Política de privacidad

1. Quiénes somos

Cotevy es una plataforma SaaS de gestión y cotejo de facturación médica orientada a profesionales sanitarios autónomos y equipos médicos en España.

Responsable del tratamiento de los datos del usuario médico:
Razón social: [A completar antes del lanzamiento]
NIF/CIF: [A completar]
Domicilio: [A completar]
Email de contacto en materia de privacidad: info@cotevy.com

2. Dos roles de tratamiento, según el dato

Cotevy desempeña dos roles distintos según el dato de que se trate:

Responsable de los datos de la cuenta del médico (email, nombre, contraseña, foto, teléfono, datos de uso de la plataforma).
Encargado del tratamiento de los datos de pacientes que el médico introduce en la plataforma. El médico sigue siendo el responsable de los datos de sus pacientes; Cotevy los trata por cuenta del médico bajo el Contrato de Encargado del Tratamiento (DPA), que regula las obligaciones de Cotevy conforme al art. 28 RGPD y que es parte integrante de los Términos de uso del servicio.

3. Qué datos recogemos

Datos del usuario médico (responsable: Cotevy):

Email, nombre y apellidos, contraseña (hasheada con bcrypt).
Título profesional (Dr./Dra.), alias para mostrar y foto de perfil (opcional).
Número de teléfono móvil (opcional).
Datos técnicos: dirección IP, navegador, fecha y hora de inicio de sesión.

Datos de pacientes (responsable: el médico, encargado: Cotevy):

Número de historia clínica (NIP), nombre y apellidos, fecha de nacimiento.
Número de episodio, fecha del acto, tipo de ingreso, hospital.
Datos clínicos mínimos: tipo de anestesia, observaciones, reintervención.
Datos de aseguradora y, si aplica, número de tarjeta sanitaria.
Imagen de la etiqueta hospitalaria capturada por OCR.
Datos económicos derivados del cotejo con liquidaciones del hospital.

Algunos de estos datos pueden ser datos de salud (categoría especial del art. 9 RGPD). Cotevy los trata con medidas de seguridad reforzadas: cifrado de campos sensibles con AES-256-GCM, cifrado en tránsito con TLS 1.3, y acceso aislado por médico mediante Row-Level Security en base de datos.

4. Para qué usamos los datos

Prestar el servicio de registro y cotejo de actos médicos.
Mantener la cuenta del usuario y permitirle el acceso seguro.
Enviarle comunicaciones esenciales del servicio (confirmación de email, restablecimiento de contraseña).
Mejorar la calidad del producto a partir de información agregada y anonimizada.

No usamos los datos para publicidad, perfilado comercial ni los cedemos a terceros con fines comerciales.

5. Bases legales del tratamiento

Ejecución de contrato (art. 6.1.b RGPD): para prestar el servicio que el médico ha contratado al registrarse.
Cumplimiento de obligaciones legales (art. 6.1.c): conservación de información a efectos contables y fiscales.
Interés legítimo (art. 6.1.f): seguridad de la plataforma y prevención de fraude.
Consentimiento (art. 6.1.a y 9.2.a): para los datos de pacientes con categoría especial, el médico responsable obtiene el consentimiento expreso del paciente o lo trata con otra base habilitante prevista en el art. 9.2 (asistencia sanitaria, obligación legal, etc.).

6. Cuánto tiempo conservamos los datos

Datos de la cuenta del médico (perfil, contraseña, hospitales, baremos, configuración): mientras la cuenta esté activa. Al solicitar la eliminación se borran de forma inmediata, con la excepción de los datos profesionales mínimos descritos en el punto siguiente.
Datos profesionales mínimos del médico (nombre, email, nº de colegiado, especialidad): tras la eliminación de la cuenta se conservan en una tabla aislada (acceso restringido y separada del resto del sistema) durante seis añospor obligación legal — Ley 58/2003 General Tributaria (art. 66, 4 años de prescripción tributaria) y Código de Comercio (art. 30, 6 años de conservación de la documentación contable). Pasado ese plazo, una tarea programada los elimina automáticamente sin intervención humana.
Datos de pacientes (responsabilidad del médico, Cotevy como encargado): durante toda la vigencia del servicio. Al eliminar la cuenta los actos médicos no se borran porque la normativa sanitaria (Ley 41/2002 de autonomía del paciente, art. 17, conservación mínima 5 años desde el alta de cada episodio en la mayoría de comunidades autónomas) y la fiscal exigen su conservación. Lo que sí se hace es anonimizarlos irreversiblemente: el nombre, NIP, fecha de nacimiento, número de tarjeta de aseguradora y observaciones del paciente se sustituyen por valores no identificativos, de manera que el registro sigue valiendo como soporte contable pero deja de ser un dato personal a efectos del RGPD (RGPD art. 17.3.b reconoce esta excepción cuando existe obligación legal de conservación).
Imágenes de etiquetas hospitalarias capturadas por OCR: sesenta días desde su captura. Después se borran automáticamente mediante una tarea programada; los datos extraídos quedan en la base de datos hasta que el médico los elimine o anonimice según los puntos anteriores.
Registro de actividad (audit log): las operaciones sensibles que tú realizas sobre tus datos se conservan durante un año mínimo como evidencia técnica frente a brechas de seguridad (art. 32 RGPD). Tras la eliminación de tu cuenta, las entradas del registro se conservan pero el campo que las vincula a ti se pone a nulo: dejan de identificar a una persona concreta y pasan a ser un dato técnico anónimo.

6.bis. Qué pasa exactamente cuando eliminas tu cuenta

La opción Mi perfil → Eliminar mi cuenta y mis datos implementa el derecho de supresión del art. 17 RGPD con el siguiente procedimiento, automatizado en su totalidad:

Confirmación con escritura del email: para evitar borrados accidentales, debes escribir tu propio email en el modal de confirmación antes de que el botón se active.
Recomendación previa de descarga: si no has descargado tu archivo (ZIP completo) en esta sesión, te recordaremos hacerlo antes. Tras la eliminación los actos quedan anonimizados y no podrás recuperar los datos de tus pacientes — la normativa sanitaria te obliga a ti, como médico, a conservar el soporte documental de tu actividad clínica, y esta obligación no se transfiere a Cotevy tras tu baja.
Anonimización irreversible de los actos: los campos personales del paciente (nombre, NIP, fecha de nacimiento, tarjeta, observaciones) se reemplazan por valores aleatorios irrecuperables; las fechas de los actos, hospitales e importes se conservan como registro contable.
Eliminación inmediata de los datos no sometidos a retención legal: tu perfil, hospitales propios, parsers OCR, baremos, procedimientos, grupos, asignaciones, invitaciones de equipo y referidos se borran por completo.
Creación del registro de retención fiscal: se inserta una fila en una tabla aislada con acceso restringido (solo consultable por personal autorizado de Cotevy) con tus datos profesionales mínimos (nombre, email, colegiado, especialidad) y una fecha de eliminación automática programada a seis años vista, por obligación contable.
Eliminación de la cuenta de autenticación: tu cuenta deja de existir y no podrás volver a iniciar sesión con tus credenciales.

Si eres titular de un equipo activo, primero deberás transferir la titularidad a otro médico del equipo o disolverlo, para que ningún miembro quede sin lead.

Pasados los seis años, una tarea programada elimina automáticamente tu registro de retención: tu derecho de supresión se reactiva en cuanto desaparece la obligación legal que justificaba conservarlo.

7. Con quién compartimos datos

Para prestar el servicio, Cotevy confía determinados tratamientos a proveedores que actúan como encargados, con contratos que cumplen el art. 28 RGPD:

Supabase (Frankfurt, UE): base de datos, autenticación y almacenamiento de imágenes.
AWS Textract (Irlanda, UE): procesamiento OCR de las etiquetas hospitalarias.
ElectricSQL Cloud (UE): sincronización local-first de la base de datos del médico hacia su dispositivo para permitir el uso offline. Solo se sincronizan los datos a los que el médico ya tiene acceso autorizado en la aplicación.
Vercel (Estados Unidos): alojamiento de la aplicación. Vercel está adherido al EU-US Data Privacy Framework como mecanismo de garantía adecuada.
Resend (Estados Unidos): envío de emails transaccionales (confirmaciones, restablecimientos, bienvenida). Adherido al EU-US Data Privacy Framework.
Sentry (UE): captura agregada de errores y sesiones para detectar incidentes técnicos. Configurado para evitar la captura de datos personales en los reportes de error.
UptimeRobot (Estados Unidos): monitorización de disponibilidad del servicio (envío periódico de peticiones a un endpoint público de salud, sin acceso a datos de usuarios).

No realizamos ninguna otra cesión de datos sin tu consentimiento previo o sin obligación legal.

8. Tus derechos

Como interesado tienes derecho a acceder a tus datos, rectificarlos, suprimirlos, oponerte al tratamiento, limitarlo y a la portabilidad de los datos.

Para facilitar el ejercicio de estos derechos, dentro de tu cuenta en la app dispones de mecanismos directos:

Acceso (art. 15): en Mi perfil → Mi actividad puedes consultar el histórico de operaciones sensibles que has realizado sobre tus datos (exportaciones, reclamaciones, eliminaciones, cambios de configuración) con filtros por tipo y mes, y exportarlo a CSV.
Rectificación (art. 16): edita tus datos personales directamente desde Mi perfil.
Portabilidad (art. 20): en Mi perfil → Descargar mi historial completo puedes obtener un archivo ZIP con todos tus datos en formato estructurado (Excel para pacientes, baremos, hospitales, procedimientos y reclamaciones; CSV para tu registro de actividad; JSON para tu perfil), apto para llevarlos a otro responsable o conservarlos tú mismo.
Supresión (art. 17): en Mi perfil → Eliminar mi cuenta y mis datos puedes solicitar la eliminación inmediata. El detalle de qué se borra y qué se conserva anonimizado por obligación legal está explicado en la sección 6.bis de esta política.

Adicionalmente, o si prefieres no usar la app para ejercer estos derechos, puedes escribir a info@cotevy.com adjuntando copia de un documento que acredite tu identidad. Te responderemos en un plazo máximo de un mes (ampliable a dos adicionales en supuestos complejos, conforme al art. 12.3 RGPD).

Si consideras que hemos tratado tus datos de forma incorrecta puedes presentar reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.

9. Cookies

Cotevy solo utiliza cookies técnicamente necesarias para mantener iniciada la sesión del usuario y proteger la cuenta:

sb-*: cookies de autenticación de Supabase. Imprescindibles para que la plataforma funcione.
cotevy_session (sessionStorage, no es una cookie): marca de pestaña activa que cierra automáticamente la sesión al cerrar el navegador.

No usamos cookies de tracking, publicidad ni de terceros con fines comerciales. Si en el futuro añadimos analítica anónima, lo notificaremos en esta política y a través del banner de cookies.

10. Seguridad

Cifrado en tránsito con TLS 1.3.
Cifrado de los campos sensibles del paciente (nombre y número de tarjeta sanitaria) con AES-256-GCM en base de datos. El descifrado ocurre exclusivamente en memoria durante la atención de una petición autorizada del médico, y el resultado en claro nunca se persiste en disco ni en logs.
Servidores en la Unión Europea (Frankfurt).
Aislamiento de datos por médico mediante Row-Level Security (RLS) activado en todas las tablas con datos personales.
Contraseñas almacenadas con bcrypt (función de derivación segura).
Acceso a la cuenta protegido por sesión por pestaña que se cierra al cerrar el navegador y por cierre automático tras 30 minutos de inactividad.
Búsqueda de pacientes diseñada para no propagar datos personales en URLs: el texto que tecleas en el buscador viaja en el cuerpo de la petición, nunca como parámetro de URL, para evitar que aparezca en el historial del navegador, en logs intermedios o en referers de cabeceras HTTP.
Registro de auditoría de operaciones sensibles (exportaciones, eliminaciones, reclamaciones, cambios de configuración) accesible por el propio médico desde Mi perfil → Mi actividad. El registro almacena la acción y la entidad afectada, no el contenido de la información tratada. La dirección IP se almacena hasheada (SHA-256) y no en claro.
Tras la eliminación de una cuenta, las claves foráneas que apuntaban al usuario se ponen automáticamente a nulo, de modo que los registros conservados por obligación legal dejan de identificar a la persona eliminada.
Cabeceras de seguridad HTTP (Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Strict-Transport-Security) aplicadas a todas las respuestas.
Limitación de uso (rate limiting) sobre los endpoints que consumen recursos o exfiltran información, para frenar abusos y ataques automatizados.
Eliminación de metadatos EXIF de las fotografías subidas y verificación del tipo de archivo por su contenido binario, no solo por la extensión declarada por el navegador.
Monitorización continua de errores con Sentry y de disponibilidad con UptimeRobot, para detectar y reaccionar ante incidentes con la mayor antelación posible.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la normativa aplicable. Te notificaremos los cambios sustanciales con antelación razonable a través del email asociado a tu cuenta o mediante un aviso en la propia plataforma.