Política de privacidad

Escriba (en adelante, «nosotros», «el servicio») opera el software disponible en escriba.app y es responsable del tratamiento de los datos personales descritos en este documento, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD).

1. Responsable del tratamiento

Denominación: Escriba
Email de contacto: privacidad@escriba.app
Dirección: España

2. Datos que recogemos

2.1 Datos de cuenta y clínica

Al registrarte recopilamos tu nombre, dirección de correo electrónico y, opcionalmente, el nombre y logotipo de tu clínica. Estos datos son necesarios para crear y gestionar tu cuenta.

2.2 Datos de pacientes (categorías especiales)

Como responsable de tu propia clínica, introduces en Escriba datos personales de tus pacientes: nombre, apellidos, fecha de nacimiento, teléfono, email y, en el contexto de las consultas, datos de salud (transcripciones e informes clínicos).

Todos los campos sensibles se cifran con AES-256-GCM antes de almacenarse en la base de datos. Escriba actúa como encargado del tratamiento respecto a los datos de tus pacientes; tú eres el responsable ante ellos. El Acuerdo de Encargado del Tratamiento (DPA) forma parte de nuestros Términos y Condiciones.

2.3 Datos de uso y técnicos

Registramos logs de acceso (IP, user-agent, timestamp) por razones de seguridad y un registro de auditoría inmutable de las operaciones realizadas en datos clínicos.

2.4 Datos de facturación

Los datos de pago (número de tarjeta, titular) son gestionados exclusivamente por Stripe. Escriba solo almacena los identificadores de cliente y suscripción de Stripe; nunca almacenamos datos de tarjeta.

3. Finalidades y base jurídica

Prestación del servicio: Art. 6.1.b RGPD (ejecución de un contrato). Incluye la transcripción de consultas y generación de informes con IA.
Facturación y gestión de suscripciones: Art. 6.1.b (contrato) y Art. 6.1.c (obligación legal contable).
Seguridad y prevención de fraude: Art. 6.1.f (interés legítimo).
Datos de salud de pacientes: Art. 9.2.h RGPD (fines de medicina preventiva, asistencia sanitaria) + tu calidad de profesional sanitario bajo obligación de secreto.
Comunicaciones de producto: Art. 6.1.f (interés legítimo) o consentimiento cuando se requiera.

4. Encargados del tratamiento (subprocesadores)

Para prestar el servicio contamos con los siguientes subprocesadores, todos con medidas de seguridad adecuadas y cláusulas contractuales estándar (CCE) para transferencias fuera del EEE:

Supabase Inc. (EE. UU.) — infraestructura de base de datos y autenticación. Datos alojados en región EU (Frankfurt).
OpenAI OpCo, LLC (EE. UU.) — transcripción de audio (Whisper) y generación de informes (GPT-4o). El audio y las transcripciones se envían cifrados en tránsito y no se usan para entrenar modelos (API enterprise).
Stripe, Inc. (EE. UU.) — procesamiento de pagos.
Resend, Inc. (EE. UU.) — envío de emails transaccionales.
Sentry, Inc. (EE. UU.) — monitorización de errores. No se envían datos de pacientes a Sentry.

5. Plazos de conservación

Datos de cuenta: mientras la cuenta esté activa y durante 5 años tras la baja (obligaciones fiscales y legales).
Datos clínicos de pacientes: conforme a la legislación sanitaria española (mínimo 5 años desde el último acto asistencial, según la Ley 41/2002).
Logs de auditoría: 5 años.
Datos de facturación: 6 años (Código de Comercio).

6. Tus derechos

Como interesado puedes ejercer en cualquier momento los siguientes derechos enviando un email a privacidad@escriba.app con copia de tu documento de identidad:

Acceso: conocer qué datos tratamos sobre ti.
Rectificación: corregir datos inexactos.
Supresión («derecho al olvido»): eliminar tus datos cuando no sean necesarios para la finalidad para la que se recogieron.
Portabilidad: recibir tus datos en formato estructurado y legible por máquina.
Limitación del tratamiento: solicitar que suspendamos el uso de tus datos en determinadas circunstancias.
Oposición: oponerte al tratamiento basado en interés legítimo.
Decisiones automatizadas: solicitar intervención humana en decisiones basadas exclusivamente en tratamiento automatizado.

Si consideras que tu solicitud no ha sido atendida correctamente, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

7. Seguridad

Implementamos medidas técnicas y organizativas apropiadas para proteger tus datos: cifrado AES-256-GCM para datos de salud, HTTPS con HSTS, autenticación multifactor disponible, control de acceso por roles, registros de auditoría inmutables y copias de seguridad cifradas.

8. Transferencias internacionales

Algunos subprocesadores están establecidos en EE. UU. Las transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914) y, cuando aplica, en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework).

9. IA y decisiones automatizadas

Escriba utiliza modelos de inteligencia artificial para transcribir consultas y generar borradores de informes clínicos. Estos borradores son siempre revisados y validados por el profesional sanitario antes de su uso. Escriba no toma decisiones clínicas automatizadas con efectos jurídicos o significativos sobre los pacientes (Art. 22 RGPD). La responsabilidad clínica recae íntegramente en el profesional sanitario que usa el servicio.

10. Cookies

Utilizamos cookies para el funcionamiento del servicio. Consulta nuestra Política de Cookies para más información.

11. Modificaciones

Podemos actualizar esta política. Cuando los cambios sean sustanciales, te lo notificaremos por email con al menos 15 días de antelación. El uso continuado del servicio tras esa fecha implica la aceptación de la nueva política.