Protección de Datos

1. Alcance y compromiso

DentalBox es un software de gestión para clínicas dentales que trata datos personales y datos de salud de pacientes. Reconocemos que los datos de salud son una categoría especialmente protegida y aplicamos medidas reforzadas para su tratamiento.

Esta página describe cómo DentalBox cumple con la normativa de protección de datos aplicable en cada país donde operan nuestras clínicas, incluyendo Latinoamérica, España y Estados Unidos. Complementa nuestra Política de Privacidad y nuestros Términos de Servicio.

2. Roles: responsable y encargado del tratamiento

En el marco de la prestación del servicio, los roles se distribuyen así:

• La clínica es el responsable del tratamiento (data controller / responsable): determina qué datos de sus pacientes recopila y con qué finalidad, y es quien mantiene la relación clínica con el paciente.
• DentalBox es el encargado del tratamiento (data processor / encargado): trata los datos por cuenta de la clínica, únicamente para prestar el servicio y según sus instrucciones, sin usarlos para fines propios.

DentalBox pone a disposición de cada clínica las herramientas para recabar el consentimiento del paciente, configurar el período de retención de la ficha clínica y atender las solicitudes de derechos, adaptándose a la ley de su país.

3. Normativa aplicable por país

DentalBox está diseñado para ser compatible, mediante configuración, con la normativa de protección de datos de cada país. La siguiente tabla resume la ley aplicable, la autoridad de control y la conservación referencial de la ficha clínica en cada jurisdicción.

Los períodos de retención son referenciales y configurables por cada clínica; conviene confirmarlos con asesoría legal local, ya que pueden variar por región o tipo de documento.

4. Derechos del titular de los datos

Con independencia del país, todo paciente (titular de los datos) puede ejercer, a través de su clínica, los derechos reconocidos por la normativa local. Estos suelen agruparse como derechos ARCO / ARSOPOL en Latinoamérica y derechos del RGPD en Europa:

• Acceso: conocer qué datos se tratan y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación / Supresión (derecho al olvido): eliminar los datos cuando ya no sean necesarios y la ley lo permita.
• Oposición: oponerse a determinados tratamientos.
• Portabilidad: recibir los datos en un formato estructurado y reutilizable (RGPD y leyes equivalentes).
• Limitación del tratamiento: restringir el uso de los datos en ciertos supuestos.
• Retiro del consentimiento: revocar en cualquier momento el consentimiento otorgado.

La clínica gestiona estas solicitudes desde la ficha del paciente y, cuando corresponde, con el apoyo de DentalBox como encargado del tratamiento.

5. Estados Unidos — HIPAA

En Estados Unidos, la información de salud protegida (PHI) se rige por HIPAA. En este marco, la clínica actúa como covered entity y DentalBox como business associate. La retención de registros médicos varía según el estado (referencia de 6 a 10 años), por lo que cada clínica configura el período aplicable. Implementamos salvaguardas administrativas, físicas y técnicas (cifrado, control de acceso por roles y registros de auditoría) acordes a las reglas de seguridad y privacidad de HIPAA.

6. España y Unión Europea — RGPD

Para clínicas en España, el tratamiento se rige por el RGPD (UE 2016/679) y la LOPDGDD. Los datos de salud son categorías especiales del artículo 9 del RGPD y su tratamiento se ampara en la finalidad de asistencia sanitaria y en el consentimiento del paciente. Aplicamos cláusulas contractuales estándar para transferencias internacionales y notificamos brechas de seguridad conforme al artículo 33 del RGPD.

7. Transferencias internacionales y seguridad

La infraestructura de DentalBox puede alojar datos en servidores ubicados fuera del país de la clínica (principalmente EE. UU. y la Unión Europea). Estas transferencias están amparadas por acuerdos de procesamiento de datos (DPA), cláusulas contractuales estándar y proveedores con certificaciones internacionales (SOC 2, ISO 27001, PCI-DSS). Los datos se cifran en tránsito (TLS) y en reposo (AES-256), con control de acceso por roles, aislamiento multi-clínica (Row-Level Security) y registros de auditoría.

8. Acuerdo de tratamiento de datos (DPA)

Las clínicas que lo requieran pueden solicitar un Acuerdo de Tratamiento de Datos (DPA / contrato de encargo de tratamiento) que regule la relación responsable–encargado conforme a su normativa local. Solicítalo escribiendo a nuestro equipo de privacidad.

9. Contacto de protección de datos