Política de privacidad

FR ORTHO SOLUTIONS SOCIEDAD LIMITADA, con NIF B25937558 y domicilio social en C/ Santiago Bañeras, 8, 17253 Mont-ras (Girona), España, es responsable de PAO Finder como plataforma: tu cuenta profesional, la seguridad y el soporte del servicio, la trazabilidad interna de uso, la evaluación del funcionamiento del piloto, la intermediación entre el paciente y la ortopedia colaboradora que seleccione, y la relación comercial con esa ortopedia.

Para el contenido clínico concreto que un profesional introduce para orientar a su propio paciente (indicaciones e instrucciones de una hoja PAO), es el profesional quien determina la finalidad clínica y actúa como responsable de ese tratamiento; FR Ortho Solutions trata ese contenido por cuenta del profesional, según sus instrucciones — ver las Condiciones de Encargo de Tratamiento que todo profesional acepta antes de usar el área médica de PAO Finder.

La ortopedia colaboradora que el paciente selecciona pasa a ser responsable independiente de los datos que recibe para gestionar el contacto y la dispensación, desde el momento en que los recibe.

No consideramos que estos tres tratamientos impliquen una determinación conjunta de la finalidad y los medios entre las partes, por lo que no se presentan como corresponsables; reevaluaremos este modelo si en el futuro se introdujeran decisiones o recomendaciones compartidas (por ejemplo, un ranking) que pudieran cambiar esa valoración.

Para consultas generales o de privacidad puedes escribir a frorthosolutions@gmail.com.

• Profesionales registrados: datos de cuenta, email, rol y actividad necesaria para usar la plataforma.
• Hoja PAO: producto PAO seleccionado, referencia interna opcional no identificativa, indicaciones necesarias para la dispensación e instrucciones para el paciente.
• Solicitud a ortopedia: nombre, teléfono, email de contacto y mensaje opcional facilitados por la persona que envía la solicitud. Cuando el paciente llega a la ortopedia sin haber enviado antes su solicitud desde PAO Finder, el personal autorizado de esa misma ortopedia puede introducir estos mismos datos a partir de la información que el paciente le facilita en ese momento, dejando constancia de que la solicitud se introdujo así en vez de enviarla el propio paciente.
• Solicitudes de participación en el piloto: datos profesionales y de contacto que facilitas voluntariamente en los formularios para médicos y para ortopedias: nombre, email, teléfono, centro o consulta, localidad, nombre de la ortopedia, persona de contacto y un mensaje profesional opcional, según el formulario. Es un canal exclusivamente profesional y comercial: no solicitamos datos de pacientes ni información clínica, y el propio formulario advierte expresamente de que no deben incluirse en el mensaje opcional.
• Emails del circuito PAO/paciente: notificaciones operativas genéricas (confirmación de solicitud, cambios de estado, aviso a la ortopedia de una nueva solicitud) que nunca incluyen producto, código PAO ni ningún otro dato clínico. Cuando el profesional usa la función de envío de la hoja por correo, solo se envía el enlace público seguro de la hoja, nunca el producto ni el código PAO; el email introducido por el profesional no se guarda permanentemente en nuestra base de datos.
• Trazabilidad operativa y comercial: estados de solicitud, eventos de email, fecha de dispensación si se produce e importes de base/Comisión PAO Finder derivados de la solicitud.
• Actividad del profesional: búsquedas realizadas, productos PAO seleccionados desde un resultado, hojas creadas y solicitudes u operaciones que resulten de ellas, junto con métricas comerciales agregadas asociadas a tu actividad como profesional (ver "Seguimiento interno del piloto" más abajo).
• Telemetría propia no identificativa: búsquedas o clicks públicos sobre códigos PAO, sin guardar IP, fingerprint, cookie de seguimiento ni user-agent en la base de datos propia de PAO Finder.

La hoja puede incluir indicaciones de dispensación e instrucciones para el paciente. Estos datos se limitan a lo necesario para orientar la selección del producto, talla o modelo. No se pretende recoger una historia clínica completa.

Estos datos se crean y se consultan directamente entre tu navegador y nuestra base de datos (Supabase); nuestra aplicación web (alojada en Vercel) no los recibe ni los procesa en ese circuito.

Si actúas en nombre de otra persona, debes estar legitimado para facilitar sus datos y gestionar la solicitud.

Tratamos los datos para:

• prestar el buscador PAO y las funciones profesionales;
• crear y entregar la hoja de orientación;
• gestionar la solicitud con la ortopedia colaboradora elegida;
• facilitar la dispensación del producto;
• enviar notificaciones necesarias del servicio;
• dar soporte, seguridad y trazabilidad operativa;
• gestionar la relación comercial entre PAO Finder y la ortopedia;
• gestionar las solicitudes de participación en el piloto y ponernos en contacto con el profesional o la ortopedia que las envía;
• explicar cómo funciona el piloto y los siguientes pasos. Enviar el formulario no implica aceptación automática ni alta en el piloto.

No usamos los datos del paciente para marketing ni realizamos decisiones automatizadas con efectos jurídicos.

Para el contenido clínico que el profesional introduce para orientar a su propio paciente, el tratamiento se apoya en la base jurídica aplicable a la asistencia sanitaria del propio profesional — incluido el artículo 9.2.h RGPD cuando resulte aplicable, junto con la normativa sanitaria correspondiente. La declaración que el profesional confirma antes de crear cada hoja no se presenta como la única base jurídica de ese tratamiento sanitario.

Cuando envías una solicitud a una ortopedia colaboradora, tratamos tus datos de contacto con tu consentimiento (art. 6.1.a RGPD) y las indicaciones de salud asociadas a la hoja con tu consentimiento explícito (art. 9.2.a RGPD) para comunicarlas a la ortopedia seleccionada.

Para la cuenta profesional y el uso del servicio, la base es la ejecución del contrato de servicio (art. 6.1.b RGPD). Para seguridad, prevención de abusos y auditoría mínima operativa, la base es nuestro interés legítimo (art. 6.1.f RGPD). Para la relación comercial entre PAO Finder y la ortopedia colaboradora, la base es también la ejecución del contrato entre ambas (art. 6.1.b RGPD). Cuando exista una obligación fiscal o contable aplicable, la base para ese dato concreto es el cumplimiento de esa obligación legal (art. 6.1.c RGPD).

La conservación operativa limitada descrita más abajo se apoya, según el dato de que se trate, en nuestro interés legítimo de soporte sujeto a minimización, o en una obligación legal económica/fiscal cuando corresponda — nunca se presenta como una única base jurídica válida para todo el periodo de conservación.

Para dar soporte al piloto y detectar puntos de fricción, registramos internamente la actividad de cada profesional: búsquedas realizadas, productos PAO seleccionados desde un resultado de búsqueda, hojas creadas, y las solicitudes u operaciones de dispensación que resulten de ellas, junto con métricas comerciales agregadas (importe e comisión) asociadas a esa actividad profesional.

En la página pública de una hoja, registramos únicamente la primera vez que se consulta válidamente el enlace/QR de esa hoja. Ese registro: no guarda dirección IP; no guarda user-agent; no usa huella de dispositivo (fingerprint); no usa ninguna cookie de seguimiento; y no identifica quién abrió el enlace — puede haberlo abierto el paciente, un familiar o cualquier persona con acceso a él. Por eso lo describimos siempre como "QR/enlace abierto", nunca como "el paciente abrió" la hoja.

Usamos esta información exclusivamente para dar soporte al piloto, evaluar su funcionamiento, detectar puntos de fricción en el circuito y mejorar el servicio. No la usamos para tomar decisiones automatizadas, para remunerar al profesional, para puntuar clínicamente su actividad ni para elaborar ningún ranking público.

Cuando envías una solicitud, tus datos de contacto y las indicaciones asociadas a la hoja quedan accesibles para la ortopedia colaboradora que has seleccionado a través de su panel profesional, con acceso restringido a su propio personal autorizado. Puedes acudir libremente a cualquier ortopedia acreditada; PAO Finder no impone un centro. Cuando una solicitud se introduce porque ya estás presente en la ortopedia sin haberla enviado antes, quien introduce esos datos es personal autorizado de esa misma ortopedia colaboradora, nunca un tercero adicional.

También usamos proveedores tecnológicos necesarios para prestar el servicio: Supabase (base de datos, incluidos los datos de salud del circuito de la hoja/solicitud), Vercel (aplicación web, autenticación y funciones no sanitarias) y Resend (envío de emails). No son destinatarios comerciales; actúan como proveedores de infraestructura, autenticación, alojamiento o email. La región principal de nuestra base de datos se encuentra en la Unión Europea. Algunos de estos proveedores o sus subencargados pueden realizar tratamientos fuera del Espacio Económico Europeo. Cuando resulte aplicable, dichas transferencias deberán contar con las garantías exigidas por la normativa de protección de datos.

El papel de Resend no es el mismo en los dos circuitos. En el circuito PAO/paciente sigue entregando únicamente notificaciones operativas genéricas, que nunca incluyen producto, código PAO ni ningún otro contenido clínico. En los formularios profesionales de participación en el piloto, los datos que la persona introduce voluntariamente en el formulario se transmiten a Resend para realizar el envío. Estos formularios no solicitan datos de pacientes ni información clínica y advierten expresamente de que no deben incluirse en el mensaje opcional.

Mantenemos, como política operativa (no un plazo legal universal), la conservación de los datos personales y clínicos de una solicitud mientras esté activa y, cuando termina, durante un periodo operativo de soporte de 180 días para incidencias, duplicados o consultas relacionadas con la dispensación. Después se retiran los datos de contacto, mensajes y notas libres de esa solicitud. El contexto clínico, indicaciones y enlaces públicos de la hoja se retiran cuando no queda ninguna solicitud asociada activa o dentro de esa ventana de soporte.

Por separado, conservamos trazabilidad operativa minimizada (sin datos directos de contacto ni clínicos) como el producto PAO, fechas, estado, ortopedia elegida y evidencias mínimas de consentimiento, cuando sea necesario para control, soporte o auditoría del piloto.

Los datos económicos derivados de una solicitud (importes y comisión) pueden conservarse durante un plazo distinto cuando exista una obligación legal fiscal o contable aplicable.

El contenido de un formulario de participación en el piloto no se guarda como registro comercial en la base de datos de PAO Finder. El email que recibimos y la copia que te enviamos permanecen en los sistemas de correo necesarios para gestionar ese contacto. Por separado, conservamos una tabla técnica antiabuso y de idempotencia que solo contiene identificadores no reversibles (hash del email y del origen de la petición) y el estado técnico del envío, durante 30 días.

Puedes solicitar la supresión cuando corresponda escribiendo a frorthosolutions@gmail.com. Si una solicitud sigue activa, puede ser necesario resolverla o cancelarla antes de completar la supresión.

Puedes solicitar acceso, rectificación, supresión, oposición cuando corresponda, limitación del tratamiento, portabilidad cuando corresponda y retirada del consentimiento. Retirar el consentimiento no afecta a la licitud del tratamiento realizado antes de la retirada.

Para ejercerlos, escribe a frorthosolutions@gmail.com. Responderemos sin dilación indebida y, como máximo, en el plazo de un mes desde la recepción de tu solicitud. Ese plazo puede ampliarse hasta dos meses adicionales cuando la complejidad o el número de solicitudes lo justifique; si ampliamos el plazo, te lo informaremos dentro del primer mes, indicando los motivos. Si decidimos no atender tu solicitud, te lo comunicaremos también dentro del primer mes, explicándote los motivos y tu posibilidad de reclamar.

Podemos pedirte información adicional razonable para verificar tu identidad antes de atender la solicitud; no pedimos DNI por defecto, solo si existe una duda razonable sobre tu identidad.

Si actúas en representación de otra persona (por ejemplo, un familiar o tutor), debes contar con la legitimación o representación suficiente para ejercer estos derechos en su nombre.

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

Aplicamos medidas técnicas y organizativas razonables para limitar el acceso a los datos según el rol de cada usuario, proteger los enlaces públicos y mantener trazabilidad de operaciones relevantes. Ningún sistema puede garantizar seguridad absoluta.