Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos de navegación y cuenta de usuario es Psicogest Solutions SL (CIF B22607246), titular de Profisio (en adelante, «Profisio»), con domicilio en Calle de Béjar 13, 28028 Madrid (España). Contacto: ventas@psicogest.es.

2. Roles en el tratamiento de datos

Cuando Profisio es utilizada por profesionales de la salud (fisioterapeutas), estos actúan como Responsables del tratamiento de los datos de sus pacientes, mientras que Profisio actúa como Encargado del Tratamiento, conforme al Contrato de Encargo.

Para los datos de cuenta, soporte, facturación y navegación, Profisio actúa como Responsable.

3. Información que recopilamos

• Datos de cuenta: nombre, correo electrónico, datos profesionales, facturación.
• Datos de pacientes: datos personales y de salud introducidos por el profesional con consentimiento informado.
• Datos técnicos: IP, dispositivo, navegador y cookies (previo consentimiento para las no esenciales).
• Datos de uso: accesos, logs y actividad agregada/anonimizada para seguridad y mejora del servicio.

4. Finalidades y bases legales

• Prestación del servicio y mantenimiento de la plataforma (ejecución de contrato).
• Gestión de soporte, facturación y comunicaciones (ejecución de contrato).
• Seguridad, auditoría y prevención de fraude (interés legítimo).
• Cumplimiento de obligaciones legales (fiscales, sanitarias o requerimientos de autoridad).
• Consentimiento explícito (registro, cookies no esenciales y consentimiento informado de pacientes).

5. Protección de datos de pacientes

Profisio cumple estrictamente el RGPD, la LOPDGDD y la Ley 41/2002 de autonomía del paciente. Los profesionales deben contar con el consentimiento informado de cada paciente antes de almacenar información en Profisio.

• Cifrado fuerte (AES-256) de datos en reposo.
• Cifrado de datos en tránsito (TLS 1.2+).
• Control de acceso por roles y políticas RLS en tablas sensibles.
• Backups y procedimientos de restauración.

5 bis. Procesamiento con IA

Las funciones de IA de Profisio se ejecutan íntegramente en servidores propios situados en Alemania (Unión Europea), con modelos de lenguaje ejecutados en local. No interviene ningún proveedor externo de inteligencia artificial ni existe respaldo automático a servicios de terceros: si nuestra infraestructura no está disponible, la función devuelve un error y no se ejecuta. No hay, por tanto, transferencias internacionales asociadas a estas funciones.

Con carácter adicional, el sistema aplica de forma automática una capa de anonimización sobre el texto antes de procesarlo (nombres, teléfonos, correos, documentos identificativos, direcciones y fechas). El texto se procesa de forma transitoria y no se conserva en el servidor de procesamiento.

Si en el futuro alguna función de IA pasara a apoyarse en un proveedor externo, Profisio lo comunicará previamente, lo incorporará como subencargado (con DPA y garantías como Cláusulas Contractuales Tipo) y lo reflejará en /subencargados.

Aparte de estas funciones del servicio, el equipo de Profisio utiliza internamente un asistente de IA (Claude, de Anthropic, con su plan para empresas) para tareas de soporte y operación, como preparar respuestas a las consultas de los profesionales o revisar incidencias técnicas. No se utiliza con datos de pacientes (ver apartado 7).

5 ter. Dictado por voz (reconocimiento de voz)

Profisio ofrece una función opcional de dictado por voz para redactar notas clínicas. Esta función utiliza la Web Speech API integrada en el navegador: el audio captado por el micrófono del profesional se envía transitoriamente al proveedor del navegador utilizado ( Google en Chrome/Edge, Apple en Safari) para su conversión a texto.

Esta tecnología es una funcionalidad del navegador fuera del control directo de Profisio. Su uso está sujeto a la política de privacidad del proveedor correspondiente: Google (Chrome/Edge) o Apple (Safari). Ninguno almacena el audio con fines ajenos al reconocimiento en tiempo real, según sus políticas vigentes.

La función de dictado es completamente opcional y está diseñada para el uso exclusivo del profesional al redactar sus propias notas. Se recomienda a los profesionales no mencionar datos identificativos de pacientes durante el dictado o, en caso de hacerlo, informar a sus pacientes en su propia política de privacidad de consulta. Más información en /subencargados.

6. Seguridad técnica y organizativa

• Cifrado de datos en tránsito (TLS 1.2+) y cifrado fuerte en reposo.
• Registros y auditorías de accesos y operaciones sensibles.
• Copias de seguridad regulares y procedimientos de restauración.
• Gestión de incidentes con notificación al Responsable en un máximo de 48 horas.

7. Destinatarios y subencargados

Los subencargados que colaboran en la prestación del servicio se publican en /subencargados.

Entre ellos se incluyen, a título enunciativo:

• Supabase: base de datos y almacenamiento principal en la Unión Europea (región Frankfurt, Alemania).
• Vercel: infraestructura web y CDN. Trata datos técnicos mínimos necesarios (p. ej. IP, user-agent, logs de seguridad) para la correcta prestación y protección del servicio.
• Brevo: plataforma de envío de emails transaccionales y de servicio (por ejemplo, correos de bienvenida, notificaciones sobre uso de la plataforma y comunicaciones relacionadas con consentimientos y documentos LOPD dirigidos a pacientes). Los datos se alojan en servidores ubicados dentro de la Unión Europea.

Además, para sus propias tareas de soporte y operación, Profisio utiliza como encargado del tratamiento a Anthropic Ireland, Limited (asistente de IA Claude, plan para empresas). Puede tratar datos de contacto y de cuenta de los profesionales y centros, y el contenido de sus consultas de soporte. No se utiliza con datos de pacientes, por lo que no figura entre los subencargados del servicio. Actúa con contrato de encargado (DPA) y no utiliza estos datos para entrenar sus modelos.

8. Transferencias internacionales de datos

Profisio diseña sus servicios para que el tratamiento de datos personales se realice preferentemente dentro del Espacio Económico Europeo (EEE). La base de datos principal de pacientes y usuarios se aloja en servidores ubicados en la Unión Europea (Supabase, región Frankfurt), al igual que el servicio de envío de emails (Brevo).

El uso de determinados proveedores de infraestructura global, como Vercel, puede implicar transferencias de datos técnicos (por ejemplo, direcciones IP, cabeceras HTTP, información de dispositivo) asociadas a la navegación y a la seguridad de la plataforma. Profisio configura estos servicios para minimizar el volumen de datos personales tratados y, cuando corresponde, se basa en Cláusulas Contractuales Tipo u otras garantías adecuadas previstas en el RGPD.

El asistente de IA que el equipo utiliza para soporte y operación (Anthropic, ver apartado 7) puede implicar transferencias de datos fuera del EEE. Se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en su contrato de encargado.

Si excepcionalmente se previera una nueva transferencia de datos personales a un tercer país distinta de las descritas, Profisio aplicará las garantías adecuadas (por ejemplo, Cláusulas Contractuales Tipo u otra base de adecuación) e informará previamente a los usuarios afectados.

9. Conservación y plazos de supresión

Profisio aplica una política de conservación limitada conforme al principio de minimización del RGPD, eliminando o anonimizando los datos cuando dejan de ser necesarios para la finalidad original o por obligación legal.

• Cuentas de usuario: mientras exista la relación contractual o de soporte, y 5 años tras su finalización para obligaciones fiscales.
• Datos de pacientes: se eliminan o devuelven al profesional Responsable a la baja del servicio, según el Contrato de Encargo.
• Facturación emitida: las facturas expedidas a través de la plataforma y sus registros de facturación (incluidos los de VeriFactu) no se eliminan con la cuenta: se conservan bloqueadas, cifradas y sin acceso operativo, durante el plazo de prescripción de las obligaciones tributarias y mercantiles (art. 29.2.e de la Ley General Tributaria y art. 30 del Código de Comercio), únicamente para atender requerimientos de la Administración.
• Logs y accesos: logs de acceso y operación, un mínimo de 12 meses.
• Copias de seguridad: retención rotatoria de 30 días, garantizando la recuperación de datos.
• Tickets de soporte: 12 meses tras el cierre, salvo que se extienda por una obligación legal o auditoría.

10. Derechos de los interesados y procedimiento

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad (Derechos ARSOPL) contactando con ventas@psicogest.es.

• Envía tu solicitud indicando el derecho que deseas ejercer y adjuntando prueba de identidad.
• Responderemos en un máximo de 30 días, ampliable a 2 meses en casos complejos (se notificará el motivo).
• Cuando la solicitud afecte a datos de pacientes, Profisio asistirá al profesional Responsable para su correcta tramitación.

Si no estás conforme con la respuesta o crees que se han vulnerado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

11. Cookies

Utilizamos cookies técnicas necesarias y, previo consentimiento, cookies analíticas y de preferencias. Puedes obtener más información o gestionar tus preferencias en nuestra Política de Cookies.

12. Datos de menores

Profisio no está dirigida a menores de 16 años. En los casos en que se traten datos de menores (p. ej., pacientes pediátricos), el profesional debe obtener el consentimiento de sus tutores legales conforme al RGPD y la LOPDGDD.

13. Cambios en esta política

Profisio podrá actualizar esta política para reflejar cambios legales o técnicos. En caso de modificaciones sustanciales, se notificará a los usuarios por correo o aviso en la plataforma. Se recomienda revisar periódicamente esta página.

14. Contacto y Delegado de Protección de Datos (DPD)

Psicogest Solutions SL, titular de Profisio, ha designado un Delegado de Protección de Datos, comunicado a la Agencia Española de Protección de Datos: Ubimia Compliance S.L. (marca pdatos; antes Proyectos, Formación y Servicios, S.L.), administradatos@lextools.com.

Para cualquier duda sobre privacidad o protección de datos, puedes escribir al DPD o a ventas@psicogest.es.

15. Gestión de incidentes de seguridad

Profisio ha implantado un procedimiento de detección, análisis y notificación de incidentes de seguridad conforme al RGPD. En caso de brecha con riesgo para los derechos de las personas, se notificará sin dilación indebida y en menos de 72 horas desde que sea conocida a la autoridad de control y/o a los afectados.

Cuando la brecha afecte a datos de pacientes, el profesional Responsable será informado en un máximo de 48 horas de los hechos, las medidas adoptadas y las recomendaciones, conforme al Contrato de Encargo.

16. Registro de Actividades de Tratamiento (art. 30 RGPD)

Profisio mantiene un registro actualizado de las actividades de tratamiento tanto en calidad de Responsable como de Encargado. Su resumen de transparencia está publicado en Registro de Actividades de Tratamiento y la lista actualizada de subencargados, en /subencargados.