Nexowave · Política de Privacidad
Versión: 2.0 Fecha: 2026-10-13 Ámbito: pacientes y usuarios de las clínicas que usan Nexowave, y titulares de las cuentas de clínica.
Aviso (no somos abogados). Este texto es material de partida redactado para
el uso real de la plataforma. Debe ser revisado por un abogado o delegado de
protección de datos (DPO) antes de su publicación y adaptado a cada clínica.
Nexowave no almacena historia clínica.
1. Quién trata tus datos y para qué
Nexowave es una plataforma de software para clínicas y profesionales de la salud. Trata datos personales en dos papeles distintos, según de quién sean los datos:
| Papel de Nexowave | De quién son los datos | Qué implica |
|---|---|---|
| Encargado del tratamiento (art. 28 RGPD) | Pacientes y clientes finales de cada clínica | Nexowave trata los datos por cuenta y siguiendo las instrucciones de la clínica, que es la responsable del tratamiento. |
| Responsable del tratamiento | Titulares y personal de las cuentas de clínica | Nexowave trata los datos de la cuenta (acceso, configuración, facturación) para prestarte el servicio. |
La clínica es la responsable del tratamiento de los datos de sus pacientes. Ella decide las finalidades, debe informarte y obtener la base jurídica que corresponda. Nexowave solo trata esos datos como encargado, conforme al Anexo de Tratamiento de Datos (DPA) que la clínica acepta al darse de alta.
2. Qué datos tratamos
2.1 Datos de pacientes (Nexowave actúa como encargado)
- Nombre y teléfono (o identificador de WhatsApp) para atender la conversación.
- Contenido de las conversaciones por WhatsApp y de las llamadas (texto;
transcripción y, solo si la clínica lo activa, grabación de voz).
- Datos de citas y agenda: fecha, hora, servicio y profesional asignado.
Datos que pueden revelar la salud (art. 9 RGPD). El hecho de que una
persona pida o tenga una cita en una clínica, y el tipo de servicio, pueden
revelar datos sobre su salud. Nexowave es consciente de ello y aplica las
garantías reforzadas de esta política y del DPA. **No se almacena historia
clínica**: no se guardan diagnósticos, tratamientos, informes ni imágenes
clínicas. El asistente de IA está configurado para **no diagnosticar, no
interpretar síntomas y no recomendar tratamientos**, y para no recoger datos
clínicos sensibles; ante una duda médica deriva a la clínica.
2.2 Datos de la cuenta de clínica (Nexowave actúa como responsable)
| Dato | Finalidad | Base jurídica |
|---|---|---|
| Email y contraseña (cifrada) | Autenticación y acceso | Ejecución del contrato (art. 6.1.b RGPD) |
| Datos fiscales de la clínica | Emitir facturas | Obligación legal (art. 6.1.c RGPD) |
| Configuración (plan, canales, horarios) | Prestar el servicio | Ejecución del contrato |
| Registros de actividad y uso | Seguridad, soporte y mejora | Interés legítimo (art. 6.1.f RGPD) |
| Datos | Finalidad | Base jurídica (la decide el negocio) |
|---|---|---|
| Nombre y teléfono (o identificador de WhatsApp) | Atender la conversación, gestionar reservas | Interés legítimo / relación precontractual |
| Contenido de las conversaciones (mensajes, pedidos, citas solicitadas) | Prestar el asistente, historial, seguimiento y calidad | Interés legítimo / contrato |
| Grabaciones/transcripciones de llamadas (si el negocio las activa) | Registro, calidad y consultas | Consentimiento informado del usuario final |
| Datos de reservas (cita, clase, bono, mesa, pedido) | Gestión de agenda | Interés legítimo / contrato |
| Datos de reseñas y seguimiento | Mejora del servicio del negocio | Interés legítimo |
Nexowave trata estos datos exclusivamente por instrucciones del negocio (como encargado del tratamiento), con las medidas de seguridad del [Anexo de Tratamiento de Datos](dpa-encargado-tratamiento.md).
3. Subencargados y dónde están (infraestructura real)
Para prestarte el servicio, Nexowave usa los siguientes proveedores. Cuando actuamos como encargados, estos son subencargados regulados por el DPA:
| Proveedor | Para qué sirve | Región |
|---|---|---|
| Supabase | Base de datos y autenticación | UE (Frankfurt) |
| Vercel | Alojamiento de la aplicación web | EE. UU. / UE (según la región de ejecución del despliegue) |
| Meta / WhatsApp Business (Cloud API) | Mensajería de WhatsApp | Global (Meta/WhatsApp Business Cloud API) |
| IA generativa y Google Calendar | EE. UU. | |
| Proveedor de IA (texto y voz) | Respuestas del asistente | EE. UU. (Proveedor de IA configurable (por defecto Google Gemini)) |
| Vapi (solo si la clínica activa llamadas) | Telefonía, voz y transcripción | EE. UU. |
4. Transferencias internacionales y garantías
Algunos proveedores tratan datos fuera del Espacio Económico Europeo (por ejemplo, en EE. UU.). Cuando ocurre, Nexowave aplica las garantías del capítulo V del RGPD: decisiones de adecuación de la Comisión Europea, cláusulas contractuales tipo o marcos válidos (como el EU-U.S. Data Privacy Framework), según el proveedor. No vendemos datos personales a terceros.
5. Conservación
Aplicamos el principio de limitación del plazo de conservación (art. 5.1.e RGPD). Los plazos concretos (conversaciones, transcripciones, facturas, registros) están detallados en la política de conservación y en el DPA. Puedes pedir el borrado anticipado de tus datos en cualquier momento por el canal del apartado 7.
6. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD): cifrado en tránsito (TLS/HTTPS), control de accesos por rol y por clínica (Row Level Security en la base de datos), cifrado en reposo del proveedor de base de datos, cifrado de los tokens de integraciones, credenciales de servicio nunca expuestas al navegador y registro de actividad. El detalle completo está en el Anexo de Tratamiento de Datos (DPA).
7. Tus derechos y cómo ejercerlos (contacto por WhatsApp)
Puedes ejercer los derechos de acceso, rectificación, supresión, portabilidad, oposición, limitación del tratamiento y retirar el consentimiento cuando quieras:
- Único canal de contacto: WhatsApp al +34 601 518 129 (disponible también para
incidencias y brechas de seguridad).
- Plazo máximo de respuesta: 1 mes desde tu
solicitud, ampliable en casos complejos informándote de los motivos.
- Procedimiento interno: registramos cada solicitud con **fecha, estado y
respuesta, verificamos tu identidad, localizamos los datos afectados y te respondemos por el mismo canal. Si el derecho afecta a datos que tratamos como encargado** de una clínica, derivamos la solicitud a la clínica (responsable) y la asistimos para responder en plazo.
- Si eres paciente de una clínica, también puedes dirigirte directamente a
la clínica como responsable del tratamiento.
Si no quedas satisfecho, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
8. Cookies y tecnologías de seguimiento
La plataforma usa solo cookies técnicas y necesarias para la autenticación y el funcionamiento del panel. No usamos cookies de publicidad ni de analítica de terceros. Si en el futuro se añadiera alguna herramienta no esencial, se actualizaría esta política y se mostraría el correspondiente aviso/banner de cookies.
9. Menores
El servicio está dirigido a mayores de 18 años. Cuando un menor acude a la clínica, el tratamiento de sus datos (que pueden ser datos de salud) lo decide y supervisa la clínica como responsable, con el consentimiento de sus padres o tutores cuando sea exigible.
10. Cambios en esta política
Notificaremos los cambios con 15 días de antelación por los canales habituales (panel y WhatsApp), salvo que sean urgentes por motivos legales. La versión vigente se publica siempre en esta página.
11. Contacto, privacidad y autoridad de control
- Contacto de privacidad y ejercicio de derechos: WhatsApp +34 601 518 129
(único canal público).
- Delegado de Protección de Datos: Sin delegado de protección de datos designado en la actualidad; contacto de privacidad por WhatsApp.
- Dominio del servicio:
- Autoridad de control: Agencia Española de Protección de Datos (AEPD).
<sub>Fin de la Política de Privacidad. Material de partida: debe validarlo un abogado/DPO. Nexowave actúa como encargado del tratamiento de los datos de los pacientes; la clínica es la responsable. Decisión del titular: en las páginas públicas no se publican razón social, NIF ni domicilio; el único método de contacto público es WhatsApp.</sub>