Política de privacidad

En Rezebra nos tomamos en serio tu privacidad y la de tus pacientes. Esta política explica qué datos tratamos, con qué finalidad y qué derechos tienes. Está redactada conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

Responsable del servicio Rezebra: Pau Castellví Buqueras, con NIF 39938373T y domicilio en Carrer Sant Antoni, 8, 43340 Montbrió del Camp (Tarragona). Contacto: pau.development@gmail.com.

Cuando una clínica o profesional usa Rezebra para gestionar a sus pacientes, el profesional es el responsable de los datos de sus pacientes y Rezebra actúa como encargado del tratamiento, tratando esos datos únicamente para prestar el servicio, según el contrato de encargado del tratamiento.

2. Datos que tratamos

Del profesional (cuenta): nombre, correo electrónico y, si inicias sesión con Google, el identificador de tu cuenta de Google (no accedemos a tu contraseña ni a otros datos de tu cuenta de Google).

De los pacientes (introducidos por el profesional o al reservar): nombre, número de teléfono, citas (fecha, servicio, profesional) y los mensajes relacionados con esas citas. Si el profesional escribe notas sobre sus clientes, también esas notas: su contenido lo decide él, y si incluyen datos de salud se tratan con las mismas garantías.

3. Finalidad

Gestionar la agenda de citas, permitir reservas en línea, enviar confirmaciones y recordatorios (por WhatsApp cuando la clínica lo tiene activado), y ofrecer al profesional el panel de gestión de su consulta.

4. Base legal

Para la cuenta del profesional: la ejecución del contrato de prestación del servicio. Para los datos de pacientes: el interés legítimo y la relación asistencial entre el profesional y su paciente, siendo el profesional quien determina la base legal aplicable frente a sus pacientes.

5. Encargados y terceros

Para prestar el servicio utilizamos proveedores que actúan como encargados del tratamiento, con las debidas garantías:

• Supabase — base de datos y autenticación.
• Vercel — alojamiento de la aplicación.
• Meta (WhatsApp Business Platform) y/o Twilio — envío de mensajes de WhatsApp, solo en clínicas con esa función activada.
• TypeSafe — interpretar lo que los pacientes escriben al WhatsApp propio de su clínica (confirmar, cancelar, cambiar la hora). Solo recibe el texto del mensaje y el nombre de la clínica, sin nombre ni teléfono del paciente ni datos de la cita, y solo en clínicas que activan las respuestas automáticas con IA. Nunca recibe datos de Google. TypeSafe se compromete a no entrenar modelos con lo que recibe.
• Google — si eliges iniciar sesión con Google y, en el caso de las clínicas, si conectan Google Calendar (ver el apartado 6).
• Resend — envío de los correos (confirmaciones de cita, códigos para entrar, avisos).
• Google Analytics — estadísticas de visitas de las páginas públicas de Rezebra, solo si aceptas las cookies de analítica. No se usa en las páginas de reservas de los centros ni en el panel. Detalle en la política de cookies.

No vendemos ni cedemos datos personales a terceros con fines publicitarios.

6. Datos de Google

Iniciar sesión con Google. Recibimos tu nombre, tu correo y el identificador de tu cuenta de Google, solo para crear tu cuenta y dejarte entrar. No accedemos a tu contraseña ni a otros datos de tu cuenta.

Google Calendar (solo profesionales, si lo conectan). Pedimos permiso para ver la lista de tus calendarios y para ver, crear, modificar y borrar eventos. Lo usamos únicamente para:

• copiar tus citas de Rezebra al calendario que elijas, y mantenerlas al día si cambian o se cancelan;
• leer los eventos de los calendarios que elijas para marcar ese tiempo como ocupado en tu agenda de Rezebra, de modo que nadie reserve encima;
• si tú lo pides, importar como citas de Rezebra los eventos que elijas.

Guardamos el token de acceso que nos da Google, la lista de calendarios elegidos y el título, el inicio y el fin de sus eventos. No leemos ni guardamos el contenido de otros calendarios, no usamos estos datos para publicidad ni para entrenar modelos de inteligencia artificial, y no los cedemos a nadie. Puedes desconectar Google Calendar en cualquier momento desde Ajustes (revocamos el permiso y borramos el token y los eventos copiados), o retirar el permiso desde tu cuenta de Google en myaccount.google.com/permissions.

El uso que hace Rezebra de la información recibida de las API de Google y su transferencia a cualquier otra aplicación se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.

Inteligencia artificial. Los datos que recibimos de Google (cuenta, calendarios y eventos) no se envían a ningún servicio de inteligencia artificial o aprendizaje automático, ni propio ni de terceros, y no se usan para crear, entrenar ni mejorar modelos de IA, tampoco agregados o anonimizados.

7. Seguridad de los datos

Tratamos datos de salud y datos de Google con estas medidas:

• Cifrado en tránsito: todas las conexiones van por HTTPS (TLS 1.2 o superior), también entre la aplicación y la base de datos.
• Cifrado en reposo: la base de datos y sus copias de seguridad están cifradas con AES-256 por nuestro proveedor (Supabase), con claves protegidas en módulos de seguridad de hardware.
• Datos en la Unión Europea: la base de datos y la aplicación funcionan en servidores de París (Francia).
• Aislamiento entre clínicas: cada clínica solo puede ver sus propios datos, con reglas de acceso aplicadas en la propia base de datos (seguridad a nivel de fila).
• Tokens de Google: se guardan solo en el servidor, nunca llegan al navegador y no sirven sin la clave secreta de la aplicación, que se guarda aparte de la base de datos. Al desconectar Google Calendar se revoca el permiso y se borran.
• Acceso mínimo: solo el titular de Rezebra puede acceder a la administración, con una lista cerrada de cuentas autorizadas.
• Datos mínimos: de Google Calendar solo guardamos el título, el inicio y el fin de los eventos de los calendarios que eliges.

8. Conservación

Conservamos los datos mientras la cuenta esté activa y el tiempo necesario para cumplir obligaciones legales. Puedes solicitar la supresión de tu cuenta y sus datos en cualquier momento.

9. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a pau.development@gmail.com. Si eres paciente de una clínica, puedes dirigirte directamente a tu profesional, que es el responsable de tus datos. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

10. Cambios

Podemos actualizar esta política para reflejar cambios en el servicio o en la normativa. Publicaremos siempre la versión vigente en esta página.