Política de Privacidad de Namthia

Versión 2026-11e

Esta política explica cómo Namthia Health, S.L. trata los datos personales de las personas que contratan y utilizan el servicio Namthia: propietarios de cuenta, personal de las clínicas clientes y quienes contactan con nosotros.

Si eres paciente de una clínica que usa Namthia, esta no es tu política. Tus datos de salud los trata tu clínica como responsable, y Namthia solo como proveedor tecnológico por cuenta de ella. Consulta la política de privacidad de tu clínica, que ella misma te facilita. La única excepción es tu cuenta de acceso al portal del paciente, de la que sí es responsable Namthia: la explicamos en el apartado 9.

1. Responsable del tratamiento

Namthia Health, S.L. — CIF B93824142
Domicilio social: Calle Góngora 8, piso 3, puerta A, 14008 Córdoba (España)
Correo de protección de datos: privacidad@namthia.com
Delegada de Protección de Datos: Rocío López del Río — dpo@namthia.com

La información exigida por el artículo 10 de la Ley 34/2002 (LSSI-CE) está en el Aviso Legal. El uso de cookies y tecnologías similares se describe en la Política de Cookies.

2. Qué datos tratamos y de dónde vienen

Los datos nos los facilitas tú o, si eres personal de una clínica o su correo de contacto, la propia clínica. Los técnicos se generan automáticamente al usar el servicio.

Categoría	Datos concretos
Identificativos y de contacto	Nombre y apellidos, dirección de correo electrónico, teléfono, ciudad
De la cuenta	Rol asignado, credenciales cifradas, configuración de verificación en dos pasos, fecha del último acceso
Fiscales y de facturación	Denominación o nombre, NIF/CIF, domicilio fiscal, código postal, provincia, serie de facturación, historial de suscripción y de pagos
De aceptación de documentos legales	Fecha y hora, versión aceptada, nombre, dirección IP y huella del texto de cada documento que aceptas
De avisos legales	Si recibes un aviso de cambio en los documentos legales: tu email y tu papel en la cuenta (Propietario o contacto), la versión avisada, la huella del texto enviado, la fecha, el identificador del envío y su resultado (aceptado por el proveedor, entregado o rebotado), cuándo viste el aviso en el panel y, si te opones o resuelves, tu mensaje, la fecha y nuestra respuesta
De soporte	Contenido de las consultas y de las incidencias que nos envías, y la conversación con el asistente de la plataforma
De propuestas de mejora	Si usas «Propuestas»: tu nombre y tu email, la clínica, su especialidad y su país, el texto de las ideas que nos envías y los votos que da tu clínica. No incluyas datos de pacientes: el formulario no deja enviar DNI, teléfonos, emails ni números de cuenta
Técnicos y de seguridad	Dirección IP, agente de usuario, registros de acceso y de actividad, y datos técnicos de los errores que se producen en la aplicación
De origen comercial	Cómo llegaste hasta nosotros (campaña o canal de procedencia), si esa información se recoge en el alta
Para la prueba gratuita	Una huella cifrada de tu email y del NIF/CIF de tu centro (no el dato en claro) para saber si ya disfrutaron de una prueba gratuita
De tu Google Calendar, si lo conectas	El correo y el identificador de tu cuenta de Google, el permiso de acceso que nos concede Google (cifrado) y los identificadores del calendario y de los eventos que crea Namthia. Ver el apartado 10

No tratamos categorías especiales de datos sobre ti. Nunca te pedimos datos de tarjeta: los gestiona directamente nuestro proveedor de pagos y no llegan a nuestros sistemas.

3. Para qué usamos tus datos y con qué base legal

Finalidad	Base legal
Crear y mantener tu cuenta y prestarte el servicio contratado	Art. 6.1.b RGPD — ejecución del contrato
Gestionar la suscripción, cobrarla y emitirte factura	Art. 6.1.b RGPD y Art. 6.1.c RGPD — obligaciones fiscales y contables
Atender tu soporte, tus incidencias y tus consultas	Art. 6.1.b RGPD
Recoger tus ideas de mejora y los votos de tu clínica para decidir qué desarrollamos, y avisarte de lo que pasa con ellas. Las demás clínicas no ven tus ideas ni tus votos: solo las propuestas que redactamos nosotros, sin el nombre de ninguna clínica	Art. 6.1.f RGPD — interés legítimo en mejorar el servicio con la opinión de quien lo usa
Enviarte comunicaciones necesarias sobre el servicio: avisos de seguridad, cambios legales, fin de prueba, incidencias, resúmenes de actividad que hayas activado	Art. 6.1.b RGPD
Conservar la prueba de que aceptaste los Términos y el Contrato de Encargado del Tratamiento	Art. 6.1.f RGPD — interés legítimo en acreditar el contrato y en defender nuestros derechos, en relación con el deber de acreditación del Art. 5.2 RGPD.
Enviarte los avisos de cambio en los documentos legales y conservar la constancia de su envío, de su resultado, de cuándo los viste y de tus oposiciones o resoluciones	Art. 6.1.b RGPD si contratas tú como persona física; en los demás casos, Art. 6.1.f RGPD y Art. 19 LOPDGDD. Conservar la constancia: Art. 6.1.f RGPD — interés legítimo en acreditar el aviso y en defender nuestros derechos.
Prevenir el abuso de la prueba gratuita (una por persona y por empresa): guardamos una huella cifrada de tu email y del NIF/CIF de tu centro, que solo sirve para comprobar si ya tuvieron una prueba. No guardamos el email ni el NIF en esa lista y no se usa para nada más	Art. 6.1.f RGPD — interés legítimo en que la prueba gratuita no se repita sin límite
Garantizar la seguridad del servicio: limitación de intentos de acceso, detección de accesos indebidos, prevención del fraude	Art. 6.1.f RGPD — interés legítimo en la seguridad del servicio y de todos sus usuarios
Detectar y corregir errores técnicos y mejorar el funcionamiento del producto	Art. 6.1.f RGPD — interés legítimo en la calidad y la continuidad del servicio
Enviarte información comercial sobre Namthia si no eres todavía cliente	Art. 6.1.a RGPD — consentimiento, revocable en cualquier momento
Enviarte información sobre funcionalidades nuevas análogas a las que ya usas, si eres cliente	Art. 6.1.f RGPD y Art. 21.2 LSSI, con posibilidad de oposición en cada envío

Si no contratas tú personalmente, sino que actúas en nombre de una empresa o eres parte de su personal, la base de lo que aquí figura como ejecución del contrato es el Art. 6.1.f RGPD, con la presunción del Art. 19 LOPDGDD para los datos de contacto.

Cuando la base sea el interés legítimo, hemos valorado que el tratamiento es necesario, mínimo y previsible para ti, y que no prevalece sobre tus derechos. Puedes solicitarnos el detalle de esa ponderación en privacidad@namthia.com.

4. Con quién compartimos tus datos

Solo con proveedores que nos prestan servicios y que actúan como encargados del tratamiento por nuestra cuenta, con contrato de encargo y sin poder usar tus datos para fines propios:

Proveedor	Para qué	Ubicación	Garantía si sale del EEE
Supabase Pte. Ltd.	Base de datos y autenticación	Unión Europea (París); su soporte técnico puede acceder desde fuera del EEE	Cláusulas Contractuales Tipo para esos accesos
Vercel Inc.	Ejecución de la aplicación	Unión Europea (París); registros técnicos y soporte desde Estados Unidos	Data Privacy Framework y Cláusulas Contractuales Tipo
Stripe Payments Europe, Limited	Cobro de la suscripción y facturación	Unión Europea	Según el acuerdo de encargo de Stripe
Plus Five Five, Inc. (Resend)	Envío del correo del servicio	Estados Unidos	Cláusulas Contractuales Tipo
Upstash, Inc.	Limitación de intentos por IP	Estados Unidos	Data Privacy Framework y Cláusulas Contractuales Tipo
Functional Software, Inc. (Sentry)	Monitorización de errores	Estados Unidos	Data Privacy Framework y Cláusulas Contractuales Tipo
Slack Technologies, LLC	Alertas internas operativas de Namthia	Estados Unidos	Data Privacy Framework y Cláusulas Contractuales Tipo
Amazon Web Services EMEA SARL	Copia de seguridad diaria, cifrada antes de enviarla	Unión Europea (Estocolmo, Suecia)	No hay transferencia
Cloudflare, Inc.	Protección contra bots en el formulario de alta (Turnstile)	Estados Unidos	Data Privacy Framework y Cláusulas Contractuales Tipo
Google Ireland Limited	Funciones de inteligencia artificial y correo corporativo	Unión Europea (Bélgica)	Cláusulas Contractuales Tipo para accesos desde fuera del EEE

Si decides iniciar sesión con tu cuenta de Google, Google recibe que accedes a Namthia y nos facilita tu nombre y tu correo; Google actúa como responsable independiente según su propia política de privacidad.

Si conectas tu Google Calendar (apartado 10), Namthia escribe tus citas en un calendario de tu cuenta de Google. Google trata ese calendario como proveedor de tu cuenta, según las condiciones que tengas con Google; no es un proveedor de Namthia.

Además comunicamos datos a la Administración tributaria y a otras autoridades públicas cuando exista obligación legal, y a nuestros asesores fiscales y contables en lo estrictamente necesario.

No vendemos tus datos, no los cedemos a terceros con fines publicitarios y no elaboramos perfiles que produzcan efectos jurídicos sobre ti.

5. Cuánto tiempo los conservamos

Datos de la cuenta: mientras la cuenta esté activa. Al darte de baja, se suprimen o anonimizan salvo lo indicado a continuación.
Datos fiscales y de facturación: cuatro años a efectos tributarios y hasta seis años a efectos mercantiles (Art. 30 del Código de Comercio) desde la última operación.
Prueba de aceptación de los documentos legales: mientras puedan derivarse responsabilidades del contrato, y en todo caso durante los plazos de prescripción aplicables.
Constancia de los avisos legales: hasta seis (6) años desde la baja de la cuenta, salvo reclamación en curso.
Registros de seguridad y de actividad: el tiempo necesario para su finalidad, con un máximo de doce meses, salvo que deban conservarse por una incidencia concreta.
Datos de soporte: dos años desde el cierre de la consulta.
Propuestas de mejora: las ideas que no llegamos a publicar, dos años desde que las envías; las que forman parte de una propuesta publicada y los votos, mientras la clínica tenga cuenta. Al darse de baja la clínica se borran sus ideas y sus votos.
Copias de seguridad: cada copia diaria, cifrada, se conserva 30 días y se borra al día 31. Si borramos un dato, desaparece de las copias al vencer ese ciclo, como máximo en treinta y cinco (35) días.
Huella para la prueba gratuita: tres años desde que se registra, aunque des de baja la cuenta (si la borrásemos al darte de baja, bastaría con darse de baja para volver a probar). Pasado ese plazo se borra y el mismo email o NIF puede volver a tener una prueba.
Consentimiento para comunicaciones comerciales: hasta que lo revoques.

Transcurridos esos plazos, los datos se suprimen o se bloquean, quedando a disposición exclusiva de jueces, tribunales y autoridades competentes durante el plazo de prescripción.

6. Tus derechos

Puedes ejercer en cualquier momento y de forma gratuita tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar tu consentimiento cuando sea la base del tratamiento, sin que ello afecte a la licitud del tratamiento anterior.

Escríbenos a privacidad@namthia.com o a dpo@namthia.com, indicando el derecho que ejerces. Responderemos en el plazo máximo de un mes, prorrogable dos meses más si la solicitud es compleja, en cuyo caso te lo comunicaremos.

Si consideras que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid · www.aepd.es). También puedes dirigirte previamente a nuestra Delegada de Protección de Datos.

7. Seguridad

Aplicamos, entre otras medidas: cifrado en tránsito y en reposo, cifrado adicional a nivel de campo de la información más sensible, aislamiento de los datos de cada clínica impuesto en la propia base de datos, control de acceso por roles, verificación en dos pasos obligatoria para el perfil de propietario, registro de accesos, y limitación de intentos de autenticación.

El detalle de las medidas aplicables al tratamiento de datos de pacientes figura en el Anexo II del Contrato de Encargado del Tratamiento.

8. Decisiones automatizadas

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni te afecten significativamente. Las funciones de inteligencia artificial del producto no deciden nada: generan borradores que una persona revisa, edita y confirma antes de que tengan efecto alguno.

9. Datos de pacientes: qué papel tiene Namthia

Cuando una clínica usa Namthia, la clínica es la responsable del tratamiento de los datos de sus pacientes y Namthia actúa como encargada por cuenta de ella, en los términos del Contrato de Encargado del Tratamiento. Namthia no decide sobre esos datos y no los usa para fines propios.

Namthia no emplea datos de pacientes para entrenar modelos de inteligencia artificial. La única excepción posible es que la clínica autorice de forma previa, expresa, separada y revocable el programa voluntario de mejora del servicio, que opera exclusivamente sobre información anonimizada de forma irreversible —es decir, que ha dejado de ser dato personal— y que nunca condiciona el acceso al servicio ni a ningún plan. Las garantías completas están en la Cláusula 3 bis del Contrato de Encargado del Tratamiento.

Namthia sí actúa como responsable de un elemento concreto: la cuenta global de usuario del Portal del Paciente, es decir, la identidad con la que un paciente accede al portal (correo electrónico y credenciales), que es única aunque el paciente sea atendido en varias clínicas distintas. Para todo lo demás —su historia clínica, sus citas, su facturación— la responsable es cada clínica.

Si eres paciente y quieres ejercer tus derechos sobre tu historia clínica, dirígete a tu clínica. Si tu solicitud se refiere únicamente a tu cuenta de acceso al portal, puedes escribirnos a privacidad@namthia.com.

Tu cuenta de acceso al portal del paciente

Qué datos: tu correo electrónico, tu contraseña cifrada (o el inicio de sesión con Google, si lo eliges), el idioma del portal que elijas, las clínicas a las que está vinculada la cuenta y los registros técnicos de acceso y seguridad.
Para qué y con qué base: darte una única forma de entrar al portal de cada clínica que te atiende y mantener tu cuenta segura (Art. 6.1.b RGPD, porque la creas para usar el portal, y Art. 6.1.f RGPD para la seguridad de los accesos).
Con quién: con los proveedores del apartado 4 que alojan la autenticación y envían el correo, y con la clínica a la que te vinculas, que ve que tienes cuenta en su portal.
Cuánto tiempo: mientras tengas la cuenta. Puedes pedir la baja del portal de cada centro desde Perfil → Cuenta → Eliminar cuenta; la tramita ese centro. Para eliminar tu cuenta de acceso de todos los centros, escríbenos a privacidad@namthia.com. Tus historias clínicas no se borran con ella, porque son de cada clínica y tienen sus propios plazos legales. Si pides a tu clínica la supresión de tus datos, puede tener que conservar durante el plazo legal tu historia y los documentos que firmaste, incluido el original con tus datos. Es la clínica quien responde de ello.
Tus derechos: los del apartado 6, escribiéndonos a privacidad@namthia.com o a dpo@namthia.com.

10. Si conectas tu Google Calendar: datos de usuario de Google

Si tu clínica tiene activada la integración con Google Calendar y decides conectar tu cuenta de Google desde Mi cuenta, Namthia accede a tu cuenta de Google con los siguientes límites.

Qué permisos pedimos y qué datos recibimos:
- openid y email: tu dirección de correo de Google y un identificador de tu cuenta, para mostrarte qué cuenta has conectado y no confundirla con otra.
- https://www.googleapis.com/auth/calendar.app.created: crear un calendario aparte, llamado «Namthia · ‹nombre de tu clínica›», y gestionar solo los calendarios que Namthia crea. Con este permiso Namthia no puede ver ni modificar tus otros calendarios ni tus otros eventos.
Para qué los usamos: únicamente para poner en ese calendario tus citas de Namthia, mantenerlas al día y borrarlas cuando se cancelan, y para borrar el calendario cuando desconectas. La sincronización va en un solo sentido: no leemos nada de lo que tienes en Google.
Qué escribimos en tu Google: por cada cita, un título genérico («Cita», con la sala si la hay, y «No vino» delante si el paciente faltó), la fecha y la hora, y un enlace a la cita en Namthia que pide iniciar sesión. Nunca escribimos datos de los pacientes: ni nombre, ni iniciales, ni contacto, ni el servicio, ni notas.
Cómo lo guardamos: el permiso de acceso que nos da Google (el «token de actualización») se guarda cifrado con AES-256-GCM y la clave se custodia fuera de la base de datos. Guardamos también tu correo de Google y los identificadores del calendario y de los eventos que creamos. Ninguno de estos datos se escribe en los registros técnicos.
Con quién lo compartimos: solo con los proveedores del apartado 4 que alojan el servicio, en la medida necesaria para prestarlo, o cuando lo exija la ley. No vendemos estos datos, no los usamos para publicidad ni para entrenar modelos de inteligencia artificial y no se los transferimos a nadie más. Nadie de Namthia los lee, salvo que nos lo pidas para resolver una incidencia, por seguridad o por obligación legal.
Cuánto tiempo y cómo borrarlos: mientras tengas la cuenta conectada. Puedes desconectar en cualquier momento desde Mi cuenta; al hacerlo borramos de tu Google el calendario «Namthia · …» con todos sus eventos, dejamos de sincronizar y suprimimos el token y los identificadores. Lo mismo ocurre si el propietario de tu clínica apaga la integración o si dejas de formar parte del equipo. También puedes retirar el permiso desde tu cuenta de Google (Seguridad › Aplicaciones de terceros con acceso a la cuenta); en ese caso ya no podemos borrar el calendario y tendrás que borrarlo tú desde Google Calendar. Después solo puede quedar una copia cifrada de esos datos en las copias de seguridad, que se borran como máximo en treinta y cinco (35) días.
Quién decide: la clínica decide si ofrece la integración y Namthia trata estos datos por su cuenta, como encargado del tratamiento (Contrato de Encargado del Tratamiento, Cláusula 5 bis). Conectar tu cuenta es voluntario: tu clínica no puede exigírtelo.

Uso limitado de los datos de Google. El uso que hace Namthia de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado («Limited Use»).

Limited Use of Google user data. Namthia's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Namthia only requests the openid, email and calendar.app.created scopes; it only writes the professional's appointments (without any patient data) to a separate calendar that Namthia creates; it does not sell this data, use it for advertising or to train AI models, or let humans read it except with the user's consent, for security or to comply with the law; and it deletes the stored token and identifiers when the user disconnects.

11. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Avisaremos de los cambios sustanciales antes de aplicarlos, con antelación razonable, al Propietario y a la dirección de contacto de la cuenta, por correo electrónico y en el panel. Para el resto del personal y para quienes tengan una cuenta del portal del paciente, publicaremos aquí el texto actualizado y, si el cambio afecta de forma sustancial a sus datos, les avisaremos también dentro del servicio cuando corresponda. Estos avisos son informativos y no requieren aceptación; si una nueva finalidad exigiera tu consentimiento, te lo pediremos por separado.

Versión 2026-11e.