Política de Privacidad y Tratamiento de Datos Personales

1. Responsable y encargado del tratamiento

Para los datos de tus pacientes (audio de la consulta, transcripciones, notas clínicas), tú —o la clínica para la que trabajas— eres el responsable del tratamiento. Eres quien decide los fines y medios del tratamiento en el marco de la asistencia sanitaria que prestas.

Cliini, Inc., sociedad constituida en el estado de Delaware (Estados Unidos), con domicilio en 131 Continental Dr, Suite 305, Newark, Delaware 19713 (en adelante, “Cliini”), actúa como encargado del tratamiento conforme al art. 28 RGPD: trata los datos de tus pacientes únicamente siguiendo tus instrucciones documentadas y para prestarte el servicio. Estamos formalizando un contrato de encargo de tratamiento (DPA) que recoge las obligaciones del art. 28 RGPD; escríbenos a privacidad@cliini.ai y te lo haremos llegar en cuanto esté disponible.

Para tus datos de cuenta como médico (nombre, correo electrónico, datos de facturación), Cliini es el responsable del tratamiento.

2. Datos que tratamos

• Audio de la consulta médica: grabación de la voz del médico y del paciente. Almacenado cifrado en reposo y eliminado automáticamente a los 30 días.
• Transcripción de la conversación: texto derivado del audio, paso intermedio para generar la nota.
• Nota clínica generada: nota estructurada (motivo, antecedentes, exploración, impresión diagnóstica con CIE-10, plan) que tú revisas y validas antes de incorporarla a la historia clínica.
• Datos de cuenta del médico: nombre completo, correo electrónico, especialidad, datos profesionales opcionales y datos de facturación. Necesarios para autenticar y operar la cuenta.

Los datos relativos a la salud son una categoría especial de datos (art. 9 RGPD) y se tratan con las máximas garantías: cifrado en tránsito y en reposo, aislamiento estricto entre cuentas y obligación contractual de los subencargados de no usarlos para fines distintos a la prestación del servicio.

3. Base jurídica

• Datos de cuenta del médico: ejecución del contrato de servicio que aceptas al registrarte (art. 6.1.b RGPD).
• Datos de pacientes: los tratas tú, como responsable, en el marco de la asistencia sanitaria (art. 9.2.h RGPD y Ley 41/2002) y/o con el consentimiento explícito del paciente (art. 9.2.a RGPD), según el criterio que apliques en tu ejercicio. Cliini los trata exclusivamente como encargado, bajo tus instrucciones documentadas — no tiene base jurídica propia ni la necesita.

La aplicación incluye un guion verbal para informar al paciente de la grabación antes de iniciarla. Determinar la base jurídica aplicable a cada tratamiento y documentarla es responsabilidad tuya como responsable del tratamiento.

4. Finalidad

Cliini trata los datos con una única finalidad: generar la documentación clínica de la consulta — transcribir el audio, estructurar la nota y ponerla a tu disposición para que la revises y valides.

• Nunca usamos tus datos ni los de tus pacientes para entrenar modelos de inteligencia artificial, ni de Cliini ni de sus subencargados. Esto está confirmado contractualmente con cada proveedor al que enviamos datos por API.
• No vendemos datos ni los cedemos a terceros con fines comerciales, publicitarios o de perfilado.

5. Subencargados y transferencias internacionales

Cliini se apoya en proveedores externos especializados (subencargados, art. 28.4 RGPD) para prestar el servicio. Los enumeramos por categoría de servicio, no por nombre comercial — por política de seguridad y estándar del sector. Con cada uno existen términos contractuales que regulan el tratamiento de los datos:

• Proveedor de infraestructura en la nube (Estados Unidos) — Almacenamiento cifrado de base de datos, archivos de audio (cifrado en reposo) y servicio de autenticación.
• Proveedor de transcripción de voz (ASR) (Estados Unidos) — Transcripción del audio de la consulta a texto. Contractualmente prohibido el uso para entrenamiento de modelos.
• Proveedor de generación de notas con inteligencia artificial (Estados Unidos) — Generación de la nota clínica estructurada a partir de la transcripción. Contractualmente prohibido el uso para entrenamiento de modelos.
• Proveedor de correo transaccional (Estados Unidos) — Envío de correos operativos de la cuenta (acceso, avisos de servicio). No recibe datos de pacientes.
• Proveedor de procesamiento de pagos (Estados Unidos) — Gestión de suscripciones y cobros. No recibe datos de pacientes; los datos de tarjeta los trata directamente el proveedor.

Los subencargados están establecidos fuera del Espacio Económico Europeo (Estados Unidos). Esas transferencias internacionales se realizan con las garantías del Capítulo V del RGPD — Cláusulas Contractuales Tipo incorporadas en los acuerdos de tratamiento de datos de cada proveedor y, cuando aplica, certificación bajo el marco de adecuación entre la UE y EE. UU. —, complementadas con medidas suplementarias de cifrado en tránsito y en reposo. El detalle de las garantías aplicables a cada categoría formará parte del contrato de encargo de tratamiento (DPA).

Si esta lista cambia materialmente, se publicará una nueva versión de esta política y se te informará para que puedas oponerte al cambio conforme al contrato de encargo.

6. Conservación

• Audio original: se elimina automáticamente a los 30 días de finalizar la consulta (proceso programado diario). Puedes solicitar la eliminación inmediata desde la app.
• Nota clínica y transcripción: se conservan mientras mantengas tu cuenta activa. El deber de conservación de la historia clínica te corresponde a ti como responsable: la Ley 41/2002 (art. 17.1) fija un mínimo de 5 años desde el alta de cada proceso asistencial, y algunas comunidades autónomas fijan plazos superiores. Antes de cerrar tu cuenta, exporta las notas que debas conservar.
• Datos de cuenta del médico: mientras la cuenta esté activa. Al cerrarla, se eliminan en un plazo de 30 días salvo obligación legal de conservación (por ejemplo, facturación).

Los plazos, el procedimiento de borrado y lo que ocurre al cerrar la cuenta se detallan en la política de retención de datos.

7. Derechos

El RGPD (arts. 15 a 22) reconoce a cada interesado los derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento.

• Tus pacientes ejercen sus derechos ante ti (o ante tu clínica), como responsable del tratamiento. Cliini, como encargado, te asiste para atender esas solicitudes en los plazos del RGPD — por ejemplo, localizando, exportando o suprimiendo los datos afectados.
• Tú ejerces tus derechos sobre tus datos de cuenta escribiendo a privacidad@cliini.ai, indicando el derecho que ejerces. Respondemos dentro del plazo de un mes previsto en el art. 12.3 RGPD.

8. Autoridad de control

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), autoridad de control en España — www.aepd.es. Te agradecemos que antes nos escribas para intentar resolverlo directamente.

9. Seguridad

Cliini aplica medidas técnicas y organizativas diseñadas conforme al art. 32 RGPD:

• Cifrado en tránsito (TLS 1.2+) en todas las comunicaciones.
• Cifrado en reposo de audio, transcripciones y notas en la base de datos.
• Control de acceso por médico a nivel de base de datos: cada médico solo accede a los datos de sus propios pacientes.
• Registro de actividad de los accesos administrativos al sistema.

10. Menores

Los datos de pacientes menores de edad se tratan bajo tu responsabilidad como médico, conforme a la normativa sanitaria aplicable y con la información o el consentimiento de quienes ejercen la patria potestad o tutela cuando proceda. Cliini los procesa con las mismas garantías reforzadas que el resto de datos de salud.

11. Contacto

Para cualquier consulta relacionada con esta política, el contrato de encargo de tratamiento o el tratamiento de tus datos: privacidad@cliini.ai. Los cambios a esta política se anuncian en la app; los cambios materiales requieren tu re-aceptación.