Política de Privacidad / Privacy Policy

ESPAÑOL

Política de Privacidad

Última actualización: 2026-05-30

1. Responsable del tratamiento

IBIZA CARE, S.L. ("OnCall Clinic", "nosotros")

• CIF: B19973569
• Domicilio social: C/ Lugo 11, 3º 2ª, 07830 Sant Josep de Sa Talaia, Illes Balears, España
• Inscrita en el Registro Mercantil de Eivissa, hoja IB-21129
• Email contacto: dpo@oncall.clinic
• Email reclamaciones consumo: info@oncall.clinic

Delegado de Protección de Datos (DPO): contacto designado para consultas sobre privacidad: dpo@oncall.clinic. Decisión motivada sobre obligatoriedad documentada internamente conforme al WP243 (Directrices GT29 sobre DPO).

2. Naturaleza del servicio (importante)

OnCall Clinic es una plataforma tecnológica intermediaria entre pacientes y profesionales sanitarios autónomos colegiados, en virtud de la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI-CE).

OnCall Clinic NO presta servicios sanitarios. El profesional médico que realiza la visita es el responsable independiente del tratamiento clínico y de los datos de salud generados durante la consulta, conforme al Art. 9.2.h RGPD (asistencia sanitaria) y la Ley 41/2002 de Autonomía del Paciente. Toda información clínica, diagnóstico o historial médico queda exclusivamente en custodia del profesional sanitario y NO es accesible, almacenada ni tratada por OnCall Clinic.

3. Datos personales que tratamos

OnCall Clinic NO recoge ni trata:

• Síntomas, motivos de consulta, signos clínicos
• Diagnósticos, tratamientos, prescripciones
• Historial médico, antecedentes
• Datos de salud (Art. 9.1 RGPD categorías especiales)
• Datos biométricos identificadores

4. Bases legales del tratamiento (Art. 6 RGPD)

5. Encargados y sub-encargados del tratamiento

Para prestar el servicio contratamos a los siguientes proveedores, que actúan como encargados del tratamiento vinculados por contrato conforme al Art. 28 RGPD (DPA firmado).

Lista actualizada en: https://oncall.clinic/legal/privacy

Cualquier cambio de sub-encargado se notifica con 30 días de antelación al email registrado.

Tratamiento específico Mapbox: solo se procesan coordenadas GPS del médico (no del paciente) durante el estado on_the_way de una visita confirmada, con expiración automática 15 min tras status='arrived'. Base legal: ejecución contrato (Art. 6.1.b RGPD). El médico autónomo consiente explícitamente cada visita mediante toggle "Compartir ubicación" en la app profesional.

Tratamiento específico Cloudflare Turnstile: para proteger nuestros formularios públicos frente a accesos automatizados (bots) utilizamos Cloudflare Turnstile. Cloudflare puede tratar datos técnicos de tu dispositivo y navegador (p. ej. señales de interacción y atributos del navegador) con el único fin de distinguir usuarios humanos de bots; no se emplean para publicidad ni para elaborar perfiles. Base legal: interés legítimo en la seguridad y la prevención del fraude (Art. 6.1.f RGPD). Más información en el Cloudflare Turnstile Privacy Addendum.

6. Transferencias internacionales

Tawk.to, Sentry, GoDaddy, Stripe y Mapbox procesan parcialmente datos en EE.UU. Aplicamos:

1. Cláusulas Contractuales Tipo (SCCs) versión UE 2021
2. Evaluación de impacto en transferencias (TIA) documentada internamente
3. Medidas técnicas suplementarias: cifrado en tránsito (TLS 1.3) y en reposo (AES-256)

Puede solicitar copia de las SCCs aplicables a dpo@oncall.clinic.

7. Plazos de conservación

8. Derechos del interesado

Conforme a los artículos 15-22 RGPD y 13-18 LOPDGDD, puede ejercer:

• Acceso a sus datos personales
• Rectificación de datos inexactos
• Supresión ("derecho al olvido"), salvo obligación legal de conservación
• Limitación del tratamiento
• Portabilidad en formato estructurado y legible (JSON)
• Oposición al tratamiento basado en interés legítimo
• Retirada del consentimiento en cualquier momento
• No ser objeto de decisiones automatizadas (OnCall no realiza profiling)

Cómo ejercer: email a dpo@oncall.clinic con copia DNI/NIE para verificación. Plazo respuesta: 30 días naturales (prorrogable +60 días casos complejos).

Reclamación: si considera vulnerados sus derechos, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Aplicamos medidas técnicas y organizativas conforme al Art. 32 RGPD y Real Decreto 1720/2007:

• Cifrado en tránsito (TLS 1.3) y reposo (AES-256)
• Autenticación sin contraseña (magic link + 2FA opcional)
• Row-Level Security en base de datos por usuario y rol
• Backups automatizados diarios
• Auditoría regular de accesos y permisos
• Notificación de brechas a la AEPD en menos de 72 horas conforme Art. 33 RGPD

10. Menores

OnCall Clinic está dirigida a mayores de 14 años. Para menores se requiere consentimiento del titular de la patria potestad. Si detectamos cuenta de menor sin consentimiento, será eliminada.

11. Cookies

Información detallada en nuestra Política de Cookies.

12. Cambios

Cualquier modificación material se notifica al email registrado con 30 días de antelación. La fecha "Última actualización" en el encabezado refleja la versión vigente.

ENGLISH

Privacy Policy

Last updated: 2026-05-30

1. Data controller

IBIZA CARE, S.L. ("OnCall Clinic", "we")

• Tax ID: B19973569
• Registered office: C/ Lugo 11, 3º 2ª, 07830 Sant Josep de Sa Talaia, Balearic Islands, Spain
• Companies Register of Eivissa, sheet IB-21129
• Contact email: dpo@oncall.clinic
• Consumer claims: info@oncall.clinic

DPO: designated contact for privacy queries: dpo@oncall.clinic. DPO obligation assessment documented internally per WP243 (Article 29 WP guidelines on DPO).

2. Nature of the service (important)

OnCall Clinic is a technological intermediary platform between patients and self-employed licensed healthcare professionals, under Spanish Law 34/2002 on Information Society Services (LSSI-CE).

OnCall Clinic does NOT provide healthcare services. The medical professional performing the visit is the independent controller of clinical treatment and any health data generated during consultation, per Art. 9.2.h GDPR (healthcare provision) and Spanish Law 41/2002 on Patient Autonomy. All clinical information, diagnoses, and medical history remain exclusively in custody of the healthcare professional and are NOT accessible, stored, or processed by OnCall Clinic.

3. Personal data we process

OnCall Clinic does NOT collect or process:

• Symptoms, reason for consultation, clinical signs
• Diagnoses, treatments, prescriptions
• Medical history
• Health data (Art. 9.1 GDPR special categories)
• Biometric identifiers

4. Legal bases (Art. 6 GDPR)

5. Processors and sub-processors

We engage the following providers as data processors under Art. 28 GDPR (DPA in place):

Updated list at: https://oncall.clinic/en/legal/privacy

Mapbox specific processing: only the doctor's GPS coordinates (not the patient's) are processed during the on_the_way state of a confirmed visit, with automatic expiration 15 min after status='arrived'. Legal basis: contract performance (Art. 6.1.b GDPR). The self-employed doctor explicitly consents per visit via the "Share location" toggle in the professional app.

Cloudflare Turnstile specific processing: we use Cloudflare Turnstile to protect our public forms from automated abuse (bots). Cloudflare may process technical device and browser data (e.g. interaction signals and browser attributes) solely to tell humans from bots; it is not used for advertising or profiling. Legal basis: legitimate interest in security and fraud prevention (Art. 6.1.f GDPR). See the Cloudflare Turnstile Privacy Addendum.

Any sub-processor change is notified 30 days in advance to your registered email.

6. International transfers

Tawk.to, Sentry, GoDaddy and Stripe partially process data in the USA. We apply:

1. EU Standard Contractual Clauses (2021 version)
2. Documented Transfer Impact Assessment (TIA)
3. Supplementary technical measures: TLS 1.3 in transit, AES-256 at rest

Request copies of applicable SCCs at dpo@oncall.clinic.

7. Retention periods

8. Data subject rights

Per Articles 15-22 GDPR and 13-18 LOPDGDD:

• Access, rectification, erasure ("right to be forgotten"), restriction, portability (JSON), objection, consent withdrawal, no automated decisions

How to exercise: email dpo@oncall.clinic with ID copy for verification. Response within 30 calendar days (extensible +60 days for complex cases).

Complaint: lodge with the Spanish Data Protection Agency (AEPD) at www.aepd.es.

9. Security

Per Art. 32 GDPR and RD 1720/2007:

• TLS 1.3 in transit, AES-256 at rest
• Passwordless auth (magic link + optional 2FA)
• Row-Level Security per user/role
• Daily automated backups
• Regular access audits
• Breach notification to AEPD within 72 hours (Art. 33 GDPR)

10. Minors

OnCall Clinic targets users 14+. For minors, parental consent is required. Detected unconsented minor accounts are deleted.

11. Cookies

Detailed information in our Cookie Policy.

12. Changes

Material changes notified to registered email 30 days in advance. "Last updated" date reflects current version.

13. Data Protection Impact Assessment (DPIA · Art. 35 GDPR)

OnCall Clinic has carried out a prior assessment of processing operations under Art. 35 GDPR. The conclusion is that a full DPIA is not mandatory, on the following grounds:

• Pure-intermediary model (LSSI-CE Art. 12-17). OnCall Clinic does NOT process health data of patients (Art. 9 GDPR). The healthcare professional performing the home visit is the independent data controller for clinical processing (Art. 9.2.h GDPR — healthcare). The platform is limited to logistics: contact details, address, real-time geolocation of the doctor en route, and payment.
• No large-scale systematic and exhaustive processing of personal data (Art. 35.3.b GDPR): the booking volume in alpha phase is small and the purpose is exclusively intermediation.
• No large-scale systematic monitoring of publicly accessible areas (Art. 35.3.c GDPR): geolocation is point-in-time during the active visit, not continuous.
• No automated decisions with legal effects (Art. 22 GDPR) — geographic matching doctor↔patient is logical, not profiling.

Residual risks identified + mitigations:

The assessment is reviewed whenever: (i) the processing model changes, (ii) a new Art. 9 special category is incorporated, (iii) volume exceeds 5,000 bookings/month, or (iv) a regulatory change requires it.

To contact the Data Protection Officer regarding this assessment: dpo@oncall.clinic.