Política de Privacidad

1 · Responsable del tratamiento

AI Empire (Jonatan Contell Arcis · NIF 54599473A · Catarroja, Valencia · España). Contacto: privacidad@aiempire.software.

2 · Datos que tratamos

• Datos de la clínica cliente: nombre, email, teléfono, razón social, dirección.
• Datos de pacientes (clinic → AI Empire): nombre, teléfono WhatsApp, contenido conversación, historial de citas, tratamiento de interés.
• Datos técnicos: IP (en logs de Cloudflare), user-agent, timestamps. Anonimizados a los 30 días.

3 · Finalidades

• Prestación del servicio chatbot WhatsApp a la clínica cliente.
• Mejorar el sistema (con datos anonimizados/agregados).
• Cumplimiento obligaciones legales (facturación, AEPD si aplica).
• Comunicación con clientes (clínica) sobre el servicio. NO marketing a pacientes salvo opt-in explícito previo.

4 · Base legal

• Contrato de servicio (Art. 6.1.b RGPD) entre AI Empire y la clínica.
• Encargado del tratamiento (Art. 28 RGPD): respecto a datos de pacientes, la clínica es el Responsable · AI Empire el Encargado.
• Consentimiento explícito (Art. 6.1.a) para marketing y comunicaciones no esenciales.

5 · Tiempo de conservación

• Conversaciones WhatsApp: 24 meses · borrado automático después.
• Historial citas: 5 años (Ley 41/2002 derechos del paciente · si aplica).
• Datos de facturación: 6 años (LGT Art. 66).
• Datos opt-out: permanente con marca "no contactar" (prueba de cumplimiento).

6 · Subprocesadores

Lista completa y actualizada en /subprocesadores. Resumen: Cloudflare (EU), Supabase (EU), OpenAI (Ireland), Meta WhatsApp Business (Ireland), Stripe (Ireland), Sentry (EU), Cal.com (US · DPA + SCCs).

7 · Tus derechos (Arts. 15-22 RGPD)

• Acceso (Art. 15): obtener copia de tus datos.
• Rectificación (Art. 16): corregir datos incorrectos.
• Supresión (Art. 17): "derecho al olvido".
• Portabilidad (Art. 20): export JSON/CSV.
• Oposición (Art. 21): cesar tratamiento marketing.

Ejercicio derechos: email a privacidad@aiempire.software. Respuesta en 30 días máximo (Art. 12 RGPD). También puedes reclamar ante la AEPD (aepd.es).

8 · Medidas técnicas

• Cifrado AES-256 en reposo (Supabase pgsodium).
• TLS 1.2+ en tránsito.
• Row Level Security (RLS) por clinica_id · zero cross-tenant leakage.
• Auditoría completa por mensaje · trazabilidad legal.
• Hosted in EU (Cloudflare + Supabase eu-west).

9 · Transferencias internacionales

Algunos subprocesadores (OpenAI, Stripe, Cal.com) procesan datos en Estados Unidos. Garantías: Cláusulas Contractuales Tipo (SCCs) Art. 46 RGPD + Data Privacy Framework EU-US (cuando aplique).

10 · Cambios en esta política

Notificamos cambios materiales por email 30 días antes. Última versión siempre en esta URL.