1. Alcance
Esta política aplica al sitio web, cuentas Néfesh Personal, Pro, Clinic e interfaces Enterprise, así como a las funciones de autenticación, pagos, soporte, juegos, asignaciones, resultados, reportes y vinculación voluntaria entre una cuenta personal y un profesional.
2. Datos que podemos tratar
- Cuenta: nombre, correo, credenciales protegidas, tipo de cuenta, verificaciones y actividad de acceso.
- Profesionales e instituciones: profesión, registro profesional, identificación institucional, sedes, roles, licencias y datos necesarios para verificar o administrar el servicio.
- Pacientes: nombre o identificador, año de nacimiento cuando se registra, programa, apoyos, objetivos, sesiones y datos funcionales ingresados por profesionales autorizados.
- Actividad personal: juego, fecha, duración, nivel, métricas de desempeño y contexto técnico del dispositivo.
- Datos sensibles: cuando el uso clínico o la vinculación los implique, pueden existir datos relativos a salud, funcionamiento cognitivo, rehabilitación o información clínica. Su tratamiento se somete a controles reforzados.
- Pagos y soporte: referencias, estado de transacciones, plan contratado y comunicaciones de soporte. Néfesh no necesita almacenar el número completo de una tarjeta cuando el pago es procesado por la pasarela.
- Seguridad: registros de auditoría, identificadores técnicos, agente de usuario y datos necesarios para prevenir abuso. Los controles de rate limit almacenan una clave derivada y no la IP cruda.
3. Finalidades
Tratamos información para crear y proteger cuentas; verificar profesionales e instituciones; prestar funciones contratadas; registrar juegos, sesiones y progreso; ejecutar una vinculación autorizada; generar reportes solicitados; gestionar pagos y suscripciones; enviar correos transaccionales; atender soporte y derechos de los titulares; prevenir fraude o abuso; mantener auditoría y continuidad; y cumplir obligaciones legales o contractuales aplicables.
No utilizamos la vinculación clínica para compartir información con un profesional distinto al autorizado por la persona o su representante.
4. Datos sensibles y salud
Los datos relativos a salud son sensibles. Cuando la funcionalidad requiera una autorización, Néfesh informa su carácter facultativo, la finalidad del tratamiento y solicita una manifestación expresa antes de habilitar el intercambio.
La autorización para compartir resultados con un profesional se gestiona en Autorización de datos sensibles. Puede pausarse o revocarse desde la cuenta, sin perjuicio de registros que deban conservarse por obligaciones legales, de seguridad, auditoría o defensa de derechos.
5. Niños, niñas y adolescentes
Cuando un perfil corresponde a una persona menor de edad, el tratamiento debe respetar su interés superior y sus derechos fundamentales. Néfesh exige que la vinculación sea autorizada por quien ejerce representación legal y que se confirme que se tuvo en cuenta la opinión del menor conforme a su madurez y capacidad de comprensión.
6. Profesionales, instituciones y roles
Según la operación concreta, una institución o profesional puede determinar finalidades clínicas propias respecto de la información de sus pacientes. En esos escenarios, las obligaciones de la institución o del profesional no se sustituyen por esta política. Los contratos y permisos de Néfesh deben definir el rol de cada parte y limitar el acceso a lo necesario.
7. Analítica opcional de páginas públicas
Néfesh utiliza Google Analytics 4 únicamente cuando el visitante acepta la analítica desde el aviso de privacidad. Antes de esa elección no se carga la etiqueta de Google. La medición se limita a la ruta pública visitada —sin parámetros de consulta ni fragmentos— y a categorías técnicas de interacción, como abrir la biblioteca, iniciar contacto o completar una solicitud de soporte o cotización.
La elección queda guardada en el navegador y puede cambiarse en cualquier momento mediante el botón Privacidad de medición. Al rechazar o revocar, Néfesh ordena detener el almacenamiento analítico y elimina las cookies de Analytics accesibles desde el sitio.
8. Proveedores y terceros
Néfesh utiliza proveedores para infraestructura, correo, identidad, analítica opcional y pagos. Entre los servicios actualmente integrados pueden encontrarse Render, Resend, Google Analytics, Wompi, PayPal y, cuando el usuario lo elige, Google, Microsoft o Apple. Cada proveedor recibe únicamente la información necesaria para su función y está sujeto a sus propios términos y controles. Algunos proveedores pueden procesar información desde otros países; cuando corresponda, Néfesh aplica las reglas de transmisión o transferencia internacional exigibles.
9. Conservación
Los datos se conservan durante el tiempo necesario para las finalidades informadas, la prestación del servicio, seguridad, trazabilidad, obligaciones fiscales/contractuales y defensa de derechos. La solicitud de supresión se evalúa considerando las obligaciones legales que puedan exigir conservar determinados registros. Los datos clínicos, cuando jurídicamente constituyan parte de una historia clínica u otro registro sanitario obligatorio, están sujetos además a las reglas sectoriales aplicables.
10. Seguridad
Néfesh aplica HTTPS, control de hosts y CORS, encabezados de seguridad, autenticación con tokens de corta duración, rotación de refresh tokens, rate limiting, PostgreSQL, copias de recuperación, permisos por rol y trazabilidad. Ninguna medida elimina por completo el riesgo; por ello también se aplican procedimientos de gestión y revisión.
11. Derechos y solicitudes
El titular puede conocer, actualizar y rectificar sus datos; solicitar prueba de autorizaciones; conocer el uso dado; presentar quejas ante la autoridad competente después de agotar el trámite correspondiente; y, cuando proceda, revocar autorizaciones o solicitar supresión.
12. Cambios
Las modificaciones materiales se publican con una nueva versión y fecha. Si el cambio afecta una autorización que deba renovarse —por ejemplo, el alcance del tratamiento de datos sensibles— Néfesh puede exigir una nueva aceptación antes de continuar compartiendo información.