Política de privacidad
1. Responsable del tratamiento
Responsable: MEDCORE SOLUTIONS, S.L. (CIF [____]) · Domicilio: Calle Estafeta 25, 28041 Madrid · Email: privacidad@datify.com · Sitio: datify.com
2. Qué datos tratamos y con qué fin
| Finalidad | Datos | Base jurídica |
|---|---|---|
| Registro y gestión de la cuenta | Nombre, email, contraseña, credencial profesional (MIR/EIR) | Ejecución del contrato (art. 6.1.b RGPD) |
| Prestación del servicio Datify | Datos de uso, proyectos y datos de investigación seleccionados por el usuario (seudonimizados) | Ejecución del contrato |
| Facturación y pagos | Datos fiscales e historial de pagos (a través de Stripe) | Obligación legal y contrato |
| Soporte y comunicaciones | Email y contenido de las consultas | Interés legítimo / contrato |
| Marketing y newsletter | Consentimiento (art. 6.1.a) |
3. Datos clínicos, seudonimización y arquitectura
Datify está diseñado bajo los principios de privacidad desde el diseño y por defecto. Antes de que el dato toque el almacenamiento se eliminan los identificadores directos (nombre, historia clínica, DNI, teléfono, correo, dirección) y el identificador de estudio se somete a una anonimización irreversible: no conservamos ni podemos reconstruir la clave que vincula un registro con un paciente. Solo se conservan bases de datos seudonimizadas, en servidor propio de la sociedad.
La plataforma no se integra en los sistemas del hospital: los datos del paciente siguen siendo del paciente y residen en el hospital. Únicamente los datos estructurados seleccionados por el investigador y el servicio se analizan en nuestro servidor; los informes en PDF de origen no se suben ni se conservan. En ningún momento se alojan datos sensibles de pacientes en la plataforma.
La arquitectura es de egress cero: el dato de investigación no sale de nuestro entorno hacia servicios de terceros. La interpretación asistida por modelos de lenguaje se ejecuta en un modelo local, en máquina propia sin conexión a Internet: ningún dato se envía a proveedores de inteligencia artificial externos.
No afirmamos que los datos sean anónimos. En un registro clínico con valor científico, la combinación de cuasi-identificadores (edad, sexo, centro, fechas, diagnóstico) puede permitir identificar a un paciente aunque se hayan eliminado los identificadores directos. Por eso medimos el riesgo de reidentificación (k-anonimato), lo comunicamos al investigador antes de confirmar la carga y proponemos generalizaciones que lo reducen; la valoración y asunción del riesgo residual corresponden al responsable del tratamiento y a su Delegado de Protección de Datos.
4. Conservación
Conservamos los datos mientras la cuenta esté activa y, tras su baja, durante los plazos legales aplicables (entre otros, fiscales y mercantiles). Los proyectos archivados se conservan según el plan contratado.
5. Destinatarios y encargados
Los datos de investigación se procesan en servidor propio de la sociedad sobre infraestructura de Google Cloud, en la región de Madrid (europe-southwest1, España), con arquitectura de egress cero. La base de datos (Supabase) está autoalojada en ese mismo entorno de Google Cloud en España, por lo que el dato no se comunica a Supabase Inc. El proveedor de infraestructura (Google Cloud) actúa como subencargado del tratamiento: aporta capacidad de cómputo y almacenamiento y no accede al contenido. No intervienen otros terceros en el tratamiento del dato de investigación y, en particular, no se emplean proveedores de inteligencia artificial externos.
Sobre datos administrativos, y nunca sobre datos clínicos ni de investigación, intervienen la pasarela de pago (Stripe) y, en su caso, las herramientas de facturación y de envío de boletines. Con todos los subencargados se suscribe el correspondiente encargo de tratamiento y todos operan dentro del Espacio Económico Europeo.
6. Derechos
Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a privacidad@datify.com. Tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
7. Trabajo colaborativo y gobernanza del dato
Datify permite el trabajo colaborativo entre investigadores con gobernanza del dato: control de quién accede a cada proyecto y a qué información, trazabilidad de accesos y permisos diferenciados, de modo que la colaboración no compromete la confidencialidad.
8. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas: eliminación de identificadores directos antes de la persistencia, anonimización irreversible del identificador de estudio, análisis del riesgo de reidentificación, almacenamiento de bases seudonimizadas en servidor propio (Google Cloud, región de Madrid), arquitectura de egress cero, inferencia con modelo de lenguaje local sin conexión externa, cifrado en tránsito y en reposo, autenticación con doble factor, registro de auditoría de accesos, copias de seguridad cifradas y control de acceso por roles. Adicionalmente, los resultados estadísticos se validan contra las bibliotecas de referencia de Python y R.