Política de Privacidad

1. Responsable del tratamiento

El papel de Wavaily depende del tipo de datos. Wavaily (en adelante, la “Plataforma”), accesible desde www.wavaily.com, es el responsable del tratamiento de los datos de las clínicas y profesionales registrados y de los visitantes de este sitio web:

• Identidad: Wavaily, con NIF pendiente de asignación (sociedad en constitución)
• Domicilio: pendiente de inscripción; para cualquier comunicación, privacidad@wavaily.com
• Datos registrales: pendientes de inscripción en el Registro Mercantil
• Correo de contacto en materia de protección de datos: privacidad@wavaily.com
• Delegado de protección de datos: pendiente de designación; mientras tanto, privacidad@wavaily.com
• Sitio web: www.wavaily.com

Respecto de los datos de los pacientes que reservan cita a través del portal de una clínica, el responsable del tratamiento es la clínica correspondiente, y Wavaily actúa como encargado del tratamiento por cuenta de esa clínica (art. 28 RGPD). Cada paciente puede consultar el aviso de privacidad de su clínica en el propio portal de reservas.

2. Datos personales que recabamos

En función de la relación que mantenga con la Plataforma, podremos tratar las siguientes categorías de datos personales:

2.1 Clínicas y profesionales (usuarios registrados)

• Datos identificativos: nombre, apellidos, dirección de correo electrónico, número de teléfono.
• Datos profesionales: nombre de la clínica, dirección, número de colegiado (si se facilita), especialidades.
• Datos de acceso: dirección de correo electrónico y contraseña cifrada, o el identificador de la cuenta de Google si el usuario inicia sesión con Google.
• Datos de integraciones: si el profesional conecta Google Calendar o Google Meet, los datos descritos en el apartado 14.

2.2 Pacientes (usuarios de las clínicas)

• Datos identificativos: nombre, apellidos, dirección de correo electrónico, número de teléfono y, cuando se facilitan, documento de identidad, fecha de nacimiento y dirección postal.
• Datos de salud (categoría especial del artículo 9 del RGPD): el servicio solicitado, el motivo de consulta si la clínica habilita ese campo y todo el contenido clínico que la clínica registre en la Plataforma (historia clínica, valoraciones, escalas, marcas anatómicas, documentos adjuntos, altas y consentimientos firmados). Wavaily los aloja y los trata únicamente por cuenta de la clínica, que es la responsable, y nunca para fines propios.
• Datos de navegación y de evidencia: dirección IP, tipo de navegador y cookies de sesión, y la dirección IP y la fecha con las que se registra un consentimiento.

3. Finalidades del tratamiento

Tratamos los datos personales para las siguientes finalidades:

• Prestación del servicio: gestión de cuentas de usuario, gestión de citas y reservas, envío de confirmaciones y recordatorios.
• Comunicaciones transaccionales: envío de correos electrónicos de confirmación de cita, cancelación, reprogramación y recordatorios por correo electrónico, SMS o WhatsApp.
• Mejora de la Plataforma: análisis estadístico agregado y anonimizado del uso de la Plataforma.
• Cumplimiento legal: atención a reclamaciones y ejercicio de derechos, cumplimiento de obligaciones fiscales y mercantiles.
• Integraciones elegidas por el usuario: inicio de sesión con Google, sincronización voluntaria con Google Calendar y creación de salas de videocitas con Google Meet (apartado 14).

4. Base jurídica del tratamiento

• Ejecución de un contrato (artículo 6.1.b del RGPD): el tratamiento es necesario para la prestación del servicio contratado por las clínicas y la gestión de citas de los pacientes.
• Consentimiento (artículo 6.1.a del RGPD): para el envío de comunicaciones comerciales, en su caso.
• Interés legítimo (artículo 6.1.f del RGPD): para la mejora de la Plataforma y la prevención del fraude.
• Obligación legal (artículo 6.1.c del RGPD): para el cumplimiento de obligaciones fiscales y mercantiles aplicables.

5. Destinatarios de los datos

Los datos personales podrán ser comunicados a los siguientes destinatarios, exclusivamente para las finalidades indicadas:

• Supabase, Inc. (sociedad estadounidense; datos alojados en Irlanda): base de datos, autenticación y almacenamiento de archivos. Contrato de encargo con cláusulas contractuales tipo.
• Vercel, Inc. (sociedad estadounidense; ejecución en Dublín, Irlanda): alojamiento y ejecución de la Plataforma, y medición agregada de uso y rendimiento sin cookies.
• Resend, Inc. (Estados Unidos): envío de correo transaccional.
• Stripe: cobro de la suscripción de la clínica y, si la clínica activa el pago anticipado, el cobro al paciente en la cuenta de la clínica.
• Twilio, Inc. (Estados Unidos): envío de SMS y mensajes de WhatsApp, si la clínica activa esos canales.
• Meta Platforms (Estados Unidos): WhatsApp Business, si la clínica usa ese canal.
• Functional Software, Inc. (Sentry): registro de errores técnicos, con depuración previa de los datos personales.
• Google: creación de salas de Google Meet y envío opcional de citas a Google Calendar, si el profesional conecta cada servicio; reseñas de Google, si la clínica conecta su ficha; y acceso con cuenta de Google, si el usuario lo elige. Detalle en el apartado 14.
• Agencia Estatal de Administración Tributaria: registros de facturación cuando la clínica emite facturas con remisión VERI*FACTU. Es un destinatario por obligación legal, no un encargado del tratamiento.

No se cederán datos a terceros distintos de los indicados, salvo obligación legal.

6. Transferencias internacionales

La base de datos, los archivos y el cómputo de la Plataforma están en Irlanda (Unión Europea). Algunos de los proveedores indicados son sociedades estadounidenses que pueden acceder a los datos desde fuera del Espacio Económico Europeo para prestar soporte. En esos casos la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de 10 de julio de 2023) cuando el proveedor está certificado, y en las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914) en los demás casos. Puede solicitar copia de las garantías aplicables en privacidad@wavaily.com.

7. Plazo de conservación

• Datos de usuarios registrados (clínicas): mientras se mantenga la relación contractual y, tras su finalización, durante los plazos legalmente exigidos (mínimo 5 años conforme al Código de Comercio).
• Datos de pacientes: Wavaily los trata únicamente por cuenta de la clínica, que es la responsable del tratamiento, y los conserva mientras esté vigente el contrato con ella. Al finalizar, se devuelven o se suprimen según lo que decida la clínica (art. 28.3.g RGPD). Es la clínica quien determina los plazos de conservación que le exige la normativa sanitaria: como mínimo 5 años desde el alta de cada proceso asistencial (Ley 41/2002 art. 17) y 15 años en Cataluña (Ley 21/2000 art. 12).
• Datos de navegación: máximo 12 meses desde su recogida.

8. Derechos del interesado

De conformidad con el RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), el interesado tiene derecho a:

• Acceso: conocer qué datos personales suyos están siendo tratados.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Supresión: solicitar la eliminación de sus datos cuando ya no sean necesarios para la finalidad para la que fueron recogidos.
• Oposición: oponerse al tratamiento de sus datos en determinadas circunstancias.
• Limitación del tratamiento: solicitar que se limite el tratamiento de sus datos.
• Portabilidad: recibir los datos facilitados en un formato estructurado, de uso común y lectura mecánica.

Para ejercer estos derechos, el interesado puede dirigirse a privacidad@wavaily.com, indicando su identidad y el derecho que desea ejercer. Se atenderá la solicitud en el plazo máximo de un mes.

Asimismo, el interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si considera que sus derechos no han sido debidamente atendidos.

9. Medidas de seguridad

Wavaily aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo:

• Cifrado de contraseñas y datos sensibles en tránsito (TLS) y en reposo.
• Políticas de seguridad a nivel de fila (Row Level Security) en la base de datos, garantizando que cada clínica solo accede a sus propios datos.
• Cabeceras de seguridad HTTP (HSTS, CSP, X-Frame-Options).
• Autenticación segura mediante tokens JWT con expiración controlada.
• Tokens de acceso a servicios de terceros, como Google Calendar y Google Meet, guardados cifrados.

10. Cookies

La Plataforma utiliza únicamente cookies propias y estrictamente necesarias: la sesión de la persona usuaria, la clínica activa cuando se gestiona más de una, el idioma elegido, si el menú lateral del panel se muestra plegado o desplegado y, solo si al terminar una reserva la persona usuaria pide guardar sus datos en su cuenta, esos datos, cifrados, durante un máximo de 24 horas y hasta que accede a la cuenta. No se utilizan cookies publicitarias, de redes sociales ni de rastreo entre sitios, y no se comparten con terceros con fines de perfilado.

Para medir el uso y el rendimiento empleamos Vercel Analytics y Speed Insights, que no instalan cookies ni identificadores persistentes y trabajan con datos agregados; los eventos del proceso de reserva excluyen expresamente nombre, teléfono, correo y fecha de nacimiento. La monitorización de errores (Sentry) tampoco instala cookies y depura los datos personales antes de enviarlos; la grabación de sesiones está desactivada.

Puede borrar o bloquear las cookies desde la configuración de su navegador. Bloquear las cookies necesarias impide iniciar sesión y usar la Plataforma.

11. Relación entre Wavaily y las clínicas

A los efectos del RGPD, Wavaily actúa como encargado del tratamiento respecto a los datos de pacientes que las clínicas gestionan a través de la Plataforma. Cada clínica es responsable del tratamiento de los datos de sus pacientes y debe disponer de su propia base jurídica para dicho tratamiento (consentimiento del paciente, ejecución de contrato de prestación de servicios sanitarios, etc.).

Las condiciones de esta relación de encargo de tratamiento se regulan en el contrato de prestación de servicios suscrito entre Wavaily y cada clínica.

12. Modificaciones

Wavaily se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas o jurisprudenciales. En caso de cambios sustanciales, se notificará a los usuarios registrados por correo electrónico con una antelación mínima de 15 días.

13. Datos obligatorios y decisiones automatizadas

Los datos marcados como obligatorios en cada formulario son necesarios para crear la cuenta, reservar una cita o emitir una factura; sin ellos no es posible prestar el servicio. El resto son voluntarios y su ausencia no tiene más consecuencia que la de no poder usar la función asociada.

No se toman decisiones automatizadas que produzcan efectos jurídicos sobre las personas ni que las afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD, ni se elaboran perfiles con esa finalidad.

14. Datos obtenidos de Google

Tres funciones opcionales usan Google: iniciar sesión, crear salas de Google Meet para videocitas y conectar Google Calendar. El profesional conecta Meet y Calendar por separado desde «Mis ajustes».

14.1 Inicio de sesión con Google

Si el usuario inicia sesión con su cuenta de Google, Google nos facilita su nombre, su dirección de correo electrónico, su foto de perfil y un identificador de su cuenta. Los usamos únicamente para crear la cuenta, identificar al usuario y permitirle iniciar sesión. Wavaily no tiene acceso a su contraseña de Google.

14.2 Google Calendar

Cada profesional puede conectar su Google Calendar desde «Mis ajustes» en la Plataforma. Wavaily solicita entonces a Google tres permisos, los más limitados que permiten estas funciones: el que Google describe como «ver, crear, modificar y eliminar eventos en los calendarios de tu propiedad», que Wavaily usa para enviar las citas del profesional a su calendario y para leer sus horas ocupadas; el de consultar la disponibilidad de los calendarios a los que tiene acceso, y el de ver la lista de esos calendarios. Los usa exclusivamente para:

• Enviar citas a Google Calendar. El profesional elige por separado si envía citas presenciales y videocitas. Los eventos incluyen servicio, nombre del paciente, fecha, hora, dirección solo en citas presenciales, enlace a Wavaily, enlace de Meet en videocitas e identificador interno; no incluyen notas. Las videocitas nuevas obtienen su sala mediante Google Meet aunque no se envíen a Calendar. Las citas antiguas pueden conservar un evento de Calendar necesario para su enlace original.
• Bloquear en Wavaily las horas en que el profesional está ocupado. Wavaily lee las horas ocupadas del calendario principal del profesional, que queda marcado automáticamente al conectar (puede desmarcarlo), y de los demás calendarios que él marque. De cada evento lee únicamente el inicio y el fin, si cuenta como ocupado o como disponible, si está cancelado, si pertenece a una serie de eventos periódicos y, de los asistentes, solo si han respondido y cómo, sin nombres ni correos; de esas respuestas solo usa la del propio profesional, para no bloquear las invitaciones que ha rechazado. Lee también los datos técnicos privados del evento, de los que solo usa la marca con la que reconoce los eventos de las citas que la propia Wavaily envía a Google (el identificador interno del punto anterior). No solicita títulos, descripciones ni ubicaciones. En la agenda, esas horas se muestran solo como «Ocupado (Google)» y, si una cita coincide con una de ellas, se avisa al profesional por correo con la fecha, la hora y el servicio de la cita, sin datos del paciente ni del evento de Google.
• Conservar lo imprescindible para mantener la conexión: los tokens de acceso que entrega Google, guardados cifrados; el identificador de cada evento creado; el correo de la cuenta de Google conectada; el identificador y el nombre de cada calendario de la lista de esa cuenta (el identificador de un calendario que otra persona comparte con el profesional puede ser el correo de esa persona); y, de los calendarios marcados, el inicio y el fin de cada hora ocupada con el identificador de su evento y el estado de la sincronización. No se guardan títulos, descripciones ni datos de otras aplicaciones.

Los datos de pacientes que contienen los eventos que crea Wavaily pasan a la cuenta de Google del profesional y, desde ese momento, Google los trata conforme a sus propias condiciones.

14.3 Google Meet

El profesional puede autorizar por separado la creación y gestión de salas de Google Meet. Wavaily crea una sala por videocita y guarda su enlace, identificador, el correo y el identificador de la cuenta de Google conectada y los tokens cifrados. No necesita acceso a Calendar ni lee grabaciones, transcripciones o el contenido de las llamadas. El enlace se muestra a quienes pueden acceder a la cita. Desactivar Meet impide nuevas reservas online; las citas con sala preparada conservan su enlace. La sala puede permanecer en Google y Wavaily deja de mostrar el acceso cuando la cita se cancela o termina.

14.4 Uso limitado de los datos de Google

• No usamos los datos obtenidos de Google para publicidad, para elaborar perfiles ni para entrenar modelos de inteligencia artificial.
• No los vendemos ni los cedemos a terceros. Solo los tratan los proveedores indicados en el apartado 5, para prestar el servicio.
• Ninguna persona de Wavaily los lee, salvo que el usuario lo autorice expresamente, que sea necesario por motivos de seguridad (por ejemplo, para investigar un abuso) o que lo exija la ley.
• El uso que Wavaily hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de datos de usuario de los servicios de API de Google (Google API Services User Data Policy), incluidos los requisitos de uso limitado (Limited Use).

14.5 Conservación y retirada del acceso

Al desconectar Calendar desde «Mis ajustes», Wavaily detiene la sincronización, borra las horas ocupadas importadas e intenta eliminar los eventos que creó, incluidos los pasados. Conserva temporalmente el token cifrado para esa limpieza y avisa si no puede confirmar una eliminación. Los enlaces de salas creadas directamente con Meet permanecen en Wavaily para las citas preparadas. Al desactivar Meet deja de crear salas; las existentes pueden permanecer en Google. Calendar y Meet se conectan por separado. Si usan proyectos Google distintos, Wavaily intenta revocar el permiso desconectado sin retirar el otro; si comparten proyecto, conserva el permiso remoto hasta que se desconecten ambos. Retirar el acceso desde la página de permisos de su cuenta de Google puede afectar a ambas funciones cuando comparten proyecto y dificultar la limpieza de eventos. Wavaily indica si Google no confirma la revocación necesaria.