En resumen. Tratamos datos en dos papeles distintos:
Como responsables, de los datos de quienes visitan esta web y de las clínicas y profesionales que contratan Clinic Assistant (cuenta, facturación, soporte).
Como encargados del tratamiento, de los datos de los pacientes de cada clínica. Esos datos pertenecen a la clínica, que es la responsable; nosotros solo los tratamos siguiendo sus instrucciones para prestarle el servicio, nunca para fines propios, y no los usamos para entrenar modelos de inteligencia artificial.
1. Quién es el responsable
- Responsable
- ZCV Aesthetic Medicine, S.L. · NIF B93876035
- Domicilio
- C/ Príncipe de Vergara 57, 1º C, 28006 Madrid (España)
- Contacto
- [email protected]
2. Datos de clínicas, profesionales y visitantes
Esta sección se aplica a los datos que tratamos como responsables.
| Qué datos | Para qué | Base legal |
|---|---|---|
| Nombre, email, teléfono, clínica, especialidad y número de colegiado de quien se da de alta y de los usuarios que invita | Crear y gestionar la cuenta, dar acceso al panel, enviar avisos del servicio | Ejecución del contrato (art. 6.1.b RGPD) |
| Datos de facturación (razón social, NIF, dirección, medio de pago) | Cobrar la suscripción y emitir facturas | Contrato y obligación legal fiscal (art. 6.1.b y 6.1.c) |
| Mensajes que nos envías por email o soporte | Atender consultas e incidencias | Contrato o interés legítimo en responder (art. 6.1.f) |
| Registros de actividad en el panel (fecha, usuario, acción) | Seguridad, prevención del fraude y auditoría de accesos | Interés legítimo y obligación de seguridad (art. 6.1.f y art. 32) |
| Email, si te suscribes a novedades | Enviarte información comercial sobre Clinic Assistant | Consentimiento, que puedes retirar en cualquier momento (art. 6.1.a) |
No vendemos ni cedemos estos datos a terceros, salvo a los proveedores indicados en el apartado 5 o cuando lo exija la ley.
3. Datos de los pacientes de la clínica
Cuando una clínica usa Clinic Assistant, tratamos por su cuenta los datos de sus pacientes. En ese tratamiento la clínica es la responsable y Clinic Assistant es su encargado del tratamiento (art. 28 RGPD). Las condiciones del encargo están en el apartado de encargo del tratamiento de los Términos, que forma parte del contrato con cada clínica.
Qué datos de pacientes se tratan
- Datos identificativos y de contacto: nombre, teléfono, email y, si la clínica lo usa, DNI.
- Conversaciones de WhatsApp con la clínica: textos, notas de voz y su transcripción, e imágenes enviadas.
- Citas, presupuestos, tarjetas regalo, importes facturados, consentimientos firmados y notas que el equipo de la clínica añade sobre la paciente.
- Datos relativos a la salud que aparezcan en todo lo anterior (por ejemplo, tratamientos, síntomas o contraindicaciones). Son una categoría especial de datos (art. 9 RGPD) y se tratan con las medidas reforzadas del apartado 6.
Para qué
Exclusivamente para prestar el servicio a la clínica: identificar qué mensajes son administrativos, preparar respuestas a esos mensajes, derivar al profesional los que hablan de síntomas o dudas médicas, gestionar la agenda, enviar recordatorios y seguimientos, generar presupuestos y tarjetas regalo, registrar lo facturado y mostrarlo todo en su panel.
Si eres paciente
Para ejercer tus derechos sobre tus datos, dirígete a la clínica con la que hablas. Si nos escribes a nosotros, trasladaremos tu solicitud a la clínica sin demora y la ayudaremos a responderla.
Corresponde a la clínica informar a sus pacientes de que utiliza un asistente automatizado y contar con la base legal adecuada para ello.
4. Inteligencia artificial
- Los mensajes se procesan con modelos de lenguaje (Claude, de Anthropic) a través de Amazon Bedrock, dentro de la infraestructura de Amazon Web Services en la Unión Europea. Ni Amazon ni Anthropic usan estos datos para entrenar sus modelos.
- Clinic Assistant tampoco usa los datos de una clínica para entrenar modelos ni para dar servicio a otras clínicas. La «voz» que aprende el asistente se basa solo en las conversaciones de esa clínica y se queda en su cuenta.
- El asistente se identifica ante los pacientes como asistente automatizado de la clínica y nunca afirma ser una persona (art. 50 del Reglamento europeo de IA).
- El asistente no toma decisiones con efectos jurídicos ni clínicos sobre los pacientes, ni elabora perfiles con esa finalidad. No valora síntomas: los mensajes que los mencionan se derivan a un profesional. La clínica decide qué grado de autonomía tiene el asistente (modos sombra, asistido o automático).
5. Proveedores y ubicación de los datos
Los datos se alojan en servidores de la Unión Europea (Amazon Web Services, región de Irlanda). Para prestar el servicio usamos estos proveedores (subencargados), con los que tenemos firmados los contratos que exige el RGPD:
| Proveedor | Para qué | Ubicación |
|---|---|---|
| Amazon Web Services EMEA SARL | Alojamiento, base de datos, transcripción de audio, envío de emails y modelos de IA (Amazon Bedrock) | UE (Irlanda y otras regiones de la UE) |
| Stripe Payments Europe, Ltd. | Cobro de la suscripción | UE (Irlanda); transferencias puntuales a EE. UU. amparadas en el Marco de Privacidad de Datos UE-EE. UU. |
WhatsApp. Los mensajes entre la clínica y sus pacientes se transmiten a través de la plataforma WhatsApp Business de Meta Platforms Ireland Ltd., que la clínica contrata directamente con Meta. Meta trata esos mensajes como proveedor de la clínica, según sus condiciones de tratamiento de datos para WhatsApp Business, y puede transferirlos a Estados Unidos al amparo del Marco de Privacidad de Datos UE-EE. UU. Clinic Assistant recibe los mensajes a través de esa plataforma y los guarda en la UE.
Para la comparativa de Instagram solo se usan datos públicos de cuentas profesionales obtenidos a través de la API oficial de Meta.
Además, cuando la clínica conecta voluntariamente otras herramientas, los datos necesarios se intercambian con ellas: WhatsApp e Instagram (Meta), Google Calendar (Google), su software médico (por ejemplo, Clinic Cloud) o Contasimple. Esos servicios los contrata la propia clínica y se rigen por sus condiciones y políticas de privacidad.
Si algún proveedor tratara datos fuera del Espacio Económico Europeo, lo haría con las garantías del capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo). Avisaremos a las clínicas antes de incorporar o cambiar un subencargado.
6. Google Calendar y Google Maps
Google Calendar (opcional)
Si la clínica lo decide, una persona con permiso de administración puede conectar el calendario de Google de la clínica desde Ajustes → Integraciones. Para ello pedimos a Google un único permiso: calendar.events (ver y editar los eventos de sus calendarios). Lo usamos solo para:
- Saber qué huecos están ocupados. Leemos los eventos del calendario principal en las fechas que se están consultando para no dar citas que se solapen y mostrarlos como bloqueos en la agenda de Clinic Assistant (con su título y horario). Esos datos no se guardan en nuestra base de datos: se mantienen en memoria un máximo de 5 minutos y se descartan.
- Reflejar las citas. Creamos, modificamos y borramos un evento por cada cita gestionada en Clinic Assistant (nombre del paciente, tipo de cita, tratamiento, teléfono y notas), para que la clínica vea su agenda en Google Calendar.
No accedemos a otros calendarios ni a otros datos de la cuenta de Google, no enviamos invitaciones a terceros y no usamos estos datos para publicidad, para entrenar modelos de inteligencia artificial ni para ningún otro fin. Guardamos de forma cifrada el token de acceso que entrega Google, y la clínica puede desconectar el calendario en cualquier momento desde la app (lo que revoca el permiso) o desde la configuración de su cuenta de Google.
Clinic Assistant's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.
Google Maps
Durante el alta y en los ajustes, la app usa Google Maps (Places) para sugerir la dirección de la clínica mientras se escribe. Solo se envía a Google el texto de la dirección que se teclea, nunca datos de pacientes. Google lo trata según su política de privacidad.
7. Seguridad
- Cifrado en tránsito (TLS) y en reposo.
- Separación lógica de los datos de cada clínica.
- Acceso al panel con usuarios individuales y permisos por sección y acción definidos por la clínica.
- Registro de la actividad de los usuarios y de los accesos.
- Acceso del personal de Clinic Assistant a datos de pacientes limitado a lo imprescindible para dar soporte o resolver incidencias, y sujeto a deber de confidencialidad.
- Notificación a la clínica de cualquier brecha de seguridad que afecte a sus datos sin dilación indebida.
8. Conservación
- Datos de la cuenta y del uso del panel: mientras la suscripción esté activa.
- Facturas y datos fiscales: el plazo que exija la normativa fiscal y mercantil (en general, 6 años).
- Datos de pacientes: mientras la clínica sea cliente y según lo que ella configure. Al terminar el contrato, la clínica puede exportarlos durante 30 días; después se suprimen de forma segura en un plazo máximo de 90 días, salvo obligación legal de conservarlos.
- Comunicaciones comerciales: hasta que retires el consentimiento.
9. Tus derechos
Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a [email protected], indicando qué derecho quieres ejercer. Responderemos en el plazo de un mes.
Si consideras que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
10. Cookies
Esta web informativa no utiliza cookies ni otras tecnologías de seguimiento, y no carga recursos de terceros: las tipografías y el resto de archivos se sirven desde nuestro propio dominio. Por eso no te pedimos consentimiento al entrar.
La aplicación (app.clinicassistant.io) usa únicamente almacenamiento técnico imprescindible para mantener la sesión iniciada y recordar tus preferencias. Estas cookies están exentas de consentimiento (art. 22.2 LSSI-CE).
Si en el futuro incorporamos herramientas de analítica, lo indicaremos aquí y pediremos tu consentimiento antes de activarlas.
11. Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o del servicio. Si el cambio es relevante, lo comunicaremos a las clínicas por email con antelación. La fecha de la última actualización aparece al principio de esta página.