Política de privacidad del sistema
Última actualización: septiembre de 2026. Se refiere a sistema.nexodia.es, la aplicación que usan los negocios clientes de Nexodia.
Quién es el responsable
Nexodia, con NIF 23297473Z, con domicilio en C/ Frank Capra, 4, Málaga (29010). Puedes escribirnos a soy.victor.alcaraz@gmail.com.
Qué es este sistema y para quién
Nexodia presta un servicio a negocios (ópticas, clínicas y similares) para gestionar su agenda de citas, avisar a sus pacientes por WhatsApp y atender las reseñas de su ficha de Google.
Respecto de los datos de los pacientes, el responsable es el negocio que contrata el servicio. Nexodia actúa como encargado del tratamiento, tratando esos datos únicamente siguiendo sus instrucciones y conforme al contrato de encargo previsto en el artículo 28 del RGPD. Si eres paciente de uno de estos negocios y quieres ejercer tus derechos, dirígete a él; también puedes escribirnos y te pondremos en contacto.
Qué datos tratamos
- De las personas que usan el sistema: nombre, correo electrónico y contraseña cifrada, y el registro de lo que hacen dentro (para poder auditar quién cambió qué).
- De los pacientes del negocio: nombre y apellidos, teléfonos, correo, sus citas, si acudieron o no, cada cuánto quieren el aviso de revisión, si no quieren recibir mensajes, y los mensajes intercambiados por WhatsApp. Estos datos los aporta el propio negocio, desde su programa de agenda o apuntándolos directamente en el sistema. Si el negocio lo activa, también lo que se llevó en cada visita (los productos y el número e importe del ticket de su caja, que Nexodia no emite) y las notas clínicas que escribe su equipo.
- De quien completa un test en la web del negocio: nombre, teléfono, correo si lo deja, y sus respuestas.
Algunos de estos datos, como el motivo de una cita de audiología, pueden revelar información sobre la salud. Se tratan por cuenta del negocio, en el marco de la asistencia sanitaria que presta, y con las medidas reforzadas que eso exige.
Notas clínicas
En los negocios que lo activan, su equipo puede escribir notas clínicas de cada paciente y de cada visita, por ejemplo una graduación o el resultado de una prueba. Son historia clínica y datos de salud. El responsable es el negocio, que las trata para prestar la asistencia sanitaria (art. 9.2.h del RGPD); Nexodia las guarda por su cuenta, como encargado, con estas garantías:
- Se guardan cifradas con AES-256, con una llave propia distinta de la del resto de datos.
- Solo las abren las personas del negocio a las que el dueño se lo permite, y además con un código de verificación en dos pasos.
- Queda registrado quién las abre, las escribe, las anula o las saca en PDF, y cuándo.
- No se borran: corregir una nota guarda el texto que tenía antes, y quitarla es anularla con un motivo. Se conservan como mínimo el plazo que marca la Ley 41/2002.
- Nexodia no las lee, y nunca se envían a ningún servicio de inteligencia artificial.
- El paciente puede pedir al negocio una copia de su historia en PDF.
Datos de Google
Cuando un negocio conecta su cuenta de Google desde dentro del sistema, le pedimos permiso para lo siguiente, y para nada más:
business.manage— leer las reseñas de su ficha de Google y publicar las respuestas que él aprueba. También leer el nombre y la dirección de sus fichas, para que pueda elegir cuál es la suya.contacts— crear y actualizar en su libreta de contactos las fichas de sus pacientes, para que al recibir una llamada aparezca el nombre. Solo se tocan los contactos que crea el propio sistema.
El uso que Nexodia hace de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos los requisitos de Uso Limitado.
En concreto: esos datos no se usan para publicidad, no se venden, no se ceden a terceros, no se emplean para entrenar modelos generales de inteligencia artificial, y ninguna persona los lee salvo que sea imprescindible para resolver una incidencia que el propio negocio nos haya comunicado, por seguridad, o por obligación legal.
Los tokens de acceso se guardan cifrados. El negocio puede revocar el permiso cuando quiera, desde los ajustes del sistema o desde la página de permisos de su cuenta de Google. Al revocarlo dejamos de acceder a nada de forma inmediata.
Con quién se comparten
Solo con los proveedores necesarios para prestar el servicio, todos con contrato de encargo:
- Hostinger, donde se alojan el sistema y la base de datos (Europa).
- Google, para las reseñas y los contactos, solo si el negocio lo conecta.
- OpenAI, que redacta los borradores de respuesta a reseñas y los informes de los tests. Se le manda el texto necesario y no se usa para entrenar sus modelos.
- ElevenLabs, que pasa a texto las notas de voz que un paciente manda por WhatsApp, para poder leerlas (Estados Unidos).
- SiteGround, para el correo de avisos y para la copia de las citas que se manda cada noche al correo del negocio, por si el sistema no responde.
No se venden datos a nadie, ni se ceden para publicidad.
Cuánto tiempo se guardan
Mientras el negocio sea cliente. Al terminar la relación, sus datos se le entregan si los pide y se borran en un plazo de 90 días, salvo lo que haya que conservar por obligación legal. Las notas clínicas se le entregan completas al negocio, que es quien debe conservarlas. Las copias de seguridad se rotan y las más antiguas se destruyen a las ocho semanas.
Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a soy.victor.alcaraz@gmail.com. Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
Seguridad
Todo el tráfico va cifrado. Las contraseñas se guardan con un resumen criptográfico y nunca en claro. Las credenciales de servicios externos se guardan cifradas con AES-256. Las notas clínicas van cifradas con su propia llave, se abren con verificación en dos pasos y cada acceso queda registrado. Se hacen copias de seguridad diarias, y se comprueba que se pueden restaurar.