Politica de privacidad

POLÍTICA DE PRIVACIDAD SINTOMÁTICO Versión 0.1 — Fecha de última actualización: [03 de 09 de 2026] Aviso preliminar. Esta Política de Privacidad describe cómo [Razón social o nombre del responsable de sintomático] trata los datos personales de las personas usuarias que acceden a Sintomático (en adelante, "la Plataforma") en calidad de pacientes y en calidad de profesionales de salud. Lea cuidadosamente este documento; su aceptación es requisito para el uso del servicio. 1. Responsable del tratamiento y contacto 1.1 Responsable. El responsable del tratamiento de los datos personales tratados a través de la Plataforma es [Razón social completa], sociedad constituida conforme a las leyes de la República de Costa Rica, con cédula jurídica número [XXX], domicilio en [XXX]. 1.3 Rol de la Plataforma según el flujo de datos: a) Frente al paciente, respecto de su Registro Personal de Salud (RPS), del uso del chatbot y de los servicios prestados directamente por la Plataforma, esta actúa como responsable del tratamiento. b) Frente al profesional de salud, respecto del Expediente Clínico que este genera en el marco de un acto médico usando las herramientas de la Plataforma, esta actúa como encargada del tratamiento, por instrucciones del profesional o de la institución responsable. 2. Alcance y ámbito de aplicación 2.1 Esta Política aplica a los datos personales tratados por la Plataforma en el territorio de la República de Costa Rica, en el marco del servicio digital que ofrece a pacientes y profesionales de salud. 2.2 El tratamiento de datos personales se rige por la Ley N° 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales, y su Reglamento (Decreto N° 37554-JP). 2.3 Esta Política se complementa con los Términos y Condiciones para Pacientes, los Términos y Condiciones para Profesionales de Salud, y los consentimientos específicos que se solicitan dentro de la Plataforma para determinadas funcionalidades. 3. Definiciones Para efectos de esta Política: a) Datos Personales: cualquier dato relativo a una persona física identificada o identificable. b) Datos Sensibles: datos personales que revelen información de salud del titular, sometidos al régimen reforzado del artículo 9 de la Ley N° 8968. c) Titular de los Datos: persona física a quien se refieren los datos personales. d) Tratamiento: cualquier operación o conjunto de operaciones efectuadas sobre datos personales. e) Encargado: persona física o jurídica que trata datos personales por cuenta del responsable. f) Registro Personal de Salud (RPS): información de salud que el paciente registra voluntariamente en la Plataforma. g) Expediente Clínico: documentación clínica generada por un profesional de salud, regida por el artículo 131 del Código de Ética Médica y demás normativa sanitaria. 4. Categorías de datos personales que tratamos 4.1 Datos de pacientes a) Datos de identificación y contacto: nombre completo, número de cédula o documento de identidad, fecha de nacimiento, sexo, domicilio, correo electrónico, teléfono. b) Datos de la cuenta: nombre de usuario, contraseña (cifrada), fecha de creación, registros de acceso y autenticación, preferencias de configuración. c) Datos Sensibles de salud registrados por el paciente en el RPS: antecedentes médicos, condiciones de salud susceptibles de diagnóstico médico, medicamentos, alergias, resultados de exámenes cargados por el paciente, notas personales de salud, hábitos declarados y cualquier otra información de salud que el paciente decida registrar. d) Datos generados por la interacción con el chatbot: consultas realizadas, mensajes intercambiados, categorías de temas consultados y metadatos de la conversación. e) Datos generados por la interacción con profesionales de salud a través de la Plataforma: consentimientos de compartición otorgados, alcance y duración, identificación del profesional receptor, y, cuando el paciente lo consienta expresamente, grabaciones y transcripciones de la consulta médica. f) Datos técnicos y de uso: dirección IP, tipo de dispositivo, sistema operativo, versión de la aplicación, registros de actividad, fecha y hora de las acciones realizadas. 4.2 Datos de profesionales de salud a) Datos de identificación y contacto: nombre completo, número de cédula, especialidad, número de colegiatura vigente, correo electrónico, teléfono. b) Datos profesionales: afiliación institucional (si aplica), historial de uso de la Plataforma, actividad profesional dentro del servicio. c) Datos técnicos y de uso: equivalentes a los descritos en el numeral 4.1.f. 4.3 Datos que no tratamos La Plataforma no solicita ni trata datos personales relativos a origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, orientación sexual o antecedentes penales, salvo que sean estrictamente necesarios en el marco de un dato de salud registrado voluntariamente por el paciente y sean tratados con las garantías reforzadas correspondientes. 5. Finalidades del tratamiento 5.1 Finalidades respecto de pacientes Los datos personales de pacientes se tratan para las siguientes finalidades: a) Prestar el servicio de la Plataforma, incluyendo la creación y gestión de la cuenta, el mantenimiento del RPS y la operación del chatbot informativo de salud. b) Facilitar la compartición del RPS con profesionales de salud designados por el paciente, mediante consentimientos específicos otorgados dentro de la Plataforma. c) Habilitar la interacción con profesionales de salud a través de las herramientas disponibles en la Plataforma, incluida la transcripción de consultas cuando el paciente consienta expresamente. d) Cumplir con obligaciones legales aplicables y atender requerimientos de autoridades competentes. e) Garantizar la seguridad de la Plataforma, prevenir usos indebidos, detectar y responder a incidentes de seguridad. f) Comunicar al paciente información esencial sobre el servicio, cambios en los Términos, alertas de seguridad y avisos operativos. g) Redirigir al paciente hacia servicios de emergencia cuando el sistema detecte indicios de una situación crítica para su vida o integridad. 5.2 Finalidades respecto de profesionales de salud a) Habilitar el acceso a la Plataforma en calidad de usuario profesional y verificar su colegiatura vigente. b) Prestar las herramientas de trabajo clínico, incluida la transcripción por inteligencia artificial de consultas cuando el profesional y el paciente lo consientan. c) Habilitar el acceso al RPS de pacientes que hayan autorizado la compartición. d) Cumplir con las obligaciones derivadas del contrato profesional y con los requerimientos legales aplicables. e) Garantizar la trazabilidad y auditoría de las acciones realizadas en la Plataforma. 6. Bases de legitimación 6.1 Consentimiento cualificado (art. 5 y 9 Ley 8968). La base principal para el tratamiento de los Datos Sensibles de salud del paciente es su consentimiento expreso, informado, libre, específico e inequívoco, otorgado durante el registro y, cuando corresponda, mediante consentimientos específicos dentro de la Plataforma. 6.2 Ejecución del contrato. El tratamiento de los datos estrictamente necesarios para la prestación del servicio se apoya adicionalmente en la ejecución del contrato aceptado por la persona usuaria al adherir a los Términos y Condiciones. 6.3 Interés vital (art. 5.b Ley 8968). En situaciones de emergencia médica detectadas por la Plataforma, esta puede tratar datos personales del paciente con la finalidad de protección de su interés vital y de redirección a los servicios de emergencia, sin que sea necesario un consentimiento adicional para dicha actuación puntual. 6.4 Cumplimiento de obligación legal. El tratamiento derivado del cumplimiento de deberes legales, incluidos requerimientos de autoridades sanitarias, judiciales o de protección de datos, se apoya en la base de cumplimiento de una obligación legal aplicable a la Plataforma. 6.5 Ejecución del vínculo profesional. Respecto de los profesionales de salud, el tratamiento se apoya en la ejecución del contrato profesional que aceptan al registrarse. 6.6 Revocabilidad. El consentimiento otorgado por el titular es libremente revocable en cualquier momento, sin efectos retroactivos sobre los tratamientos previos. La revocación puede realizarse a través de los canales previstos en la Cláusula 13. 7. Encargados del tratamiento y proveedores 7.1 La Plataforma se apoya en proveedores tecnológicos que actúan como encargados del tratamiento por su cuenta, incluyendo, entre otros: a) Proveedor de infraestructura en la nube: para el alojamiento seguro de la información y el funcionamiento técnico del servicio. b) Proveedor de modelo de inteligencia artificial: para el procesamiento de las consultas al chatbot y, cuando corresponda, para la transcripción de consultas médicas. c) Proveedor de servicios de correo transaccional: para las comunicaciones operativas con la persona usuaria. d) Proveedor de servicios de autenticación y seguridad: para la verificación de identidad y prevención de fraudes. 7.2 Cada encargado del tratamiento actúa por cuenta de la Plataforma bajo un contrato de encargo con contenido mínimo conforme al artículo 11 de la Ley N° 8968 y su Reglamento, que incluye obligaciones de confidencialidad, medidas de seguridad, prohibición de uso para fines propios, y devolución o destrucción de los datos al término del encargo. 7.3 No comercialización. La Plataforma no vende, alquila ni cede a título oneroso datos personales de la persona usuaria a terceros. 8. Compartición del RPS con profesionales de salud 8.1 Principio de consentimiento específico. El RPS del paciente solo se comparte con profesionales de salud a partir de un acto específico de consentimiento otorgado por el paciente dentro de la Plataforma, en los términos previstos en los Términos y Condiciones para Pacientes. 8.2 Modalidades de compartición. El paciente puede iniciar la compartición seleccionando al profesional receptor, o puede aceptar una solicitud de acceso emitida por un profesional. En ambos casos, la materialización de la compartición requiere el consentimiento activo del paciente dentro de la Plataforma. 8.3 Registro del consentimiento. Cada consentimiento de compartición se registra en la Plataforma con constancia de fecha, hora, identificación del receptor, alcance de la información compartida, duración y modalidad de acceso. 8.4 Cambio de rol del receptor. Al recibir el RPS, el profesional de salud asume, para efectos del tratamiento clínico que realiza, la condición de responsable del tratamiento, con sus propias obligaciones legales y éticas, distintas e independientes de las de la Plataforma. 8.5 Revocación. El paciente puede revocar en cualquier momento cualquier compartición previamente autorizada, con efectos hacia futuro. La revocación no afecta la información que el profesional haya incorporado a su propio Expediente Clínico, que se rige por la normativa sanitaria y por el régimen del artículo 131 del Código de Ética Médica. 9. Uso de inteligencia artificial 9.1 Sistemas utilizados. La Plataforma utiliza sistemas de inteligencia artificial para el funcionamiento del chatbot y, cuando corresponda, para la transcripción de consultas médicas. 9.2 Supervisión humana. Toda información generada por sistemas de inteligencia artificial que se incorpore al Expediente Clínico de un profesional de salud debe ser objeto de revisión y validación por parte del profesional antes de su registro definitivo. 9.3 No entrenamiento con datos del titular. La Plataforma no utiliza los Datos Personales de la persona usuaria para entrenar, mejorar o ajustar modelos de inteligencia artificial propios ni de terceros, salvo que el titular otorgue consentimiento expreso, específico e independiente para ese fin, y siempre con las garantías técnicas aplicables. Sin embargo, la Plataforma utiliza data agregada y anonimizada para mejorar el servicio. 9.4 Ausencia de decisiones automatizadas con efectos significativos. La Plataforma no adopta decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o significativos sobre la persona usuaria. El chatbot provee información orientativa y no adopta decisiones clínicas ni administrativas sobre el paciente. 10. Medidas de seguridad 10.1 La Plataforma implementa medidas técnicas, organizativas y jurídicas razonables y proporcionales al nivel de sensibilidad de los datos tratados, con el objetivo de garantizar la confidencialidad, integridad, disponibilidad y resiliencia del tratamiento de los datos. 10.2 Medidas técnicas. Entre otras, la Plataforma aplica: a) Cifrado en tránsito y en reposo de los Datos Sensibles. b) Autenticación multifactor para el acceso a la cuenta. c) Segregación de ambientes de desarrollo, prueba y producción. d) Registro de accesos y actividades (trazabilidad y auditoría). e) Copias de seguridad periódicas y planes de continuidad. f) Prohibición del uso de datos reales de titulares en ambientes no productivos. 10.3 Medidas organizativas. a) Designación de una Persona Encargada de Protección de Datos. b) Políticas internas de acceso bajo el principio de necesidad (need-to-know). c) Capacitación del personal en materia de protección de datos y confidencialidad médica. d) Protocolo de gestión de incidentes de seguridad. e) Contratos de encargo con todos los proveedores que traten datos por cuenta de la Plataforma. 10.4 Limitaciones. Ningún sistema de tratamiento de datos es absolutamente inmune a incidentes de seguridad. La Plataforma no garantiza inmunidad absoluta, pero se compromete a actuar diligentemente para prevenir, detectar y responder a incidentes, y a notificar oportunamente a la persona usuaria y a las autoridades competentes. 11. Plazos de conservación 11.1 Datos de la cuenta y RPS del paciente. Se conservan mientras la cuenta permanezca activa. En caso de solicitud de supresión por parte del paciente o de cierre de la cuenta, se procede a la eliminación en un plazo máximo de treinta (30) días naturales, salvo que exista obligación legal de conservación aplicable. 11.2 Datos de interacción con el chatbot. Se conservan por el plazo estrictamente necesario para la prestación del servicio, con un límite general de veinticuatro (7) días, en su versión gratuita y (24) meses, salvo que el paciente solicite su supresión antes. 11.3 Grabaciones y transcripciones de consultas médicas. Se conservan mientras el paciente mantenga activa la funcionalidad y no revoque el consentimiento. Ante la revocación, la Plataforma cesa la grabación hacia adelante. Las transcripciones que hayan sido incorporadas al Expediente Clínico del profesional siguen el régimen del numeral 11.5. 11.4 Registros de consentimiento. Los registros que acreditan el otorgamiento y la revocación de consentimientos se conservan por el plazo de prescripción de las acciones legales aplicables, con un mínimo de cinco (5) años, como respaldo del cumplimiento de la Plataforma. 11.5 Expediente Clínico generado por profesionales de salud. Su conservación se rige por la normativa sanitaria y por las obligaciones del profesional de salud como responsable del tratamiento del Expediente Clínico. La Plataforma, en calidad de encargada, custodia dicho Expediente por instrucciones del profesional y por el plazo que este determine conforme a la normativa aplicable. 11.6 Datos anonimizados. Los datos anonimizados de forma irreversible no constituyen datos personales y pueden conservarse sin límite temporal para fines estadísticos o de mejora del servicio, cuando corresponda. 11.7 Retenciones legales. Cuando exista obligación legal de conservación (por ejemplo, tributaria, contable o por requerimiento judicial), los datos afectados se conservan por el plazo legal correspondiente, incluso después del cierre de la cuenta. 12. Derechos de la persona usuaria 12.1 Derechos reconocidos. La persona usuaria puede ejercer, respecto de sus datos personales, los siguientes derechos previstos por la Ley N° 8968 y su Reglamento: a) Acceso: conocer qué datos personales trata la Plataforma sobre su persona, sus finalidades y sus destinatarios. b) Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados. c) Actualización: solicitar la incorporación de datos actualizados. d) Supresión: solicitar la eliminación de sus datos personales cuando corresponda conforme a la legislación aplicable. e) Oposición: oponerse al tratamiento por motivos legítimos. f) Revocación del consentimiento: retirar en cualquier momento un consentimiento previamente otorgado, con efectos hacia futuro. g) Portabilidad del RPS: exportar el RPS en un formato estructurado y de uso común, sin costo. La oposición o supresión de los datos implica que el usuario no podrá continuar utilizando la plataforma o el servicio. 12.2 Canal de ejercicio. La persona usuaria puede ejercer sus derechos: a) Mediante las funcionalidades disponibles dentro de la Plataforma (acceso al RPS, exportación, revocación de consentimientos, cierre de cuenta). b) Escribiendo a [dpo@dominio.cr], adjuntando copia de su documento de identidad como medida de verificación razonable. 12.3 Plazo de respuesta. La Plataforma responderá a las solicitudes dentro de los plazos previstos por la Ley N° 8968 y su Reglamento, y en su defecto, dentro de un plazo máximo de cinco (5) días hábiles. 12.4 Denegatoria fundamentada. Cuando la solicitud sea improcedente conforme a la legislación aplicable (por ejemplo, por afectar derechos de terceros o entrar en conflicto con obligaciones legales de conservación), la Plataforma comunicará al titular las razones de la denegatoria. 13. Disposiciones finales 13.1 Modificaciones a la Política. La Plataforma podrá modificar esta Política. Cuando la modificación implique cambios sustanciales en el tratamiento de Datos Sensibles, se requerirá el consentimiento expreso adicional de la persona usuaria. 13.2 Cookies y tecnologías similares. La Plataforma utiliza únicamente cookies técnicas estrictamente necesarias para el funcionamiento del servicio (mantenimiento de sesión, seguridad, preferencias esenciales). No utiliza cookies analíticas de terceros ni cookies con fines publicitarios en esta fase del servicio. Si en el futuro se incorporan tecnologías adicionales, se solicitará el consentimiento correspondiente y se actualizará esta Política. 13.3 Vigencia. Esta Política entra en vigor en la fecha indicada como "Fecha de última actualización" y sustituye cualquier versión anterior.