Política de Privacidad

1. Responsable del Tratamiento

El responsable del tratamiento de los datos personales recogidos a través de la plataforma SaluFile (en adelante, "la Plataforma") es:

• Razón social: NG Servicios Médicos S.L.
• CIF: B53855409
• Domicilio social: Calle Beethoven, 20 — 03203 Elche (Alicante), España
• Correo electrónico: info@saluhold.com

2. Descripción del Servicio

SaluFile es una plataforma de gestión de historia clínica electrónica diseñada para policlínicas, consultorios médicos y profesionales sanitarios. Forma parte del ecosistema SaluHold, que integra servicios complementarios de gestión sanitaria (SaluFirst, SaluFact) compartiendo datos maestros a través del servicio Identity.

3. Datos que Recopilamos

3.1 Datos de pacientes

• Datos identificativos: nombre, apellidos, DNI/NIF, fecha de nacimiento, sexo.
• Datos de contacto: dirección, teléfono, correo electrónico.
• Datos sanitarios: historia clínica, diagnósticos, tratamientos, prescripciones, resultados de pruebas. Se almacenan seudonimizados y separados de los datos identificativos conforme al apartado 2.

3.2 Datos de profesionales

• Datos identificativos: nombre, apellidos, DNI/NIF, número de colegiado.
• Datos profesionales: especialidad, título, rol dentro de la clínica.
• Datos de contacto: correo electrónico, teléfono.
• Datos de la cuenta: dirección de correo electrónico de acceso, historial de sesiones.

3.3 Datos técnicos

• Dirección IP, tipo de navegador, sistema operativo.
• Registros de acceso y actividad dentro de la Plataforma.
• Datos de uso agregados y anónimos con fines estadísticos.

4. Base Legal del Tratamiento

Los datos personales se tratan con las siguientes bases legales conforme al Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD):

• Ejecución de un contrato (art. 6.1.b RGPD): para la prestación del servicio a profesionales y clínicas.
• Obligación legal (art. 6.1.c RGPD): cumplimiento de la normativa sanitaria sobre conservación de historiales clínicos (Ley 41/2002).
• Interés vital (art. 6.1.d RGPD): cuando sea necesario para proteger la salud del paciente.
• Consentimiento (art. 6.1.a RGPD): para comunicaciones comerciales y servicios opcionales, como la vinculación de cuentas de Google Calendar.
• Interés legítimo (art. 6.1.f RGPD): para la mejora y seguridad del servicio.

5. Uso de Google APIs

SaluFile puede integrarse con servicios de Google (como Google Calendar) para facilitar la gestión de citas y agendas médicas. En ese caso:

• Se solicita autorización explícita al usuario antes de acceder a cualquier dato de Google.
• Solo se accede a los permisos mínimos necesarios (alcance limitado).
• Los tokens de acceso se almacenan de forma segura y cifrada.
• El usuario puede revocar el acceso en cualquier momento desde la configuración de su cuenta o desde la configuración de seguridad de Google.
• El uso de datos obtenidos de Google APIs cumple con la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de uso limitado.

6. Destinatarios de los Datos

Los datos personales podrán ser comunicados a:

• Google Cloud Platform (Firebase y Vertex AI): proveedor de infraestructura en la nube e inteligencia artificial. Los datos se alojan y procesan en centros de datos de la Unión Europea (región europe-west1 y multirregiones eur3 y eu). Las notificaciones push (Firebase Cloud Messaging) se entregan por la infraestructura global de Google.
• Resend: servicio de envío de correo electrónico transaccional para notificaciones, invitaciones y envío de recetas (Estados Unidos).
• EmailConnect (UE): recepción de los correos con resultados de laboratorio dirigidos al buzón de laboratorio de cada clínica.
• Stripe: cobro de la suscripción de la clínica o profesional (no trata datos de pacientes).
• Google reCAPTCHA Enterprise: solo en el formulario de alta (/register), para comprobar que quien se registra no es un programa automático. Google recibe datos técnicos del navegador y de la interacción con la página (dirección IP, características del dispositivo, movimientos y tiempos) y devuelve una puntuación de riesgo. Se conserva esa puntuación junto a la solicitud de alta. Base jurídica: interés legítimo en proteger el servicio frente a altas fraudulentas (art. 6.1.f RGPD).
• Otros profesionales sanitarios: únicamente en el marco de la atención clínica coordinada dentro de la misma clínica o grupo clínico.
• Autoridades competentes: cuando exista obligación legal.

No se realizan transferencias internacionales de datos fuera del Espacio Económico Europeo salvo las estrictamente necesarias para el envío de correo electrónico (Resend), las notificaciones push de Google y el cobro de la suscripción (Stripe), amparadas en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. o en Cláusulas Contractuales Tipo.

Respecto de los datos de pacientes, NG Servicios Médicos S.L. actúa como encargado del tratamiento de cada clínica o profesional, en los términos del Anexo I de las Condiciones de Servicio (contrato de encargo del tratamiento), que incluye la lista completa de subencargados. Los SMS a pacientes se envían con la cuenta de Mensatek de cada clínica, contratada por ella.

7. Medidas de Seguridad

SaluFile implementa medidas de seguridad técnicas y organizativas conforme a los estándares europeos más exigentes:

• Cifrado de datos en tránsito (TLS 1.3) y en reposo.
• Verificación obligatoria del correo electrónico en el alta, contraseñas de al menos 8 caracteres y cierre automático de sesión por inactividad.
• Copias de seguridad diarias de la base de datos con 14 días de retención y semanales con 8 semanas, almacenadas en la Unión Europea.
• Aislamiento de datos por clínica (multi-tenancy seguro) mediante reglas de seguridad a nivel de base de datos.
• Separación arquitectónica entre datos identificativos y datos sanitarios.
• Registros de auditoría de accesos y modificaciones.
• Control de acceso basado en roles (RBAC): administrador, médico, enfermero, gestor, administrativo.
• Cabeceras de seguridad HTTP: X-Content-Type-Options, X-Frame-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy.
• Cumplimiento del Esquema Nacional de Seguridad (ENS) y estándares ISO 27001 de referencia.

8. Conservación de los Datos

• Datos clínicos: los conserva cada clínica o profesional, como responsable, durante los plazos de la Ley 41/2002 de Autonomía del Paciente y de la normativa autonómica (con carácter general, un mínimo de 5 años desde el alta de cada proceso asistencial). Si la clínica deja el servicio, dispone de 30 días para exportarlos y después se suprimen de SaluFile en un máximo de 90 días (Anexo I, cláusula 9).
• Datos de cuenta profesional: mientras se mantenga la relación contractual y, posteriormente, durante los plazos legales de prescripción.
• Datos técnicos y de registro: máximo 12 meses.
• Tokens de Google: hasta que el usuario revoque el acceso o se dé de baja del servicio.

9. Cookies y Tecnologías Similares

SaluFile utiliza las siguientes cookies y mecanismos de almacenamiento local:

• Cookies esenciales: necesarias para la autenticación, gestión de sesiones y seguridad de la Plataforma. No requieren consentimiento previo.
• Almacenamiento local (localStorage): para mantener preferencias de interfaz del usuario (tema, filtros, última pestaña activa).
• Cookies de Firebase Authentication: para la gestión segura de sesiones de usuario.
• Google reCAPTCHA (solo en el formulario de alta): cookies técnicas de seguridad de Google para distinguir personas de programas automáticos. No se cargan en el resto de la Plataforma.

SaluFile no utiliza cookies de terceros con fines publicitarios ni de seguimiento. No se emplean cookies de analítica de terceros (Google Analytics, etc.).

10. Derechos del Usuario

Conforme al RGPD y la LOPDGDD, los usuarios tienen derecho a:

• Acceso: conocer qué datos personales se están tratando.
• Rectificación: solicitar la corrección de datos inexactos.
• Supresión: solicitar la eliminación de sus datos, salvo obligación legal de conservación.
• Limitación: solicitar la limitación del tratamiento en determinadas circunstancias.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Oposición: oponerse al tratamiento en base a interés legítimo.
• Revocación del consentimiento: retirar el consentimiento otorgado en cualquier momento.

Para ejercer estos derechos, puede dirigirse a info@saluhold.com indicando su nombre completo, DNI y el derecho que desea ejercer.

Asimismo, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

11. Menores de Edad

SaluFile no está dirigido a menores de 16 años como usuarios directos de la Plataforma. Los datos de menores pacientes son gestionados exclusivamente por los profesionales sanitarios autorizados, en el ejercicio de su actividad clínica y bajo la responsabilidad de la clínica correspondiente.

12. Modificaciones

NG Servicios Médicos S.L. se reserva el derecho a modificar esta Política de Privacidad. En caso de cambios sustanciales, se notificará a los usuarios a través de la Plataforma o por correo electrónico con al menos 30 días de antelación.

13. Contacto

Para cualquier consulta relacionada con la privacidad y protección de datos:

• Email: info@saluhold.com
• Dirección postal: NG Servicios Médicos S.L., Calle Beethoven 20, 03203 Elche (Alicante), España