Política de Privacidad de dalia

Los datos personales tratados a través de dalia (en adelante, "la Plataforma", accesible en imdalia.com) son responsabilidad de:

• Titular: Daniel Rodríguez Romero
• NIF: 48651695-W
• Domicilio: C/ Francisco Martínez Mirete, 8, Planta 1, Pta. I, 30400 Caravaca de la Cruz (Murcia), España
• Correo de contacto: contacto@imdalia.com

dalia es una plataforma de gestión para profesionales y clínicas de fisioterapia y psicología (agenda, fichas de pacientes, ejercicios pautados, documentos, facturación, cobros y comunicación con pacientes). Por su propia naturaleza, dalia trata datos personales de dos tipos de personas distintas, con un papel legal distinto en cada caso:

a) Profesionales y clínicas que contratan dalia (en adelante, "el profesional" o "la empresa"). Respecto a estos datos —los necesarios para crear la cuenta, facturar el servicio y gestionar el equipo— dalia es responsable del tratamiento, y esta política describe cómo los trata.

b) Pacientes de esos profesionales, cuyos datos son introducidos en la Plataforma por el profesional o por el propio paciente a través del portal del paciente. Respecto a estos datos, dalia actúa como encargado del tratamiento (art. 28 RGPD), tratándolos únicamente siguiendo las instrucciones del profesional o clínica correspondiente, que es quien decide qué datos recoger y con qué finalidad, y quien responde frente al paciente como responsable del tratamiento. Si eres paciente de una clínica que usa dalia, para ejercer tus derechos o resolver dudas sobre tus datos debes dirigirte primero a tu clínica o profesional; dalia colabora con ellos para atender esas solicitudes conforme al contrato de encargo de tratamiento suscrito entre ambos.

3.1 Del profesional / la empresa (dalia como responsable)

• Datos de cuenta: nombre, correo electrónico, contraseña (almacenada de forma cifrada).
• Datos fiscales: NIF, razón social, dirección fiscal, IVA — necesarios para emitir facturas del servicio.
• Datos de cobro de la suscripción a dalia: los necesarios para gestionar el pago del propio servicio.
• IBAN y datos de Bizum del profesional, si este activa el cobro a sus pacientes por transferencia o Bizum: a diferencia de los cobros online gestionados por Stripe (donde dalia no ve ni guarda datos bancarios), estos datos sí se almacenan en la base de datos de dalia, porque su finalidad es mostrárselos al profesional y, cuando corresponda, a sus pacientes, para que puedan hacer la transferencia o el Bizum correspondiente.
• Datos del equipo: si el profesional invita a otros compañeros, sus nombres y correos electrónicos.
• Datos de uso de la Plataforma: configuración, preferencias, registros técnicos de acceso.

3.2 De los pacientes (dalia como encargado del tratamiento, por cuenta del profesional)

Según los módulos que active cada profesional, la Plataforma puede almacenar:

• Datos identificativos y de contacto del paciente (nombre, teléfono, correo).
• Datos de salud, considerados categoría especial de datos por el artículo 9 del RGPD: evaluaciones, mapa corporal y tipos de dolor, ejercicios pautados y su seguimiento (series, repeticiones, peso, progresión), historial de sesiones, documentos clínicos y notas del profesional.
• Datos de citas: fecha, hora, ubicación de la cita.
• Datos de facturación del paciente, cuando el profesional emite factura a su nombre.
• Datos de las llamadas atendidas por el asistente telefónico con IA, si el profesional lo activa: el número desde el que se llama, el nombre y apellidos que da la persona y los datos de la cita que pide, cambia o cancela. dalia no graba ni conserva el audio de las llamadas: el audio se procesa en tiempo real por los proveedores indicados en el apartado 6, y pueden quedar registros técnicos temporales con el texto de la conversación con fines de seguridad y depuración.
• Textos, dictados de voz y documentos (por ejemplo, informes) que el profesional o el paciente aportan para que el asistente de inteligencia artificial los transcriba, resuma o convierta en datos de la ficha. Solo se envían al proveedor de IA para realizar esa tarea concreta.
• Registros de fichaje horario (entradas y salidas) del equipo del profesional, si activa ese módulo.
• Un token de sesión de acceso al portal del paciente, que permite al paciente consultar su ficha, su historial de ejercicios y sus documentos sin necesidad de una cuenta con contraseña propia.

dalia no decide qué datos de pacientes se recogen ni para qué se usan más allá de prestar el servicio: esa decisión corresponde a cada profesional o clínica, que debe informar a sus pacientes y contar con la base legal adecuada (habitualmente el consentimiento del paciente o la propia relación asistencial) para tratar sus datos de salud.

• Prestar el servicio de gestión clínica contratado por el profesional: agenda, fichas de pacientes, ejercicios, documentos, facturación y cobros.
• Gestionar el alta, autenticación y sesión de las cuentas de profesionales y de pacientes (incluido el control de sesión única por dispositivo).
• Facturar la suscripción al servicio.
• Sincronizar, si el profesional lo activa voluntariamente, la agenda de dalia con su Google Calendar personal.
• Gestionar cobros online de citas y facturas a pacientes, si el profesional activa esta función.
• Ofrecer funciones de asistencia con inteligencia artificial (asistente Lía, transcripción de dictados, ayuda para rellenar fichas y escalas) y atender, si el profesional lo activa, llamadas telefónicas con un asistente de IA para dar, cambiar o cancelar citas. Los cambios de cita pedidos por teléfono solo se aplican cuando el paciente los confirma desde el correo que dejó en su reserva.
• Enviar los correos propios del servicio (confirmaciones, avisos y recordatorios de citas, restablecimiento de contraseña, invitaciones al equipo).
• Realizar copias de seguridad cifradas de los datos de cada cuenta, para poder recuperarlos ante un fallo.
• Remitir a la Agencia Tributaria los registros de facturación (Veri*Factu) cuando el profesional active esa función, para cumplir la obligación legal que le corresponde.
• Generar el mensaje y enlace de recordatorio de cita que el profesional puede enviar por WhatsApp; dalia únicamente prepara ese mensaje, y es el profesional quien decide enviarlo desde su propio WhatsApp — dalia no envía el mensaje automáticamente ni accede a la cuenta de WhatsApp del profesional o del paciente.
• Atender consultas de soporte y comunicaciones necesarias sobre el servicio.
• Cumplir con las obligaciones legales y fiscales aplicables.

• Ejecución del contrato (art. 6.1.b RGPD): para dar de alta la cuenta, prestar el servicio contratado y gestionar la facturación de la suscripción.
• Consentimiento (art. 6.1.a y, para datos de salud, art. 9.2.a RGPD): cuando el profesional conecta integraciones voluntarias como Google Calendar o los cobros online.
• Obligación legal (art. 6.1.c RGPD): para conservar y, cuando proceda, remitir a la Administración tributaria los registros de facturación.
• Interés legítimo (art. 6.1.f RGPD): para garantizar la seguridad de la Plataforma (por ejemplo, el control de sesión por dispositivo) y para el mantenimiento técnico del servicio.
• Respecto a los datos de los pacientes, la base legal frente a cada paciente la determina y recaba el profesional o clínica correspondiente, no dalia.

Para prestar el servicio, dalia recurre a los siguientes proveedores, que actúan como encargados del tratamiento bajo contrato:

• Supabase (base de datos y almacenamiento): proyecto alojado en la región UE (Irlanda, eu-west-1). Al estar dentro de la Unión Europea, este tratamiento no implica una transferencia internacional de datos.
• Vercel (alojamiento de la aplicación web): con sede en EE. UU. Este proveedor puede implicar una transferencia internacional de datos, amparada por las cláusulas contractuales tipo aprobadas por la Comisión Europea u otra garantía equivalente conforme al capítulo V del RGPD.
• Stripe (procesamiento de pagos y cobros online): con sede en EE. UU. dalia no accede ni almacena datos bancarios o de tarjeta: ese proceso lo gestiona Stripe directamente. Este proveedor puede implicar una transferencia internacional de datos, amparada por cláusulas contractuales tipo u otra garantía equivalente.
• Google Calendar (Google LLC), únicamente si el profesional decide conectar voluntariamente su cuenta de Google: con sede en EE. UU., amparado igualmente por cláusulas contractuales tipo u otra garantía equivalente.
• Anthropic (inteligencia artificial: asistente Lía, ayuda para rellenar fichas y escalas, chat de reservas): con sede en EE. UU. Recibe únicamente el texto o los documentos necesarios para cada consulta concreta, amparado por cláusulas contractuales tipo u otra garantía equivalente.
• OpenAI (transcripción de dictados de voz y voz del asistente telefónico): con sede en EE. UU., amparado igualmente por cláusulas contractuales tipo u otra garantía equivalente.
• Twilio (telefonía de las llamadas atendidas por el asistente de IA): con sede en EE. UU., amparado igualmente por cláusulas contractuales tipo u otra garantía equivalente.
• Fly.io (alojamiento del servidor que conecta las llamadas con el asistente): con sede en EE. UU. y servidor en París (UE).
• Resend (envío de los correos del servicio): con sede en EE. UU., amparado igualmente por cláusulas contractuales tipo u otra garantía equivalente.
• Daily.co (videollamadas de teleconsulta entre profesional y paciente, cuando el profesional las inicia): con sede en EE. UU., amparado igualmente por cláusulas contractuales tipo u otra garantía equivalente.
• Google Drive (copias de seguridad cifradas, si están activadas): con sede en EE. UU., amparado igualmente por cláusulas contractuales tipo u otra garantía equivalente.

En el futuro, dalia podría incorporar los siguientes proveedores, en cuyo caso esta política se actualizará antes de su activación: Meta (mensajes de WhatsApp Business), con sede en EE. UU. y sujeto igualmente a cláusulas contractuales tipo u otra garantía equivalente cuando se active.

Además, cuando el profesional activa el envío de registros de facturación Veri*Factu, estos se comunican a la Agencia Tributaria, que los recibe como destinataria por obligación legal (no como proveedor de dalia).

dalia no vende ni cede datos personales a terceros con fines publicitarios ni comerciales.

Si el profesional decide conectar voluntariamente su cuenta de Google para sincronizar su agenda con Google Calendar, dalia accede a esos datos exclusivamente para crear, actualizar y eliminar en su calendario los eventos correspondientes a sus citas en dalia, y comprobar su disponibilidad. El uso que hace dalia de la información recibida de las API de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado. En concreto:

• Los datos obtenidos de Google Calendar se usan únicamente para prestar y mejorar la función de sincronización de agenda descrita arriba, no con ningún otro fin.
• Esos datos no se usan para publicidad, ni propia ni de terceros.
• No se transfieren a terceros, salvo cuando sea necesario para prestar o mejorar esta función (por ejemplo, los proveedores ya mencionados en la sección anterior), para cumplir con la legislación aplicable, como parte de una fusión, adquisición o venta de activos de dalia (manteniendo el mismo compromiso de protección), o con el consentimiento explícito del profesional.
• Ninguna persona accede a esos datos salvo que sea necesario por motivos de seguridad, para cumplir con la ley, con el consentimiento expreso del profesional para un caso concreto, o de forma agregada y anonimizada.
• El profesional puede revocar en cualquier momento el acceso de dalia a su cuenta de Google, tanto desde Ajustes → Google Calendar → "Desconectar cuenta" dentro de la propia Plataforma, como directamente desde los ajustes de seguridad de su cuenta de Google (myaccount.google.com/permissions).

• Los datos de la cuenta del profesional se conservan mientras la cuenta esté activa y, tras su baja, durante los plazos legalmente exigibles (por ejemplo, la normativa fiscal y contable).
• Los datos de pacientes se conservan mientras el profesional mantenga su cuenta activa y siguiendo las instrucciones y plazos que determine el propio profesional o clínica, que debe tener en cuenta la normativa aplicable a la documentación clínica (por ejemplo, la Ley 41/2002 en el caso de historiales de fisioterapia).
• Al darse de baja un profesional, dalia conservará los datos únicamente durante el plazo necesario para permitir su exportación o entrega, y posteriormente los eliminará o anonimizará, salvo obligación legal de conservarlos por más tiempo.

Cualquier persona tiene derecho a acceder a sus datos personales, así como a solicitar la rectificación de los datos inexactos o su supresión, entre otros casos, cuando ya no sean necesarios para los fines para los que fueron recogidos. En determinadas circunstancias, también puede solicitar la limitación del tratamiento, la portabilidad de sus datos, u oponerse al tratamiento.

• Si eres profesional o clínica registrada en dalia: puedes ejercer estos derechos escribiendo a contacto@imdalia.com.
• Si eres paciente de una clínica que usa dalia: debes dirigirte en primer lugar a tu clínica o profesional, responsable de tus datos. Si necesitas contactar con dalia directamente, puedes hacerlo en contacto@imdalia.com y trasladaremos tu solicitud al profesional correspondiente conforme al contrato de encargo de tratamiento.

En ambos casos, también tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que el tratamiento de tus datos no se ajusta a la normativa.

dalia aplica medidas técnicas y organizativas razonables para proteger los datos personales, entre ellas el cifrado de contraseñas, el uso de conexiones seguras (HTTPS) y el control de acceso mediante autenticación. No obstante, ningún sistema es completamente infalible, y dalia trabaja de forma continuada para mantener y mejorar estas medidas.

dalia utiliza únicamente cookies y almacenamiento local (sessionStorage) de carácter técnico, estrictamente necesarios para el funcionamiento del servicio: mantener la sesión iniciada, controlar la sesión única por dispositivo, dar acceso al portal del paciente mediante su token de sesión y recordar que has visto el aviso sobre cookies. En las pantallas de pago, Stripe puede usar además sus propias cookies técnicas para prevenir el fraude. dalia no utiliza cookies de publicidad ni de análisis de terceros; si en el futuro se añadieran, se pediría tu consentimiento antes de activarlas.

dalia no está dirigida a menores de edad como usuarios de la cuenta profesional. En el caso de pacientes menores de edad, es responsabilidad del profesional o clínica contar con el consentimiento de sus padres, madres o tutores legales para tratar sus datos, conforme a la normativa aplicable.

Esta política puede actualizarse para reflejar cambios legales, técnicos o en los proveedores utilizados. Cuando el cambio sea relevante, se informará a los profesionales registrados por correo electrónico o mediante un aviso en la propia Plataforma.