Política de privacidad
Última actualización: [[FECHA]]
1. Responsable del tratamiento
- Responsable: [[RAZÓN SOCIAL O NOMBRE Y APELLIDOS]]
- NIF/CIF: [[NIF]]
- Domicilio: [[DIRECCIÓN COMPLETA]]
- Contacto en materia de protección de datos: consultas@orientiahealth.com
- Delegado de Protección de Datos: [[NO DESIGNADO / DATOS DEL DPD]]
2. Qué datos tratamos
- Datos identificativos y de contacto: nombre y apellidos, correo electrónico.
- Datos de salud (categoría especial, art. 9 RGPD): informes médicos, anatomía patológica, pruebas de imagen, analíticas, tratamientos recibidos y demás documentación clínica que el usuario aporte voluntariamente, así como el informe elaborado por el especialista.
- Datos de transacción: importe, fecha y referencia del pago. Los datos de la tarjeta no se almacenan en nuestros sistemas: los trata directamente Stripe.
- Datos técnicos: registros de acceso y trazabilidad de las acciones realizadas sobre el expediente (auditoría).
3. Finalidad y base jurídica
| Finalidad | Base jurídica |
|---|---|
| Prestar el servicio contratado: análisis del caso, elaboración del informe y videollamada | Ejecución del contrato (art. 6.1.b RGPD) y consentimiento explícito del interesado para el tratamiento de datos de salud (art. 9.2.a RGPD) |
| Gestión del cobro y obligaciones fiscales y contables | Obligación legal (art. 6.1.c RGPD) |
| Atención de consultas por correo electrónico | Ejecución del contrato / interés legítimo (arts. 6.1.b y 6.1.f RGPD) |
| Trazabilidad y seguridad del expediente (registro de auditoría) | Interés legítimo y cumplimiento de las medidas de seguridad del art. 32 RGPD |
El usuario puede retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a su retirada.
4. Decisiones automatizadas e inteligencia artificial
Se emplean herramientas de inteligencia artificial como apoyo al análisis documental y a la revisión de guías clínicas. No se adoptan decisiones automatizadas ni se elaboran perfiles en el sentido del artículo 22 del RGPD: todo informe es revisado, validado y firmado por un médico especialista antes de su entrega. La documentación clínica se procesa de forma seudonimizada, sin datos identificativos directos del paciente.
5. Plazo de conservación
Los datos clínicos y el informe se conservan durante 5 años desde la entrega del informe, conforme al artículo 17 de la Ley 41/2002. Transcurrido ese plazo se suprimen la documentación clínica y el contenido del informe, conservándose únicamente los datos mínimos de facturación y trazabilidad durante los plazos fiscales y mercantiles aplicables.
Dentro de ese periodo se aplican además los siguientes plazos, de forma automática:
| Dato | Conservación |
|---|---|
| Ficheros originales subidos por el paciente (PDF, imágenes) | Se destruyen 30 días después de la entrega del informe. Se conserva únicamente el texto clínico extraído de ellos |
| Documentación aportada en un ciclo de seguimiento mensual | Se destruye 30 días después del cierre del ciclo |
| Vídeo personalizado del oncólogo | Permanece descargable 90 días desde la entrega; después se elimina |
| Texto clínico e informe | 5 años desde la entrega |
Estas eliminaciones se ejecutan automáticamente y quedan registradas en el log de auditoría del expediente.
6. Destinatarios y encargados del tratamiento
No se ceden datos a terceros salvo obligación legal. Para prestar el servicio intervienen los siguientes proveedores, con los que existe el correspondiente contrato de encargo de tratamiento (art. 28 RGPD):
| Proveedor | Servicio | Ubicación de los datos |
|---|---|---|
| Supabase | Base de datos y almacenamiento cifrado de la documentación | Unión Europea |
| Vercel Inc. | Alojamiento de la aplicación web | Unión Europea / EE. UU. con garantías adecuadas |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos | Unión Europea |
| [[PROVEEDOR DE EMAIL — Resend]] | Envío de correos transaccionales | [[UE / EE. UU. con garantías adecuadas]] |
| [[PROVEEDOR DE IA — Anthropic]] | Apoyo al análisis documental (datos seudonimizados, sin uso para entrenamiento) | [[EE. UU. con cláusulas contractuales tipo]] |
| [[PROVEEDOR DE VIDEOLLAMADA / Cal.com]] | Reserva y realización de la videollamada | [[UBICACIÓN]] |
En las transferencias internacionales que resulten necesarias se aplican las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otras garantías adecuadas previstas en el Capítulo V del RGPD.
7. Medidas de seguridad
La documentación clínica se almacena cifrada y en repositorios privados, con acceso restringido al médico responsable del caso. Los datos identificativos del paciente se guardan separados y cifrados respecto de la información clínica. Todos los accesos y acciones sobre el expediente quedan registrados en un log de auditoría.
8. Derechos del usuario
El usuario puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar su consentimiento, escribiendo a consultas@orientiahealth.com, indicando el derecho que ejerce y adjuntando copia de un documento identificativo.
Si considera que sus derechos no han sido debidamente atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
9. Carácter obligatorio de los datos
Los datos solicitados son necesarios para prestar el servicio. Si el usuario no los facilita, no será posible elaborar el informe ni realizar la videollamada.