Legal
Política de Privacidad
Última actualización: [FALTA: fecha de última actualización]
1. Responsable del tratamiento
| Denominación | [FALTA: nombre legal de la empresa] |
| NIF / CIF | [FALTA: NIF / CIF] |
| Domicilio | [FALTA: domicilio fiscal] |
| Contacto | [FALTA: email de privacidad] |
| DPO / Delegado | [PENDIENTE: nombre o indicar "no designado" si no es obligatorio — revisar con abogado] |
2. Datos personales tratados
En función del rol del usuario, tratamos las siguientes categorías de datos:
Nutricionistas (usuarios de la plataforma)
- Datos identificativos: nombre completo, dirección de correo electrónico, contraseña cifrada.
- Datos de la clínica: nombre comercial, logotipo (si se facilita).
- Datos de facturación: [PENDIENTE: detallar según pasarela de pago — revisar con abogado].
- Datos de uso: registros de actividad (audit log) necesarios para la seguridad e integridad del servicio.
Pacientes (cuyos datos introduce el nutricionista)
Los pacientes son terceros cuyos datos facilita el nutricionista en calidad de responsable de su propia actividad profesional. Los datos pueden incluir:
- Datos identificativos: nombre, email, teléfono.
- Datos especiales de salud (categoría especial — Art. 9 RGPD): peso, talla, patologías, alergias, restricciones dietéticas, historial de dietas, nivel de actividad física, hábitos de vida.
- Planes de nutrición y menús generados por IA y validados por el nutricionista.
La clínica es la responsable del tratamiento de los datos de sus pacientes. Aviva es su encargada (art. 28 RGPD): trata esos datos solo para prestar el servicio y siguiendo sus instrucciones, y no los usa para fines propios. El contrato de encargado está publicado en la página del contrato de encargado. AVIVA es responsable del tratamiento de los datos de sus propios clientes (los nutricionistas y el personal de la clínica) y de los visitantes de la web; a los pacientes se les informa en nombre de la clínica.
3. Finalidad del tratamiento y base jurídica
| Finalidad | Base jurídica |
|---|---|
| Prestación del servicio de gestión nutricional (creación de cuenta, acceso, gestión de pacientes) | Art. 6.1.b RGPD — ejecución de un contrato |
| Tratamiento de datos especiales de salud de pacientes con fines de asistencia nutricional | Art. 9.2.h RGPD — asistencia sanitaria, en relación con el art. 9.3 RGPD y el art. 9.2 LOPDGDD; licitud general del art. 6.1.b y 6.1.c RGPD. No se pide consentimiento: se informa al paciente y se registra que recibió la información. |
| Generación de menús con IA (los datos del paciente se envían a OpenRouter, que los enruta al modelo de IA que ejecuta la generación) | Art. 9.2.h RGPD: la IA es una herramienta del profesional dentro del mismo tratamiento. Solo se envía lo minimizado y sin retención, con el interruptor de IA de la clínica y la exclusión por paciente; el resultado queda como borrador hasta que el nutricionista lo valida. |
| Facturación y gestión de pagos | Art. 6.1.b + Art. 6.1.c RGPD — obligación legal [PENDIENTE] |
| Seguridad e integridad del sistema (audit log) | Art. 6.1.f RGPD — interés legítimo |
| Comunicaciones de servicio (confirmaciones, recordatorios de cita) | Art. 6.1.b RGPD — ejecución de un contrato |
4. Encargados del tratamiento (subprocesadores)
Para prestar el servicio, compartimos datos con los siguientes proveedores bajo contratos de encargado del tratamiento. Los marcados como opcional solo intervienen si esa función está activada:
| Proveedor | Función | Transferencia internacional |
|---|---|---|
| Supabase (Supabase Inc.) | Base de datos PostgreSQL, autenticación y almacenamiento de ficheros. En el almacenamiento residen los documentos clínicos, las analíticas de laboratorio, las fotos de progreso, los avatares de los pacientes y los informes clínicos en PDF, es decir, datos de salud. | UE — base de datos y almacenamiento en Irlanda (eu-west-1). [PENDIENTE: verificar las garantías aplicables al acceso desde la sociedad matriz en EE. UU.] |
| OpenRouter (OpenRouter, Inc.) | Pasarela de IA con la que se contrata el servicio: recibe la petición de generación de menús y la enruta al modelo que la ejecuta —Claude, de Anthropic (Anthropic PBC), para los menús y para el asistente conversacional— que actúa como subencargado ulterior. | EE.UU. — [PENDIENTE: revisar DPA con OpenRouter, su política de retención de prompts y la base de transferencia] |
| Vercel Inc. | Alojamiento y despliegue de la aplicación | EE.UU. — [PENDIENTE: verificar Data Processing Agreement de Vercel] |
| Stripe Inc. | Procesamiento de pagos [pendiente de activar] | EE.UU. — [PENDIENTE] |
| Resend (Resend, Inc.) | Envío del correo transaccional: confirmación, recordatorio y cancelación de cita, invitación a la clínica, entrega del menú al paciente, envío de la factura y avisos de fin del período de prueba. Recibe el nombre y la dirección de correo del destinatario, la fecha de la cita y, en el caso de las facturas, el PDF adjunto. | EE.UU. — [PENDIENTE: verificar Data Processing Agreement de Resend y base de transferencia] |
| Sentry (Functional Software, Inc.) | Monitorización de errores de la aplicación. El envío de datos personales está desactivado y los eventos se depuran antes de salir: se eliminan correo, usuario y dirección IP, y se redactan los campos de teléfono, tokens e identificadores fiscales. El evento conserva el identificador interno de usuario y la traza técnica del error. | EE.UU. — [PENDIENTE: verificar Data Processing Agreement de Sentry y base de transferencia] |
| Canny (Canny Inc.) | Tablero de sugerencias embebido en el área del nutricionista. El inicio de sesión único le transmite el nombre, el correo y el identificador del nutricionista. No recibe datos de pacientes. | EE.UU. — [PENDIENTE: verificar Data Processing Agreement de Canny y base de transferencia] |
| Upstash (Upstash, Inc.) — opcional | Contadores de límite de peticiones para frenar los intentos de fuerza bruta y el abuso de los formularios públicos. La clave del contador incluye la dirección IP de quien hace la petición; no recibe contenido de la cuenta ni datos clínicos. | [PENDIENTE: confirmar la región de la base de datos y, si está fuera de la UE, la base de transferencia] |
| LookinBody / InBody (InBody Co., Ltd.) — opcional | Integración de bioimpedancia que cada clínica activa con sus propias credenciales de LookinBody. Para recuperar las mediciones, la plataforma envía a la API de LookinBody el identificador del paciente en ese sistema —su número de teléfono en formato internacional— y recibe de vuelta la composición corporal. | Según la región que configure la clínica: Unión Europea por defecto, también EE.UU., Reino Unido o Asia — [PENDIENTE: revisar con abogado quién firma el acuerdo con InBody, la clínica o la plataforma, y la base de transferencia si la región no es la UE] |
5. Plazo de conservación
La historia clínica de cada paciente (ficha, mediciones, analíticas, documentos, fotos, informes, menús, notas y mensajes) se conserva 5 años desde la última actividad asistencial, conforme al art. 17.1 de la Ley 41/2002. La clínica puede fijar un plazo mayor (hasta 30 años) cuando su comunidad autónoma lo exija. Dentro del plazo, los datos no se borran ni se anonimizan: si el paciente pide la supresión, la clínica los bloquea hasta que venza el plazo.
- Datos de cuenta, clínica y facturación de la suscripción: 6 años tras la baja, según el art. 30 del Código de Comercio.
- Facturas y registros Verifactu: 6 años desde el 1 de enero siguiente a la fecha de la factura (art. 30 del Código de Comercio). La anonimización no las toca.
- Trazas de auditoría de acceso a datos de pacientes: 5 años, igual que la historia clínica.
6. Derechos del interesado
Puedes ejercer en cualquier momento los siguientes derechos:
- Acceso — obtener confirmación de si tratamos tus datos y copia de los mismos.
- Rectificación — corregir datos inexactos o incompletos.
- Supresión («derecho al olvido») — solicitar la eliminación cuando los datos ya no sean necesarios.
- Limitación del tratamiento — solicitar que suspendamos temporalmente el tratamiento.
- Portabilidad — recibir tus datos en formato estructurado y de uso común.
- Oposición — oponerte al tratamiento basado en interés legítimo.
- Retirada del consentimiento — en cualquier momento, sin efecto retroactivo.
Para ejercer estos derechos, envía un correo a [FALTA: email de privacidad] indicando el derecho que deseas ejercer y adjuntando copia de tu documento de identidad.
Si consideras que el tratamiento vulnera la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.
7. Medidas de seguridad
Aplicamos medidas técnicas y organizativas adecuadas al nivel de riesgo: cifrado en tránsito (TLS), cifrado en reposo de datos sensibles, control de acceso por roles, registros de auditoría y revisiones periódicas de seguridad. [PENDIENTE: completar con el inventario técnico real antes del lanzamiento.]
8. Modificaciones de esta política
Podemos actualizar esta política. Te notificaremos los cambios materiales por email o mediante aviso destacado en la aplicación con al menos 15 días de antelación. [PENDIENTE: revisar plazo con abogado.]