Aviso de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos recogidos a través de esta plataforma es [NOMBRE O RAZÓN SOCIAL DEL TITULAR], con NIF [NIF/CIF] y domicilio en [DIRECCIÓN COMPLETA]. Puedes contactar en [EMAIL DE CONTACTO PRIVACIDAD].

Cuando usas esta plataforma como paciente de una clínica, la clínica correspondiente actúa como responsable del tratamiento de tus datos de salud y [NOMBRE O RAZÓN SOCIAL DEL TITULAR] actúa como encargado del tratamiento, conforme al artículo 28 del RGPD.

2. Datos que tratamos y finalidad

• Datos de contacto (nombre, email, teléfono): gestión de citas, comunicaciones sobre tu tratamiento y acceso al portal del paciente.
• Datos de salud (motivo de consulta, notas de pre-anamnesis recogidas por el asistente virtual, planes de ejercicios y registros de dolor): prestación del servicio fisioterapéutico y seguimiento de tu evolución.
• Datos de las cuentas del personal de la clínica (email, rol): acceso al panel de gestión.
• Registros de acceso conservamos un registro de los accesos del personal a las fichas de pacientes con fines de seguridad y auditoría (art. 32 RGPD).

3. Base jurídica

• Ejecución de la relación asistencial (art. 6.1.b RGPD) para la gestión de citas y el seguimiento del tratamiento.
• Consentimiento expreso (art. 6.1.a y 9.2.a RGPD) para el tratamiento de datos de salud recabados a través de la web de reservas, el asistente virtual o Telegram. Puedes retirar el consentimiento en cualquier momento.
• Interés legítimo (art. 6.1.f RGPD) para la seguridad del servicio y el registro de accesos.

4. Conservación de los datos

Los datos de salud se conservan durante el tiempo exigido por la normativa sanitaria aplicable en el país donde opera la clínica (por ejemplo, el plazo mínimo de conservación de la historia clínica según la ley local). Los datos de facturación se conservan durante los plazos fiscales legales. Los registros de acceso se conservan [PLAZO, p. ej. 24 meses].

5. Encargados de tratamiento y destinatarios

• Mistral AI (Francia, UE): procesa los mensajes del asistente virtual para generar respuestas, con acuerdo de tratamiento de datos (DPA) vigente. Los datos no salen del Espacio Económico Europeo.
• Dodo Payments (merchant of record; verificable en dodopayments.com/legal): gestión de los cobros de las suscripciones de las clínicas. Nunca tratamos los datos bancarios de los pacientes.
• Telegram (solo si contactas por ese canal): la conversación queda también sujeta a la política de privacidad de Telegram.
• Proveedor de alojamiento : [PROVEEDOR DE HOSTING Y UBICACIÓN DE LOS SERVIDORES, preferiblemente UE].

No se ceden datos a terceros con fines publicitarios ni se realizan transferencias internacionales fuera de las descritas.

6. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad dirigiéndote a tu clínica o a [EMAIL DE CONTACTO PRIVACIDAD], adjuntando un documento que acredite tu identidad. Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la autoridad de control de protección de datos de tu país (en la UE/EEE, la autoridad nacional de protección de datos).

7. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas: cifrado de las comunicaciones (HTTPS), control de acceso por usuario y rol, registro de accesos a datos de pacientes y copias de seguridad cifradas [DESCRIBIR POLÍTICA DE BACKUPS].