1. Introducción y alcance

Esta Política de Privacidad describe cómo TheraCloud PRO (en adelante, «TheraCloud», «la Plataforma» o «el Prestador») recolecta, trata y protege los datos personales, en cumplimiento de la Ley N.º 18.331 de Protección de Datos Personales y Acción de Habeas Data y normativa complementaria.

La presente Política forma parte integrante e inseparable de los Términos y Condiciones de Uso de TheraCloud PRO (en adelante, los «Términos»), conforme a la cláusula 1.2 de estos. Los vocablos que figuran con mayúscula inicial —Plataforma, Servicio, Usuario o Terapeuta, Paciente, Contenido Clínico, Datos Sensibles, Funcionalidades de IA, Seudonimización, Subencargado, Incidente de Seguridad, Planes— tienen el significado que se les asigna en la cláusula 2 de los Términos.

Al utilizar la Plataforma, el Usuario declara haber sido informado de los términos aquí descritos. La información relativa a los Pacientes se trata exclusivamente por cuenta del Usuario, conforme al reparto de roles de la cláusula 2 de esta Política.

Esta Política se versiona en forma conjunta con los Términos: toda modificación da lugar a una nueva versión numerada, con indicación de su fecha de entrada en vigencia, conforme a la cláusula 14.

2. Roles: Responsable y Encargado

TheraCloud actúa bajo dos roles distintos, en línea con la cláusula 8.1 de los Términos:

2.1. Como Responsable. Respecto de los datos personales del Usuario (Terapeuta) —identificación, contacto, habilitación profesional, facturación y uso de la Plataforma—, TheraCloud determina las finalidades y medios del tratamiento y actúa como Responsable.

2.2. Como Encargado. Respecto del Contenido Clínico y de los datos de los Pacientes, es el Usuario quien reviste la calidad de Responsable —por decidir sobre la finalidad, el contenido y el uso de los datos— y TheraCloud la de Encargado. En tal carácter, TheraCloud trata dichos datos únicamente por cuenta y según las instrucciones documentadas del Usuario, al solo efecto de prestar el Servicio, sin aplicarlos ni utilizarlos con finalidad distinta y sin cederlos a terceros salvo lo previsto en esta Política o por mandato legal o requerimiento de autoridad competente.

2.3. Obligaciones asociadas a cada rol. Las obligaciones que asume cada parte en su respectivo carácter se detallan en las cláusulas 8.2 y 8.3 de los Términos. En particular, corresponden al Usuario la obtención y documentación del consentimiento de los Pacientes, la observancia del secreto profesional, la conservación legal de la historia clínica y la atención de las solicitudes de ejercicio de derechos de sus Pacientes.

2.4. Subsistencia. Las obligaciones de TheraCloud en su calidad de Encargado subsisten mientras conserve Contenido Clínico del Usuario, aun con posterioridad a la finalización de la relación contractual (cláusula 8.6 de los Términos).

3. Qué datos tratamos

3.1. Datos del Usuario (Terapeuta), tratados como Responsable:

• Identificación y contacto: nombre, documento de identidad, correo electrónico, teléfono;
• Datos de habilitación profesional: título, registro o matrícula, y la documentación acreditante que TheraCloud pueda requerir conforme a la cláusula 5.3 de los Términos;
• Datos de facturación y pago, gestionados a través de las pasarelas indicadas en la cláusula 7;
• Datos técnicos y de uso: dirección IP, dispositivo, navegador, registros de actividad y de acceso;
• Comunicaciones que el Usuario dirija a soporte, y las sugerencias o propuestas de mejora que remita voluntariamente (cláusula 10.6 de los Términos);
• Datos de identificación y contacto de la persona que el Usuario designe a los efectos previstos en la cláusula 6.6 de los Términos (fallecimiento o incapacidad sobreviniente). El Usuario es responsable de informar a dicha persona sobre esta designación.

3.2. Datos tratados como Encargado, por cuenta del Usuario:

• Datos identificatorios y de contacto de los Pacientes;
• Contenido Clínico: historias clínicas, registros de sesiones, notas de voz que el propio Usuario graba a modo de resumen con posterioridad a la sesión, anotaciones, documentos y demás información asociada que el Usuario incorpore a la Plataforma.

3.3. Minimización. El Usuario se obliga a aplicar el principio de minimización, absteniéndose de incorporar datos personales de Pacientes o de terceros que no resulten estrictamente necesarios para la finalidad perseguida (cláusulas 7.3 y 8.2(e) de los Términos).

4. Datos Sensibles de salud

El Contenido Clínico comprende Datos Sensibles conforme al artículo 18 de la Ley N.º 18.331. Dichos datos sólo pueden tratarse con el consentimiento expreso y escrito del titular —el Paciente— o de su representante legal, tratándose de menores de edad o personas con capacidad restringida.

La obligación de recabar y documentar ese consentimiento corresponde exclusivamente al Usuario, en su carácter de Responsable (cláusula 8.2(a) de los Términos). TheraCloud trata estos datos únicamente como Encargado, por cuenta del Usuario y respetando el secreto profesional, conforme al artículo 19 de la Ley.

TheraCloud no verifica ni certifica la obtención del consentimiento por parte del Usuario, y no responde por su ausencia o insuficiencia (cláusula 14.1(c) de los Términos).

5. Finalidades del tratamiento

5.1. Finalidades. Tratamos los datos para: prestar y operar el Servicio; permitir el registro de sesiones y la generación asistida de notas clínicas mediante Funcionalidades de IA; administrar la agenda y el envío de notificaciones y recordatorios; gestionar cobros y el seguimiento de pagos; procesar suscripciones y renovaciones; brindar soporte; verificar la habilitación profesional del Usuario; cumplir obligaciones legales y atender requerimientos de autoridad competente; y garantizar la seguridad, la trazabilidad y la auditoría de la Plataforma.

5.2. Usos excluidos. TheraCloud no utiliza el Contenido Clínico con fines de marketing, no lo comercializa bajo modalidad alguna y no lo emplea para el entrenamiento de modelos de inteligencia artificial, propios ni de terceros (cláusula 7.5 de los Términos). Tampoco monitorea, analiza ni revisa el Contenido Clínico con finalidad asistencial alguna ni emite alertas de riesgo (cláusula 4.4 de los Términos).

5.3. Datos agregados y anonimizados. TheraCloud podrá generar y utilizar datos estadísticos agregados y anonimizados relativos al uso de la Plataforma, con fines de mejora del Servicio, análisis de rendimiento y desarrollo de nuevas funcionalidades, siempre que dichos datos no permitan la identificación —directa ni indirecta— de Usuarios ni de Pacientes. Este uso no comprende en ningún caso el Contenido Clínico (cláusula 10.5 de los Términos).

6. Funcionalidades de IA y tratamiento del Contenido Clínico

6.1. Seudonimización previa. Para generar las notas clínicas asistidas, TheraCloud aplica procesos automatizados de Seudonimización orientados a suprimir o sustituir los datos identificatorios del Paciente con carácter previo a la remisión del contenido a los proveedores externos de inteligencia artificial, en línea con el concepto de disociación del artículo 4 de la Ley N.º 18.331. Recibida la respuesta, TheraCloud practica la reversión de dicho proceso dentro de su entorno controlado.

6.2. Límites de la Seudonimización. Dada la naturaleza del texto libre que el Usuario ingresa, TheraCloud no puede garantizar la supresión de la totalidad de los elementos susceptibles de permitir la identificación indirecta de un Paciente. Se trata de una seudonimización de identificadores y no de una anonimización total. Por esa razón, el Usuario debe aplicar el principio de minimización descrito en la cláusula 3.3.

6.3. Alcance del acceso de TheraCloud. Dentro de su entorno de infraestructura, TheraCloud almacena y procesa el Contenido Clínico al solo efecto de prestar el Servicio. La Plataforma no es de «conocimiento cero» (zero-knowledge) respecto de TheraCloud —el procesamiento requiere operar sobre el contenido—, pero la seudonimización descrita en la cláusula 6.1 limita lo que recibe cualquier tercero.

6.4. Ausencia de grabación de sesiones. La Plataforma no graba las sesiones que el Usuario mantiene con sus Pacientes. La funcionalidad de audio se circunscribe a la nota de voz que el propio Usuario registra, a modo de resumen, con posterioridad a la finalización de la sesión (cláusula 7.2 de los Términos).

6.5. Ausencia de decisiones automatizadas. La Plataforma no adopta decisiones automatizadas que produzcan efectos jurídicos sobre los Pacientes ni que los afecten significativamente. Las salidas generadas mediante Funcionalidades de IA revisten carácter de borrador y requieren la revisión, validación y aprobación del Usuario. La totalidad de las decisiones de carácter clínico corresponde al Usuario, con intervención humana determinante en todos los casos (cláusulas 4.2 y 4.3 de los Términos).

6.6. Compromisos de los proveedores de IA. TheraCloud selecciona proveedores de inteligencia artificial que asumen contractualmente la obligación de no emplear los datos tratados para el entrenamiento de sus modelos y de no conservarlos más allá del plazo estrictamente necesario para la prestación del servicio.

7. Subencargados, terceros y transferencias internacionales

7.1. Nómina de Subencargados. Para prestar el Servicio, TheraCloud recurre a proveedores que actúan como Subencargados, bajo acuerdos que les imponen obligaciones de confidencialidad y protección equivalentes a las asumidas en los Términos:

7.2. Modificación de la nómina. TheraCloud comunicará al Usuario, con una antelación no inferior a [30] días, toda incorporación o sustitución de Subencargados que intervengan en el tratamiento del Contenido Clínico. El Usuario podrá oponerse fundadamente dentro de dicho plazo; en tal caso, y de no arribarse a una solución alternativa, podrá resolver la contratación sin penalidad, con reembolso proporcional del período abonado y no utilizado (cláusula 7.6 de los Términos).

7.3. Ausencia de comercialización. TheraCloud no vende ni comercializa datos personales. Sólo se comunican datos a terceros cuando resulte necesario para prestar el Servicio, con consentimiento del titular, o por mandato legal o requerimiento de autoridad competente.

7.4. Requerimientos de autoridad. En caso de recibir un requerimiento de autoridad competente relativo al Contenido Clínico, TheraCloud lo comunicará al Usuario con carácter previo a su cumplimiento, salvo que dicha comunicación se encuentre legalmente prohibida (cláusula 8.5 de los Términos).

7.5. Transferencias internacionales. Algunos proveedores pueden alojar o procesar datos fuera de la República Oriental del Uruguay (por ejemplo, en Estados Unidos u otros países). Dichas transferencias se realizan con arreglo a los mecanismos habilitantes previstos en la Ley N.º 18.331 y su reglamentación, mediante garantías contractuales adecuadas.

7.6. Cesión de la posición contractual. TheraCloud podrá ceder su posición contractual a un sucesor en su actividad —por fusión, adquisición o transferencia de activos—, notificándolo al Usuario con una antelación no inferior a [30] días, quien podrá terminar la relación sin penalidad dentro de dicho plazo (cláusula 17.2 de los Términos).

8. Seguridad de la información

8.1. Medidas. TheraCloud adopta medidas técnicas y organizativas razonables y apropiadas al riesgo, conforme al principio de responsabilidad proactiva y a los criterios de privacidad desde el diseño y por defecto. Entre ellas:

• alojamiento en un entorno cerrado y controlado (Amazon Web Services);
• cifrado en tránsito (TLS) y en reposo;
• Seudonimización de los identificadores antes de su envío a proveedores externos de IA (cláusula 6.1);
• controles de acceso por roles y principio de mínimo privilegio;
• deber de confidencialidad del personal autorizado, subsistente aun después de finalizado el vínculo (cláusula 8.3(c) de los Términos);
• respaldos periódicos;
• registros de actividad y trazabilidad de accesos;
• autenticación segura y mecanismos de autenticación reforzada disponibles para el Usuario.

8.2. Corresponsabilidad del Usuario. Ninguna medida garantiza seguridad absoluta. El Usuario contribuye a la seguridad protegiendo sus credenciales, que son personales e intransferibles, y notificando sin dilación indebida todo uso no autorizado de su cuenta a info@theracloud.ai (cláusulas 6.3 y 6.4 de los Términos).

8.3. Clave de recuperación. [Aplicable únicamente en caso de implementarse cifrado con clave de recuperación bajo control exclusivo del Usuario:] TheraCloud no conserva copia de la clave de recuperación del Usuario ni dispone de medio técnico alguno para recuperarla. La pérdida simultánea de la contraseña y de la clave de recuperación determina la pérdida irreversible del Contenido Clínico cifrado (cláusula 6.5 de los Términos).

9. Conservación y eliminación

9.1. Durante la vigencia. Los datos se conservan mientras la cuenta permanezca activa y en tanto subsistan las finalidades descritas en la cláusula 5.

9.2. Al finalizar la relación. Producida la finalización de la relación contractual —por cancelación, falta de pago, resolución u otra causa—, rige el régimen de la cláusula 11 de los Términos:

• el Usuario dispone de [90] días corridos para exportar su información, durante los cuales la funcionalidad de exportación permanece habilitada;
• TheraCloud remite comunicaciones recordatorias al correo registrado con una antelación de al menos 15 días respecto del vencimiento de dicho plazo;
• vencido el plazo sin que se hubiere practicado la exportación, TheraCloud podrá suprimir el Contenido Clínico mediante procedimientos seguros;
• la supresión alcanza a los respaldos técnicos dentro de un plazo máximo de [6] meses, conforme a los ciclos de rotación de la infraestructura.

9.3. Supresión anticipada. El Usuario puede solicitar en cualquier momento la supresión anticipada de su Contenido Clínico, la que se ejecuta dentro de los [30] días de recibida la solicitud e implica la renuncia al plazo de descarga previsto en la cláusula 9.2.

9.4. Exportación permanente. El Usuario puede exportar su información en formatos estructurados y de uso común, en cualquier momento y sin costo adicional, incluso durante los períodos de suspensión del Servicio por falta de pago.

9.5. Conservación legal de la historia clínica. La obligación de conservar la historia clínica por los plazos que establece la normativa vigente recae exclusivamente sobre el Usuario, en su calidad de Responsable y de profesional actuante. TheraCloud no asume obligación alguna de conservación con posterioridad a la finalización de la relación contractual, ni puede ser considerado depositario de las historias clínicas.

9.6. Fallecimiento o incapacidad del Usuario. Ante acreditación fehaciente de dichas circunstancias, TheraCloud facilitará a la persona designada por el Usuario —o, en su defecto, a los sucesores acreditados o a la autoridad competente— la exportación del Contenido Clínico, con la finalidad exclusiva de posibilitar el cumplimiento de las obligaciones legales de conservación y la continuidad asistencial de los Pacientes (cláusula 6.6 de los Términos).

9.7. Cumplido el encargo. Los datos tratados por cuenta del Usuario se destruyen o restituyen al término de la prestación, salvo autorización para conservarlos en las condiciones que la Ley permite.

10. Derechos de los titulares

10.1. Usuarios. El Usuario puede ejercer sus derechos de acceso, rectificación, actualización, inclusión y supresión sobre sus propios datos escribiendo a info@theracloud.ai, acreditando su identidad. TheraCloud responderá dentro de los plazos legales aplicables.

10.2. Pacientes. Los Pacientes ejercen sus derechos ante el Usuario (Terapeuta), que es el Responsable de sus datos. TheraCloud, como Encargado, presta asistencia razonable al Usuario para atender esas solicitudes, poniendo a su disposición las funcionalidades de la Plataforma que resulten necesarias a tales efectos (cláusula 8.3(e) de los Términos). TheraCloud no atiende solicitudes de Pacientes en forma directa, salvo mandato legal; de recibirlas, las derivará al Usuario correspondiente.

10.3. Habeas data. Los titulares conservan en todo caso la acción de habeas data prevista en la Ley N.º 18.331 y la facultad de recurrir ante la autoridad de control indicada en la cláusula 15.

11. Notificación de Incidentes de Seguridad

11.1. Comunicación al Usuario. TheraCloud comunicará al Usuario todo Incidente de Seguridad que afecte al Contenido Clínico sin dilación indebida, y en todo caso dentro de las [48] horas de haber tomado conocimiento del mismo (cláusula 8.4 de los Términos).

11.2. Contenido de la comunicación. La comunicación contendrá, en la medida en que la información se encuentre disponible: la naturaleza del incidente, las categorías y el volumen aproximado de datos afectados, las consecuencias probables, las medidas adoptadas o propuestas para mitigar sus efectos y los datos de contacto para la ampliación de información.

11.3. Comunicación a la autoridad y a los titulares. Corresponde al Usuario, en su calidad de Responsable, efectuar las comunicaciones que la normativa aplicable imponga respecto de la autoridad de control competente y de los titulares de los datos afectados. TheraCloud prestará la asistencia y la información razonablemente necesarias a tales efectos.

12. Cookies y tecnologías de rastreo

El sitio web y la Plataforma pueden utilizar cookies y tecnologías similares para su funcionamiento, la seguridad de la sesión y el análisis de uso. Las cookies no estrictamente necesarias se activan únicamente con el consentimiento previo del visitante, que puede retirarse en cualquier momento.

13. Menores de edad

13.1. Pacientes menores. Cuando un Paciente sea menor de edad o persona con capacidad restringida, el consentimiento para el tratamiento de sus datos debe ser otorgado por su representante legal, obligación que corresponde exclusivamente al Usuario (cláusula 8.2(a) de los Términos).

13.2. Usuarios. La Plataforma no admite el registro de menores de edad: sólo pueden registrarse personas físicas mayores de edad, con plena capacidad legal y habilitación profesional vigente (cláusula 5.1 de los Términos).

14. Cambios a esta Política

14.1. TheraCloud puede actualizar esta Política, en particular como consecuencia de cambios normativos, incorporación de funcionalidades o modificaciones en la operativa del Servicio.

14.2. Las modificaciones que afecten sustancialmente los derechos del Usuario se notificarán al correo electrónico registrado con una antelación no inferior a [30] días respecto de su entrada en vigencia. Las de carácter menor, aclaratorio o formal se notificarán mediante la Plataforma.

14.3. Toda modificación dará lugar a una nueva versión numerada, con indicación de su fecha de entrada en vigencia. TheraCloud conservará el registro de las versiones anteriores. La versión vigente se encontrará permanentemente publicada en https://theracloud.ai/.

15. Autoridad de control y reclamos

15.1. Instancia previa. Con carácter previo a la promoción de acciones, el Usuario podrá dirigir su reclamación a info@theracloud.ai, comprometiéndose TheraCloud a responder dentro de los [15] días (cláusula 18.2 de los Términos).

15.2. Autoridad de control. La autoridad de control en Uruguay es la Unidad Reguladora y de Control de Datos Personales (URCDP), órgano desconcentrado de AGESIC, ante la cual los titulares pueden presentar reclamos.

15.3. Usuarios domiciliados en el exterior. Ello se establece sin perjuicio de los derechos irrenunciables que la normativa de protección de datos personales o de protección al consumidor reconozca al Usuario en su jurisdicción de residencia, incluida la facultad de acudir a los tribunales o autoridades de control de dicha jurisdicción cuando la normativa aplicable así lo habilite (cláusula 18.4 de los Términos). Corresponde al Usuario domiciliado fuera de Uruguay el cumplimiento de la normativa de protección de datos aplicable en su jurisdicción (cláusula 1.5 de los Términos).

16. Contacto

Consultas sobre privacidad y ejercicio de derechos: info@theracloud.ai — [teléfono] — [domicilio completo].