POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS DE SALUD

1. Identificación de las Partes y Roles (Art. 4, 24 y 28 RGPD)

Conforme a la arquitectura del RGPD, se establecen claramente las siguientes funciones jurídicas y operativas:

2. Bases Jurídicas del Tratamiento (Art. 6 y Art. 9 RGPD)

El tratamiento de datos llevado a cabo en la plataforma se fundamenta en las siguientes bases de legitimación:

• Ejecución Contractual (Art. 6.1.b RGPD): Necesario para la prestación del servicio SaaS contratado por el profesional sanitario (creación de cuenta, gestión de subdominio tenant, soporte y disponibilidad del software).
• Cumplimiento de Obligaciones Legales (Art. 6.1.c RGPD): Facturación, cumplimiento fiscal y tributario en la Unión Europea (VIES / IVA) y leyes de custodia documental.
• Tratamiento de Categorías Especiales de Datos de Salud (Art. 9.2.h RGPD): El tratamiento de datos de salud en las historias clínicas es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria, realizado por o bajo la responsabilidad de profesionales de la salud sujetos a secreto profesional médico.
• Consentimiento Explícito del Paciente (Art. 6.1.a y Art. 9.2.a RGPD): En aquellos supuestos en que el paciente autoriza la recepción de recetas, recordatorios y notificaciones mediante canales de mensajería instantánea (como WhatsApp).

3. Categorías de Datos Tratados

VitalidAI procesa exclusivamente los datos necesarios para el desempeño clínico y la gestión administrativa:

4. Subencargados y Soberanía de Datos en la Unión Europea (Cap. V RGPD)

VitalidAI aplica el principio de Soberanía de Datos Europea. Todos los datos de salud se almacenan en centros de datos ubicados dentro del Espacio Económico Europeo (EEE):

5. Derechos de los Interesados (Derechos ARCO-POL)

Conforme a los Artículos 15 al 22 del RGPD, los titulares de los datos (médicos y pacientes) gozan de los siguientes derechos fundamentales:

• Derecho de Acceso (Art. 15): Obtener confirmación de si se tratan sus datos y acceder a una copia de los mismos.
• Derecho de Rectificación (Art. 16): Solicitar la corrección de datos inexactos o incompletos.
• Derecho de Supresión / Al Olvido (Art. 17): Solicitar la eliminación de los datos cuando ya no sean necesarios, con la excepción expresa de la obligación legal de custodia médica sanitaria.
• Derecho a la Limitación del Tratamiento (Art. 18): Solicitar la suspensión temporal del tratamiento en los supuestos previstos en la ley.
• Derecho a la Portabilidad (Art. 20): Recibir sus historias clínicas en un formato estructurado, de uso común y lectura mecánica (JSON, PDF, CSV) para su transferencia a otro facultativo o sistema. VitalidAI incluye herramientas nativas de exportación de 1 clic para garantizar este derecho.
• Derecho de Oposición (Art. 21): Oponerse al tratamiento de datos basado en el interés legítimo.

Vía de canalización: Al ser el médico el Responsable del Tratamiento, las solicitudes de pacientes deben remitirse primariamente a su facultativo. Para solicitudes directas sobre la plataforma o cuestiones técnicas, puede contactarse a nuestro Delegado de Protección de Datos en dpo@vitalidai.app.

6. Plazos de Custodia Sanitaria y Destrucción Criptográfica

Los datos de las historias clínicas se conservan conforme a los plazos mínimos legales de conservación médica fijados por la legislación sanitaria del Estado miembro correspondiente (generalmente un mínimo de 5 a 10 años desde la fecha de la última atención asistencial).

En caso de baja o cancelación voluntaria de la suscripción SaaS por parte del médico, el sistema concede un periodo de gracia de 30 días naturales durante el cual el cliente conserva acceso de solo lectura para descargar y exportar de forma íntegra toda su base de pacientes. Transcurrido dicho plazo, se activa un protocolo automatizado de destrucción criptográfica que sobreescribe y elimina los registros y sus réplicas de respaldo, salvo en lo estrictamente requerido por leyes fiscales.

7. Seguridad y Notificación de Brechas (Art. 32, 33 y 34 RGPD)

VitalidAI aplica medidas técnicas y organizativas del más alto estándar de la industria (cifrado TLS 1.3, autenticación multifactor, segmentación de bases de datos por tenant, cortafuegos de aplicación web WAF y monitorización continua contra accesos no autorizados). En caso de verificarse un incidente de seguridad que comprometa datos personales, VitalidAI notificará formalmente al Responsable del Tratamiento sin dilación indebida y a más tardar en un plazo máximo de 48 a 72 horas, prestando toda la cooperación necesaria para la comunicación ante las Autoridades de Control.