Cada pregunta está escrita para quien suele hacerla. Si tienes poco tiempo, empieza por las tuyas.
Datos de pacientes y RGPD
¿Cumple con el RGPD?
Está diseñado para facilitar que tu clínica lo cumpla, y te decimos qué parte depende de ti. Con los datos de tus pacientes, la clínica es la responsable del tratamiento y AI Empire actúa como encargado (art. 28 RGPD), siguiendo tus instrucciones. El acuerdo de encargo que firmaríamos contigo está redactado, pero es un borrador pendiente de revisión jurídica y no lo presentamos como definitivo. Con nuestros subencargados, el acuerdo está firmado con Supabase, OpenAI, Sentry y Cal.com; incorporado por contrato con Cloudflare, Stripe, Upstash y Vercel; y con Meta y Resend bajo sus propios términos de negocio. La lista, con el estado de cada uno, está en /subprocesadores. Cada paciente puede pedir desde su portal una copia de sus datos, corregirlos o borrarlos.
Para: Dirección · Protección de datos · Evaluación técnica — Subencargados y estado de cada acuerdo · Cómo tratamos los datos de pacientes
¿Tratáis datos de salud de mis pacientes?
Sí, y conviene decirlo claro. Cuando un paciente cuenta en su mensaje un síntoma, un dolor o un tratamiento previo, eso es un dato de salud (categoría especial del art. 9 RGPD), y el sistema lo trata para contestarle y para avisar a tu equipo. La base jurídica la documenta la clínica, como responsable, en su registro de actividades de tratamiento. Para redactar cada respuesta, el texto del mensaje (y la transcripción, si es un audio) se envía a OpenAI, que lo procesa en EE. UU. con cláusulas contractuales tipo y puede conservarlo hasta 30 días para vigilar abusos: la retención cero está solicitada y todavía no concedida.
Para: Protección de datos · Dirección · Evaluación técnica — Cómo tratamos los datos de pacientes
¿Dónde se guardan los datos?
La base de datos con las conversaciones, las fichas de pacientes y las citas está en Supabase, en la UE (Irlanda · aws-eu-west-1). La cola de mensajes y la caché, en Upstash, también en la UE (eu-central-1 · eu-west-1). Que los datos se guarden en la UE no quiere decir que ninguno salga de ella: algunos proveedores los procesan fuera, y los detallamos en la pregunta siguiente.
Para: Protección de datos · Evaluación técnica — Subencargados y ubicaciones
¿Sale algún dato de la Unión Europea?
Sí, y estos son los casos: OpenAI trata el texto de los mensajes y la transcripción de los audios, para redactar la respuesta (EE. UU.; cláusulas contractuales tipo); Meta trata los mensajes de WhatsApp, que viajan por su plataforma (UE y EE. UU.; sus condiciones de WhatsApp Business y cláusulas contractuales tipo); Cal.com trata los datos de las citas (UE y EE. UU.; cláusulas contractuales tipo); Cloudflare trata el tráfico que llega al servicio (su red global, dentro y fuera de la UE; cláusulas contractuales tipo); Stripe trata los datos de pago (EE. UU., según nuestra política de privacidad; cláusulas contractuales tipo); Vercel trata las visitas a esta web, sin datos de pacientes (su red global; cláusulas contractuales tipo); Resend trata las direcciones de correo del personal de las clínicas que entra al panel (el enlace de acceso) y, cuando se active el formulario de solicitudes, también la dirección de correo de quien nos escribe para ejercer un derecho (para confirmarle la recepción), nunca su mensaje (EE. UU.; cláusulas contractuales tipo). Supabase y Upstash, donde se guardan los datos, están en la UE.
Pendiente de revisión jurídica: es la redacción más prudente mientras tanto, no asesoramiento.
Para: Protección de datos · Evaluación técnica — Subencargados y ubicaciones · Política de privacidad · transferencias
¿Cuánto tiempo guardáis las conversaciones?
Las conversaciones se borran solas cuando pasan 24 meses sin que el paciente escriba, y a los 24 meses su ficha se anonimiza: se quitan los datos que lo identifican y se conserva sólo la fila para la trazabilidad. Las citas se conservan 60 meses desde su fecha y el registro de auditoría, 36 meses. Lo hace un proceso diario que anota cada borrado (art. 5.1.e RGPD). Hoy los plazos son los mismos para todas las clínicas: no se configuran por clínica.
Para: Protección de datos · Evaluación técnica — Cómo tratamos los datos de pacientes
¿Mis pacientes tienen que aceptar algo antes de hablar con el asistente?
Por defecto, sí. El primer mensaje que recibe un paciente nuevo es un aviso: que habla con el asistente virtual de IA de la clínica, dónde está la política de privacidad y cómo darse de baja, y le pide que escriba «Acepto». Hasta que lo hace, el asistente no le responde con IA; si en ese tiempo describe una urgencia, se avisa igualmente a tu equipo. Quedan registrados el texto que se le mostró y su respuesta. Tu clínica puede desactivar este paso en el panel, bajo su responsabilidad: qué base jurídica aplica lo decide ella, como responsable del tratamiento.
Para: Protección de datos · Dirección · Evaluación técnica — Cómo tratamos los datos de pacientes
¿Cuándo me avisáis si hay una brecha de seguridad?
Si una brecha de seguridad afecta a datos que tratamos por cuenta de tu clínica, te avisamos sin dilación indebida y, como máximo, en 48 horas naturales desde que la conocemos. Te enviamos lo que sepamos en ese momento, separando hechos, estimaciones e incógnitas, y te vamos completando la información. Avisamos de todas las brechas que afecten a tus datos, sin filtrarlas antes por riesgo. Corresponde a tu clínica evaluar y efectuar las notificaciones legalmente exigibles a la AEPD y, en su caso, a los pacientes; nosotros te asistimos en ello.
Pendiente de revisión jurídica: es la redacción más prudente mientras tanto, no asesoramiento.
Para: Protección de datos · Dirección · Evaluación técnica — Términos del servicio · Seguridad
¿Mi clínica necesita un delegado de protección de datos (DPO)?
Si es un centro sanitario obligado a llevar las historias clínicas de sus pacientes, sí: la ley española (art. 34.1.l de la LOPDGDD) obliga a esos centros a designar un delegado de protección de datos, y exceptúa a los profesionales sanitarios que ejercen a título individual. La designación se comunica a la AEPD en un plazo de diez días (art. 34.3). Esto es una orientación general, no asesoramiento jurídico: si tu caso no está claro, consúltalo con tu asesor o con la AEPD. Lo que sí hacemos es darle a tu DPO la información que necesita: subencargados, transferencias y plazos de conservación.
Pendiente de revisión jurídica: es la redacción más prudente mientras tanto, no asesoramiento.
Para: Protección de datos · Dirección — Subencargados y ubicaciones
Seguridad clínica
¿El asistente diagnostica o recomienda tratamientos?
No. En su primer mensaje se presenta como el asistente virtual de IA de tu clínica y avisa de que las cuestiones clínicas las atiende el equipo humano, así que el paciente sabe siempre que habla con una IA. Además, antes de enviar cada respuesta, un filtro la bloquea si contiene un diagnóstico, una receta o una dosis, o un precio o una cobertura de seguro que no estén en la información de tu clínica. En ese caso el paciente recibe un mensaje seguro y la conversación pasa a tu equipo.
Para: Dirección · Recepción · Evaluación técnica — IA y seguridad clínica
¿Y si se equivoca?
Puede equivocarse, como cualquier sistema, y por eso hay tres barreras. Responde a partir de la información de tu clínica que tú nos das. Un filtro revisa cada respuesta antes de enviarla y, si detecta un diagnóstico, un precio o una cobertura inventados, no la envía y pasa la conversación a tu equipo. Y cada conversación queda guardada: la lees desde la ficha del paciente en el panel, y las preguntas que no supo contestar aparecen aparte para que añadas la respuesta a su base de conocimiento.
Para: Dirección · Recepción — IA y seguridad clínica
¿Qué hace si un paciente escribe por una urgencia?
Si el paciente dice que es urgente, el asistente le contesta que ha avisado al equipo de la clínica y le recuerda que, si es una emergencia grave, llame al 112. Si el aviso al equipo no ha podido salir, no finge haberlo dado: le dice que llame al 112 si es grave y, si no, a la clínica por teléfono. No hace ninguna valoración clínica ni da indicaciones médicas.
Para: Recepción · Dirección · Evaluación técnica — IA y seguridad clínica
Cómo funciona
¿Sustituye a mi recepcionista?
No. Contesta lo repetitivo (horarios, servicios, cómo pedir cita) a cualquier hora y deja a tu equipo lo que necesita a una persona: los pacientes que están en la clínica, los casos delicados y las decisiones. Cuando algo le supera, pasa la conversación a recepción con todo el contexto.
Para: Dirección · Recepción — Cómo funciona
¿Tengo que cambiar mi número de WhatsApp?
No tienes que cambiar de número, pero sí la forma de conectarlo. El asistente trabaja sobre la API oficial de WhatsApp Business de Meta, así que necesita un número dado de alta en esa API: puede ser uno nuevo o el que ya tienes, si lo pasamos a la API. Que puedas seguir usando ese mismo número a la vez en la aplicación del móvil depende de Meta y de cómo esté dada de alta tu cuenta; lo comprobamos contigo antes de tocar nada. El canal de producción está pendiente de activación: en el piloto se conecta un número por clínica, en la implantación.
Respuesta prudente: hay un detalle pendiente de confirmar, y por eso no lo afirma.
Para: Dirección · Recepción — Integraciones
¿En qué idiomas atiende?
En español. El asistente contesta en español a todos los pacientes, también a quien le escribe en otro idioma.
Para: Dirección · Recepción — Cómo funciona
¿Cuánto tarda en contestar?
Responde en segundos, a cualquier hora. El objetivo de servicio es que la primera respuesta llegue en menos de 5 s en el percentil 95 (objetivo p95 < 5 s). Es un objetivo, no una medición: todavía no hay clínicas de pago con tráfico real que medir.
Para: Dirección · Evaluación técnica — Niveles de servicio
Precio y contrato
¿Qué cuenta como una conversación?
Una conversación empieza con el mensaje de un paciente y dura 24 h: todo lo que ese paciente escriba en ese tiempo cuenta como una sola, y si vuelve a escribir después, abre otra. El volumen del piloto y las condiciones para un eventual exceso se acuerdan por escrito antes de contratar.
Respuesta prudente: hay un detalle pendiente de confirmar, y por eso no lo afirma.
Para: Dirección · Evaluación técnica — Condiciones del piloto
¿Hay permanencia? ¿Cómo cancelo?
La propuesta es una duración de 3 meses desde la activación y, después, renovación mensual con 30 días de aviso. La propuesta de contrato está pendiente de revisión jurídica. El alcance, la duración y la cancelación se acuerdan por escrito antes de contratar; el cobro requiere alta fiscal y contrato firmado.
Para: Dirección — Términos del servicio
¿Hay descuento si pago un año?
La oferta pública actual es el piloto, con implantación y cuota mensual. No se ofrece una modalidad anual ni un descuento anual. Las condiciones finales se acuerdan por escrito antes de contratar.
Para: Dirección — Precios
¿Los precios llevan IVA?
Los precios publicados no incluyen el IVA: son la base imponible y se les suma el IVA que corresponda según la legislación española. En Península y Baleares es hoy el tipo general del 21 %: por ejemplo, en el Piloto de recepción por WhatsApp la implantación es de 490 € + IVA (592,90 € con IVA) y la cuota, de 199 €/mes + IVA (240,79 €/mes con IVA). Canarias, Ceuta y Melilla tienen un tratamiento fiscal distinto. Si tu actividad sanitaria está exenta de IVA, en todo o en parte, puede que no puedas deducir todo el IVA de la cuota; confírmalo con tu asesor fiscal. Aparte de la cuota, la agenda funciona con la cuenta de Cal.com de tu propia clínica.
Respuesta prudente: hay un detalle pendiente de confirmar, y por eso no lo afirma.
Para: Dirección — Precios