Política de privacidad

1. Quién es quién

Cuidae se utiliza por residencias geriátricas y centros de personas con discapacidad. En el modelo del RGPD intervienen dos figuras:

• Responsable del tratamiento: la organización titular de la licencia de uso (la residencia o centro asistencial). Decide los fines y medios del tratamiento.
• Encargado del tratamiento: Manadi, desarrolladora y operadora de la plataforma Cuidae. Trata los datos por cuenta del responsable, en virtud de un Contrato de Encargo del Tratamiento (Art. 28 RGPD).

Para consultas relativas a sus datos personales, dirija sus solicitudes al responsable del centro donde se presta el servicio. La identidad y datos de contacto del responsable se le facilitan en el contrato asistencial y en el portal del familiar.

2. Categorías de datos tratados

La plataforma trata las siguientes categorías de datos personales:

• Datos identificativos: nombre, apellidos, DNI/NIE, NUSS/NUHSA, fecha y lugar de nacimiento, fotografía.
• Datos de contacto: dirección, teléfono, correo electrónico.
• Datos económicos y financieros: cuenta bancaria, importes, ingresos, datos fiscales.
• Datos de salud (Art. 9 RGPD, categoría especial): diagnósticos, alergias, medicación, escalas de valoración (Barthel, Tinetti, Pfeiffer, EVA, etc.), historial clínico, intervenciones de fisioterapia, logopedia, terapia ocupacional, psicología y trabajo social, evolución, tratamientos, peso, dependencia, discapacidad.
• Datos relativos a familiares y representantes legales: identidad, parentesco, datos de contacto, en su caso, tutela jurídica.
• Datos del personal del centro: identidad, contacto, categoría profesional, jornada, fichajes, vacaciones, formación.
• Datos técnicos de uso: dirección IP, identificador de sesión, agente de usuario, registro de accesos.

3. Finalidades del tratamiento

• Prestación de la asistencia sociosanitaria de la persona usuaria (expediente clínico, PAI, control de medicación, escalas, intervenciones).
• Gestión administrativa: alta, ingreso, traslado, alta médica, facturación, ayudas, finanzas personales.
• Comunicación con familiares y tutores legales (citas, visitas, mensajes, agenda).
• Gestión laboral del personal del centro (fichajes, cuadrante, vacaciones).
• Cumplimiento de obligaciones legales: legislación sanitaria, social, laboral y fiscal aplicable; legislación autonómica de servicios sociales.
• Trazabilidad y auditoría de accesos a datos sensibles (Art. 9 RGPD).
• Asistencia automatizada al profesional mediante inteligencia artificial (resúmenes, borradores de informes, extracción de documentos, búsqueda inteligente). Ver §6.

4. Bases jurídicas

• Art. 6.1.c y 9.2.h RGPD: cumplimiento de obligación legal y prestación de asistencia sanitaria y social. Es la base principal y no requiere consentimiento.
• Art. 6.1.b RGPD: ejecución del contrato asistencial firmado con el centro.
• Art. 6.1.a y 9.2.a RGPD: consentimiento explícito del interesado o representante legal para tratamientos accesorios (uso de fotografía con fines internos, asistencia con IA, comunicación de datos a terceros no obligados, redes sociales del centro). El consentimiento es revocable en cualquier momento.
• Art. 6.1.f RGPD: interés legítimo del responsable para garantizar la seguridad y trazabilidad del tratamiento (registro de accesos, auditoría).

5. Plazos de conservación

Los plazos varían según la categoría de dato:

• Historia clínica: mínimo 5 años desde el último episodio asistencial (Ley 41/2002, Art. 17, y normativa autonómica).
• Datos económicos y fiscales: 4 años (Ley General Tributaria 58/2003).
• Datos del personal: 4 años desde la extinción de la relación laboral (Real Decreto Legislativo 5/2000).
• Registro de accesos y auditoría: 5 años (RGPD Art. 9 y criterio de la Agencia Española de Protección de Datos).
• Resto de datos personales no sometidos a plazos legales mayores: hasta 1 año desde la baja del servicio.

Una vez expirados los plazos, los datos se suprimen de forma segura o, si la legislación lo exige, se conservan en bloqueo (acceso restringido) durante el plazo legal residual.

6. Inteligencia artificial y transferencia internacional

La plataforma utiliza servicios de inteligencia artificial generativa proporcionados por Anthropic, PBC (San Francisco, Estados Unidos) para asistir al profesional en tareas de redacción, resumen y extracción de documentos.

6.1. Transferencia internacional

El uso de Anthropic implica una transferencia internacional de datos a Estados Unidos. Esta transferencia se ampara en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914), suscritas con Anthropic. La residencia, como responsable, dispone de copia del contrato a disposición de la AEPD.

6.2. Garantías técnicas adicionales

Antes de enviar contenido al servicio de IA, Cuidae aplica una capa de anonimización automática que sustituye el nombre, apellidos y DNI del residente por identificadores neutros. La IA recibe un contexto clínico sin datos identificativos directos. Anthropic se compromete contractualmente a no entrenar sus modelos con los datos de la API ni conservarlos más allá de los plazos operativos necesarios.

6.3. Decisiones automatizadas

La IA no toma decisiones automatizadas sobre el residente. Toda propuesta generada (resumen clínico, borrador de informe, sugerencia de pauta de medicación a partir de un documento) es revisada y validada por un profesional sanitario antes de aplicarse. El interesado tiene derecho a que se le informe del uso de IA y a oponerse a este tratamiento accesorio.

6.4. Opt-out

El responsable del tratamiento puede deshabilitar las funciones de IA para residentes concretos a solicitud del interesado o representante legal, sin que ello afecte al resto del servicio asistencial.

7. Destinatarios y encargados de tratamiento

Además del responsable, los siguientes terceros pueden tratar datos por cuenta del responsable como encargados, siempre bajo contrato de Art. 28 RGPD:

• Manadi — desarrollo, mantenimiento, soporte técnico y alojamiento de la plataforma Cuidae.
• Anthropic, PBC (Estados Unidos) — servicios de IA generativa (ver §6).
• Proveedor de hosting de la infraestructura del servidor (Unión Europea).
• Proveedor de correo electrónico transaccional para notificaciones automáticas.

Fuera de estos casos no se ceden datos a terceros, salvo obligación legal (autoridades sanitarias, judiciales, tributarias).

8. Derechos del interesado

El interesado o su representante legal puede ejercer los siguientes derechos:

• Acceso (Art. 15 RGPD): obtener confirmación del tratamiento y copia de los datos. Cuidae proporciona una herramienta de exportación que entrega el expediente completo en formato estructurado.
• Rectificación (Art. 16): corregir datos inexactos o incompletos.
• Supresión (Art. 17, "derecho al olvido"): eliminar los datos cuando ya no sean necesarios para la finalidad y no exista base legal de conservación.
• Limitación del tratamiento (Art. 18): solicitar que los datos solo se conserven sin tratamiento activo.
• Oposición (Art. 21): oponerse al tratamiento, especialmente para usos accesorios como la asistencia con IA o las comunicaciones no esenciales.
• Portabilidad (Art. 20): recibir los datos en formato estructurado, de uso común y lectura mecánica.
• Revocación del consentimiento: para los tratamientos basados en consentimiento, sin efectos retroactivos.

Las solicitudes se dirigen al responsable del tratamiento (la dirección del centro). Tiene derecho, además, a presentar reclamación ante la Agencia Española de Protección de Datos (aepd.es) si considera que sus derechos no han sido atendidos.

9. Decisiones tomadas con IA

Cuidae proporciona herramientas de IA asistivas: el profesional sigue siendo quien decide. La IA:

• No altera medicaciones sin que un profesional las apruebe campo a campo.
• No firma informes; solo propone borradores que el profesional revisa.
• No genera juicios clínicos vinculantes.
• Cada uso queda registrado en el log de auditoría con la categoría exacta de dato accedido.

El interesado tiene derecho (Art. 22 RGPD) a no ser objeto de decisiones basadas únicamente en tratamiento automatizado. Cuidae cumple este principio por diseño.

10. Seguridad

La plataforma implementa medidas técnicas y organizativas adecuadas (Art. 32 RGPD):

• Cifrado en reposo (AES-256) de los datos identificativos sensibles (DNI, NUSS/NUHSA), datos clínicos, datos económicos y fotografías.
• Cifrado en tránsito (HTTPS/TLS) en toda la comunicación.
• Control de acceso por roles, módulos y centros (mínimo privilegio).
• Registro inmutable de accesos a datos sensibles con clasificación por categoría (Art. 9 RGPD), incluyendo accesos provocados por las herramientas de IA.
• Política de contraseñas robusta (12+ caracteres, comprobación frente a brechas conocidas en producción).
• Throttle y bloqueo por intentos de acceso fallidos.
• Copias de seguridad periódicas, cifradas y restauradas en pruebas.
• Auditoría externa periódica del cumplimiento.

11. Brechas de seguridad

En caso de brecha de seguridad que afecte a sus datos, el responsable lo notificará a la AEPD en un plazo máximo de 72 horas desde su conocimiento (Art. 33 RGPD) y, cuando entrañe alto riesgo, también al interesado (Art. 34 RGPD).

12. Modificaciones

Esta política puede actualizarse para reflejar cambios normativos o de la plataforma. Las versiones anteriores quedan disponibles bajo solicitud. La fecha de última modificación se indica al principio del documento.