Política de Privacidad

1. Quién es responsable del tratamiento

Para tus datos de cuenta (si eres profesional o centro con cuenta en Nerela — nombre, email, datos de facturación de tu suscripción), el responsable del tratamiento es LAGASTROEMIA VENTURES OÜ, con domicilio social en Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallin, Estonia, número de IVA intracomunitario EE102418024. Puedes escribirnos a ola@nerela.eu para cualquier cuestión de protección de datos.

Para los datos de los pacientes que un profesional introduce en la Aplicación (ficha del paciente, notas de sesión, citas), el responsable del tratamiento es el propio profesional o centro — es quien decide qué datos recoge y para qué. Nerela actúa aquí como encargado del tratamiento, procesando esos datos solo para prestar el servicio y siguiendo las instrucciones del profesional, nunca para fines propios.

2. Qué datos tratamos

• Datos de cuenta del profesional: nombre, email, teléfono, tipo de cuenta (independiente/centro), idioma preferido.
• Datos de facturación de la suscripción: NIF, domicilio fiscal, IBAN (para tu propio plan Nerela).
• Datos de pacientes introducidos por el profesional: nombre, contacto (email/teléfono), dirección, datos de citas, y — en la categoría más sensible — notas de sesión clínicas.
• Datos técnicos mínimos: registros de acceso y errores del servidor, con el filtrado descrito en la sección 9.

3. Datos de salud: base legal y cuidado especial

Las notas de sesión y cualquier información clínica son "categorías especiales de datos" según el artículo 9 del RGPD. El profesional (responsable del tratamiento frente a su paciente) es quien debe asegurar una base legal válida — típicamente el consentimiento explícito del paciente o la necesidad del propio seguimiento terapéutico (artículo 9.2, letras a) o h)).

Por nuestra parte, protegemos esos datos con aislamiento técnico por profesional (Row Level Security en Supabase — cada profesional solo puede acceder, a nivel de base de datos, a sus propios pacientes) y con la política de filtrado en la monitorización de errores descrita en la sección 9.

4. Finalidades y base legal del tratamiento

• Prestar el servicio (agenda, fichas, notas, facturación, reserva online) — ejecución del contrato contigo.
• Gestionar tu suscripción y facturación — ejecución del contrato y cumplimiento de obligaciones fiscales.
• Enviar recordatorios de cita por email/WhatsApp a los pacientes, a petición del profesional — ejecución del contrato entre el profesional y el paciente, a través de Nerela como encargado del tratamiento.
• Seguridad y detección de errores — interés legítimo en mantener el servicio funcionando de forma fiable y segura, con el filtrado de datos personales descrito en la sección 9.

5. Cuánto tiempo conservamos los datos

Mientras tu cuenta esté activa, conservamos los datos necesarios para prestar el servicio. Cuando la cancelas, los eliminamos o anonimizamos en un plazo razonable, salvo que exista una obligación legal de conservarlos más tiempo (por ejemplo, la documentación fiscal de tu suscripción).

Los historiales clínicos de tus pacientes tienen plazos de conservación propios, fijados por la ley y por las normas de tu colegio profesional. Como responsable del tratamiento de esos datos, eres tú quien debe cumplirlos: si necesitas conservar información más allá de la vigencia de la cuenta, háblalo con nosotros antes de cancelar (ola@nerela.eu).

6. Con quién compartimos datos (encargados del tratamiento)

No vendemos datos a nadie. Compartimos datos solo con los proveedores necesarios para operar el servicio, todos con su propio compromiso de protección de datos — ver la tabla al final de esta página.

7. Transferencias internacionales

Tus datos clínicos —pacientes, citas y notas de sesión— se guardan y se procesan dentro del Espacio Económico Europeo: Supabase (base de datos, autenticación y ficheros) está alojado en la región UE de París, y Vercel, Resend y Twilio procesan dentro de la UE/EEE para este servicio, bajo sus respectivos compromisos contractuales de protección de datos.

Sí existen dos transferencias a Estados Unidos, y preferimos decirlo con claridad en lugar de afirmar que no hay ninguna. La primera es Stripe, que cobra tu suscripción y, si lo activas, los pagos con tarjeta de tus pacientes. La segunda solo ocurre si activas la Secretaria Virtual: el modelo de IA que escribe las respuestas de WhatsApp necesita leer los mensajes de esa conversación. Las dos están amparadas en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. Ninguna de las dos toca tus notas de sesión.

Si no activas la Secretaria Virtual, la única transferencia fuera del EEE es la del cobro de tu propia suscripción.

8. Tus derechos

Si eres profesional con cuenta en Nerela, o paciente de un profesional que la usa, tienes derecho a acceder, rectificar, suprimir, limitar el tratamiento, oponerte, y a la portabilidad de tus datos personales. Si eres paciente, la solicitud debe dirigirse normalmente primero a tu profesional (el responsable del tratamiento de tus datos clínicos); nosotros damos soporte técnico a esa solicitud.

Para ejercer estos derechos directamente sobre datos de tu cuenta profesional, escríbenos a ola@nerela.eu. Hoy la Aplicación todavía no tiene un mecanismo de autoservicio para exportar o borrar datos — es un punto identificado y pendiente de construir; hasta entonces, atendemos cada solicitud manualmente por email.

9. Seguridad y monitorización de errores

Los datos en tránsito viajan siempre cifrados (HTTPS/TLS). El aislamiento entre profesionales se hace a nivel de base de datos (Row Level Security en Supabase), no solo en la aplicación.

Si activamos Sentry (monitorización de errores), está configurado con una política de privacidad estricta: no enviamos el cuerpo de las peticiones, parámetros de consulta (query strings), cookies de sesión, ni el contenido de notas de sesión. No usamos grabación de sesión ("session replay") ni ninguna captura visual de pantalla. Los mensajes de error pasan por un filtro que intenta eliminar automáticamente emails, teléfonos y números de identificación fiscal antes de salir de nuestro servidor.

10. Menores

Nerela es una herramienta para profesionales, no para uso directo por pacientes menores de edad. Los datos de pacientes menores pueden ser tratados por el profesional responsable de su seguimiento, bajo la misma base legal aplicable a la relación terapéutica.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la ley aplicable. Los cambios materiales se comunican por email o mediante un aviso en la Aplicación.

12. Autoridad de control

Tienes derecho a presentar una reclamación ante la autoridad de control competente — en España, la Agencia Española de Protección de Datos (AEPD); en Portugal, la Comissão Nacional de Proteção de Dados (CNPD) — sin perjuicio de cualquier otra vía administrativa o judicial.

13. Contacto

Para cualquier cuestión sobre esta política o sobre el tratamiento de tus datos, escríbenos a ola@nerela.eu. Responde la misma sociedad que figura en la sección 1.