Política de Privacidad

1. Introducción

PhysioSense ("nosotros", "nuestro"), operada por Milena Orlandić, empresaria individual, Vladimira Rolovića 2a, Bar, Montenegro, opera el sitio web physiosense.net. Esta política describe cómo recopilamos, utilizamos y protegemos sus datos personales de acuerdo con el RGPD, la Ley de Protección de Datos Personales de Montenegro y las leyes de protección de datos aplicables.

PhysioSense está destinado a usuarios de 16 años o más. Si tiene menos de 16 años, solo puede usar PhysioSense con el consentimiento de un padre o tutor legal.

2. Datos que recopilamos

Datos de la cuenta:

• Dirección de correo electrónico (para autenticación)
• Nombre (para la visualización del perfil)
• Rol (ej., fisioterapeuta, estudiante)
• Número de licencia profesional (opcional)
• Selección del nivel de suscripción
• Datos de pago (procesados por Paddle — no almacenamos datos de tarjeta)

Datos de salud (Art. 9 RGPD — categoría especial):

• Datos de evaluación de salud (diagnóstico, fase de recuperación, duración de síntomas, nivel de dolor, estado funcional, edad del paciente, sexo, comorbilidades, equipamiento, objetivos, entorno de atención)
• Resultados reportados por el paciente (puntuaciones de dolor, puntuaciones funcionales, progreso clínico, datos de adherencia)
• Informes generados (contenido educativo personalizado basado en evidencia, documentos PDF)

Los datos de evaluación de salud se refieren a parámetros de escenarios clínicos ingresados por el usuario para generar informes basados en evidencia. Estos datos describen un escenario clínico y pueden o no corresponder a un paciente real. PhysioSense no recopila identificadores directos del paciente (nombre, fecha de nacimiento, dirección o número de identificación nacional).

Los usuarios clínicos (fisioterapeutas, médicos, etc.) pueden opcionalmente ingresar la dirección de correo electrónico y el número de teléfono de un paciente durante la admisión. En este caso, PhysioSense actúa como encargado del tratamiento en nombre del clínico, quien es responsable de obtener el consentimiento del paciente. Estos datos de contacto se almacenan junto con el registro clínico y se eliminan con él.

3. Cómo utilizamos sus datos

• Para proporcionar y personalizar la plataforma — Contrato, Art. 6(1)(b); Consentimiento explícito para datos de salud, Art. 9(2)(a)
• Para procesar suscripciones y pagos — Contrato, Art. 6(1)(b)
• Para enviar correos transaccionales (confirmación de cuenta, restablecimiento de contraseña) — Contrato, Art. 6(1)(b)
• Para la seguridad de la plataforma y seguimiento de errores — Interés legítimo, Art. 6(1)(f)
• Para mejorar la plataforma basándose en el uso agregado (con consentimiento) — Consentimiento, Art. 6(1)(a)
• Para generar información seudonimizada y agregada a partir de datos de resultados para investigación y mejora de la plataforma. Se aplica solo a datos seudonimizados sin identificadores directos. Los usuarios pueden optar por no participar a través de Configuración > Gestión de consentimiento — Interés legítimo, Art. 6(1)(f)

4. Almacenamiento y seguridad de datos

• Base de datos y autenticación: Supabase (UE — Irlanda). Seguridad a nivel de fila (RLS) en todas las tablas.
• Alojamiento de la aplicación: Vercel (UE — París, cdg1). Cifrado HTTPS/TLS, HSTS con duración de 2 años.
• Contraseñas: hasheadas mediante bcrypt (Supabase Auth). Nunca almacenamos contraseñas en texto plano.
• Encabezados de seguridad: Content-Security-Policy, X-Frame-Options (DENY para API, SAMEORIGIN para páginas), X-Content-Type-Options: nosniff, protección CSRF en todas las mutaciones.
• Copias de seguridad de resultados: cifradas y almacenadas en Supabase Storage (copia de seguridad diaria).

5. Sub-encargados

Utilizamos los siguientes sub-encargados para procesar sus datos:

No vendemos, alquilamos ni compartimos sus datos personales con terceros con fines de marketing. Se han establecido Acuerdos de Procesamiento de Datos (DPA) con todos los sub-encargados.

5b. Cookies

Para información sobre las cookies que utilizamos, consulte nuestra Política de Cookies.

5c. Transferencias internacionales de datos

Sus datos se almacenan en la UE: base de datos en Irlanda (Supabase), alojamiento en París (Vercel). La única transferencia fuera de la UE es su dirección de correo electrónico enviada a Resend (EE.UU.) para la entrega de correos transaccionales, protegida bajo Cláusulas Contractuales Tipo (CCT) conforme al Art. 46(2)(c) RGPD. No se transfieren datos de salud fuera de la UE.

6. Sus derechos (RGPD)

• Acceso (Art. 15) — vea sus datos en Configuración
• Rectificación (Art. 16) — actualice sus datos en Configuración
• Supresión (Art. 17) — solicite la eliminación de la cuenta en Configuración > Perfil
• Portabilidad de datos (Art. 20) — descargue todos sus datos en formato JSON a través de Configuración > Exportar datos
• Limitación (Art. 18) — contacte a privacy@physiosense.net
• Retirada del consentimiento (Art. 7(3)) — retire su consentimiento para el procesamiento de datos de salud en cualquier momento a través de Configuración > Gestión de consentimiento. La retirada no afecta la legalidad del procesamiento realizado antes de la retirada.
• Oposición (Art. 21) — contacte a privacy@physiosense.net
• Reclamación (Art. 77) — tiene derecho a presentar una reclamación ante una autoridad de supervisión. Para Montenegro: AZLP, www.azlp.me. Para residentes de la UE: su autoridad local de protección de datos.

7. Toma de decisiones automatizada

PhysioSense no toma decisiones automatizadas sobre usted. La generación de informes filtra evidencia publicada con base en su entrada, pero no constituye toma de decisiones automatizada ni elaboración de perfiles según el Art. 22 RGPD. Todas las decisiones permanecen con el clínico.

8. Retención de datos

• Datos de la cuenta: mientras la cuenta esté activa. Eliminación a solicitud a través de Configuración.
• Datos de salud: mientras exista el consentimiento. La retirada del consentimiento activa la eliminación.
• Informes generados: se eliminan de la vista del usuario tras la eliminación. Los datos seudonimizados (sin identificadores directos del paciente) pueden conservarse para aseguramiento de calidad e investigación agregada. La dirección de correo electrónico y ciertos datos de la cuenta permanecen vinculados a la cuenta y se eliminan con ella. Tras la eliminación de la cuenta, todos los datos personalmente identificables se eliminan permanentemente dentro de los 30 días.
• Registros de pago: 7 años (obligación legal).
• Registros de errores: 90 días (eliminación automática de Sentry).

8b. Biblioteca de ejercicios — solicitudes de video HD

Si solicita un video en alta definición de nuestra biblioteca pública de ejercicios, recopilamos la dirección de correo electrónico que proporcione, el idioma del contenido, una representación hash de su dirección IP (SHA-256) y la cadena de user-agent. No se requiere cuenta.

Base legal: su consentimiento explícito (RGPD artículo 6(1)(a)) otorgado mediante la casilla de consentimiento del formulario de solicitud.

Finalidad: enviarle el enlace HD una sola vez por correo y prevenir abusos mediante un límite simple de tasa (3 solicitudes por hora por IP hasheada). El correo no se utiliza para marketing.

Conservación: los registros se eliminan automáticamente 90 días después de la entrega del correo, o 30 días si la entrega falla. No almacenamos la IP en texto plano — solo un hash salado para limitar la tasa.

Sus derechos: para acceder o eliminar su registro antes del borrado automático, escríbanos a privacy@physiosense.net con la dirección de correo que utilizó.

9. Cambios en la política

Si realizamos cambios sustanciales en esta política, le notificaremos por correo electrónico al menos 14 días antes de que entren en vigor.

10. Contacto

Para consultas de privacidad, contáctenos en: privacy@physiosense.net

No hemos designado un Delegado de Protección de Datos (DPD) ya que nuestro procesamiento no alcanza los umbrales del Art. 37 RGPD.

Respondemos dentro de los 30 días de acuerdo con los requisitos del RGPD.

PhysioSense — Milena Orlandić, empresaria individual, Vladimira Rolovića 2a, Bar, Montenegro