Política de Privacidad

1. Responsable del tratamiento

En cumplimiento del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), Innexum OÜ informa al usuario sobre el tratamiento de sus datos personales. Innexum OÜ es la entidad desarrolladora y responsable de la plataforma PeriaMed.

Denominación social

Innexum OÜ

Registro mercantil (Estonia)

17304514

Domicilio social

Harju maakond, Kuusalu vald, Pudisoo küla, Männimäe/1, 74626 (Estonia)

Contacto de privacidad

[email protected]

Delegado de Protección de Datos (art. 37 RGPD)

[email protected]

Autoridad de control

Agencia Española de Protección de Datos (AEPD) — aepd.es

PeriaMed realiza un tratamiento sistemático y a gran escala de datos de salud, por lo que ha designado un Delegado de Protección de Datos conforme al artículo 37 RGPD y ha llevado a cabo una Evaluación de Impacto relativa a la Protección de Datos (DPIA) conforme al artículo 35 RGPD. Como usuario residente en España, puede dirigir una reclamación a la AEPD, sin perjuicio de la competencia de la autoridad de control del establecimiento principal del responsable.

2. Categorías de datos y bases jurídicas

PeriaMed trata las siguientes categorías de datos, cada una amparada en la base jurídica indicada conforme a los artículos 6 y 9 del RGPD:

3. Plazos de conservación

Conservamos cada categoría de datos durante el tiempo estrictamente necesario para la finalidad que justifica su tratamiento o durante los plazos legalmente exigidos:

El usuario puede solicitar la eliminación anticipada de cualquier expediente desde su panel en cualquier momento. Las eliminaciones automáticas por vencimiento de plazo pueden demorarse hasta 48 horas; en el caso de los enlaces de subida, la caducidad se vuelve a comprobar en cada acceso para impedir su uso una vez expirados. Las URLs públicas que el sistema devuelve (enlaces de subida, descargas de exportación de datos) son transitorias y de un solo uso o de corta caducidad; no constituyen un punto de acceso permanente a los datos.

4. Encargados y subencargados del tratamiento

PeriaMed recurre a los siguientes proveedores, con los que ha suscrito los acuerdos de tratamiento de datos correspondientes (art. 28 RGPD). Para cada uno se indica su función, país de establecimiento, región de procesamiento, finalidad y categorías de datos:

La incorporación o sustitución de un encargado se comunicará con una antelación mínima de 30 días, durante los cuales el usuario podrá oponerse motivadamente. Este listado se mantiene actualizado en la presente política.

5. Transferencias internacionales

En el funcionamiento normal no se transfieren datos personales fuera del Espacio Económico Europeo. Todo el tratamiento de datos personales se realiza en la región eu-west-1 (Irlanda).

Algunos proveedores pueden tener su matriz fuera del EEE (p. ej. PostHog Inc. en EE. UU., o el proveedor de modelos de IA). Cuando ello pudiera implicar un acceso desde fuera del EEE, la salvaguarda aplicable es la prevista en el artículo 46 RGPD: las Cláusulas Contractuales Tipo incorporadas al DPA de AWS y los compromisos contractuales de los subencargados a través de AWS Bedrock, así como el procesamiento de PostHog en su nube europea (Fráncfort). Determinados registros de auditoría de infraestructura pueden replicarse en otra región a efectos de seguridad; no contienen cuerpos de petición ni datos clínicos.

6. Derechos del interesado

Conforme a los artículos 15 a 22 del RGPD, puedes ejercer los siguientes derechos. Muchos están disponibles directamente en la aplicación; en los demás casos, escribe a [email protected]:

• Acceso (art. 15) y portabilidad (art. 20)

  Descarga en formato JSON desde Perfil → Exportar mis datos (incluye perfil, análisis, casos, archivos de caso y un subconjunto del registro de auditoría).

• Rectificación (art. 16)

  Actualización de los campos de perfil desde la página de Perfil.

• Supresión (art. 17)

  Desde Perfil → Eliminar cuenta: se programa la eliminación de la clave de cifrado del usuario (ventana de 7 días) que inutiliza los objetos cifrados, se borran los registros de análisis, casos, archivos e instrucciones, y se elimina la cuenta del sistema de autenticación. Se conservan el registro de auditoría y los registros de consentimiento por obligación legal.

• Limitación (art. 18)

  Actualmente mediante solicitud a [email protected] (proceso manual; aún no existe flujo en la aplicación).

• Oposición (art. 21)

  La analítica se desactiva con la casilla de consentimiento. La oposición a tratamientos basados en interés legítimo (atribución, indicador de actividad de la sesión) se ejerce escribiendo a [email protected].

• Decisiones automatizadas (art. 22)

  PeriaMed no adopta decisiones individuales basadas únicamente en tratamiento automatizado con efectos jurídicos. El informe de IA es una recomendación; el perito es el autor médico-legal y firma el documento final.

7. Datos de pacientes, menores y responsabilidad del perito

PeriaMed trata datos de salud de personas físicas que no son usuarias de la plataforma (los pacientes objeto del caso pericial). Respecto a estos datos, el perito médico es el responsable del tratamiento y PeriaMed actúa como encargado conforme al art. 28 RGPD, en los términos del Acuerdo de Encargo de Tratamiento (ver anexo).

• PeriaMed no recaba el consentimiento del art. 9.2.a directamente del paciente. El perito, sujeto al secreto médico, es responsable de obtener la autorización necesaria —habitualmente ya amparada por el mandato médico-legal del abogado o por orden judicial.
• PeriaMed garantiza las medidas de seguridad del art. 32 RGPD mientras los datos del paciente están bajo su custodia (cifrado por usuario, seudonimización previa a la IA en la generación de informes, auditoría inalterable).
• Menores: cuando los documentos del caso contengan datos de pacientes menores, corresponde al perito atender las obligaciones del art. 8 RGPD; PeriaMed no recaba separadamente el consentimiento parental del menor.
• Categorías especiales adicionales (datos biométricos, antecedentes penales en casos de mala praxis, etc.): PeriaMed trata lo que el perito suba bajo la misma base del art. 9.2.a, garantizando el perito su posesión lícita.

8. Gestión de casos y chat sobre documentos (v1.1)

9. Portal de subida para abogados

El perito puede generar un enlace de subida de un solo uso (con una caducidad de 1h, 6h, 24h o 72h, con un tope máximo de 72 horas) para que un abogado aporte documentación sin necesidad de crear una cuenta. El abogado solo ve el nombre del perito y unas instrucciones tomadas en el momento de crear el enlace; el acceso público no expone los datos de la cuenta del perito.

Reparto de responsabilidad: en el momento de la subida, el abogado actúa como responsable del tratamiento de los datos de origen (o como encargado de su propio cliente). El perito es el responsable del caso resultante dentro de PeriaMed. El abogado es responsable de disponer de la autorización del interesado antes de subir cualquier dato.

Identidad y declaraciones obligatorias del abogado. Antes de subir nada, el abogado debe identificarse (nombre y correo) y aceptar cuatro declaraciones responsables, que se validan también en el servidor: (1) que dispone del consentimiento del paciente (art. 9.2.a RGPD) para transmitir la documentación clínica al perito indicado; (2) que sube únicamente documentos pertinentes para el caso; (3) que no incluye datos de menores —o que cuenta con el consentimiento parental—; y (4) que comprende que un sistema de IA (art. 50 del Reglamento (UE) 2024/1689) procesará los documentos. La página pública muestra un aviso del art. 13 RGPD cuya versión vigente es la v1.0.

Solo los peritos con verificación profesional pueden generar enlaces. Los tipos de archivo admitidos y el tamaño se validan en el servidor tanto al solicitar la subida como al confirmarla, y los archivos se cifran con la clave de cifrado del perito.

El enlace es de un solo uso: en cuanto se confirma un archivo, el token pasa a estado «usado» y el perito recibe un aviso por correo. El registro legal de la aportación se conserva de forma indefinida en la tabla de consentimientos (nombre y correo del abogado, las cuatro declaraciones, versión del aviso, IP y fecha); el registro de auditoría guarda solo la prueba no identificativa (versión del aviso, declaraciones aceptadas, identidad capturada) y la fila del enlace conserva una copia transitoria que caduca con el propio enlace. Hay un aviso específico para abogados en /dpa-abogados.

10. Tratamiento mediante inteligencia artificial

PeriaMed emplea modelos de IA generativa de un proveedor especializado a través de AWS Bedrock, con inferencia en eu-west-1, para la generación de informes y para el chat de consulta sobre el caso. La generación de informes rechaza (con reembolso) las entradas cuyo tamaño exceda los límites operativos del sistema. La base jurídica del tratamiento de datos de salud mediante IA es el consentimiento explícito del perito (art. 9.2.a) en conjunción con la ejecución del contrato (art. 6.1.b).

La generación de informes seudonimiza los identificadores del paciente antes de la llamada al modelo; el chat de caso no realiza esa seudonimización y envía el texto extraído sin alterar (ver sección 8). En ningún caso el contenido se conserva más allá de la llamada ni se utiliza para entrenar modelos.

PeriaMed no adopta decisiones individuales automatizadas con efectos jurídicos (art. 22 RGPD): el resultado de la IA es una recomendación que el perito revisa, edita y firma. El detalle de los sistemas de IA, sus límites y el derecho a la intervención humana se describe en el Aviso Legal — Transparencia sobre IA (art. 50 del Reglamento (UE) 2024/1689).

11. Cookies y almacenamiento local

PeriaMed utiliza almacenamiento estrictamente necesario para la sesión y el funcionamiento (tokens de sesión, estado de autenticación y enrutamiento en el borde de la red) y preferencias funcionales de interfaz. El único almacenamiento no esencial es el de PostHog (analítica de producto), que requiere consentimiento y se gestiona mediante una casilla específica.

El inventario completo, la clasificación por categorías y los plazos se detallan en la Política de Cookies.

12. Notificación de brechas de seguridad

En caso de violación de la seguridad de los datos personales, PeriaMed actuará conforme a los artículos 33 y 34 del RGPD: notificación a la autoridad de control (AEPD) sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde su conocimiento, y comunicación a los usuarios afectados cuando la brecha entrañe un alto riesgo para sus derechos y libertades. Todas las incidencias quedan registradas internamente.

Para comunicar una incidencia de seguridad, escribe a [email protected].

13. Consentimientos que solicita la plataforma

Al registrarte, la plataforma recoge cinco consentimientos diferenciados, cada uno con su propia versión y registro. Cada uno remite a una sección o documento que puedes leer pulsando el enlace correspondiente:

• Términos de uso (terms) — Condiciones de contratación y uso de la plataforma.
• Política de privacidad (privacy) — El presente documento.
• Tratamiento de datos de salud (health_data) — Consentimiento explícito para tratar datos de categoría especial y Acuerdo de Encargo de Tratamiento.
• Transparencia sobre IA (ai_act) — Información del art. 50 del Reglamento de IA sobre los sistemas utilizados.
• Analítica de producto (analytics) — Consentimiento opcional para la analítica de PostHog; puede desactivarse.

Cuando se actualiza la versión de cualquiera de los cuatro documentos legales (terms, privacy, health_data, ai_act), la plataforma vuelve a solicitar la aceptación en el siguiente inicio de sesión.

14. Transparencia sobre funciones en desarrollo

En aras de la transparencia, hacemos constar las limitaciones actuales de la plataforma y cómo se atienden mientras tanto:

• El chat de caso no seudonimiza el texto clínico antes de enviarlo al modelo de IA (decisión de diseño; el perito es el responsable del tratamiento). Se mitiga con el cifrado por usuario, el alojamiento en la UE, el registro de auditoría, las declaraciones del abogado y el tope de conservación de 730 días (ver secciones 8 y 10).
• No existe todavía un flujo en la aplicación para revocar el consentimiento de analítica de forma retroactiva: hasta entonces, puede solicitarse por correo a [email protected].
• No existe un flujo en la aplicación para el derecho de limitación (art. 18): se atiende manualmente por correo a [email protected].
• No se realiza verificación de edad: el servicio se restringe por contrato a peritos, abogados y profesionales sanitarios verificados. Los datos de pacientes que pudieran corresponder a menores se tratan bajo la responsabilidad del perito (ver sección 7).

15. Modificaciones de la política

PeriaMed puede actualizar esta política para adaptarla a cambios normativos o del servicio. Las actualizaciones sustanciales se comunicarán por correo electrónico y mediante aviso en la plataforma. Cuando se incremente la versión de este documento, la aceptación se solicitará de nuevo en el siguiente inicio de sesión. La fecha y versión vigentes constan al inicio del documento.