Política de Privacidad

1. Quiénes somos (Responsable del Tratamiento)

Esta Política se aplica al tratamiento de datos personales realizado en el ámbito de la plataforma Curas, accesible en curas.app ("Curas", "Plataforma", "nosotros"). La Plataforma es operada por Dalbott Lda.

Identificación del Responsable del Tratamiento (art. 4, apdo. 7 y art. 13, apdo. 1, letra a), RGPD):

Delegado de Protección de Datos (DPD): designado en los términos del art. 37, apdo. 1, letra c), RGPD, en articulación con el art. 34 de la LOPDGDD (Ley Orgánica 3/2018), por tratar datos de salud a gran escala cuando los interesados revelen información clínica a través de la Plataforma. El DPD de Dalbott Lda. es Raquel Rodrigues. Todas las comunicaciones relativas a la protección de datos deben dirigirse a dpo@curas.app.

Naturaleza de la Plataforma: Curas opera como marketplace de intermediación entre terapeutas y clientes finales. Curas NO es prestadora de asistencia sanitaria. Los actos terapéuticos son realizados exclusivamente por los terapeutas, fuera de la Plataforma, bajo su responsabilidad exclusiva.

2. Principio general

Esta Política existe para cumplir el deber de transparencia impuesto por los artículos 12, 13 y 14 del RGPD. Nos comprometemos a:

• Tratar solo los datos estrictamente necesarios para cada finalidad (minimización, art. 5.1.c).
• Tratar los datos de forma lícita, leal y transparente (art. 5.1.a).
• Conservar los datos únicamente durante el tiempo necesario (limitación del plazo de conservación, art. 5.1.e).
• Proteger los datos con medidas técnicas y organizativas adecuadas (integridad y confidencialidad, art. 5.1.f).
• Poder demostrar el cumplimiento (responsabilidad proactiva, art. 5.2).

Si algún punto te suscita dudas, contáctanos en privacy@curas.app.

3. Qué datos recogemos

3.1. Terapeutas (usuarios profesionales suscriptores)

3.2. Clientes (usuarios finales)

3.3. Visitantes (no registrados)

4. Con qué fines y con qué bases legales

Curas solo trata datos personales cuando existe una base legal válida en los términos del art. 6 RGPD (y, para datos de salud, del art. 9.2).

Nota sobre el interés legítimo: siempre que invocamos el art. 6.1.f, efectuamos y documentamos una ponderación (LIA — Legitimate Interests Assessment) conforme a las directrices del CEPD. Tienes derecho a oponerte a este tratamiento en los términos del art. 21 RGPD — ver §11.

5. Datos de salud (art. 9 RGPD)

Los datos de salud son una categoría especial (art. 9.1 RGPD) con protección reforzada (art. 4.15 + Considerando 35).

5.1. Contextos en los que Curas puede tratar datos de salud

Curas no recoge activamente datos de salud. No obstante, pueden surgir en:

• Mensajes entre Cliente y Terapeuta (síntomas, condiciones, motivos de consulta);
• Reseñas públicas (referencia a la condición que motivó la consulta);
• Campo "motivo de la consulta" en la reserva;
• Contenido de ofertas promocionales (Premium) con referencia a patologías.

5.2. Base legal: consentimiento explícito (art. 9.2.a)

Curas fundamenta el tratamiento de datos de salud revelados en la Plataforma en el consentimiento explícito del interesado (art. 9.2.a RGPD).

No invocamos el art. 9.2.h (prestación de asistencia sanitaria) porque Curas no es prestadora de asistencia — opera como intermediario. La letra h) exige que el responsable sea profesional sanitario o entidad sujeta a secreto profesional, lo que no es el caso.

5.3. Papel del Terapeuta

El Terapeuta es responsable del tratamiento autónomo de los datos clínicos recogidos y procesados fuera de la Plataforma (notas clínicas, historial, plan de tratamiento). Curas no accede ni trata esos datos.

5.4. Medidas reforzadas

• Cifrado en reposo (AES-256) y en tránsito (TLS 1.3) para los mensajes;
• Control de acceso basado en roles (RBAC): solo los intervinientes y un número mínimo de agentes autorizados en casos estrictamente necesarios;
• Registros de acceso a los mensajes con auditoría permanente;
• Avisos contextuales recomendando no compartir datos clínicos sensibles a través de la Plataforma;
• Procedimiento ágil de supresión a petición del interesado (art. 17);
• Evaluación de Impacto relativa a la Protección de Datos (EIPD — art. 35.3.b) obligatoria antes del lanzamiento.

7. Con quién compartimos (encargados del tratamiento)

Todos los encargados del tratamiento (processors, art. 4.8 RGPD) están vinculados por un Contrato de Encargo (DPA) en los términos del art. 28.3 RGPD.

Otros encargados ocasionales:

• Entidad de resolución alternativa de litigios de consumo (art. 24 y ss. Ley 7/2017) — a designar;
• Software de facturación conforme a la normativa española aplicable — a designar antes del cobro de pagos reales;
• Despachos de abogados y asesores fiscales, sujetos a secreto profesional.

Actualizaciones: esta lista se mantiene actualizada. Los cambios de encargados se reflejarán aquí con comunicación previa a los interesados conforme al §14.

8. Transferencias internacionales

Siempre que los datos se transfieren fuera del EEE, Curas garantiza que se cumple una de las condiciones del Capítulo V del RGPD. Instrumentos utilizados:

• Cláusulas Contractuales Tipo (SCC) — Decisión de Ejecución (UE) 2021/914, art. 46.2.c RGPD. Firmadas con cada encargado en un tercer país.
• Marco de Privacidad de Datos UE-EE. UU. (DPF) — Decisión de Adecuación de 10.07.2023, cuando el encargado esté certificado. Aviso: bajo escrutinio judicial, puede ser invalidada (Schrems I C-362/14, Schrems II C-311/18).
• Transfer Impact Assessment (TIA) — evaluación caso por caso de los riesgos a la luz de las Recomendaciones CEPD 01/2020, considerando FISA 702, EO 12333, CLOUD Act y medidas suplementarias.
• Medidas suplementarias técnicas — cifrado en tránsito (TLS 1.3), en reposo (AES-256), seudonimización cuando sea posible.

Se puede facilitar copia de las SCC y del TIA previa petición motivada a privacy@curas.app.

9. Cuánto tiempo conservamos los datos

Aplicamos el principio de limitación del plazo de conservación (art. 5.1.e RGPD). Los datos se conservan únicamente durante el tiempo estrictamente necesario o durante el plazo impuesto por ley.

Tras cada plazo, los datos se eliminan o anonimizan de forma irreversible, según la finalidad (art. 32).

10. Cookies y tecnologías similares

Curas utiliza cookies en los términos del art. 5.3 de la Directiva 2002/58/CE (ePrivacy) y del art. 22 de la Ley 34/2002 (LSSICE).

Banner de consentimiento: mostramos un banner en la primera visita con opciones Aceptar todo / Rechazar todo / Personalizar en igualdad visual, sin dark patterns prohibidos (Directrices CEPD 03/2022 + Guía de Cookies AEPD 2023 + art. 25.3.b DSA). Para más detalles, consulta la Política de Cookies dedicada.

11. Tus derechos

Como interesado, tienes los siguientes derechos (artículos 15 a 22 RGPD):

Cómo ejercer tus derechos

• Correo: privacy@curas.app o dpo@curas.app;
• Plazo de respuesta: hasta 30 días (prorrogables 60d en casos complejos, art. 12.3);
• Gratuidad: el ejercicio es gratuito, salvo peticiones manifiestamente infundadas o excesivas (art. 12.5);
• Verificación de identidad: podemos solicitar elementos para confirmar la identidad (art. 12.6).

Reclamación ante la autoridad de control

12. Seguridad

Curas implementa medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad ajustado al riesgo, en los términos del art. 32 RGPD.

12.1. Medidas técnicas

• Cifrado en tránsito: TLS 1.3;
• Cifrado en reposo: AES-256 para bases de datos y copias de seguridad;
• Autenticación multifactor (MFA) obligatoria para cuentas administrativas;
• Segregación de entornos (dev, staging, producción);
• Principio de mínimo privilegio y RBAC;
• Registro y monitorización continua (SIEM);
• Copias de seguridad cifradas, geográficamente distribuidas, probadas periódicamente;
• Seudonimización de identificadores en analítica;
• Análisis de vulnerabilidades (SAST/DAST) periódicos.

12.2. Medidas organizativas

• Formación obligatoria en protección de datos para el personal;
• Acuerdos de Confidencialidad (NDAs);
• EIPD para tratamientos de alto riesgo (art. 35);
• DPAs (art. 28) con todos los encargados;
• Verificación previa y revisión anual de encargados;
• Procedimiento documentado de respuesta a incidentes.

12.3. Respuesta a violaciones de seguridad (arts. 33 y 34)

• Notificación a la AEPD: en 72 horas tras tener conocimiento, salvo que sea improbable un riesgo para los derechos y libertades (art. 33.1);
• Comunicación a los interesados: cuando la violación implique alto riesgo, sin dilación indebida, en lenguaje claro (art. 34);
• Registro interno: todas las violaciones se registran para la responsabilidad proactiva (art. 33.5);
• Protocolo documentado con fases (0-4h, 4-24h, 24-48h, 48-72h, post-incidente) y playbooks por escenario.

13. Menores

Curas se destina exclusivamente a usuarios con edad igual o superior a 18 años. Esta decisión es más restrictiva que el umbral de 14 años del art. 7 de la LOPDGDD (Ley Orgánica 3/2018) / art. 8 RGPD, y se fundamenta en razones sanitarias:

• Las terapias pueden implicar decisiones sobre la propia salud que exigen plena capacidad;
• Curas no implementa mecanismos de consentimiento parental (art. 8 RGPD) — el requisito de mayoría de edad evita esta complejidad;
• El tratamiento de datos clínicos de menores exige garantías adicionales (Considerando 38).

Procedimiento en caso de detección de un menor: suspensión inmediata de la cuenta y supresión de los datos en 30 días, salvo obligación legal de conservación en contrario. El tutor legal puede contactar con privacy@curas.app para la supresión inmediata en los términos del art. 17.

14. Cambios en la Política

• Notificación: los cambios sustanciales se notifican por correo electrónico con 30 días de antelación;
• Versión anterior: mantenemos públicamente disponibles las versiones anteriores;
• Derecho de rechazo: puedes cancelar la cuenta antes de la entrada en vigor, sin penalización (art. 7.3 RGPD + normativa de consumo TRLGDCU, RDL 1/2007);
• Versión vigente: la publicada en curas.app/privacy, con fecha y versión en el encabezado.

15. Contacto

Para todas las cuestiones sobre protección de datos y privacidad: