Aviso de privacidad

1. Responsable del tratamiento

Según la Ley turca n.º 6698 de Protección de Datos Personales (la «KVKK»), Foodlex es responsable del tratamiento de los datos de las cuentas de dietistas, las suscripciones y los pagos, y de las visitas a las páginas públicas. Para los datos de pacientes que los dietistas registran en la plataforma, el responsable es el dietista; Foodlex es el encargado que los trata por su cuenta y siguiendo sus instrucciones. Los pacientes pueden dirigir sus solicitudes en primer lugar a su dietista; Foodlex le ayuda a responderlas.

2. Datos personales tratados

A través de nuestra plataforma se tratan las siguientes categorías de datos personales:

• Datos identificativos: nombre completo, fecha de nacimiento, sexo
• Datos de contacto: correo electrónico, teléfono
• Datos de salud: estatura, peso, índice de masa corporal, grasa corporal, perímetros de cintura y cadera, problemas de salud, medicamentos, alergias
• Preferencias alimentarias: restricciones, preferencias de alimentos, cocina preferida
• Datos financieros: datos de pago, tratados a través de Polar. No guardamos datos de tarjetas.
• Datos de uso: visitas a la plataforma y a las páginas públicas, eventos del registro y de la verificación del correo, horas de acceso, página de procedencia y datos del navegador; las etiquetas de Google solo se cargan después de tu elección

3. Finalidades del tratamiento

• Ofrecer a los dietistas servicios de gestión de pacientes
• Elaborar planes de alimentación personalizados con ayuda de IA
• Seguimiento semanal del progreso e informes
• Gestionar suscripciones y pagos
• Mantener la seguridad de la plataforma
• Cumplir obligaciones legales
• Medir y mejorar las páginas públicas; las analíticas opcionales solo funcionan con tu consentimiento

4. Base jurídica

Tus datos personales se tratan según los artículos 5 y 6 de la KVKK, sobre las siguientes bases:

• Tu consentimiento expreso, en particular para los datos de salud y las analíticas opcionales
• La celebración y ejecución de un contrato
• El cumplimiento de una obligación legal
• Nuestro interés legítimo en mantener la plataforma segura

5. Plazo de conservación

Los datos de pacientes se conservan mientras la cuenta del dietista esté abierta y el dietista mantenga al paciente en el sistema. Cuando un dietista elimina a un paciente, su ficha, sus mediciones y sus planes se borran definitivamente. Cuando un dietista cierra su cuenta, se eliminan la cuenta y todos los datos de pacientes vinculados.

6. Seguridad de los datos

Estas medidas protegen tus datos:

• Los datos de salud (problemas de salud, medicamentos, alergias, valores de laboratorio) y de contacto se cifran con Fernet (AES-128-CBC + HMAC-SHA256) antes de escribirse en la base de datos
• Todos los datos en tránsito se cifran con TLS
• El acceso a la base de datos está limitado por seguridad a nivel de fila (RLS)
• Cada acceso a los datos y cada cambio quedan registrados en un historial de auditoría

6a. Dónde se guardan los datos y transferencias internacionales

Los servidores y la base de datos de Foodlex están alojados en la Unión Europea, en Ámsterdam (Países Bajos). Para prestar el servicio, tus datos personales se transfieren a los siguientes encargados:

• Railway (Países Bajos): alojamiento de la aplicación y la base de datos
• Netlify (Estados Unidos): distribución de la interfaz web
• OpenRouter / Google (Estados Unidos): elaboración de los planes de alimentación. No se envían el nombre, el correo ni el teléfono del paciente; los nombres, correos y teléfonos que aparezcan en campos de texto libre se eliminan antes del envío. Se tratan la edad, el sexo, las mediciones y la información de salud. Las solicitudes solo se dirigen a servicios que ni conservan los datos ni los usan para entrenar modelos (retención cero).
• Mailjet (Francia): envío de correos
• Polar (Estados Unidos): suscripciones y pagos. Afecta solo a los datos de facturación del propio dietista; no se transfiere ningún dato de pacientes.
• Google Tag Manager y Google Analytics (Google): solo se cargan en las páginas públicas si permites las analíticas, y se usan para medir visitas. Google puede tratar la página visitada, la página de procedencia, datos del navegador y del dispositivo y datos de conexión; los datos pueden transferirse fuera de tu país a través de la infraestructura de Google. Estas herramientas no se cargan en las páginas de inicio de sesión, de la cuenta ni de las fichas.

Las transferencias de datos de pacientes necesarias para prestar el servicio se realizan conforme al aviso correspondiente y al consentimiento del paciente. Tu elección sobre las analíticas opcionales de las páginas públicas se recoge por separado: si la rechazas, Google Tag Manager no se carga. Puedes cambiarla con el botón Ajustes de privacidad al final de la página. Esta elección es independiente del consentimiento sobre los datos de pacientes.

7. Tus derechos

Según el artículo 11 de la KVKK, tienes los siguientes derechos:

• Saber si se tratan tus datos personales
• Pedir información sobre ese tratamiento si se ha producido
• Conocer la finalidad del tratamiento y si los datos se usan conforme a ella
• Saber si los datos se transfieren dentro del país o al extranjero
• Pedir la rectificación de los datos incompletos o incorrectos
• Pedir su supresión o destrucción
• Oponerte a una decisión que te perjudique tomada únicamente mediante el análisis automatizado de tus datos
• Reclamar una indemnización si un tratamiento ilícito te ha causado un perjuicio

8. Destinatarios de los datos

Tus datos personales pueden llegar a las siguientes partes a través de nuestros proveedores:

• OpenRouter: elaboración de planes de alimentación con IA (no se envían el nombre ni los datos de contacto del paciente; solo se usan servicios de retención cero)
• Polar: procesamiento de pagos, como comerciante registrado
• Mailjet: envío de correos
• Google: Google Tag Manager para medir las páginas públicas, solo si lo permites

9. Contacto

Para ejercer tus derechos, puedes escribirnos por cualquiera de estas vías:

Correo electrónico: kvkk@foodlex.co

10. Si te encuentras en el Espacio Económico Europeo o en el Reino Unido

Para las cuentas de dietistas, Foodlex es también responsable del tratamiento según el RGPD y el UK GDPR. Para los datos de pacientes, el responsable es el dietista y Foodlex los trata por su cuenta conforme al Acuerdo de tratamiento de datos, que incluye las cláusulas contractuales tipo de la UE.

Bases jurídicas según el artículo 6 del RGPD: la ejecución del contrato de tu cuenta y suscripción (6.1.b); el cumplimiento de obligaciones legales como conservar registros fiscales (6.1.c); nuestro interés legítimo en mantener la plataforma segura y prevenir abusos (6.1.f); y tu consentimiento para las analíticas opcionales (6.1.a), que puedes retirar en cualquier momento.

Foodlex se gestiona desde Turquía y algunos de sus proveedores están en Estados Unidos. Las transferencias fuera del EEE y del Reino Unido se basan en las cláusulas contractuales tipo de la Comisión Europea, con el UK Addendum para el Reino Unido, o, si el proveedor está certificado, en el Marco de Privacidad de Datos UE-EE. UU.

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y derecho a retirar tu consentimiento en cualquier momento. Escribe a kvkk@foodlex.co. También puedes reclamar ante la autoridad de protección de datos del país donde vives o trabajas.