Legal

Política de Privacidad de Datos de Salud del Consumidor

Fecha de entrada en vigor: 8 de octubre de 2026

Esta política se refiere únicamente a los datos de salud del consumidor. Se publica por separado de nuestra Política de Privacidad porque la My Health My Data Act de Washington y la SB 370 de Nevada exigen una política distinta para esta categoría de información. Describe qué datos de salud del consumidor trata Guwy Software LLC ("Guwy", "nosotros"), de dónde vienen, para qué, quién los recibe y cómo puede usted ejercer sus derechos.

1. Nuestro papel

Guwy ofrece software de citas y de registro a negocios independientes de belleza, micropigmentación, tatuaje, pestañas, estética, barbería y spa.

Tratamos los datos de salud del consumidor por cuenta de esos negocios, no para fines propios. El negocio decide qué preguntas de salud hace, qué formularios usa y para qué. Nosotros guardamos esa información, se la mostramos al personal que el negocio autoriza y se la mantenemos disponible. No decidimos qué se recopila, y no la usamos para nada que no sea operar el Servicio para ese negocio.

Si usted rellenó un formulario o recibió un servicio, su relación es con ese negocio. Esta política le explica qué ocurre con la información dentro de nuestra plataforma, y cómo contactarnos si el negocio no puede ayudarle.

2. Categorías de datos de salud que tratamos

Lo que se recopila en realidad depende del formulario que arme cada negocio. En los formularios en uso aparecen estas categorías:

• Historial de salud que pregunta el negocio: alergias, medicamentos, condiciones médicas, embarazo o lactancia, tipo de piel y reacciones previas.
• Registros del tratamiento: el servicio recibido, la fecha, el profesional, los productos o ajustes usados, las instrucciones de cuidado posterior aceptadas y las observaciones que el negocio anota de una sesión.
• Notas sobre usted escritas por el negocio, incluidas las que marca como médicas.
• Firmas manuscritas recogidas en los formularios de consentimiento y de cuidado posterior.
• Documentos de identidad, cuando el negocio los exige: la fotografía de un documento oficial y su número, si el formulario lo pide.
• Información de un menor y de su padre, madre o tutor legal, cuando el negocio atiende a menores con el consentimiento del tutor.
• Registros de citas que muestran que usted buscó un servicio determinado.

No deducimos información de salud a partir de información que no lo es. No recopilamos datos de ubicación a través de nuestro sitio web ni de las páginas donde usted rellena un formulario. Nuestra app móvil, que usa el personal del negocio y no los clientes, solicita la ubicación del dispositivo únicamente porque el lector de tarjetas que soporta la necesita para procesar pagos presenciales; esa ubicación describe el dispositivo del propio negocio, no a usted.

3. De dónde vienen

• De usted, cuando completa un formulario que alojamos por cuenta del negocio.
• Del negocio, cuando su personal introduce información o sube un documento en su nombre.
• De su uso del Servicio, como el registro que se crea al reservar o completar una cita.

4. Para qué los tratamos

Solo para operar el Servicio para el negocio que los recopiló:

• Guardar el formulario completado y ponerlo a disposición del personal que el negocio autoriza.
• Generar el documento firmado que el negocio conserva como registro.
• Vincular el registro al cliente y a la cita correctos.
• Registrar quién vio o descargó cada documento de consentimiento, y cuándo, para que el negocio tenga un rastro de accesos.
• Mantener copias de seguridad cifradas para que el negocio no pierda sus registros.
• Dar soporte cuando el negocio nos pide revisar un problema.

5. Lo que NO hacemos

• No vendemos datos de salud del consumidor. Nunca lo hemos hecho, y venderlos exigiría una autorización firmada suya, que no solicitamos.
• No los usamos para publicidad, ni nuestra ni de terceros, y no los compartimos para publicidad conductual entre contextos.
• La página donde usted rellena y firma un formulario no carga ningún código de analítica, publicidad ni grabación de sesión. Ningún píxel, etiqueta ni script de terceros observa lo que usted escribe allí. Aparte de nuestros propios servidores, esa página solo carga una tipografía y un juego de iconos desde Google Fonts y una red de distribución de contenidos. Como es su navegador quien pide esos archivos directamente, esos proveedores reciben su dirección IP y los datos de su navegador — y nada sobre el formulario ni sobre lo que usted introduce en él.
• No los usamos para entrenar modelos de inteligencia artificial, y nuestro asistente de IA dentro del producto no puede acceder a formularios de salud, notas médicas, firmas, documentos de identidad ni archivos subidos. El asistente está restringido técnicamente a un conjunto fijo de vistas de base de datos que exponen citas, servicios, personal, pagos y nombres y contactos de clientes, y no puede consultar nada más.
• No los enviamos por correo electrónico ni por mensaje de texto. El contenido de un formulario de salud nunca se adjunta a un mensaje que enviamos.
• No usamos geovallas (geofencing) para identificar ni rastrear a nadie cerca de un centro sanitario.
• No los usamos para perfilarle ni para tomar decisiones automatizadas sobre usted.

6. Quién los recibe

Los datos de salud del consumidor solo se comparten con los proveedores que hacen funcionar el Servicio, y solo para eso. No los compartimos con intermediarios de datos ni con anunciantes. Guwy Software LLC no tiene filiales ni subsidiarias.

• El negocio que los recopiló, y el personal que autoriza. Ese es el propósito del Servicio.
• Nuestro proveedor de alojamiento, que opera el servidor en Dallas, Texas, Estados Unidos, donde funciona el Servicio.
• Cloudflare, que transporta y protege el tráfico de red entre su navegador y nuestro servidor.
• Amazon Web Services y Cloudflare R2, que almacenan nuestras copias de seguridad. Las copias se cifran en nuestros propios servidores antes de subirse, así que estos proveedores solo guardan archivos cifrados que no pueden leer.
• Google, únicamente si el negocio decide conectar su Google Calendar. En ese caso enviamos a Google la entrada de agenda de cada cita: su nombre, el nombre del servicio, el profesional, el precio y la fecha y hora. Como el nombre del servicio puede revelar qué buscó usted, lo tratamos como una compartición de datos de salud del consumidor, y solo ocurre si el negocio activa la integración. El contenido de los formularios de salud, las firmas, los documentos de identidad y las notas médicas nunca se envían a Google. Si no quiere que sus citas estén en el Google Calendar del negocio, dígaselo: puede desactivar la integración o eliminar la entrada.
• Proveedores que entregan los mensajes y avisos del negocio — mensajes de texto, correo electrónico y notificaciones a los teléfonos del personal del negocio. Un aviso de cita enviado al personal le identifica a usted y al servicio reservado.
• Proveedores de pago, que reciben el importe y una referencia a la cita. No reciben el contenido de sus formularios.
• Un proveedor de inteligencia artificial, si el negocio usa el asistente de su panel. Puede recibir información de citas y de clientes. Nunca se le envía el contenido de los formularios de salud, las notas médicas, las firmas, los documentos de identidad ni los archivos subidos.
• Servicios opcionales que el negocio conecta — por ejemplo un calendario, una herramienta de marketing, o un destino que elija para recibir los eventos de cita. Solo reciben información si el negocio los activa, y el destino lo elige el negocio.

Estos proveedores actúan únicamente siguiendo nuestras instrucciones, o las del negocio, y solo para prestar la parte del Servicio que les corresponde. Son proveedores de servicio, no terceros con los que compartamos su información para fines propios. Un negocio que use Guwy puede solicitar la lista vigente de nuestros proveedores de servicio conforme a su contrato con nosotros.

No vendemos datos de salud del consumidor, y no los compartimos con anunciantes ni con intermediarios de datos.

También podríamos divulgar datos de salud del consumidor si la ley nos obliga, por ejemplo ante una citación válida o una orden judicial.

7. Sus derechos

Usted tiene derecho a:

• Confirmar si tratamos datos de salud del consumidor sobre usted, y acceder a ellos, incluida una lista de todos los terceros y filiales que los han recibido y una dirección de correo electrónico activa u otro mecanismo en línea que usted pueda usar para contactar con cada uno de ellos.
• Retirar su consentimiento a que los recopilemos y compartamos.
• Pedirnos revisar sus datos y solicitar cambios en ellos.
• Eliminarlos.

Ejercer estos derechos es gratuito y no le trataremos de forma distinta por hacerlo.

Cómo ejercerlos

Empiece por el negocio que le atendió. Es quien tiene los registros y puede actuar de inmediato: un negocio puede corregir la información de un cliente, y puede eliminar sus datos de salud — incluidos los formularios firmados, las firmas, las fotografías de identidad y el historial médico — directamente desde su propia cuenta, en cualquier momento.

Si no consigue contactar con el negocio, o no le responde, escriba a privacy@guwy.com con los datos suficientes para localizar el registro. Como actuamos por cuenta del negocio, le trasladaremos su solicitud y seguiremos su instrucción, y le diremos qué ocurrió. Responderemos en un plazo de 45 días, ampliable una vez por otros 45 días cuando sea razonablemente necesario, explicándole el motivo.

Puede que necesitemos verificar su identidad antes de actuar. Si no podemos verificarla, se lo diremos.

Si rechazamos su solicitud

Si rechazamos su solicitud, le diremos por qué y cómo recurrir. Para recurrir, responda a nuestra decisión o escriba a privacy@guwy.com con la palabra "Apelación". Responderemos al recurso en un plazo de 45 días. Si lo denegamos, le indicaremos cómo contactar con la fiscalía general de su estado para presentar una queja.

8. Eliminación y conservación

Conservamos los datos de salud del consumidor mientras la cuenta del negocio esté activa, porque ese registro es el producto por el que el negocio paga. Un negocio puede eliminar los datos de un cliente concreto en cualquier momento, y es responsable de cumplir las obligaciones de conservación que le apliquen.

Cuando se eliminan datos, los quitamos de nuestros sistemas en producción y borramos los archivos guardados que están bajo nuestro control. Las copias de seguridad cifradas pueden seguir conteniendo la información hasta que esas copias caducan y se destruyen, lo que ocurre como máximo seis meses después del borrado. No podemos borrar selectivamente un registro concreto dentro de una copia de seguridad cifrada ya existente. Si alguna vez tenemos que restaurar una copia, volvemos a aplicar todas las solicitudes de eliminación recibidas después de que se hiciera esa copia.

Una cosa se conserva a propósito: el registro de la cita y del pago, sin su identidad. El negocio lo necesita para su contabilidad y sus registros fiscales y, una vez eliminados su nombre, sus datos de contacto, las notas y los formularios, ese registro ya no le identifica.

Si un negocio cierra su cuenta, conservamos sus datos 90 días para que pueda exportar sus registros, y los eliminamos después.

9. Cómo los protegemos

• Cifrado TLS 1.2/1.3 en tránsito.
• Cifrado en reposo (LUKS2, AES-256-XTS) en el volumen que contiene nuestra base de datos y los documentos subidos. Esto protege los datos si el disco físico se extrae, se sustituye o se retira.
• Copias de seguridad cifradas en nuestros servidores antes de subirse.
• Control de acceso por roles y aislamiento de datos entre negocios.
• Registro de accesos en los documentos de consentimiento: anotamos quién vio o descargó cada registro, y cuándo, incluidas las descargas hechas por el personal.

10. Menores

Los menores no crean cuentas en Guwy. Un negocio puede registrar el formulario de un cliente menor con el consentimiento de su padre, madre o tutor legal; esa información, y los datos del propio tutor que se registren junto a ella, se tratan exactamente como describe esta política.

11. Cambios en esta política

No recopilaremos, usaremos ni compartiremos datos de salud del consumidor de formas que no estén descritas aquí. Si tenemos intención de hacerlo, actualizaremos antes esta política, la publicaremos con una nueva fecha de entrada en vigor, avisaremos a los negocios por correo electrónico al menos 15 días antes de que el cambio surta efecto para que puedan informar a sus clientes, y obtendremos el consentimiento que la ley exija antes de que empiece la nueva práctica.

12. Contacto

Guwy Software LLC — Georgia, Estados Unidos
privacy@guwy.com