SOUMI AI, S.L.
Última actualización: 5 de mayo de 2026
De conformidad con lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, "RGPD"), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD"), le informamos que:
Responsable del Tratamiento:
La presente Política de Privacidad tiene por objeto informar a los usuarios de la plataforma SOUMI (en adelante, "la Plataforma" o "el Servicio") sobre el tratamiento de sus datos personales.
La Plataforma constituye un servicio de telemedicina y gestión clínica que facilita:
Esta política aplica a todos los usuarios de la Plataforma, incluyendo:
| Finalidad | Base legitimadora |
|---|---|
| Gestión de citas y sesiones terapéuticas | Ejecución de contrato (Art. 6.1.b RGPD) |
| Facilitación de videoconsultas entre terapeutas y pacientes | Ejecución de contrato (Art. 6.1.b RGPD) |
| Gestión de perfiles de usuario | Ejecución de contrato (Art. 6.1.b RGPD) |
| Comunicaciones entre usuarios de la Plataforma | Ejecución de contrato (Art. 6.1.b RGPD) |
| Finalidad | Base legitimadora |
|---|---|
| Registro y gestión de diagnósticos clínicos | Consentimiento explícito (Art. 9.2.a RGPD) y prestación de asistencia sanitaria (Art. 9.2.h RGPD) |
| Elaboración y almacenamiento de notas clínicas | Consentimiento explícito (Art. 9.2.a RGPD) y prestación de asistencia sanitaria (Art. 9.2.h RGPD) |
| Seguimiento del bienestar del paciente | Consentimiento explícito (Art. 9.2.a RGPD) |
| Generación de resúmenes clínicos mediante IA | Consentimiento explícito (Art. 9.2.a RGPD) |
IMPORTANTE:
La grabación de videoconsultas y su posterior análisis requiere el consentimiento explícito, específico e informado del usuario, el cual se solicitará de forma separada y destacada antes de cada sesión que vaya a ser grabada.
| Finalidad | Base legitimadora |
|---|---|
| Grabación de videoconsultas para revisión posterior por el terapeuta | Consentimiento explícito (Art. 9.2.a RGPD) |
| Análisis del contenido de las sesiones para mejorar el seguimiento terapéutico | Consentimiento explícito (Art. 9.2.a RGPD) |
| Generación de transcripciones o resúmenes de sesiones | Consentimiento explícito (Art. 9.2.a RGPD) |
El usuario puede revocar su consentimiento para la grabación en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.
La Plataforma utiliza sistemas de Inteligencia Artificial de terceros (concretamente, Google Vertex AI alojado en la región europe-west1 de la Unión Europea) para:
Pseudonimización previa al procesamiento por IA:
Antes de enviar cualquier texto clínico al proveedor de IA, el sistema aplica un proceso automatizado de pseudonimización que reemplaza DNI, NIE, email, teléfono, IBAN, fechas absolutas, códigos postales, nombre del paciente y nombre del terapeuta por tokens genéricos (ej. [PACIENTE],[DNI], [EMAIL]). El proveedor de IA nunca recibe datos identificativos.
Garantías específicas del tratamiento mediante IA:
| Finalidad | Base legitimadora |
|---|---|
| Emisión de facturas | Obligación legal (Art. 6.1.c RGPD) - Normativa fiscal |
| Gestión de cobros y pagos | Ejecución de contrato (Art. 6.1.b RGPD) |
| Conservación de documentación fiscal | Obligación legal (Art. 6.1.c RGPD) |
| Finalidad | Base legitimadora |
|---|---|
| Prevención de fraude y accesos no autorizados | Interés legítimo (Art. 6.1.f RGPD) |
| Cumplimiento de obligaciones legales | Obligación legal (Art. 6.1.c RGPD) |
| Gestión de incidentes de seguridad | Obligación legal (Art. 6.1.c RGPD) e interés legítimo (Art. 6.1.f RGPD) |
SOUMI AI, S.L. se compromete de forma expresa e inequívoca a:
Este compromiso constituye una obligación contractual vinculante entre SOUMI y sus usuarios, cuyo incumplimiento daría lugar a las correspondientes responsabilidades legales.
| Destinatario | Finalidad | Base legitimadora |
|---|---|---|
| Terapeuta asignado | Prestación de servicios sanitarios | Ejecución de contrato y consentimiento |
| Paciente asignado | Prestación de servicios sanitarios | Ejecución de contrato y consentimiento |
La Plataforma utiliza los siguientes servicios de terceros que actúan como encargados del tratamiento conforme al Art. 28 RGPD. Todos han suscrito el correspondiente Acuerdo de Tratamiento de Datos (DPA):
Subprocesadores con acceso a datos clínicos (Art. 9):
| Proveedor | Finalidad | Ubicación |
|---|---|---|
| Google LLC / Google Cloud | Infraestructura (Cloud Run, Cloud SQL), procesamiento de IA (Vertex AI), gestión de secretos, colas y build | Unión Europea (europe-west1 Bélgica, europe-west4 Países Bajos) |
| 8x8 Inc. (JaaS) | Videoconsultas terapeuta-paciente y transcripción automática | Unión Europea |
| Meta Platforms Ireland Ltd. (WhatsApp Business) | Notificaciones a pacientes por WhatsApp | Irlanda (entidad contratante) — EE.UU. (procesamiento con SCCs) |
Subprocesadores sin acceso a datos clínicos (solo datos profesionales/administrativos):
| Proveedor | Finalidad | Ubicación |
|---|---|---|
| Stripe Payments Europe Ltd. | Procesamiento de pagos y suscripciones (certificado PCI-DSS) | Unión Europea (Irlanda) |
| HubSpot Inc. | CRM de ventas (solo contactos B2B con responsables de centros) | Unión Europea (hosting EU) |
| GitHub Inc. / Microsoft | Control de versiones del código fuente | EE.UU. (SCCs) |
| Notion Labs Inc. | Documentación interna | EE.UU. (SCCs) |
Todos los subprocesadores:
La lista completa y actualizada de subprocesadores se publica en soumi.io/privacy/subprocesadores. Cualquier cambio (alta/baja) se comunicará con 30 días de antelación a los Responsables del Tratamiento (centros clientes).
Los datos podrán comunicarse a:
Toda la infraestructura que procesa datos clínicos (base de datos, IA, videoconsultas, almacenamiento) está desplegada en la Unión Europea:
europe-west1 (Bélgica)europe-west4 (Países Bajos)europe-west1 (Bélgica)europe-west1 (Bélgica)Únicamente los siguientes subprocesadores tienen procesamiento fuera del EEE, y solo con datos no clínicos:
Estas transferencias se amparan en:
El usuario puede solicitar información sobre transferencias internacionales y garantías aplicables contactando con privacy@soumi.io.
| Categoría de datos | Plazo de conservación | Justificación |
|---|---|---|
| Datos de identificación y perfil | Durante la vigencia de la relación contractual + 5 años | Prescripción de acciones contractuales (Art. 1964 Código Civil) |
| Datos de salud y notas clínicas | Mínimo 5 años desde la última asistencia (15 años en algunas CCAA) | Ley 41/2002 de Autonomía del Paciente y normativa autonómica |
| Grabaciones de videoconsultas | Máximo 2 años desde la grabación, salvo indicación diferente del terapeuta | Necesidad terapéutica y principio de minimización |
| Datos de facturación | 6 años | Art. 30 Código de Comercio |
| Documentación fiscal | 4 años | Ley General Tributaria |
| Logs de seguridad | 2 años | Interés legítimo en seguridad |
| Datos de bienestar (wellness logs) | Durante la relación terapéutica + 5 años | Continuidad asistencial |
Transcurridos los plazos indicados, los datos serán suprimidos de forma segura o anonimizados irreversiblemente para fines estadísticos o de mejora del servicio.
SOUMI implementa medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo:
CompanyId — los datos de un centro nunca son accesibles desde otroPRIVACY_RIGHT_EXERCISED, conservado 5 añosDe conformidad con el RGPD y la LOPDGDD, los usuarios tienen los siguientes derechos:
| Derecho | Descripción |
|---|---|
| Acceso (Art. 15 RGPD) | Derecho a obtener confirmación de si se están tratando sus datos personales y, en tal caso, acceder a los mismos y a información sobre el tratamiento. |
| Rectificación (Art. 16 RGPD) | Derecho a obtener la rectificación de los datos personales inexactos o el completado de los incompletos. |
| Supresión (Art. 17 RGPD) | Derecho a obtener la supresión de los datos personales cuando ya no sean necesarios, se retire el consentimiento, se oponga al tratamiento o los datos hayan sido tratados ilícitamente. Limitación: No aplicará cuando el tratamiento sea necesario para obligaciones legales o asistencia sanitaria. |
| Oposición (Art. 21 RGPD) | Derecho a oponerse al tratamiento de sus datos personales basado en el interés legítimo. |
| Limitación (Art. 18 RGPD) | Derecho a obtener la limitación del tratamiento en determinadas circunstancias. |
| Portabilidad (Art. 20 RGPD) | Derecho a recibir los datos personales en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable. |
| No decisiones automatizadas (Art. 22 RGPD) | Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente. |
| Retirar consentimiento | El usuario puede retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. |
El usuario puede ejercer sus derechos mediante cualquiera de las siguientes vías:
GET /api/privacy/my-data accesible desde Configuración > Privacidad > Descargar mis datos. Devuelve todos los datos del paciente en formato JSON estructuradoDELETE /api/privacy/my-account accesible desde Configuración > Privacidad > Eliminar mi cuenta. Requiere confirmación explícitaRequisitos de la solicitud:
Audit log: cada ejercicio de derecho a través de la app queda registrado automáticamente en los logs de seguridad (con identificador de usuario, timestamp e IP) con finalidad de cumplimiento del Art. 30 RGPD y conservado por 5 años.
Plazo de respuesta: Un mes desde la recepción de la solicitud, prorrogable por dos meses más en casos de especial complejidad.
Si el usuario considera que el tratamiento de sus datos personales vulnera la normativa de protección de datos, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
La Plataforma está destinada a mayores de 16 años. El tratamiento de datos de menores de 16 años requerirá el consentimiento de los titulares de la patria potestad o tutela, conforme al artículo 7 de la LOPDGDD.
En el caso de menores que reciban tratamiento terapéutico, se aplicarán las garantías adicionales previstas en la normativa sanitaria y de protección del menor.
La Plataforma utiliza cookies y tecnologías similares. Para información detallada, consulte nuestra Política de Cookies.
SOUMI se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o de práctica empresarial.
Procedimiento de notificación:
La presente Política de Privacidad se rige por la legislación española y europea en materia de protección de datos personales, en particular:
Para cualquier controversia derivada de esta Política de Privacidad, las partes se someten a los Juzgados y Tribunales de Madrid, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, salvo que la normativa aplicable establezca imperativamente otro fuero.
Para cualquier consulta relacionada con esta Política de Privacidad o con el tratamiento de sus datos personales:
The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.
Soumi integra con Google Calendar mediante el alcance OAuth https://www.googleapis.com/auth/calendar.events con el único propósito de sincronizar bidireccionalmente las citas que el terapeuta crea en Soumi con su Google Calendar personal o profesional. No solicitamos ningún otro alcance de Google Workspace.
Compromisos de Uso Limitado (Limited Use):
Última actualización de esta sección: 5 de mayo de 2026.
Antes de iniciar la grabación de cualquier videoconsulta, el sistema solicitará el consentimiento explícito de todos los participantes, informándoles de:
Cuando el usuario haya consentido expresamente, las videoconsultas podrán ser analizadas mediante sistemas de Inteligencia Artificial para:
Garantías adicionales:
Además de los derechos generales, respecto a las grabaciones de videoconsultas, el usuario tiene derecho a:
Fecha de entrada en vigor: 5 de mayo de 2026
Versión: 2.1
Este documento ha sido elaborado conforme a la normativa española y europea de protección de datos vigente a fecha de su publicación. Se recomienda su revisión periódica para verificar su adecuación a posibles cambios normativos.