Política de privacidad

1. Responsable del tratamiento

• Titular: Pablo Holgado Durán
• NIF: 76053825R
• Domicilio: Parque Tecnológico de la Cartuja, 41092 Sevilla, España
• Email de contacto: info@mybuc.app

2. Quién es quién: responsable vs. encargado

BUC proporciona la plataforma técnica. Cada profesional o clínica que la usa es, respecto a los datos de sus propios pacientes (identificativos, de contacto e historia clínica), el responsable del tratamiento: decide qué datos recoge y para qué los usa. BUC actúa como encargado del tratamiento de esos datos, tratándolos únicamente por cuenta del profesional y siguiendo sus instrucciones, conforme al artículo 28 del RGPD.

Esta política explica, además, cómo trata BUC los datos de los propios profesionales y administradores que usan la plataforma (como responsable, en ese caso) para la gestión de su cuenta y suscripción.

3. Qué datos tratamos

• Datos de cuenta: nombre, apellidos, email, teléfono, contraseña (cifrada) del profesional o administrador.
• Datos de pacientes/clientes: nombre, apellidos, teléfono, email, DNI/NIE y, opcionalmente, fecha de nacimiento y dirección. Los introduce el profesional o el propio paciente al reservar cita.
• Datos de salud: la información clínica que el profesional registre en la historia clínica de cada paciente dentro de la plataforma, incluidos los archivos que adjunte — categoría especial de datos según el artículo 9 del RGPD.
• Consentimientos firmados: para poder acreditar el consentimiento informado (Ley 41/2002) y el de protección de datos, se guardan la firma manuscrita del paciente, la fecha y hora, la dirección IP y el tipo de dispositivo desde el que se firmó, y una huella digital del documento que permite detectar si se alteró después. Cuando el paciente es menor de edad o no puede consentir por sí mismo, se guardan además el nombre, el DNI y la relación de quien firma en su representación.
• Verificación al reservar: cuando un paciente reserva desde el enlace público, se le envía un código a su email para comprobar que es suyo. El código se borra a los 10 minutos; el email queda asociado a su ficha.
• Datos de facturación y pago: importe, método de pago (tarjeta/efectivo) y los datos fiscales necesarios para emitir facturas, tanto del profesional o la clínica que emite (nombre fiscal, NIF, domicilio fiscal) como del paciente que la recibe. Los datos de la tarjeta con la que se paga la suscripción de BUC los gestiona directamente Stripe; BUC no los almacena.
• Registro de importaciones: cuando un administrador importa sus pacientes desde un fichero de otra plataforma, queda constancia de quién lo hizo, con qué fichero y cuándo. Es la traza que exige el principio de responsabilidad proactiva del RGPD, y permite deshacer la importación.
• Datos de uso: información técnica básica de acceso a la plataforma (dirección IP, tipo de navegador) con fines de seguridad, incluida la limitación de intentos de acceso fallidos.

4. Finalidades y base legal

• Gestión de la cuenta y la suscripción del profesional — ejecución del contrato de prestación del servicio (art. 6.1.b RGPD).
• Gestión de la agenda, reservas y contabilidad — ejecución del contrato entre el profesional y su paciente, del que BUC es encargado del tratamiento.
• Historia clínica — tratada únicamente por el profesional sanitario correspondiente, con base en el consentimiento explícito del paciente (art. 9.2.a RGPD) recabado por el propio profesional, conforme también a la normativa sanitaria aplicable (Ley 41/2002, básica reguladora de la autonomía del paciente).
• Facturación — cumplimiento de obligaciones legales fiscales y contables (art. 6.1.c RGPD).
• Comunicaciones del servicio (confirmaciones de cita, recordatorios, avisos de factura) — ejecución del contrato e interés legítimo en el correcto funcionamiento del servicio.
• Envío de las facturas a la AEAT (Veri*Factu) — cumplimiento de una obligación legal del emisor (art. 6.1.c RGPD).
• Consentimiento informado y de protección de datos — acreditar que se obtuvo y poder demostrarlo si se discute (art. 9.2.a RGPD y art. 8 de la Ley 41/2002). Por eso se conservan la firma y el rastro técnico del acto de firma.
• Verificación del email al reservar — evitar reservas falsas y poder avisar al paciente de cambios en su cita; interés legítimo en la seguridad del servicio y ejecución del contrato.
• Seguridad de la cuenta (registro de IP, limitación de intentos de acceso) — interés legítimo en proteger las cuentas y los datos de salud que contienen.

5. A quién se comunican los datos (encargados del tratamiento)

Para poder prestar el servicio, BUC se apoya en los siguientes proveedores, cada uno con su propio acuerdo de encargado del tratamiento:

• Supabase — alojamiento de la base de datos y autenticación de usuarios.
• Stripe — procesamiento de pagos de las suscripciones. Stripe actúa como responsable independiente respecto a los datos de pago, conforme a su propia política de privacidad.
• Resend — envío de emails transaccionales (confirmaciones, avisos de factura).
• Vercel — alojamiento técnico (hosting) de la aplicación web.
• Sentry — detección de errores técnicos de la plataforma. Puede registrar la dirección IP de quien sufre el error.
• Verifacti — envío de las facturas emitidas a la Agencia Tributaria, conforme al sistema Veri*Factu. Recibe los datos de cada factura, incluidos el nombre y el NIF de quien la emite y de quien la recibe.

Además, existe una comunicación de datos impuesta por la ley:

• Agencia Estatal de Administración Tributaria (AEAT) — cada factura que emite un profesional o una clínica con BUC se remite automáticamente a la AEAT, con los datos que exige el Reglamento de sistemas informáticos de facturación (Veri*Factu, Real Decreto 1007/2023). No es opcional ni depende del consentimiento: es una obligación legal del emisor de la factura (art. 6.1.c RGPD).

No se venden ni ceden datos a terceros con fines comerciales o publicitarios.

6. Transferencias internacionales

Algunos de los proveedores anteriores pueden tratar datos fuera del Espacio Económico Europeo. En ese caso, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea u otra garantía equivalente prevista por el RGPD, conforme a la política de privacidad de cada proveedor.

7. Plazos de conservación

Los datos de la cuenta del profesional se conservan mientras la cuenta esté activa y, tras su baja, durante el plazo necesario para cumplir obligaciones legales (en particular, las fiscales: hasta 6 años conforme al Código de Comercio). Los datos de pacientes se conservan mientras el profesional mantenga la relación con ellos, y después durante los plazos que marque la normativa sanitaria y fiscal aplicable a su actividad.

Hay dos excepciones que conviene conocer, porque no dependen de BUC ni del profesional:

• Las facturas emitidas no se borran. Forman parte de una cadena de registros encadenados y firmados que exige la normativa Veri*Factu: borrar una rompería la cadena y la haría inverificable. Una factura equivocada se anula o se rectifica con otra factura, pero el registro original permanece.
• Los consentimientos revocados tampoco. Cuando un paciente revoca un consentimiento informado, se registra la revocación pero se conserva el consentimiento original: es lo que permite acreditar qué se consintió y hasta cuándo (art. 2.4 de la Ley 41/2002).

Al dar de baja una cuenta, BUC bloquea el acceso pero no borra en cascada los datos de la clínica: hacerlo arrastraría citas, facturas e historias clínicas que pueden ser de otros profesionales del mismo equipo y que la normativa obliga a conservar.

8. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de los datos, escribiendo a info@mybuc.app e indicando el derecho que quieres ejercer. Si tus datos los trata un profesional concreto como responsable (por ejemplo, tu historia clínica), puedes dirigirte también directamente a él.

Si consideras que el tratamiento de tus datos no se ajusta a la normativa, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Se aplican medidas técnicas y organizativas razonables para proteger los datos personales (contraseñas cifradas, conexión segura HTTPS, control de acceso por roles y permisos dentro de cada clínica, copias de seguridad a cargo del proveedor de base de datos).

10. Menores de edad

BUC está pensado para que lo usen profesionales y clínicas, no menores de edad directamente. Cuando un profesional registre a un paciente menor de edad, es responsabilidad del propio profesional contar con el consentimiento de quien ejerza su patria potestad o tutela, conforme a la normativa aplicable.

La plataforma contempla expresamente el consentimiento por representación del artículo 9 de la Ley 41/2002: al firmar un consentimiento informado de un menor se identifica a quien firma por él (nombre, DNI y relación con el paciente). Esos datos del representante se tratan con la misma finalidad y los mismos plazos que el consentimiento al que acompañan.

11. Cambios en esta política

Esta política puede actualizarse para reflejar cambios en el servicio o en la normativa aplicable. La fecha de la última actualización aparece al principio de esta página y, si el cambio es relevante, se avisará a los usuarios registrados.