordenar sus procesos comerciales y administrativos, Media Source by Cebra puede ayudarte a implementar HubSpot CRM sobre un proceso definido, con propiedades, automatizaciones y vistas adaptadas a la operación. La implementación debe partir de qué necesita realmente el equipo y qué información es apropiado manejar dentro del CRM.

En un entorno donde los datos personales requieren especial cuidado, un buen CRM no es el que guarda más información. Es el que hace útil la información necesaria sin perder de vista la privacidad de las personas.

Preguntas frecuentes

¿Qué es un CRM para clínicas?

Es una herramienta para organizar la relación y los procesos administrativos con pacientes, como solicitudes de información, seguimiento, citas, comunicaciones y recuperación de actividad. No necesariamente sustituye un expediente clínico ni un sistema especializado de gestión médica.

¿Los datos de salud son datos personales sensibles en México?

Sí. La LFPDPPP considera sensibles los datos personales que puedan revelar el estado de salud presente o futuro. Su tratamiento está sujeto a requisitos específicos, incluido el consentimiento expreso y por escrito como regla general, con las excepciones previstas por la ley.

¿Se pueden guardar datos de pacientes en un CRM?

Depende del tipo de dato, la finalidad, la configuración y las obligaciones aplicables. La clínica debe determinar qué información es necesaria para cada proceso y evitar incorporar datos sensibles simplemente porque el sistema permite almacenarlos.

¿Puedo utilizar datos de salud para segmentar publicidad?

No deben tratarse como una variable ordinaria de segmentación publicitaria. El uso de datos sensibles para una finalidad distinta de la informada requiere analizar específicamente la base legal, el consentimiento y las demás obligaciones aplicables. En la práctica, una clínica debe evitar enviar información clínica a plataformas publicitarias sin una revisión jurídica específica.

¿Qué automatizaciones puede utilizar una clínica?

Entre las aplicaciones administrativas están los recordatorios de citas, tareas de seguimiento después de una cancelación y procesos de recuperación de pacientes inactivos. Cada automatización debe tener una finalidad definida y utilizar únicamente la información necesaria.

¿Un CRM puede tomar decisiones médicas automáticamente?

No debería utilizarse para sustituir el criterio profesional en diagnósticos, tratamientos o recomendaciones clínicas. Un CRM puede automatizar tareas administrativas, pero las decisiones médicas corresponden a los profesionales y sistemas especializados que participan en la atención.

¿Cómo medir la recuperación de pacientes inactivos?

Con dos tasas: pacientes que vuelven a agendar sobre los contactados y sobre todos los inactivos identificados. En el ejemplo de este artículo, una clínica dental identifica 400 pacientes con 12 meses sin cita, contacta a 250 y 28 reagendan: 11.2% de los contactados y 7% de la base. La métrica debe centrarse en el comportamiento administrativo y no utilizar diagnósticos o condiciones de salud como variables de marketing.