POLÍTICA DE PRIVACIDAD
Última actualización: [FECHA]
1. RESPONSABLE DEL TRATAMIENTO
| Campo | Datos |
|---|---|
| Denominación social | [NOMBRE DE LA ENTIDAD TITULAR DE IOLX] |
| NIF/CIF | [_________] |
| Domicilio | [_________] |
| Correo electrónico | [_________] |
| Contacto de protección de datos | [_________] |
En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), le informamos sobre el tratamiento de sus datos personales al utilizar la plataforma IOLX.
2. ¿QUÉ ES IOLX?
IOLX es una plataforma informática dirigida a profesionales de la oftalmología que ofrece un catálogo de lentes intraoculares (LIO) con fórmulas de cálculo de potencia publicadas en la literatura científica, gestión de pedidos de LIO a fabricantes y registro de datos postoperatorios. La plataforma no emite recomendaciones clínicas ni constituye un producto sanitario; la decisión clínica corresponde en todo momento al profesional sanitario.
3. ¿QUÉ DATOS RECOGEMOS Y PARA QUÉ?
3.1. Datos de registro y cuenta de usuario
| Dato | Finalidad | Base jurídica |
|---|---|---|
| Nombre completo | Identificación del usuario en la plataforma | Ejecución del contrato (Art. 6.1.b RGPD) |
| Dirección de correo electrónico | Creación de cuenta, verificación, comunicaciones del servicio | Ejecución del contrato (Art. 6.1.b RGPD) |
| Contraseña | Autenticación (gestionada por Keycloak; IOLX no almacena contraseñas) | Ejecución del contrato (Art. 6.1.b RGPD) |
| Rol (usuario/administrador) | Control de acceso a funcionalidades | Ejecución del contrato (Art. 6.1.b RGPD) |
| Preferencias de interfaz | Personalización de la experiencia de uso | Ejecución del contrato (Art. 6.1.b RGPD) |
3.2. Datos de la clínica
| Dato | Finalidad | Base jurídica |
|---|---|---|
| Nombre de la clínica | Identificación de la dirección de entrega de pedidos | Ejecución del contrato (Art. 6.1.b RGPD) |
| Dirección postal | Envío de pedidos de LIO a fabricantes | Ejecución del contrato (Art. 6.1.b RGPD) |
| Teléfono de contacto | Comunicación relacionada con pedidos | Ejecución del contrato (Art. 6.1.b RGPD) |
| Horario de recepción | Coordinación de entregas | Ejecución del contrato (Art. 6.1.b RGPD) |
3.3. Datos profesionales
| Dato | Finalidad | Base jurídica |
|---|---|---|
| Constantes personalizadas de LIO | Aplicación de fórmulas de cálculo con constantes ajustadas por el profesional | Ejecución del contrato (Art. 6.1.b RGPD) |
| Precios de lentes | Gestión económica de pedidos del usuario | Ejecución del contrato (Art. 6.1.b RGPD) |
3.4. Datos técnicos y de seguridad
| Dato | Finalidad | Base jurídica |
|---|---|---|
| Dirección IP | Seguridad, prevención de fraude, registro de auditoría | Interés legítimo (Art. 6.1.f RGPD) |
| Marcas de tiempo de acceso | Seguridad y trazabilidad | Interés legítimo (Art. 6.1.f RGPD) |
| Registro de acciones (auditoría) | Cumplimiento normativo y seguridad | Obligación legal (Art. 6.1.c RGPD) / Interés legítimo (Art. 6.1.f RGPD) |
3.5. Datos de feedback
| Dato | Finalidad | Base jurídica |
|---|---|---|
| Comentarios y sugerencias enviados | Mejora del servicio | Consentimiento (Art. 6.1.a RGPD) |
3.6. Datos clínicos de pacientes
Los datos clínicos de pacientes (biometría ocular, datos refractivos, etc.) son introducidos por usted como profesional sanitario. Usted es el responsable del tratamiento de estos datos; IOLX actúa únicamente como encargado del tratamiento conforme al Acuerdo de Tratamiento de Datos (ATD) que usted acepta al registrarse.
La plataforma no recoge datos directamente identificativos de los pacientes. Usted debe utilizar exclusivamente identificadores seudonimizados (códigos internos) que solo usted pueda vincular a la identidad del paciente.
4. ¿CÓMO PROTEGEMOS SUS DATOS?
Aplicamos las siguientes medidas técnicas y organizativas:
- Autenticación segura: Tokens JWT con firma RS256 a través de proveedor OIDC (Keycloak). IOLX no almacena contraseñas.
- Cifrado: TLS/HTTPS para datos en tránsito; cifrado a nivel de almacenamiento para datos en reposo.
- Control de acceso: Basado en roles (RBAC). Cada usuario solo accede a sus propios datos.
- Seudonimización: Los datos clínicos de pacientes se almacenan exclusivamente con identificadores opacos no vinculables a la identidad del paciente.
- Registro de auditoría: Todas las acciones sensibles se registran con trazabilidad completa.
- Minimización de caché: Caché en memoria con tiempo de vida limitado y purga automática al cierre de sesión.
- Verificación de correo: Tokens de un solo uso con caducidad de 24 horas.
5. ¿A QUIÉN COMUNICAMOS SUS DATOS?
Sus datos personales podrán ser comunicados a los siguientes terceros, exclusivamente para las finalidades descritas:
| Destinatario | Finalidad | Ubicación |
|---|---|---|
| Atlansec | Alojamiento de infraestructura y autenticación (Keycloak) | UE — empresa española, servidores en Hetzner (Finlandia) |
| Hetzner Online GmbH | Servidores físicos (infraestructura subyacente) | UE (Finlandia) — empresa alemana |
| Resend, Inc. | Envío de correos electrónicos transaccionales (verificación, notificaciones de pedidos) | EE.UU. — con garantías adecuadas (cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE.UU.) |
| Fabricantes de LIO | Datos del pedido y dirección de entrega de la clínica (no datos de pacientes) | Según fabricante |
No vendemos, alquilamos ni cedemos sus datos personales a terceros con fines comerciales o publicitarios.
5.1. Transferencias internacionales
Sus datos se alojan íntegramente en la Unión Europea (Finlandia). La única transferencia fuera del Espacio Económico Europeo se produce con Resend, Inc. (EE.UU.) para el envío de correos electrónicos, sujeta a las garantías previstas en el Capítulo V del RGPD (cláusulas contractuales tipo o decisión de adecuación vigente).
6. ¿DURANTE CUÁNTO TIEMPO CONSERVAMOS SUS DATOS?
| Datos | Plazo de conservación |
|---|---|
| Cuenta de usuario y datos asociados | Mientras mantenga su cuenta activa en la plataforma |
| Datos clínicos de pacientes | Mientras mantenga su cuenta activa; eliminados al suprimir la cuenta |
| Registros de auditoría | Conservados de forma indefinida con fines de seguridad y cumplimiento normativo. Anonimizados (sin identificador de usuario) tras la eliminación de la cuenta |
| Registros de correos enviados | Conservados el tiempo necesario para cumplir obligaciones legales de facturación y trazabilidad |
| Datos de verificación de correo | Tokens caducan a las 24 horas; eliminados al suprimir la cuenta |
7. ¿CUÁLES SON SUS DERECHOS?
Conforme al RGPD y la LOPDGDD, usted tiene los siguientes derechos:
| Derecho | Descripción | Cómo ejercerlo |
|---|---|---|
| Acceso (Art. 15) | Obtener una copia de todos sus datos personales | Desde la plataforma: exportación de datos en formato JSON |
| Rectificación (Art. 16) | Corregir datos inexactos | Desde la plataforma: edición del perfil de usuario |
| Supresión (Art. 17) | Eliminar su cuenta y todos los datos asociados | Desde la plataforma: eliminación de cuenta (borrado en cascada) |
| Portabilidad (Art. 20) | Recibir sus datos en formato estructurado y legible por máquina | Desde la plataforma: exportación en formato JSON |
| Limitación (Art. 18) | Solicitar la restricción del tratamiento | Por correo electrónico al contacto indicado |
| Oposición (Art. 21) | Oponerse al tratamiento basado en interés legítimo | Por correo electrónico al contacto indicado |
| Retirada del consentimiento | Retirar el consentimiento prestado en cualquier momento, sin que ello afecte a la licitud del tratamiento previo | Por correo electrónico al contacto indicado o eliminando la cuenta |
Para ejercer sus derechos puede:
- Utilizar las funciones de la plataforma (acceso, rectificación, supresión y portabilidad disponibles directamente).
- Enviar un correo electrónico a [CORREO DE PROTECCIÓN DE DATOS] identificándose y especificando el derecho que desea ejercer.
Responderemos a su solicitud en un plazo máximo de un mes desde su recepción, prorrogable por dos meses adicionales en caso de solicitudes complejas o numerosas, previa comunicación.
7.1. Derecho a reclamar ante la autoridad de control
Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):
- Web: https://www.aepd.es
- Dirección: C/ Jorge Juan, 6 — 28001 Madrid
8. COOKIES Y TECNOLOGÍAS SIMILARES
La plataforma IOLX utiliza exclusivamente cookies propias de primera parte. No se emplean cookies de terceros con fines publicitarios ni de seguimiento.
8.1. Cookies estrictamente necesarias
Estas cookies son imprescindibles para el funcionamiento de la plataforma y no requieren consentimiento previo:
| Cookie | Finalidad | Duración |
|---|---|---|
authjs.session-token / __Secure-authjs.session-token | Almacena un JWT cifrado con la sesión del usuario (identificador, nombre, correo, roles, tokens de Keycloak). Se utiliza para la autenticación y autorización. | 8 horas |
authjs.csrf-token / __Secure-authjs.csrf-token | Protección contra ataques CSRF en los formularios de autenticación. | Sesión (se elimina al cerrar el navegador) |
authjs.callback-url / __Secure-authjs.callback-url | Almacena la URL de redirección tras el inicio de sesión. | Sesión (se elimina al cerrar el navegador) |
Todas las cookies de autenticación son HttpOnly (no accesibles desde JavaScript), Secure (enviadas únicamente por HTTPS) y SameSite=Lax.
8.2. Cookies funcionales
| Cookie | Finalidad | Duración |
|---|---|---|
NEXT_LOCALE | Almacena la preferencia de idioma del usuario (español/inglés) para mantenerla entre visitas. | 1 año |
8.3. Analítica web
La plataforma utiliza Umami Analytics, un servicio de analítica web respetuoso con la privacidad que no utiliza cookies ni almacenamiento local. Umami recopila estadísticas de uso agregadas y anonimizadas sin rastrear usuarios individuales entre sesiones.
8.4. Resumen
La plataforma no utiliza cookies de terceros, cookies publicitarias ni cookies de seguimiento. Todas las cookies son de primera parte y se limitan a las estrictamente necesarias para la autenticación y la personalización del idioma.
9. MODIFICACIONES DE ESTA POLÍTICA
Nos reservamos el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas o cambios en el servicio. Cualquier modificación será publicada en la plataforma con indicación de la fecha de actualización. En caso de cambios sustanciales, le notificaremos por correo electrónico o mediante un aviso destacado en la plataforma.
10. CONTACTO
Para cualquier consulta relacionada con la protección de sus datos personales, puede contactar con nosotros en:
- Correo electrónico: [CORREO DE PROTECCIÓN DE DATOS]
- Dirección postal: [DIRECCIÓN]