FisioScript — Política de Privacidad

Política de Privacidad

Última actualización: julio de 2026 · Versión 2.1

Resumen: FisioScript trata dos tipos de datos con roles legales distintos. Como responsable, tratamos los datos del profesional usuario (email, facturación, uso). Como encargado del tratamiento, alojamos por cuenta del profesional los datos de salud de sus pacientes, que se guardan cifrados en servidores de la UE. El audio de las consultas nunca se almacena.

1. Responsable del tratamiento

Titular: Carles Teruel (autónomo)
NIF: 47751661G
Domicilio: [C/Call 45 4 2, Capellades, 08786, Barcelona]
Email: hellofisioscript@gmail.com

2. Dos roles distintos según el tipo de dato

Esta política distingue cuidadosamente dos situaciones porque la ley nos asigna responsabilidades diferentes en cada una:

Datos del profesional usuario — FisioScript actúa como responsable del tratamiento. Son los datos que necesitamos para darte el servicio y cobrarte.
Datos de los pacientes del profesional — FisioScript actúa como encargado del tratamiento. El responsable de estos datos es el profesional sanitario (tú). Nosotros solo los alojamos y procesamos siguiendo tus instrucciones, según el Contrato de Encargado de Tratamiento que aceptas al registrarte.

3. Datos del profesional (somos responsables)

Dato	Finalidad	Base jurídica	Plazo
Email y contraseña	Gestión de cuenta y acceso	Ejecución de contrato (Art. 6.1.b RGPD)	Duración de la cuenta + 1 año
Datos de facturación	Emisión de facturas y cobros	Obligación legal (Art. 6.1.c RGPD)	6 años (Ley General Tributaria)
Datos de uso	Funcionamiento y mejora del servicio	Interés legítimo (Art. 6.1.f RGPD)	2 años anonimizados
Email (comunicaciones)	Novedades del servicio	Consentimiento (Art. 6.1.a RGPD)	Hasta baja

4. Datos de pacientes (somos encargados)

Cuando usas FisioScript para documentar consultas, se almacenan en nuestra infraestructura los siguientes datos de tus pacientes, por tu cuenta y bajo tu responsabilidad como profesional sanitario:

Nombre del paciente y datos identificativos que introduzcas
Historia clínica, nota SOAP, hipótesis diagnósticas, tests realizados
Escala de dolor (EVA), objetivos terapéuticos, evolución
Fotografías clínicas que decidas subir
Notas y cualquier otro dato que registres en la consulta

Importante: estos son datos de categoría especial (datos de salud, Art. 9 RGPD). Como responsable de ellos, eres tú quien debe disponer de una base jurídica válida para tratarlos —normalmente el consentimiento del paciente o la necesidad asistencial— y quien debe informar a tus pacientes. FisioScript pone a tu disposición un modelo de consentimiento para facilitártelo.

¿Qué hacemos con estos datos?

Únicamente lo necesario para prestarte el servicio: almacenarlos de forma segura, mostrártelos, generar documentación y PDFs, y procesarlos con IA para producir la documentación clínica. No los usamos para ninguna finalidad propia. No los vendemos. No los cedemos a terceros salvo los proveedores técnicos estrictamente necesarios (apartado 6).

Mejora del servicio mediante correcciones

Cuando editas el texto generado por la IA, podemos almacenar la versión original y tu corrección de forma asociada a tu cuenta para mejorar la calidad del servicio. Si en el futuro empleáramos estos datos de forma agregada para entrenar o ajustar modelos, lo haríamos siempre previa anonimización irreversible, de modo que no fuera posible reidentificar a ningún paciente.

5. Qué NO almacenamos

Audio de las consultas — se envía cifrado (TLS) y de forma transitoria a nuestro proveedor de transcripción (Groq Inc., EE.UU., transferencia amparada en Cláusulas Contractuales Tipo) con el único fin de convertirlo en texto. Se procesa en memoria y se descarta de inmediato: nunca se almacena, ni en nuestros servidores ni en los del proveedor.
Transcripción en bruto — se procesa temporalmente para generar la documentación y no se retiene una vez generada.

6. Proveedores (subencargados)

Para prestar el servicio recurrimos a los siguientes proveedores, que actúan como subencargados del tratamiento y con los que mantenemos los contratos exigidos por el Art. 28 RGPD:

Proveedor	Servicio	Ubicación	Garantía
Supabase	Base de datos, autenticación y almacenamiento	UE (Frankfurt)	DPA + UE
Railway	Infraestructura del servidor	UE	DPA + UE
Groq Inc.	Transcripción de audio y procesamiento IA de texto clínico (transitorio, sin retención)	EE.UU.	Cláusulas Contractuales Tipo (CCT)
Stripe	Gestión de pagos (solo datos del profesional)	UE (Irlanda)	DPA
Cloudflare	Alojamiento web y red de entrega (procesa direcciones IP a nivel técnico)	UE / global (según red)	DPA + CCT
Sentry	Registro de errores técnicos (configurado para no recibir contenido clínico ni datos personales por defecto)	EE.UU.	DPA + CCT

Transferencia internacional: el audio de la consulta (para su transcripción) y el texto clínico (para generar la documentación) se procesan con Groq (EE.UU.). Esta transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea. Tanto el audio como el texto se procesan de forma transitoria y no son retenidos por el proveedor para fines propios. Si esta transferencia no te resulta aceptable, contáctanos antes de usar el servicio.

7. Derechos de los interesados

Si eres profesional usuario: puedes ejercer tus derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición escribiendo a hellofisioscript@gmail.com.

Si eres paciente y quieres ejercer derechos sobre tus datos clínicos, debes dirigirte al profesional sanitario que te atiende, que es el responsable de esos datos. FisioScript, como encargado, le asistirá para atender tu solicitud.

En ambos casos puedes reclamar ante la Agencia Española de Protección de Datos en www.aepd.es.

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo de tratar datos de salud:

Cifrado TLS en tránsito y cifrado en reposo en la base de datos
Aislamiento de datos por usuario mediante políticas de seguridad a nivel de fila (RLS): cada profesional solo puede acceder a sus propios datos
Autenticación segura y contraseñas con hash
Copias de seguridad cifradas
Acceso restringido y registro de accesos

En caso de violación de seguridad que afecte a datos personales, notificaremos a la AEPD en un plazo de 72 horas y, cuando proceda, a los afectados sin demora indebida. Como encargado, informaremos sin dilación al profesional responsable de los datos de pacientes afectados.

9. Cookies

Usamos cookies necesarias para el funcionamiento (sesión de usuario) y, con tu consentimiento, cookies de analítica anónima. Gestiona tus preferencias en el banner de cookies.

10. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o técnicos. Te avisaremos de cambios sustanciales por email o dentro de la aplicación. La fecha de la última actualización figura al inicio del documento.

📬 Contacto en materia de privacidad

Email: hellofisioscript@gmail.com
Plazo de respuesta: máximo 30 días naturales

Aviso legal · Privacidad · Términos · Encargado de tratamiento