Política de Privacidad

Última actualización: 20 de octubre de 2026

1. Responsable del tratamiento

2. Qué datos tratamos

a) Datos de la cuenta

Nombre, correo electrónico, contraseña (almacenada solo como hash bcrypt, nunca en claro), rol, teléfono e institución cuando procede.

b) Datos de salud (categoría especial)

Historia clínica que usted aporta, mecanismo de la lesión, nivel de dolor, antecedentes, medicación, alergias, informes previos, pruebas de imagen (incluidos estudios DICOM), grabaciones de audio con su relato y vídeo de la acción lesiva.

c) Datos de facturación

Datos fiscales y de facturación. Los datos de la tarjeta no pasan por nuestros servidores: los recoge y almacena Stripe directamente.

d) Datos técnicos

Dirección IP y registros de acceso, con fines de seguridad y trazabilidad.

3. Base jurídica

• Ejecución del contrato (art. 6.1.b) para prestarle el servicio de segunda opinión.
• Consentimiento explícito (art. 9.2.a) para tratar sus datos de salud. Puede retirarlo en cualquier momento, sin efecto retroactivo sobre lo ya tratado. Guardamos la fecha y la versión de esta política en el momento en que usted da su consentimiento.
• Obligación legal (art. 6.1.c) para la conservación fiscal y contable.
• Interés legítimo (art. 6.1.f) para la seguridad de la plataforma y la prevención del fraude.

4. Quién accede a sus datos

Dentro de la plataforma, solo los especialistas asignados a su caso y el personal médico que coordina el comité. Los especialistas trabajan bajo protocolo doble ciego: no ven la valoración de sus colegas mientras redactan la suya.

Las notas internas que un especialista dirige al comité no forman parte del informe que usted recibe.

5. Encargados del tratamiento

6. Transferencias internacionales

Cuando un encargado trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, con medidas complementarias de cifrado.

7. Conservación

Los datos clínicos se conservan [PLAZO — considerar la normativa de documentación clínica: mínimo 5 años desde el alta del proceso]. Los datos de facturación, 6 años (art. 30 Código de Comercio). Los datos de cuenta, mientras la cuenta esté activa y [PLAZO] después de su cierre.

8. Seguridad

Los campos clínicos se almacenan cifrados con AES-256-GCM y toda la comunicación viaja por TLS. El acceso está segmentado por rol. Las copias de seguridad están cifradas y replicadas fuera del servidor principal.

No practicamos cifrado de extremo a extremo en sentido estricto: para que los especialistas puedan leer su caso, nuestros servidores descifran los datos. Se lo decimos con claridad porque la diferencia importa.

9. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, así como retirar su consentimiento, escribiendo a [email protected]. Responderemos en el plazo de un mes.

Si considera que no hemos atendido correctamente su solicitud, puede reclamar ante la Agencia Española de Protección de Datos (aepd.es).

10. Decisiones automatizadas

Ninguna valoración le llega sin que la revise y firme un médico identificado. Las herramientas de apoyo ordenan y transcriben la documentación que usted aporta y preparan borradores (como el de la guía integrada) que revisa el comité; no toman por sí solas decisiones sobre usted.

11. Menores

[DEFINIR: si se aceptan casos de deportistas menores de edad, hace falta consentimiento de quien ostente la patria potestad y un circuito específico.]

12. Cambios

Publicaremos cualquier modificación en esta misma página y, si el cambio es sustancial, se lo comunicaremos por correo.

Privacy Policy

Last updated: 20 October 2026

This English version is provided for convenience. In case of any discrepancy, the Spanish version prevails.

1. Data controller

2. What data we process

a) Account data

Name, email address, password (stored only as a bcrypt hash, never in plain text), role, and telephone number and institution where applicable.

b) Health data (special category)

The medical history you provide, the mechanism of injury, pain level, prior conditions, medication, allergies, previous reports, imaging studies (including DICOM studies), audio recordings of your account of the injury, and video of the incident.

c) Billing data

Tax and billing details. Your card details never pass through our servers: Stripe collects and stores them directly.

d) Technical data

IP address and access logs, for security and traceability.

3. Legal basis

• Performance of a contract (Art. 6.1.b) to provide the second-opinion service.
• Explicit consent (Art. 9.2.a) to process your health data. You may withdraw it at any time, without affecting processing already carried out. We record the date and the version of this policy at the moment you give your consent.
• Legal obligation (Art. 6.1.c) for tax and accounting retention.
• Legitimate interest (Art. 6.1.f) for platform security and fraud prevention.

4. Who can access your data

Within the platform, only the specialists assigned to your case and the medical staff who coordinate the committee. The specialists work under a double-blind protocol: they do not see their colleagues' assessments while writing their own.

Internal notes that a specialist addresses to the committee are not part of the report you receive.

5. Data processors

6. International transfers

Where a processor handles data outside the European Economic Area, the transfer relies on Standard Contractual Clauses approved by the European Commission, with supplementary encryption measures.

7. Retention

Clinical data is kept for [PERIOD — consider clinical records rules: at least 5 years from discharge]. Billing data, 6 years (Art. 30 of the Spanish Commercial Code). Account data, while the account is active and for [PERIOD] after it is closed.

8. Security

Clinical fields are stored encrypted with AES-256-GCM and all communication travels over TLS. Access is segmented by role. Backups are encrypted and replicated away from the main server.

We do not provide end-to-end encryption in the strict sense: for the specialists to read your case, our servers decrypt the data. We tell you plainly because the difference matters.

9. Your rights

You may exercise your rights of access, rectification, erasure, restriction, portability and objection, and withdraw your consent, by writing to [email protected]. We will reply within one month.

If you believe we have not handled your request properly, you may lodge a complaint with the Spanish Data Protection Agency (aepd.es).

10. Automated decisions

No assessment reaches you without being reviewed and signed by an identified physician. Support tools organise and transcribe the documentation you provide and prepare drafts (such as the integrated guideline) that the committee reviews; they do not take decisions about you on their own.

11. Minors

[TO BE DEFINED: if cases involving underage athletes are accepted, the consent of the holder of parental authority and a specific procedure are required.]

12. Changes

We will publish any change on this page and, if it is substantial, we will notify you by email.