Política de privacidad

En cumplimiento del Reglamento (UE) 2016/679, de 27 de abril, General de Protección de Datos (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa al usuario sobre el tratamiento de sus datos personales.

Responsable del tratamiento

Datos que recopilamos

Los formularios propios de esta web son el de reserva de cita y el de compra de tarjetas regalo. El resto de datos personales que pueda facilitar el usuario se obtienen a través de canales externos:

• Tarjeta regalo — quien compra indica su nombre y su email, y el nombre y (opcionalmente) el email de la persona a la que regala la tarjeta, además del mensaje que quiera incluir. Con estos datos se genera la tarjeta, se envía por email en la fecha elegida y se gestiona su uso en la clínica (saldo, canjes y, en su caso, devoluciones). Los datos de la tarjeta bancaria los recoge directamente Stripe en su página de pago y nunca llegan a esta web ni a la clínica. Quien facilita los datos de otra persona declara que puede hacerlo con esta única finalidad; la persona destinataria recibe esta información en el propio email de la tarjeta.
• Reserva de cita — al reservar en /cita el usuario indica nombre y apellidos, correo electrónico, teléfono, el tratamiento que le interesa y su DNI/NIE; si es su primera visita, también fecha de nacimiento y dirección postal. Con estos datos se registra la cita en la agenda de la clínica, se envía la confirmación y la invitación de calendario por email, se recuerda la cita por WhatsApp el día antes y se abre o actualiza la ficha de paciente en el programa de gestión de la clínica. El enlace del email permite cambiar o cancelar la cita.
• Canales de mensajería y comunicación externa — WhatsApp, correo electrónico y teléfono. La responsable trata los datos que el usuario decide facilitar voluntariamente por estos medios para responder a su consulta. Las plataformas mencionadas son responsables del tratamiento que ellas mismas realizan sobre dichas comunicaciones.
• Datos clínicos — información sobre salud, antecedentes y tratamientos. Se recogen exclusivamente en consulta presencial, fuera del sitio web, y se tratan como categoría especial de datos conforme al art. 9 RGPD.

Adicionalmente, los servicios de terceros integrados en la web (embeds de Instagram) pueden recoger datos técnicos de navegación (IP, dispositivo, identificadores) cuando el usuario acepta el uso de cookies de terceros. Más detalle en la Política de Cookies.

Finalidad y base jurídica

Los datos se tratarán con las siguientes finalidades:

• Gestión de citas y comunicación profesional — base legal: ejecución de un contrato o medidas precontractuales (art. 6.1.b RGPD) y consentimiento del interesado (art. 6.1.a).
• Tarjeta regalo — datos de quien compra: ejecución del contrato de compra (art. 6.1.b RGPD). Datos de la persona destinataria: interés legítimo en entregarle el regalo que se le ha hecho y permitirle usarlo (art. 6.1.f RGPD); solo se usan para enviarle la tarjeta, recordarle su caducidad y gestionar su uso, nunca con fines comerciales.
• Atención sanitaria — base legal: prestación de asistencia sanitaria por profesional sujeto al deber de secreto (art. 9.2.h RGPD), así como cumplimiento de obligaciones legales en materia sanitaria.
• Cumplimiento de obligaciones legales (fiscales, contables, sanitarias) — base legal: art. 6.1.c RGPD.

En ningún caso se utilizan los datos personales para elaboración de perfiles ni decisiones automatizadas con efectos jurídicos.

Plazos de conservación

• Datos de contacto y reservas: durante el tiempo necesario para la gestión solicitada y, posteriormente, durante los plazos legales aplicables.
• Tarjetas regalo: mientras la tarjeta esté vigente y, después, durante los plazos de conservación de la documentación contable y fiscal (hasta 6 años, art. 30 del Código de Comercio).
• Historia clínica: se conserva durante los plazos previstos en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente, y normativa autonómica madrileña aplicable (mínimo 5 años desde el alta del proceso asistencial).
• Datos sujetos a obligaciones contables y fiscales: durante los plazos exigidos por la normativa correspondiente.

Destinatarios y encargados del tratamiento

No se cederán datos personales a terceros, salvo obligación legal o consentimiento expreso del interesado. Para la prestación del servicio se utilizan proveedores que pueden tener acceso a datos como encargados del tratamiento, debidamente comprometidos por contrato:

• Meta Platforms, Inc. (Estados Unidos) — responsable del tratamiento independiente cuando el usuario: (i) pulsa un enlace a wa.me/... y abre WhatsApp, o (ii) acepta la carga de las publicaciones embebidas de Instagram en la sección Antes/Después. En ambos casos Meta recibe metadatos técnicos (IP, dispositivo, identificadores) y aplica su propia política. Más información en WhatsApp (EEE) y Instagram.
• Amazon Web Services, Inc. (Estados Unidos / región Irlanda) — alojamiento del sitio web a través de S3 + CloudFront en infraestructura europea, con replicación puntual fuera del EEE; almacenamiento de las reservas de cita y de las tarjetas regalo y envío de sus emails (región de Irlanda).
• Stripe Payments Europe, Ltd. (Irlanda) — cobro de las tarjetas regalo compradas online y, en su caso, devoluciones. Stripe trata los datos de pago con sus propias garantías; política de privacidad en stripe.com/es/privacy.
• Google Ireland Ltd. (Irlanda) — Google Calendar, agenda de la clínica: guarda las citas reservadas y envía a la paciente la invitación de calendario y los avisos de cambios.
• Google Ireland Ltd. / Google LLC (Irlanda / Estados Unidos) — Google Analytics 4 para analítica estadística agregada del uso del sitio. Se configura con IP anonimizada y sin habilitar funciones publicitarias. Solo se activa si el usuario otorga consentimiento de "Analítica" en el aviso de cookies. Política de privacidad de Google en policies.google.com/privacy.
• Proveedores de comunicaciones (correo electrónico, mensajería) — responsables independientes que el usuario contacta voluntariamente.

Las transferencias internacionales de datos a Estados Unidos se amparan en el Marco de Privacidad de Datos UE-EEUU (Data Privacy Framework, decisión de adecuación de la Comisión Europea de 10 de julio de 2023) y, subsidiariamente, en cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD).

Derechos del interesado

El usuario puede ejercer en todo momento los siguientes derechos:

• Acceso a sus datos personales.
• Rectificación de datos inexactos o incompletos.
• Supresión cuando, entre otros motivos, ya no sean necesarios.
• Oposición al tratamiento en determinadas circunstancias.
• Limitación del tratamiento.
• Portabilidad de los datos.
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Para ejercer estos derechos, puede dirigirse por escrito a zaida@zaidacarcamo.com o por correo postal a la dirección indicada como responsable, acompañando copia de documento que acredite su identidad.

Asimismo, le asiste el derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) cuando considere que el tratamiento no se ajusta a la normativa.

Seguridad

El responsable aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, conforme al art. 32 RGPD.