Lo más privado que tienes merece el trato más serio

Datos de la cuenta: dirección de correo electrónico, contraseña cifrada, nombre y apellidos si los facilitas, código postal, país de residencia, idioma y, solo si quieres darlo, un teléfono. El código postal se pide porque el servicio está abierto únicamente a residentes en España; el teléfono no hace falta para nada de lo que hace la aplicación y puedes dejarlo vacío.

Para qué usas Hemora: en la incorporación se elige una situación de una lista (un seguimiento largo, un historial repartido entre la pública y la privada, el expediente de un familiar, y así). Sirve para saber para quién estamos construyendo esto y no se cruza con tu expediente. **Ninguna de las opciones nombra una enfermedad, un tratamiento ni un estado de salud**: describen la forma del expediente o la situación administrativa, y eso es deliberado. Si eliges «otro» hay un campo libre de dos palabras, y la pantalla pide expresamente no escribir datos de salud ahí.

Datos de salud: los documentos que subes y lo que se extrae de ellos, fechas, centros, valores medidos, resúmenes, junto con lo que anotes en tu perfil médico: fecha de nacimiento, sexo, altura, peso, grupo sanguíneo, alergias, tratamientos y antecedentes.

Datos técnicos: registro de accesos y de acciones sobre tu cuenta, con la dirección IP truncada a sus tres primeros grupos. No usamos cookies de analítica ni de publicidad.

Medición de audiencia: contamos cuántas veces se abre cada pantalla, por día e idioma, en nuestra propia base de datos. Ese contador no guarda dirección IP, ni identificador, ni cookie: no hay forma de saber quién visitó qué, solo cuánto se usa cada pantalla.

Para prestarte el servicio, guardar, leer y ordenar tu expediente, con base en el consentimiento explícito que das al registrarte (artículo 9.2.a del RGPD, al tratarse de datos de salud) y en la ejecución del contrato (artículo 6.1.b).

Para la lectura automática por IA, con base en un consentimiento separado que puedes retirar en cualquier momento. Si lo retiras, dejamos de enviar documentos al proveedor del modelo; tu expediente sigue funcionando y podrás introducir los datos a mano.

Para la seguridad del servicio, detectar intentos de acceso, evitar abusos, con base en nuestro interés legítimo (artículo 6.1.f).

No hay decisiones automatizadas con efectos jurídicos, ni elaboración de perfiles con fines comerciales. No vendemos ni cedemos datos con fines publicitarios, y no hay excepciones a esto.

Al registrarte hay una casilla, separada y opcional, para autorizar que tus datos de salud se usen de forma anonimizada y agregada con dos fines: mejorar el servicio, y contribuir a la investigación en salud, también junto a terceros que investiguen, sean públicos o privados.

Si la marcas, lo que sale de aquí no lleva tu nombre, ni tu correo, ni tu teléfono, ni tus documentos: son valores y fechas agregados con los de otras personas, de modo que ninguna conclusión pueda referirse a ti. Si no la marcas, no cambia nada: el servicio funciona igual y tú tienes exactamente lo mismo.

Es un consentimiento aparte, y se retira desde Ajustes en cualquier momento con un solo interruptor. Al retirarlo dejamos de incluir tus datos en cualquier conjunto nuevo; lo ya agregado y anonimizado no se puede deshacer, porque ya no se puede saber cuál era tuyo, y eso es exactamente lo que lo hace anónimo.

Nunca hay publicidad, ni venta de datos identificables, y esto no tiene excepción ni depende de ninguna casilla.

Se nombran uno a uno, porque «un proveedor» no es una respuesta: quien lee esto tiene derecho a saber en qué manos está su expediente.

**Alojamiento de la aplicación**: Vercel. **Base de datos**: Neon, en servidores situados en Fráncfort (Alemania). **Archivos**: el almacén de objetos de Vercel, europeo. Todo cifrado antes de salir de nuestro proceso.

**Lectura de los documentos**: Mistral AI, empresa francesa con infraestructura en la Unión Europea. Recibe el texto del documento para clasificarlo y extraer sus valores; no recibe tu nombre ni tu dirección de correo. Hemos desactivado en nuestra cuenta el uso de esos datos para mejorar o entrenar sus modelos. Solo se le manda algo si has marcado la casilla correspondiente, y dejamos de mandárselo el día que la retires.

Dicho hasta el final, porque es un plazo de conservación y te corresponde saberlo: en las condiciones estándar de su API, Mistral guarda lo enviado y lo devuelto durante treinta días, en la Unión Europea, para detectar abusos, y después lo borra. No se usa para entrenar nada. Hemos solicitado la modalidad sin conservación alguna, y esta página dirá que la tenemos el día que la tengamos, no antes.

**Correo**: Mailjet, con sede en Francia, que recibe únicamente tu dirección y el contenido del mensaje que te enviamos.

**Pagos**: Stripe, si te suscribes. Recibe tu correo y tus datos de facturación; nunca ninguno de tus datos de salud. Tu tarjeta no pasa por nuestros servidores en ningún momento.

Con todos ellos existe un contrato de encargado de tratamiento conforme al artículo 28 del RGPD.

Dicho con precisión, porque importa: **tus datos se almacenan y se tratan en la Unión Europea**, pero algunos de estos proveedores son sociedades con matriz en Estados Unidos. Su personal de soporte puede, excepcionalmente y para resolver una incidencia técnica, acceder desde fuera del Espacio Económico Europeo. Ese acceso es un transferencia en el sentido del RGPD, y está amparado por las cláusulas contractuales tipo de la Comisión Europea (artículo 46) o por el Marco de Privacidad de Datos UE–EE. UU. Preferimos escribirlo así antes que prometer que no existe.

Cada archivo y el texto extraído de él se guardan cifrados con AES-256-GCM. La clave no se guarda junto a los datos.

Las contraseñas se guardan derivadas con scrypt, nunca en claro. Los identificadores de sesión se guardan solo como huella, de modo que un volcado de la base no permite entrar en ninguna cuenta.

El acceso técnico a datos de un usuario queda registrado y solo ocurre a petición de la persona afectada, para resolver una incidencia.

Mientras tengas la cuenta abierta. Al pedir la baja te ofrecemos la exportación completa de tu expediente en el mismo paso, y después destruimos el contenido.

Del registro de accesos conservamos doce meses, por seguridad. De la prueba del consentimiento conservamos el plazo necesario para poder demostrarlo ante una reclamación. Y una cuenta que nunca llega a confirmar su correo se borra entera a los treinta días: sin confirmar no se puede entrar, así que no es una cuenta dormida, es una cuenta imposible, y guardarla no serviría para nada.