Política de Privacidad

1. Quién es responsable del tratamiento

Para tus datos de cuenta (si eres profesional o centro con cuenta en Nerela — nombre, email, datos de facturación de tu suscripción) y para los datos de quienes visitan nuestras webs (nerela.eu y nerela.lat), el responsable del tratamiento es LAGASTROEMIA VENTURES OÜ, con domicilio social en Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallin, Estonia, número de IVA intracomunitario EE102418024. Puedes escribirnos a admin@nerela.eu para cualquier cuestión de protección de datos.

Para los datos de los pacientes que un profesional introduce en la Aplicación (ficha del paciente, notas de sesión, citas), el responsable del tratamiento es el propio profesional o centro — es quien decide qué datos recoge y para qué. Nerela actúa aquí como encargado del tratamiento, procesando esos datos solo para prestar el servicio y siguiendo las instrucciones del profesional, nunca para fines propios.

2. Qué datos tratamos

• Datos de cuenta del profesional: nombre, email, teléfono, tipo de cuenta (independiente/centro), idioma preferido.
• Datos de facturación de la suscripción: NIF, domicilio fiscal, IBAN (para tu propio plan Nerela).
• Datos de pacientes introducidos por el profesional: nombre, contacto (email/teléfono), dirección, datos de citas, y — en la categoría más sensible — notas de sesión clínicas.
• Datos técnicos mínimos: registros de acceso y errores del servidor, con el filtrado descrito en la sección 9.
• Datos de quienes visitan nuestras webs (nerela.eu y nerela.lat): la campaña o el enlace desde los que llegas y, solo si aceptas la publicidad, identificadores del navegador y eventos de la visita (ver la página, pulsar el botón de alta o el de WhatsApp), según la sección 11.
• Solo si aceptaste las cookies de marketing en nuestra web pública: los datos que enviamos a Meta cuando creas tu cuenta (tu correo y tu teléfono convertidos en una huella irreversible —un hash SHA-256—, tu dirección IP, el agente de usuario de tu navegador y los identificadores de Meta de tu navegador y de tu clic). No incluyen ningún dato de pacientes.

3. Datos de salud: base legal y cuidado especial

Las notas de sesión y cualquier información clínica son "categorías especiales de datos" según el artículo 9 del RGPD. El profesional (responsable del tratamiento frente a su paciente) es quien debe asegurar una base legal válida — típicamente el consentimiento explícito del paciente o la necesidad del propio seguimiento terapéutico (artículo 9.2, letras a) o h)).

Por nuestra parte, protegemos esos datos con aislamiento técnico por profesional (Row Level Security en Supabase — cada profesional solo puede acceder, a nivel de base de datos, a sus propios pacientes) y con la política de filtrado en la monitorización de errores descrita en la sección 9.

4. Finalidades y base legal del tratamiento

• Prestar el servicio (agenda, fichas, notas, facturación, reserva online) — ejecución del contrato contigo.
• Gestionar tu suscripción y facturación — ejecución del contrato y cumplimiento de obligaciones fiscales.
• Enviar recordatorios de cita por email/WhatsApp a los pacientes, a petición del profesional — ejecución del contrato entre el profesional y el paciente, a través de Nerela como encargado del tratamiento.
• Seguridad y detección de errores — interés legítimo en mantener el servicio funcionando de forma fiable y segura, con el filtrado de datos personales descrito en la sección 9.
• Medir y optimizar nuestros anuncios en Google y Meta — tu consentimiento (artículo 6.1.a del RGPD y, para las cookies, la normativa de ePrivacy), que puedes retirar en cualquier momento desde el enlace «Cookies» del pie de la web.
• Saber desde qué campaña o enlace llega cada alta, con las cookies de medición propia descritas en la Política de Cookies — interés legítimo en medir la eficacia de nuestra propia publicidad sin compartir esos datos con terceros.

5. Cuánto tiempo conservamos los datos

Mientras tu cuenta esté activa, conservamos los datos necesarios para prestar el servicio. Cuando la cancelas, los eliminamos o anonimizamos en un plazo razonable, salvo que exista una obligación legal de conservarlos más tiempo (por ejemplo, la documentación fiscal de tu suscripción).

Los historiales clínicos de tus pacientes tienen plazos de conservación propios, fijados por la ley y por las normas de tu colegio profesional. Como responsable del tratamiento de esos datos, eres tú quien debe cumplirlos: si necesitas conservar información más allá de la vigencia de la cuenta, háblalo con nosotros antes de cancelar (admin@nerela.eu).

6. Con quién compartimos datos (encargados del tratamiento)

No vendemos datos a nadie. Compartimos datos solo con los proveedores necesarios para operar el servicio, todos con su propio compromiso de protección de datos — ver la tabla al final de esta página. Meta no es un encargado del tratamiento y por eso no figura en la tabla: si aceptas la publicidad en la web, recibe los datos del píxel como responsable del tratamiento (sección 11).

7. Transferencias internacionales

Los datos clínicos que registras en Nerela —fichas de los pacientes, citas, notas de sesión e imágenes adjuntas— se alojan en Supabase (base de datos, autenticación y ficheros), en la región de la UE de París, Francia (eu-west-3). El código del servidor de la Aplicación se ejecuta en Vercel, también en París (región cdg1); los recursos estáticos y el enrutado de las peticiones pasan por la red global de Vercel.

Algunos proveedores tratan datos en Estados Unidos, y preferimos decirlo con claridad en lugar de afirmar que no hay ninguno. Resend envía los emails de la Aplicación (recordatorios e invitaciones de cita, facturas, informes para tu asesor contable y avisos para ti) y trata esos datos en Estados Unidos. Twilio solo interviene si usas WhatsApp (recordatorios por WhatsApp o Secretaria Virtual) y trata los mensajes en Estados Unidos, su región predeterminada. Stripe cobra tu suscripción y, si lo activas, los pagos con tarjeta de tus pacientes, desde Irlanda y con transferencias a Estados Unidos. Anthropic solo interviene si activas la Secretaria Virtual: el modelo de IA que escribe las respuestas de WhatsApp necesita leer los mensajes de esa conversación. Ninguno de estos proveedores recibe tus notas de sesión.

Si activamos la monitorización de errores (Sentry), los informes de errores, filtrados antes de salir de nuestro servidor (sección 9), pueden tratarse en Estados Unidos, según la región del proyecto. Cada transferencia fuera del EEE se apoya en una garantía del capítulo V del RGPD —el Marco de Privacidad de Datos UE-EE. UU. o las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea—, indicada en la tabla al final de esta página.

Si aceptas la publicidad en la web, Meta Platforms Ireland Limited (Irlanda) recibe los datos del píxel de Meta (sección 11) y puede transferirlos a Estados Unidos, con una garantía del capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU. o las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

8. Tus derechos

Si eres profesional con cuenta en Nerela, o paciente de un profesional que la usa, tienes derecho a acceder, rectificar, suprimir, limitar el tratamiento, oponerte, y a la portabilidad de tus datos personales. Si eres paciente, la solicitud debe dirigirse normalmente primero a tu profesional (el responsable del tratamiento de tus datos clínicos); nosotros damos soporte técnico a esa solicitud.

Para ejercer estos derechos sobre los datos de tu cuenta profesional, escríbenos a admin@nerela.eu. Los datos de tus pacientes puedes consultarlos, corregirlos y suprimirlos directamente en la Aplicación. Para la portabilidad, puedes exportar los datos en Ajustes, en la sección de privacidad y datos, cuando esa opción esté disponible en tu cuenta, o pedirnos una copia en admin@nerela.eu, que te enviamos en un plazo de 30 días, en un formato estructurado y de uso común.

9. Seguridad y monitorización de errores

Los datos en tránsito viajan siempre cifrados (HTTPS/TLS). El aislamiento entre profesionales se hace a nivel de base de datos (Row Level Security en Supabase), no solo en la aplicación.

Si activamos Sentry (monitorización de errores), está configurado con una política de privacidad estricta: no enviamos el cuerpo de las peticiones, parámetros de consulta (query strings), cookies de sesión, ni el contenido de notas de sesión. No usamos grabación de sesión ("session replay") ni ninguna captura visual de pantalla. Los mensajes de error pasan por un filtro que intenta eliminar automáticamente emails, teléfonos y números de identificación fiscal antes de salir de nuestro servidor.

10. Menores

Nerela es una herramienta para profesionales, no para uso directo por pacientes menores de edad. Los datos de pacientes menores pueden ser tratados por el profesional responsable de su seguimiento, bajo la misma base legal aplicable a la relación terapéutica.

11. Visitantes de nuestras webs: publicidad y medición

En nerela.eu y nerela.lat —la web pública; la aplicación app.nerela.eu no lleva publicidad— el responsable del tratamiento es la sociedad de la sección 1. Sin tu permiso solo guardamos desde qué campaña o enlace llegas (cookies nerela_attrib y nerela_utm, descritas en la Política de Cookies), para saber qué trae cada alta.

Si aceptas la publicidad en el aviso de cookies, medimos y optimizamos nuestros anuncios con Google Ads y con el píxel de Meta (Facebook e Instagram). El píxel de Meta solo se carga después de que aceptes la publicidad y envía a Meta los identificadores del navegador (las cookies _fbp y _fbc y, si llegas desde un anuncio, el identificador de clic de Facebook), la dirección IP, el navegador, la página que visitas y los eventos de la visita: ver la página, pulsar el botón de alta o el de WhatsApp. No enviamos a Meta nada de la aplicación ni datos de pacientes. La base legal es tu consentimiento (artículo 6.1.a del RGPD), que puedes retirar cuando quieras desde el enlace «Cookies» del pie de la web, sin que eso afecte a lo tratado antes.

Si has aceptado la publicidad y después creas una cuenta, nuestro servidor puede comunicar a Meta que te has dado de alta, sin ningún dato clínico, para que podamos medir qué anuncio generó el registro: usa los identificadores del navegador anteriores y datos de contacto de la cuenta cifrados con hash antes de salir de nuestro servidor. Si no aceptaste la publicidad, no se envía nada.

Meta no es nuestro encargado del tratamiento: respecto de los datos del píxel actúa como responsable del tratamiento, de forma independiente o conjuntamente con nosotros según la fase del tratamiento, y los trata conforme a sus propias condiciones y a su política de privacidad. Para ejercer tus derechos sobre los datos de esta sección, escríbenos a admin@nerela.eu.

12. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la ley aplicable. Los cambios materiales se comunican por email o mediante un aviso en la Aplicación.

13. Autoridad de control

Tienes derecho a presentar una reclamación ante la autoridad de control competente — en España, la Agencia Española de Protección de Datos (AEPD); en Portugal, la Comissão Nacional de Proteção de Dados (CNPD) — sin perjuicio de cualquier otra vía administrativa o judicial.

14. Contacto

Para cualquier cuestión sobre esta política o sobre el tratamiento de tus datos, escríbenos a admin@nerela.eu. Responde la misma sociedad que figura en la sección 1.