Política de Privacidad

1. Identidad y contacto

El contacto de protección de datos indicado es la persona de contacto prevista en el Encargo de Tratamiento; su identificación no implica su designación como delegado de protección de datos.

2. Alcance y funciones de cada parte

Esta política informa sobre el tratamiento de datos relacionado con nuestra web, las consultas y demostraciones, la relación comercial y contractual y el uso de la Plataforma SaaS EfficiaCare.

EfficiaCare actúa como responsable de los datos que necesita para gestionar sus propias consultas, contactos comerciales, contratación, facturación, atención al cliente y seguridad de sus servicios, así como la analítica y medición publicitaria de su web cuando se consientan.

La clínica o entidad cliente actúa como responsable de los datos de pacientes, profesionales, empleados, usuarios y terceros que incorpora o gestiona mediante la Plataforma para sus finalidades asistenciales y administrativas. En esas operaciones, EfficiaCare actúa como encargado del tratamiento, siguiendo sus instrucciones documentadas y el Anexo C de Encargo de Tratamiento. Que una persona tenga una cuenta no convierte todos sus datos en tratamientos propios de EfficiaCare: la función depende de la finalidad concreta.

Si eres paciente, la clínica debe informarte de las finalidades y bases jurídicas de sus tratamientos, de la legitimación para tratar datos de salud, de los plazos de conservación sanitaria y de los canales de comunicación que utilice. Esta política no sustituye esa información ni el consentimiento informado sanitario que corresponda.

3. Datos tratados y procedencia

Para nuestras finalidades propias podemos tratar datos identificativos y de contacto profesional; clínica, cargo y relación con la entidad; información de contratación, facturación y cobro; consultas y solicitudes de soporte; y datos técnicos de acceso y seguridad, como IP, identificadores de sesión, dispositivo, navegador y registros de actividad.

Los datos proceden de la persona interesada, de la entidad a la que representa o que le autoriza a usar el servicio, y de la interacción con la web o la Plataforma. Los datos de navegación para analítica o publicidad solo se tratan con el consentimiento correspondiente.

Por cuenta de las clínicas, la Plataforma puede tratar datos identificativos y de contacto de pacientes y usuarios, DNI/NIF si se introduce, citas y agendas, historia clínica y evolución, documentos y consentimientos, datos administrativos y de facturación, mensajes y recordatorios, audios y transcripciones, borradores de IA y registros técnicos y de auditoría. Los datos de pacientes los facilita la clínica, sus usuarios autorizados o el propio paciente a través de las funciones que habilite la clínica.

La recogida de firma o aceptación utiliza un mecanismo propio de la Plataforma. Conforme al contrato, las evidencias comprenden, como mínimo, fecha y hora, datos de identificación disponibles del firmante, dirección IP y huella digital (hash) del documento.

Los datos requeridos para atender una solicitud, contratar o prestar una función son necesarios para esa finalidad; no facilitarlos puede impedir tramitarla. Los datos opcionales y el consentimiento para publicidad o analítica no son requisitos para contratar. No remitas datos de salud a través de formularios comerciales o correo ordinario: si fueran imprescindibles para resolver una incidencia, solicita el canal seguro y limita la información a lo necesario.

4. Finalidades y bases jurídicas de nuestros tratamientos propios

Puedes oponerte a los tratamientos basados en interés legítimo en los términos del apartado 10. La aceptación de esta política no constituye por sí sola consentimiento para recibir publicidad, usar cookies opcionales o tratar los datos clínicos por cuenta de una clínica.

5. Conservación de los datos

Tratamientos propios de EfficiaCare: las consultas y solicitudes de demostración que no den lugar a contratación se conservan hasta doce meses desde el último contacto. Los datos de la relación contractual se mantienen durante su vigencia y, después, durante los plazos legales y de prescripción aplicables; la documentación contable se conserva, con carácter general, seis años. Las consultas de soporte y los registros técnicos propios se conservan durante el tiempo necesario para resolver la incidencia, mantener la seguridad y atender posibles responsabilidades, según su finalidad.

Cuando proceda, los datos se mantendrán bloqueados durante los plazos de exigencia de responsabilidades y se suprimirán al finalizar estos. Para comunicaciones comerciales basadas en consentimiento, se tratarán hasta su retirada; podrá conservarse la información mínima necesaria para acreditar la elección y respetar la baja.

Datos tratados por cuenta de la clínica: se conservan durante la prestación conforme a las instrucciones de la clínica y al Encargo. La clínica determina y cumple los plazos legales de conservación de su documentación sanitaria.

• Audio original de transcripción: máximo de siete días naturales desde su grabación o recepción, salvo incidencia técnica documentada o instrucción lícita de la clínica. Las transcripciones y los borradores validados siguen el régimen de los restantes datos del cliente.
• Finalización del servicio: la clínica dispone de treinta días naturales para solicitar o realizar la exportación. Transcurrido ese plazo, y previo aviso con al menos siete días naturales de antelación, se suprimen los datos de producción, salvo bloqueo, obligación legal o requerimiento de autoridad competente.
• Copias de seguridad: retención operativa de treinta días naturales. Tras la supresión en producción, los respaldos residuales quedan fuera del uso ordinario y se eliminan por rotación en un máximo de treinta días naturales adicionales, con las excepciones legales previstas en el Encargo.
• Registros de acceso a datos de salud: el Anexo D establece un mínimo de dos años. Su conservación y eventual bloqueo deben aplicarse de forma coherente con las instrucciones de la clínica, la finalidad de auditoría y las excepciones legales al borrado.

Para la web corporativa, la preferencia de cookies se conserva hasta veinticuatro meses y la retención prevista de datos de usuario y eventos de GA4 es de hasta catorce meses según configuración. Los plazos de cada tecnología se detallan en la Política de Cookies. Los plazos de audio y copias de EfficiaCare son independientes del tratamiento por proveedores externos. El servicio de API de OpenAI utilizado por EfficiaCare está configurado sin retención del contenido enviado para su procesamiento.

6. Destinatarios y proveedores

No vendemos datos personales. Podrán acceder a los datos las personas autorizadas y los proveedores necesarios para cada finalidad, con acceso limitado y las obligaciones de confidencialidad y protección de datos que correspondan. También podrán comunicarse a administraciones, órganos judiciales y autoridades cuando exista obligación legal, y a entidades financieras o asesores cuando sea necesario para gestionar cobros, obligaciones o reclamaciones.

Para los datos tratados por cuenta de las clínicas, el Anexo E identifica los proveedores autorizados o previstos. La inclusión de un proveedor opcional no significa que esté activo en todas las cuentas:

La firma documental utiliza actualmente un mecanismo propio, sin proveedor externo de firma según el Anexo E. La incorporación o sustitución de subencargados se comunicará a las clínicas con al menos quince días naturales de antelación, con posibilidad de oposición fundada en protección de datos conforme al Encargo y al Anexo E.

Google Analytics 4 y Google Ads se utilizan para las finalidades de la web corporativa descritas en la Política de Cookies, con consentimiento para cada finalidad. No están autorizados para recibir datos de pacientes, historias clínicas ni contenidos de las clínicas.

7. Alojamiento y transferencias internacionales

Como regla general, los datos de producción de las clínicas se alojan en AWS Europe (Spain). Esto no significa que todo tratamiento, soporte o acceso de proveedores se realice exclusivamente en España o en el Espacio Económico Europeo (EEE).

Si una operación implica transferencias fuera del EEE, deberá estar amparada por un mecanismo válido del capítulo V del RGPD: una decisión de adecuación aplicable o garantías apropiadas, como las cláusulas contractuales tipo de la Comisión Europea, con medidas suplementarias cuando procedan. El Marco de Privacidad de Datos UE-EE. UU. solo será aplicable si la entidad destinataria y el tratamiento están cubiertos por una certificación vigente.

El Anexo E remite a las cláusulas contractuales tipo incorporadas en los acuerdos de tratamiento de AWS y OpenAI; para Meta y Stripe deberán concretarse los mecanismos aplicables a la integración efectivamente utilizada. Respecto de datos de las clínicas, no se realizarán transferencias no identificadas en ese Anexo. La localización y las garantías de los servicios de IA deben verificarse antes de tratar datos clínicos reales. La configuración sin retención del contenido no implica por sí sola que el procesamiento se realice en la UE.

Puedes solicitar información sobre los destinatarios, países y garantías aplicables, así como una copia o referencia de las garantías pertinentes, escribiendo a javier@efficiacare.es. Para Google Analytics y Ads, consulta también la Política de Cookies y la información de privacidad de Google.

8. Inteligencia artificial y revisión profesional

Las funciones de IA tienen finalidad documental y administrativa: transcribir audio y preparar borradores o resúmenes de apoyo. Pueden tratar datos de salud por cuenta de la clínica, que debe determinar su legitimación, facilitar la información correspondiente y realizar las evaluaciones de impacto que resulten exigibles.

Los resultados pueden contener errores. Deben ser revisados, corregidos y validados por el profesional antes de su uso clínico o incorporación definitiva a la historia. El borrador inicial se identifica como pendiente de validación y se registra el usuario y la fecha de validación. EfficiaCare no presta asistencia sanitaria ni utiliza estas funciones para adoptar decisiones clínicas autónomas.

Se aplican medidas de minimización y, cuando sea viable, seudonimización, sustitución de identificadores o redacción. Estas medidas no equivalen necesariamente a una anonimización irreversible. Los profesionales deben evitar incluir nombres, DNI, teléfonos u otros identificadores directos innecesarios.

EfficiaCare utiliza la API de OpenAI en una modalidad sin retención del contenido enviado para su procesamiento y cuyos términos excluyen el uso de los datos del cliente para entrenar modelos por defecto. Esta configuración no determina por sí sola la ubicación del procesamiento. La localización y las garantías de transferencia aplicables deben quedar identificadas en el Anexo E y comunicadas a la clínica conforme al Encargo.

EfficiaCare no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten de forma similar y significativa a las personas en los tratamientos propios aquí descritos.

9. Seguridad y confidencialidad

El Anexo D recoge las medidas comprometidas para los datos de las clínicas: cifrado en tránsito y en reposo, separación lógica por centro, roles y permisos, mínimo privilegio, registros de actividad, copias de seguridad, confidencialidad y gestión de incidencias. También exige autenticación multifactor para usuarios con acceso a datos de pacientes y cierre por inactividad configurable, con valor por defecto no superior a quince minutos.

El acceso de personal de EfficiaCare se limita a personas autorizadas y a necesidades de prestación, soporte o seguridad. Ante una violación de datos tratados por cuenta de una clínica, el Encargo prevé avisarla sin dilación indebida y, como máximo, en veinticuatro horas desde su conocimiento, para que valore sus obligaciones ante la autoridad y las personas afectadas. Ninguna medida elimina por completo el riesgo.

10. Derechos y reclamaciones

En los tratamientos de los que EfficiaCare es responsable puedes solicitar acceso, rectificación, supresión, limitación, oposición y, cuando corresponda, portabilidad. Puedes retirar tu consentimiento en cualquier momento, sin afectar a la licitud del tratamiento previo, y oponerte en todo momento a la mercadotecnia directa. Frente a otros tratamientos basados en interés legítimo, puedes oponerte por motivos relacionados con tu situación particular, en los términos del RGPD.

Dirige la solicitud a javier@efficiacare.es, a info@efficiacare.es o al domicilio indicado, identificando el derecho solicitado. Solo pediremos información adicional de identificación si existen dudas razonables sobre tu identidad y en la medida necesaria.

Responderemos en el plazo de un mes desde la recepción. Cuando la complejidad o el número de solicitudes lo justifiquen, podrá ampliarse otros dos meses, informando de la ampliación y sus motivos dentro del primer mes.

Si la solicitud afecta a datos que tratamos por cuenta de una clínica, debes dirigirla a esa clínica. Si la recibimos nosotros, la remitiremos a la clínica cuando sea posible y la asistiremos conforme al Encargo, salvo obligación legal distinta.

Puedes presentar una reclamación ante la Agencia Española de Protección de Datos, especialmente si consideras que tus derechos no han sido atendidos.

11. Cookies y cambios de esta política

Las cookies y tecnologías opcionales de analítica y medición publicitaria requieren consentimiento previo para cada finalidad. Puedes modificar o retirar tu elección mediante «Configurar cookies». Encontrarás el detalle de tecnologías, finalidades y plazos en la Política de Cookies.

Actualizaremos esta política cuando cambien los tratamientos o la información aplicable, indicando la fecha y comunicando los cambios relevantes por los medios adecuados. La actualización de la política no sustituye un consentimiento exigible ni modifica por sí sola el contrato, el Encargo o el procedimiento de actualización de subencargados.