Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento es Fos a Blanc, S.L., con NIF B66717612 y domicilio en Calle Pamplona 88, 4.1, 08018 Barcelona, España, titular de Serenia Studio.

Contacto: support@fantasktic-studio.com.

Sobre los datos clínicos de un paciente, Serenia Studio no decide sola: el centro o el profesional que le atiende y Serenia son corresponsables del tratamiento (Art. 26 RGPD), y cada uno responde de una parte. Aquí está el reparto, en lenguaje llano.

Delegado de Protección de Datos (DPO): Serenia no ha designado delegado. No trata datos de salud a gran escala en el sentido del Art. 37.1.c RGPD, ya que quien decide sobre cada historia clínica es el profesional que atiende a esa persona y el volumen que Serenia trata por cuenta propia no alcanza ese umbral. Si esa situación cambia, se designará uno, se publicarán aquí sus datos de contacto y se comunicará a la Agencia Española de Protección de Datos. Mientras tanto, cualquier cuestión de protección de datos se atiende en la dirección de contacto de arriba.

2. Datos que tratamos

• Identificativos: nombre, apellidos, correo electrónico, contraseña cifrada, teléfono, NIF, fecha de nacimiento y dirección fiscal.
• Datos de salud (categoría especial, Art. 9 RGPD): historia clínica, notas de sesión, diagnósticos y tratamientos. Se tratan exclusivamente bajo control del profesional sanitario.
• Grabaciones y transcripciones: opcionales, sólo con consentimiento explícito y separado.
• Pagos: importes, facturas y método de pago. No almacenamos números completos de tarjeta.
• Técnicos: dirección IP, tipo de navegador y registros de acceso, con fines de seguridad y auditoría.
• Consentimientos: versión del documento firmado, fecha, dirección IP, agente de usuario y PDF de la firma.

3. Finalidades y base legal

4. Menores

Si el paciente es menor de 14 años (Art. 7 LOPDGDD), el consentimiento lo presta su tutor legal y queda registrado como tal en el sistema. Para menores de entre 14 y 17 años puede requerirse consentimiento combinado, según el tipo de tratamiento clínico.

5. Encargados del tratamiento

Contratamos a los siguientes encargados para operar la plataforma. Todos firman un contrato de encargo conforme al Art. 28 RGPD y aplican medidas técnicas equivalentes o superiores a las nuestras.

• Hetzner (Alemania, UE): infraestructura y base de datos.
• Cloudflare R2: almacenamiento cifrado de grabaciones y documentos.
• Stripe Payments Europe (Irlanda y Estados Unidos): procesamiento de pagos.
• Resend (Estados Unidos): envío de correo electrónico.
• LiveKit: infraestructura de videoconsulta.
• ElevenLabs (Estados Unidos): transcripción automática, sólo con consentimiento explícito del paciente.
• Google (Estados Unidos): sincronización opcional del calendario del terapeuta.
• Sentry (Estados Unidos): monitorización de errores.
• GitHub y Microsoft (Estados Unidos): código fuente e integración continua.

6. Transferencias internacionales

Algunos encargados (Stripe, Resend, ElevenLabs, Google, Sentry y GitHub) procesan datos en Estados Unidos. Tras la sentencia Schrems II aplicamos Cláusulas Contractuales Tipo (2021/914) y, cuando procede, verificamos su certificación en el Data Privacy Framework. Puedes pedir copia del mecanismo aplicable escribiendo a support@fantasktic-studio.com.

7. Plazos de conservación

• Cuenta y datos identificativos: mientras la cuenta esté activa, con 30 días de gracia tras solicitar la supresión.
• Historia clínica: mínimo 5 años desde el alta del proceso asistencial (Art. 17 de la Ley 41/2002). Durante ese periodo se aplica bloqueo conforme al Art. 32 LOPDGDD.
• Facturación: 7 años, por obligaciones fiscales y mercantiles.
• Grabaciones y transcripciones: según el consentimiento prestado. Se eliminan en cuanto se revoca.
• Registro de accesos: 7 años (Art. 32 RGPD).
• Registros técnicos: hasta 90 días.

8. Tus derechos

Puedes ejercer en cualquier momento los derechos de los Art. 15 a 22 RGPD:

• Acceso a tus datos (Art. 15).
• Rectificación (Art. 16).
• Supresión, o derecho al olvido (Art. 17).
• Limitación del tratamiento (Art. 18).
• Portabilidad en formato estructurado (Art. 20).
• Oposición al tratamiento (Art. 21).
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

Desde tu portal puedes exportar tus datos y solicitar la eliminación de tu cuenta sin pedírnoslo. Para el resto de derechos, escríbenos a support@fantasktic-studio.com. Te respondemos en el plazo máximo de un mes.

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

9. Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo: cifrado en tránsito con TLS 1.2 o superior; cifrado en reposo del texto clínico, las grabaciones y los tokens; contraseñas guardadas con bcrypt; cabeceras HTTP estrictas (HSTS, CSP, X-Frame-Options); control de acceso por organización y por rol; limitación de peticiones en dos capas; registro de todos los accesos a datos de paciente con detección de accesos anómalos; y un plan de respuesta a incidentes con notificación a la Agencia Española de Protección de Datos en el plazo de 72 horas del Art. 33 RGPD.

10. Cookies

Usamos únicamente cookies estrictamente necesarias para la autenticación y la sesión. Cualquier otra categoría espera a tu consentimiento. El detalle de cada una está en la política de cookies.

11. Notificación de brechas de seguridad

Si se produce una violación de seguridad con riesgo probable para tus derechos, te lo notificaremos sin dilación, describiendo qué ha pasado, qué medidas hemos tomado y qué te recomendamos hacer. En paralelo informaremos a la Agencia Española de Protección de Datos en el plazo máximo de 72 horas que exige el Art. 33 RGPD.

12. Cambios en esta política

Si esta política cambia de forma sustancial, te lo notificaremos por correo electrónico o mediante un aviso destacado en la aplicación antes de que los cambios sean efectivos.