Política de Privacitat

1. Responsable del tractament

El paper de Wavaily depèn del tipus de dades. Wavaily (en endavant, la “Plataforma”), accessible des de www.wavaily.com, és el responsable del tractament de les dades de les clíniques i els professionals registrats i dels visitants d'aquest lloc web:

• Identitat: Wavaily, amb NIF pendent d'assignació (societat en constitució)
• Domicili: pendent d'inscripció; per a qualsevol comunicació, privacidad@wavaily.com
• Dades registrals: pendents d'inscripció al Registre Mercantil
• Adreça de contacte en matèria de protecció de dades: privacidad@wavaily.com
• Delegat de protecció de dades: pendent de designació; mentrestant, privacidad@wavaily.com
• Lloc web: www.wavaily.com

Respecte de les dades dels pacients que reserven cita a través del portal d'una clínica, el responsable del tractament és la clínica corresponent, i Wavaily actua com a encarregat del tractament per compte d'aquesta clínica (art. 28 RGPD). Cada pacient pot consultar l'avís de privacitat de la seva clínica al mateix portal de reserves.

2. Dades personals que recollim

En funció de la relació que mantingueu amb la Plataforma, podrem tractar les categories de dades personals següents:

2.1 Clíniques i professionals (usuaris registrats)

• Dades identificatives: nom, cognoms, adreça de correu electrònic, número de telèfon.
• Dades professionals: nom de la clínica, adreça, número de col·legiat (si es facilita), especialitats.
• Dades d'accés: adreça de correu electrònic i contrasenya xifrada, o l'identificador del compte de Google si l'usuari inicia sessió amb Google.
• Dades d'integracions: si el professional connecta el seu Google Calendar, les dades descrites a l'apartat 14.

2.2 Pacients (usuaris de les clíniques)

• Dades identificatives: nom, cognoms, adreça de correu electrònic, número de telèfon i, quan es faciliten, document d'identitat, data de naixement i adreça postal.
• Dades de salut (categoria especial de l'article 9 del RGPD): el servei sol·licitat, el motiu de consulta si la clínica habilita aquest camp i tot el contingut clínic que la clínica registri a la Plataforma (història clínica, valoracions, escales, marques anatòmiques, documents adjunts, altes i consentiments signats). Wavaily els allotja i els tracta únicament per compte de la clínica, que n'és la responsable, i mai per a finalitats pròpies.
• Dades de navegació i d'evidència: adreça IP, tipus de navegador i galetes de sessió, i l'adreça IP i la data amb què es registra un consentiment.

3. Finalitats del tractament

Tractem les dades personals per a les finalitats següents:

• Prestació del servei: gestió de comptes d'usuari, gestió de cites i reserves, enviament de confirmacions i recordatoris.
• Comunicacions transaccionals: enviament de correus electrònics de confirmació de cita, cancel·lació, reprogramació i recordatoris per correu electrònic, SMS o WhatsApp.
• Millora de la Plataforma: anàlisi estadística agregada i anonimitzada de l'ús de la Plataforma.
• Compliment legal: atenció a reclamacions i exercici de drets, compliment d'obligacions fiscals i mercantils.
• Integracions escollides per l'usuari: inici de sessió amb Google i enviament de cites a Google Calendar (apartat 14).

4. Base jurídica del tractament

• Execució d'un contracte (artículo 6.1.b del RGPD): el tractament és necessari per a la prestació del servei contractat per les clíniques i la gestió de cites dels pacients.
• Consentiment (artículo 6.1.a del RGPD): per a l'enviament de comunicacions comercials, si escau.
• Interès legítim (artículo 6.1.f del RGPD): per a la millora de la Plataforma i la prevenció del frau.
• Obligació legal (artículo 6.1.c del RGPD): per al compliment d'obligacions fiscals i mercantils aplicables.

5. Destinataris de les dades

Les dades personals podran ser comunicades als destinataris següents, exclusivament per a les finalitats indicades:

• Supabase, Inc. (societat nord-americana; dades allotjades a Irlanda): base de dades, autenticació i emmagatzematge d'arxius. Contracte d'encàrrec amb clàusules contractuals tipus.
• Vercel, Inc. (societat nord-americana; execució a Dublín, Irlanda): allotjament i execució de la Plataforma, i mesura agregada d'ús i rendiment sense galetes.
• Resend, Inc. (Estats Units): enviament de correu transaccional.
• Stripe: cobrament de la subscripció de la clínica i, si la clínica activa el pagament anticipat, el cobrament al pacient al compte de la clínica.
• Twilio, Inc. (Estats Units): enviament d'SMS i missatges de WhatsApp, si la clínica activa aquests canals.
• Meta Platforms (Estats Units): WhatsApp Business, si la clínica fa servir aquest canal.
• Functional Software, Inc. (Sentry): registre d'errors tècnics, amb depuració prèvia de les dades personals.
• Google: enviament de cites a Google Calendar, si un professional el connecta; ressenyes de Google, si la clínica connecta la seva fitxa; i accés amb compte de Google, si l'usuari ho tria. Detall a l'apartat 14.
• Agència Estatal d'Administració Tributària: registres de facturació quan la clínica emet factures amb remissió VERI*FACTU. És un destinatari per obligació legal, no un encarregat del tractament.

No se cediran dades a tercers diferents dels indicats, tret d'obligació legal.

6. Transferències internacionals

La base de dades, els arxius i el còmput de la Plataforma són a Irlanda (Unió Europea). Alguns dels proveïdors indicats són societats nord-americanes que poden accedir a les dades des de fora de l'Espai Econòmic Europeu per prestar suport. En aquests casos la transferència s'empara en el Marc de Privacitat de Dades UE-EUA (decisió d'adequació de 10 de juliol de 2023) quan el proveïdor hi està certificat, i en les clàusules contractuals tipus aprovades per la Comissió Europea (Decisió d'Execució (UE) 2021/914) en la resta de casos. Podeu sol·licitar còpia de les garanties aplicables a privacidad@wavaily.com.

7. Termini de conservació

• Dades d'usuaris registrats (clíniques): mentre es mantingui la relació contractual i, després de la seva finalització, durant els terminis legalment exigits (mínim 5 anys conforme al Código de Comercio).
• Dades de pacients: Wavaily les tracta únicament per compte de la clínica, que és la responsable del tractament, i les conserva mentre estigui vigent el contracte amb ella. En finalitzar, es retornen o se suprimeixen segons el que decideixi la clínica (art. 28.3.g RGPD). És la clínica qui determina els terminis de conservació que li exigeix la normativa sanitària: com a mínim 5 anys des de l'alta de cada procés assistencial (Llei 41/2002 art. 17) i 15 anys a Catalunya (Llei 21/2000 art. 12).
• Dades de navegació: màxim 12 mesos des de la seva recollida.

8. Drets de l'interessat

De conformitat amb el RGPD i la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), l'interessat té dret a:

• Accés: conèixer quines dades personals seves estan sent tractades.
• Rectificació: sol·licitar la correcció de dades inexactes o incompletes.
• Supressió: sol·licitar l'eliminació de les seves dades quan ja no siguin necessàries per a la finalitat per a la qual van ser recollides.
• Oposició: oposar-se al tractament de les seves dades en determinades circumstàncies.
• Limitació del tractament: sol·licitar que es limiti el tractament de les seves dades.
• Portabilitat: rebre les dades facilitades en un format estructurat, d'ús comú i lectura mecànica.

Per exercir aquests drets, l'interessat pot adreçar-se a privacidad@wavaily.com, indicant la seva identitat i el dret que desitja exercir. Se n'atendrà la sol·licitud en el termini màxim d'un mes.

Així mateix, l'interessat té dret a presentar una reclamació davant l'Agencia Española de Protección de Datos (www.aepd.es) si considera que els seus drets no han estat degudament atesos.

9. Mesures de seguretat

Wavaily aplica les mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc, incloent-hi:

• Xifrat de contrasenyes i dades sensibles en trànsit (TLS) i en repòs.
• Polítiques de seguretat a nivell de fila (Row Level Security) a la base de dades, garantint que cada clínica només accedeix a les seves pròpies dades.
• Capçaleres de seguretat HTTP (HSTS, CSP, X-Frame-Options).
• Autenticació segura mitjançant tokens JWT amb expiració controlada.
• Tokens d'accés a serveis de tercers, com ara Google Calendar, desats xifrats.

10. Cookies

La Plataforma utilitza únicament galetes pròpies i estrictament necessàries: la sessió de la persona usuària, la clínica activa quan se'n gestiona més d'una, l'idioma triat i, només si en acabar una reserva la persona usuària demana desar les seves dades al seu compte, aquestes dades, xifrades, durant un màxim de 24 hores i fins que accedeix al compte. No s'utilitzen galetes publicitàries, de xarxes socials ni de rastreig entre llocs, i no es comparteixen amb tercers amb finalitats de perfilat.

Per mesurar l'ús i el rendiment fem servir Vercel Analytics i Speed Insights, que no instal·len galetes ni identificadors persistents i treballen amb dades agregades; els esdeveniments del procés de reserva exclouen expressament nom, telèfon, correu i data de naixement. La monitorització d'errors (Sentry) tampoc no instal·la galetes i depura les dades personals abans d'enviar-les; l'enregistrament de sessions està desactivat.

Podeu esborrar o blocar les galetes des de la configuració del navegador. Blocar les galetes necessàries impedeix iniciar sessió i fer servir la Plataforma.

11. Relació entre Wavaily i les clíniques

A l'efecte del RGPD, Wavaily actua com a encarregat del tractament respecte a les dades de pacients que les clíniques gestionen a través de la Plataforma. Cada clínica és responsable del tractament de les dades dels seus pacients i ha de disposar de la seva pròpia base jurídica per a aquest tractament (consentiment del pacient, execució de contracte de prestació de serveis sanitaris, etc.).

Les condicions d'aquesta relació d'encàrrec de tractament es regulen en el contracte de prestació de serveis subscrit entre Wavaily i cada clínica.

12. Modificacions

Wavaily es reserva el dret de modificar la present Política de Privacitat per adaptar-la a novetats legislatives o jurisprudencials. En cas de canvis substancials, es notificarà als usuaris registrats per correu electrònic amb una antelació mínima de 15 dies.

13. Dades obligatòries i decisions automatitzades

Les dades marcades com a obligatòries a cada formulari són necessàries per crear el compte, reservar una cita o emetre una factura; sense elles no és possible prestar el servei. La resta són voluntàries i la seva absència només impedeix fer servir la funció associada.

No es prenen decisions automatitzades que produeixin efectes jurídics sobre les persones ni que les afectin significativament de manera similar, en el sentit de l'article 22 del RGPD, ni s'elaboren perfils amb aquesta finalitat.

14. Dades obtingudes de Google

Dues funcions de la Plataforma fan servir dades del compte de Google de l'usuari: l'inici de sessió amb Google i la connexió amb Google Calendar. Totes dues són opcionals: només s'activen si l'usuari ho decideix, i les pot desactivar en qualsevol moment.

14.1 Inici de sessió amb Google

Si l'usuari inicia sessió amb el seu compte de Google, Google ens facilita el seu nom, la seva adreça de correu electrònic, la seva foto de perfil i un identificador del seu compte. Els fem servir únicament per crear el compte, identificar l'usuari i permetre-li iniciar sessió. Wavaily no té accés a la seva contrasenya de Google.

14.2 Google Calendar

Cada professional pot connectar el seu Google Calendar des de «Els meus ajustos» a la Plataforma. Llavors Wavaily demana a Google tres permisos, els més limitats que permeten aquestes funcions: el que Google descriu com a «veure, crear, modificar i eliminar esdeveniments als calendaris de la teva propietat», que Wavaily fa servir per enviar les cites del professional al seu calendari i per llegir les seves hores ocupades; el de consultar la disponibilitat dels calendaris als quals té accés, i el de veure la llista d'aquests calendaris. Els fa servir exclusivament per:

• Portar les seves cites al seu calendari principal. Per cada cita que té assignada a Wavaily es crea un esdeveniment, que s'actualitza o s'elimina quan la cita canvia o es cancel·la. L'esdeveniment conté el servei, el nom del pacient, la data i l'hora, l'adreça de la clínica, un enllaç a la cita a Wavaily (que exigeix iniciar sessió) i un identificador intern. Les notes de la cita no s'envien a Google.
• Bloquejar a Wavaily les hores en què el professional està ocupat. Wavaily llegeix les hores ocupades del calendari principal del professional, que queda marcat automàticament en connectar (el pot desmarcar), i dels altres calendaris que ell marqui. De cada esdeveniment llegeix únicament l'inici i el final, si compta com a ocupat o com a disponible, si està cancel·lat, si forma part d'una sèrie d'esdeveniments periòdics i, dels assistents, només si han respost i com, sense noms ni correus; d'aquestes respostes només fa servir la del mateix professional, per no bloquejar les invitacions que ha rebutjat. També llegeix les dades tècniques privades de l'esdeveniment, de les quals només fa servir la marca amb què reconeix els esdeveniments de les cites que la mateixa Wavaily envia a Google (l'identificador intern del punt anterior). No demana títols, descripcions ni ubicacions. A l'agenda, aquestes hores només es mostren com a «Ocupat (Google)» i, si una cita coincideix amb alguna d'elles, s'avisa el professional per correu amb la data, l'hora i el servei de la cita, sense dades del pacient ni de l'esdeveniment de Google.
• Conservar l'imprescindible per mantenir la connexió: els tokens d'accés que lliura Google, desats xifrats; l'identificador de cada esdeveniment creat; el correu del compte de Google connectat; l'identificador i el nom de cada calendari de la llista d'aquest compte (l'identificador d'un calendari que una altra persona comparteix amb el professional pot ser el correu d'aquesta persona); i, dels calendaris marcats, l'inici i el final de cada hora ocupada amb l'identificador del seu esdeveniment i l'estat de la sincronització. No es desen títols, descripcions ni dades d'altres aplicacions.

Les dades de pacients que contenen els esdeveniments que crea Wavaily passen al compte de Google del professional i, a partir d'aquell moment, Google les tracta d'acord amb les seves pròpies condicions.

14.3 Ús limitat de les dades de Google

• No fem servir les dades obtingudes de Google per a publicitat, per elaborar perfils ni per entrenar models d'intel·ligència artificial.
• No les venem ni les cedim a tercers. Només les tracten els proveïdors indicats a l'apartat 5, per prestar el servei.
• Cap persona de Wavaily les llegeix, llevat que l'usuari ho autoritzi expressament, que sigui necessari per motius de seguretat (per exemple, per investigar un abús) o que ho exigeixi la llei.
• L'ús que Wavaily fa de la informació rebuda de les API de Google, i la seva transferència a qualsevol altra aplicació, s'ajusta a la Política de dades d'usuari dels serveis d'API de Google (Google API Services User Data Policy), inclosos els requisits d'ús limitat (Limited Use).

14.4 Conservació i retirada de l'accés

Les dades de Google Calendar es conserven mentre la connexió estigui activa. Si el professional desmarca un calendari, les hores ocupades que se n'han llegit s'esborren en aquell moment. Quan desconnecta Google Calendar des de «Els meus ajustos», Wavaily revoca l'accés davant de Google i esborra en aquell mateix moment els tokens, el correu del compte, la llista dels seus calendaris amb els seus identificadors i noms, les hores ocupades llegides i els avisos de coincidència; els identificadors dels esdeveniments creats per Wavaily es conserven amb cada cita mentre aquesta existeixi. Amb la connexió activa, un avís de coincidència ja tramitat s'esborra quan la cita ja ha passat i han transcorregut 30 dies des de l'avís. Els esdeveniments ja creats es mantenen al calendari del professional, que els pot esborrar des de Google Calendar. L'usuari també pot retirar l'accés de Wavaily en qualsevol moment des de la pàgina de permisos del seu compte de Google.