Traducción de cortesía. En caso de discrepancia, prevalece la versión italiana de este documento.
Política de Privacidad
Borrador no firmado, publicado con fines de consulta. La sociedad que presta el servicio tiene número de IVA; el número REA se añadirá cuando se complete la inscripción en el registro mercantil. Hasta entonces, este documento no se puede firmar.
La presente política describe las modalidades de tratamiento de los datos personales recogidos, conservados y elaborados en el ámbito del sitio institucional Fibonacci (https://fibonaccimedica.it (se abre en una nueva pestaña)), de la aplicación SaaS Fibonacci accesible en la dirección https://app.fibonaccimedica.it (se abre en una nueva pestaña) y de los servicios relacionados. El documento se facilita conforme a los artículos 13 y 14 del Reglamento (UE) 2016/679 (en adelante, "GDPR") y al D.Lgs. 30 giugno 2003 n. 196, modificado por el D.Lgs. 10 agosto 2018 n. 101 (en adelante, "Codice Privacy").
Fibonacci es una cartera de historia clínica ambulatoria para la medicina estética, distribuida en modalidad Software as a Service a médicos y profesionales sanitarios. Incluye ficha de datos personales e historia clínica del paciente con las fichas de medicina estética, fotos clínicas cifradas, análisis del rostro, dictado transcrito por servicios de inteligencia artificial, consentimientos informados en PDF, agenda y recordatorios, registro de accesos, autenticación de dos factores y exportación de los datos en formato FHIR R4.
Advertencia preliminar: en el perímetro del servicio coexisten tres roles distintos. Para los datos de navegación del sitio Fibonacci y para los datos de los médicos clientes que contratan la suscripción al software, Fibonacci actúa como responsable del tratamiento. Para los datos de los pacientes introducidos por los médicos clientes en el software, Fibonacci actúa como encargado del tratamiento con arreglo al art. 28 GDPR, mientras que el responsable del tratamiento es el médico cliente que mantiene la relación profesional con el paciente. La regulación del tratamiento de los datos de los pacientes se rige por el Acuerdo de tratamiento de datos (en adelante, "DPA"), suscrito por el médico cliente junto con el contrato de servicio, y se describe de forma resumida en la sección 3 y en la sección 8 de la presente política.
1. Titular del tratamiento
El titular del tratamiento de los datos personales es:
Denominación: Fibonacci Works S.r.l. Domicilio social: Via Brigata Liguria 105 R, 16121 Genova (GE) NIF/IVA (Partita IVA): 03108390992 Número REA: GE-533577 Correo electrónico certificado: fibonacciworks@pec.it Contacto para cuestiones de privacidad: info@fibonaccimedica.it Delegado de protección de datos (DPO): en proceso de designación; hasta entonces, escribe a info@fibonaccimedica.it
Para cualquier cuestión relativa al tratamiento de los datos personales, incluido el ejercicio de los derechos previstos en los arts. 15-22 GDPR, el canal de contacto es el siguiente:
Canal de contacto: info@fibonaccimedica.it
2. Definiciones esenciales
A los efectos de la presente información se entiende por:
- "Titular del tratamiento": la persona física o jurídica que, individualmente o junto con otras, determina los fines y los medios del tratamiento de datos personales (art. 4, n. 7 GDPR).
- "Encargado del tratamiento": la persona física o jurídica que trata datos personales por cuenta del Titular (art. 4, n. 8 GDPR).
- "Interesado": la persona física identificada o identificable a la que se refieren los datos personales (art. 4, n. 1 GDPR).
- "Datos personales": cualquier información relativa a una persona física identificada o identificable (art. 4, n. 1 GDPR).
- "Categorías especiales de datos personales": los datos a los que se refiere el art. 9 GDPR, entre ellos los datos relativos a la salud, a la vida sexual, al origen racial o étnico, a las convicciones religiosas o filosóficas.
- "Tratamiento": cualquier operación o conjunto de operaciones, realizadas con o sin la ayuda de procesos automatizados, aplicadas a datos personales (art. 4, n. 2 GDPR).
- "Subencargado": el tercero designado por el Encargado para llevar a cabo actividades específicas de tratamiento por cuenta del Titular, de conformidad con el art. 28, apartados 2 y 4 GDPR.
3. Categorías de datos tratados
El Titular del tratamiento trata datos personales diferentes según el segmento de interesado. A continuación se detalla la distinción.
3.1 Visitantes del sitio de Fibonacci
En relación con los visitantes del sitio institucional, los posibles clientes que rellenan los formularios de contacto o de solicitud de demo y los posibles partners que rellenan el formulario de propuesta de colaboración (página /partner), se tratan los siguientes datos:
- datos identificativos y de contacto: nombre, apellidos, dirección de correo electrónico, número de teléfono, razón social de la consulta, de la clínica o de la empresa, cualificación profesional, especialidad médica o tipo de colaboración propuesta;
- datos de navegación: dirección IP, tipo de navegador, páginas solicitadas, fecha y hora, registrados en los logs técnicos del servidor; el sitio utiliza solo cookies técnicas (véase la Política de cookies);
- contenido libre de los mensajes enviados a través de los formularios de contacto;
- el texto de las preguntas formuladas al asistente del sitio, que responde únicamente sobre el contenido publicado en el sitio.
3.2 Médicos clientes usuarios del software
En relación con los médicos y los profesionales sanitarios que contratan una suscripción al software Fibonacci, se tratan los siguientes datos:
- datos identificativos y profesionales: nombre, apellidos, Codice Fiscale, fecha y lugar de nacimiento, dirección, número de colegiación en el colegio profesional, especialidad, número de IVA, datos de facturación;
- credenciales de acceso: dirección de correo electrónico, hash de la contraseña, clave para la autenticación en dos pasos, códigos de recuperación conservados como hash, registro de accesos;
- datos relativos al uso del servicio: configuración de la cuenta, preferencias, registros de actividad, pista de auditoría de las operaciones realizadas en la aplicación;
- datos de pago: los datos necesarios para la gestión de la suscripción (nombre del titular, referencia al método de pago) son tratados por Stripe Payments Europe Ltd, que trata los datos de las tarjetas conforme a sus propias condiciones. Fibonacci no conserva los números completos de las tarjetas de pago.
3.3 Pacientes de los médicos clientes
Los datos de los pacientes de los centros sanitarios clientes, introducidos en el software por el médico cliente o por sus colaboradores autorizados, comprenden datos identificativos, datos de contacto, datos clínicos y de anamnesis, fotografías clínicas, informes, prescripciones, consentimientos informados y cualquier otro dato funcional a la prestación sanitaria, incluidos los datos pertenecientes a las categorías especiales de datos del art. 9 GDPR (en particular, datos relativos a la salud).
Para estos datos, Fibonacci actúa como responsable del trattamento en el sentido del art. 28 GDPR.
Corrijo: para estos datos, Fibonacci actúa en calidad de encargado del tratamiento conforme al art. 28 GDPR. El titular del tratamiento es el médico cliente o el centro sanitario que utiliza el software. Los detalles sobre las categorías de datos tratados, las instrucciones documentadas, los subencargados autorizados y las medidas de seguridad adoptadas se regulan en el Acuerdo de tratamiento de datos (DPA) firmado junto con el contrato de servicio. El DPA está publicado en la página /dpa y la lista de subencargados en la página /sub-responsabili.
Si quieres ejercer tus derechos como paciente, dirígete a tu médico de cabecera, que es el titular del tratamiento. Fibonacci, como encargado del tratamiento, presta al médico titular la asistencia técnica necesaria para responder a las solicitudes de los interesados.
4. Finalidades y base jurídica del tratamiento
Los tratamientos realizados por el Titular persiguen las finalidades que se indican a continuación, cada una fundada en una base jurídica específica.
| Finalidad | Categoría de datos | Base jurídica |
|---|---|---|
| Prestación del servicio Fibonacci a los médicos clientes, gestión de la cuenta, prestación de las funcionalidades contractuales (historia clínica, agenda, archivo documental, dictado con IA, audit log) | Datos identificativos y profesionales del médico cliente, credenciales de acceso, registros de uso | Art. 6, apdo. 1, letra b RGPD (ejecución de un contrato en el que el interesado es parte) |
| Gestión administrativa, contable y fiscal de las relaciones con los médicos clientes (facturación, reclamación de impagos, obligaciones tributarias) | Datos identificativos, datos fiscales, datos de pago | Art. 6, apdo. 1, letra c RGPD (cumplimiento de una obligación legal) |
| Seguridad informática, prevención de fraudes, abusos y accesos no autorizados, mantenimiento de la integridad del servicio, auditorías de seguridad | Registros de acceso, direcciones IP, identificadores de dispositivos, datos técnicos de navegación | Art. 6, apdo. 1, letra f RGPD (interés legítimo del Titular en la protección del servicio y de los usuarios) |
| Respuesta a las solicitudes enviadas mediante los formularios de contacto, gestión de las solicitudes de demo de clientes potenciales y de las propuestas de colaboración de partners potenciales | Datos de contacto, contenido del mensaje | Art. 6, apdo. 1, letra b RGPD (aplicación de medidas precontractuales a petición del interesado) |
| Respuesta a las preguntas planteadas al asistente del sitio | Texto de la pregunta | Art. 6, apdo. 1, letra f RGPD (interés legítimo del Titular en responder a quien solicita información sobre el producto) |
| Ejercicio o defensa de un derecho en sede judicial | Todas las categorías pertinentes para cada litigio | Art. 6, apdo. 1, letra f RGPD (interés legítimo del Titular) y, cuando proceda, art. 9, apdo. 2, letra f RGPD |
| Tratamiento de los datos de los pacientes por cuenta del médico cliente Titular (historia clínica, consentimientos, fotos, dictado, agenda, documentos para el paciente) | Datos identificativos de los pacientes, datos relativos a la salud, fotografías clínicas, consentimientos informados | Para el médico Titular: art. 6, apdo. 1, letra b RGPD y art. 9, apdo. 2, letra h RGPD (finalidades de medicina preventiva, diagnóstico, asistencia o tratamiento sanitario). Para Fibonacci: art. 28 RGPD en calidad de Encargado del tratamiento, según las instrucciones documentadas en el DPA |
La comunicación de los datos para las finalidades contractuales, administrativas y de seguridad es necesaria para la prestación del servicio. La negativa implica la imposibilidad de prestar el servicio. El Titular no envía newsletter ni comunicaciones promocionales y no cede las direcciones a terceros.
5. Modalidades del tratamiento y medidas de seguridad
El tratamiento se realiza con medios electrónicos, conforme al principio de integridad y confidencialidad previsto en el art. 5, apartado 1, letra f) GDPR, y adoptando las medidas técnicas y organizativas adecuadas con arreglo a los arts. 24, 25 y 32 GDPR. En particular:
- fotografías clínicas cifradas en el navegador con AES-256-GCM, con claves custodiadas por el titular del servicio y separadas por consulta;
- copias de seguridad nocturnas cifradas, conservadas durante 30 días en rotación, con procedimiento de restauración probado;
- tráfico cifrado con TLS entre el navegador y el servidor, sin intermediarios;
- autenticación de dos factores exigida al titular de la consulta en el primer acceso y disponible para cada usuario;
- registro de accesos a las historias clínicas con una cadena de huellas digitales que hace visible cualquier alteración;
- separación de los datos por consulta, de modo que cada médico responsable del tratamiento vea solo a sus propios pacientes;
- infraestructura en Italia, en Aruba S.p.A.;
- registros de las actividades de tratamiento conforme al art. 30 GDPR.
A la fecha de esta revisión, la base de datos no está cifrada en reposo a nivel de disco; está prevista la copia de las copias de seguridad en un segundo proveedor antes de que el servicio trate datos de pacientes reales.
Los datos son accesibles exclusivamente por el personal de Fibonacci autorizado e instruido en calidad de persona designada para el tratamiento conforme al art. 29 GDPR y al art. 2-quaterdecies del Codice Privacy.
6. Subencargados y destinatarios de los datos
Para los tratamientos de los que es Titular (sitio web, asistente del sitio, relaciones con los médicos clientes), Fibonacci se sirve de los siguientes proveedores, que actúan como sus encargados del tratamiento:
| Proveedor | Sede | Actividad |
|---|---|---|
| Aruba S.p.A. | Italia | servidor que aloja el sitio, la aplicación, los registros técnicos y las solicitudes recibidas a través de los formularios |
| Hostinger International Ltd | Chipre | correo electrónico del dominio (respuestas a los formularios, comunicaciones a los clientes) y DNS |
| Mistral AI SAS (modelos de inteligencia artificial, punto de acceso europeo) | Francia | respuesta a las preguntas planteadas al asistente del sitio |
| Stripe Payments Europe Ltd | Irlanda | suscripciones y pagos de los médicos clientes |
Para los datos de los pacientes, que Fibonacci trata como Encargado por cuenta del médico, la lista de subencargados, con sede, datos tratados y estado del contrato de cada uno, está publicada en la página /sub-responsabili. Los cambios se comunican al médico con 30 días de preaviso, tal como establece el DPA.
Los datos podrán, además, ser comunicados a:
- consultores profesionales (contables, abogados, auditores) designados Encargados del tratamiento o Titulares autónomos, dentro de los límites de los servicios prestados;
- autoridades judiciales, de seguridad pública, de supervisión o administraciones públicas, previa solicitud legítima y en los casos previstos por la ley;
- terceros en el marco de operaciones extraordinarias (fusiones, adquisiciones, cesiones de rama de actividad), previa información a los interesados.
Los datos no son objeto de difusión en ningún caso.
7. Transferencias de datos fuera de la Unión Europea
La infraestructura de la aplicación y las bases de datos están alojadas en Italia, en Aruba S.p.A. Los datos sanitarios de los pacientes no se transfieren fuera de la Unión Europea: el software impide el envío de textos clínicos a proveedores de inteligencia artificial situados fuera de la Unión.
Entre el navegador y el backend no se interpone ningún intermediario. El dominio del sitio y el de la aplicación resuelven directamente en la dirección de la infraestructura: no se utilizan redes de distribución de contenidos, proxies inversos de terceros ni Web Application Firewall gestionados por terceros, y no existe ningún punto en el que un sujeto distinto del titular del tratamiento termine la conexión cifrada. Cualquiera puede comprobarlo desde fuera, sin pedir nuestro consentimiento, con una consulta DNS sobre el dominio.
Una transferencia a Estados Unidos puede afectar a los datos de pago de los médicos clientes tratados por el grupo Stripe, sobre la base de la adhesión de Stripe, LLC al EU-U.S. Data Privacy Framework y de las cláusulas contractuales tipo previstas en el acuerdo de Stripe. Puedes solicitar una copia de la documentación escribiendo a info@fibonaccimedica.it.
8. Periodo de conservación
Los datos personales se conservan durante el tiempo estrictamente necesario para las finalidades para las que fueron recogidos, de conformidad con el principio de limitación del plazo de conservación previsto en el art. 5, apdo. 1, letra e) del GDPR. Los plazos específicos se indican en la siguiente tabla.
| Categoría de datos | Periodo de conservación |
|---|---|
| Datos identificativos y profesionales del médico cliente | Duración del contrato y los 10 años siguientes a su finalización, para el cumplimiento de las obligaciones civiles, fiscales y tributarias (art. 2220 del Código Civil italiano y DPR 600/1973) |
| Datos de facturación y pago | 10 años desde la emisión del documento contable, conforme a la normativa fiscal |
| Registros de acceso y registros de seguridad | plazo en proceso de definición; para los accesos de los administradores de sistema, no menos de 6 meses (disposición del Garante de 27 de noviembre de 2008). Se indicará aquí antes del inicio del servicio |
| Datos de navegación en los registros técnicos del servidor | plazo en proceso de definición, que se indicará aquí antes del inicio del servicio |
| Preguntas formuladas al asistente del sitio | plazo en proceso de definición, que se indicará aquí antes del inicio del servicio |
| Cookies técnicas de sesión | Duración de la sesión de navegación |
| Datos recogidos mediante el formulario de demostración de clientes potenciales y mediante el formulario de propuesta de colaboración de partners potenciales | 24 meses desde el último contacto; si en ese periodo no se formaliza un contrato, los datos se suprimen. Supresión anticipada a petición del interesado |
| Comunicaciones con el servicio de atención al cliente | 24 meses desde el cierre de la solicitud, salvo necesidades de defensa jurídica |
| Datos de los pacientes tratados por cuenta del médico cliente titular del tratamiento | Se conservan durante el plazo elegido por el médico titular del tratamiento: por defecto 10 años desde el último contacto clínico, ampliable. Al vencimiento, el software propone la supresión al médico y no suprime nada de forma automática. Al finalizar el contrato, los datos se devuelven al médico titular del tratamiento o se suprimen según lo previsto en el DPA |
Transcurridos los plazos indicados, los datos se suprimen o se anonimizan de forma irreversible, salvo que exista una obligación de conservación por motivos legales o por exigencias de tutela judicial.
9. Derechos del interesado
El interesado puede ejercer en cualquier momento los derechos reconocidos en los arts. 15-22 GDPR, y en particular:
- derecho de acceso (art. 15 GDPR): obtener confirmación de la existencia de un tratamiento y recibir copia de los datos personales;
- derecho de rectificación (art. 16 GDPR): obtener la corrección de los datos inexactos o la integración de los datos incompletos;
- derecho de supresión (art. 17 GDPR): obtener la supresión de los datos que ya no sean necesarios, salvo los límites previstos por la ley, incluidas las obligaciones de conservación documental sanitaria y fiscal;
- derecho a la limitación del tratamiento (art. 18 GDPR): en los casos previstos por la normativa;
- derecho a la portabilidad (art. 20 GDPR): recibir en un formato estructurado, de uso común y de lectura mecánica los datos personales facilitados, y obtener su transmisión directa a otro responsable cuando sea técnicamente posible. Para los médicos clientes está disponible una función de exportación en formato ZIP con datos FHIR R4;
- derecho de oposición (art. 21 GDPR): oponerse en cualquier momento al tratamiento basado en el interés legítimo o en la mercadotecnia directa;
- derecho a retirar el consentimiento (art. 7, apartado 3 GDPR): retirar en cualquier momento los consentimientos prestados, sin perjuicio de la licitud del tratamiento realizado antes de la retirada;
- derecho a no ser objeto de decisiones automatizadas (art. 22 GDPR): ninguna decisión que produzca efectos jurídicos o significativos se adopta exclusivamente de forma automatizada. Las funciones de dictado y asistencia de IA desempeñan un papel de apoyo al profesional sanitario, que mantiene plena autonomía de decisión.
Puedes dirigir las solicitudes al Titular en los siguientes contactos:
- correo electrónico del Titular: info@fibonaccimedica.it
- correo electrónico: info@fibonaccimedica.it
El Titular responde en un plazo de 30 días desde la recepción de la solicitud. El plazo puede prorrogarse otros 60 días en caso de especial complejidad de la solicitud o de elevado número de solicitudes, con comunicación motivada al interesado. La respuesta es gratuita; el Titular se reserva el derecho de solicitar una contribución a los gastos o de rechazar la solicitud en caso de peticiones manifiestamente infundadas o excesivas, conforme al art. 12, apartado 5 GDPR.
Los pacientes de los médicos clientes deben dirigir sus solicitudes al médico titular del tratamiento, que sigue siendo su punto de contacto principal. El Titular Fibonacci, en calidad de encargado del tratamiento, presta asistencia diligente al médico para dar curso a dichas solicitudes, conforme al art. 28, apartado 3, letra e GDPR.
10. Violación de la seguridad de los datos personales (data breach)
En caso de violación de los datos personales, el Titular del tratamiento realiza una evaluación del riesgo para los derechos y las libertades de los interesados y adopta las medidas necesarias para contener y remediar la violación. De conformidad con el art. 33 GDPR, la violación se notifica a la Autoridad Garante para la protección de los datos personales (Garante) en un plazo de 72 horas desde que se tiene conocimiento de ella, salvo que sea improbable que la violación suponga un riesgo para los derechos y las libertades de las personas físicas.
De conformidad con el art. 34 GDPR, cuando la violación pueda entrañar un alto riesgo para los derechos y las libertades de los interesados, el Titular del tratamiento les comunica la violación directamente y sin dilación indebida, con un lenguaje claro y facilitando las indicaciones útiles para protegerse de las posibles consecuencias.
Cuando la violación afecte a datos de pacientes tratados por cuenta del médico cliente, que actúa como Titular del tratamiento, Fibonacci, en calidad de Responsable del tratamiento, notifica la violación sin dilación indebida al médico Titular, facilitándole la información necesaria para que pueda cumplir sus obligaciones de notificación conforme a los arts. 33 y 34 GDPR, según lo dispuesto en el DPA.
11. Reclamación ante la autoridad de control
El interesado que considere que el tratamiento de sus datos personales infringe el GDPR tiene derecho a presentar una reclamación ante la autoridad de control competente, conforme al art. 77 GDPR. En Italia la autoridad de control es el Garante per la protezione dei dati personali, con los siguientes datos de contacto:
Garante per la protezione dei dati personali Piazza Venezia 11, 00187 Roma Sitio web: www.garanteprivacy.it (se abre en una nueva pestaña) Email: protocollo@gpdp.it PEC: protocollo@pec.gpdp.it
Queda a salvo el derecho a interponer recurso jurisdiccional conforme al art. 79 GDPR y a los arts. 140-bis y siguientes del Codice Privacy.
12. Cookies
El sitio de Fibonacci utiliza solo cookies técnicas necesarias para su funcionamiento; no hay cookies analíticas, de perfilado ni de terceros. Para conocer el detalle de los tipos de cookies utilizadas, de las finalidades y de las modalidades de gestión de las preferencias, se remite a la Política de Cookies disponible en la página /cookie.
13. Menores
El servicio Fibonacci está destinado a profesionales sanitarios mayores de edad, que cumplan los requisitos de habilitación profesional exigidos por la normativa italiana. El sitio institucional y el área de suscripción del software no están dirigidos a menores de 18 años. El Titular no recoge de forma consciente datos de menores en relación con sus vínculos con los médicos clientes.
Si un paciente del médico cliente es menor de edad, la recogida y el tratamiento de los datos se realizan bajo la responsabilidad del médico, que actúa como titular del tratamiento y se encarga de obtener el consentimiento del progenitor o del tutor legal según las modalidades previstas por la normativa sanitaria y por el D.Lgs. 101/2018. El software permite registrar quién firma el consentimiento en nombre del paciente menor.
14. Modificaciones de la información sobre protección de datos
La presente información puede actualizarse en cualquier momento para reflejar cambios normativos, evoluciones del servicio o variaciones en la organización del titular del tratamiento. La versión vigente se publica siempre en el sitio Fibonacci/privacy, con indicación de la fecha de la última revisión.
Las modificaciones sustanciales, entendidas como aquellas que inciden de forma significativa en las finalidades del tratamiento, en las bases jurídicas, en los subencargados del tratamiento o en los derechos de los interesados, se notifican por correo electrónico a los usuarios registrados y se señalan de forma destacada en el área reservada, con un preaviso razonable respecto a la entrada en vigor de dichas modificaciones.
El uso del servicio posterior a la publicación de las modificaciones constituye toma de conocimiento de las mismas, sin perjuicio del derecho de desistimiento y de los derechos del interesado.
15. Última revisión
Fecha de la última revisión: 9 novembre 2026 Versión del documento: 0.2 (borrador pendiente de revisar con el asesor jurídico)
Aviso final: este documento es una plantilla adaptada al contexto del servicio Fibonacci y se someterá a revisión jurídica antes del inicio de las actividades comerciales. La versión aquí publicada es un borrador numerado 0.2 y no sustituye el dictamen de un asesor jurídico cualificado. Las observaciones, correcciones o aportaciones se pueden dirigir a info@fibonaccimedica.it.