Privacidad, RGPD y datos de salud
Política de Privacidad
Última actualización: 25 de julio de 2026
1. Normativa y alcance
Esta política se aplica al sitio B2B, al proceso de contratación y, cuando se active el servicio SaaS, a los tratamientos asociados a la prestación tecnológica de EsteticManager.
- RGPD: Reglamento (UE) 2016/679, en especial principios, licitud, categorías especiales, privacidad desde el diseño, encargados, seguridad, brechas, derechos y EIPD.
- LOPDGDD: Ley Orgánica 3/2018, como adaptación española del RGPD.
- LSSI-CE: Ley 34/2002 para servicios de la sociedad de la información, información legal y cookies.
- Ley 41/2002: derechos del paciente, documentación clínica y acceso a historia clínica cuando la clínica use la solución con pacientes reales.
- Guías AEPD/EDPB: criterios sobre salud, brechas, seguridad, derechos y evaluación de impacto.
2. Responsable, encargado y datos de contacto
| Responsable del sitio B2B | EsteticManager [datos mercantiles definitivos pendientes de completar antes de producción pública] |
|---|---|
| Domicilio | Valencia, España [domicilio social definitivo pendiente] |
| Email de contacto | admin@esteticmanager.com |
| Email privacidad/DPO | admin@esteticmanager.com [contacto DPO o privacidad definitivo pendiente] |
| Rol en el SaaS clínico | La clínica cliente actúa normalmente como responsable del tratamiento de sus pacientes. EsteticManager actúa como encargado del tratamiento cuando presta hosting, software, soporte y mantenimiento bajo instrucciones documentadas. |
3. Datos que tratamos y finalidad
| Categoría de dato | Datos concretos | Finalidad | Base legal |
|---|---|---|---|
| Identificación | Nombre, apellidos | Gestionar el registro en lista de espera y comunicaciones previas al lanzamiento | Consentimiento expreso (Art. 6.1.a RGPD) |
| Contacto | Email profesional, teléfono (opcional) | Envío de notificaciones sobre el lanzamiento, acceso anticipado y comunicaciones comerciales autorizadas | Consentimiento expreso (Art. 6.1.a RGPD) |
| Datos profesionales | Nombre de la clínica, número de médicos, plan de interés | Personalización de la oferta comercial y segmentación de acceso prioritario | Consentimiento expreso (Art. 6.1.a RGPD) |
| Datos técnicos | Dirección IP, navegador, sistema operativo, eventos técnicos y analítica si se acepta | Analítica web para mejorar el sitio | Consentimiento (Art. 6.1.a RGPD) |
| Cuenta SaaS | Usuarios de clínica, roles, email, estado de cuenta, logs de acceso y configuración | Prestar el servicio, autenticar usuarios, aplicar permisos, soporte y seguridad | Contrato, interés legítimo en seguridad y obligaciones legales aplicables (Art. 6 RGPD) |
| Datos de pacientes | Identidad, contacto, citas, historia clínica, fotografías clínicas, consentimientos, facturas y comunicaciones | Gestión clínica por la clínica responsable y prestación técnica de EsteticManager como encargado | La clínica debe definir base Art. 6 y condición Art. 9 RGPD; normalmente asistencia sanitaria, gestión sanitaria, obligación legal o consentimiento cuando proceda |
| Seguridad y auditoría | Eventos de acceso, exportaciones, actor, rol, clínica, recurso, fecha y contexto operativo | Proteger confidencialidad, integridad, disponibilidad, trazabilidad y detección de abuso | Interés legítimo, contrato y obligación de seguridad (Arts. 5.2, 24, 25 y 32 RGPD) |
4. Plazo de conservación
Los leads B2B se conservarán durante el tiempo necesario para gestionar la solicitud, el proceso comercial y las obligaciones derivadas, o hasta que retires tu consentimiento cuando esa sea la base aplicable.
En el SaaS, los datos de pacientes se conservarán según las instrucciones de la clínica responsable, la normativa sanitaria aplicable y los mínimos legales. La historia clínica no debe borrarse de forma automática si existe obligación de conservación, bloqueo o defensa de reclamaciones.
Los backups, logs y auditorías tendrán plazos limitados, documentados y revisados por riesgo. Todo borrado productivo de datos clínicos debe tener autorización, trazabilidad y copia recuperable conforme al procedimiento aprobado.
5. Destinatarios, subencargados y transferencias
Los datos no se venden. Podrán acceder a ellos proveedores necesarios para prestar el servicio, siempre bajo contrato, confidencialidad, medidas de seguridad e instrucciones documentadas cuando actúen como encargados o subencargados.
- Hosting e infraestructura para alojar aplicación, base de datos, backups y logs.
- Identidad y autenticación para gestionar usuarios, sesiones, roles y recuperación de acceso.
- Email transaccional para notificaciones necesarias del servicio.
- Proveedor de pagos para contratación, checkout, facturación SaaS y conciliación.
- Analítica solo cuando exista consentimiento válido en el sitio público.
- Autoridades competentes, cuando exista obligación legal de comunicación.
Antes de operar con datos reales de salud debe publicarse o ponerse a disposición de los clientes el inventario de subencargados, ubicación, transferencias internacionales y garantías aplicables conforme al Capítulo V del RGPD.
6. Derechos de las personas
En virtud del RGPD y la LOPDGDD, puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas cuando proceda.
Conocer qué datos tenemos sobre ti.
Corregir datos inexactos o incompletos.
Solicitar el borrado de tus datos ("derecho al olvido").
Restringir el tratamiento de tus datos en ciertos casos.
Recibir tus datos en formato estructurado y legible.
Oponerte al tratamiento en cualquier momento.
Para datos B2B tratados por EsteticManager, escríbenos a admin@esteticmanager.com indicando tu identidad y el derecho que deseas ejercer. Responderemos en el plazo de un mes, ampliable cuando el RGPD lo permita.
Para datos de pacientes gestionados por una clínica, la clínica es normalmente el responsable del tratamiento. EsteticManager asistirá a la clínica en la atención del derecho cuando actúe como encargado. En historia clínica pueden existir límites, bloqueos o obligaciones legales de conservación.
Si consideras que el tratamiento de tus datos no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.
7. Seguridad
Aplicamos medidas técnicas y organizativas orientadas al Art. 32 RGPD: autenticación centralizada, control de acceso por roles, separación por clínica, protección CSRF en zona privada, cabeceras de seguridad, cookies seguras en producción, auditoría de accesos sensibles, backups cifrados y pruebas periódicas.
La evidencia productiva debe completarse para cada despliegue: HTTPS/TLS, cabeceras, cookies Secure, OIDC, restore de backups, custodia de claves, logs y procedimiento de rotación de secretos.
8. Brechas de seguridad
Todo incidente que pueda afectar a la confidencialidad, integridad o disponibilidad de datos personales será documentado y evaluado. Cuando exista riesgo para las personas, el responsable deberá notificar a la autoridad de control sin dilación indebida y, cuando sea posible, antes de 72 horas desde que tenga conocimiento. Si el riesgo es alto, se preparará comunicación a las personas afectadas.
9. Cookies
Este sitio web puede utilizar cookies propias y de terceros. Para más información, consulta nuestra Política de Cookies.
10. Modificaciones de esta política
Podemos actualizar esta Política de Privacidad para adaptarla a cambios legislativos o del servicio. Cuando lo hagamos, actualizaremos la fecha de "última actualización" en la parte superior. Si los cambios son sustanciales, te lo comunicaremos por email.