Política de Privacidad

1. Responsable del Tratamiento de Datos

En cumplimiento del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le informamos que los datos personales recabados a través de la plataforma TerapeutasHolis son tratados por:

2. ¿Qué Datos Recopilamos?

Recopilamos diferentes tipos de datos en función de tu rol en la plataforma para poder prestarte el servicio:

2.1. Datos de Todos los Usuarios

• Datos de Identificación: Nombre, apellidos, dirección de correo electrónico y contraseña (almacenada de forma encriptada/hash).
• Datos Técnicos: Dirección IP, tipo de navegador, zona horaria y datos de uso de la plataforma para fines de seguridad y mejora del servicio.

2.2. Datos Específicos de Terapeutas y Escuelas (SaaS)

• Perfil Profesional: Fotografía, título profesional, biografía, formación, especialidades, ubicación de la consulta y filosofía de trabajo.
• Datos de Verificación: Documentación oficial que acredite la identidad y la formación (títulos, certificados) para validar el perfil.
• Datos de Agenda (Google Calendar): Si decides sincronizar tu calendario, accederemos a los datos de tus eventos externos para bloquear tu disponibilidad en la plataforma.
• Datos Financieros: Información necesaria para recibir pagos (KYC), gestionada íntegramente a través de Stripe Connect. Terapeutas Holis no almacena tus datos bancarios completos, solo los identificadores (tokens) proporcionados por Stripe.

2.3. Datos Específicos de Clientes (Marketplace)

• Datos de Reservas: Historial de citas, terapeuta seleccionado, servicio reservado, fecha y hora.
• Datos de Salud (Categoría Especial, art. 9 RGPD):al utilizar el "Asistente de Matching con IA", el chat, o cuando tu Terapeuta gestiona tu expediente clínico en la Plataforma (historial clínico, formularios de admisión, recomendaciones post-sesión y documentos adjuntos), estos datos se almacenan cifrados con AES-256-GCM en reposo y con acceso restringido por aislamiento de filas. La Plataforma los aloja por cuenta de tu Terapeuta (Encargado del Tratamiento) y no los utiliza para finalidades propias (más allá de estadísticas agregadas y anónimas que no permiten identificarte). Base legal: tu consentimiento explícito (art. 9.2.a RGPD) y, cuando el profesional sea sanitario regulado, la asistencia sanitaria prestada bajo deber de secreto (art. 9.2.h RGPD).
• Consentimiento Pilar 13: En reservas manuales (in_clinic), se solicita consentimiento explícito para compartir tu nombre, email y teléfono con el Terapeuta para gestionar la cita.
• Datos de Pago: Gestionados íntegramente por Stripe. No almacenamos tu tarjeta.

2.4. Datos que guarda de ti un Centro o Clínica en su propia lista de clientes

Un centro o clínica que utiliza la Plataforma mantiene su propia ficha de las personas que son clientes suyas —tanto si has reservado a través de él como si ya lo eras antes y ha trasladado su fichero anterior a la Plataforma—. En ese tratamiento el Responsable es el centro y TerapeutasHolis actúa como Encargado (art. 28 RGPD), en los términos del Acuerdo de Encargo del Centro.

• Qué puede guardar el centro: tus datos de contacto (nombre, apellidos, email, teléfono); tus datos administrativos (fecha de nacimiento, género, ciudad y provincia); tus datos fiscales (DNI/NIF o razón social, dirección de facturación, código postal, país), necesarios cuando es el centro quien te emite la factura; y una nota de gestión que escribe el propio centro sobre la relación contigo.
• Qué NO puede ver el centro: tu historial clínico, las notas de sesión de tu terapeuta, tus formularios de admisión y tus documentos clínicos. Ese contenido está cifrado y aislado técnicamente (Row-Level Security) y solo lo consulta el profesional que te atiende. La nota del centro es administrativa y el centro se obliga a no anotar en ella datos de salud.
• Copias separadas: la ficha del centro y la de tu terapeuta son copias distintas, cada una de su responsable; no se sincronizan entre sí, y ningún centro accede a la ficha de otro centro.
• Base jurídica del centro: la gestión de su relación contigo como cliente (arts. 6.1.b y 6.1.f RGPD) y, para el dato fiscal, sus obligaciones legales de facturación (art. 6.1.c).
• Quién te informa: como Responsable, es el centro quien debe informarte de este tratamiento —y hacerlo en el plazo del art. 14 RGPD cuando tus datos no los ha obtenido de ti, por ejemplo al importar su fichero anterior—. Ponemos a su disposición un texto de información preparado para ello.
• Cómo ejerces tus derechos sobre esa ficha: dirígete al propio centro, que es quien debe resolver. Si prefieres escribirnos a nosotros (info@terapeutasholis.com, asunto "PROTECCIÓN DE DATOS"), trasladaremos tu solicitud al centro responsable y le asistiremos para atenderla.

3. ¿Con Qué Finalidad Tratamos tus Datos?

Tratamos tus datos personales basándonos en las siguientes bases legales y para los siguientes fines:

3.1. Ejecución del Contrato (Prestación del Servicio)

• Gestión de Cuentas: Crear y administrar tu perfil de usuario.
• Reservas: Procesar la solicitud, el pago y la confirmación de citas entre Cliente y Terapeuta.
• Comunicaciones Transaccionales: Enviarte notificaciones críticas (confirmaciones de reserva, recordatorios de citas 24h antes, cancelaciones) por email o WhatsApp.
• Facturación: Gestionar el cobro de suscripciones a Terapeutas y pagos de Clientes.

3.2. Consentimiento Expreso

• Sincronización con Google Calendar: Leer y escribir eventos en tu calendario personal para evitar solapamientos de citas (solo si activas esta función voluntariamente).
• Asistente de IA: Procesar tu descripción de necesidades para recomendarte terapeutas afines.
• Newsletter: Enviarte comunicaciones comerciales o novedades del blog (solo si te has suscrito).

3.3. Interés Legítimo

• Mejora del Servicio: Analizar métricas de uso anonimizadas para optimizar la plataforma.
• Seguridad: Detectar y prevenir fraudes o abusos en la plataforma.
• Búsqueda interna: Indexar los perfiles públicos de los Terapeutas en nuestra base de datos PostgreSQL y, cuando procede, utilizar la tecnología de IA de Google Gemini para el asistente de búsqueda con lenguaje natural (AI Match). En ambos casos, solo se indexa información de perfil públicamente visible.

3.4. Asistente conversacional de IA («Lumi»)

Ponemos a tu disposición un asistente virtual de inteligencia artificial que te ayuda a entender y usar la Plataforma: en las páginas públicas resuelve dudas y te orienta para buscar terapeuta o registrarte, y dentro de tu panel te guía en la configuración y el uso de tus herramientas según tu rol.

• Es una IA: el asistente se identifica siempre como inteligencia artificial y no como una persona, conforme al art. 50 del Reglamento (UE) de Inteligencia Artificial. No es un profesional sanitario; no ofrece consejo médico ni terapéutico y, si detecta una situación de urgencia o riesgo, te deriva a recursos oficiales de ayuda (024 / 112 / 016).
• Base jurídica: tu consentimiento al iniciar la conversación en las páginas públicas (art. 6.1.a) y la ejecución del contrato cuando lo usas dentro de tu panel (art. 6.1.b).
• Qué tratamos: el contenido de tus mensajes y, si estás identificado, el contexto necesario para ayudarte (tu rol, tu plan y la sección en la que estás). El asistente no accede a tu expediente clínico ni a datos de otros usuarios.
• Proveedor: utilizamos el modelo de IA de Google (Gemini) como Encargado del Tratamiento (ver §4). Tus conversaciones no se utilizan para entrenar modelos de IA.
• Recomendación: por tu privacidad, evita compartir datos de salud u otra información sensible en el chat; para tratar tu caso, reserva con un Terapeuta.

3.5. Estadística agregada del sector («Observatorio»)

Elaboramos estadísticas agregadas y anónimas sobre la actividad del sector del bienestar —qué servicios se reservan, en qué territorios, en qué franjas horarias, a qué precios y qué necesidades declaran atender los profesionales— para conocer la demanda, mejorar la Plataforma y facilitar a las asociaciones y entidades profesionales información que respalde su labor institucional.

• Qué se utiliza: datos de-identificados en origen. Los registros de esta estadística no contienen identificador de Cliente, de Terapeuta ni de reserva, ni fecha u hora exactas, ni texto libre. Solo atributos generalizados (provincia y comunidad autónoma, franja de edad, tramos de duración y precio, día de la semana y franja horaria, mes). No existe tabla de correspondencia que permita revertir la de-identificación.
• Base jurídica: el tratamiento ulterior con fines estadísticos es compatible con la finalidad original (art. 5.1.b y considerando 162 RGPD), con las garantías del art. 89.1. El resultado es dato anónimo, sobre el que el RGPD no resulta de aplicación.
• Garantías antes de publicar o ceder: se suprimen las celdas con un número reducido de registros, se exige la evaluación de impacto firmada y el destinatario acepta por contrato no intentar reidentificar a nadie ni cruzar la información con otras fuentes.
• Qué no hacemos: no cedemos registros individuales a terceros, ni siquiera anonimizados —solo informes y agregados—, y no utilizamos el contenido del expediente clínico para finalidades propias: de ese expediente el Responsable es el Terapeuta (ver §1.1).
• Datos de salud: de la actividad clínica solo se deriva señal ya de-identificada y en rangos, nunca el contenido de la historia. Antes de incorporar señal clínica a un informe que se publique o se ceda a un tercero, te pediremos un consentimiento explícito, separado y opcional; negarte no afecta en modo alguno al servicio ni a la atención que recibas.
• Efecto sobre tus derechos: al ser información anónima no es posible vincularla contigo, por lo que los derechos de acceso, rectificación o supresión no pueden ejercerse sobre ella: no hay forma técnica de localizar «tus» registros dentro del agregado. Te lo explicamos aquí precisamente porque es irreversible.

4. Compartición de Datos y Encargados del Tratamiento

Terapeutas Holis no vende tus datos personales. Solo compartimos los datos estrictamente necesarios con proveedores tecnológicos de confianza que actúan como "Encargados del Tratamiento", bajo acuerdos de confidencialidad y cumpliendo con el RGPD:

• Stripe (Pagos y Finanzas): KYC y procesamiento de cobros (UE/EEUU).
• DigitalOcean: Infraestructura de backend y base de datos (Ubicada en UE).
• Vercel: Alojamiento de frontend y landing pages personales.
• Brevo (Sendinblue): Envío de email transaccional (avisos de cuenta, confirmaciones) y de SMS (recordatorios de cita).
• Google AI (Gemini): Procesamiento de texto para AI Match.
• Twilio: Mensajería por WhatsApp para campañas (función en desarrollo, aún no habilitada).
• Partnero: Gestión de afiliados (No se comparten datos de salud).
• Quaderno: Facturación automática y cumplimiento AEAT.

5. Datos en las Landing Pages Personales de los Terapeutas

Los Terapeutas suscritos al plan Esencial o Premium disponen de una Landing Page personal en un subdominio del dominio landing.terapeutasholis.es. El tratamiento de datos relacionado con estas páginas se rige por el siguiente reparto de roles:

• Infraestructura y datos técnicos (Responsable: Terapeutas Holis): Los datos técnicos generados por la visita a cualquier Landing Page (IP, user-agent, cookies técnicas, métricas agregadas, eventos de analítica) son tratados por Terapeutas Holis con las mismas finalidades y bases legales que los datos técnicos del dominio principal.
• Reservas y pagos iniciados desde la Landing (Responsable: Terapeutas Holis): Cuando un Cliente realiza una reserva desde la Landing del Terapeuta, los datos se procesan mediante la infraestructura del marketplace y están sujetos a esta misma Política de Privacidad sin diferencias.
• Contenido publicado por el Terapeuta (Responsable: el propio Terapeuta): Respecto a datos personales que el Terapeuta incluya voluntariamente en el contenido editorial de su Landing (por ejemplo, su propio nombre, biografía, fotografía, datos de contacto, testimonios de clientes con consentimiento), el Terapeuta actúa como responsable del tratamientofrente a los titulares de esos datos. Terapeutas Holis se limita a alojar el contenido en cumplimiento del art. 16 LSSI-CE.
• Comunicaciones entre Cliente y Terapeuta: El chat y los canales de mensajería disponibles tras una reserva están gestionados por Terapeutas Holis como responsable técnico, siendo el Terapeuta responsable de la confidencialidad de la información clínica o de salud que el Cliente le confíe por estos canales.
• Consentimientos firmados del Terapeuta (firma digital): Cuando el Terapeuta crea, envía o recoge sus propios consentimientos informados a través de la herramienta de firma digital, el Terapeuta es el responsable del tratamiento del contenido y de los datos —incluidos datos de salud (art. 9 RGPD)— recogidos en ellos. Terapeutas Holis actúa como encargado del tratamiento / prestador técnico: almacena el documento firmado, la imagen de la firma manuscrita, el PDF de evidencia y su huella (hash) en almacenamiento privado y cifrado, con sello de tiempo e IP, como soporte probatorio, y no usa esos datos para finalidades propias.
• Obligaciones del Terapeuta como responsable: El Terapeuta se compromete a cumplir con el RGPD y la LOPDGDD respecto a los datos de sus clientes: obtener los consentimientos necesarios para publicar testimonios, disponer de sus propios canales de ejercicio de derechos ARSOPL y no incluir datos de categoría especial (salud, orientación, creencias) de terceros sin base legal adecuada.

6. Integración con Google User Data (Google Calendar)

Nuestra plataforma ofrece integración con Google Calendar para facilitar la gestión de citas a los Terapeutas. Si conectas tu cuenta de Google:

• Acceso:Solicitaremos permisos para "ver, editar, compartir y eliminar permanentemente todos los calendarios".
• Uso: Utilizaremos estos permisos exclusivamente para:
  • Añadir las nuevas reservas de Terapeutas Holis a tu calendario.
  • Leer tus eventos existentes ("Ocupado") para bloquear esos huecos en tu disponibilidad de Terapeutas Holis y evitar dobles reservas.
• Almacenamiento: No almacenamos el contenido de tus eventos privados de Google Calendar en nuestra base de datos, solo guardamos los bloques de tiempo ocupados para calcular tu disponibilidad.
• Limitación de Uso: El uso de la información recibida de las API de Google se adherirá a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

7. Transferencias Internacionales

Algunos de nuestros proveedores (como Google o Stripe) pueden procesar datos fuera del Espacio Económico Europeo (EEE), concretamente en Estados Unidos. Estas transferencias están cubiertas por decisiones de adecuación (como el "Data Privacy Framework" UE-EEUU) o mediante Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea, garantizando un nivel de protección equivalente al europeo.

8. Plazos de Conservación

Conservaremos tus datos personales mientras mantengas tu cuenta activa o sea necesario para la prestación del servicio.

• Datos de Cuenta: Hasta que solicites su eliminación.
• Datos de Facturación y Reservas: Se conservarán durante 6 años tras la finalización de la relación contractual, que es el plazo que el Código de Comercio (art. 30) exige conservar los libros y la documentación del negocio.
• Chat con tu Terapeuta: el historial de mensajes se conserva mientras tu cuenta esté activa, cifrado en reposo. Es un historial compartido por las dos partes —contiene también lo que escribiste tú—, así que si el Terapeuta te retira de su lista de clientes el hilo no se destruye: deja de aparecer en la bandeja de ambos, pero se conserva (conservación con tratamiento limitado, art. 18 RGPD) porque puede ser prueba de lo acordado entre vosotros. La forma de eliminarlo es tu derecho de supresión (§9): al ejercerlo sobre tu cuenta, las conversaciones y sus mensajes se borran.
• Logs de Seguridad: Se conservarán por un periodo máximo de 1 año.

9. Tus Derechos

Como usuario, tienes derecho a ejercer gratuitamente los siguientes derechos ante nosotros:

• Acceso: Saber qué datos tenemos sobre ti.
• Rectificación: Corregir datos inexactos.
• Supresión ("Derecho al Olvido"): Solicitar el borrado de tus datos cuando ya no sean necesarios.
• Limitación y Oposición: Restringir el tratamiento en determinados casos.
• Portabilidad: Recibir tus datos en un formato estructurado.

10. Seguridad

Hemos implementado medidas de seguridad técnicas y organizativas (encriptación SSL, hashing de contraseñas, control de acceso basado en roles) para proteger tus datos contra el acceso no autorizado, la pérdida o la alteración. Los datos de salud, el expediente clínico y los mensajes entre terapeuta y cliente se almacenan cifrados en reposo con AES-256-GCM, usando una clave de cifrado de datos separada de la clave de la aplicación y con aislamiento por filas (Row-Level Security) por terapeuta; la misma protección se aplica a los datos fiscales y a la nota de gestión que un centro guarda en su propia lista de clientes (ver §2.4), aislados por centro. Sin embargo, recuerda que ninguna transmisión por Internet es 100% segura.