Aviso de privacidad y protección de datos personales

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales es:

Dr. Jocsan Osteopata
Profesional responsable: Jocsan Guerrero Quesada
Dirección: 75 m este de Gasolinera Los Reyes, Orotina centro, Provincia de Alajuela, Orotina, 20901, Costa Rica
Teléfono y WhatsApp de la clínica: +506 6411 7298
Correo para solicitudes de privacidad: privacy@drjocsan-osteopata.com

Este aviso explica cómo recopilamos, utilizamos, conservamos y protegemos los datos personales de las personas que visitan nuestro sitio web, solicitan una cita, reciben atención o se comunican con la clínica.

2. A quién se aplica este aviso

Este aviso se aplica a:

• visitantes del sitio web;
• personas que solicitan una cita;
• pacientes actuales y anteriores;
• representantes autorizados;
• padres, madres o representantes legales que actúen en nombre de una persona menor de edad;
• personas que se comunican con la clínica por WhatsApp, teléfono, correo electrónico u otros canales autorizados.

3. Datos personales que podemos recopilar

Dependiendo de la interacción con la clínica, podemos recopilar:

• nombre y apellidos;
• fecha de nacimiento;
• número de teléfono y WhatsApp;
• dirección de correo electrónico;
• idioma preferido;
• servicio solicitado;
• fecha y hora solicitadas;
• información necesaria para coordinar, confirmar, cancelar o reprogramar una cita;
• información clínica y antecedentes relevantes que usted decida proporcionar durante la atención;
• notas relacionadas con la atención profesional;
• información sobre comunicaciones, solicitudes, respuestas y consentimiento;
• información técnica limitada necesaria para proteger y operar el sitio web.

Solicitamos únicamente los datos necesarios para la finalidad correspondiente. No solicitamos información clínica detallada en el formulario público de solicitud de citas salvo que sea estrictamente necesaria y se indique expresamente.

4. Cómo utilizamos los datos

Utilizamos los datos personales para:

• recibir y gestionar solicitudes de citas;
• verificar de forma segura la identidad y evitar la creación de perfiles duplicados;
• coordinar horarios y disponibilidad;
• confirmar, cancelar o reprogramar citas;
• prestar servicios profesionales y mantener el expediente clínico;
• comunicarnos con usted sobre sus citas y solicitudes;
• enviar comunicaciones operativas autorizadas por WhatsApp, correo electrónico u otros canales aprobados;
• responder solicitudes de acceso, rectificación, privacidad o entrega de copias del expediente;
• mantener la seguridad, disponibilidad y funcionamiento del sistema;
• cumplir obligaciones legales, profesionales, administrativas o de seguridad;
• investigar y resolver incidentes, errores, quejas o solicitudes;
• producir estadísticas internas agregadas y limitadas que no pretendan identificarle individualmente.

No utilizamos los datos clínicos para publicidad personalizada, venta de información, perfiles comerciales, ni finalidades incompatibles con la atención y administración de la clínica.

5. Citas y comunicaciones

Una solicitud de cita no significa que la cita haya sido confirmada.

La clínica puede enviar una solicitud de confirmación por WhatsApp y utilizar respuestas reconocidas para gestionar el estado de la cita. La entrega, aceptación o lectura de un mensaje por parte de un proveedor de mensajería no confirma por sí sola una cita ni cambia por sí sola su estado.

Las comunicaciones de cita pueden incluir únicamente información operativa mínima, como nombre, fecha y hora, servicio, ubicación o datos de contacto de la clínica, instrucciones necesarias para responder o gestionar la cita, y una referencia no sensible de la cita.

No incluimos diagnósticos, antecedentes clínicos, notas de tratamiento, información médica detallada ni otros datos clínicos innecesarios en mensajes de cita, correos operativos o eventos de calendario.

6. Proveedores y terceros

Podemos utilizar proveedores cuidadosamente seleccionados para operar servicios técnicos y administrativos, por ejemplo alojamiento y base de datos, autenticación y control de acceso, mensajería, correo electrónico, calendario operativo, almacenamiento de copias de seguridad, monitoreo técnico y seguridad.

Estos proveedores reciben únicamente la información necesaria para prestar el servicio correspondiente y deben estar sujetos a obligaciones de confidencialidad, seguridad y tratamiento limitado.

Google Calendar y los proveedores de mensajería o correo electrónico son herramientas operativas. No son la autoridad de la clínica sobre sus citas, expediente clínico ni decisiones de atención.

Utilizamos un servicio de análisis técnico de tráfico que funciona a nivel de red, sin instalar programas de seguimiento ni identificadores en su navegador. Este servicio registra únicamente información técnica agregada de las solicitudes al sitio, por ejemplo cantidad de visitas, páginas consultadas, país aproximado, códigos de respuesta y volumen de datos. No recibe su nombre, correo electrónico, teléfono, fecha de nacimiento, información de sus citas ni ningún dato clínico. No utilizamos este servicio en las páginas administrativas de la clínica.

Además, utilizamos un servicio de medición de producto propio, ejecutado desde el servidor de la clínica, que registra pasos limitados del formulario de solicitud de citas para entender en qué punto las personas completan o abandonan el proceso. Este servicio no instala rastreadores ni programas en su navegador. Registra únicamente el servicio seleccionado, el idioma, el paso del formulario alcanzado, el resultado de la solicitud y el día de la semana. No recibe su nombre, correo electrónico, teléfono, fecha de nacimiento, dirección IP, texto libre, identificador de cita ni ningún dato clínico. Eliminamos los eventos individuales en un plazo máximo de treinta días, conservando únicamente conteos agregados por día que no permiten identificarle individualmente.

No vendemos datos personales.

7. Expediente clínico y confidencialidad

La información obtenida en relación con su atención profesional se trata como confidencial y se limita al personal autorizado que la necesita para prestar, administrar, proteger o auditar los servicios de la clínica.

Las notas clínicas se conservan como un historial de revisiones. Una corrección no elimina silenciosamente el texto anterior ni reescribe la historia clínica sin dejar evidencia. Las correcciones deben conservar el motivo, la persona responsable y la fecha correspondiente, según el procedimiento de la clínica.

No incluimos notas clínicas, diagnósticos, antecedentes médicos ni texto clínico libre en eventos de Google Calendar, análisis estadísticos, mensajes operativos o comunicaciones que no lo requieran.

8. Seguridad

Aplicamos medidas razonables de seguridad administrativas, técnicas y organizativas, que pueden incluir control de acceso por función, cuentas individuales, autenticación y revisión de permisos, registros de actividad relevantes, separación entre ambientes de desarrollo, pruebas y producción, minimización de datos en mensajes, calendarios, informes y registros técnicos, copias de seguridad protegidas y procedimientos para detectar, investigar y responder a incidentes.

Ningún sistema puede garantizar seguridad absoluta. Si ocurre un incidente que pueda afectar sus datos, la clínica lo evaluará y actuará conforme a sus obligaciones legales, profesionales y operativas.

9. Conservación

Conservamos cada categoría de datos personales únicamente durante el tiempo necesario para su finalidad correspondiente, la continuidad de la atención, la protección de derechos, el cumplimiento de obligaciones legales y profesionales aplicables, y la seguridad de la clínica.

La clínica mantiene categorías de conservación separadas para:

• solicitudes de citas que no se convirtieron en atención;
• información de contacto;
• citas y su historial;
• expedientes clínicos;
• registros de consentimiento;
• comunicaciones y evidencia operativa;
• registros de auditoría y seguridad;
• copias de seguridad.

El período de conservación puede variar según la categoría. La clínica no eliminará permanentemente los expedientes clínicos hasta adoptar y aprobar formalmente un calendario de conservación compatible con sus obligaciones legales y profesionales.

Los expedientes clínicos no se eliminan únicamente porque una persona retire su consentimiento para comunicaciones, deje de usar un canal de comunicación, cancele una cita o solicite que cesen las comunicaciones futuras.

Cuando los datos personales ya no sean necesarios y no exista una obligación válida que exija conservarlos, se eliminarán, anonimizarán o destruirán de forma segura, según corresponda.

Las copias de seguridad pueden continuar conteniendo información durante el período documentado de conservación de respaldos. La expiración de una copia de seguridad no sustituye la obligación de la clínica de proteger la información mientras permanezca almacenada.

La clínica documentará las decisiones de conservación, revisará el calendario cuando cambien los requisitos legales o profesionales y evitará conservar datos indefinidamente sin una razón documentada.

10. Sus derechos

Usted puede solicitar, según corresponda y sujeto a la verificación de identidad y a las limitaciones legales aplicables:

• acceso a sus datos personales;
• una copia de su expediente clínico;
• información sobre el uso de sus datos;
• rectificación o actualización de datos inexactos;
• incorporación de información adicional o una corrección al expediente;
• revisión de una solicitud de supresión o restricción cuando sea procedente;
• información sobre las personas o entidades autorizadas que hayan recibido sus datos;
• retiro de un consentimiento cuando el tratamiento se base en ese consentimiento;
• presentar una consulta, queja o solicitud relacionada con privacidad.

La rectificación de un expediente clínico no implica borrar o destruir la historia original. La clínica documentará la corrección de forma trazable.

11. Cómo presentar una solicitud

Puede presentar una solicitud de privacidad por correo electrónico a privacy@drjocsan-osteopata.com o por WhatsApp al +506 6411 7298.

Una solicitud recibida por correo electrónico o WhatsApp no demuestra por sí sola la identidad ni la autoridad de quien la presenta.

Antes de entregar un expediente clínico o una copia con información sensible, la clínica solicitará una verificación de identidad apropiada. Para la entrega de una copia del expediente clínico, la regla operativa aprobada actualmente requiere verificación presencial mediante documento oficial con fotografía, salvo que una obligación legal aplicable establezca otra cosa.

Las solicitudes deben indicar, en la medida posible, nombre de la persona titular, forma segura de contacto, descripción de la solicitud, información o período al que se refiere y, si actúa en nombre de otra persona, la autoridad que lo permite.

La clínica responderá y dará seguimiento conforme al procedimiento interno y los plazos aplicables.

12. Personas menores de edad y representantes

Cuando la persona atendida sea menor de edad, la clínica aplicará la regla de consentimiento y representación aprobada para Costa Rica y para el servicio correspondiente.

La clínica podrá solicitar evidencia de la identidad y autoridad de la persona representante. La participación de un padre, madre o representante no autoriza automáticamente el acceso irrestricto a toda información si la ley aplicable reconoce derechos de confidencialidad o consentimiento propios de la persona menor de edad.

La regla detallada para consentimiento, confidencialidad, acceso y comunicaciones de personas menores de edad se explicará antes de la atención cuando corresponda.

13. Retiro del consentimiento

Cuando una actividad dependa de su consentimiento, usted puede solicitar su retiro mediante los canales de privacidad indicados en este aviso.

El retiro se aplica hacia el futuro desde que la clínica pueda verificar y registrar la solicitud. No convierte en inválidos automáticamente los tratamientos o actos realizados antes del retiro, ni obliga a borrar información que la clínica deba conservar por razones legales, profesionales, de seguridad, auditoría, defensa de derechos o continuidad de la atención.

El retiro puede impedir que la clínica continúe usando un canal de comunicación o prestando una función que dependa de ese consentimiento. No necesariamente cancela una cita o una atención ya acordada, salvo que usted solicite expresamente su cancelación y la clínica pueda procesarla conforme a las reglas de citas.

La clínica confirmará las consecuencias prácticas del retiro y ofrecerá, cuando sea posible, un canal alternativo para comunicaciones operativas esenciales.

14. Cambios a este aviso

Podemos actualizar este aviso para reflejar cambios legales, profesionales, técnicos u operativos.

Cada versión tendrá un identificador, fecha de vigencia y, cuando corresponda, una explicación de los cambios relevantes. La versión que se le presente al momento de recopilar sus datos debe coincidir con la versión registrada en la evidencia de consentimiento correspondiente.

15. Comunicaciones y retiro del consentimiento

El consentimiento para comunicaciones operativas sobre una cita se limita a WhatsApp, correo electrónico, teléfono u otros canales autorizados de la clínica. Estas comunicaciones pueden incluir el nombre, fecha y hora de la cita, servicio solicitado, ubicación o datos de contacto de la clínica, instrucciones para gestionar la cita y una referencia no sensible.

No incluirán diagnósticos, antecedentes clínicos, notas de tratamiento ni otra información clínica innecesaria. Recibir, leer, aceptar o responder un mensaje no confirma, cancela ni cambia por sí solo el estado de una cita. El sistema de citas de la clínica es la autoridad sobre el estado de la cita.

Este consentimiento puede retirarse para comunicaciones futuras escribiendo a privacy@drjocsan-osteopata.com o por WhatsApp al +506 6411 7298. El retiro no cancela automáticamente una cita, elimina expedientes ni invalida comunicaciones ya enviadas.

Para otras preguntas, solicitudes o reclamos relacionados con privacidad, puede utilizar los mismos canales. También puede presentar una queja ante la autoridad costarricense competente en materia de protección de datos, según corresponda.