Política de Privacitat

1. Responsable del tractament

El paper de Wavaily depèn del tipus de dades. Wavaily (en endavant, la “Plataforma”), accessible des de www.wavaily.com, és el responsable del tractament de les dades de les clíniques i els professionals registrats i dels visitants d'aquest lloc web:

• Identitat: Wavaily (en endavant, el “Responsable”)
• Correu electrònic de contacte: privacidad@wavaily.com
• Lloc web: www.wavaily.com

Respecte de les dades dels pacients que reserven cita a través del portal d'una clínica, el responsable del tractament és la clínica corresponent, i Wavaily actua com a encarregat del tractament per compte d'aquesta clínica (art. 28 RGPD). Cada pacient pot consultar l'avís de privacitat de la seva clínica al mateix portal de reserves.

2. Dades personals que recollim

En funció de la relació que mantingueu amb la Plataforma, podrem tractar les categories de dades personals següents:

2.1 Clíniques i professionals (usuaris registrats)

• Dades identificatives: nom, cognoms, adreça de correu electrònic, número de telèfon.
• Dades professionals: nom de la clínica, adreça, número de col·legiat (si es facilita), especialitats.
• Dades d'accés: adreça de correu electrònic i contrasenya xifrada.

2.2 Pacients (usuaris de les clíniques)

• Dades identificatives: nom, cognoms, adreça de correu electrònic, número de telèfon.
• Dades de salut: únicament les estrictament necessàries per a la gestió de cites (servei sol·licitat, motiu de consulta si la clínica ho habilita). Wavaily no accedeix ni emmagatzema historials clínics complets.
• Dades de navegació: adreça IP, tipus de navegador, cookies.

3. Finalitats del tractament

Tractem les dades personals per a les finalitats següents:

• Prestació del servei: gestió de comptes d'usuari, gestió de cites i reserves, enviament de confirmacions i recordatoris.
• Comunicacions transaccionals: enviament de correus electrònics de confirmació de cita, cancel·lació, reprogramació i recordatoris per correu electrònic, SMS o WhatsApp.
• Millora de la Plataforma: anàlisi estadística agregada i anonimitzada de l'ús de la Plataforma.
• Compliment legal: atenció a reclamacions i exercici de drets, compliment d'obligacions fiscals i mercantils.

4. Base jurídica del tractament

• Execució d'un contracte (artículo 6.1.b del RGPD): el tractament és necessari per a la prestació del servei contractat per les clíniques i la gestió de cites dels pacients.
• Consentiment (artículo 6.1.a del RGPD): per a l'enviament de comunicacions comercials, si escau.
• Interès legítim (artículo 6.1.f del RGPD): per a la millora de la Plataforma i la prevenció del frau.
• Obligació legal (artículo 6.1.c del RGPD): per al compliment d'obligacions fiscals i mercantils aplicables.

5. Destinataris de les dades

Les dades personals podran ser comunicades als destinataris següents, exclusivament per a les finalitats indicades:

• Supabase, Inc. (Estats Units): allotjament de base de dades i autenticació. Disposa de clàusules contractuals tipus aprovades per la Comissió Europea per a transferències internacionals.
• Vercel, Inc. (Estats Units): allotjament de la Plataforma. Disposa de clàusules contractuals tipus.
• Resend, Inc. (Estats Units): enviament de correus electrònics transaccionals. Disposa de clàusules contractuals tipus.
• Stripe, Inc. (Estats Units): processament de pagaments, si la clínica habilita el cobrament en línia. Disposa de clàusules contractuals tipus.
• Twilio, Inc. (Estats Units): enviament de SMS i missatges de WhatsApp, si la clínica habilita recordatoris. Disposa de clàusules contractuals tipus.

No se cediran dades a tercers diferents dels indicats, tret d'obligació legal.

6. Transferències internacionals

Els proveïdors indicats a l'apartat anterior es troben ubicats als Estats Units. En tots els casos, s'han subscrit les Clàusules Contractuals Tipus aprovades per la Comissió Europea (Decisión de Ejecución 2021/914) com a garantia adequada per a la transferència internacional de dades, conforme a l'artículo 46.2.c del RGPD.

7. Termini de conservació

• Dades d'usuaris registrats (clíniques): mentre es mantingui la relació contractual i, després de la seva finalització, durant els terminis legalment exigits (mínim 5 anys conforme al Código de Comercio).
• Dades de pacients: Wavaily les tracta únicament per compte de la clínica, que és la responsable del tractament, i les conserva mentre estigui vigent el contracte amb ella. En finalitzar, es retornen o se suprimeixen segons el que decideixi la clínica (art. 28.3.g RGPD). És la clínica qui determina els terminis de conservació que li exigeix la normativa sanitària: com a mínim 5 anys des de l'alta de cada procés assistencial (Llei 41/2002 art. 17) i 15 anys a Catalunya (Llei 21/2000 art. 12).
• Dades de navegació: màxim 13 mesos des de la seva recollida.

8. Drets de l'interessat

De conformitat amb el RGPD i la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), l'interessat té dret a:

• Accés: conèixer quines dades personals seves estan sent tractades.
• Rectificació: sol·licitar la correcció de dades inexactes o incompletes.
• Supressió: sol·licitar l'eliminació de les seves dades quan ja no siguin necessàries per a la finalitat per a la qual van ser recollides.
• Oposició: oposar-se al tractament de les seves dades en determinades circumstàncies.
• Limitació del tractament: sol·licitar que es limiti el tractament de les seves dades.
• Portabilitat: rebre les dades facilitades en un format estructurat, d'ús comú i lectura mecànica.

Per exercir aquests drets, l'interessat pot adreçar-se a privacidad@wavaily.com, indicant la seva identitat i el dret que desitja exercir. Se n'atendrà la sol·licitud en el termini màxim d'un mes.

Així mateix, l'interessat té dret a presentar una reclamació davant l'Agencia Española de Protección de Datos (www.aepd.es) si considera que els seus drets no han estat degudament atesos.

9. Mesures de seguretat

Wavaily aplica les mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc, incloent-hi:

• Xifrat de contrasenyes i dades sensibles en trànsit (TLS) i en repòs.
• Polítiques de seguretat a nivell de fila (Row Level Security) a la base de dades, garantint que cada clínica només accedeix a les seves pròpies dades.
• Capçaleres de seguretat HTTP (HSTS, CSP, X-Frame-Options).
• Autenticació segura mitjançant tokens JWT amb expiració controlada.

10. Cookies

La Plataforma utilitza cookies estrictament necessàries per al funcionament del servei (autenticació de sessió). No s'utilitzen cookies amb finalitats publicitàries o de rastreig de tercers.

Per a més informació sobre les cookies utilitzades, podeu consultar la configuració del vostre navegador.

11. Relació entre Wavaily i les clíniques

A l'efecte del RGPD, Wavaily actua com a encarregat del tractament respecte a les dades de pacients que les clíniques gestionen a través de la Plataforma. Cada clínica és responsable del tractament de les dades dels seus pacients i ha de disposar de la seva pròpia base jurídica per a aquest tractament (consentiment del pacient, execució de contracte de prestació de serveis sanitaris, etc.).

Les condicions d'aquesta relació d'encàrrec de tractament es regulen en el contracte de prestació de serveis subscrit entre Wavaily i cada clínica.

12. Modificacions

Wavaily es reserva el dret de modificar la present Política de Privacitat per adaptar-la a novetats legislatives o jurisprudencials. En cas de canvis substancials, es notificarà als usuaris registrats per correu electrònic amb una antelació mínima de 15 dies.