Política de privacidad

1. Dos niveles de datos, y no responde el mismo por los dos

Esta distinción ordena todo lo que sigue y conviene leerla primero.

• Datos del profesional o consultorio que contrata. Nombre, correo, teléfono, datos de facturación y registros de uso del sistema. Sobre estos, Sclubos es responsable del tratamiento.
• Datos de los pacientes cargados en el sistema. Incluyen datos sensibles de salud. Sobre estos, el consultorio contratante es el responsable del tratamiento y Sclubos actúa únicamente como encargado (art. 25 de la Ley 25.326), tratándolos por cuenta y orden del consultorio y sin aplicarlos a ninguna finalidad propia.

En la práctica: si sos paciente de un consultorio que usa Sc-nutricion y querés acceder, rectificar o suprimir tus datos, el pedido se dirige a tu profesional. Si sos el profesional, el interlocutor somos nosotros.

2. Qué datos se tratan

• Identificación y contacto: nombre, documento, fecha de nacimiento, teléfono, correo, domicilio, obra social y número de afiliado.
• Datos de salud (sensibles): anamnesis, antecedentes, notas de evolución, mediciones antropométricas, planes alimentarios y archivos adjuntos que el profesional decida incorporar.
• Datos económicos: cobros, cargos, saldos, comprobantes fiscales emitidos y liquidaciones a obras sociales.
• Datos técnicos: registros de acceso y de auditoría —qué usuario hizo qué y cuándo—, necesarios para la seguridad del sistema y para la trazabilidad que exige una historia clínica.

3. Finalidad y base legal

Los datos se tratan con la única finalidad de prestar el servicio de gestión contratado: registrar la atención, administrar la agenda, elaborar planes, gestionar cobros y emitir comprobantes.

La base legal del tratamiento de los datos de salud es el consentimiento del titular (arts. 5 y 7 de la Ley 25.326), que debe recabar el profesional, junto con la excepción del art. 8, que habilita a los establecimientos sanitarios y a los profesionales vinculados a las ciencias de la salud a tratar datos relativos a la salud de sus pacientes, respetando el secreto profesional.

No se usan datos de pacientes con fines publicitarios, no se ceden a terceros con fines comerciales, no se venden y no se emplean para entrenar modelos de inteligencia artificial.

4. Quién más interviene

Para prestar el servicio se utilizan proveedores de infraestructura que actúan como subencargados, sujetos a obligaciones de confidencialidad y seguridad:

• Alojamiento de la base de datos y de los archivos adjuntos (Supabase, sobre infraestructura de Amazon Web Services).
• Alojamiento y distribución de la aplicación web (Vercel).
• Organismos públicos, cuando la operación lo requiere: la emisión de un comprobante electrónico implica transmitir a ARCA los datos fiscales del receptor, conforme la normativa aplicable.

Algunos de estos proveedores alojan datos fuera del territorio argentino. Esa transferencia internacional se realiza en los términos del art. 12 de la Ley 25.326, con destino a jurisdicciones consideradas adecuadas o bajo cláusulas contractuales que imponen un nivel de protección equivalente. La región de alojamiento concreta se informa al Cliente a pedido.

5. Cómo se protegen

• La autorización vive en la base de datos, no en la pantalla. Cada tabla tiene políticas de acceso a nivel de fila: una consulta devuelve únicamente lo que el rol del usuario puede ver. Ocultar un botón no es un control de acceso; esto sí lo es.
• Separación por rol. El personal de recepción no accede a datos clínicos. El paciente accede solo a su propia información y a las métricas que su profesional decidió compartir.
• Archivos adjuntos en almacenamiento privado, accesibles solo mediante enlaces firmados de corta duración: una URL de un estudio no queda pública ni se puede compartir indefinidamente.
• Cifrado en tránsito en todas las comunicaciones y cifrado en reposo a nivel de disco por parte del proveedor de infraestructura.
• Copias de respaldo automáticas y registro de auditoría de las operaciones sensibles.

6. Acceso técnico del Prestador

Por transparencia conviene decirlo con todas las letras: el Prestador posee credenciales de administración que le permiten acceder técnicamente a la base de datos, como ocurre en cualquier servicio alojado. El cifrado en reposo mencionado arriba protege el almacenamiento frente a accesos físicos o externos; no impide el acceso de quien administra el sistema, y ningún proveedor que ofrezca soporte, respaldo o restauración puede afirmar lo contrario.

Ese acceso se rige por los siguientes compromisos:

• Se utiliza únicamente para operar el servicio: desplegar actualizaciones, ejecutar migraciones, restaurar respaldos y resolver incidencias reportadas por el Cliente.
• No se consultan datos clínicos de pacientes fuera de un pedido de soporte concreto del Cliente que lo requiera, y en ese caso se limita a lo mínimo necesario para resolverlo.
• El Prestador está alcanzado por el deber de confidencialidad del art. 10 de la Ley 25.326, que subsiste aun después de finalizada la relación.
• El Cliente puede solicitar en cualquier momento un informe de los accesos administrativos registrados sobre su instalación.

7. Cuánto tiempo se conservan

Mientras la suscripción esté vigente, y luego según lo previsto en la cláusula 9 de los Términos y condiciones: 30 días corridos para que el Cliente exporte y hasta 90 días corridos adicionales para la eliminación definitiva de datos productivos y copias de respaldo.

El plazo legal de conservación de la historia clínica —diez años desde la última actuación, conforme el art. 18 de la Ley 26.529— pesa sobre el profesional. El sistema permite exportarla en PDF en cualquier momento para que pueda cumplirlo.

8. Cookies

Sc-nutricion usa únicamente cookies técnicas: la que mantiene la sesión iniciada y las que recuerdan preferencias de visualización, como el tema o la densidad de las tablas. No se utilizan cookies publicitarias, de perfilado ni de seguimiento entre sitios, y no hay rastreadores de terceros en la aplicación.

9. Derechos de los titulares

Todo titular puede ejercer los derechos de acceso, rectificación, actualización y supresión de sus datos (arts. 14 y 16 de la Ley 25.326). Si sos paciente, dirigilos a tu profesional, que es el responsable de la base. Si sos el profesional contratante, escribinos a argsclubos@gmail.com.

Las siguientes leyendas son de inclusión obligatoria conforme la Disposición 10/2008 de la autoridad de aplicación:

EL TITULAR DE LOS DATOS PERSONALES TIENE LA FACULTAD DE EJERCER EL DERECHO DE ACCESO A LOS MISMOS EN FORMA GRATUITA A INTERVALOS NO INFERIORES A SEIS MESES, SALVO QUE SE ACREDITE UN INTERÉS LEGÍTIMO AL EFECTO CONFORME LO ESTABLECIDO EN EL ARTÍCULO 14, INCISO 3 DE LA LEY Nº 25.326.

LA AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, EN SU CARÁCTER DE ÓRGANO DE CONTROL DE LA LEY Nº 25.326, TIENE LA ATRIBUCIÓN DE ATENDER LAS DENUNCIAS Y RECLAMOS QUE SE INTERPONGAN CON RELACIÓN AL INCUMPLIMIENTO DE LAS NORMAS SOBRE PROTECCIÓN DE DATOS PERSONALES.

10. Menores de edad

Cuando el paciente sea menor de edad, el consentimiento para el tratamiento de sus datos y el eventual acceso al portal deben ser prestados por quien ejerza su representación legal, con la intervención del menor que corresponda según su grado de madurez conforme los arts. 24 y 26 del Código Civil y Comercial.

11. Contacto

Consultas sobre esta política, pedidos de ejercicio de derechos o denuncias de incidentes de seguridad: argsclubos@gmail.com o +54 9 381 549-3274, San Miguel de Tucumán, Provincia de Tucumán.