Privacy Notice

Aviso

Esta versión en español está pendiente de revisión por un hablante nativo con experiencia en derecho de protección de datos. Para precisión jurídica, consulta la versión en inglés. Cualquier discrepancia entre las versiones se resuelve a favor del texto en inglés.

1. Quién controla tus datos

El responsable del tratamiento de tus datos es A H LEDIG IVOLUT SOFTWARE LTDA, una sociedad limitada unipersonal brasileña (Sociedade Limitada Unipessoal, inscrita bajo el régimen tributario de pequeña empresa EPP).

• CNPJ: 36.062.448/0001-87
• NIRE: 35235819092
• Inscrição Municipal: 402865
• Domicilio social: Rua Cambroé 243, Alphaville 2, 12244-045 São José dos Campos, SP, Brasil
• Persona responsable del tratamiento: Alexander H Ledig
• Contacto de privacidad: privacy@gambrio.com

El responsable del tratamiento opera el servicio “biosatlas.”

2. Qué datos recopilamos

• Datos de la cuenta: tu dirección de correo electrónico, tu nombre (opcional) y tu foto de perfil (opcional, facilitada por tu proveedor de inicio de sesión).
• Datos de salud — categorías especiales de datos personales / datos personales sensibles: los PDF e imágenes de análisis de sangre que subes, los valores de los marcadores extraídos, las unidades, los rangos de referencia, los metadatos del laboratorio y las marcas temporales de observación.
• Datos de perfil: tu sexo (opcional) y fecha de nacimiento (opcional), utilizados para seleccionar rangos de referencia apropiados por edad y sexo.
• Metadatos del consentimiento: la fecha en que prestaste tu consentimiento y la versión de este aviso a la que consentiste.
• Metadatos de uso: tokens de sesión, tokens de verificación de enlaces mágicos, registros de los trabajos de extracción y el coste por extracción de las llamadas al modelo.

3. Por qué tratamos tus datos y sobre qué base jurídica

Finalidades

• Hacer seguimiento de tus análisis de sangre a lo largo del tiempo.
• Normalizar nombres y unidades de los marcadores entre distintos laboratorios para que puedas comparar los resultados.
• Proporcionar una exportación en JSON legible por máquina de todos tus datos.

Bases jurídicas

• LGPD Art. 7(I) — tu consentimiento, para los datos personales.
• LGPD Art. 11(I) — tu consentimiento explícito (“consentimento de forma destacada”), para los datos personales sensibles (datos de salud).
• GDPR Art. 6(1)(b) — ejecución del contrato en cuya virtud prestamos el servicio.
• GDPR Art. 9(2)(a) — tu consentimiento explícito, para las categorías especiales de datos personales (datos de salud).
• UK GDPR — bases equivalentes.

Sin tu consentimiento explícito, no podemos prestar el servicio. Otorgas tu consentimiento mediante las dos casillas que figuran a continuación: una para acusar recibo de este aviso y una segunda, resaltada por separado, para consentir específicamente el tratamiento de tus datos de salud.

4. Quién más trata tus datos por cuenta nuestra

Esta lista está actualizada a la fecha que figura en la parte superior de este aviso. Cualquier alta, baja o cambio sustancial activará una actualización del aviso y la solicitud de un nuevo consentimiento.

5. Cuándo tus datos salen de tu país

Los bytes de las imágenes que subes son tratados por OpenAI en los Estados Unidos al amparo de las Cláusulas Contractuales Tipo, Módulo 2 (responsable a encargado). Ningún otro dato sale de la región de alojamiento en la UE. Los datos de los residentes en el Reino Unido se tratan de forma idéntica; las Cláusulas Contractuales Tipo incluyen los anexos específicos del Reino Unido (UK IDTA / Addendum) cuando proceda.

6. Cuánto tiempo conservamos tus datos

Conservamos tu cuenta y todos los datos asociados a ella mientras tu cuenta exista. Puedes eliminar tu cuenta en cualquier momento:

• Autoservicio: el botón “Eliminar mi cuenta” situado al final de este aviso (o en tu perfil) invoca DELETE /api/account. Esto cancela cualquier trabajo de extracción en curso en aproximadamente 30 segundos (el tiempo necesario para que la página actual termine de procesarse), elimina todos tus paneles y marcadores y elimina tu cuenta.
• Por correo electrónico: escribe a privacy@gambrio.com.

Nos comprometemos a tramitar las solicitudes de eliminación en un plazo de 24 a 72 horas. La LGPD nos permite hasta 15 días; el GDPR permite hasta 30 días; nuestro objetivo es ser más rápidos.

Una vez iniciada la eliminación, dejamos de aceptar nuevas cargas de inmediato. Cualquier trabajo de extracción ya en curso se cancela en aproximadamente 30 segundos; los datos que ya se hayan enviado a los subencargados durante ese intervalo se rigen por sus respectivas políticas de conservación (sección 4).

En esta versión no existen copias de seguridad automatizadas. Tus datos solo se encuentran en la base de datos de producción. Si deseas una copia de seguridad, exporta tus datos periódicamente en JSON a través del endpoint /api/export o del botón de exportación de la aplicación.

Conservación por parte de los subencargados: OpenAI conserva las entradas de la API hasta 30 días (política por defecto), Resend conserva los metadatos de correo electrónico hasta 30 días, Fly.io conserva los registros operativos indefinidamente.

7. Tus derechos — usuarios de la UE y del Reino Unido (GDPR + UK GDPR)

• Acceso (Art. 15): tus datos son visibles en la aplicación; el endpoint /api/export devuelve una exportación completa legible por máquina.
• Rectificación (Art. 16): edita cualquier marcador directamente en la aplicación.
• Supresión (Art. 17): el botón “Eliminar mi cuenta” elimina en cascada todos tus datos.
• Limitación del tratamiento (Art. 18): utiliza el botón “Retirar el consentimiento” que figura a continuación para pausar el tratamiento futuro sin eliminar tu cuenta.
• Portabilidad (Art. 20): la exportación JSON de /api/export es legible por máquina.
• Oposición (Art. 21): retira tu consentimiento en cualquier momento y dejaremos de tratar tus datos de inmediato.
• Retirada del consentimiento (Art. 7(3)): en cualquier momento, mediante el botón que figura a continuación. La licitud del tratamiento previo a la retirada no se ve afectada.
• Presentar una reclamación ante una autoridad de control: véase la sección 12 más abajo.

8. Tus derechos — usuarios brasileños (LGPD Art. 18)

• Confirmación de la existencia del tratamiento.
• Acceso a tus datos.
• Corrección de datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación de datos innecesarios o excesivos.
• Portabilidad de tus datos a otro proveedor de servicios o productos.
• Eliminación de los datos tratados con tu consentimiento.
• Información sobre las entidades públicas y privadas con las que el responsable del tratamiento ha compartido tus datos (véase la sección 4).
• Información sobre la posibilidad de no prestar el consentimiento y sus consecuencias (no puedes utilizar el servicio sin consentir).
• Revocación del consentimiento en cualquier momento.
• Presentar una reclamación ante la Autoridad Nacional de Protección de Datos (ANPD) — véase la sección 12.

9. Cómo protegemos tus datos

• En tránsito: HTTPS en todo el servicio (TLS mediante Let's Encrypt gestionado por Fly.io).
• En reposo: cifrado de disco de los volúmenes de Fly.io (estilo LUKS).
• Disciplina de registros: la aplicación utiliza un ayudante redactPHI() para eliminar tu nombre y tu fecha de nacimiento antes de que cualquier dato se escriba en los registros.
• El cifrado a nivel de aplicación (cifrado de los datos en la capa de aplicación además del cifrado de disco) NO está implementado en esta versión. Está previsto en la hoja de ruta para la próxima versión.

10. Prestar y retirar el consentimiento

Otorgas tu consentimiento explícito a continuación mediante dos casillas: una para acusar recibo de este aviso y una segunda, resaltada por separado, para consentir específicamente el tratamiento de tus datos de salud. El registro del consentimiento se almacena vinculado a tu cuenta de usuario (fecha del consentimiento + versión del aviso + idioma en el que leíste el aviso + un hash del contenido del aviso renderizado).

Puedes retirar tu consentimiento en cualquier momento sin eliminar tu cuenta utilizando el botón “Retirar el consentimiento” que figura a continuación. Mientras esté retirado, podrás seguir consultando y exportando tus datos existentes, pero no se tratarán nuevas cargas. Posteriormente puedes volver a prestar el consentimiento o utilizar “Eliminar mi cuenta” para la supresión total.

Si actualizamos este aviso de modo que cambie sustancialmente tus derechos o nuestro tratamiento, te exigiremos que vuelvas a prestar el consentimiento la próxima vez que inicies sesión.

11. Decisiones automatizadas

Este servicio no toma decisiones automatizadas sobre ti que produzcan efectos jurídicos o efectos significativos similares (GDPR Art. 22 / LGPD Art. 20). La etapa de extracción por visión es un tratamiento automatizado, pero su resultado es un conjunto de valores que tú revisas — el sistema no toma decisiones sobre ti.

12. Reclamación ante una autoridad de protección de datos

Tienes derecho a presentar una reclamación ante tu autoridad de control local. No es necesario que nos contactes primero, pero te animamos a hacerlo — normalmente es más rápido.

• Residentes en la UE: encuentra la autoridad de control de tu país en el registro oficial del EDPB: https://edpb.europa.eu/about-edpb/about-edpb/members_en
• Alemania: para un servicio comercial como el nuestro, las reclamaciones se dirigen a la autoridad de protección de datos de tu estado federado (lista completa: https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften-table.html). El comisionado federal (BfDI) se ocupa de los sectores del gobierno federal, las telecomunicaciones y los servicios postales, y no es la vía principal para este servicio.
• Reino Unido: Information Commissioner's Office (ICO), https://ico.org.uk/
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD), https://www.gov.br/anpd/
• Estados Unidos: el Fiscal General de tu estado, cuando proceda. No existe una vía federal de reclamación para los servicios no cubiertos por la HIPAA.

13. Versionado y actualizaciones

Este aviso se versiona por su fecha de entrada en vigor, que figura en la parte superior de la página. Cuando realizamos un cambio, actualizamos la versión y te exigimos que vuelvas a prestar el consentimiento la próxima vez que inicies sesión.

El historial de versiones anteriores está disponible bajo solicitud en privacy@gambrio.com.

14. Cookies que utilizamos

Este servicio utiliza tres cookies, todas ellas estrictamente necesarias para el funcionamiento del servicio:

• authjs.session-token (o similar) — mantiene tu sesión iniciada. La establece el sistema de inicio de sesión (Auth.js). Sesión o 30 días.
• bdl-language — recuerda el idioma en el que has leído la aplicación. Se establece la primera vez que visitas el servicio o cuando cambias de idioma en tu perfil. 1 año.
• bdl-format-locale — recuerda qué formato de números/fechas prefieres (por ejemplo, 1,234.56 frente a 1.234,56). 1 año.

Las tres son esenciales: sin la cookie de sesión no puedes mantener la sesión iniciada; sin las cookies de idioma la aplicación no puede ofrecer el contenido en un idioma que puedas leer. Conforme al considerando 30 del GDPR, las cookies estrictamente necesarias no requieren un banner de consentimiento. No utilizamos cookies de analítica, publicidad ni seguimiento.

15. Menores

Este servicio no está destinado a usuarios menores de 18 años. No recopilamos conscientemente datos de menores. Si crees que un menor se ha registrado, ponte en contacto con privacy@gambrio.com y eliminaremos la cuenta.

16. Contacto y plazos de respuesta

Consultas de privacidad: privacy@gambrio.com

Compromisos de plazo de respuesta

• Eliminación de cuenta: 24-72 horas.
• Solicitudes LGPD de información / acceso / corrección: 15 días (el máximo previsto por la LGPD).
• Solicitudes GDPR / UK GDPR de información / acceso / corrección: 30 días (el máximo previsto por el GDPR).