Política de privacidad
Versión vigente: 16 de septiembre de 2026.
1. Responsable
Mikel Ros Añon, persona física responsable de anestesiADO.
Domicilio: Don Francisco Salinas Quijada 23, 31500 Tudela, Navarra.
Contacto y ejercicio de derechos: info@anestesiado.com.
2. Datos tratados
Para gestionar el acceso privado se tratan el correo, identificadores internos de cuenta, permisos, sesiones, enlaces de activación o recuperación y datos técnicos estrictamente necesarios para seguridad. Para emitir informes se tratan nombre, apellidos y número de colegiado. El informe conserva temporalmente una instantánea de esos datos profesionales.
No se solicitan datos identificativos del paciente. El profesional debe evitar introducirlos en el texto libre. Las selecciones clínicas y el texto del informe pueden constituir información personal o sanitaria si, por su contenido o contexto, permiten identificar a alguien.
3. Finalidades y bases jurídicas
- Gestionar la cuenta, autenticación y acceso privado solicitado: ejecución de la relación de servicio (art. 6.1.b RGPD).
- Atribuir el informe a la cuenta profesional que lo genera y mantener la seguridad, trazabilidad e integridad del servicio: interés legítimo del responsable y de los usuarios en identificar el origen del documento y prevenir usos indebidos (art. 6.1.f RGPD), aplicando acceso restringido, minimización y controles técnicos.
- Atender solicitudes de derechos y obligaciones legalmente aplicables: cumplimiento de obligación legal en los casos correspondientes (art. 6.1.c RGPD).
Nombre, apellidos y número de colegiado son necesarios para emitir informes. Sin completarlos puede consultarse la herramienta, pero no generar el documento final.
4. Informes y QR
El nombre, apellidos y número de colegiado asociados a la cuenta se incorporan a la vista, impresión y PDF. Una modificación posterior del perfil no cambia automáticamente los informes ya emitidos. La identificación incluida no equivale por sí sola a firma electrónica.
El QR contiene un token aleatorio, no datos personales en la URL. Cualquier persona que disponga del enlace puede descargar el PDF sin cuenta durante su vigencia. Para los nuevos informes, el enlace caduca 60 minutos después de reservarlo. Una copia ya descargada, impresa o reenviada queda fuera del control técnico de anestesiADO.
5. Conservación
El perfil se mantiene mientras el acceso permanezca activo. La revocación elimina el perfil profesional de la base de datos activa y bloquea las sesiones, aunque se conserva el correo en la lista de autorización para acreditar y aplicar el estado revocado o permitir una futura reautorización. Puede solicitarse el cierre definitivo; el bloqueo o conservación adicional sólo se aplicará cuando exista una responsabilidad legal concreta. Los nuevos enlaces de informe dejan de ser accesibles a los 60 minutos y la limpieza elimina progresivamente PDF, manifiesto e índice. Los registros técnicos de auditoría se conservan actualmente un máximo de 180 días. Las copias de seguridad siguen los plazos del proveedor y los datos suprimidos no se restituyen al servicio activo sin aplicar nuevamente las supresiones correspondientes.
6. Proveedores y destinatarios
Cloudflare presta el alojamiento, seguridad perimetral y almacenamiento temporal privado de informes; el bucket de producción está configurado con jurisdicción de la Unión Europea. Supabase presta autenticación y base de datos en la región de Irlanda. Resend envía invitaciones y recuperaciones: recibe el correo y el enlace, no el perfil ni el informe; declara almacenamiento de contenido y registros en Estados Unidos y garantías mediante cláusulas contractuales tipo y el marco de privacidad UE-EE. UU. Pueden intervenir sus subencargados conforme a sus contratos.
Los destinatarios legítimos del PDF son quienes decida el profesional o posean legítimamente el QR. No se comunica el perfil con fines publicitarios.
7. Derechos
Puede solicitar acceso, rectificación, supresión, oposición o limitación y, cuando corresponda, portabilidad, escribiendo a info@anestesiado.com. Se verificará la identidad de forma proporcionada. También puede reclamar ante la Agencia Española de Protección de Datos.
8. Seguridad y alcance
Se aplican autorización previa, verificación del correo, contraseñas gestionadas por el proveedor de identidad, sesiones seguras, controles de acceso en servidor, limitación de intentos, HTTPS, almacenamiento privado y caducidad de enlaces. Ninguna medida elimina completamente el riesgo. No se incorporan trackers ni analítica de terceros.
9. Límite y gestión de sesiones
Actualización de este apartado: 19 de septiembre de 2026. Cada cuenta puede mantener dos sesiones simultáneas. Se conserva un identificador interno, fechas de inicio, última actividad y caducidad, y una descripción aproximada del navegador y sistema operativo. No se utiliza fingerprinting ni la IP para identificar dispositivos. La actividad se comunica sin contenido del formulario, teclas ni datos clínicos.
Las sesiones caducan tras 30 minutos sin actividad o, como máximo, 12 horas desde el inicio. La limpieza técnica periódica elimina las sesiones caducadas. Para sustituir una sesión desde un tercer navegador se envía un código mediante Resend al correo de la cuenta; el código caduca a los 10 minutos, admite hasta 5 intentos y la autorización verificada dura como máximo 5 minutos, sin prolongar la caducidad inicial. Los códigos no se almacenan en claro en la base de datos. Las verificaciones caducadas o utilizadas se eliminan en la limpieza periódica. Los eventos de seguridad siguen la conservación de 180 días indicada anteriormente. Esta medida reduce posibilidades de uso compartido, pero no acredita quién utiliza físicamente cada dispositivo.