Política de Privacidad y Protección de Datos

1. Identificación del Responsable y Ámbito de Aplicación

La presente Política de Privacidad regula el tratamiento de datos personales llevado a cabo por Calmatia (en adelante, «la Plataforma», «nosotros» o «nuestro») a través del sitio web calmatia.com, sus subdominios y aplicaciones asociadas.

Calmatia es una solución tecnológica integral de software como servicio (SaaS) diseñada para profesionales de la salud mental, psicoterapeutas, psicólogos y consultores de bienestar (en adelante, los «Terapeutas»), así como para sus respectivos consultantes y pacientes (en adelante, los «Consultantes» o «Pacientes»).

2. Roles en el Tratamiento de Datos Personales

Para efectos de la legislación aplicable en materia de protección de datos (incluyendo el Reglamento General de Protección de Datos - RGPD, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares - LFPDPPP, y normativas concordantes en Iberoamérica):

• Calmatia como Responsable del Tratamiento (Data Controller): Respecto a los datos de registro, identificación, suscripción y facturación de los Terapeutas que contratan la plataforma.
• Calmatia como Encargado del Tratamiento (Data Processor): Respecto a los datos de los Consultantes (incluyendo nombres, citas, notas clínicas y evolución de las sesiones) que el Terapeuta almacena, organiza y gestiona en la plataforma. En este contexto, el Terapeuta actúa como el Responsable exclusivo de los datos de sus pacientes y es quien mantiene la relación clínico-terapéutica directa con ellos.

3. Categorías de Datos que Recopilamos

Recopilamos y procesamos únicamente los datos necesarios para brindar los servicios contratados:

4. Finalidades y Legitimación del Tratamiento

Tratamos los datos con las siguientes finalidades legítimas:

1. Ejecución del contrato y prestación del servicio: Permitir la administración de la agenda, el registro de notas de sesión, la visualización de estadísticas de consulta y el acceso al portal del paciente.
2. Gestión de cobros y facturación: Procesamiento de pagos en línea a través de integraciones bancarias autorizadas (Mercado Pago).
3. Asistencia mediante Inteligencia Artificial: Procesamiento bajo petición explícita del Terapeuta para la síntesis de notas, mejora de redacción clínica o extracción de texto mediante OCR desde imágenes de notas físicas.
4. Seguridad e integridad de la plataforma: Verificación de accesos legítimos, protección contra ataques de fuerza bruta y cumplimiento de obligaciones legales aplicables.

5. Tratamiento Ético de la Inteligencia Artificial (IA)

6. Medidas de Seguridad Técnicas y Organizativas

Implementamos protocolos de seguridad de grado industrial acordes con la sensibilidad de los datos gestionados:

• Cifrado en tránsito: Todas las comunicaciones entre tu navegador y nuestros servidores viajan cifradas mediante el protocolo seguro TLS 1.3 / HTTPS.
• Cifrado en reposo: Los datos almacenados en nuestras bases de datos PostgreSQL (alojadas en Supabase) cuentan con cifrado AES-256 a nivel de volumen y respaldo.
• Protección de contraseñas y tokens: Las contraseñas se almacenan mediante funciones hash criptográficas unidireccionales (bcrypt/Argon2). Los tokens del portal de pacientes se firman mediante algoritmos criptográficos HMAC-SHA256 con expiración estricta.
• Aislamiento multi-inquilino (Multi-tenancy): Cada terapeuta cuenta con un aislamiento lógico estricto que impide que otros profesionales puedan acceder o consultar información ajena.

7. Terceros Proveedores de Servicio (Sub-encargados)

Calmatia no comercializa, alquila ni comparte datos personales con redes publicitarias ni intermediarios de datos. Únicamente colaboramos con proveedores tecnológicos de primer nivel sujetos a contratos de confidencialidad y tratamiento de datos:

8. Integración con Servicios de Google y Uso Limitado

Cuando el Terapeuta vincula voluntariamente su cuenta de Google desde la sección de Configuración, Calmatia solicita únicamente permisos mínimos no sensibles:

• Correo electrónico principal (userinfo.email): Exclusivamente para identificar y mostrar en pantalla qué cuenta de Google se encuentra vinculada.
• Calendario secundario creado por la aplicación (calendar.app.created): Exclusivamente para crear un calendario secundario independiente llamado Calmatia, registrar, actualizar o eliminar en él las sesiones programadas en la plataforma (incluyendo fecha, horario, modalidad y, salvo que el Terapeuta active el modo de privacidad para ocultar identificadores desde Configuración, el nombre del consultante) y adjuntar salas de videollamada de Google Meet. Las notas clínicas jamás se transmiten a Google Calendar, y Calmatia no lee, modifica ni elimina el calendario principal ni otros calendarios personales del usuario.

Las credenciales OAuth se almacenan cifradas mediante AES-256-GCM y pueden revocarse en cualquier momento desde Configuración > Integraciones o directamente desde los ajustes de seguridad de la Cuenta de Google del usuario. El uso y la transferencia a cualquier otra aplicación de la información recibida de las APIs de Google por parte de Calmatia se adhiere estrictamente a la Política de Datos de Usuario de los Servicios API de Google (Google API Services User Data Policy), incluidos los requisitos de Uso Limitado (Limited Use). Los datos obtenidos de Google jamás se utilizan para publicidad ni para entrenar modelos de inteligencia artificial.

9. Derechos ARCO y del Interesado

De conformidad con las leyes vigentes, tanto los Terapeutas como los Consultantes gozan de los siguientes derechos:

• Acceso: Conocer qué datos personales tratamos y obtener copia de los mismos.
• Rectificación: Solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Cancelación / Supresión: Solicitar la eliminación de sus datos cuando considere que no se requieren para los fines contratados.
• Oposición: Oponerse al tratamiento de sus datos para finalidades específicas.
• Portabilidad: Recibir sus datos en un formato digital estructurado y de uso común.

Para ejercer estos derechos, el titular o su representante legal puede enviar una solicitud a privacidad@calmatia.com. Si eres un Consultante (paciente), te sugerimos contactar primero a tu Terapeuta, quien ejerce la custodia directa de tu expediente clínico.

10. Plazo de Conservación y Eliminación

Conservaremos los datos mientras se mantenga activa la cuenta en Calmatia o durante los plazos legalmente exigibles por la normativa sanitaria y tributaria local (generalmente entre 5 y 10 años para documentación clínica, de acuerdo a la jurisdicción del profesional).

En caso de baja voluntaria del Terapeuta, la plataforma contempla mecanismos de borrado seguro y descarga previa del expediente para garantizar la continuidad del cuidado de los consultantes.

11. Modificaciones a esta Política

Calmatia se reserva el derecho de modificar la presente política para adaptarla a novedades legislativas o mejoras operativas del servicio. Cualquier cambio relevante será anunciado mediante aviso destacado en la plataforma o por correo electrónico antes de su entrada en vigor.