Política de privacidad y protección de datos

1. Responsable del tratamiento

• Denominación social: Score Life S.L.
• Nombre comercial: Klaux
• CIF/NIF: B88343348
• Domicilio: Calle La Masó, 8, Piso 2, Puerta B, 28034, Madrid, España, 28034 Madrid (Madrid), España
• Canal de privacidad: moc.esaluger@xualk.aloh
• Delegado de Protección de Datos (DPD): moc.esaluger@xualk.aloh

2. Reparto de roles: responsable y encargado

Klaux interviene con dos roles distintos:

• Responsable: de los datos de la cuenta, facturación, navegación y uso del sitio.
• Encargado del tratamiento (art. 28 RGPD): de los datos de los pacientes o clientes que el centro o profesional introduce en la plataforma. En ese caso, el responsable es el propio centro o profesional, que decide sobre finalidades, categorías y conservación conforme a la Ley 41/2002 y su normativa sectorial.

3. Categorías de datos tratados

• Datos identificativos y de contacto: nombre, apellidos, NIF/NIE, correo electrónico y teléfono/WhatsApp.
• Datos de la cuenta y facturación: razón social, NIF/CIF, dirección fiscal y datos de suscripción.
• Datos de firma y evidencias: trazo de firma, código OTP, dirección IP, agente de usuario, marca temporal y hash criptográfico SHA-256.
• Datos de categoría especial (art. 9 RGPD): datos de salud y datos de imagen de los pacientes, tratados por cuenta del responsable clínico cuando este los incorpora a un consentimiento. Se cifran en reposo.
• Datos de menores: identificados a efectos de obtener el consentimiento del representante legal cuando corresponda.

4. Finalidades y bases de legitimación

• Prestación del servicio (art. 6.1.b RGPD): alta, gestión de consentimientos, envío de enlaces y custodia de evidencias.
• Firma electrónica y evidencias (art. 6.1.b y 6.1.c): conforme al Reglamento (UE) 910/2014 (eIDAS) y la Ley 6/2020.
• Obligaciones legales (art. 6.1.c): conservación de facturas y atención a requerimientos judiciales o administrativos.
• Interés legítimo de seguridad (art. 6.1.f): prevención de accesos no autorizados y verificación de integridad.
• Consentimiento (art. 6.1.a y 9.2.a): para datos de categoría especial y comunicaciones no necesarias. Revocable en cualquier momento.

5. Menores de edad

En el ámbito sanitario, los mayores de 16 años prestan su propio consentimiento (art. 9.4 de la Ley 41/2002); por debajo de esa edad, o cuando el menor no sea capaz de comprender el alcance de la intervención, lo otorga su representante legal, oyendo su opinión a partir de los 12 años. Para servicios de la sociedad de la información, la edad de consentimiento digital es de 14 años (art. 7 LOPDGDD). El tratamiento de la imagen de menores exige el consentimiento de su representante legal cuando no tengan madurez suficiente, con las garantías de la Ley Orgánica 1/1982.

6. Destinatarios y transferencias internacionales

No cedemos datos a terceros con fines comerciales. Acceden a los datos, como encargados y con contrato conforme al artículo 28 del RGPD: el proveedor de alojamiento en la Unión Europea, el proveedor de correo transaccional (Mailrelay), los proveedores de SMS/OTP (Twilio o Vonage) y la pasarela de pago (Stripe). Puedes consultar el detalle en Subencargados del tratamiento.

Algunos proveedores pueden implicar transferencias internacionales, que se amparan en decisiones de adecuación, el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo de la Comisión Europea con medidas suplementarias. También podrán comunicarse datos a Juzgados y Administraciones cuando exista obligación legal.

7. Conservación y bloqueo

Los datos de la cuenta se conservan mientras esté activa y, tras la baja, quedan bloqueados a disposición de jueces, tribunales y Administraciones durante los plazos de prescripción (art. 32 LOPDGDD):

• 4 años: obligaciones fiscales y tributarias (Ley 58/2003).
• 5 años: documentación clínica desde el alta del proceso asistencial (art. 17 Ley 41/2002).
• 5 años: acciones personales derivadas de obligaciones contractuales (art. 1964 Código Civil).
• 6 años: libros y documentación comercial (art. 30 Código de Comercio).

Los consentimientos informados y sus evidencias se conservan por cuenta del responsable clínico durante el plazo que le exija su normativa sectorial, que puede ser superior (hasta 15 años o más según la actividad y la comunidad autónoma).

8. Derechos de las personas

Puedes ejercer gratuitamente los derechos reconocidos en los artículos 15 a 22 del RGPD:

• Acceso (art. 15): conocer qué datos tratamos y obtener copia.
• Rectificación (art. 16): corregir datos inexactos o incompletos.
• Supresión (art. 17): solicitar el borrado, sujeto al bloqueo legal.
• Limitación (art. 18): suspender cautelarmente el tratamiento.
• Portabilidad (art. 20): recibir tus datos en formato estructurado.
• Oposición (art. 21): oponerte a tratamientos basados en interés legítimo.

Si un paciente o cliente del centro desea ejercer sus derechos sobre datos tratados por cuenta del responsable clínico, la solicitud se atenderá a través de dicho responsable.

9. Reclamación ante la autoridad de control

Puedes presentar una reclamación ante la Agencia Española de Protección de Datos:

10. Cookies y tecnologías de terceros

Usamos cookies y almacenamiento local estrictamente necesarios y, solo con tu consentimiento, analítica anónima. Consulta el detalle y gestiona tus preferencias en la Política de cookies.

Configurar mis preferencias de cookies

11. Seguridad de la información

Aplicamos medidas técnicas y organizativas apropiadas: cifrado en tránsito (TLS) y en reposo (AES-256-GCM) de los datos personales, seudonimización mediante índices ciegos para búsquedas, control de acceso por roles, registro de accesos y copias de seguridad cifradas. Las copias de documentos de identidad se almacenan en un disco privado aislado de la web pública y solo son accesibles mediante sesión o token activo.

Nota de cumplimiento: este texto es un borrador legal que debe ser revisado y validado por un profesional del Derecho antes de su publicación en producción.