Compromiso de Terapli con el cumplimiento
Terapli asume el compromiso de cumplir íntegramente con toda la regulación aplicable en materia de protección de datos personales y privacidad. Dado que nuestra plataforma procesa datos de carácter especial (datos de salud mental), aplicamos medidas de seguridad y procedimientos que exceden los requisitos mínimos legales para garantizar que los datos de tus pacientes están protegidos bajo los más altos estándares internacionales.
Este documento detalla el marco legal, organizativo y técnico que sustenta nuestra operación conforme a RGPD y legislación española.
1. Marco legal aplicable
Terapli cumple con la siguiente regulación:
Reglamento (UE) 2016/679 (RGPD)
Regulación fundamental sobre la protección de personas físicas en lo que respecta al tratamiento de datos personales. Establece derechos de los interesados y obligaciones de responsables y encargados.
Ley Orgánica 3/2018 (LOPDGDD)
Normativa española de protección de datos que desarrolla y complementa el RGPD. Establece mecanismos de aplicación en el contexto nacional, incluyendo competencias de la AEPD.
Ley 34/1988 (LSSI-CE)
Ley sobre Servicios de la Sociedad de la Información y Comercio Electrónico. Regula aspectos de cookies, comunicaciones electrónicas y seguridad de servicios digitales.
Ley 41/2002 (Ley de Autonomía del Paciente)
Regulación específica sobre protección de datos de salud en España. Establece requisitos particulares para el tratamiento de información sanitaria.
Real Decreto 1720/2007 (RLOPD)
Reglamento de desarrollo de la anterior ley de protección de datos. Regula aspectos procedimentales y medidas de seguridad.
2. Roles y responsabilidades en Terapli
Terapli actúa en diferentes funciones según el contexto de tratamiento:
Responsable del tratamiento (Controlador)
Para datos de tu cuenta de terapeuta (correo, perfil, datos de facturación, uso de la plataforma), Terapli actúa como responsable del tratamiento. Esto significa que:
- Determinamos los fines y medios del tratamiento
- Somos responsables ante ti y ante la autoridad de control
- Garantizamos el cumplimiento de derechos de acceso, rectificación, etc.
- Disponemos de una Política de Privacidad específica para estos datos
Encargado del tratamiento (Procesador)
Para datos clínicos de tus pacientes (notas de sesión, evaluaciones, tratamientos), Terapli actúa como encargado de tratamiento por mandato del terapeuta. Esto significa que:
- Procesamos datos únicamente siguiendo tus instrucciones
- Tú (el terapeuta) eres el responsable ante los pacientes
- Disponemos de un Contrato de Encargo de Tratamiento (DPA)
- Implementamos medidas técnicas y organizativas especiales para datos de salud
- No podemos usar los datos con otros fines sin tu consentimiento
Nota importante: Es tu responsabilidad como terapeuta obtener el consentimiento informado de tus pacientes para el almacenamiento de datos en Terapli. Terapli facilita las herramientas para ello.
Tú como terapeuta: Responsable de datos de pacientes
Como usuario de Terapli, tú eres el responsable del tratamiento de los datos de tus pacientes. Terapli es tu encargado. Esto significa que tienes la obligación de:
- Obtener consentimiento informado de los pacientes
- Informarles de cómo se usan sus datos (mediante cláusula de privacidad)
- Asegurar que el consentimiento es libre, específico, informado e inequívoco
- Mantener registros de consentimiento
- Responder a solicitudes de derechos de los pacientes
3. Registro de Actividades de Tratamiento (RAT)
Conforme al artículo 30 del RGPD, Terapli mantiene un registro documentado de sus actividades de tratamiento. Este registro incluye:
- Identificación del responsable y encargados del tratamiento
- Categorías de datos procesados (datos de cuenta, datos clínicos, logs de acceso)
- Finalidades del tratamiento para cada categoría
- Bases legales del tratamiento
- Categorías de destinatarios (incluidos subencargados)
- Plazos de conservación de datos
- Descripción de medidas técnicas y organizativas
Este registro está disponible para auditorías por parte de la AEPD u otras autoridades competentes.
4. Evaluación de impacto
La evaluación de impacto (artículo 35 del RGPD) corresponde a quien decide sobre el tratamiento, que es cada profesional. Terapli le facilita la información que necesite sobre cómo se guardan y se protegen los datos, como le obliga el artículo 28.3.f.
Terapli no tiene publicada una evaluación de impacto propia.
5. Contacto de protección de datos
Terapli no tiene designado un delegado de protección de datos. Para cualquier cuestión de privacidad, el contacto es:
Contacto
Email: hola@terapli.com
Puedes escribir para cualquier cuestión relativa a privacidad, ejercicio de derechos o reclamaciones sobre el cumplimiento del RGPD.
6. Medidas técnicas y organizativas
Cifrado de datos
- En reposo: AES-256 para todos los datos almacenados
- En tránsito: TLS 1.3 para todas las conexiones HTTPS
- Copias de seguridad: Cifradas con AES-256
Control de acceso
- Separación: cada cuenta ve solo sus datos; la regla vive en la propia base de datos (RLS)
- Permisos: por rol, a nivel de aplicación
- Entrada: código de un solo uso enviado al correo. Las contraseñas de las cuentas que aún las usan se guardan como una huella irreversible (bcrypt)
- Sesiones: se cierran tras 15 minutos sin actividad
Seguridad de aplicación
- CSP: Content Security Policy para prevenir XSS
- HSTS: conexión siempre cifrada
- Origen: el servidor rechaza las peticiones que llegan desde otros sitios
- Límite de intentos: en las peticiones de acceso
- Dependencias: alertas de fallos conocidos en librerías de terceros
Logging y auditoría
- Registro de los cambios en fichas, notas, citas y consentimientos
- Queda quién hizo el cambio y cuándo
- El registro se conserva quince años
Copias de seguridad y recuperación
- Frecuencia: una copia diaria
- Ubicación: en la UE (Supabase, en Irlanda)
- Cifrado: AES-256
- Recuperación: a la copia de un día anterior. La prueba de restauración completa está pendiente de realizarse y se documentará cuando se haga.
7. Subencargados de tratamiento
Terapli utiliza servicios de terceros (subencargados) para ciertos aspectos de la operación. Todos ellos están sujetos a contratos de tratamiento de datos:
| Proveedor | Ubicación | Función | Acuerdo |
|---|
| Supabase Inc. | Irlanda (eu-west-1) | Base de datos PostgreSQL, Auth | DPA + EU SCCs |
| Vercel Inc. | Múltiples (UE) | Alojamiento y CDN | DPA + EU SCCs |
| Stripe Inc. | EE.UU. (con centros UE) | Procesamiento de pagos | DPA + EU SCCs |
| Twilio Inc. | EE.UU. | Avisos por WhatsApp (vía Meta) y SMS | DPA + EU SCCs |
| Resend Inc. | EE.UU. | Envío de correos | DPA + EU SCCs |
| Apollo.io | EE.UU. | Analítica de la web pública (opcional) | DPA + EU SCCs |
Nota: Todos los subencargados cumplen con el RGPD a través de Cláusulas Contractuales Estándar (EU SCCs), acompañadas de las medidas complementarias que exige la sentencia Schrems II. Se ha evaluado que no existe riesgo inadecuado derivado de las transferencias internacionales.
8. Transferencias internacionales de datos
Terapli minimiza las transferencias internacionales de datos de salud. Cuando se requieren:
Base de datos (Supabase)
Alojada en Irlanda (UE). No hay transferencia internacional de datos clínicos.
CDN y Hosting (Vercel)
Ejecuta la aplicación y sus servicios en la UE (región de Dublín). Los datos transitan por su memoria al servir cada petición; no los almacena. El contenido clínico viaja cifrado y solo se descifra en tu dispositivo.
Pagos (Stripe)
Stripe es certificado bajo EU SCCs. Se transfieren únicamente datos de pago, no datos clínicos.
Analítica de la web (Apollo — opcional)
Solo si aceptas las cookies de analítica. Se limita a la web pública: qué páginas se visitan y desde qué organización. No alcanza a la plataforma ni a ningún dato clínico. Transferencia amparada en EU SCCs.
9. Procedimiento de respuesta ante brechas de datos
En caso de una brecha de seguridad que afecte a datos personales, Terapli implementa el siguiente procedimiento conforme al artículo 33 del RGPD:
1
Detección (Inmediato)
Se detecta la brecha (alertas de seguridad por correo y revisión del registro de auditoría) y se inicia la investigación.
2
Contención (Primeras horas)
Se aísla el problema, se detiene el acceso no autorizado, se evalúa el alcance de la brecha.
3
Evaluación (En curso)
Se analiza si hay riesgo para derechos y libertades. Se documentan los hechos.
4
Notificación a AEPD (Dentro de 72 horas)
Si hay riesgo, notificamos a la Autoridad Española de Protección de Datos dentro del plazo legal, incluyendo detalles de la brecha y medidas tomadas.
5
Notificación a afectados (Sin demora)
Si hay alto riesgo, los terapeutas y, a través de ellos, los pacientes son notificados sin demora, con información clara sobre la naturaleza de la brecha.
6
Post-mortem y Mejora (Posterior)
Se realiza análisis de causas raíz e implementan medidas preventivas para evitar incidentes similares.
10. Procedimiento de ejercicio de derechos
Los pacientes (interesados) tienen derechos sobre sus datos. Los terapeutas pueden facilitar el ejercicio de estos derechos a través de Terapli, y Terapli responde a solicitudes legítimas:
Derecho de acceso (Art. 15)
El paciente puede solicitar una copia de sus datos. Terapli lo facilita a través de descarga en el perfil del terapeuta.
Derecho de rectificación (Art. 16)
El paciente puede corregir datos inexactos. Disponible a través de la interfaz de usuario cuando el terapeuta lo autoriza.
Derecho al olvido (Art. 17)
En ciertos casos, los datos pueden ser eliminados. Se requiere evaluación conforme a la ley de autonomía del paciente.
Derecho de limitación (Art. 18)
El paciente puede solicitar que sus datos se marquen como restringidos.
Derecho a la portabilidad (Art. 20)
El paciente puede solicitar sus datos en formato estructurado. Terapli facilita exportación en formato JSON o CSV.
Derecho de oposición (Art. 21)
El paciente puede oponerse a ciertos tratamientos. Terapli respeta estas decisiones inmediatamente.
Procedimiento de respuesta
Las solicitudes de derechos deben dirigirse a hola@terapli.com. Terapli responde dentro del plazo legal (generalmente 30 días calendario) de forma gratuita.
11. Revisión
Lo que Terapli hace para mantener al día su cumplimiento:
- Revisiones internas de seguridad y de cumplimiento, la última en septiembre de 2026
- Corrección de esta página cuando algo cambia o deja de ser cierto
- Colaboración con las autoridades de control cuando lo requieran
Contacto y denuncias
Para cuestiones de privacidad, conformidad o denuncias de incumplimiento de RGPD:
Autoridad Española de Protección de Datos (AEPD)
Si consideras que Terapli ha incumplido el RGPD, puedes presentar una denuncia ante la AEPD de forma gratuita.
www.aepd.es