Política de Privacidad

1. Responsable del tratamiento

Vendora Solutions S.L. (en adelante, "Serenna") es la entidad responsable del tratamiento de tus datos personales.

• CIF: B21816756
• Domicilio: Carretera Barcelona 552, 2-3, 08204 Sabadell, Barcelona, España
• Email de contacto: info@serenna.es

2. Datos que recopilamos

Recopilamos los siguientes tipos de datos en función de cómo interactúes con nuestro servicio:

2.1. Datos proporcionados por el usuario

2.2. Datos generados por el uso del servicio

• Registros de actividad y logs de acceso
• Datos de uso y navegación dentro de la plataforma
• Dirección IP y datos técnicos del dispositivo

2.3. Datos de salud (categoría especial)

Los datos de pacientes (historiales clínicos, diagnósticos, tratamientos) son introducidos por las clínicas que utilizan Serenna. Serenna actúa como encargado del tratamiento de estos datos, siendo la clínica el responsable del tratamiento.

3. Finalidades del tratamiento

• Prestación del servicio contratado (gestión de clínica)
• Gestión de la cuenta de usuario y facturación
• Envío de comunicaciones relacionadas con el servicio
• Mejora del producto mediante análisis anónimos de uso
• Publicidad de Serenna en plataformas de Google dirigida a usuarios registrados, o exclusión de esa publicidad si ya eres cliente
• Cumplimiento de obligaciones legales

4. Base legal del tratamiento

5. Destinatarios de los datos

Tus datos pueden ser compartidos con los siguientes terceros, siempre bajo las garantías adecuadas:

• Stripe, Inc. — Procesamiento de pagos (con cláusulas contractuales tipo)
• Google LLC — Analítica web (Google Analytics 4, Google Tag Manager), medición de conversiones publicitarias (Google Ads). Para atribuir conversiones a nuestras campañas de Google Ads podemos compartir con Google datos de contacto que nos facilitas (como el correo electrónico), siempre cifrados mediante hash (función «Conversiones mejoradas»). Estos datos solo se comparten si has aceptado las cookies de marketing. Además, si te has registrado en Serenna, podemos subir a Google Ads tu correo electrónico, teléfono, nombre y país, cifrados mediante hash (función «Customer Match» o listas de clientes), para mostrarte anuncios de Serenna en Google, YouTube y Gmail o para dejar de mostrártelos si ya eres cliente. Puedes oponerte escribiendo a info@serenna.es y te retiraremos de esas listas. Si tu clínica activa la integración con Google Calendar, Google trata esos datos según tu propio contrato con Google (ver «Integración con Google Calendar»).
• Meta Platforms, Inc. — Integración de WhatsApp Business API y seguimiento de conversiones mediante Meta Pixel (ID: 1645822426520382). Meta Pixel recopila datos de navegación (páginas visitadas, acciones realizadas, datos del dispositivo y dirección IP) para medir la efectividad de campañas publicitarias en Facebook e Instagram. Las cookies asociadas son _fbp y _fbc, detalladas en nuestra Política de Cookies. Más información en la Política de Privacidad de Meta
• Google Cloud Platform (Firebase) — Alojamiento de datos y base de datos en servidores dentro de la UE

No vendemos ni cedemos datos personales a terceros con fines comerciales.

6. Transferencias internacionales

Algunos de nuestros proveedores (Stripe, Google, Meta) pueden tratar datos fuera del Espacio Económico Europeo. En todos los casos, se aplican las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea y/o el proveedor cuenta con certificación bajo el EU-US Data Privacy Framework (DPF).

7. Conservación de datos

• Datos de cuenta: mientras la cuenta esté activa + 5 años tras la baja
• Datos de facturación: 6 años (obligación fiscal)
• Datos de pacientes: según la normativa sanitaria aplicable (mínimo 5 años tras el último tratamiento)
• Logs de acceso: 12 meses
• Integración con Google Calendar: credenciales y correo de la cuenta conectada, mientras esté conectada y hasta 30 días después de desconectarla; copias temporales de cada lectura, entre 2 y 30 días; registro técnico de cambios, 90 días.

8. Tus derechos

Como titular de los datos, tienes derecho a:

• Acceso: solicitar una copia de tus datos personales
• Rectificación: corregir datos inexactos o incompletos
• Supresión: solicitar la eliminación de tus datos
• Portabilidad: recibir tus datos en formato estructurado
• Oposición: oponerte a determinados tratamientos
• Limitación: solicitar la restricción del tratamiento
• Retirada del consentimiento: puedes retirar tu consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada (Art. 7.3 RGPD)

Para ejercer estos derechos, envía un email a info@serenna.es indicando tu nombre, email asociado a la cuenta y el derecho que deseas ejercer. Responderemos en un plazo máximo de 30 días.

8b. Decisiones automatizadas

Serenna no realiza decisiones basadas únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente al usuario (Art. 22 RGPD).

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

9. Seguridad

Implementamos medidas técnicas y organizativas para proteger tus datos:

• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256)
• Autenticación segura y gestión de sesiones
• Acceso restringido al personal autorizado
• Monitorización y auditorías periódicas

9b. Integración con Google Calendar (opcional)

Qué hace. Si tu clínica la activa, Serenna se conecta a una o varias cuentas de Google para dos cosas, que se activan por separado:

1. Bloquear en Serenna las horas ocupadas de los calendarios de Google que elijáis, para que nadie reserve encima. Por ejemplo, las reservas que otra plataforma apunta en Google Calendar.
2. Mostrar en Google las citas de Serenna como «ocupado», en un calendario nuevo que Serenna crea para cada profesional.

Solo la persona propietaria o administradora de la clínica puede conectar una cuenta de Google. Conectarla no cambia cómo inicias sesión en Serenna.

Qué datos de Google usamos y para qué.

• El identificador de la cuenta y su correo electrónico, para saber qué cuenta está conectada y mostrársela a la administración de la clínica. Los guardamos mientras la conexión exista y hasta 30 días después de desconectarla.
• La lista de tus calendarios, con su nombre, zona horaria y tipo de permiso, para que la clínica elija qué calendarios conecta y a qué profesional corresponde cada uno. Guardamos solo el nombre, el identificador y la zona horaria de los calendarios que elegís; del resto, nada.
• De cada evento de los calendarios elegidos: su inicio y fin, si está confirmado o cancelado, si marca la hora como «ocupado» o «libre», si es una repetición de un evento periódico, si lo has rechazado y sus identificadores técnicos. Los usamos para crear, mover o quitar el bloqueo correspondiente en la agenda. Guardamos los intervalos y los identificadores mientras hagan falta para mantener el bloqueo al día.

Lo que no leemos nunca: el título, la descripción, el lugar, los invitados ni sus correos, los archivos adjuntos ni los enlaces de videollamada de tus eventos.

Qué escribimos en tu Google Calendar (solo si activáis «Mostrar en Google las citas de Serenna»).

• Un calendario nuevo por profesional, llamado «Serenna · [nombre de la clínica] · [nombre del profesional]».
• Por cada cita en firme, un evento privado titulado «Cita Serenna», con su hora de inicio y fin, marcado como ocupado.
• Nunca enviamos a Google el nombre, el teléfono ni el correo del paciente, el servicio, el diagnóstico, las notas, los importes ni los cobros. No invitamos a nadie y Google no envía avisos por estos eventos.
• Serenna no escribe ni borra nada en tus otros calendarios.

Quién ve lo que llega de Google. En la agenda de la clínica, el bloqueo aparece como «Ocupado · Google Calendar», sin más detalle. Esas horas dejan de ofrecerse en la agenda y en la web de reservas. Los pacientes no ven ningún dato del evento. El correo de la cuenta y los nombres de los calendarios solo los ve la administración de la clínica.

Cómo lo guardamos. Las credenciales de acceso que nos da Google se guardan cifradas (AES-256) en servidores de Google Cloud en la Unión Europea (Bélgica). No llegan nunca al navegador ni se escriben en los registros. Las copias temporales de cada lectura se borran automáticamente entre 2 y 30 días después. El registro técnico de cambios, que no incluye el contenido de los eventos, se borra a los 90 días.

Con quién lo compartimos. No vendemos estos datos, no los cedemos y no los usamos para publicidad. Solo salen de Serenna en tres casos: hacia tu propia cuenta de Google, cuando activáis la salida; hacia Google Cloud, como proveedor de alojamiento; y cuando lo exija la ley. No los usamos para crear, entrenar ni mejorar modelos de inteligencia artificial, ni los enviamos a asistentes de IA. Nuestro equipo no los consulta, salvo que la clínica nos lo pida para resolver una incidencia concreta, por seguridad o por obligación legal.

Cómo desconectar y borrar. Desde Ajustes → Google Calendar → «Desconectar». También puedes quitar el acceso desde tu cuenta de Google, en Seguridad → Conexiones con aplicaciones y servicios de terceros. Los bloqueos ya creados se mantienen, para que no se abran huecos por sorpresa, y la clínica puede quitarlos cuando quiera. Para pedir que borremos el resto, escribe a info@serenna.es.

Quién es responsable. La clínica decide activar la integración y qué calendarios conecta: es la responsable del tratamiento. Vendora Solutions S.L. (Serenna) trata estos datos por cuenta de la clínica, como encargada (art. 28 RGPD). Si se conecta el calendario personal de un profesional, tiene que conectarlo él o ella, o haberlo autorizado antes.

Uso limitado de los datos de Google. El uso que hace Serenna de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado (Limited Use).

9c. Inicio de sesión con Google

Utilizamos Google Sign-In como método de autenticación. Al iniciar sesión, Google nos proporciona tu nombre, dirección de email y foto de perfil. No accedemos a tu contraseña de Google ni a otros datos de tu cuenta.

10. Cookies

Utilizamos cookies propias y de terceros (Google Analytics, Meta Pixel) para analizar el uso de la web y medir la efectividad de nuestras campañas. Para más detalle sobre las cookies que utilizamos, su finalidad y duración, consulta nuestra Política de Cookies.

11. Comunicaciones por WhatsApp (Plataforma de WhatsApp Business de Meta)

Cuando tu clínica tiene habilitado el canal de WhatsApp y has dado tu consentimiento, utilizamos la Plataforma de WhatsApp Business, de Meta Platforms Ireland Ltd. («Meta»), para enviarte comunicaciones relacionadas con tu asistencia.

Papel de cada parte. Tu clínica es la responsable del tratamiento. Vendora Solutions S.L. actúa como encargado del tratamiento (art. 28 RGPD), operando el canal de WhatsApp por cuenta de la clínica. Meta actúa como subencargado.

Datos que se tratan por este canal. Tu número de teléfono, tu nombre, el contenido de los mensajes intercambiados (recordatorios y confirmaciones de cita, avisos de cambios o cancelaciones y respuestas a tus consultas) y metadatos técnicos de entrega (estado de envío y lectura, marcas de tiempo). Para dar de alta y mantener la cuenta de la clínica también se tratan el identificador de la cuenta de WhatsApp Business, el número de teléfono de la clínica y las plantillas de mensaje.

Finalidad. Enviarte recordatorios y confirmaciones de cita, avisos de cambios o cancelaciones y responder a tus consultas sobre el servicio. No utilizamos este canal para publicidad ni comunicaciones comerciales, salvo que hayas dado un consentimiento adicional y específico para ello. No vendemos tus datos ni los cedemos a Meta para sus propios fines publicitarios.

Base legal. Tu consentimiento para el uso del canal de WhatsApp (art. 6.1.a RGPD) y, para los mensajes relativos a una cita ya concertada, la ejecución de la relación de servicio (art. 6.1.b RGPD). Dado que un recordatorio de cita puede revelar tu condición de paciente (dato de categoría especial), el tratamiento se apoya además en tu consentimiento explícito (art. 9.2.a RGPD).

Conservación. Conservamos el contenido de las conversaciones durante un máximo de 12 meses desde el envío, y los metadatos de entrega (estado de envío y lectura, marcas de tiempo, identificadores técnicos y el registro que acredita el envío) durante un máximo de 24 meses, para la prestación, trazabilidad y prueba de licitud del servicio, salvo obligación legal de conservación superior o que solicites su eliminación antes. El contenido con relevancia clínica se incorpora a tu historia clínica, sujeta a su propio plazo legal de conservación (Ley 41/2002). Transcurridos esos plazos, los datos se eliminan automáticamente.

Transferencias internacionales. Meta puede tratar estos datos fuera del Espacio Económico Europeo, aplicando garantías adecuadas mediante las Cláusulas Contractuales Tipo de la Comisión Europea.

Tus derechos y eliminación de datos. Puedes ejercer tus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición —incluida la eliminación de los datos tratados a través de WhatsApp— escribiendo a info@serenna.es. Responderemos en el plazo máximo de un mes. Puedes retirar tu consentimiento a este canal en cualquier momento, sin que afecte a la prestación del servicio, respondiendo BAJA a cualquier mensaje o escribiendo a esa dirección. También puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

12. Eliminación de tus datos

Para solicitar la eliminación de los datos que tratamos sobre ti, incluidos los mensajes de WhatsApp, escribe a info@serenna.es indicando tu nombre y número de teléfono. Eliminaremos tus datos en un plazo máximo de un mes, salvo obligación legal de conservación.

13. Modificaciones

Podemos actualizar esta política para reflejar cambios en nuestras prácticas o en la legislación. Notificaremos cambios significativos por email o mediante un aviso en la plataforma.