Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos de navegación y cuenta de usuario es Psicogest Solutions SL (CIF B22607246), con domicilio en Calle de Béjar 13, 28028 Madrid (España). Contacto: ventas@psicogest.es.

2. Roles en el tratamiento de datos

Cuando PsicoGest es utilizada por profesionales de la salud mental, estos actúan como Responsables del tratamiento de los datos de sus pacientes, mientras que PsicoGest actúa como Encargado del Tratamiento, conforme al Contrato de Encargo.

Para los datos de cuenta, soporte, facturación y navegación, PsicoGest actúa como Responsable.

3. Información que recopilamos

• Datos de cuenta: nombre, correo electrónico, datos profesionales, facturación.
• Datos de pacientes: datos personales y de salud introducidos por el profesional con consentimiento informado.
• Datos técnicos: IP, dispositivo, navegador y cookies (previo consentimiento para las no esenciales).
• Datos de uso: accesos, logs y actividad agregada/anonimizada para seguridad y mejora del servicio.

4. Finalidades y bases legales

• Prestación del servicio y mantenimiento de la plataforma (ejecución de contrato).
• Gestión de soporte, facturación y comunicaciones (ejecución de contrato).
• Seguridad, auditoría y prevención de fraude (interés legítimo).
• Programa «Invita a un colega»: si te registras con el enlace de un colega, guardamos qué cuenta te invitó para aplicar tu primer mes gratis y darle a esa persona su mes, y comprobamos que no sea la misma persona (ejecución de contrato e interés legítimo en prevenir el fraude). A quien invita solo le mostramos cifras, nunca tu nombre ni tu correo. No pedimos ni guardamos datos de personas que todavía no usan PsicoGest.
• Cumplimiento de obligaciones legales (fiscales, sanitarias o requerimientos de autoridad).
• Consentimiento explícito (registro, cookies no esenciales y consentimiento informado de pacientes).

5. Protección de datos de pacientes

PsicoGest cumple estrictamente el RGPD, la LOPDGDD y la Ley 41/2002 de autonomía del paciente. Los profesionales deben contar con el consentimiento informado de cada paciente antes de almacenar información en PsicoGest.

• Cifrado fuerte (AES-256) de datos en reposo.
• Cifrado de datos en tránsito (TLS 1.2+).
• Control de acceso por roles y políticas RLS en tablas sensibles.
• Backups y procedimientos de restauración.

5 bis. Procesamiento con IA

Las funciones de IA de PsicoGest (apoyo en la redacción de notas e informes, análisis de historiales, briefs de preparación de sesión y el servicio opcional de Transcripción IA) se ejecutan íntegramente en infraestructura propia de PsicoGest en la Unión Europea (servidores dedicados en Alemania), sin intervención de ningún proveedor externo de inteligencia artificial ni de transcripción y sin transferencias internacionales de datos.

Es un tratamiento por cuenta del profesional o centro (responsable del tratamiento) sujeto al RGPD, con las mismas garantías de seguridad y confidencialidad que el resto del servicio. Como medida adicional de minimización, el sistema anonimiza automáticamente el texto (nombres, teléfonos, correos, documentos identificativos) antes de procesarlo.

Si en el futuro alguna función de IA necesitara un proveedor externo, PsicoGest lo comunicará previamente, lo incorporará como subencargado (con DPA y las garantías adecuadas) y lo reflejará en /subencargados.

Aparte de estas funciones del servicio, el equipo de PsicoGest utiliza internamente un asistente de IA (Claude, de Anthropic, con su plan para empresas) para tareas de soporte y operación, como preparar respuestas a las consultas de los profesionales o revisar incidencias técnicas. No se utiliza con datos de pacientes (ver apartado 7).

5 ter. Dictado por voz (reconocimiento de voz)

PsicoGest ofrece una función opcional de dictado por voz para redactar notas clínicas. Esta función utiliza la Web Speech API integrada en el navegador: el audio captado por el micrófono del profesional se envía transitoriamente al proveedor del navegador utilizado ( Google en Chrome/Edge, Apple en Safari) para su conversión a texto.

Esta tecnología es una funcionalidad del navegador fuera del control directo de PsicoGest. Su uso está sujeto a la política de privacidad del proveedor correspondiente: Google (Chrome/Edge) o Apple (Safari). Ninguno almacena el audio con fines ajenos al reconocimiento en tiempo real, según sus políticas vigentes.

La función de dictado es completamente opcional y está diseñada para el uso exclusivo del profesional al redactar sus propias notas. Se recomienda a los profesionales no mencionar datos identificativos de pacientes durante el dictado o, en caso de hacerlo, informar a sus pacientes en su propia política de privacidad de consulta. Más información en /subencargados.

5 quater. Servicio opcional de Transcripción IA

PsicoGest ofrece a los profesionales una función opcional adicional denominada Transcripción IA. Esta función, incluida en los planes Intermedio y Avanzado (y, en centros, activada por la titular para cada profesional), permite al profesional grabar sesiones clínicas con consentimiento explícito de los participantes, transcribirlas automáticamente y, opcionalmente, convertirlas en un borrador de nota clínica.

Si el profesional utiliza esta función, todo el tratamiento se realiza en infraestructura propia de PsicoGest en la Unión Europea, sin intervención de ningún proveedor externo de inteligencia artificial ni de transcripción. El único sub-encargado implicado es el proveedor de esa infraestructura:

• Hetzner Online GmbH (Gunzenhausen, Alemania; centro de datos de Falkenstein) — proveedor de la infraestructura física (servidores dedicados) donde PsicoGest ejecuta la transcripción automática, la separación de hablantes, la anonimización y el modelo de lenguaje propio que genera los borradores de nota clínica y los briefs de preparación. Los modelos se ejecutan en local y no envían datos a terceros. No existe respaldo a otros proveedores: si esta infraestructura no está disponible, las grabaciones esperan en cola hasta que vuelva a estarlo. Hetzner actúa únicamente como proveedor de hardware y no accede al contenido tratado. Certificación ISO/IEC 27001. DPA suscrito conforme al art. 28 RGPD.

Categorías de datos específicas

Cuando se utiliza esta función se tratan adicionalmente:

• Voz del paciente y, en su caso, de terceros presentes (pareja, familiar, acompañante). Constituye dato biométrico y, en cuanto revela información sobre salud, dato de categoría especial (art. 9 RGPD).
• Contenido clínico transcrito.
• Registro de la confirmación del profesional de haber obtenido el consentimiento, en cada grabación (fecha y hora, usuario y texto confirmado).

Plazos de conservación específicos

• Audio: se elimina al transcribir (0 días); si la transcripción falla, se conserva cifrado únicamente para permitir reintentarla.
• Transcripción literal: no se conserva.
• Transcripción anonimizada en PsicoGest: 90 días.
• Borrador de nota clínica generado: bajo política normal de historia clínica del responsable.

Base legal específica

• Art. 9.2.a RGPD: consentimiento explícito de cada persona grabada, recogido por el profesional antes de cada grabación.
• Art. 9.2.h RGPD: tratamiento por profesional sanitario sujeto a secreto profesional.

Derechos del interesado

El paciente puede ejercer en cualquier momento ante el profesional sus derechos de acceso, rectificación, supresión, limitación, oposición, portabilidad y revocación del consentimiento. PsicoGest dispone de mecanismos técnicos específicos para que el profesional pueda exportar o borrar todas las grabaciones y transcripciones de un paciente en una sola operación.

6. Seguridad técnica y organizativa

• Cifrado de datos en tránsito (TLS 1.2+) y cifrado fuerte en reposo.
• Registros y auditorías de accesos y operaciones sensibles.
• Copias de seguridad regulares y procedimientos de restauración.
• Gestión de incidentes con notificación al Responsable en un máximo de 48 horas.

7. Destinatarios y subencargados

Los subencargados que colaboran en la prestación del servicio se publican en /subencargados.

Entre ellos se incluyen, a título enunciativo:

• Supabase: base de datos y almacenamiento principal en la Unión Europea (región Frankfurt, Alemania).
• Vercel: infraestructura web y CDN. Trata datos técnicos mínimos necesarios (p. ej. IP, user-agent, logs de seguridad) para la correcta prestación y protección del servicio.
• Brevo: plataforma de envío de emails transaccionales y de servicio (por ejemplo, correos de bienvenida, notificaciones sobre uso de la plataforma y comunicaciones relacionadas con consentimientos y documentos LOPD dirigidos a pacientes). Los datos se alojan en servidores ubicados dentro de la Unión Europea.

Además, para sus propias tareas de soporte y operación, PsicoGest utiliza como encargado del tratamiento a Anthropic Ireland, Limited (asistente de IA Claude, plan para empresas). Puede tratar datos de contacto y de cuenta de los profesionales y centros, y el contenido de sus consultas de soporte. No se utiliza con datos de pacientes, por lo que no figura entre los subencargados del servicio. Actúa con contrato de encargado (DPA) y no utiliza estos datos para entrenar sus modelos.

8. Transferencias internacionales de datos

PsicoGest diseña sus servicios para que el tratamiento de datos personales se realice preferentemente dentro del Espacio Económico Europeo (EEE). La base de datos principal de pacientes y usuarios se aloja en servidores ubicados en la Unión Europea (Supabase, región Frankfurt), al igual que el servicio de envío de emails (Brevo).

El uso de determinados proveedores de infraestructura global, como Vercel, puede implicar transferencias de datos técnicos (por ejemplo, direcciones IP, cabeceras HTTP, información de dispositivo) asociadas a la navegación y a la seguridad de la plataforma. PsicoGest configura estos servicios para minimizar el volumen de datos personales tratados y, cuando corresponde, se basa en Cláusulas Contractuales Tipo u otras garantías adecuadas previstas en el RGPD.

El asistente de IA que el equipo utiliza para soporte y operación (Anthropic, ver apartado 7) puede implicar transferencias de datos fuera del EEE. Se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea incluidas en su contrato de encargado.

Si excepcionalmente se previera una nueva transferencia de datos personales a un tercer país distinta de las descritas, PsicoGest aplicará las garantías adecuadas (por ejemplo, Cláusulas Contractuales Tipo u otra base de adecuación) e informará previamente a los usuarios afectados.

9. Conservación y plazos de supresión

PsicoGest aplica una política de conservación limitada conforme al principio de minimización del RGPD, eliminando o anonimizando los datos cuando dejan de ser necesarios para la finalidad original o por obligación legal.

• Cuentas de usuario: mientras exista la relación contractual o de soporte, y 5 años tras su finalización para obligaciones fiscales.
• Datos de pacientes: se eliminan o devuelven al profesional Responsable a la baja del servicio, según el Contrato de Encargo.
• Facturación emitida: las facturas expedidas a través de la plataforma y sus registros de facturación (incluidos los de VeriFactu) no se eliminan con la cuenta: se conservan bloqueadas, cifradas y sin acceso operativo, durante el plazo de prescripción de las obligaciones tributarias y mercantiles (art. 29.2.e de la Ley General Tributaria y art. 30 del Código de Comercio), únicamente para atender requerimientos de la Administración.
• Logs y accesos: logs de acceso y operación, un mínimo de 12 meses; registro de auditoría, 6 años.
• Copias de seguridad: retención rotatoria de 30 días, garantizando la recuperación de datos.
• Tickets de soporte: 12 meses tras el cierre, salvo que se extienda por una obligación legal o auditoría.

10. Derechos de los interesados y procedimiento

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad (Derechos ARSOPL) contactando con ventas@psicogest.es.

• Envía tu solicitud indicando el derecho que deseas ejercer y adjuntando prueba de identidad.
• Responderemos en un máximo de 30 días, ampliable a 2 meses en casos complejos (se notificará el motivo).
• Cuando la solicitud afecte a datos de pacientes, PsicoGest asistirá al profesional Responsable para su correcta tramitación.

Si no estás conforme con la respuesta o crees que se han vulnerado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

11. Cookies

Utilizamos cookies técnicas necesarias y, previo consentimiento, cookies analíticas y de preferencias. Puedes obtener más información o gestionar tus preferencias en nuestra Política de Cookies.

12. Datos de menores

PsicoGest no está dirigida a menores de 16 años. En los casos en que se traten datos de menores (p. ej., pacientes pediátricos), el profesional debe obtener el consentimiento de sus tutores legales conforme al RGPD y la LOPDGDD.

13. Cambios en esta política

PsicoGest podrá actualizar esta política para reflejar cambios legales o técnicos. En caso de modificaciones sustanciales, se notificará a los usuarios por correo o aviso en la plataforma. Se recomienda revisar periódicamente esta página.

14. Contacto y Delegado de Protección de Datos (DPD)

Psicogest Solutions SL ha designado un Delegado de Protección de Datos, comunicado a la Agencia Española de Protección de Datos: Ubimia Compliance S.L. (marca pdatos; antes Proyectos, Formación y Servicios, S.L.), administradatos@lextools.com.

Para cualquier duda sobre privacidad o protección de datos, puedes escribir al DPD o a ventas@psicogest.es.

15. Gestión de incidentes de seguridad

PsicoGest ha implantado un procedimiento de detección, análisis y notificación de incidentes de seguridad conforme al RGPD. En caso de brecha con riesgo para los derechos de las personas, se notificará sin dilación indebida y en menos de 72 horas desde que sea conocida a la autoridad de control y/o a los afectados.

Cuando la brecha afecte a datos de pacientes, el profesional Responsable será informado en un máximo de 48 horas de los hechos, las medidas adoptadas y las recomendaciones, conforme al Contrato de Encargo.

16. Registro de Actividades de Tratamiento (art. 30 RGPD)

PsicoGest mantiene un registro actualizado de las actividades de tratamiento tanto en calidad de Responsable como de Encargado. Su resumen de transparencia está publicado en Registro de Actividades de Tratamiento y la lista actualizada de subencargados, en /subencargados.