Política de privacidad

01Lo primero: aquí hay dos responsables distintos

De esto depende todo lo demás, y por eso va antes que nada. Según quién seas, quien responde de tus datos es Luqen o es el centro que te atiende — y a quien tienes que escribir cambia con ello.

02Responsable del tratamiento

Respecto de los datos de la cuenta y de sus usuarios, el responsable es:

Luqen no ha designado delegado de protección de datos. La obligación del artículo 37.1 del RGPD se ha valorado y hoy no concurre: el tratamiento de datos de salud que Luqen realiza lo hace por cuenta de sus clientes, en calidad de encargado, y no constituye su actividad principal en el sentido de esa norma. La valoración se revisa al crecer.

03Los datos de tu cuenta: qué, para qué y con qué base

Si eres el titular de un centro o un usuario de su cuenta, estos son los tratamientos en los que Luqen actúa como responsable.

El registro de accesos solo admite añadir: no se puede modificar ni borrar desde la aplicación. Un registro de accesos editable no sirve para lo que existe.

04Los datos de pacientes: Luqen es encargado, no responsable

Todo lo que un centro guarda sobre sus pacientes —la ficha, la documentación clínica, las citas, los documentos firmados, los cobros— lo trata Luqen por cuenta de ese centro y siguiendo sus instrucciones. El responsable es el centro, y Luqen actúa como encargado del tratamiento.

Esa relación se formaliza en el Anexo del artículo 28 del RGPD que forma parte de las Condiciones de uso que el centro firma al darse de alta. Allí están las diez obligaciones del encargado, las medidas de seguridad, el régimen de subencargados y qué ocurre con los datos al terminar.

Luqen no accede a esos datos para ninguna finalidad propia, no los comparte con otros centros, no los vende y no los utiliza para entrenar modelos de inteligencia artificial. Los accesos por soporte, cuando el centro los solicita, quedan registrados.

05Datos de salud

la documentación clínica que un centro guarda aquí incluye datos relativos a la salud, que son categoría especial del artículo 9 del RGPD y están sujetos a un régimen más estricto.

La base que ampara su tratamiento es el artículo 9.2.h del RGPD: fines de medicina preventiva, diagnóstico médico y prestación de asistencia sanitaria, por profesionales sujetos a la obligación de secreto profesional. Es decir, no hace falta un consentimiento específico para tratar los datos con fines asistenciales, sin perjuicio del deber de informar y de los consentimientos que exijan actos concretos.

Luqen los trata únicamente por cuenta del centro y bajo esa misma cobertura, con acceso restringido por rol, aislamiento de los datos de cada centro a nivel de registro, y registro de los accesos y las exportaciones.

06Cuánto se conserva la documentación clínica

El mínimo estatal son 5 años desde el alta de cada proceso asistencial (Ley 41/2002, art. 17). Las dos partes de esa frase importan: no son 5 años desde la última visita. Un paciente con tres episodios tiene tres relojes, no uno.

Y varias comunidades han legislado por encima de ese mínimo:

Solo aparecen las comunidades cuya norma propia se ha verificado. En el resto se aplica el mínimo estatal, que es un mínimo: quedarse ahí no infringe por defecto.

07Los agentes de inteligencia artificial

La aplicación incluye dos funciones opcionales que emplean inteligencia artificial, y solo funcionan si el centro las contrata y las activa: el agente de WhatsApp, que atiende el número del centro, y el agente de voz, que atiende sus llamadas.

Esa obligación es de los dos: de Luqen, que provee el sistema con la identificación puesta, y del centro, que lo despliega frente a sus pacientes. Contratar la tecnología a un tercero no traslada el cumplimiento, y el centro sigue obligado a informar a los suyos conforme al artículo 13 del RGPD.

Qué recorre un mensaje o una llamada: el contenido se envía a los proveedores que figuran en la tabla de encargados —hoy YCloud, Meta Platforms Ireland Ltd., Anthropic, Retell AI, ElevenLabs, Deepgram, Microsoft (Azure Speech), Soniox, OpenAI, Zadarma—, y solo para producir la respuesta de ese momento. Ninguno lo conserva ni lo emplea para entrenar sus modelos, y así se les exige por contrato.

Las grabaciones de las llamadas se conservan un máximo de 7 días, y las elimina el proveedor de voz, en cuyos sistemas residen. El resumen y la clasificación de la llamada sí se guardan en la base de datos del centro, sin necesidad de conservar el audio.

Ninguna función de la aplicación escribe en la historia clínica. No hay dictado, ni redacción automática de evoluciones, ni resúmenes de la historia: lo que consta en una historia lo ha escrito y firmado un profesional.

08Decisiones automatizadas

No se adoptan decisiones automatizadas que produzcan efectos jurídicos sobre una persona o le afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD, y no se elaboran perfiles.

Se dice aunque la respuesta sea que no las hay, porque el artículo 13.2.f obliga a informar de ello y porque en una aplicación con agentes de IA el silencio se lee como un sí.

Los agentes gestionan citas: consultan disponibilidad, dan, cambian y anulan. No valoran si un tratamiento es adecuado, no interpretan datos clínicos y no toman decisiones sanitarias. Los avisos y cálculos que la aplicación muestra —ocupación, plazos de conservación, alertas de la ficha— son ayudas a la organización del trabajo, no dictámenes.

09Quién más interviene

Luqen recurre a los proveedores siguientes para prestar el servicio. Todos tienen la consideración de encargados o subencargados del tratamiento, y con todos se ha suscrito el contrato del artículo 28 del RGPD, imponiéndoles las mismas obligaciones.

Fuera de esta relación, los datos solo se comunican a juzgados, tribunales, fuerzas y cuerpos de seguridad y administraciones públicas cuando exista obligación legal.

Cualquier incorporación o sustitución de un proveedor se comunica al centro con treinta días naturales de antelación, y puede oponerse por motivos fundados y resolver sin penalización.

10Transferencias fuera del Espacio Económico Europeo

La base de datos y los documentos se alojan en la Unión Europea. Algunos proveedores auxiliares operan desde terceros países, y en la tabla anterior figura, proveedor a proveedor, el mecanismo que ampara cada transferencia: decisión de adecuación o cláusulas contractuales tipo, complementadas cuando procede con medidas adicionales.

Luqen verifica periódicamente que esos mecanismos siguen vigentes. Si alguno dejara de serlo, se sustituye el proveedor o se adoptan medidas adicionales, informando al centro.

11Cuánto tiempo se conserva cada cosa

Las copias de seguridad se cifran antes de salir de la plataforma y se guardan fuera de ella. No se consultan salvo para restaurar el servicio tras un incidente, y se sobrescriben por rotación.

12Tus derechos

Si eres el titular de un centro, puedes ejercer estos derechos escribiendo a contacto@luqen.es. Si eres paciente, dirígete al centro que te atiende.

• Acceso (art. 15): saber qué datos tuyos se tratan y obtener una copia.
• Rectificación (art. 16): corregir los que sean inexactos o incompletos.
• Supresión (art. 17): que se borren, con la excepción que se explica justo debajo.
• Limitación (art. 18): que se conserven pero no se usen mientras se resuelve una controversia.
• Portabilidad (art. 20): recibirlos en un formato estructurado y de uso común.
• Oposición (art. 21): oponerte a un tratamiento basado en interés legítimo.
• No ser objeto de decisiones automatizadas (art. 22): hoy no las hay, según se explica más arriba.

La solicitud se responde en el plazo de un mes, ampliable a dos si su complejidad lo requiere, avisando del motivo, conforme al artículo 12.3.

Si consideras que tus derechos no han sido debidamente atendidos, puedes reclamar ante la Agencia Española de Protección de Datos, en www.aepd.es. No es necesario reclamar antes a Luqen ni al centro.

13Seguridad, y qué pasa si algo sale mal

• Cifrado de las comunicaciones en todos los accesos, y de los datos en reposo.
• Aislamiento de los datos de cada centro a nivel de registro: ningún cliente puede acceder a los de otro. No lo impide el código de la aplicación, lo impone la propia base de datos.
• Segregación de permisos por rol, distinguiendo el acceso clínico del administrativo.
• Registro de accesos y exportaciones que solo admite añadir.
• Segundo factor de autenticación disponible, con códigos de recuperación guardados de forma irreversible.
• Copias de seguridad cifradas con clave pública antes de salir de la plataforma. Quien tenga acceso al almacén tiene ficheros ilegibles: la clave privada no está allí.

Ninguna medida es absoluta. Si se produce una violación de la seguridad que afecte a datos tratados por cuenta de un centro, Luqen se lo notifica sin dilación indebida y en todo caso dentro de las veinticuatro horas siguientes, con la información necesaria para que pueda cumplir sus propias obligaciones. La notificación a la Agencia y, en su caso, a los afectados, corresponde al centro en su condición de responsable, en el plazo de setenta y dos horas del artículo 33.

14Cambios en esta política

Esta política puede modificarse para adaptarla a cambios normativos, a nuevas funcionalidades o a un cambio de proveedores. La fecha de la última actualización figura arriba.

Los cambios que afecten de forma sustancial al tratamiento se comunican con antelación razonable, y los que impliquen un nuevo subencargado, con los treinta días que fija el contrato.