Política de Privacidad

Última actualización: 26 de septiembre de 2026

Esta política explica cómo tratamos los datos personales en los productos de Elventia, entre ellos Atendaria. Está escrita para leerse, no para defendernos de quien la lee.

1. Responsable del tratamiento

2. Dos papeles distintos, y la diferencia importa

En el mismo servicio tratamos dos conjuntos de datos con responsabilidades diferentes:

• Somos responsables de los datos de la cuenta de quien contrata: el profesional o la clínica.
• Somos encargados del tratamiento de los datos de los pacientes. Quien decide los fines y los medios es la consulta, que es la responsable; nosotros los tratamos únicamente siguiendo sus instrucciones, dentro de lo que el software hace.

En la práctica: si eres paciente y quieres saber qué se hace con tus datos, o borrarlos, la vía más rápida es pedírselo a la consulta que te atiende. Si nos lo pide ella, lo ejecutamos. También puedes escribir a privacy@elventia.com: trasladamos la solicitud al responsable y la seguimos.

3. Qué datos tratamos

De la cuenta (nosotros como responsables)

• Nombre, correo electrónico, teléfono, nombre de la consulta y dirección profesional.
• Datos de contratación: plan, forma de pago e historial de facturas. Los datos de la tarjeta los trata directamente el proveedor de pago: no pasan por nosotros ni se guardan en nuestros servidores.
• Registros técnicos de acceso: fecha, hora y dirección IP, conservados por seguridad y por obligación legal.

De los pacientes (nosotros como encargados)

• Nombre y número de WhatsApp.
• Citas reservadas, cambiadas o anuladas, y el servicio reservado.
• El contenido de los mensajes intercambiados con la asistente, necesario para entender la petición y responder.

4. Qué no tratamos, deliberadamente

La asistente se ocupa de agenda y logística. Por decisión de producto, no por azar:

• Nunca pregunta el motivo de la consulta, ni síntomas, ni historial médico.
• Nunca da orientación clínica. Cualquier asunto sanitario se devuelve al profesional.
• No usamos el contenido de las conversaciones para publicidad, ni lo vendemos ni lo cedemos a terceros con fines comerciales.

5. Finalidades y bases jurídicas

• Prestar el servicio — atender a los pacientes en WhatsApp, gestionar la agenda, enviar confirmaciones y recordatorios. Base: ejecución del contrato (art. 6.1.b RGPD) para la cuenta; para los datos de los pacientes la base la determina la consulta, que es la responsable.
• Facturación y obligaciones fiscales — base: obligación legal (art. 6.1.c).
• Seguridad, prevención del fraude y corrección de fallos — base: interés legítimo (art. 6.1.f), limitado a lo necesario.
• Soporte — responder a quien nos escribe. Base: contrato o interés legítimo, según el caso.
• Análisis administrativos — agrupar datos operativos y presentar sugerencias al titular de la consulta. No producen decisiones clínicas ni decisiones automatizadas con efectos jurídicos.

También analizamos los datos operativos de la clínica y organizamos grupos administrativos para presentar sugerencias al titular. Estas requieren su evaluación: no deciden automáticamente atención, conductas clínicas ni derechos de las personas.

6. Cuánto tiempo conservamos

• Mensajes de WhatsApp: plazo operativo de 365 días, aplicado por el proceso automático de eliminación.
• Agenda y registros de pacientes: durante el servicio o hasta una solicitud válida de eliminación.
• Cuenta: eliminada mediante el proceso de cierre, sin perjuicio de las obligaciones legales de conservación. Eliminar la última clínica elimina la cuenta y su prueba de aceptación en el sistema activo.
• Copias cifradas: destinadas a la recuperación, con conservación operativa de 30 días. Se eliminan durante la rotación; una indisponibilidad puede retrasar la ejecución hasta que el proceso se reanude. Los datos eliminados no se reutilizan en la operación corriente.
• Facturas y registros fiscales: conservados durante el plazo legal aplicable, incluso después del cierre.

7. Con quién compartimos

• Meta Platforms — los mensajes pasan por la plataforma oficial de WhatsApp Business. Sin ella no hay WhatsApp.
• Proveedor de pago — para cobrar la cuota y emitir facturas. Recibe datos de facturación, no datos de pacientes.
• Infraestructura — los servidores donde se ejecuta el servicio.
• Monitorización de errores — cuando está activa, un servicio de registro de fallos técnicos, configurado para no recoger datos personales.

La infraestructura utiliza OVHcloud; Stripe procesa pagos; Brevo entrega emails de cuenta; Cloudflare proporciona DNS y alojamiento de la web pública. Cada servicio recibe solo los datos necesarios para su función. Las conversaciones se procesan con modelos en infraestructura bajo nuestro control en Italia, sin enviarlas a API de IA de terceros ni utilizarlas para entrenamiento externo.

8. Dónde están los datos

La aplicación y la base de datos se alojan en Canadá. Los modelos de lenguaje y las copias locales cifradas operan en Italia; también hay copias cifradas en el VPS canadiense. Meta trata datos en las ubicaciones previstas en sus propios términos. Elventia debe garantizar un mecanismo válido para las transferencias de su responsabilidad conforme al art. 33 LGPD y facilitar información sobre destinatarios y garantías aplicables mediante privacy@elventia.com. La ubicación en la Unión Europea no extiende automáticamente una decisión de adecuación a Canadá.

9. Seguridad

• Tráfico cifrado entre el navegador y nuestros servidores.
• Tokens de acceso a WhatsApp guardados cifrados, nunca en claro.
• Separación estricta entre cuentas: ninguna consulta ve los datos de otra, y la asistente nunca revela a un paciente los datos de otro.
• Acceso interno limitado a lo estrictamente necesario para soporte y mantenimiento.

Ningún sistema es infalible. Ante una brecha que pueda suponer un riesgo relevante, lo comunicaremos a los responsables afectados y a la autoridad competente en los plazos legales.

10. Tus derechos

Puedes solicitar en cualquier momento y de forma gratuita: acceso a tus datos, rectificación, supresión, limitación del tratamiento, portabilidad y oposición al tratamiento basado en el interés legítimo.

Escribe a privacy@elventia.com: respondemos en un plazo de 30 días. Si la solicitud se refiere a datos de un paciente, necesitamos la autorización de la consulta, que es la responsable — y la ayudamos a atenderla. Véase también Eliminación de datos.

También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD) o ante la autoridad de control de tu país de residencia; para Brasil, la ANPD.

11. Cookies

Este sitio institucional no usa cookies de seguimiento ni herramientas de analítica. En el panel del producto usamos solo cookies técnicas: las que mantienen la sesión iniciada y la protegen. Sin ellas el acceso no funciona, y por eso no requieren consentimiento.

12. Menores

El servicio lo contratan profesionales y clínicas, no menores. Cuando el paciente es menor de edad, la cita la concierta quien ostenta la patria potestad o tutela, y corresponde a la consulta —como responsable— asegurarse de ello.

13. Cambios

Si esta política cambia de forma relevante, avisamos a los clientes por correo antes de que el cambio surta efecto, y la fecha de arriba se actualiza siempre.

14. Contacto

Privacidad: privacy@elventia.com. Otros asuntos: info@elventia.com.