Política de privacidad

Para los tratamientos propios, el responsable es CITAIA SOLUTIONS, S.L., NIF B88834882, con domicilio en Paseo Ermita del Santo 40, Local 1, 28011 Madrid, España.

Puedes contactar sobre privacidad en privacy@citaia.es y sobre cuestiones legales o contractuales en legal@citaia.es.

Citaia actúa como responsable respecto de los contactos comerciales, usuarios de su panel, consultas recibidas por sus propios canales, facturación, seguridad y administración del servicio.

Cuando una clínica u otra empresa usa Citaia para atender a sus clientes, pacientes o usuarios, esa empresa decide las finalidades y bases jurídicas. En ese contexto, Citaia trata los datos por cuenta del cliente, conforme al contrato de encargo, sus instrucciones documentadas y la configuración contratada. Las solicitudes relacionadas con esos datos deben dirigirse primero a la empresa responsable.

• Datos identificativos y de contacto, como nombre, teléfono, correo electrónico y empresa.
• Datos de cuenta, permisos, configuración y actividad necesaria para usar el panel.
• Solicitudes de cita, conversaciones y datos de agenda facilitados por el usuario o el cliente.
• Datos comerciales, contractuales, de soporte y facturación.
• Datos técnicos y de seguridad, como registros de acceso, dispositivo, incidencias y evidencias.

En servicios configurados por clientes sanitarios, una conversación podría contener datos de salud. Esos datos solo deben tratarse cuando sean necesarios, con la base jurídica definida por el cliente responsable y bajo las garantías reforzadas aplicables. No envíes información clínica por los formularios comerciales generales de Citaia.

Los datos pueden proceder de la propia persona, de la empresa para la que trabaja, del cliente responsable, del uso del servicio o de canales y calendarios que el cliente haya decidido conectar.

• Prestar y administrar el servicio: ejecución del contrato o medidas precontractuales.
• Responder consultas y preparar propuestas: medidas precontractuales y, en contactos profesionales, interés legítimo.
• Proteger cuentas, sistemas y usuarios: interés legítimo en prevenir fraude, abuso e incidencias.
• Cumplir obligaciones fiscales, mercantiles y legales: cumplimiento de una obligación jurídica.
• Enviar comunicaciones solicitadas: consentimiento cuando sea necesario, que puede retirarse en cualquier momento.

Cuando actuamos como encargados, la base jurídica del tratamiento la determina el cliente responsable. No reutilizamos esos datos para fines propios incompatibles con sus instrucciones.

Para evaluar las páginas comerciales, contamos vistas, clics para solicitar una demo y solicitudes aceptadas. Los eventos de vistas y clics solo incorporan una acción y una ruta pública predefinidas, además de la fecha y los datos técnicos del servicio que los registra. No incluyen nombres, email, teléfono, contenido de formularios, parámetros de la URL ni identificadores de visitante, y no usan cookies ni perfiles individuales. Las solicitudes aceptadas se contabilizan a partir de los registros operativos del servicio, sin trasladar los datos de contacto a los eventos de vistas o clics.

Esta medición no convierte en anónimos los registros de acceso, seguridad e incidencias: la infraestructura puede tratar datos técnicos, como la dirección IP, para recibir solicitudes y proteger el servicio. Esos registros tienen acceso restringido y se usan para las finalidades operativas descritas en esta política.

Cuando una empresa crea una cuenta y contrata Citaia, somos responsables de los datos de la cuenta, de las personas que la administran y de la facturación: nombre, email, teléfono, razón social, NIF, dirección, plan contratado, consumo facturado, facturas y estado de los pagos.

• Ejecutar el contrato y facturar: ejecución del contrato.
• Prevenir el fraude y el impago: interés legítimo en proteger el servicio y los cobros.
• Cumplir obligaciones mercantiles y fiscales: cumplimiento de una obligación legal.

Los pagos se gestionan con Stripe (Stripe Payments Europe, Ltd., Irlanda). Stripe recibe los datos de pago directamente en su página y no los compartimos con otros fines. Stripe puede transferir datos a Estados Unidos con las garantías descritas en el apartado 6.

Conservamos las facturas y los registros de facturación durante 6 años, como exigen el artículo 30 del Código de Comercio y la normativa tributaria. La prueba de aceptación de las Condiciones de Servicio (versión, fecha, usuario, IP y navegador) se conserva mientras dure el contrato y, después, durante los plazos de prescripción de las acciones que puedan derivarse de él.

Solo damos acceso a los datos cuando es necesario: personal autorizado, clientes responsables, proveedores de infraestructura, alojamiento, almacenamiento, inteligencia artificial, comunicaciones, soporte, seguridad y observabilidad, además de asesores profesionales y autoridades cuando exista obligación legal.

Los proveedores que tratan datos por cuenta de Citaia quedan sujetos a contratos, deberes de confidencialidad, seguridad y límites de finalidad.

Cuando un tratamiento implica una transferencia fuera del Espacio Económico Europeo, se aplican las garantías previstas por el RGPD, como decisiones de adecuación, cláusulas contractuales tipo y medidas complementarias cuando procedan. Puedes pedir información sobre estas garantías, o una copia, en privacy@citaia.es.

Conservamos los datos durante el tiempo necesario para prestar el servicio, gestionar la relación y atender responsabilidades. Después se bloquean o eliminan conforme a los plazos legales aplicables. Los datos tratados por cuenta de un cliente se devuelven o suprimen según sus instrucciones y el contrato, salvo que una norma exija conservarlos.

Los registros de seguridad e incidencias se conservan durante periodos limitados y proporcionales a su finalidad. Las consultas que no originan una relación se eliminan cuando dejan de ser necesarias.

Si solicitas una demo personalizada, usamos el negocio o web elegidos, tu email o WhatsApp y señales técnicas seudonimizadas para preparar la prueba, limitar abusos y entregarla. La demo se activa durante 14 días cuando dispone de chat y número de llamada. El destino inmutable del aviso se elimina al terminar el envío y los datos operativos de la demo se depuran con un límite de 30 días.

La búsqueda de negocios usa Google Places para mostrar coincidencias y obtener la web oficial de la opción elegida. No usamos reseñas, fotos ni puntuaciones para crear la demo. Google puede tratar la consulta y datos técnicos conforme a sus condiciones de privacidad.

Si eliges WhatsApp, solicitamos un consentimiento específico para que Citaia envíe un único mensaje con el enlace, número y caducidad de la demo. No convierte esa solicitud en consentimiento para marketing y puedes oponerte escribiendo a privacy@citaia.es.

No introduzcas datos reales de pacientes, historias clínicas ni información confidencial en una demo.

Puedes solicitar acceso, rectificación, supresión, oposición, limitación, portabilidad y, cuando el tratamiento dependa del consentimiento, retirarlo sin afectar a la licitud previa. Escribe a privacy@citaia.es e indica qué derecho quieres ejercer. Podremos pedir información razonable para verificar tu identidad.

Si Citaia trata los datos por cuenta de una clínica o empresa, trasladará o asistirá la solicitud conforme al contrato. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

Citaia puede usar inteligencia artificial para interpretar solicitudes y preparar acciones de agenda. No adopta por sí sola decisiones con efectos jurídicos o equivalentes sobre las personas; el cliente define las reglas del servicio y puede revisar las actuaciones relevantes.

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo, como control de acceso, trazabilidad, minimización y gestión de incidencias. Ningún sistema es infalible, por lo que revisamos estas medidas y actualizaremos esta política cuando cambien de forma relevante los tratamientos o la normativa.