Política de privacidad

Versión 2026-11-borrador. Esta política explica qué hacemos con los datos de los profesionales que usan FisioPauta y de quien visita esta web. ¿Eres paciente? Lee la información para pacientes: el responsable de tus datos de salud es tu fisioterapeuta.

Información básica

1. Quién es el responsable

De tus datos como profesional (tu cuenta) y de los de quien visita la web: Tecnofun Digital S.L, NIF B85000354, con domicilio en Camino Perales 35, 28232 Las Rozas de Madrid, titular de FisioPauta. Para cualquier cuestión de privacidad: [email protected].

De los datos de tus pacientes: el responsable eres tú (o tu clínica). Nosotros somos tu encargado del tratamiento y los tratamos solo por tu cuenta, según el contrato de encargo del tratamiento. Esta política no trata de esos datos.

2. Qué datos tratamos, para qué y con qué base legal

• Tu cuenta: nombre, apellidos, correo, contraseña (guardada cifrada de forma irreversible) y, si la activas, la verificación en dos pasos. Para darte acceso y prestarte el servicio. Base: el contrato (artículo 6.1.b del RGPD).
• Tu consulta: nombre, dirección, teléfono, web y logotipo, si los añades, para que aparezcan en lo que reciben tus pacientes (correos, PDF, app). Base: el contrato.
• Plan y pagos: plan contratado, estado del pago e identificadores de cliente de Stripe. Los datos de la tarjeta los trata Stripe y nunca llegan a nosotros. Las facturas, el tiempo que exige la ley. Base: el contrato y, para la facturación, obligación legal (artículo 6.1.c).
• Correos del servicio: verificación de la cuenta, avisos de tus pacientes, resumen diario (lo puedes desactivar en tu perfil), seguridad y cambios en las condiciones o en el contrato de encargo. No te enviamos publicidad de terceros. Base: el contrato.
• Uso y seguridad: fechas de acceso, dirección IP, intentos de entrada fallidos y uso del asistente de IA (número de consultas, para el límite del plan Gratis). Para proteger tu cuenta, evitar abusos y aplicar los límites del plan. Base: el contrato e interés legítimo en la seguridad del servicio (artículo 6.1.f).
• Si nos escribes: tu mensaje y tus datos de contacto, para responderte. Base: interés legítimo en atender tu consulta o, si ya eres usuario, el contrato.
• Visitantes de la web: el servidor registra datos técnicos de cada visita (dirección IP, fecha, página pedida) por seguridad. No usamos analítica ni publicidad. Base: interés legítimo en la seguridad.

Los datos de tu cuenta nos los das tú. Son necesarios para prestarte el servicio: sin ellos no podemos crear la cuenta.

No tomamos decisiones automatizadas que te produzcan efectos jurídicos ni elaboramos perfiles comerciales. El asistente de IA trabaja para ti: propone y tú decides.

3. A quién se comunican

Solo a proveedores que necesitamos para prestar el servicio, con contrato y siguiendo nuestras instrucciones:

• Stripe Payments Europe Ltd. (Irlanda): pagos del plan Profesional. Para sus propias obligaciones (prevención del fraude, normativa de pagos) Stripe actúa como responsable y puede tratar datos fuera de la UE con las garantías que indica su política de privacidad.
• Brevo (Sendinblue SAS, Francia, Unión Europea): envío de los correos del servicio.
• Cloudflare, Inc. (Estados Unidos): red por la que pasa el tráfico entre tu dispositivo y el servidor. Como el cifrado de la conexión (HTTPS) termina en Cloudflare, ve el contenido de las comunicaciones mientras las transporta, también las que incluyen datos de salud, pero no las guarda: el servicio no le permite almacenar en caché las respuestas con datos personales. La transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. y en las cláusulas contractuales tipo de su acuerdo de tratamiento de datos.
• Tailscale Inc. (Canadá, país con decisión de adecuación de la Comisión Europea): red que conecta el servidor con internet; transporta el tráfico cifrado y ve direcciones IP.
• Almacenamiento de copias de seguridad: Cloudflare, Inc. (servicio R2, con los datos en la Unión Europea). Guarda copias cifradas de la base de datos que no puede leer: la clave solo la conserva el titular.

También a la Administración Tributaria, a jueces y tribunales o a otras autoridades cuando una ley lo exija. No vendemos ni cedemos tus datos a nadie más.

4. Dónde se guardan

En un servidor propio del titular ubicado en España. Salvo lo indicado en el apartado anterior, no hay transferencias de datos fuera del Espacio Económico Europeo.

5. Cuánto tiempo

Mientras tengas la cuenta. Si la cierras, los datos de tu cuenta se suprimen pasados 90 días (el mismo plazo que tienes para descargar los datos de tus pacientes), salvo las facturas y lo necesario para atender posibles reclamaciones, que se conservan bloqueados el tiempo que fija la ley (en general, hasta 6 años para la documentación mercantil y fiscal). Los registros técnicos de seguridad se conservan el tiempo imprescindible, como máximo 90 días.

6. Cookies

Solo usamos cookies y almacenamiento local técnicos, necesarios para que el servicio funcione: la sesión del panel, la protección de los formularios y, en la app del paciente, la sesión y el dispositivo recordado si el paciente lo pide. No usamos cookies de analítica, de publicidad ni de terceros, así que no hace falta pedir consentimiento para ellas.

7. Tus derechos

Puedes pedir en cualquier momento:

• Acceso: saber qué datos tuyos tratamos y obtener una copia.
• Rectificación: corregir los que sean inexactos (la mayoría los puedes cambiar tú en el panel, en «Perfil»).
• Supresión: que borremos tus datos, salvo los que debamos conservar por ley.
• Oposición al tratamiento basado en interés legítimo, y limitación del tratamiento en los casos que prevé la ley.
• Portabilidad: recibir tus datos en un formato estructurado.

Escribe a [email protected] desde el correo de tu cuenta. Te responderemos en el plazo de un mes (ampliable dos meses más en casos complejos, avisándote). Si no estás de acuerdo con la respuesta, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Seguridad

Aplicamos medidas proporcionadas a datos de salud: conexión cifrada, verificación en dos pasos, aislamiento entre cuentas, copias de seguridad cifradas y un asistente de IA que no envía datos fuera del servidor. El detalle está en el Anexo III del contrato de encargo.

9. Cambios

Si cambiamos esta política de forma importante, te lo diremos por correo o en el panel antes de que se aplique. La versión vigente es siempre la publicada aquí.