La presente Política de Privacidad regula el tratamiento de datos personales efectuado en el marco de los servicios prestados a través del sitio web qarefy.com (el "Sitio Web") y de la aplicación móvil Qarefy (la "App", conjuntamente con el Sitio Web, la "Plataforma"). Esta Política da cumplimiento a los deberes de información del Reglamento (UE) 2016/679 ("RGPD") y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ("LOPDGDD").
1. Identidad de los responsables del tratamiento
Los tratamientos descritos en esta Política son realizados por dos responsables diferenciados:
- (a) METAQARE EUROPE HOLDINGS LIMITED (Unit 3D North Point House, North Point Business Park, New Mallow Road, Cork, T23 AT2P, Irlanda; Nº de Registro 805403) — responsable del tratamiento relativo al uso de la Plataforma, la cuenta de usuario, la facturación y la seguridad del servicio.
- (b) QFISIO, CENTRO DE FISIOTERAPIA Y OSTEOPATIA, S.L. (con códigos de Registro Sanitario 1606518 y 1608048) — responsable del tratamiento de los datos de salud y de la historia clínica derivados de la prestación de los servicios sanitarios.
Los dos responsables han suscrito un acuerdo de corresponsabilidad conforme al artículo 26 RGPD, cuyos aspectos esenciales están disponibles en /corresponsabilidad.
2. Datos de contacto del Delegado de Protección de Datos (DPO)
El usuario podrá dirigirse al DPO conjunto de ambos responsables en la dirección [email protected] o por correo postal al domicilio de MetaQare Europe Holdings Limited arriba indicado, haciendo referencia en el asunto a "Atención DPO Qarefy".
3. Categorías de datos tratados
3.1. Datos de identificación y contacto
Nombre y apellidos, NIF/NIE o documento equivalente, fecha de nacimiento, sexo, dirección postal, correo electrónico, número de teléfono.
3.2. Datos de salud (categoría especial — art. 9 RGPD)
Antecedentes personales y familiares, medicación, alergias, síntomas, diagnósticos, tratamientos prescritos, informes clínicos, resultados de pruebas, grabaciones o transcripciones de consulta (solo con consentimiento expreso) e información facilitada a los asistentes de IA clínica.
3.3. Datos de facturación y pago
Datos bancarios tokenizados a través del proveedor de pagos (Stripe), historial de transacciones, dirección de facturación.
3.4. Datos técnicos y de uso
Dirección IP, identificador de dispositivo, geolocalización aproximada (a nivel de país y provincia, salvo consentimiento explícito para geolocalización precisa), registro de acceso, cookies técnicas y analíticas con el consentimiento del usuario.
3.5. Datos de terceros
Cuando el usuario actúa como representante legal de un menor o de una persona con capacidad modificada judicialmente, se recogen los datos del representado que resulten imprescindibles.
4. Fines del tratamiento, bases legales y plazos de conservación
- 4.1. Gestión de cuenta y prestación del servicio — ejecución de contrato (art. 6.1.b RGPD). Conservación: mientras se mantenga la cuenta activa; posteriormente, bloqueados durante los plazos legales aplicables.
- 4.2. Asistencia sanitaria y confección de la historia clínica — protección de intereses vitales y prestación de asistencia sanitaria (art. 9.2.h RGPD y Ley 41/2002). Conservación: mínimo cinco años desde el alta del proceso asistencial y hasta quince años en los supuestos previstos por la normativa autonómica aplicable.
- 4.3. Cumplimiento contable, fiscal y mercantil — obligación legal (art. 6.1.c RGPD; Ley 58/2003 General Tributaria). Conservación: seis años.
- 4.4. Sistemas de IA de apoyo clínico (1coma3, Authors of Clinical, CDH, ARIA, SCRIBE, SAGE, PHARM, SENTINEL, COACH) — ejecución de contrato (art. 6.1.b) y asistencia sanitaria (art. 9.2.h). Las decisiones clínicas son adoptadas en todo caso por un profesional sanitario humano; los sistemas de IA no emiten diagnósticos con carácter automatizado vinculante. Conservación: ligada al historial clínico.
- 4.5. Entrenamiento y mejora de modelos de IA con datos anonimizados — interés legítimo (art. 6.1.f) tras un proceso de anonimización irreversible que sitúa los datos fuera del ámbito del RGPD. El usuario puede oponerse a la inclusión de sus datos en este proceso.
- 4.6. Comunicaciones comerciales — consentimiento (art. 6.1.a) o interés legítimo respecto de usuarios ya clientes respecto de servicios análogos (art. 21.2 LSSI). Conservación: hasta retirada del consentimiento u oposición, más los plazos legales.
- 4.7. Farmacovigilancia, notificación de eventos adversos y cooperación con autoridades sanitarias — cumplimiento de obligación legal (art. 6.1.c; art. 9.2.i RGPD).
- 4.8. Prevención del fraude y seguridad de la Plataforma — interés legítimo (art. 6.1.f).
5. Destinatarios y encargados del tratamiento
Los datos personales podrán ser comunicados a las siguientes categorías de destinatarios, siempre que concurra una base legal habilitante:
- Profesionales sanitarios colegiados asignados a cada consulta.
- Aseguradoras de asistencia sanitaria cuando el usuario haga uso de su póliza.
- Autoridades sanitarias y judiciales cuando así lo exija la ley.
- Entidades financieras y proveedores de servicios de pago.
Los encargados del tratamiento (infraestructura cloud, herramientas de IA, videoconsulta, facturación, mensajería, soporte) actúan bajo contrato suscrito conforme al artículo 28 RGPD. La lista actualizada de subencargados se publica en /subencargados.
6. Transferencias internacionales
Con carácter general, los datos se tratan dentro del Espacio Económico Europeo. Cuando excepcionalmente resulten necesarias transferencias a terceros países, éstas se realizarán al amparo de decisiones de adecuación de la Comisión Europea o, en su defecto, mediante Cláusulas Contractuales Tipo aprobadas por la Decisión (UE) 2021/914, acompañadas de una Evaluación de Impacto de Transferencia (TIA) y de las garantías adicionales que, en cada caso, resulten necesarias. El detalle de las transferencias internacionales se publica en /transferencias-internacionales.
7. Derechos del usuario
El usuario puede ejercitar los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad, a no ser objeto de decisiones automatizadas y a retirar el consentimiento prestado, dirigiéndose a [email protected] o a través del formulario disponible en /derechos-gdpr.
La respuesta se facilitará, como regla general, en el plazo máximo de un mes desde la recepción de la solicitud. Si el usuario considera que sus derechos no han sido adecuadamente atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — C/ Jorge Juan 6, 28001 Madrid, www.aepd.es.
8. Decisiones automatizadas y sistemas de inteligencia artificial
Qarefy utiliza sistemas de inteligencia artificial como herramientas de apoyo a los profesionales sanitarios. En ningún caso se adoptan decisiones clínicas con efectos jurídicos o significativos basadas únicamente en tratamientos automatizados. El usuario puede obtener información detallada sobre el funcionamiento, limitaciones y medidas de supervisión humana en /politica-ia-responsable y en /ficha-sistemas-ia.
9. Medidas de seguridad
Qarefy aplica medidas técnicas y organizativas apropiadas para garantizar la confidencialidad, integridad y disponibilidad de los datos, alineadas con los estándares ISO/IEC 27001, ISO/IEC 27701 e ISO/IEC 27799 y con el Esquema Nacional de Seguridad. Los datos de salud se cifran en tránsito (TLS 1.3) y en reposo (AES-256). El acceso a la historia clínica queda trazado en un registro de auditoría inmutable.
10. Menores
La contratación de servicios a través de Qarefy requiere ser mayor de catorce años con el consentimiento de los titulares de la patria potestad. La información completa sobre el tratamiento de datos de menores se recoge en /menores-y-familia.
11. Modificaciones
La presente Política puede ser actualizada para reflejar cambios normativos, jurisprudenciales o de la propia Plataforma. Las versiones anteriores se archivan de forma que el usuario pueda consultarlas. Los cambios sustanciales se notificarán al usuario por los canales de comunicación habituales.