Protección de datos de pacientes.
Sin letra pequeña.

Infraestructura y localización de datos

Los datos de pacientes procesados por Cliniflux se almacenan de forma cifrada, con control de acceso y copias de seguridad diarias. Estamos completando la migración de la infraestructura de alojamiento a la Unión Europea; hasta que esa migración concluya, no afirmamos que los datos residan exclusivamente en servidores europeos.

Marco legal aplicable

Cliniflux actúa como Encargado del Tratamiento de los datos de pacientes. Tu clínica es la Responsable del Tratamiento. Esta relación está regulada mediante un Acuerdo de Tratamiento de Datos (DPA) que puedes firmar online.

• RGPD (UE) 2016/679 — Reglamento General de Protección de Datos
• LOPDGDD (LO 3/2018) — Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales española
• Datos de categoría especial — Los datos de salud son categoría especial del Art. 9 RGPD. Aplicamos medidas reforzadas.
• Consentimiento explícito — Los mensajes de WhatsApp enviados a pacientes requieren consentimiento previo, que tu clínica debe obtener y documentar.
• Derechos ARSOL — Acceso, Rectificación, Supresión, Oposición y Limitación — atendemos las solicitudes de pacientes en 72h.

¿Es WhatsApp Business compatible con el RGPD?

Sí. WhatsApp Business puede usarse de forma conforme al RGPD siempre que se cumplan las obligaciones que corresponden a tu clínica como Responsable del Tratamiento. Cliniflux funciona sobre la Plataforma oficial de WhatsApp Business (la API oficial de Meta), no sobre la app de consumo: tu clínica opera con un número verificado y plantillas de mensaje aprobadas por Meta, y Cliniflux añade las garantías necesarias para tratar datos de pacientes con seguridad. Estos son los puntos clave:

• API oficial y número verificado — Cada clínica se da de alta en la Plataforma de WhatsApp Business con su propio número verificado y plantillas aprobadas por Meta. No se envían mensajes masivos fuera de las reglas de la plataforma.
• Base legal y consentimiento — Cada envío necesita una base jurídica válida (Art. 6 RGPD). Los mensajes de servicio (recordatorios de una cita ya pactada) se amparan en la ejecución del contrato; los de marketing o reactivación requieren consentimiento explícito previo.
• Cifrado — Las conversaciones viajan cifradas y Cliniflux almacena los datos asociados con cifrado AES-256; la infraestructura de alojamiento está en proceso de migración a la Unión Europea.
• Encargados del tratamiento — Cliniflux actúa como Encargado del Tratamiento y firma contigo un DPA conforme al Art. 28 RGPD. El proveedor de WhatsApp (Meta) también interviene como encargado dentro de la cadena de tratamiento.
• Minimización de datos — Solo se tratan los datos necesarios para gestionar la cita o consulta. No se ceden datos de pacientes a terceros con fines publicitarios.
• Derechos de los pacientes — Acceso, rectificación y supresión gestionables; atendemos las solicitudes en 72h.

En resumen: el cumplimiento del RGPD con WhatsApp Business no depende solo de la herramienta, sino de cómo se usa. Cliniflux te da cifrado y DPA firmable —con la migración de la infraestructura a la UE en curso— para que tu clínica cumpla sin fricción.

Medidas de seguridad implementadas

• Autenticación de dos factores (2FA) obligatoria para acceso al panel de control
• Control de acceso basado en roles — cada usuario solo ve lo que necesita
• Registros de auditoría (logs) de todos los accesos y operaciones sobre datos
• Pseudonimización de datos de conversación en los registros internos
• Política de contraseñas seguras con rotación periódica
• Plan de respuesta ante incidentes de seguridad — notificación a la AEPD en <72h si procede
• Evaluación de Impacto de Protección de Datos (EIPD) realizada para categorías especiales

Preguntas frecuentes sobre RGPD

¿Es WhatsApp Business compatible con el RGPD?
Sí, siempre que se use correctamente. Cliniflux funciona sobre la API oficial de WhatsApp Business (Meta), con número verificado y plantillas aprobadas. WhatsApp Business puede tratar datos de pacientes conforme al RGPD si tu clínica cuenta con base legal para cada mensaje, un DPA firmado con el encargado del tratamiento y medidas de seguridad adecuadas. Cliniflux aporta cifrado AES-256 en tránsito y en reposo, y un DPA firmable, para que el cumplimiento sea sencillo; la migración de la infraestructura a servidores en la UE está en curso.

¿Necesito el consentimiento del paciente para enviarle mensajes por WhatsApp?
Sí. Para mensajes de marketing o reactivación, necesitas consentimiento explícito previo (Art. 6.1.a RGPD). Para mensajes de servicio (recordatorios de cita pactada), puede ampararse en la ejecución del contrato (Art. 6.1.b). Recomendamos documentar siempre el consentimiento.

¿Necesita mi clínica un Delegado de Protección de Datos (DPD/DPO)?
Las clínicas que tratan datos de salud a gran escala (Art. 37 RGPD) están obligadas. Si tienes dudas sobre si aplica a tu clínica, consulta a un especialista legal o a la AEPD.

¿Qué pasa si hay una brecha de seguridad?
Cliniflux te notificará en menos de 24h si detectamos cualquier incidente que afecte a datos de tus pacientes. Gestionamos conjuntamente la notificación a la AEPD si es obligatoria (plazo legal: 72h).

¿Puedo exportar o eliminar todos los datos de mis pacientes?
Sí. Desde el panel de control puedes exportar todos los datos en formato CSV en cualquier momento. Si das de baja tu cuenta, eliminamos todos tus datos en un plazo máximo de 30 días.