Política de privacidad

Para cualquier asunto relacionado con tus datos puedes escribir a daniel.pacheco@farmaloyalty.com. Respondemos en días laborables.

FarmaLoyalty trata dos grupos de datos muy diferentes, y nuestra responsabilidad no es la misma en cada uno. Es la distinción más importante de todo este documento.

Qué significa en la práctica. Nosotros no usamos los datos de tus pacientes para nada nuestro. No los cruzamos con los de otra farmacia, no los vendemos, no los cedemos y no los empleamos para entrenar modelos. Solo los guardamos y te los mostramos a ti, que es para lo que nos contratas.

Y algo que sí te corresponde a ti: informar a tus pacientes de que participan en el programa y contar con la base legal para tratar sus datos. Nosotros te damos las herramientas (consentimientos, registro de altas y bajas), pero la relación con ellos es tuya.

Hay que decirlo con claridad porque es lo que más preocupa, y con razón: el historial de compras de una farmacia puede revelar información sobre la salud de una persona. Saber que alguien compra un medicamento concreto de forma recurrente dice algo sobre su estado de salud, aunque nadie lo haya escrito en ningún campo. El artículo 9 del RGPD trata estos datos como categoría especial.

Lo que hacemos al respecto:

• No inferimos condiciones médicas. La plataforma agrupa productos por familia comercial y por laboratorio, que es lo que necesita un programa de fidelización. No deduce diagnósticos, no etiqueta a nadie como enfermo de nada y no construye perfiles de salud.
• Cada farmacia ve solo lo suyo. Los datos están separados por farmacia a nivel de base de datos. No hay forma de que una vea los de otra, ni de que nosotros los juntemos para sacar conclusiones agregadas.
• No hacemos comercio con ellos. Ni venta, ni cesión, ni cruce con terceros, ni entrenamiento de modelos. Está prohibido en el contrato que firmamos con cada farmacia, así que no es una promesa: es una obligación exigible.
• La farmacia manda. Puede eliminar a cualquier paciente del programa en cualquier momento, y exportar todo lo suyo cuando quiera.

La plataforma incluye un asistente llamado DAPASA que responde preguntas sobre el negocio en lenguaje natural. Merece su propio apartado porque implica enviar datos a un tercero, y eso hay que contarlo.

• Solo funciona cuando se le pregunta. No hay ningún análisis permanente en segundo plano. Si nadie escribe nada, no se procesa nada.
• Manda lo justo. Para responder envía al modelo los datos necesarios para esa pregunta concreta, normalmente cifras agregadas y, cuando la pregunta lo pide, listados de clientes de esa misma farmacia.
• El proveedor es OpenAI, en Estados Unidos, con Cláusulas Contractuales Tipo. Las consultas no se emplean para entrenar sus modelos.
• No decide nada por sí solo. DAPASA sugiere y explica; quien decide es siempre la persona que está delante. No hay decisiones automatizadas con efectos jurídicos sobre nadie, en el sentido del artículo 22 del RGPD.

Para que la plataforma funcione hacen falta proveedores: alguien tiene que alojar la base de datos, alguien tiene que entregar los correos. Estos son todos, sin excepción. Cada uno trata los datos solo para su función y bajo contrato.

No hay más. Si algún día añadimos uno, se avisa a las farmacias con 15 días de antelación y pueden oponerse.

La base de datos está en la Unión Europea y ahí se queda. Pero cuatro funciones concretas implican enviar datos fuera: el asistente de IA, el envío de correo, la emisión de las tarjetas Wallet y el alojamiento de imágenes.

Esas transferencias se amparan en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, que es el mecanismo previsto en el Capítulo V del RGPD. Los SMS y los mensajes de WhatsApp, en cambio, van por proveedores europeos y no salen del EEE.

Sobre tus datos personales puedes ejercer, gratis y en cualquier momento:

Escribe a daniel.pacheco@farmaloyalty.com indicando qué derecho quieres ejercer. Respondemos en un plazo máximo de un mes.

Si eres paciente de una farmacia, dirígete primero a tu farmacia: es ella la responsable de tus datos y quien puede resolverlo directamente. Si nos escribes a nosotros, trasladaremos tu solicitud sin demora.

Y si crees que no hemos hecho bien nuestro trabajo, puedes reclamar ante la Agencia Española de Protección de Datos. Preferiríamos que nos lo dijeras antes para intentar arreglarlo, pero es tu derecho y no hace falta que nos avises.

• Cifrado en tránsito (TLS) y en reposo (AES-256).
• Copias de seguridad diarias con 30 días de retención.
• Aislamiento por farmacia: cada una accede únicamente a sus propios datos.
• Acceso por usuario con permisos por rol y verificación en dos pasos disponible.
• Registro de actividad de las acciones sensibles.
• Ante una brecha de seguridad, aviso a los afectados y a la Agencia Española de Protección de Datos en un máximo de 72 horas, como exige el artículo 33 del RGPD.

Ninguna medida es infalible y no vamos a decirte lo contrario. Estas son las que aplicamos y las mantenemos actualizadas.

Si cambia algo relevante (un proveedor nuevo, una finalidad distinta) actualizaremos esta página y cambiaremos la fecha de arriba. Cuando el cambio te afecte de verdad, además te avisaremos por correo o desde la propia plataforma. No te vamos a cambiar las reglas sin decírtelo.