Política de privacidad

1. Quién es responsable de tus datos

Esta política explica cómo SANORIA CARE LTDA (identificación fiscal 69.430.101/0001-07, "Sanoria") trata datos personales conforme a la Ley General de Protección de Datos de Brasil (LGPD, Ley 13.709/2018). Dudas y solicitudes sobre datos personales: privacidade@sanoria.care.

Nuestro papel cambia según el dato:

• Datos de pacientes e historia clínica: la CLÍNICA es la responsable y Sanoria es la encargada. Los tratamos solo para prestar el servicio, siguiendo las instrucciones de la clínica. Quien quiera acceder, corregir o eliminar esos datos debe dirigirse a la clínica que lo atiende.
• Datos de quienes usan el sistema (dueños, profesionales, equipo) y de la suscripción: Sanoria es la responsable.

2. Qué datos tratamos

• Cuenta y equipo: nombre, correo, contraseña (guardada de forma irreversible), rol en la clínica, datos profesionales (colegio, número, especialidad) y, cuando se informan, identificación fiscal y fecha de nacimiento.
• Clínica: razón social, identificación fiscal, direcciones, sedes, salas, horarios y configuraciones.
• Pacientes (ingresados por la clínica): nombre, documento, contacto, fecha de nacimiento, seguro, citas, pagos e historia clínica, que son datos personales SENSIBLES de salud.
• Uso y seguridad: registros de acceso, dirección IP, fecha y hora de acciones, dispositivo y navegador, para seguridad, auditoría y corrección de fallos.
• Cobro: plan, ciclo y estado de la suscripción. Los datos de la tarjeta los procesa directamente Stripe y no pasan por nuestros servidores.

3. Para qué los usamos (y la base legal)

No vendemos datos personales ni los usamos para publicidad.

• Prestar el servicio contratado (agenda, historia clínica, documentos, finanzas): ejecución de contrato y, para datos de salud, tutela de la salud y ejercicio regular de derechos, según la actividad de la clínica.
• Seguridad, prevención del fraude y auditoría: interés legítimo y cumplimiento de obligación legal.
• Cobro y cumplimiento de obligaciones fiscales: ejecución de contrato y obligación legal.
• Enviar correos del servicio (activación, restablecimiento de contraseña, invitaciones): ejecución de contrato.
• Mejorar el producto con datos agregados que no identifican personas: interés legítimo.

4. Con quién los compartimos

Usamos proveedores para operar el servicio. Solo reciben lo necesario y actúan según nuestras instrucciones:

• Amazon Web Services (AWS): alojamiento, base de datos, correo transaccional y almacenamiento.
• Stripe: procesamiento de pagos con tarjeta y suscripciones.
• Meta (WhatsApp Business): solo si la clínica conecta un número, para enviar recordatorios y recibir confirmaciones. La cuenta y el número son de la propia clínica.
• Google (Calendario) y Memed (receta digital): solo si el profesional o la clínica activa la integración.
• Meta (Píxel) y Google (Analytics): medición de visitas y registros, solo si aceptas el aviso de cookies (sección 9).
• Autoridades, cuando haya orden legal o para defender derechos en un proceso.

5. Transferencia internacional

Algunos proveedores mantienen servidores fuera de Brasil. En esos casos, la transferencia se hace con las garantías que exige la LGPD, como cláusulas contractuales y medidas de seguridad equivalentes.

6. Cómo protegemos los datos

Ningún sistema es totalmente inmune. Si ocurre un incidente que pueda causar un riesgo relevante, lo comunicaremos a los afectados y a la ANPD conforme a la ley. Para clínicas en los Estados Unidos, también avisamos a la clínica en los plazos del Business Associate Agreement (BAA) de la HIPAA, publicado en sanoria.care/baa.

• Comunicación cifrada (HTTPS) y contraseñas almacenadas con hash.
• Documentos personales (identificación fiscal, de empresa y pasaporte) cifrados en la base de datos con AES-256-GCM, con clave propia; los secretos de integraciones (como el token de WhatsApp) y de la verificación en dos pasos también van cifrados.
• Base de datos con cifrado en reposo y copias de seguridad automáticas.
• Separación por clínica: cada organización solo accede a sus propios datos.
• Verificación en dos pasos opcional, control de acceso por rol y registro de auditoría de acciones sensibles.

7. Cuánto tiempo los conservamos

Conservamos los datos mientras la cuenta esté activa. Las historias clínicas siguen los plazos mínimos de conservación de la ley y de los colegios profesionales, definidos por la clínica y de su responsabilidad. Tras el cierre, eliminamos o anonimizamos los datos, salvo los que la ley nos obligue a mantener (por ejemplo, registros fiscales y de acceso).

8. Tus derechos

Puedes pedir confirmación del tratamiento, acceso, corrección, anonimización, portabilidad, información sobre el intercambio, eliminación de datos tratados con consentimiento y revocación del consentimiento (LGPD, art. 18). Para datos de pacientes, habla con la clínica; para el resto, escribe a privacidade@sanoria.care. También puedes reclamar ante la ANPD.

9. Cookies y almacenamiento local

Usamos el almacenamiento del navegador necesario para mantener la sesión y recordar preferencias como el idioma.

En el sitio (sanoria.care) y en la pantalla de registro de la app, y solo si aceptas el aviso de cookies, usamos el Píxel de Meta y Google Analytics para saber cuántas personas visitan, de dónde vienen y cuántas completan el registro. Estos eventos no llevan correo, documento ni ningún dato de pacientes, y nada de esto se ejecuta en las pantallas de la app después del inicio de sesión. Puedes rechazarlo en el aviso; tu elección se guarda en la cookie sanoria_consent durante 180 días.

10. Niños y adolescentes

Sanoria es para profesionales y clínicas. Los datos de menores pueden ser registrados por la clínica como pacientes, siempre con su responsable y bajo responsabilidad de la clínica.

11. Cambios en esta política

Podemos actualizar esta política. Los cambios relevantes se enviarán por correo a la dirección registrada de cada Usuario con al menos 15 (quince) días de antelación a su entrada en vigor, indicando qué cambió, y la nueva versión estará disponible en esta página con su fecha de actualización. Los cambios exigidos por ley o por una autoridad pueden entrar en vigor antes cuando así se determine.