1) ¿Quién es el Responsable?

El responsable principal del tratamiento es SMILE2IMPRESS S.L., junto con las entidades del Grupo Impress (de ahora en adelante, Grupo Impress) que intervienen en la prestación del servicio en cada país, que podrán actuar como corresponsables del tratamiento cuando proceda, de conformidad con el artículo 26 del RGPD con la que usted contrata o se relaciona (por ejemplo, como paciente/usuario, profesional sanitario, partner, proveedor, candidato o visitante web).

Contacto privacidad: gdpr@smile2impress.com
Delegado de Protección de Datos (DPO): dpo@smile2impress.com

Las entidades del Grupo aparecen en el ANEXO II.

2) ¿Qué datos tratamos?

A. Datos clínicos (datos de salud – categoría especial):
radiografías, escaneos 3D, fotografías clínicas, diagnóstico, plan de tratamiento, evolución, y comunicaciones clínicas.

B. Datos comerciales y de cuenta:
identificación y contacto, citas, preferencias, incidencias, comunicaciones de soporte.

C. Datos económicos:
facturación, pagos, financiación (las entidades financieras suelen actuar como responsables independientes).

D. Datos técnicos:
IP, logs, dispositivo, navegación y cookies (según elección).

3) ¿Para qué usamos sus datos?

• Prestar atención odontológica y seguimiento.
• Planificar y fabricar dispositivos (alineadores y elementos asociados) con laboratorios y proveedores técnicos.
• Gestionar citas, soporte y calidad del servicio.
• Facturación y cobros, incluida financiación si se solicita.
• Seguridad y prevención de fraude.
• Cumplimiento legal (sanitario, fiscal, etc.).
• Marketing (solo según reglas claras abajo).

4) Marketing

• Clientes/pacientes: podemos enviar información de servicios similares (soft opt-in conforme a la normativa aplicable de comunicaciones comerciales). Siempre con baja fácil.
• No clientes: solo con consentimiento expreso.
• Publicidad personalizada: solo si acepta cookies publicitarias o habilita “anuncios personalizados” en la app/ajustes.

5) ¿Usamos Inteligencia Artificial (IA)?

Podemos usar IA como apoyo (por ejemplo, para organizar soporte o ayudar a planificar/visualizar tratamientos).
Nunca sustituye la decisión clínica: hay intervención humana y validación por profesionales sanitarios.

6) ¿Con quién compartimos datos?

Solo cuando es necesario:

• Clínicas partner / profesionales sanitarios
• Laboratorios y proveedores técnicos de fabricación
• Proveedores tecnológicos (hosting, CRM, comunicaciones)
• Pasarelas de pago
• Entidades financieras (si solicita financiación)
• Autoridades, cuando proceda legalmente

Nunca vendemos datos personales.

7) Transferencias internacionales

Si algún proveedor está fuera del EEE, usamos garantías legales (p. ej., Cláusulas Contractuales Tipo o decisiones de adecuación) y cuando sea necesario, medidas técnicas y organizativas complementarias para garantizar un nivel de protección equivalente al europeo.

8) Sus derechos

Acceso, rectificación, supresión, oposición, limitación, portabilidad, retirada de consentimiento y oposición a marketing/perfilado.
Ejercicio: gdpr@smile2impress.com
Puede reclamar ante la autoridad de control del país donde resida habitualmente (en España, AEPD).

POLÍTICA COMPLETA (DESARROLLO JURÍDICO)

1. ALCANCE Y COMPROMISO

Esta Política explica cómo tratamos los datos personales de:

• Usuarios/Pacientes
• Profesionales sanitarios
• Partners (clínicas colaboradoras), Proveedores y Consultores
• Inversores
• Candidatos
• Posibles clientes
• Visitantes web

Nos comprometemos a tratar los datos con legalidad, lealtad, transparencia, minimización y seguridad, conforme al RGPD y la normativa local aplicable.

2. RESPONSABLE DEL TRATAMIENTO, CONTACTO Y DPO

2.1 Responsable

El responsable es la entidad del Grupo Impress con la que usted mantiene relación. Como referencia corporativa en España:

SMILE2IMPRESS S.L.
NIF: B67402032
Domicilio: Av. Roma 81, 2º Núcleo E-F, 08029 Barcelona (España)
Email: gdpr@smile2impress.com

2.2 Delegado de Protección de Datos (DPO)

Email: dpo@smile2impress.com

2.3 Entidades del Grupo

Véase el ANEXO II.

3. CATEGORÍAS DE DATOS QUE TRATAMOS (CLÍNICOS VS COMERCIALES)

3.1 Datos clínicos (datos de salud – art. 9 RGPD)

• Radiografías, escaneos 3D, fotos clínicas
• Diagnósticos y notas clínicas
• Planificación del tratamiento, evolución y controles
• Información proporcionada en consulta o en el portal del paciente
• Comunicaciones clínicas (cuando aplique)

3.2 Datos comerciales y de cuenta

• Registro, identidad, contacto
• Citas y gestión de agenda
• Preferencias del servicio, incidencias y reclamaciones
• Comunicaciones con soporte (email, chat, teléfono)

3.3 Datos económicos

• Facturación y cobros
• Datos necesarios para pagos
• Financiación (si se solicita)

3.4 Datos técnicos

• IP, logs de seguridad
• Dispositivo, navegador, cookies (según elección)

3.5 Datos procedentes de terceros

Podemos recibir datos si usted lo autoriza (p. ej., login social) o si interactúa con nosotros por redes sociales/mensajería.

4. ORIGEN DE LOS DATOS

Los datos pueden provenir de:

• Usted (formularios, app, clínica, llamadas, chats)
• Su actividad en la app/portal del paciente
• Proveedores necesarios para prestar el servicio (p. ej., pasarela de pago)
• Terceros autorizados por usted (p. ej., login social)

5. FINALIDADES Y BASES LEGALES (MATRIZ ÚNICA)

Nota clave: Los datos de salud se tratan, con carácter general, para asistencia sanitaria (art. 9.2.h RGPD) y/o cumplimiento de obligaciones sanitarias, y con acceso restringido a personal autorizado.

5.1 Usuarios/Pacientes. Finalidades principales:

a) Prestación de servicios odontológicos (diagnóstico, planificación, seguimiento)

• Base legal: ejecución de contrato + art. 9.2.h RGPD + obligaciones sanitarias.

b) Fabricación y logística del dispositivo (alineadores y elementos asociados)

• Base legal: ejecución de contrato + art. 9.2.h RGPD (en lo necesario) + obligaciones de producto/dispositivo.
• Aclaración de roles (importante y “competitor-grade”):
• Responsable del historial clínico: la entidad sanitaria del Grupo que presta el tratamiento y/o la clínica que lo realiza (según el caso).
• Fabricante/laboratorio: trata los datos estrictamente necesarios para fabricación y control del producto. En función del flujo, puede actuar como encargado o como responsable independiente para su propia actividad regulada; en todo caso, existe contrato y garantías de confidencialidad y seguridad.

c) Gestión administrativa (citas, atención al cliente, incidencias, calidad)

• Base legal: ejecución de contrato + interés legítimo (calidad y mejora) cuando aplique.

d) Facturación, cobros y contabilidad

• Base legal: ejecución de contrato + obligación legal.

e) Financiación (si usted lo solicita)

• Base legal: ejecución de contrato / medidas precontractuales a petición del interesado.
• Las entidades financieras/brokers suelen actuar como responsables independientes para análisis de solvencia y formalización.

f) Seguridad y prevención del fraude

• Base legal: interés legítimo (seguridad y protección de la plataforma, prevención de fraude, seguridad de cuentas).

g) Investigación, estadísticas y mejora (preferentemente con datos anonimizados o agregados)

• Base legal: interés legítimo y/o obligación legal/estándares clínicos, según el caso.
• Siempre que sea posible, utilizaremos anonimización o seudonimización.

5.2 Marketing (reglas “limpias”)

a) Soft opt-in (solo clientes/pacientes):
Podremos enviar comunicaciones sobre servicios similares a los contratados.

• Base legal: interés legítimo / normativa aplicable de comunicaciones comerciales- LSSI en España-.
• Derecho de oposición: baja en cada comunicación y/o por email.

b) No clientes (leads):
Solo marketing con consentimiento expreso.

c) Publicidad personalizada / audiencias:
Solo si:

• acepta cookies publicitarias, o
• activa la opción correspondiente en ajustes (“anuncios personalizados”), o
• otorga consentimiento expreso equivalente.

d) Partners (cesión a terceros para marketing):
Solo con consentimiento expreso, informado e inequívoco, identificando destinatario/categorías.

6. DESTINATARIOS (QUIÉN RECIBE LOS DATOS Y POR QUÉ)

Podremos compartir datos solo cuando sea necesario, con las siguientes categorías:

1. Clínicas partner y profesionales sanitarios
   Para diagnóstico, toma de imágenes, revisiones, soporte clínico y ejecución del tratamiento.
2. Laboratorios dentales y proveedores técnicos
   Para escaneos, diseño y fabricación de alineadores u otros dispositivos médicos, y logística asociada.
3. Proveedores tecnológicos
   Hosting, almacenamiento seguro, CRM, comunicaciones, seguridad (p. ej., reCAPTCHA), analítica (según cookies).
4. Plataformas de pago
   Para procesar cobros (no almacenamos datos completos de tarjeta; tokenización cuando aplique).
5. Entidades financieras/brokers (si solicita financiación)
   Para evaluación, formalización y gestión del pago a plazos (normalmente como responsables independientes).
6. Aseguradoras
   Cuando sea necesario para la gestión de incidencias o siniestros asociados.
7. Autoridades públicas
   Cuando sea necesario para cumplimiento legal (sanitario, fiscal, judicial).

Nunca vendemos datos personales.

7. TRANSFERENCIAS INTERNACIONALES

Si transferimos datos fuera del EEE (por ejemplo, ciertos servicios de soporte/call-center, telecomunicaciones o proveedores tecnológicos), lo haremos aplicando:

• Cláusulas Contractuales Tipo de la Comisión Europea y medidas complementarias, y/o
• decisiones de adecuación, cuando existan.

Puede solicitar información adicional sobre las garantías aplicadas escribiendo a gdpr@smile2impress.com.

8. DECISIONES AUTOMATIZADAS Y PERFILADO

8.1 Decisiones automatizadas (art. 22 RGPD)

No adoptamos decisiones que produzcan efectos jurídicos o le afecten significativamente basadas únicamente en tratamiento automatizado en el ámbito clínico.

8.2 Perfilado/segmentación

Podemos realizar segmentación no clínica para:

• personalizar experiencia,
• mostrar contenido relevante,
• mejorar el servicio,
• limitar fraude,
• o personalizar marketing (solo cuando corresponda).

Usted puede oponerse al perfilado con efectos relevantes y, en todo caso, oponerse siempre al marketing directo.

9. INTELIGENCIA ARTIFICIAL (IA) — ENFOQUE MODERNO Y TRANSPARENTE

Podemos utilizar IA en procesos como:

• Atención al cliente (p. ej., chatbots asistidos por modelos lingüísticos) para resolver dudas administrativas o de soporte.
• Soporte a planificación y visualización de tratamiento mediante análisis de imágenes/fotos clínicas (cuando aplique).

Principios de seguridad y control en IA

• Intervención humana: toda decisión clínica relevante se valida por profesionales sanitarios.
• Minimización: usamos el mínimo dato necesario para la finalidad.
• No entrenamos modelos públicos con tus datos: exigimos contractualmente que los proveedores no utilicen los datos para entrenar modelos públicos.
• Protección de datos identificativos: aplicamos medidas para evitar exposición innecesaria y reforzar confidencialidad.

10. MEDIDAS DE SEGURIDAD

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, incluyendo:

• control de accesos por roles y necesidad de conocer,
• cifrado en tránsito y, cuando proceda, en reposo,
• registros y monitorización de seguridad,
• evaluación de proveedores y contratos RGPD,
• tokenización de pagos y estándares PCI DSS en proveedores de pago,
• medidas para prevenir accesos no autorizados, alteración o pérdida.

11. CONSERVACIÓN DE DATOS

Conservamos los datos durante:

• el tiempo necesario para la finalidad,
• la relación contractual y,
• posteriormente, los plazos legales de conservación y prescripción de acciones.

Los plazos orientativos y referencias legales están en el ANEXO I.
Cuando proceda, podemos conservar determinada información hasta 15 años si es necesaria para la defensa ante reclamaciones complejas o prescripción penal/fiscal, siempre bajo minimización y acceso restringido.

12. DERECHOS DE LAS PERSONAS

Usted puede ejercer:

• Acceso
• Rectificación
• Supresión
• Oposición
• Limitación
• Portabilidad
• Retirada del consentimiento (cuando aplique)
• Oposición a marketing directo y perfilado

Cómo ejercerlos: gdpr@smile2impress.com
También puede contactar al DPO: dpo@smile2impress.com

Si considera que no hemos atendido correctamente su solicitud, puede reclamar ante la autoridad de control del país donde resida habitualmente (en España, AEPD).

13. MENORES

Los servicios están dirigidos a mayores de edad, salvo que la normativa aplicable permita el tratamiento con autorización/representación legal y se verifique.

14. REDES SOCIALES Y CANALES DE MENSAJERÍA

Si nos contacta por redes sociales (p. ej., Instagram, Facebook) o mensajería (p. ej., WhatsApp), trataremos los datos necesarios para:

• responder consultas,
• soporte al paciente/cliente,
• gestión de incidencias.

El tratamiento también puede quedar sujeto a la política de privacidad de cada plataforma.

15. VIDEOVIGILANCIA Y CONTROL DE ACCESOS (si aplica en centros)

En centros y clínicas, puede existir videovigilancia sobre la base del interés legítimo en la seguridad de personas e instalaciones, conforme a normativa aplicable y señalización informativa.

16. CANAL ÉTICO

El Canal Ético permite comunicar conductas o incumplimientos normativos/éticos.
Los datos tratados se utilizarán para:

• tramitar comunicaciones,
• investigar hechos,
• proponer resoluciones,
• y, en su caso, comunicar a autoridades o adoptar medidas internas.

Se adoptan medidas para proteger la confidencialidad de identidad del informante y de las personas afectadas, con acceso restringido.

Contacto: compliance@smile2impress.com (o el que se indique en el canal habilitado)

17. INICIATIVAS SOCIALES / FUNCIONALIDADES DE APP (si aplica)

Si la app permite funciones sociales (p. ej., “añadir contactos”):

• solo se accederá a su agenda si usted lo autoriza explícitamente,
• se mostrará qué contactos ya son usuarios,
• y usted controla a quién añade y qué comparte (agregado o identificativo).

18. CAMBIOS EN ESTA POLÍTICA

Podremos actualizar esta Política cuando sea necesario.
Si hay cambios sustanciales, lo notificaremos de forma adecuada.

19. IDIOMA Y PREVALENCIA

En caso de discrepancia entre traducciones, prevalecerá la versión en español.

ANEXO I — PLAZOS GENERALES DE CONSERVACIÓN (ORIENTATIVO)

Los plazos pueden variar según el país, el tipo de relación (paciente, profesional, proveedor, etc.) y la finalidad concreta. Mantendremos los datos solo el tiempo necesario y aplicaremos bloqueo/limitación cuando proceda.

ANEXO II — EMPRESAS DEL GRUPO IMPRESS

ANEXO III — DEFINICIONES (BREVE)

• Responsable del tratamiento: decide fines y medios del tratamiento.
• Encargado del tratamiento: trata datos por cuenta del Responsable y bajo instrucciones.
• RGPD: Reglamento (UE) 2016/679.
• Datos de salud: datos relativos a la salud física o mental, incluidos datos clínicos odontológicos e imágenes.
• Perfilado: tratamiento automatizado para evaluar aspectos personales (p. ej., preferencias).
• Decisión automatizada: decisión basada únicamente en tratamiento automatizado con efectos jurídicos o similares.