Política de Privacidad

1. Los roles: quién es responsable de tus datos

Si eres paciente de una clínica o consultorio que usa Tavelu: ese establecimiento es el responsable de tus datos — él decide registrarlos y usarlos para atenderte. Nosotros somos el encargado: tratamos tus datos únicamente por cuenta del establecimiento, para que la plataforma funcione. Los derechos sobre tus datos los ejerces ante quien te atiende; nosotros lo ayudamos a cumplir.

Si eres usuario de la plataforma (personal médico o administrativo del establecimiento) o visitante, nosotros somos responsables de los datos de tu cuenta o de tu contacto comercial.

2. Qué datos se tratan — incluidos datos de salud

• Si eres paciente: identificación y contacto (nombres, cédula, teléfono, correo, dirección, fecha de nacimiento, género, contacto de emergencia), citas, y el registro clínico que el establecimiento lleva sobre tu atención: alergias, medicación, antecedentes, grupo sanguíneo, signos vitales, notas clínicas, recetas, certificados, vacunas, estudios y fotos o documentos médicos, seguro médico, pagos registrados (monto y método; no guardamos datos de tarjetas), y tus mensajes de WhatsApp con el asistente del establecimiento.
• Si eres usuario del establecimiento: nombre, correo, teléfono, rol y actividad en el sistema.
• Si eres visitante o contacto comercial: los datos que nos envías por WhatsApp o formularios.

Gran parte de esta información son datos de salud: una categoría especial bajo la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador (Arts. 25, 26, 30 y 31). Se tratan con protección reforzada, bajo el deber de confidencialidad y el secreto profesional del personal de salud que te atiende.

3. Para qué se usan

Exclusivamente para que el establecimiento que te atiende gestione su servicio: agendar y recordarte citas por WhatsApp, comunicarse contigo, llevar tu registro clínico y administrar su operación. Nunca vendemos datos, nunca los usamos para publicidad, y nunca los usamos para entrenar modelos de inteligencia artificial.

4. Inteligencia artificial

La plataforma incluye funciones de IA que ayudan al establecimiento a organizarse (por ejemplo, resúmenes de actividad y asistencia interna al personal). Estas funciones procesan la información a través de la API del proveedor OpenAI, cuyos términos establecen que los datos enviados por API no se usan para entrenar sus modelos, y que pueden retenerse de forma transitoria y limitada (hasta 30 días) para monitoreo de abuso. La IA solo asiste: las decisiones sobre tu atención las toma siempre el personal de salud.

5. Dónde se guardan los datos y quién más los procesa

Usamos proveedores tecnológicos de primer nivel, algunos ubicados en Estados Unidos:

• Supabase — base de datos y archivos (cifrados)
• Vercel — alojamiento de la aplicación
• OpenAI — funciones de inteligencia artificial
• Meta (WhatsApp) — mensajería con el establecimiento que te atiende
• Upstash — memoria temporal del asistente de WhatsApp
• Resend — correos del sistema (invitaciones y avisos de cuenta)

Esos proveedores están en Estados Unidos, un país que la autoridad ecuatoriana no ha declarado con nivel adecuado de protección de datos. Te lo decimos con todas las letras porque la ley exige informarlo: significa que, una vez allá, tus datos no quedan cubiertos por una declaratoria de equivalencia con la protección ecuatoriana.

La transferencia se ampara en el artículo 60 de la LOPDP: es necesaria para ejecutar la atención que contrataste con el establecimiento (numeral 4) —sin ella no habría agenda, ni recordatorios, ni registro clínico— y, cuando registras tu consentimiento, lo das informado de lo anterior (numeral 2).

Además, y como refuerzo, cada proveedor tiene firmado con nosotros un acuerdo de tratamiento de datos que lo obliga contractualmente a proteger la información, a usarla solo por nuestra cuenta y a no destinarla a fines propios.

6. Cómo se protegen

Aislamiento de la información de cada establecimiento, cifrado en tránsito y en reposo, control de acceso por roles (cada usuario ve solo lo que su función requiere), enlaces de archivos de corta duración, autenticación firmada entre componentes del sistema, respaldos periódicos y auditorías de seguridad internas.

7. Cuánto tiempo se conservan

Los datos de contacto, mientras el establecimiento mantenga su cuenta activa. El registro clínico (historia clínica) tiene además una conservación obligatoria por la normativa de salud del Ecuador (Reglamento de la Historia Clínica Única del Ministerio de Salud Pública): archivo activo de 5 años desde la última atención y archivo pasivo de 10 años adicionales — 15 años en total. Ese plazo también protege tu derecho a reclamar por tu atención.

8. Tus derechos

Bajo la LOPDP tienes derecho a acceder, rectificar, actualizar, eliminar, oponerte al tratamiento y solicitar la portabilidad de tus datos, entre otros. Los ejerces directamente ante el establecimiento que te atiende (el responsable); la plataforma le da las herramientas — puede entregarte una copia completa de tus datos y registro clínico, o atender tu solicitud de eliminación.

Sobre la eliminación: al pedirla, el establecimiento suprime de inmediato tus datos de contacto y deja de comunicarse contigo. Tu historia clínica se conserva únicamente durante el plazo de retención que exige la normativa de salud (Art. 18 núm. 2 de la LOPDP); vencido ese plazo, se elimina o anonimiza por completo.

Usuarios y contactos comerciales: escríbenos a soporte@jwautomatizations.com. Si consideras que tus derechos no fueron atendidos, puedes acudir a la Superintendencia de Protección de Datos Personales del Ecuador.

9. Menores de edad

Los datos de pacientes menores de edad son registrados por el establecimiento con el consentimiento de sus representantes legales, conforme a la LOPDP.

10. Cambios a esta política

Publicaremos las actualizaciones en esta misma página con su fecha. Los cambios relevantes se avisarán dentro de la plataforma.