Esta política describe cómo Prevox recopila, trata y protege sus datos personales, incluidos sus datos de salud (artículo 9 del RGPD). Está destinada a leerse junto con las Condiciones Générales.
1. Quién es responsable de sus datos?
Prevox SAS (pendiente de inscripción), domicilio social por confirmar, Francia. Responsable del tratamiento en el sentido del artículo 4 del RGPD. DPO disponible en dpo@prevox.health.
2. Que datos recopilamos?
- Identidad: apellidos, nombre, correo electrónico, fecha de nacimiento, sexo administrativo.
- Datos de salud (art. 9 RGPD): antecedentes, alergias, tratamientos, vacunas, documentos médicos, puntuación Ophamir, sesiones MindWatch.
- Datos conectados: wearables (frecuencia cardíaca, sueño, HRV) si usted activa la sincronización con Apple Health / Health Connect.
- Datos técnicos: dirección IP, tipo de dispositivo, registros de conexión (artículo 6.1.f, interés legítimo de seguridad).
- Datos de uso compartido: permisos concedidos a sus médicos (quién, qué, durante cuánto tiempo), registro de auditoría inmutable.
3. Sobre que base jurídica?
- Consentimiento explícito (art. 9.2.a RGPD) para los datos de salud.
- Ejecución del contrato de servicio (art. 6.1.b) para la prestación de Prevox.
- Interés legítimo (art. 6.1.f) para la seguridad y la prevención del fraude.
- Obligación legal (art. 6.1.c) de conservar los registros de acceso sanitario durante 10 años (decreto francés 2016-994).
4. Para que se utilizan sus datos?
- Ofrecerle un expediente médico cifrado de extremo a extremo, accesible desde sus dispositivos.
- Calcular su puntuación preventiva Ophamir sobre datos que usted conserva.
- Permitirle compartir una parte de su expediente con médicos, durante un tiempo limitado y con un alcance preciso.
- Notificarle sus citas, recordatorios de medicación y señal del día (notificaciones elegidas por usted).
- Investigación científica anonimizada, únicamente si usted la ha aceptado explícitamente, nunca por defecto.
5. Cuánto tiempo conservamos sus datos?
- Datos activos: mientras su cuenta esté activa.
- Datos de salud tras la eliminación de la cuenta: 30 días en período de recuperación y, a continuación, borrado definitivo y criptográfico.
- Registros de acceso a los datos de salud: 10 años (decreto francés n.º 2016-994).
- Copias de seguridad cifradas: 90 días como máximo.
6. ¿Quién puede acceder a sus datos?
Prevox aplica un modelo zero-trust: ni siquiera nuestros equipos pueden descifrar su expediente. Los únicos accesos posibles son:
- Usted mismo, desde sus dispositivos.
- Los médicos a los que USTED ha concedido un permiso, dentro del alcance y la duración que usted ha definido.
- Los 5 titulares Shamir del escrow de Prevox, y únicamente si usted activa la recuperación y al menos 3 reconstituyen la clave (procedimiento documentado).
- Nuestros proveedores técnicos de alojamiento, Supabase (base de datos) y Vercel (sitio web), que solo ven texto cifrado. No están certificados HDS. Los datos se alojan en la región de la persona: en Dublín para Europa, en Canadá para Canadá.
7. Seguridad
- Cifrado AES-256-GCM para sus datos en reposo.
- Derivación de clave Argon2id a partir de su contraseña.
- Claves RSA-OAEP-2048 por usuario, clave privada nunca en claro en el servidor.
- Envoltorio RSA-OAEP por permiso (Chantier K) para el uso compartido: revocar un permiso destruye criptográficamente el acceso del médico.
- Shamir 3 de 5 para la recuperación, 5 titulares independientes.
- Cadena hash SHA-256 sobre el registro de auditoría (cada acceso es verificable).
- Alojamiento en la región de la persona: en Dublín para Europa, en Canadá para Canadá. Cada nuevo país recibe su propia base, anunciada en su apertura.
- Pruebas de penetración anuales (a planificar una vez financiadas).
8. Sus derechos
- Acceso: descargar la totalidad de sus datos en cualquier momento.
- Rectificación: corregir un dato erróneo.
- Supresión: eliminar su cuenta. Tenga en cuenta que, para sus datos cifrados, la supresión es criptográfica (pérdida definitiva).
- Oposición: retirar un permiso con 1 clic (el acceso del médico desaparece, también criptográficamente).
- Portabilidad: exportar en formato estándar (FHIR en hoja de ruta).
- Reclamación ante la AEPD o la CNIL: www.cnil.fr/fr/plaintes.
9. Menores
Prevox está reservado a las personas de 16 años o más. Para los menores de entre 16 y 18 años, puede requerirse el consentimiento parental según los usos (compartir con un médico, investigación).
10. Cookies
El sitio Prevox utiliza únicamente cookies estrictamente necesarias para el funcionamiento (sesión). Sin rastreadores de terceros, sin cookies de marketing.
11. Modificación de la política
Cualquier modificación sustancial se le notificará por correo electrónico y mediante un banner en la app, 30 días antes de su entrada en vigor.
12. Contacto
DPO: dpo@prevox.health. Soporte: support@prevox.health. Dirección postal: por confirmar.