Política de tratamiento de datos personales

1.Dos papeles distintos, y conviene no confundirlos

Cuando una clínica usa CliniVentas hay dos tratamientos de datos que corren en paralelo y que la ley trata de forma diferente:

Sobre los datos de los pacientes la clínica es la responsable: decide qué recoge, para qué y durante cuánto tiempo, y es quien tiene que informar a sus pacientes y recabar su consentimiento. Nosotros somos encargados: los tratamos por cuenta de la clínica, siguiendo sus instrucciones, y no los usamos para nada propio.

Para los datos de la clínica como cliente nuestro, mira la política de privacidad.

2.Qué datos de pacientes pasan por el sistema

• Identificación y contacto: nombre o alias, número de WhatsApp, y el resto de datos de la ficha que la clínica decida rellenar.
• El contenido de la conversación: los mensajes de ida y vuelta, con sus fechas y su estado de entrega y lectura.
• Los archivos que el paciente envía: fotos, audios, vídeos y documentos, incluida la descripción o transcripción que el sistema genera de ellos.
• Datos de gestión comercial: etiquetas, etapa del embudo, origen del lead, vendedor asignado, tareas y motivo de pérdida.
• Citas agendadas desde la conversación.
• Notas internas que el equipo escribe sobre el paciente y que el paciente no ve.

3.Datos de salud: la parte delicada

Una foto de un rostro para valorar un tratamiento, una consulta sobre una dolencia o el historial de sesiones de un paciente son datos sensibles. La ley les da una protección reforzada y exige un consentimiento expreso, distinto del general.

4.Qué hacemos con esos datos — y qué no

Los tratamos únicamente para:

• Prestar el servicio contratado: centralizar las conversaciones, ordenarlas por etapas, ejecutar las automatizaciones que la clínica configure y mostrar sus indicadores.
• Dar soporte cuando la clínica lo pide.
• Mantener la seguridad y la integridad del sistema, incluidas las copias de seguridad.

Y estos son los límites, dichos sin rodeos:

• No vendemos ni cedemos los datos de pacientes a nadie.
• No los usamos para publicidad ni para elaborar perfiles con fines propios.
• No entrenamos modelos de inteligencia artificial con las conversaciones de tus pacientes.
• No los mezclamos entre clínicas: cada cuenta ve solo lo suyo.
• No accede nadie de nuestro equipo al contenido de las conversaciones salvo que la clínica lo pida para resolver una incidencia concreta, y solo durante esa incidencia.

5.La conexión con WhatsApp

CliniVentas se vincula al número de la clínica como un dispositivo más, igual que WhatsApp Web. Eso tiene dos consecuencias que conviene entender:

• Los mensajes viajan por la infraestructura de WhatsApp y quedan sujetos también a las condiciones y políticas de WhatsApp LLC y Meta Platforms, Inc., sobre las que no tenemos control.
• El cifrado de extremo a extremo de WhatsApp protege el mensaje entre los dispositivos vinculados. Como el CRM es uno de esos dispositivos, el contenido se descifra en él para poder mostrarlo, buscarlo y automatizarlo. No es un canal opaco para nosotros, y decirlo de otra forma sería engañarte.

CliniVentas es un producto independiente: no está afiliado, patrocinado ni respaldado por WhatsApp LLC ni por Meta Platforms, Inc.

6.El análisis con inteligencia artificial

El producto puede describir las fotos, transcribir los audios y proponer al vendedor una respuesta. Para eso, el contenido del mensaje se envía a los proveedores externos de análisis que figuran en la tabla del apartado 8 —Google, con Gemini, y OpenAI, con ChatGPT—, que lo procesan y devuelven el resultado.

• La sugerencia no se envía sola: siempre la revisa y decide una persona del equipo de la clínica.
• Los usamos a través de sus API, en la modalidad en la que el contenido enviado no se emplea para entrenar sus modelos. No usamos las aplicaciones de consumo ni los niveles gratuitos, donde esa garantía no existe.
• La clínica puede pedirnos que desactivemos esta función en su cuenta; el resto del producto sigue funcionando igual.

7.Quién accede a los datos dentro de la clínica

Cada persona del equipo entra con su propio usuario. La clínica decide quién ve qué, puede revocar el acceso de un dispositivo concreto y queda registro de la actividad relevante. Cuando alguien deja el equipo, es la clínica quien debe darle de baja: nosotros no sabemos quién sigue trabajando ahí.

8.Subencargados y dónde están

Para prestar el servicio nos apoyamos en los proveedores de abajo, con contrato de encargo y obligación de confidencialidad. Avisaremos a la clínica antes de incorporar uno nuevo, para que pueda oponerse.

Cuando el tratamiento ocurre fuera de Perú, exigimos por contrato un nivel de protección equivalente al de la Ley N.º 29733, Ley de Protección de Datos Personales y aplicamos las garantías previstas para el flujo transfronterizo.

9.Medidas de seguridad

• Tráfico cifrado en tránsito y credenciales de integración cifradas en reposo.
• Acceso por usuario, con sesiones que la clínica puede revocar por dispositivo.
• Copias de seguridad periódicas y verificadas.
• Separación estricta de los datos de cada cuenta.
• Registro de la actividad y vigilancia del sistema.
• Límite de envíos por hora, para no poner en riesgo el número de la clínica.

Ningún sistema es infalible. Si detectamos una brecha que afecte a datos de pacientes, se lo comunicaremos a la clínica sin dilación indebida con lo que sepamos, para que pueda cumplir sus propias obligaciones de notificación.

10.Cuánto se conservan y qué pasa al terminar

Mientras dure el contrato, los datos se conservan porque son el historial de trabajo de la clínica. La clínica puede borrar en cualquier momento un lead, una conversación o un archivo desde el propio producto.

Terminado el contrato, la clínica dispone de 30 días naturales para pedirnos la exportación de su información. Pasado ese plazo, suprimimos los datos de pacientes de los sistemas activos y de las copias de seguridad conforme al ciclo de rotación de estas, salvo lo que una norma nos obligue a conservar.

11.Cómo ejerce sus derechos un paciente

El paciente ejerce sus derechos de acceso, rectificación, cancelación y oposición ante la clínica, que es la responsable de sus datos. Si se dirige a nosotros, le indicaremos a quién acudir; no podemos resolver sobre datos que no son nuestros.

A la clínica sí le damos el soporte necesario para atender esas solicitudes: exportación, corrección o borrado de la información. Puede pedírnoslo en privacidad@cliniventas.com.

Si el paciente considera que sus derechos no han sido atendidos, puede reclamar ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

12.Obligaciones de la clínica

Al usar CliniVentas, la clínica se compromete a:

1. Informar a sus pacientes de que sus datos se tratan en una herramienta de gestión, y obtener el consentimiento que corresponda, expreso cuando haya datos de salud.
2. Introducir solo los datos necesarios para su finalidad, y no usar el canal para comunicaciones comerciales no consentidas.
3. Gestionar las altas y bajas de su equipo y el nivel de acceso de cada persona.
4. Atender los derechos que ejerzan sus pacientes.
5. Cumplir las condiciones de uso de WhatsApp para el número que vincula.

13.Cambios y contacto

Actualizaremos la fecha del encabezado cada vez que cambiemos este documento, y avisaremos a las clínicas con antelación cuando el cambio sea sustancial. Para cualquier cuestión sobre este tratamiento: privacidad@cliniventas.com o Av. Víctor Larco Herrera 877, Urb. Vista Alegre, distrito de Víctor Larco Herrera, Trujillo, La Libertad, Perú.