Contenido
1. Nuestro compromiso
El titular de la Plataforma, identificado en la política de privacidad, es una empresa establecida en España que trata los datos personales de sus usuarios conforme al Reglamento (UE) 2016/679 («RGPD») y a la Ley Orgánica 3/2018 («LOPDGDD»). Esta página resume, en un formato accesible, cómo se materializa ese cumplimiento y cómo puede usted ejercer sus derechos.
Al operar en el ámbito de la salud, asumimos un estándar de diligencia reforzado: la información relativa a la salud es una categoría especial de datos (artículo 9 RGPD) y su tratamiento en la Plataforma se limita a lo que el propio usuario decide aportar, sobre la base de su consentimiento explícito.
2. Principios que aplicamos
- Licitud, lealtad y transparencia: cada tratamiento tiene una base jurídica identificada y documentada en la política de privacidad.
- Limitación de la finalidad: los datos se usan únicamente para los fines informados; no se venden ni se ceden con fines comerciales.
- Minimización: solo se solicitan los datos necesarios para cada función. El registro básico requiere únicamente nombre y correo electrónico.
- Exactitud: el usuario puede rectificar sus datos desde su cuenta en cualquier momento.
- Limitación del plazo de conservación: aplicamos los plazos descritos en la política de privacidad, con bloqueo y supresión posteriores.
- Integridad y confidencialidad: medidas técnicas y organizativas proporcionales al riesgo, descritas en el apartado 8.
- Responsabilidad proactiva: mantenemos registro de actividades de tratamiento, contratos de encargo con todos los proveedores y procedimientos internos de gestión de incidentes y de atención de derechos.
- Protección de datos desde el diseño: las nuevas funciones se evalúan antes de su lanzamiento para incorporar la privacidad por defecto.
3. Residencia de los datos en la Unión Europea
La infraestructura principal de la Plataforma —servidores de aplicación, bases de datos, almacenamiento de archivos y gestión de claves de cifrado— está alojada en centros de datos de Microsoft Azure situados en España, dentro de la Unión Europea. Cuando una función concreta requiere proveedores establecidos fuera del Espacio Económico Europeo, la transferencia se ampara en decisiones de adecuación de la Comisión Europea o en cláusulas contractuales tipo, tal como se detalla en la política de privacidad.
4. Sus derechos, en detalle
| Derecho | Qué le permite |
|---|---|
| Acceso (art. 15) | Conocer si tratamos datos suyos y obtener copia de ellos, junto con la información sobre finalidades, destinatarios y plazos. |
| Rectificación (art. 16) | Corregir datos inexactos o completar datos incompletos. |
| Supresión (art. 17) | Solicitar la eliminación de sus datos cuando ya no sean necesarios, retire el consentimiento o el tratamiento sea ilícito, entre otros supuestos. |
| Oposición (art. 21) | Oponerse a tratamientos basados en interés legítimo, incluido el envío de comunicaciones comerciales propias. |
| Limitación (art. 18) | Solicitar que los datos queden bloqueados mientras se resuelve una verificación de exactitud o una oposición. |
| Portabilidad (art. 20) | Recibir los datos que nos facilitó en un formato estructurado, de uso común y lectura mecánica, o pedir su transmisión directa a otro responsable cuando sea técnicamente posible. |
| Retirada del consentimiento (art. 7.3) | Retirar en cualquier momento los consentimientos otorgados (por ejemplo, la suscripción a boletines), sin que ello afecte a la licitud del tratamiento previo. |
| No ser objeto de decisiones automatizadas (art. 22) | La Plataforma no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted. |
5. Cómo ejercer sus derechos
Puede ejercer cualquiera de estos derechos por los siguientes medios:
- Correo electrónico: escribiendo a [email protected] desde la dirección asociada a su cuenta, indicando el derecho que desea ejercer.
- Correo postal: dirigiéndose al domicilio social indicado en la política de privacidad, adjuntando la información necesaria para verificar su identidad.
- Desde su cuenta: buena parte de los derechos puede ejercitarse directamente: rectificación de datos desde el perfil, baja de boletines desde el enlace de cada envío y cierre de cuenta desde la configuración.
Si la solicitud se presenta desde una dirección de correo distinta a la registrada, o existen dudas razonables sobre la identidad del solicitante, podremos requerir información adicional de verificación antes de tramitarla. El ejercicio de derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas en los términos del artículo 12.5 del RGPD.
6. Plazos de respuesta
Responderemos en el plazo máximo de un mes desde la recepción de la solicitud. Este plazo podrá prorrogarse dos meses adicionales en casos de especial complejidad o por el número de solicitudes; en tal caso, le informaremos de la prórroga y de sus motivos dentro del primer mes. Si decidimos no atender una solicitud, comunicaremos los motivos y las vías de reclamación disponibles.
7. Encargados y subencargados
Todos los proveedores que tratan datos por cuenta del titular están vinculados por contratos de encargo del tratamiento conforme al artículo 28 del RGPD, que les obligan a tratar los datos solo bajo instrucciones documentadas, con deber de confidencialidad, medidas de seguridad apropiadas y obligación de devolución o supresión al finalizar el servicio. La relación actualizada de proveedores, con su función y ubicación, se publica en el apartado «Destinatarios y proveedores» de la política de privacidad.
Cuando la Plataforma actúa como encargada del tratamiento por cuenta de los profesionales (gestión de sus clientes o pacientes), estos mismos proveedores operan como subencargados, y el profesional dispone en sus condiciones de servicio de la información necesaria para cumplir sus propias obligaciones como responsable.
8. Seguridad y notificación de brechas
Aplicamos, entre otras, las siguientes medidas de seguridad, revisadas periódicamente:
- Cifrado de todas las comunicaciones mediante TLS y cifrado en reposo de los datos especialmente protegidos.
- Gestión centralizada de claves de cifrado en un servicio de custodia de claves con control de acceso restringido.
- Almacenamiento de contraseñas exclusivamente mediante funciones de derivación robustas; en ningún caso en texto claro.
- Autenticación reforzada disponible para las cuentas y control de acceso basado en roles para el personal.
- Segregación de entornos de desarrollo y producción, y registro de eventos de seguridad para la detección de incidentes.
En caso de violación de la seguridad que afecte a datos personales, la notificaremos a la autoridad de control en un plazo máximo de 72 horas cuando proceda (artículo 33 RGPD) y, si supone un alto riesgo para sus derechos y libertades, se la comunicaremos directamente sin dilación indebida (artículo 34 RGPD).
9. Autoridad de control
Si considera que el tratamiento de sus datos infringe la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos:
Agencia Española de Protección de Datos (AEPD)
C/Jorge Juan, 6 — 28001 Madrid
Sede electrónica: www.aepd.es
No obstante, le agradeceremos que se dirija primero a [email protected]: la mayoría de las cuestiones pueden resolverse directamente y con mayor rapidez.