Política de Privacidad

1. Responsable del Tratamiento

El responsable del tratamiento de datos procesados a través de TrichoSuite es TrichoSuite (entidad legal pendiente de constitución — TODO: legal entity TBD). Para las clínicas que utilizan nuestra plataforma, la clínica actúa como responsable del tratamiento de datos de pacientes, mientras que TrichoSuite actúa como encargado del tratamiento según el Artículo 28 del RGPD. Se firma un Contrato de Encargo de Tratamiento (DPA) con cada clínica.

2. Tipos de Datos que Recopilamos

Recopilamos diferentes categorías de datos personales según la relacion con el interesado:

• •Datos del Personal de la Clínica: Nombre, email, teléfono, rol profesional, credenciales de acceso y registros de actividad.
• •Datos de Identificación de Pacientes: Nombre, email, teléfono, fecha de nacimiento, dirección y DNI/NIE (cuando sea requerido para historiales médicos).
• •Datos Médicos (Categoría Especial): Clasificación Norwood/Ludwig, fotos del cuero cabelludo, escaneos 3D, historial médico, alergias, medicación, registros quirurgicos y documentación de seguimiento.
• •Datos de Comunicación: Mensajes de chat con personal de la clínica, conversaciones con chatbot de IA, grabaciones de videoconsultas (cuando se consiente).
• •Datos Tecnicos: Direcciones IP, tipo de navegador, información del dispositivo, registros de acceso y cookies para seguridad y analítica.

3. Tratamiento de Datos Médicos

Como plataforma para clínicas de trasplante capilar, procesamos datos de categoría especial (datos de salud) bajo el Artículo 9(2)(h) del RGPD - tratamiento con fines sanitarios. Esto incluye:

• •Escaneos LiDAR 3D del cuero cabelludo para planificación y documentación del tratamiento.
• •Registros fotograficos para clasificación, simulación y seguimiento del progreso.
• •Mediciones de densidad capilar, análisis del area donante y cálculos de injertos.
• •Registros quirurgicos incluyendo técnica (FUE, FUT, DHI), recuento de injertos y notas operatorias.
• •Historial médico incluyendo antecedentes familiares de alopecia, medicación y comorbilidades.
• •Recomendaciones de tratamiento, prescripciones y notas de seguimiento.
• •Formularios de consentimiento digital con firmas electrónicas.

4. IA y Tratamiento Automatizado

TrichoSuite utiliza inteligencia artificial para mejorar los servicios clinicos. Somos transparentes sobre como la IA procesa tus datos:

• •Chatbot IA: Nuestro asistente virtual impulsado por Claude (Anthropic) gestiona consultas de pacientes, programación de citas e información general. Las conversaciones se almacenan para mejorar la calidad del servicio y pueden ser revisadas por agentes humanos cuando se escalan. El asesoramiento médico personal siempre se deriva a profesionales cualificados.
• •Clasificación Norwood/Ludwig: Análisis por IA de fotos del cuero cabelludo para sugerir clasificación de perdida de cabello. Los resultados siempre son validados por profesionales médicos.
• •Simulación 3D: Predicciones generadas por IA de potenciales resultados post-trasplante. Son solo ayudas visuales y no constituyen garantías médicas.
• •Lead Scoring: Análisis automatizado de interacciones del chatbot para priorizar el seguimiento de la clínica. No se toman decisiones automatizadas con efectos legales unicamente por IA.
• •Base de Conocimiento RAG: Recuperación por IA de bases de conocimiento proporcionadas por la clínica para responder preguntas frecuentes con precisión.
• •Sin Perfilado para Marketing: No utilizamos IA para perfilar pacientes con fines de marketing ni vendemos datos a terceros.

5. Base Legal del Tratamiento

Procesamos datos personales bajo las siguientes bases legales definidas en el Artículo 6 del RGPD:

• •Ejecución de Contrato (Art. 6(1)(b)): Tratamiento necesario para proporcionar los servicios de la plataforma TrichoSuite a las clínicas.
• •Obligación Legal (Art. 6(1)(c)): Cumplimiento de requisitos fiscales, contables y de documentación sanitaria.
• •Interés Legitimo (Art. 6(1)(f)): Seguridad de la plataforma, prevención de fraude, mejora del servicio y analítica anonimizada.
• •Consentimiento Explícito (Art. 6(1)(a) y Art. 9(2)(a)): Para simulaciones IA, interacciones con chatbot, comunicaciones comerciales y escenarios específicos de comparticion de datos.
• •Prestacion Sanitaria (Art. 9(2)(h)): Tratamiento de datos de salud necesario para el tratamiento médico bajo la responsabilidad de profesionales sanitarios.

6. Como Utilizamos tus Datos

Tus datos se utilizan para los siguientes fines:

• •Proporcionar y mantener la plataforma TrichoSuite y todas sus funcionalidades.
• •Gestión de pacientes, programación de citas y mantenimiento de historiales médicos.
• •Análisis impulsado por IA incluyendo clasificación capilar, simulaciones y respuestas del chatbot.
• •Generación de informes, propuestas de tratamiento y documentación de seguimiento.
• •Comunicar actualizaciones del servicio, alertas de seguridad y notificaciones del sistema.
• •Mejora de la plataforma mediante analítica anonimizada y patrones de uso.
• •Cumplimiento de requisitos legales y regulatorios.
• •Soporte al cliente y asistencia técnica.

7. Comparticion de Datos y Terceros

Solo compartimos datos cuando es necesario para proporcionar nuestros servicios, todo bajo estrictos contratos de encargo de tratamiento:

• •Infraestructura Cloud: AWS (Amazon Web Services) y Railway para alojamiento, con centros de datos en la UE (Frankfurt, Irlanda).
• •Servicios IA: Anthropic (Claude) para funcionalidad del chatbot y OpenAI para embeddings - bajo el Marco de Privacidad de Datos UE-EE.UU.
• •Servicios de Email: Resend para emails transaccionales con tratamiento conforme al RGPD.
• •Procesamiento de Pagos: Stripe para facturación de suscripciónes - conforme a PCI-DSS.
• •Analítica: PostHog para analítica de producto centrada en privacidad con datos almacenados en la UE.
• •Monitorizacion de Errores: Sentry para monitorizacion de estabilidad de la aplicación.
• •Nunca vendemos datos personales a terceros ni los utilizamos con fines publicitarios.

8. Transferencias Internacionales de Datos

Algunos de nuestros proveedores de servicios están ubicados fuera de la UE/EEE. Para estas transferencias, garantizamos las salvaguardas apropiadas: Clausulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, o participacion en el Marco de Privacidad de Datos UE-EE.UU. Puedes solicitar una copia de las salvaguardas aplicables contactando a nuestro DPD. Los datos médicos de pacientes se almacenan principalmente en centros de datos de la UE.

9. Conservación de Datos

Conservamos los datos durante el período mínimo necesario para cumplir nuestros fines y obligaciones legales:

• •Datos de Cuenta de Clínica: Conservados durante la duración de la suscripción mas 5 años para cumplimiento legal.
• •Historiales Médicos de Pacientes: Minimo 15 años según requiere la normativa sanitaria espanola (Ley 41/2002).
• •Escaneos 3D y Fotos: Conservados como parte del historial médico salvo que se solicite eliminación específica y sea legalmente permitido.
• •Conversaciones de Chatbot: 3 años para calidad del servicio y resolución de disputas, luego anonimizadas.
• •Documentos de Consentimiento Firmados: Conservados indefinidamente o según requiera la normativa médica aplicable.
• •Datos Analiticos: Anonimizados dentro de los 26 meses desde la recopilación.
• •Registros de Seguridad: 1 año para fines de seguridad y prevención de fraude.

10. Medidas de Seguridad

Implementamos medidas técnicas y organizativas integrales para proteger tus datos:

• •Cifrado: Todos los datos cifrados en transito (TLS 1.3) y en reposo (AES-256).
• •Control de Acceso: Control de acceso basado en roles (RBAC) con principio de minimo privilegio.
• •Autenticación: Autenticación multifactor (MFA) y soporte WebAuthn/passkeys.
• •Registro de Auditoria: Registro exhaustivo de todos los accesos y modificaciones de datos.
• •Seguridad de Infraestructura: Proveedores cloud conformes a SOC 2, evaluaciones de seguridad regulares y pruebas de penetracion.
• •Formacion de Empleados: Formacion regular en privacidad y seguridad para todo el equipo.
• •Respuesta a Incidentes: Procedimientos documentados de respuesta a incidentes con notificación de brechas en 72 horas.
• •Copias de Seguridad: Backups cifrados con geo-redundancia y procedimientos de recuperación probados.

11. Cookies y Rastreo

Utilizamos cookies y tecnologías similares para funcionalidad esencial, preferencias de usuario y analítica anonimizada. Las cookies esenciales son necesarias para la seguridad y no pueden desactivarse. Las cookies funcionales y analíticas requieren tu consentimiento, que puedes gestionar en cualquier momento a traves del banner de configuración de cookies. No utilizamos cookies de publicidad de terceros. Para información detallada, consulta nuestra Política de Cookies accesible desde el pie de página.

12. Tus Derechos

Según el RGPD y la LOPDGDD, tienes los siguientes derechos respecto a tus datos personales:

• •Derecho de Acceso (Art. 15): Obtener confirmacion y una copia de los datos que tenemos sobre ti.
• •Derecho de Rectificacion (Art. 16): Corregir datos personales inexactos o incompletos.
• •Derecho de Supresion (Art. 17): Solicitar la eliminación de tus datos, sujeto a requisitos legales de conservación.
• •Derecho de Limitación (Art. 18): Limitar como procesamos tus datos en determinadas circunstancias.
• •Derecho a la Portabilidad (Art. 20): Recibir tus datos en un formato estructurado y legible por maquina.
• •Derecho de Oposicion (Art. 21): Oponerte al tratamiento basado en interés legitimo o para marketing directo.
• •Derecho a Retirar el Consentimiento: Retirar el consentimiento previamente otorgado en cualquier momento, sin afectar al tratamiento anterior.
• •Derechos sobre Decisiones Automatizadas (Art. 22): No ser objeto de decisiones basadas unicamente en tratamiento automatizado con efectos legales.
• •Para ejercer estos derechos, contacta con privacidad@trichosuite.com. Responderemos en un plazo de 30 días. Para datos médicos en poder de clínicas, contacta directamente con la clínica ya que ellos son los responsables del tratamiento.

13. Privacidad de Menores

TrichoSuite es una plataforma B2B para profesionales médicos. No recopilamos conscientemente datos de personas menores de 16 años. Si una clínica trata a pacientes menores de 18 años, se requiere consentimiento parental para el tratamiento de sus datos. Si crees que hemos recopilado inadvertidamente datos de un menor sin el consentimiento apropiado, contactanos inmediatamente.

14. Cambios en Esta Política

Podemos actualizar esta política de privacidad para reflejar cambios en nuestras prácticas o requisitos legales. Los cambios materiales se notificarán por email a los usuarios registrados con al menos 30 días de antelacion antes de entrar en vigor. La fecha de 'Última Actualización' en la parte superior de esta política indica cuando se reviso por última vez. El uso continuado de la plataforma después de que los cambios entren en vigor constituye aceptacion de la política actualizada.

15. Información de Contacto

Para cualquier pregunta relacionada con la privacidad, solicitudes de protección de datos o para ejercer tus derechos, contacta con nuestro Equipo de Protección de Datos en privacidad@trichosuite.com.

16. Autoridad de Control

Si consideras que tus derechos de protección de datos han sido vulnerados, tienes derecho a presentar una reclamación ante la autoridad de control de protección de datos de tu país. Los residentes en España pueden dirigirse a la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.