Política de Privacidad

Esta política describe cómo Vitalis ERP trata los datos personales. Se rige, en el Perú, por la Ley N.º 29733 de Protección de Datos Personales y su reglamento (D.S. N.º 003-2013-JUS).

1. Responsable del tratamiento

El Servicio es operado por la persona natural titular de Vitalis ERP, con domicilio en Perú. Para asuntos de privacidad: support@vitalis-erp.com.

• Datos de la cuenta (nombre y correo del usuario, datos de la clínica): el operador es responsable del tratamiento.
• Datos de pacientes que registra cada clínica —incluidos datos de salud, que son datos sensibles—: la clínica es la responsable del banco de datos y el operador actúa como encargado de tratamiento, siguiendo sus instrucciones y solo para prestar el Servicio.

2. Qué datos tratamos

• Identificación y contacto de los usuarios de la cuenta.
• Datos clínicos y administrativos que la clínica registra: pacientes e historia clínica, citas, consultas (diagnósticos, recetas), inventario y recibos internos.
• Datos técnicos mínimos de sesión y seguridad: dirección IP, agente de usuario y registros de auditoría de operaciones sensibles.
• Datos de facturación gestionados por Paddle. No almacenamos números de tarjeta.
• Mensajes que envías por el formulario de contacto (nombre, correo y el contenido del mensaje), para atender tu solicitud.

3. Finalidades y base legitimadora

Prestar y mantener el Servicio, dar soporte, garantizar la seguridad, gestionar el cobro de la suscripción y cumplir obligaciones legales. La base es la ejecución del contrato con la clínica; para los datos de pacientes, el consentimiento y las finalidades de atención de salud que gestiona la clínica como responsable.

4. Encargados y terceros (subencargados)

Para prestar el Servicio compartimos datos con los siguientes proveedores, que los tratan por cuenta del operador bajo contrato:

• Vercel Inc. — Alojamiento de la aplicación (EE. UU.).
• Prisma Data, Inc. — Base de datos (Prisma Postgres) (EE. UU.).
• Cloudflare, Inc. — Almacenamiento de archivos y documentos (Cloudflare R2) (EE. UU.).
• Paddle.com Market Ltd. — Procesamiento de pagos (Merchant of Record) (Reino Unido / UE).
• Zavu Labs Inc. — Envío de comunicaciones (correo transaccional; WhatsApp/SMS cuando se habiliten) (EE. UU.).

No vendemos datos personales ni los cedemos a terceros, salvo obligación legal o mandato de autoridad competente.

5. Transferencia internacional

Los proveedores anteriores alojan o procesan datos fuera del Perú (principalmente EE. UU. y la Unión Europea). Al usar el Servicio, la clínica autoriza este flujo transfronterizo, que se realiza con proveedores que ofrecen garantías de seguridad y confidencialidad equivalentes a las que exige la Ley N.º 29733.

6. Conservación

Conservamos los datos mientras la cuenta esté activa. Tras la cancelación, la clínica puede solicitar la exportación o eliminación de sus datos; algunos registros (auditoría, facturación) pueden conservarse durante el plazo que exija la ley. Las copias de seguridad se rotan y se eliminan en un plazo razonable.

7. Seguridad

Contraseñas con Argon2id, sesiones con cookie HttpOnly / Secure, cifrado en tránsito (HTTPS), aislamiento estricto por clínica, verificación de permisos en el servidor y registro de auditoría de las operaciones sensibles.

8. Cookies

Usamos únicamente cookies propias y necesarias: la cookie de sesión y la cookie de protección CSRF. No usamos cookies de publicidad ni de analítica de terceros.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, cancelación y oposición (ARCO), así como los de información y revocación del consentimiento, escribiendo a support@vitalis-erp.com. Si eres paciente de una clínica, dirígete primero a esa clínica, que es la responsable de tu banco de datos.

10. Reclamos ante la autoridad

Si consideras que no atendimos tu solicitud, puedes presentar un reclamo ante la Autoridad Nacional de Protección de Datos Personales (ANPD), Ministerio de Justicia y Derechos Humanos del Perú.

11. Menores de edad

El Servicio está dirigido a profesionales y establecimientos de salud, no a menores. Los datos de pacientes menores que registre una clínica se tratan bajo la responsabilidad de esa clínica y con el consentimiento de quien ejerce la patria potestad o tutela.

12. Cambios

Podemos actualizar esta política; si el cambio es material lo comunicaremos por el panel o por correo antes de que entre en vigor.