Esta Política de Privacidad describe cómo CLEQUI S.L, en adelante «CLEQUI S.L», recopila, usa, protege y comparte los datos personales que tratamos en relación con la plataforma CLEQUI S.L.
1. Responsable del tratamiento
- Razón social: CLEQUI S.L
- NIF / CIF: 74738419B
- Domicilio social: avenida de salobreña 4
- Correo de contacto: hola@clequi.com
- Delegado de Protección de Datos (DPO): no se ha designado. Para cualquier cuestión sobre protección de datos, escribe a hola@clequi.com.
2. Datos que tratamos
2.1 Pacientes
- Identificativos: nombre, correo electrónico, teléfono, DNI/NIE, fecha de nacimiento, dirección.
- Datos de salud (categoría especial, art. 9 RGPD): historial clínico, alergias, medicación actual, suplementación, mediciones biométricas (peso, altura, composición corporal), resultados de analíticas y de cualquier prueba que aportes, síntomas, observaciones del nutricionista, planes de alimentación.
- Datos de uso: registros de inicio de sesión, dirección IP, navegador, páginas visitadas, eventos de la aplicación.
- Datos de pago: tratados directamente por Stripe; nosotros guardamos únicamente el identificador de la transacción y los metadatos de facturación.
2.2 Nutricionistas
- Identificativos y profesionales: nombre, correo, teléfono, NIF, número de colegiado, dirección de la clínica, datos bancarios para facturación.
- Datos de uso y operativos: agendas, plantillas, prompts personalizados, historial de interacciones con pacientes a través de la plataforma.
3. Finalidades y bases jurídicas
| Finalidad | Base jurídica |
|---|---|
| Prestación del servicio (cuenta, autenticación, gestión de consultas, planes) | Ejecución del contrato (art. 6.1.b RGPD) |
| Tratamiento de datos de salud para el seguimiento nutricional por el profesional elegido | Consentimiento explícito (art. 9.2.a) y fines de medicina preventiva o asistencia sanitaria (art. 9.2.h) |
| Generación asistida de protocolos y resúmenes mediante IA | Ejecución del contrato y consentimiento explícito para datos de salud |
| Facturación y obligaciones contables / fiscales | Obligación legal (art. 6.1.c) |
| Comunicaciones comerciales (consejos de nutrición, novedades) | Consentimiento (art. 6.1.a) — revocable en cualquier momento |
| Seguridad de la información, prevención de fraude, auditoría | Interés legítimo (art. 6.1.f) |
4. Destinatarios y encargados del tratamiento
No vendemos tus datos. Compartimos información estrictamente con los encargados del tratamiento necesarios para prestar el servicio, todos sujetos a contrato de encargo (art. 28 RGPD):
- Supabase Inc. (EE. UU. / UE) — base de datos, autenticación y almacenamiento.
- Anthropic, PBC (EE. UU.) — modelo de lenguaje para asistir al profesional. Antes de enviar transcripciones u otros datos al modelo, se eliminan los identificadores directos (nombre, correo, teléfono). Anthropic no entrena con tus datos.
- Stripe Payments Europe — pasarela de pago, datos de tarjeta nunca pasan por nuestros servidores.
- Resend (EE. UU.) — envío de correo transaccional.
- Google LLC (EE. UU.) — Calendar API (cuando el nutricionista lo conecta voluntariamente) y Meet para videoconsultas. El uso y la transferencia que CLEQUI S.Lhace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).
- Twilio Ireland — mensajería WhatsApp (cuando el nutricionista lo activa).
- Cloudflare — protección anti-bot y red de entrega.
- Upstash — limitación de tasa.
- Autoridades públicas cuando exista obligación legal de comunicar.
5. Datos de las APIs de Google
La conexión con Google es opcional y sólo está disponible para nutricionistas. Cuando un nutricionista la activa, CLEQUI S.L solicita los permisos calendar y calendar.events. Los pacientes nunca conectan una cuenta de Google. Esto es exactamente lo que hacemos con esos datos:
- Qué leemos: la lista de calendarios de la cuenta (para que el nutricionista elija cuál usar), las franjas de ocupado/libre del calendario seleccionado, y los eventos de la agenda principal dentro de la ventana de fechas que se sincroniza.
- Qué escribimos: creamos un evento por cada consulta reservada a través de CLEQUI S.L, lo actualizamos si la cita cambia y lo eliminamos si se cancela. No modificamos ningún otro evento de tu calendario.
- Qué guardamos en nuestros servidores: los tokens de acceso y de actualización de Google, cifrados en reposo; el identificador del evento creado para cada consulta; y, para los eventos que no ha creado CLEQUI S.L, su identificador, su horario y su título, que se almacenan como franja ocupada para no ofrecer esa hora a los pacientes. No copiamos la descripción, los invitados ni los adjuntos de ningún evento.
- Con quién los compartimos: con nadie. Los datos obtenidos de las APIs de Google no se venden, no se ceden a terceros, no se usan con fines publicitarios y no se emplean para entrenar modelos de inteligencia artificial.
- Cuánto tiempo los conservamos: los tokens, hasta que el nutricionista desconecta la cuenta, momento en el que se borran de inmediato. Las franjas ocupadas ya importadas permanecen hasta que se eliminan desde la agenda o se solicita su supresión (apartado 10).
El uso y la transferencia que CLEQUI S.L hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios API de Google, incluidos sus requisitos de Uso Limitado (Limited Use).
Puedes revocar el acceso en cualquier momento desde Ajustes → Calendario en CLEQUI S.L, o desde la página de permisos de tu cuenta de Google en myaccount.google.com/permissions.
6. Transferencias internacionales
Los proveedores ubicados fuera del EEE tratan datos amparados por (i) decisión de adecuación (Marco de Privacidad UE-EE. UU. / EU-US Data Privacy Framework cuando es aplicable) o (ii) Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, junto a medidas técnicas adicionales (cifrado en tránsito y en reposo, minimización y seudonimización de datos antes del envío al modelo de IA).
7. Plazos de conservación
- Datos de cuenta: mientras la cuenta esté activa.
- Historial clínico y planes: hasta 5 años desde la última interacción, plazo establecido por la Ley 41/2002 de autonomía del paciente para historiales en centros sanitarios. Pueden conservarse más tiempo cuando el paciente lo solicite o existan obligaciones legales.
- Facturación: 6 años (Código de Comercio).
- Logs de seguridad: 12 meses.
- Marketing: hasta que retires el consentimiento.
Tras los plazos anteriores los datos se suprimen o anonimizan de forma segura.
8. Cifrado y medidas de seguridad
Aplicamos cifrado AES-256-GCM a nivel de campo para datos personales y de salud almacenados, derivación de claves por tabla y columna mediante HKDF, índices ciegos HMAC-SHA256 para búsquedas sin descifrar, TLS para todo el tráfico, autenticación multifactor para administradores, registros de acceso, y políticas de control a nivel de fila (RLS). Evaluamos periódicamente proveedores y vulnerabilidades.
9. Decisiones automatizadas e IA
Utilizamos modelos de lenguaje para asistir al profesional en la redacción de protocolos, resúmenes de consulta y análisis de analíticas. Estas salidas nunca constituyen una decisión automatizada en el sentido del art. 22 RGPD: el nutricionista revisa, edita y autoriza personalmente cualquier recomendación antes de comunicarla al paciente. Antes de enviar texto al modelo de IA, los identificadores directos del paciente (nombre, correo, teléfono) se sustituyen por marcadores genéricos.
10. Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos enviando un correo a hola@clequi.com:
- Acceso a los datos que tratamos sobre ti.
- Rectificación de datos inexactos.
- Supresión («derecho al olvido»).
- Limitación u oposición al tratamiento.
- Portabilidad en formato estructurado de uso común.
- Revocación del consentimiento (sin efecto retroactivo).
- A no ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, con efectos jurídicos.
Si consideras que tu solicitud no ha sido atendida correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos: https://www.aepd.es.
11. Menores
El servicio no está dirigido a menores de 14 años. Para usuarios entre 14 y 18 años se requerirá la autorización expresa de un titular de la patria potestad o tutela.
12. Cookies y tecnologías similares
Utilizamos únicamente cookies estrictamente necesarias para la autenticación y la seguridad. No usamos cookies analíticas ni publicitarias de terceros. Cuando se incorporen otras tecnologías, se publicará una política de cookies específica con un mecanismo de consentimiento previo.
13. Cambios en esta política
Publicaremos cualquier modificación en esta página, con indicación de la versión y la fecha de última actualización. Los cambios sustanciales se notificarán por correo o en la aplicación, y se solicitará una nueva aceptación cuando proceda.