Documento en trámite. Faltan los datos fiscales del titular (§1) y el correo de contacto, pendientes de confirmación. Se publicarán completos en cuanto se dispongan; el resto del documento está cerrado.
Política de privacidad — Cita24
Fecha de esta versión: 12/10/2026.
1. Quién trata tus datos
- Responsable: titular pendiente de completar, NIF NIF pendiente de completar, domicilio domicilio fiscal pendiente de completar.
- Contacto para privacidad y ejercicio de derechos: correo de contacto pendiente (llegará con el buzón del dominio).
- Delegado de Protección de Datos: no es obligatorio para nuestra actividad hoy; si lo nombramos, se publicará aquí su contacto.
2. De dónde salen los datos y para qué los usamos
Tratamos datos de tres colectivos distintos. Cada uno tiene su base legal.
A. Profesionales de clínicas a los que escribimos (prospección)
- Datos: nombre comercial de la clínica, nombre de la persona de contacto si lo publica, correo electrónico profesional, teléfono profesional, dirección de la web y localidad.
- Origen: fuentes públicas — el propio sitio web de la clínica, el mapa público de OpenStreetMap y directorios públicos del sector. No compramos listas ni usamos correos filtrados. Cada contacto queda registrado en nuestra base con la URL o la fuente exacta de la que salió.
- Para qué: contactarte una vez con una propuesta comercial relacionada con tu actividad profesional (art. 19 LOPDGDD: datos de contacto profesionales).
- Base legal: interés legítimo (art. 6.1.f RGPD) en la relación profesional, con la salvaguarda del art. 19 LOPDGDD. No usamos tus datos para perfilado ni los cedemos.
- Baja: cualquier mensaje lleva un enlace de baja en un clic y la posibilidad de responder «BAJA». Se ejecuta en menos de 1 hora y es definitiva.
- Conservación: 12 meses desde el último contacto si no hay respuesta. Si pides la baja, se conserva solo el registro de que te has dado de baja (para no volver a escribirte).
B. Clínicas y negocios clientes
- Datos: datos identificativos y fiscales del titular o de la persona con la que contratamos (nombre, NIF/CIF, dirección, teléfono, correo), datos de facturación y de pago (a través de Stripe) y la correspondencia con nosotros.
- Origen: los que nos facilitas al contratar.
- Para qué: prestar el servicio, facturar, atenderte y cumplir obligaciones fiscales y contables.
- Base legal: ejecución del contrato (art. 6.1.b RGPD) y cumplimiento de obligaciones legales (art. 6.1.c: fiscal, contable, facturación).
- Conservación: mientras dure la relación y, después, los plazos legales de prescripción (con carácter general 4 años en materia fiscal y 6 en materia mercantil).
C. Pacientes de las clínicas clientes
- Quién es el responsable: la clínica, no Cita24. Nosotros somos su encargado del tratamiento y solo tratamos los datos siguiendo sus instrucciones y para lo que dice el contrato de encargo (art. 28 RGPD).
- Datos: nombre, teléfono y hueco de agenda del paciente, más el contenido de la conversación necesario para agendar, confirmar, reprogramar o cancelar una cita.
- Para qué: atender la conversación por WhatsApp o web y gestionar la cita.
- Qué NO tratamos: historial clínico, diagnóstico, tratamiento, datos de salud o cualquier categoría especial del art. 9 RGPD. Si un paciente los escribe en la conversación, no se usan como dato clínico ni se envían a la clínica; se escala a una persona del equipo clínico.
- Base legal: la que defina la clínica responsable (normalmente su interés legítimo o la relación con el paciente) y, si los hubiera, los consentimientos que ella gestione.
- Conservación: la que fije la clínica en sus instrucciones. Por defecto no conservamos el contenido de las conversaciones más allá de lo necesario para la cita y su registro de servicio.
3. Quién más ve los datos (encargados y proveedores)
| Proveedor | Para qué | Dónde están los datos | Garantías |
|---|---|---|---|
| Hostinger (VPS) | Alojar la aplicación y la base de datos | Unión Europea | Contrato de encargado del tratamiento |
| Stripe Payments Europe, Ltd. | Cobros y facturación | UE / Irlanda | Contrato de encargado del tratamiento, Stripe está adherida al marco de privacidad de datos UE-EE. UU. |
Ollama (ollama.com) | Motor de IA que redacta las respuestas del recepcionista | Estados Unidos (nube) | Tratamiento por encargo; transferencia internacional amparada en cláusulas contractuales tipo. Ver aviso del punto 4. |
| Cloudflare (previsto) | DNS, TLS y CDN del dominio | Red global con puntos en la UE | Contrato de encargado del tratamiento |
No vendemos ni cedemos datos a terceros. Las conversaciones de WhatsApp se cursan a través de la plataforma de WhatsApp Business, cuyas condiciones y política de privacidad aplican como proveedor de mensajería.
4. Aviso importante: la IA no corre en local
Hoy, la inteligencia artificial que redacta las respuestas se ejecuta en la nube de Ollama, un proveedor situado en Estados Unidos. Por eso:
- No escribas datos clínicos, ni historiales, ni datos de salud en el chat de demostración ni en las conversaciones de WhatsApp hasta que tu clínica tenga firmado el encargo de tratamiento.
- En producción, y con el encargo firmado, lo que sale hacia el motor de IA son solo el nombre, el teléfono y el hueco de agenda, más el texto necesario para entender la petición. Nada más.
- Trabajamos en la alternativa de ejecutar los modelos dentro de la Unión Europea. Cuando sea verdad, esta política se actualizará con el nombre del proveedor y su ubicación exacta, y se reflejará también en la web.
Este aviso existe porque preferimos decirte dónde se procesan tus datos antes de que los escribas, a descubrirlo después.
5. Tus derechos
Puedes ejercer acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a correo de contacto pendiente (llegará con el buzón del dominio). Si eres paciente de una clínica cliente, dirígete primero a tu clínica, que es la responsable; nosotros te ayudamos a tramitarlo internamente.
- Respondemos en un mes (ampliable a dos en casos complejos, avisando).
- Puedes reclamar ante la Agencia Española de Protección de Datos (
aepd.es) si crees que no te hemos atendido bien. - Baja de comunicaciones comerciales: enlace de baja en un clic en cada mensaje, o responde «BAJA» al correo. Se ejecuta en menos de 1 hora (
procedimiento-bajas.md).
6. Seguridad
- Acceso al CRM con registro de quién entra y qué cambia; sin contraseñas compartidas.
- Copias de seguridad periódicas y restauración ensayada.
- Registro de actividades de tratamiento (
registro-actividades-tratamiento.md) disponible para clientes y autoridades. - Si sufrimos una brecha de seguridad que te afecte, lo notificamos a la AEPD en 72 horas y a los afectados cuando proceda.
7. Cambios
Esta política puede actualizarse. La fecha de la cabecera es la de la última revisión y cualquier cambio sustancial se comunica a los clientes por correo.
Cita24 · Aviso legal · Privacidad · Cookies