RGPD (UE) 2016/679 y LOPDGDD 3/2018. Versión 1.0.0 — actualización: 2026-08-01
Este documento se refiere al servicio SynkroBurn (en adelante, el "Titular" o la "Plataforma"). El prestador del servicio es la persona física autónoma cuya identificación completa figura solo en el Aviso Legal, conforme a la LSSI-CE. Contacto operativo: soporte@synkroburn.com. Ver Aviso Legal.
Para cumplir el RGPD se delimitan los roles según la titularidad de los datos:
B2B: Ejecución del contrato, interés legítimo en seguridad y mejora del servicio, y obligaciones legales (facturación, conservación mercantil).
Pacientes (bajo responsabilidad del Profesional): El Profesional debe disponer de base válida: consentimiento explícito para datos de salud (Art. 9 RGPD), ejecución de prestación sanitaria/deportiva, o la que corresponda en su jurisdicción.
Categorías tratadas en la Plataforma pueden incluir: identificación, contacto, datos de salud y hábitos, medidas corporales, imágenes, historial de citas, comunicaciones y metadatos técnicos de acceso.
La aceptación junto con los Términos constituye el contrato de encargo entre Responsable (Profesional) y Encargado (Titular).
El Encargado utiliza proveedores especializados con certificaciones de seguridad (ISO 27001, SOC 2, PCI-DSS cuando aplique). Los datos se alojan preferentemente en el EEE.
Si una transferencia fuera del EEE fuera necesaria, se amparará en CCT, decisiones de adecuación u otros mecanismos del Capítulo V RGPD.
| Subencargado | Finalidad | Ubicación / garantías |
|---|---|---|
| Stripe | Procesamiento de pagos de la suscripción SaaS (PCI-DSS). No almacena historiales clínicos. | UE / EEE (CCT cuando aplique) |
| Proveedor SMTP | Envío de correos operativos del sistema (verificación, facturas, avisos). Si la clínica configura SMTP propio, actúa como encargado adicional bajo su responsabilidad. | UE / EEE (SCCs cuando aplique) |
| Meta (WhatsApp Business API) | Envío de plantillas de comunicación autorizadas por la clínica. Solo número de teléfono e identificador de plantilla; sin contenido clínico en la API. | UE / EEE (SCCs) |
| Proveedor cloud VPS | Alojamiento de aplicación, bases de datos, copias de seguridad cifradas y logs técnicos. | Preferentemente EEE |
La generación de planes nutricionales y de entrenamiento se ejecuta mediante motor algorítmico propio alojado en la infraestructura de la Plataforma, basado en reglas clínicas parametrizadas y catálogos internos.
En el servicio en producción NO se transmiten datos identificables ni clínicos de pacientes a proveedores externos de procesamiento. Todo el tratamiento de datos de salud para la operativa del SaaS permanece en el entorno del Encargado bajo instrucciones del Profesional.
El Profesional debe revisar y validar clínicamente los outputs antes de prescribirlos (sistema de apoyo a la decisión — DSS, no dispositivo médico).
Medidas del Art. 32 RGPD, entre otras: cifrado TLS en tránsito; hash de contraseñas; control de acceso por roles; segregación multi-tenant; copias de seguridad cifradas; registro de actividad técnica; procedimientos de respuesta a incidentes.
El nivel de seguridad es proporcional al riesgo del tratamiento de datos de salud en entorno cloud B2B.
Si se confirmara una brecha que afecte a datos tratados como Encargado, el Titular notificará al Profesional afectado sin dilación indebida (objetivo 48–72 horas desde confirmación), con información disponible para que el Responsable cumpla su deber de notificación a la AEPD (Art. 33) y comunicación al interesado (Art. 34) cuando proceda.
El Titular no responde por brechas causadas o agravadas por negligencia del Cliente o sus usuarios (contraseñas débiles, malware local, phishing, credenciales compartidas).
Pacientes: Deben dirigirse al Profesional responsable. Si el Titular recibe solicitud directa, la redirigirá al Profesional sin procesar los datos clínicos. El portal del paciente puede incluir formulario de solicitudes cuando la clínica lo habilite.
Profesionales (datos de cuenta): Solicitudes a soporte@synkroburn.com o mediante opciones del panel de configuración.
Reclamación ante la AEPD: www.aepd.es — C/ Jorge Juan, 6, 28001 Madrid.
Los informes, tablas metabólicas y prescripciones preliminares son soporte a la decisión profesional (DSS) y no constituyen decisiones automatizadas con efectos jurídicos equivalentes a un diagnóstico (Art. 22 RGPD).
El Profesional informa al paciente cuando proceda y valida humanamente antes de activar planes.
El envío de email o WhatsApp implica tratamiento de datos de contacto por subencargados indicados. El Profesional es responsable del contenido, legitimación y registros de comunicaciones comerciales hacia sus pacientes.
Los fallos de entrega, bloqueos de operadores o cambios en APIs de terceros no eximen al Responsable de informar adecuadamente a sus pacientes por otros medios cuando sea necesario.
Fotografías o documentos que el Profesional o paciente suban se almacenan cifrados en la infraestructura del Encargado. El Profesional debe obtener consentimiento específico para imágenes de evolución corporal u otras especialmente sensibles.
El Titular puede enviar al Profesional comunicaciones sobre el servicio SaaS (facturación, novedades, seguridad) con base contractual o interés legítimo. No se realiza marketing a pacientes finales en nombre del Titular.
El Profesional puede gestionar consentimientos de marketing a sus pacientes desde la Plataforma bajo su exclusiva responsabilidad.
El tratamiento de datos de menores, si lo hubiera, es responsabilidad exclusiva del Profesional, que debe cumplir consentimiento parental o representación legal según normativa aplicable.
El Titular puede actualizar esta política por cambios legales o técnicos. La versión publicada en la URL vigente prevalece. Los cambios sustanciales en el encargo se comunicarán al Profesional con antelación razonable.
ES
EN
FR
IT
PT
DE