Política de privacidad

1. Quién es el responsable del tratamiento

El responsable del tratamiento de tus datos es Gerard Beltran Nel-lo, profesional autónomo (persona física) que trabaja con el nombre comercial Gerard Nelo Physio, en Barcelona. Gerard Nelo Physio no es una sociedad. En esta política lo llamamos «el centro».

Su NIF, su domicilio, su correo electrónico y su teléfono de contacto, su colegio profesional y su autorización sanitaria figuran en los datos del titular que aparecen al principio de esta página. Ese correo electrónico es el que debes usar para cualquier cuestión sobre tus datos.

2. Delegado de protección de datos

No hemos designado un delegado de protección de datos. La Ley Orgánica 3/2018 (art. 34.1.l) exceptúa de esa obligación a los profesionales de la salud que ejercen su actividad a título individual, como es el caso. Para cualquier cuestión sobre tus datos, escribe al correo de contacto del titular.

3. Qué datos tratamos

Los obtenemos de ti, de tu representante legal si eres menor de edad y de la propia atención que te prestamos.

3.1 Datos de todos los clientes

• Identificación y contacto: nombre y apellidos, correo electrónico, teléfono, documento de identidad, fecha de nacimiento y dirección.
• Agenda: citas, reservas periódicas, asistencia, cancelaciones, ausencias y lista de espera. Si una ausencia se justifica, no guardamos el motivo.
• Datos económicos: bonos, sesiones disponibles y usadas, cobros (importe, fecha y forma de pago), recibos y facturas.
• Acceso a la app: correo electrónico, credenciales (no conocemos tu contraseña), la versión de las condiciones que aceptaste, registros de acceso y de seguridad y, si activas las notificaciones, los datos técnicos de tu suscripción a ellas.
• Comunicaciones: los avisos que te enviamos por correo electrónico o por notificación y, si nos escribes por WhatsApp, esos mensajes.

3.2 Datos de entrenamiento personal

• Las rutinas que te asigna el profesional y el registro de tus sesiones: ejercicios, series, cargas, repeticiones y esfuerzo percibido.
• Tus preferencias de entrenamiento, si nos las indicas (por ejemplo, días, nivel, lugar, material, duración u objetivo).
• Los comentarios que escribas sobre un ejercicio o una sesión y las fotos o vídeos que decidas subir para que revisemos tu técnica. Son voluntarios.

Te pedimos que no incluyas información sobre tu salud en los comentarios, las fotos o los vídeos. Si tienes una lesión, molestias o un problema de salud, cuéntaselo al profesional en persona.

3.3 Datos de salud de los pacientes de fisioterapia

Si eres paciente de fisioterapia, tratamos los datos de salud necesarios para atenderte (motivo de consulta, antecedentes, valoración, tratamiento y evolución) y los consentimientos informados que firmes. Con ellos llevamos tu historia clínica, como exige la ley.

Hoy esta app no guarda tu historia clínica ni otros datos clínicos. La historia clínica la llevamos fuera de la app, y solo acceden a ella los profesionales sanitarios que te atienden, sujetos a secreto profesional. Si en el futuro empezamos a llevarla en la app, te lo diremos antes y publicaremos una versión nueva de esta política.

3.4 Otras personas

• Representantes legales de menores: nombre, relación con el menor, datos de contacto, documento de identidad y domicilio para la factura.

No publicamos ni vendemos tus datos y no los usamos para publicidad.

4. Para qué tratamos tus datos y con qué base jurídica

• Darte de alta y gestionar tu ficha y tu contacto. Base: la ejecución del contrato de servicios (art. 6.1.b RGPD). Si eres paciente, también la obligación legal de identificarte en tu historia clínica (art. 6.1.c RGPD).
• Prestarte la asistencia de fisioterapia y llevar tu historia clínica. Base: la ejecución del contrato asistencial (art. 6.1.b RGPD) y la obligación legal de documentar y conservar la asistencia (art. 6.1.c RGPD; Ley 41/2002, arts. 15 a 17; Llei 21/2000, arts. 9 a 12). Los datos de salud se tratan para la asistencia sanitaria, por profesionales sujetos a secreto profesional (art. 9.2.h y 9.3 RGPD).
• Prestarte el entrenamiento personal: asignarte rutinas, registrar tus sesiones y revisar tus comentarios, fotos y vídeos. Base: la ejecución del contrato (art. 6.1.b RGPD).
• Gestionar tu agenda: reservas, cancelaciones, ausencias, reservas periódicas y lista de espera. Base: la ejecución del contrato (art. 6.1.b RGPD). Los servicios se nombran de forma neutra.
• Gestionar tus bonos, anotar tus cobros y emitir tus facturas. Base: la ejecución del contrato (art. 6.1.b RGPD) y las obligaciones tributarias y mercantiles (art. 6.1.c RGPD). Las facturas no incluyen diagnósticos ni lesiones.
• Enviarte los avisos del servicio por correo electrónico y, si las activas, por notificaciones push: invitación y acceso, citas, bonos, cobros y cambios de las condiciones. Base: la ejecución del contrato (art. 6.1.b RGPD). Los avisos no contienen datos de salud.
• Comunicarnos contigo por WhatsApp, si nos escribes por ahí, por ejemplo para avisarnos de que cancelas una cita. Base: la ejecución del contrato (art. 6.1.b RGPD). Es voluntario: siempre puedes cancelar en la app, por teléfono o en el centro. No nos envíes datos de salud por WhatsApp. Si lo haces, solo anotaremos lo imprescindible y borraremos el mensaje.
• Darte acceso seguro a la app, registrar quién accede a los datos y proteger la app frente a ataques. Base: la obligación legal de seguridad y de responsabilidad proactiva (art. 6.1.c RGPD, en relación con los arts. 5.2 y 32 RGPD).
• Atender las solicitudes de ejercicio de tus derechos. Base: la obligación legal (art. 6.1.c RGPD, en relación con los arts. 12 a 22 RGPD).

Una distinción importante. Antes de algunas técnicas de fisioterapia te pediremos tu consentimiento informado (Ley 41/2002, art. 8; Llei 21/2000, art. 6). Ese consentimiento autoriza una intervención sanitaria; no es la base jurídica para tratar tus datos. Si lo revocas, dejamos de hacer esa intervención, pero tu historia clínica se sigue conservando durante el plazo legal, porque la ley obliga a documentar la asistencia.

Inteligencia artificial. No usamos inteligencia artificial sobre tus datos ni los enviamos a proveedores de inteligencia artificial.

Lo que esta app no hace hoy. No tiene chat, no vende ni cobra en línea, no ofrece contenidos de nutrición ni notas de voz y no está publicada en las tiendas de aplicaciones. Si activamos alguna de estas funciones, te lo diremos antes y publicaremos una versión nueva de esta política.

5. Intereses legítimos

Hoy ningún tratamiento se basa en nuestro interés legítimo.

6. A quién comunicamos tus datos

Dentro del centro. Solo el personal que te atiende, y solo lo que necesita para hacerlo. La historia clínica solo la ven los profesionales sanitarios que te atienden.

Proveedores que tratan los datos por nuestra cuenta (encargados del tratamiento), con contrato de encargo del art. 28 RGPD:

• Supabase (Supabase Pte. Ltd., en Singapur, con Supabase, Inc., sociedad de su mismo grupo en Estados Unidos, para el soporte técnico): base de datos, autenticación y almacenamiento de archivos, como las fotos y vídeos de ejercicios. Los datos se guardan en su región de la Unión Europea de Fráncfort (Alemania). Hace una copia de seguridad diaria, que se conserva 7 días.
• Fly.io, Inc. (Estados Unidos): alojamiento y ejecución de la app, en servidores de Fráncfort (Unión Europea).
• Brevo (Sendinblue SAS, Francia, Unión Europea): envío de los correos automáticos de la app. Si respondes a uno de esos correos, tu respuesta llega al correo de contacto del titular.
• WhatsApp Ireland Limited (grupo Meta), si nos escribes por WhatsApp. Para sus propios fines, como el funcionamiento y la seguridad de su servicio, WhatsApp trata algunos datos según su propia política de privacidad.

Servicio de notificaciones de tu navegador. Si activas las notificaciones push, el aviso pasa por el servicio de notificaciones del fabricante de tu navegador (por ejemplo, Google, Apple o Mozilla). Lo elige tu navegador, no nosotros, y no tenemos contrato con él. El aviso solo lleva un texto neutro, sin datos de salud. Si no quieres usarlo, no actives las notificaciones: recibirás los avisos por correo electrónico.

Otros destinatarios:

• Gestoría (asesoría contable y fiscal): recibe los datos de las facturas, sin datos de salud.
• Entidades bancarias: si pagas por Bizum, tu banco y el del centro tratan los datos del pago por su cuenta.
• Otro centro en el que trabaja el titular: si te atendemos en otro centro para el que el titular presta servicios de fisioterapia, ese centro recibe los datos necesarios para que el titular le facture las sesiones.
• Programas de gestión y facturación que el centro usaba antes de esta app: conservan los datos anteriores al cambio que la ley obliga a guardar, como las facturas, hasta que termine su plazo.
• Administraciones y tribunales, solo cuando una ley lo exija: Agencia Tributaria, juzgados y tribunales y autoridades sanitarias.
• Tu representante legal, si eres menor de edad.

Mutuas y aseguradoras: no les comunicamos tus datos. Las facturas se emiten a tu nombre y eres tú quien decide presentarlas.

7. Transferencias fuera del Espacio Económico Europeo

Supabase. Tus datos se guardan en la región de la Unión Europea de Fráncfort. Aun así, pueden tratarse desde fuera del Espacio Económico Europeo:

• Supabase Pte. Ltd. está en Singapur, y Supabase, Inc., que presta el soporte, en Estados Unidos;
• su personal de soporte puede acceder al proyecto desde fuera del Espacio Económico Europeo cuando le pedimos ayuda o ante un incidente de seguridad;
• Supabase usa subencargados en Estados Unidos para parte de su infraestructura y de su monitorización, y los archivos pueden servirse desde una red de distribución global.

Estas transferencias se apoyan en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), incorporadas a su contrato de encargo (art. 46.2.c RGPD). Singapur no tiene una decisión de adecuación de la Comisión Europea. Para Supabase no nos apoyamos en el Marco de Privacidad de Datos UE-EE. UU.

Fly.io. La app se ejecuta en servidores de Fráncfort, pero Fly.io, Inc. es una empresa de Estados Unidos. Si accede a datos desde fuera del Espacio Económico Europeo, por ejemplo para soporte o seguridad, esa transferencia se apoya en las garantías del art. 46 RGPD que recoge su contrato de encargo.

WhatsApp. Si te comunicas con nosotros por WhatsApp, WhatsApp Ireland Limited transfiere datos a WhatsApp LLC y a Meta Platforms, Inc., en Estados Unidos. Según sus condiciones para empresas, se apoya en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) y, como respaldo, en las cláusulas contractuales tipo.

Notificaciones del navegador. El servicio de notificaciones de tu navegador puede estar fuera del Espacio Económico Europeo (sección 6).

Puedes pedirnos una copia de estas garantías en el correo de contacto del titular.

8. Cuánto tiempo conservamos tus datos

Cuando termina un plazo, borramos los datos o los anonimizamos. Si la ley nos obliga a conservarlos durante más tiempo o hay una reclamación abierta, los bloqueamos: solo se pueden consultar para atender esas obligaciones o ponerlos a disposición de jueces, tribunales y autoridades (Ley Orgánica 3/2018, art. 32). Ningún dato clínico se borra sin que una persona del centro lo revise antes.

• Historia clínica (fuera de la app): los consentimientos informados, los informes de alta y los informes de exploraciones complementarias, al menos 15 años desde el alta de cada proceso asistencial; el resto, al menos 5 años desde el alta (Llei 21/2000, art. 12). Se conserva más tiempo lo que sea relevante para tu asistencia o necesario a efectos judiciales. Los datos que te identifican en la historia, el mismo plazo que los documentos a los que van unidos.
• Ficha y datos de entrenamiento (rutinas, registros, preferencias, comentarios, fotos y vídeos): mientras seas cliente y, después, 1 año para atender posibles reclamaciones. Las fotos y los vídeos puedes retirarlos antes, cuando quieras.
• Agenda (citas, asistencia y ausencias): mientras seas cliente y, después, 1 año. Si una cita respalda un cobro o una factura, el plazo de las facturas. Datos de quien viene una sola vez sin ficha: 30 días desde la cita. Lista de espera: 12 meses desde que se cierra.
• Facturas, cobros y recibos: 6 años desde el final del año en que se emiten, que incluyen los 4 años de la normativa tributaria (Ley 58/2003, art. 66). Se conservan aunque se borren otros datos.
• Aceptación de las condiciones: si va unida a un bono facturado, el plazo de las facturas; si no, 3 años desde que dejas de ser cliente.
• Avisos enviados por correo electrónico o notificación: 12 meses.
• Mensajes de WhatsApp con el centro: 30 días desde que anotamos en la app el aviso al que se refieren, salvo una reclamación abierta.
• Cuenta de la app: mientras esté activa. La suscripción a las notificaciones, mientras esté vigente.
• Registro de accesos y de seguridad: 2 años.
• Control de intentos de acceso: 1 día.
• Solicitudes de ejercicio de derechos: 3 años desde la respuesta, para poder acreditar cómo las atendimos.
• Datos de los representantes legales de menores: el mismo plazo que los documentos que firmaron.
• Copias de seguridad: se renuevan cada día y cada copia se conserva 7 días. Si alguna vez restauramos una copia, antes volvemos a borrar lo que ya se había borrado.

9. Tus derechos

9.1 Qué derechos tienes

• Acceso: saber qué datos tuyos tratamos y obtener una copia. Si eres paciente, la copia de tu historia clínica te la entregamos en el centro. Solo pueden quedar fuera las anotaciones subjetivas de los profesionales y lo que afecte a terceros (Ley 41/2002, art. 18.3; Llei 21/2000, art. 13); te diremos qué se ha excluido.
• Rectificación: corregir datos inexactos o incompletos. En la historia clínica, la corrección se añade y el texto anterior se conserva.
• Supresión: pedir que borremos tus datos. Si la ley nos obliga a conservarlos (por ejemplo, la historia clínica o las facturas), te lo explicaremos y los bloquearemos.
• Limitación: pedir que dejemos de usar tus datos mientras comprobamos su exactitud o resolvemos tu oposición, o que los conservemos para una reclamación tuya.
• Portabilidad: recibir los datos que nos has facilitado en un formato estructurado, de uso común y de lectura mecánica, cuando el tratamiento se base en el contrato o en tu consentimiento y se haga por medios automatizados.
• Oposición: oponerte, por motivos relacionados con tu situación particular, a un tratamiento basado en nuestro interés legítimo. Hoy no hay ninguno (sección 5).

9.2 Cómo ejercerlos

• Escribe al correo de contacto del titular que figura al principio de esta página, pídelo en persona en el centro o envía un escrito a su domicilio. También así puedes pedir la baja de tu cuenta de la app.
• Si tenemos dudas razonables sobre tu identidad, te pediremos que la acredites. Si actúas en nombre de otra persona, deberás acreditar la representación.
• Es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.
• Te respondemos en un mes. Si la solicitud es compleja o hay muchas, el plazo puede ampliarse dos meses más; te lo diremos dentro del primer mes, con el motivo.
• No enviamos datos clínicos por correo electrónico.

10. Consentimiento

Hoy ningún tratamiento de esta política se basa en tu consentimiento: la asistencia, el entrenamiento, la agenda, los cobros, las facturas y los avisos se basan en el contrato y en la ley (sección 4). El consentimiento informado de la fisioterapia es otra cosa: autoriza una intervención y puedes revocarlo por escrito en cualquier momento, sin que eso borre tu historia clínica.

Si en el futuro te pedimos el consentimiento para algo, lo haremos aparte, sin casillas marcadas de antemano, y podrás retirarlo cuando quieras.

11. Reclamación ante la autoridad de control

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es; sede electrónica: sedeagpd.gob.es). También puedes dirigirte a la autoridad de protección de datos del Estado de la Unión Europea donde vivas o trabajes. Antes, si quieres, puedes escribirnos para intentar resolverlo.

12. ¿Estás obligado a darnos tus datos?

• Identificación y contacto: son necesarios para contratar y, si eres paciente, para identificarte en tu historia clínica. Sin ellos no podemos atenderte.
• Datos de salud: son necesarios para atenderte con seguridad en fisioterapia. Si no nos das información relevante, puede que el profesional no pueda aplicarte una técnica concreta.
• Datos de facturación: los que exige la normativa de facturación.
• Comentarios, fotos y vídeos de los ejercicios: son voluntarios.
• App: es voluntaria. Puedes ser cliente sin cuenta en la app.

13. Decisiones automatizadas

• No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa, y no elaboramos perfiles.
• La app aplica de forma automática las reglas de los bonos que aceptas al comprarlos: la caducidad al terminar la validez y el descuento de una sesión por cancelación con menos de 24 horas o por ausencia sin justificar. Nunca se descuenta una sesión cuando la cancelación es del centro, y una ausencia justificada te devuelve la sesión.
• Si el centro aplica la regla de ausencias, la app cuenta las ausencias sin justificar de cada mes. Al llegar al límite de las condiciones, solo libera tu reserva periódica, para reorganizar la agenda: esas citas se cancelan sin descontar sesiones, no se te cobra nada, tu bono no se suspende y puedes seguir reservando.
• Si no estás de acuerdo con el resultado de una de estas reglas, puedes pedir que lo revise una persona del centro.

14. Cookies y almacenamiento en tu dispositivo

Usamos solo lo necesario para que la app funcione de forma segura y para recordar las preferencias que eliges. No usamos cookies de análisis, de publicidad, de redes sociales ni de terceros. Por eso no te pedimos consentimiento para ellas (Ley 34/2002, art. 22.2).

• sb-… (cookie de sesión): mantener tu sesión iniciada de forma segura. El código de la página no puede leerla. Dura mientras tengas la sesión iniciada; el navegador puede guardarla hasta 400 días.
• gnp-activity (cookie de seguridad): solo para el personal del centro, cerrar la sesión tras 15 minutos sin actividad. Dura 24 horas.
• gnp-locale (cookie de preferencia): recordar el idioma que has elegido. Dura 1 año.
• gnp-theme (cookie de preferencia): recordar el tema claro, oscuro o automático que has elegido. Dura 1 año.
• gnp-offline (almacenamiento local): guardar en tu dispositivo las series de entrenamiento que registras sin conexión, hasta enviarlas. No guarda nada clínico. Dura hasta que se envían o cierras la sesión.
• sw.js y sw-push.js (programas del navegador): cargar la app, mostrar una página cuando no hay conexión y recibir las notificaciones si las activas. Duran mientras tengas la app instalada.

Al cerrar la sesión, la app borra de tu dispositivo el almacenamiento local, la caché y las series pendientes de enviar. También puedes borrar las cookies desde la configuración de tu navegador. Los vídeos de ejercicios de plataformas externas no se cargan dentro de la app: se abren en la web de su proveedor, que aplica su propia política de cookies.

15. Menores de edad

• Atendemos a menores con su representante legal (padre, madre o tutor), que recibe esta información.
• Los menores no tienen cuenta en la app.
• Los bonos de un menor los compra y los paga su representante, y las facturas se emiten a su nombre.
• Los derechos de un menor de 14 años los ejerce su representante. Desde los 14 años, el menor puede ejercerlos por sí mismo.

16. Cambios en esta política

Si vamos a usar tus datos para un fin nuevo, te lo diremos antes de empezar. Cuando cambie esta política, publicaremos la nueva versión con su fecha y te avisaremos en la app o por correo electrónico. Las versiones anteriores se conservan y puedes consultarlas.

Esta política también está a tu disposición en el centro. Relacionado: aviso legal, condiciones de uso de la app y condiciones de los bonos y de las reservas.