Registro de Actividades de Tratamiento (Resumen)

0. Identificación del tratamiento

• Producto/servicio: PsicoGest (software de gestión clínica para profesionales y centros).
• Tipo: tratamiento automatizado.

1. Responsable del tratamiento

Psicogest Solutions SL (CIF/NIF: B22607246). Domicilio: Calle de Béjar 13, 2D, 28028 – Madrid (España).

2. Delegado de Protección de Datos (DPD)

Psicogest Solutions SL ha designado un Delegado de Protección de Datos, comunicado a la Agencia Española de Protección de Datos:

Ubimia Compliance S.L. (marca pdatos; antes Proyectos, Formación y Servicios, S.L.) — C/ María Tubau 9, Planta 4ª, Módulo B1, Centro Empresarial Bilma, 28050 Madrid. Email: administradatos@lextools.com. Cualquier consulta puede dirigirse también a ventas@psicogest.es.

3. Actividades de tratamiento

• Como Responsable: gestión de datos personales para el desarrollo, mantenimiento y prestación del servicio PsicoGest, incluyendo gestión contable, fiscal y administrativa de la entidad.
• Como Encargado, por cuenta del profesional o centro usuario y según el Contrato de Encargo: gestión de pacientes, agenda, historia clínica, documentos y facturación.
• Funciones de IA y Transcripción IA (opcionales): se ejecutan íntegramente en servidores propios de PsicoGest en Alemania (Unión Europea), sin ningún proveedor externo de inteligencia artificial ni de transcripción. La voz de las grabaciones es dato biométrico y, en cuanto revela información sobre la salud, de categoría especial (art. 9 RGPD).

4. Finalidades

• Prestación del servicio (cuentas, soporte y mantenimiento).
• Gestión administrativa, contable y fiscal vinculada al servicio.
• Seguridad y prevención de accesos no autorizados (logs/auditoría).

5. Categorías de interesados

• Profesionales usuarios/clientes (psicólogos y centros).
• Pacientes cuyos datos son introducidos por el profesional.

6. Categorías de datos

• Profesionales: identificativos y contacto, datos profesionales, facturación y transacciones.
• Pacientes: identificativos y, en su caso, datos de salud (categoría especial), según el uso del profesional.
• Grabaciones de voz y transcripciones: solo cuando el profesional usa la Transcripción IA.

7. Origen de los datos

Los datos proceden del propio interesado o del profesional usuario que los introduce en la plataforma por canales digitales (web, email, herramientas de soporte y comunicaciones).

8. Destinatarios

No se ceden datos a terceros salvo obligación legal. Para prestar el servicio se utilizan proveedores tecnológicos (subencargados) necesarios para infraestructura y comunicaciones.

Para sus propias tareas de soporte y operación, PsicoGest utiliza además como encargado a Anthropic Ireland, Limited (asistente de IA Claude, plan para empresas), con contrato de encargado y sin datos de pacientes.

Puedes consultar el listado actualizado en /subencargados.

9. Transferencias internacionales

PsicoGest diseña el tratamiento para operar preferentemente dentro del EEE. Si algún proveedor implicase transferencias internacionales (por ejemplo, datos técnicos de navegación/seguridad), se aplicarán las garantías adecuadas previstas en el RGPD y se informará de ello. Las del asistente de IA de soporte (Anthropic) se amparan en Cláusulas Contractuales Tipo.

10. Conservación

Los datos se conservan mientras exista relación contractual o de soporte, mientras no se solicite su supresión cuando proceda y/o durante los plazos legales aplicables. En particular:

• Logs de acceso y operación: un mínimo de 12 meses.
• Registro de auditoría: 6 años.
• Audio de las grabaciones: se elimina al completarse la transcripción. La transcripción literal no se conserva; la anonimizada, 90 días.
• Copias de seguridad cifradas: 30 días.
• Datos de pacientes: se conservan mientras la cuenta esté abierta y se borran al eliminarla. Las facturas emitidas se conservan bloqueadas el plazo que exige la ley.

11. Medidas de seguridad (resumen)

• Cifrado de datos en tránsito (TLS) y medidas de protección en reposo.
• Control de acceso (credenciales robustas y, cuando aplica, MFA).
• Logs de accesos/actividad relevante y medidas de auditoría.
• Backups y procedimientos de restauración.
• Gestión de incidentes, con notificación al profesional o centro en un máximo de 48 horas.