Saltar al contenido principal

Política de Privacidad

Terapli — Plataforma de Gestión Clínica para Profesionales de Salud Mental

Última actualización: Septiembre de 2026

1. Identidad del Responsable del Tratamiento

Conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de derechos digitales (LOPDGDD), le informamos sobre el tratamiento de sus datos personales:

Responsable del tratamiento:Karem Peña Marcano (persona autónoma)
NIF:35717628P
Domicilio:Calle Vereda del Prado 42, Ciempozuelos, Madrid, España
Correo electrónico:hola@terapli.com
Dominio:terapli.com

Nota importante sobre roles de responsabilidad: Terapli actúa en diferentes roles según el tipo de dato:

  • Como Responsable del Tratamiento respecto a datos de profesionales (terapeutas) y datos de cuenta de usuario.
  • Como Encargado del Tratamiento respecto a datos de pacientes/clientes de los terapeutas, actuando conforme al artículo 28 del RGPD.

2. Contacto de protección de datos

Terapli no tiene designado un delegado de protección de datos. Para cualquier cuestión relacionada con el tratamiento de datos personales, puede escribir a:

Correo electrónico:hola@terapli.com

Le responderemos a su solicitud en un plazo máximo de 30 días naturales desde su recepción.

3. Categorías de Datos Personales que Recabamos

Recabamos distintas categorías de datos según su relación con Terapli. A continuación se detallan:

3.1 Datos de Profesionales (Terapeutas/Usuarios)

CategoríaDescripción
Datos de IdentidadNombre completo, NIF/CIF, email, número de teléfono
Datos ProfesionalesNúmero de colegiación, especialidad, credenciales profesionales, certificaciones, ubicación de consulta
Datos FinancierosInformación de facturación, IBAN para transferencias, histórico de pagos (Stripe no almacena números de tarjeta)
Foto de PerfilImagen de perfil opcional para identificación
Registros de ActividadLogs de acceso, IP, hora de conexión, acciones realizadas en la plataforma

3.2 Datos de Pacientes/Clientes (Tratados como Encargado)

Categorías Especiales de Datos (Artículo 9 RGPD)

CategoríaDescripción
Datos de ContactoNombre, email, teléfono del paciente (únicamente proporcionados por el terapeuta)
Datos de SaludNotas clínicas, diagnósticos, planes de tratamiento, historial de sesiones, evaluaciones psicológicas
Datos Biométricos de Salud MentalSeguimiento emocional, cuestionarios de bienestar, escalas de síntomas, evolución del estado de ánimo
Datos de ComunicaciónMensajes entre terapeuta y paciente dentro de la plataforma, transcripción de sesiones (si aplica)
Datos de CitaHistorial de citas, fechas de sesiones, duración, notas post-sesión
Datos DemográficosEdad, género, situación familiar, datos socieconómicos relevantes para el tratamiento

Aclaración legal: Los datos de pacientes son categorías especiales de datos personales conforme al artículo 9 del RGPD. Terapli actúa como Encargado del Tratamiento bajo instrucción del terapeuta (Responsable) y no posee los derechos de decisión sobre estos datos.

3.3 Datos Técnicos e Información de Navegación

CategoríaDescripción
Datos de ConexiónDirección IP, tipo y versión del navegador, sistema operativo, dispositivo utilizado
Cookies y IdentificadoresIdentificadores de sesión, tokens de autenticación, preferencias de usuario
Datos de UsoPáginas visitadas, funcionalidades utilizadas, duración de sesiones, análisis de comportamiento
Datos AnalíticosInformación sobre rendimiento de la plataforma, eventos de uso, errores técnicos

4. Finalidades del Tratamiento de Datos

Sus datos personales serán utilizados para las siguientes finalidades:

4.1 Gestión de Cuenta y Prestación del Servicio

Creación y mantenimiento de su cuenta de usuario, acceso a la plataforma, almacenamiento seguro de sus datos clínicos (para terapeutas), gestión de perfiles y configuración de preferencias.

Base legal: Art. 6.1.b RGPD (ejecución de contrato)

4.2 Facturación e Invoicing

Generación de facturas, cobro de suscripciones, control de pagos y gestión financiera de su cuenta. Terapli utiliza Stripe como procesador de pagos.

Base legal: Art. 6.1.b RGPD (contrato) + Art. 6.1.c RGPD (obligación legal - código tributario)

4.3 Mejora de la Plataforma y Análisis de Uso

Análisis de datos de navegación para mejorar funcionalidades, detectar errores, optimizar el rendimiento y comprender cómo se utiliza la plataforma. Se realiza análisis agregado y anonimizado cuando es posible.

Base legal: Art. 6.1.f RGPD (interés legítimo en mejorar servicios)

4.4 Comunicaciones y Atención al Cliente

Envío de notificaciones sobre su cuenta, respuesta a consultas de soporte, notificaciones de seguridad, actualizaciones de la plataforma y comunicaciones relacionadas con el servicio.

Base legal: Art. 6.1.b RGPD (contrato) + Art. 6.1.f RGPD (interés legítimo)

4.5 Cumplimiento de Obligaciones Legales

Conservación de registros de auditoría, cumplimiento de obligaciones fiscales, respuesta a requerimientos de autoridades competentes y protección de derechos.

Base legal: Art. 6.1.c RGPD (obligación legal)

4.6 Procesamiento de Datos de Pacientes (Para Terapeutas)

Almacenamiento seguro de notas clínicas, historiales de pacientes, gestión de citas y comunicación terapeuta-paciente conforme a las instrucciones del profesional (Responsable del tratamiento).

Base legal: Art. 28 RGPD (relación encargado-responsable). La excepción del art. 9.2 RGPD para los datos de salud la determina cada profesional: 9.2.h si es profesional sanitario, 9.2.a (consentimiento explícito) en los demás casos

4.7 Seguridad y Detección de Fraude

Prevención de acceso no autorizado, detección de actividades fraudulentas o maliciosas, protección de la integridad y disponibilidad de la plataforma.

Base legal: Art. 6.1.f RGPD (interés legítimo en seguridad)

6. Destinatarios de Datos y Encargados del Tratamiento

Los datos personales se comparten únicamente con terceros cuando es necesario para la prestación del servicio. Los siguientes son los principales destinatarios y encargados del tratamiento:

Supabase (Proveedor de Base de Datos)

Ubicación:Irlanda (eu-west-1) con infraestructura AWS
Rol:Encargado del Tratamiento (Art. 28 RGPD)
Datos procesados:Todos los datos personales: datos profesionales, datos de pacientes, datos de sesiones clínicas
Acuerdo:Data Processing Agreement (DPA) suscrito conforme a Art. 28 RGPD

Supabase proporciona bases de datos PostgreSQL gestionadas con encriptación en tránsito (TLS 1.3) y en reposo. Todos los datos clínicos se almacenan en servidores ubicados dentro del Espacio Económico Europeo.

Vercel (Hosting y CDN)

Ubicación:Múltiples ubicaciones en EEA y globalmente para CDN
Rol:Encargado del Tratamiento (Art. 28 RGPD)
Datos procesados:Frontend, assets estáticos, logs de acceso, datos técnicos (IP, User-Agent)
Acuerdo:Data Processing Agreement (DPA) suscrito conforme a Art. 28 RGPD

Stripe (Procesador de Pagos)

Ubicación:Estados Unidos con centros en Europa (Art. 44-49 RGPD)
Rol:Encargado del Tratamiento (Art. 28 RGPD)
Datos procesados:Email, nombre, información de facturación. NO almacena números de tarjeta (PCI-DSS Level 1)
Acuerdo:DPA suscrito. Transferencias bajo EU-US Data Privacy Framework y Cláusulas Contractuales Tipo (SCCs)

Stripe es procesador de pagos certificado PCI-DSS Level 1. Terapli nunca tiene acceso a números de tarjeta de crédito. Stripe opera bajo garantías de privacidad y acuerdos de procesamiento de datos internacionalmente reconocidos.

Twilio (Avisos por WhatsApp y SMS)

Ubicación:Estados Unidos
Rol:Encargado del Tratamiento (Art. 28 RGPD)
Datos procesados:Nombre y teléfono del destinatario, fecha y hora de la cita, nombre de la profesional y la respuesta al aviso
Acuerdo:DPA suscrito. Transferencias bajo Cláusulas Contractuales Tipo (SCCs)

Los WhatsApp se envían a través de la plataforma de WhatsApp de Meta. Ningún aviso lleva datos clínicos.

Resend (Envío de correos)

Ubicación:Estados Unidos
Rol:Encargado del Tratamiento (Art. 28 RGPD)
Datos procesados:Nombre y correo del destinatario, contenido del correo (avisos de cita, enlaces y códigos de firma, facturas o recibos que la profesional envía)
Acuerdo:DPA suscrito. Transferencias bajo Cláusulas Contractuales Tipo (SCCs)

Ningún correo lleva notas ni historia clínica.

Apollo.io (Analítica de la web, consentimiento requerido)

Ubicación:Estados Unidos (bajo EU-US DPF y SCCs)
Rol:Encargado del Tratamiento
Datos procesados:Identificador seudónimo de cookie, eventos de uso, páginas visitadas, duración de sesión. Solo en la web pública de terapli.com, nunca dentro de la aplicación
Consentimiento:Requerido. Ver Política de Cookies

Solo se activa si aceptas las cookies de analítica. Se limita a la web pública —qué páginas se visitan y desde qué organización— y no alcanza a la plataforma ni a ningún dato clínico.

Resend / Proveedor de Email (Comunicaciones Transaccionales)

Rol:Encargado del Tratamiento
Datos procesados:Email, nombre, contenido de notificaciones de cuenta
Acuerdo:DPA suscrito conforme a Art. 28 RGPD

Datos de Pacientes: Los datos clínicos de pacientes permanecen dentro de la plataforma Terapli salvo que el terapeuta (Responsable) haya otorgado instrucciones específicas para compartirlos con terceros. Terapli no comparte datos de pacientes con destinatarios no autorizados.

Prohibición de otras transferencias: Terapli no comparte sus datos con fines de marketing, publicidad o con terceros no mencionados sin su consentimiento previo, excepto cuando sea requerido por ley.

7. Transferencias Internacionales de Datos

Algunos de los proveedores de servicios de Terapli operan fuera del Espacio Económico Europeo (EEA). En estos casos, se implementan las siguientes medidas para garantizar la protección adecuada:

Transferencia a Stripe (EE.UU.)

Mecanismo de transferencia:EU-US Data Privacy Framework (DPF) + Cláusulas Contractuales Tipo (SCCs)
Datos transferidos:Email, nombre, información de facturación (excluyendo números de tarjeta)
Duración:Mientras sea cliente de Terapli + 4 años por obligaciones fiscales
Documentación:DPA disponible bajo solicitud a hola@terapli.com

Transferencia a Apollo.io (EE.UU., consentimiento requerido)

Mecanismo:EU-US DPF + SCCs
Consentimiento:Sujeto a consentimiento previo (Política de Cookies)
Derechos:Puede retirar el consentimiento en cualquier momento

Datos Dentro del EEA

Los datos almacenados en Supabase (ubicación principal de datos clínicos) residen íntegramente en servidores dentro del EEA (Irlanda, eu-west-1). No hay transferencias internacionales para datos clínicos sanitarios a menos que el terapeuta proporcione instrucción específica.

Derechos ante transferencias: Conforme al artículo 44 del RGPD, tiene derecho a solicitar información sobre los mecanismos de transferencia y los niveles de protección de datos. Contacte a hola@terapli.com para más información.

8. Plazos de Conservación de Datos

Los datos personales se conservarán únicamente el tiempo necesario para cumplir las finalidades para las que fueron recabados o mientras sea obligatorio por ley. Los siguientes son los plazos aplicables:

Categoría de DatosPlazo de Conservación
Datos de cuenta profesionalDuración del contrato de suscripción + 5 años (plazo de prescripción civil, Art. 1969 CC)
Datos clínicos de pacientesEl plazo que fija cada terapeuta (Responsable), nunca inferior a 5 años desde la última atención (Ley 41/2002). Al vencer, la historia clínica se suprime; las facturas se conservan por su plazo fiscal, desvinculadas de la ficha, y el registro de auditoría no contiene datos identificativos
Facturas e información financiera4 años (obligación fiscal, Art. 25 Ley 37/1988)
Registros de auditoría (logs)12 meses (seguridad y detección de anomalías)
Datos analíticos de la web pública26 meses, conforme a las recomendaciones de la AEPD para analítica web
Cookies de sesiónDuración de la sesión (se eliminan al cerrar navegador)
Cookies persistentes (preferencias)12 meses (sujeto a consentimiento continuo)

Eliminación de Datos

Al finalizar la suscripción, Terapli:

  • Mantiene los datos durante el período de 5 años establecido por prescripción civil.
  • Para datos clínicos, sigue las instrucciones del terapeuta sobre conservación, conforme a la Ley 41/2002.
  • Permite la exportación de datos antes de la eliminación definitiva (ver sección Derechos).
  • Procede a eliminación segura mediante sobrescritura de sectores o destrucción criptográfica tras expiración de plazos.

9. Sus Derechos conforme al RGPD

Conforme a los artículos 15 a 22 del RGPD, usted tiene los siguientes derechos:

Derecho de Acceso (Art. 15 RGPD)

Tiene derecho a obtener confirmación de si sus datos personales están siendo tratados y, en su caso, acceder a una copia de los mismos en formato legible y estructurado.

Puede solicitar acceso a todos sus datos en todo momento contactando a hola@terapli.com.

Derecho de Rectificación (Art. 16 RGPD)

Tiene derecho a rectificar datos inexactos o incompletos. Puede actualizar su información de perfil directamente en la plataforma.

Para cambios que requieren verificación adicional, contacte al equipo de soporte: hola@terapli.com

Derecho al Olvido / Eliminación (Art. 17 RGPD)

Tiene derecho a solicitar la eliminación de sus datos personales en determinadas circunstancias, como cuando los datos ya no son necesarios para los fines originales.

Limitaciones: No podemos eliminar datos mientras existan obligaciones legales (facturación, prescripción civil). Para datos clínicos de pacientes, la decisión corresponde al terapeuta (Responsable).

Solicite la eliminación contactando a hola@terapli.com especificando qué datos desea eliminar.

Derecho de Limitación del Tratamiento (Art. 18 RGPD)

Puede solicitar que limitemos el procesamiento de sus datos si, por ejemplo, cuestiona la exactitud de los datos durante el período de verificación.

Contacte a hola@terapli.com para solicitar limitación. Continuaremos conservando sus datos pero no los procesaremos para otros fines.

Derecho de Portabilidad (Art. 20 RGPD)

Tiene derecho a recibir sus datos personales en un formato estructurado, de uso común y legible por máquina, y a transmitirlos a otro responsable sin obstáculos.

Solicite la exportación de sus datos contactando a hola@terapli.com. Le proporcionaremos un archivo JSON o CSV con toda su información.

Derecho de Oposición (Art. 21 RGPD)

Tiene derecho a oponerse al tratamiento de sus datos cuando se basa en interés legítimo (Art. 6.1.f). Debemos detener el procesamiento salvo razones imperiosas.

Limitaciones: No puede oponerse al tratamiento necesario para ejecutar el contrato de servicios (acceso a plataforma, facturación, obligaciones legales).

Derecho a No Estar Sujeto a Decisiones Automatizadas (Art. 22 RGPD)

Tiene derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que le afecten legalmente.

Terapli no utiliza perfilado o decisiones automatizadas que afecten legalmente a usuarios. Las decisiones sobre acceso se basan en revisión humana.

Derecho a Retirar el Consentimiento

Si el tratamiento se basa en consentimiento (ej. cookies de análisis), puede retirarlo en cualquier momento sin afectar la legalidad de anteriores procesamientos.

Puede retirar el consentimiento a cookies desde la Política de Cookies o contactando a hola@terapli.com.

10. Cómo Ejercer Sus Derechos

Para ejercer cualquiera de los derechos anteriores, puede:

Por correo electrónico:

hola@terapli.com

Indique en el asunto «Protección de datos»

Por teléfono / Contacto directo:

Contacte a través de hola@terapli.com para coordinar una solicitud formal

Información que debe incluir:

  • Su nombre completo y datos de identificación
  • Email o teléfono de contacto
  • Descripción clara del derecho que desea ejercer
  • Datos personales específicos a los que se refiere (si procede)
  • Copia de documento de identidad (NIF, pasaporte)
  • Cualquier información que facilite la búsqueda de sus datos

Plazos de respuesta:

Plazo estándar:30 días naturales desde la recepción de su solicitud
Extensión:Hasta 60 días en caso de solicitudes complejas (informaremos del motivo)

Verificación de identidad: Para proteger su privacidad, verificaremos su identidad antes de atender solicitudes. Esto es obligatorio conforme al RGPD.

11. Notificación de Brechas de Seguridad

En caso de que ocurra una brecha de seguridad que afecte a datos personales, Terapli cumple con las obligaciones de notificación establecidas en el RGPD:

Plazo de Notificación

  • 72 horas: Notificación a la Autoridad de Protección de Datos (AEPD) tras detectar la brecha
  • Sin demora injustificada: Notificación a afectados si existe riesgo alto para sus derechos
  • Excepción: Si los datos están encriptados o anonimizados adecuadamente, puede no ser necesaria notificación

Información que Incluiremos

  • Naturaleza de la brecha (robo, acceso no autorizado, pérdida)
  • Datos afectados (categorías y número aproximado de personas)
  • Posibles consecuencias
  • Medidas tomadas o que se van a tomar para remediar la situación
  • Un contacto para obtener más información

Prevención de Brechas

Terapli implementa medidas técnicas y organizativas para prevenir brechas de seguridad (ver sección 12). Sin embargo, entendemos que ningún sistema es 100% seguro. En caso de cualquier incidente, actúamos con máxima diligencia.

Para reportar una brecha de seguridad sospechada, contacte inmediatamente a hola@terapli.com con detalles de la incidencia.

12. Medidas de Seguridad

Estas son las medidas técnicas y organizativas que Terapli aplica hoy para proteger los datos personales (artículo 32 del RGPD). Lo que todavía no existe no figura en esta lista:

Medidas Técnicas

Encriptación

  • TLS 1.3 en tránsito
  • AES-256 en reposo en la base de datos
  • El contenido clínico se cifra además en el dispositivo del profesional, con una llave que solo tiene él

Integridad de Datos

  • Copia de seguridad diaria, en la Unión Europea
  • La prueba de restauración completa está pendiente y se documentará cuando se haga

Control de Acceso

  • Separación de los datos de cada cuenta en la propia base de datos (RLS)
  • Permisos por rol en la aplicación
  • Entrada con un código de un solo uso enviado al correo
  • Cierre de sesión tras 15 minutos sin actividad

Protección Web

  • El servidor rechaza las peticiones que llegan desde otros sitios
  • CSP (Content Security Policy)
  • HSTS (HTTP Strict Transport Security)
  • Límite de intentos en las peticiones de acceso

Auditoría

  • Registro de los cambios en fichas, notas, citas y consentimientos
  • El registro se conserva quince años
  • Aviso por correo al equipo cuando se registra un evento de seguridad

Revisión

  • Alertas de fallos conocidos en el código de terceros, desde el 29 de septiembre de 2026
  • Revisiones internas de seguridad, la última en septiembre de 2026

Medidas Organizativas

  • Personas autorizadas: el acceso a los sistemas se limita a quien mantiene el servicio
  • Cuentas de administración: no abren fichas de pacientes; sirven para tareas de mantenimiento
  • Brechas: registro interno de incidentes y aviso al profesional afectado
  • Proveedores: cada proveedor trata los datos bajo su contrato de encargo

Evaluación de impacto

La evaluación de impacto corresponde a quien decide sobre el tratamiento, que es cada profesional. Terapli le facilita la información que necesite sobre cómo se guardan y se protegen los datos (artículo 28.3.f del RGPD). Terapli no tiene publicada una evaluación de impacto propia.

Información Final Importante

  • Cumplimiento legal: Esta Política cumple con el RGPD (UE 2016/679), LOPDGDD (LO 3/2018), LSSI-CE (Ley 34/1988) y Ley 41/2002.
  • Obligación contratada: El cumplimiento de esta política es parte integral del contrato de prestación de servicios con Terapli.
  • Idioma oficial: Esta política está redactada en español. Cualquier traducción es meramente informativa.
  • Regulación aplicable: Esta Política se rige por la ley española y las leyes de la Unión Europea.

Última actualización:

Septiembre de 2026

Versión 2026-10

Si tiene preguntas sobre esta política, contacte a hola@terapli.com