Política de privacidad

1. Responsable y contacto

Klinia es una plataforma SaaS de gestión para clínicas accesible desde kliniasolutions.com. El contacto responsable del servicio es Ángel Moscoso Fernández.

Para consultas de privacidad o solicitudes sobre tus datos puedes escribir a angelmoscosofernandez@kliniasolutions.com.

Cuando una clínica utiliza Klinia para gestionar datos de sus pacientes, esa clínica determina las finalidades del tratamiento de esos datos y debe facilitar su propia información de privacidad. Klinia presta el servicio tecnológico conforme a la relación contractual aplicable.

2. Datos tratados y finalidades

Tratamos datos de cuenta, configuración, seguridad, uso del servicio y soporte para autenticar usuarios, mantener la plataforma, prevenir abusos y atender incidencias. Las clínicas introducen y gestionan los datos de sus profesionales, pacientes y citas bajo su responsabilidad.

No vendemos datos personales, no utilizamos los datos obtenidos de Google para publicidad, no elaboramos perfiles publicitarios y no utilizamos esos datos para entrenar modelos de inteligencia artificial.

3. Integración opcional con Google Calendar

La conexión con Google Calendar es opcional y debe ser autorizada por una persona responsable de la clínica. Klinia sigue siendo la fuente principal de verdad para las citas clínicas.

Datos que utiliza Klinia

• La dirección de email de la cuenta Google conectada, para identificar la conexión autorizada.
• La lista de calendarios propiedad de esa cuenta, limitada a identificador, nombre y condición de calendario principal, para que la clínica elija dónde sincronizar.
• Intervalos de tiempo libre u ocupado del calendario seleccionado, para excluir huecos no disponibles.
• Los eventos de cita creados por Klinia en el calendario seleccionado, solo cuando la clínica activa expresamente esa opción.

Finalidad de cada permiso

• calendar.freebusy: consultar exclusivamente intervalos ocupados y evitar ofrecerlos en las reservas online.
• calendar.calendarlist.readonly: mostrar a la clínica sus calendarios disponibles para que seleccione uno. No permite modificar esa lista.
• calendar.events.owned: crear, actualizar o retirar eventos gestionados por Klinia en un calendario propiedad de la cuenta. Solo se solicita cuando se activa la sincronización de citas hacia Google.
• openid y email: identificar la cuenta Google que concede la autorización.

La consulta FreeBusy no solicita ni recupera títulos, descripciones, invitados, ubicaciones ni el contenido privado de los eventos. Klinia utiliza únicamente los intervalos ocupado/libre y no los almacena como citas clínicas.

Los eventos enviados por Klinia utilizan información mínima: el título “Klinia - Cita”, la franja horaria y una descripción genérica. No se envían diagnósticos, historiales, consentimientos, notas clínicas ni información sanitaria.

4. Tokens OAuth y seguridad

Los tokens OAuth de Google se almacenan cifrados en el backend de Klinia. No se entregan al navegador, no se incluyen en JavaScript y no se guardan en localStorage. El acceso está aislado por clínica y sujeto a controles de autorización.

Aplicamos medidas técnicas y organizativas razonables para proteger la información frente a accesos no autorizados, pérdida o alteración. Ningún sistema puede garantizar seguridad absoluta, por lo que revisamos y actualizamos estas medidas de forma periódica.

5. Desconexión y eliminación

La clínica puede desconectar Google Calendar desde Configuración. Al hacerlo, Klinia intenta revocar la credencial, desactiva la conexión y elimina de su backend los tokens de acceso y actualización cifrados. Las citas y pacientes de Klinia no se borran.

La desconexión detiene las futuras consultas y sincronizaciones. No elimina automáticamente los eventos que ya se hubieran creado en Google Calendar; la clínica puede gestionarlos desde su calendario.

Para solicitar acceso, rectificación, supresión, limitación u otra actuación sobre datos vinculados al servicio, escribe al contacto indicado. Atenderemos la solicitud tras verificar la identidad y teniendo en cuenta las obligaciones legales y la responsabilidad de la clínica sobre los datos de sus pacientes.

6. Conservación y proveedores

Conservamos los datos durante el tiempo necesario para prestar el servicio, cumplir obligaciones legales y resolver responsabilidades. Los tokens se conservan mientras la conexión esté activa y se eliminan del backend al desconectarla conforme al flujo descrito.

Podemos utilizar proveedores de infraestructura, alojamiento, comunicaciones y servicios de terceros que tratan datos únicamente para prestar sus funciones. Google trata la información conforme a sus propias condiciones y políticas cuando la clínica utiliza Google Calendar.

Con quién compartimos, transferimos o divulgamos datos de Google

Klinia no vende datos de usuarios de Google, no los comparte con anunciantes ni intermediarios de datos y no los utiliza para publicidad, elaboración de perfiles ni entrenamiento de modelos de inteligencia artificial. No los cedemos a terceros ajenos al servicio para sus propios fines.

Render proporciona el alojamiento del backend de Klinia y de su base de datos PostgreSQL. Esta infraestructura procesa los datos necesarios para identificar la cuenta autorizada, seleccionar el calendario, consultar disponibilidad y sincronizar eventos. La base de datos conserva la información de la conexión, los identificadores de sincronización y los tokens OAuth cifrados; el backend utiliza las credenciales para comunicarse con Google. PostgreSQL es la tecnología de base de datos, no un destinatario independiente. El tratamiento por estos proveedores técnicos se limita a prestar la infraestructura necesaria para las funciones solicitadas por la clínica, no a utilizar los datos de Google para fines propios ajenos al servicio.

Vercel aloja y distribuye el frontend de Klinia. En el flujo de Google Calendar, el navegador consulta directamente el backend: Vercel no interviene como intermediario de las llamadas del backend a Google ni como almacén de los tokens OAuth. La interfaz muestra al usuario autorizado de la clínica la cuenta conectada, los calendarios que puede seleccionar y el estado de sincronización. La página pública de reservas solo recibe los huecos disponibles, sin detalles de eventos de Google ni de otros pacientes.

Google recibe las solicitudes de autorización, disponibilidad y sincronización necesarias para la conexión que la clínica decide activar. Cuando se habilita la escritura, recibe los datos mínimos del evento gestionado por Klinia descritos en esta política. Estas comunicaciones se realizan para prestar las funciones autorizadas por la clínica.

Podremos divulgar los datos de Google estrictamente necesarios a las autoridades o destinatarios legalmente competentes cuando exista una obligación legal aplicable. No autorizamos otras transferencias para fines ajenos a los aquí descritos. El uso y las transferencias de datos de Google quedan sujetos a los requisitos de Limited Use indicados en la sección siguiente.

7. Uso limitado de datos de Google

8. Cambios en esta política

Podemos actualizar esta política cuando cambie el servicio, la normativa o una integración. La fecha de actualización se mostrará en esta página y, cuando el cambio sea relevante, se comunicará por medios razonables.