Política de privacidad

1. Quiénes somos

Hipocampos es un sistema web para consultorios de psicología: expediente, agenda, formularios, informes y cobros. Lo opera José Rosario, con domicilio en Calle Curazao #82, Alma Rosa I, Santo Domingo Este, República Dominicana. Para cualquier asunto de privacidad escribe a jrosariocabrera@gmail.com.

En este sistema participan dos clases de responsabilidad sobre los datos, y conviene distinguirlas:

• El consultorio (la psicóloga o el psicólogo, o el centro que contrata Hipocampos) es el responsable de los datos de sus pacientes: decide qué se recoge, para qué y por cuánto tiempo. Hipocampos actúa como encargado del tratamiento: guarda y procesa esos datos por cuenta y siguiendo las instrucciones del consultorio, y no los usa para nada más.
• Hipocampos es responsable únicamente de los datos de las cuentas de usuario (quien entra al sistema) y de los datos de contratación y facturación de la suscripción.

2. Qué datos tratamos

Según quién eres, tratamos estos datos:

• Usuarios del sistema (titulares, profesionales y asistentes): nombre, correo electrónico, rol, contraseña (guardada de forma que nadie, ni nosotros, puede leerla), el segundo factor de autenticación y el registro de tus accesos y acciones dentro del sistema.
• Pacientes (los registra el consultorio, no Hipocampos): datos de identificación y contacto, datos del expediente clínico, formularios, resultados de pruebas, notas, informes, citas y cobros. Son datos de salud, es decir, datos sensibles.
• Personas que responden por un enlace (por ejemplo, un tutor, un docente o quien firma a distancia): las respuestas que da en el formulario o la firma que emite, vinculadas al expediente del paciente por el consultorio.
• Contratación: datos del consultorio y de la suscripción. El pago lo procesa un tercero (Stripe); Hipocampos no guarda números de tarjeta.
• Datos técnicos mínimos para que el servicio funcione y sea seguro: dirección IP, tipo de navegador y marcas de tiempo de las peticiones.

3. Para qué los usamos y con qué base

• Prestar el servicio al consultorio y a sus usuarios (ejecución del contrato).
• Seguridad y trazabilidad: autenticación con segundo factor, bitácora de accesos y cambios, prevención de abusos y de accesos no autorizados (interés legítimo y obligación de proteger datos de salud).
• Cumplir obligaciones legales, por ejemplo de conservación y de atención de derechos.
• Cobrar la suscripción y emitir comprobantes (ejecución del contrato y obligaciones fiscales).
• Comunicaciones del servicio: invitaciones, recuperación de contraseña, recordatorios de cita y avisos de cuenta. Estos mensajes no contienen datos clínicos: solo lo administrativo (fecha, hora y consultorio).
• Inteligencia artificial: está apagada por defecto. Solo se enciende si el consultorio la activa y, para cada paciente, únicamente con su consentimiento, con datos seudonimizados. La IA solo propone borradores; no puntúa, no diagnostica ni decide el riesgo. Una profesional siempre revisa y firma.

No vendemos datos, no hacemos publicidad con ellos ni los usamos para entrenar modelos de inteligencia artificial.

4. Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas proporcionales al carácter sensible de los datos de salud:

• Conexión cifrada (HTTPS) en toda la aplicación.
• Cifrado por campo de los contenidos clínicos más sensibles, con una llave propia por consultorio.
• Aislamiento entre consultorios a nivel de base de datos: un consultorio no puede leer ni escribir los datos de otro.
• Acceso con segundo factor obligatorio y control de quién ve cada expediente según su rol.
• Bitácora de solo inserción de lecturas, cambios, exportaciones e impresiones de datos clínicos.
• Los documentos firmados son inmutables: se corrigen con una adenda o una versión nueva, nunca se editan.
• Respaldos cifrados de la base y de los archivos, con la clave de cifrado guardada aparte.
• Los correos, los registros técnicos y los mensajes de error no llevan datos clínicos.

Ningún sistema es invulnerable. Si ocurre un incidente que afecte datos personales, lo comunicaremos al consultorio y a las personas afectadas, y a la autoridad competente cuando la ley lo exija, sin demora indebida.

5. Con quién los compartimos (subencargados)

Para operar el servicio usamos proveedores que procesan datos por nuestra cuenta, bajo sus propios compromisos de seguridad:

• Supabase: base de datos, autenticación y almacenamiento de archivos (Estados Unidos).
• Cloudflare: entrega de la web, protección contra abusos y túnel de conexión con nuestro servidor.
• Oracle Cloud Infrastructure (OCI): servidor donde corre el motor de procesamiento (Estados Unidos).
• Resend: envío de correos del servicio.
• Stripe: cobro de la suscripción.
• GitHub: alojamiento del código y almacenamiento temporal de respaldos ya cifrados.

Algunos de estos proveedores están fuera de la República Dominicana, por lo que los datos pueden transferirse internacionalmente. Esas transferencias se limitan a lo necesario para prestar el servicio. Si el consultorio activa la inteligencia artificial, el proveedor de IA que use se informará en su configuración y en el consentimiento del paciente. No compartimos datos con otros terceros salvo obligación legal o autorización.

6. Cuánto tiempo los conservamos

Los expedientes clínicos se conservan por el plazo que fije la ley y la configuración del consultorio; por defecto, 10 años desde el último registro, y el sistema no permite borrarlos antes. No se eliminan de forma automática.

Los datos de las cuentas de usuario se conservan mientras la cuenta esté activa y, después, solo el tiempo necesario por razones de seguridad, fiscales o legales.

Los respaldos se conservan un periodo limitado y están cifrados.

7. Tus derechos

Puedes ejercer, conforme a la Ley núm. 172-13 sobre Protección Integral de los Datos Personales y su normativa, los derechos de acceso, rectificación, cancelación (supresión) y oposición, y retirar un consentimiento que hayas dado.

Si eres paciente, solicita el ejercicio de tus derechos a tu consultorio: es el responsable de tu expediente. Hipocampos le dará las herramientas para atenderlo.

Si eres usuario del sistema, escribe a jrosariocabrera@gmail.com indicando qué derecho quieres ejercer. Te responderemos dentro de los plazos legales. Si no estás conforme, puedes acudir a la autoridad competente en materia de protección de datos.

8. Menores de edad

Los datos de niños, niñas y adolescentes los registra el consultorio, que debe contar con el consentimiento de sus padres, madres o tutores y, cuando corresponda, con el asentimiento del menor. Hipocampos no se dirige a menores ni les abre cuentas.

9. Cookies

Usamos solo cookies estrictamente necesarias y no usamos cookies de publicidad ni de análisis. Los detalles están en la Política de cookies.

10. Cambios en esta política

Podemos actualizar esta política. Publicaremos la versión vigente en esta página, con su fecha y número de versión, y avisaremos a los consultorios cuando el cambio sea importante.

11. Contacto

José Rosario · Calle Curazao #82, Alma Rosa I, Santo Domingo Este, República Dominicana · jrosariocabrera@gmail.com