Política de privacidad de la app Predicta

Predicta es una plataforma de Zafirus Technologies SRL que podés usar de dos formas, y el rol de quien maneja tus datos cambia según cuál sea:

• Si usás Predicta embebida en la app de tu Financiador Asociado (tu prepaga, obra social u otra entidad de salud que incorporó Predicta a su propia app): tu Financiador Asociado es quien decide para qué se usan tus datos, define los protocolos clínicos, los umbrales de seguimiento y las reglas del programa de beneficios. Por eso es el responsable de esos datos. Zafirus actúa como encargada: procesa la información por cuenta y orden del Financiador, limitándose a lo que este le instruye, sin darle un uso propio ni cederla a terceros.
• Si descargás Predicta como app independiente, sin pasar por ningún Financiador: no hay un tercero que determine los fines, así que Zafirus es responsable de tus datos, con todas las obligaciones que eso implica (informarte, cuidar la seguridad, atender tus derechos, etc.).
• Si en algún momento pasás por más de una institución (por ejemplo, tu Financiador y además un sanatorio o clínica que también use Predicta), cada institución es responsable únicamente de los datos que ella genera. Zafirus actúa como encargada de cada una por separado, y esos datos no se mezclan entre instituciones sin tu consentimiento expreso.
• Hay una porción de datos de la que Zafirus siempre es responsable, sin importar el modo de uso: la seguridad de la plataforma, la prevención de fraude, el cumplimiento de sus propias obligaciones legales, y la mejora de sus sistemas (esto último, solo con datos ya anonimizados).

Predicta solo trata tus datos con tu consentimiento expreso, informado y otorgado mediante una acción afirmativa tuya (nunca casillas premarcadas). Por tratarse de datos de salud, el consentimiento es granular: se pide por separado para cada función, entre otras:

• el tratamiento de tus datos de salud (presión, medicación, hábitos);
• la vinculación de cada dispositivo o hardware de medición;
• cada integración con wearables o plataformas de terceros;
• cada permiso del dispositivo (cámara, ubicación, notificaciones);
• el canal de comunicación por WhatsApp;
• la participación en el programa de beneficios.

Nada de esto es obligatorio: no participar en ninguna función no afecta tu cobertura ni el precio de tu plan. Podés revocar cualquier consentimiento en cualquier momento, sin efecto retroactivo.

• Datos de contacto, documento de identidad y, si corresponde, número de afiliado.
• Credenciales de acceso (en modo embebido, la autenticación la maneja tu Financiador; Predicta no gestiona tu contraseña).
• Grupo de seguimiento asignado (por ejemplo, "seguimiento de hipertensión"), que ya se considera dato sensible.
• Datos de salud, solo si activás las funciones correspondientes: parámetros clínicos, medicación y adherencia, respuestas de hábitos, prescripciones e indicaciones cuando te atendés en una institución que usa Predicta, e indicadores clínicos calculados por los motores de la plataforma.
• Datos de dispositivos vinculados: tensiómetros, glucómetros, oxímetros, balanzas, wearables (relojes, anillos, pulseras) y plataformas como Health Connect, Samsung Health o Apple Salud, si las conectás.
• Datos técnicos automáticos: tipo de dispositivo, IP, identificadores de sesión, logs de auditoría (sin datos identificatorios en texto claro), ubicación solo mientras la app está abierta y si lo autorizás, registro de mensajería por WhatsApp si la activás, y registro de objetivos/puntos si participás del programa de beneficios.
• Cookies: solo las estrictamente necesarias para mantener tu sesión activa y la seguridad de la conexión. No usamos cookies publicitarias ni de seguimiento comercial.

Para brindarte el servicio de seguimiento y gestión de tu salud, componer tu panel de evolución, enviarte recordatorios de medicación y mediciones, verificar tu identidad, gestionar el programa de beneficios si participás, darte soporte, mantener trazabilidad y auditoría de las operaciones clínicas, proteger la plataforma contra fraude, y mejorar nuestros sistemas usando exclusivamente datos anonimizados.

Predicta puede generar indicadores y perfiles clínicos de forma automatizada, pero ninguna decisión que te afecte se toma solo por ese medio: el perfil siempre lo evalúa un profesional de la salud, que puede confirmarlo, modificarlo o descartarlo según su criterio. El perfil es una herramienta de apoyo, no una decisión en sí misma, y tenés derecho a pedir revisión humana de cualquier decisión automatizada que te afecte.

• Con tu Financiador Asociado o el Prestador Asociado donde te atendés (según corresponda, ellos son responsables de esos datos), y solo su personal autorizado con acceso segmentado por rol.
• Con proveedores que trabajan por instrucción de Zafirus: infraestructura en la nube, y proveedores de mensajería para recordatorios (Meta/WhatsApp y Twilio).
• Con autoridades públicas, solo cuando exista obligación legal o requerimiento válido.
• Con comercios adheridos al programa de beneficios, pero únicamente el identificador del cupón y su vigencia — nunca tu patología, mediciones o cualquier otro dato de salud.

Tus datos pueden alojarse en servidores en Argentina o en jurisdicciones consideradas adecuadas (por ejemplo, países de la Unión Europea); si en algún caso se transfieren a un país sin nivel de protección adecuado (por ejemplo, Estados Unidos), lo hacemos con las salvaguardas legales exigidas.

Podés acceder, actualizar, rectificar, suprimir tus datos, pedir limitación del tratamiento, portabilidad, oponerte a un tratamiento específico, pedir revisión humana de una decisión automatizada, y revocar tu consentimiento en cualquier momento.

• Si usás Predicta embebida, ejercés estos derechos ante tu Financiador Asociado, que es quien debe darte respuesta; Zafirus solo colabora como encargada.
• Si usás Predicta independiente, podés ejercerlos directamente escribiendo a privacy@zafirus.tech, con plazos de respuesta de 10 días corridos (acceso) o 5 días hábiles (rectificación, supresión, oposición, portabilidad).

Predicta está destinada solo a mayores de 18 años. Si tus datos como menor llegaran a tratarse en el marco de la cobertura con tu Financiador, es este quien debe contar con el consentimiento de tus representantes legales; en modo independiente, Zafirus directamente no trata datos de menores y los elimina si toma conocimiento de ellos.

Aplicamos cifrado en tránsito y en reposo, seudonimización en entornos de análisis, control de acceso por roles, autenticación reforzada, registro de auditoría, gestión contractual de proveedores, y procedimientos de respuesta ante incidentes — todo reforzado por tratarse de datos de salud.

La presente Política de Privacidad (en adelante, la "Política") tiene por objeto informar de manera clara, accesible y transparente el tratamiento que Zafirus Technologies SRL, CUIT 30-71715703-2, con domicilio en Lamadrid 470, Nave 1, oficina 17, Rosario, República Argentina (en adelante, "Zafirus"), realiza de los Datos Personales de los Usuarios a través de la plataforma Predicta, en cualquiera de sus formas de acceso —como módulo embebido en la aplicación de un Financiador Asociado, o como aplicación independiente (en adelante, indistintamente, "App Predicta" o "Predicta")—, en cumplimiento del marco legal de la Ley de Protección de Datos Personales vigente en la República Argentina (en adelante, "LPDP").

Dado que Predicta puede operar bajo distintas modalidades de acceso, más de un documento puede resultar aplicable de manera simultánea. A los efectos de su interpretación y aplicación, rige el siguiente orden de prelación:

(i) Uso embebido (regla general). Rige en primer lugar la política de privacidad del Financiador Asociado, por ser ésta la responsable del tratamiento frente al Usuario. La presente Política de Privacidad se aplica de manera complementaria, exclusivamente para describir el tratamiento técnico que Zafirus realiza en su carácter de encargado, sin sustituir, limitar ni contradecir las disposiciones de la política del Financiador Asociado.

(ii) Uso independiente (excepción). Rige de manera íntegra y excluyente la presente Política de Privacidad, por ser Zafirus responsable del tratamiento en dicho supuesto.

(iii) Términos y Condiciones de App Predicta. Se aplican de manera complementaria en ambas modalidades de uso, en lo relativo al uso de la plataforma y a los aspectos contractuales, sin que puedan interpretarse en un sentido que restrinja las garantías de protección de datos reconocidas en esta Política.

A los efectos de esta Política de Privacidad, los siguientes términos —utilizados en mayúscula inicial a lo largo del documento— tendrán el significado que se indica a continuación:

• Zafirus: Zafirus Technologies SRL, CUIT 30-71715703-2, con domicilio en Lamadrid 470, Nave 1, oficina 17, Rosario, República Argentina; desarrolladora y titular de la plataforma Predicta. Según el caso, actúa como encargada o como responsable del tratamiento, conforme a la Sección 3.
• Predicta / App Predicta: la plataforma tecnológica de seguimiento y gestión de datos de salud desarrollada por Zafirus, en cualquiera de sus formas de acceso: como módulo embebido dentro de la aplicación de un Financiador Asociado, o como aplicación independiente.
• Usuario: la persona humana mayor de 18 años titular de los Datos Personales que utiliza Predicta, ya sea como afiliado o beneficiario de un Financiador Asociado o como usuario independiente. Es el "titular de los datos" en los términos de la LPDP.
• Financiador Asociado: la compañía de medicina prepaga, obra social u otra entidad financiadora de salud que ha incorporado Predicta a su propia aplicación mediante un acuerdo con Zafirus, y de cuya aplicación el Usuario es afiliado o beneficiario. En el modo de uso embebido, el Financiador Asociado es el responsable del tratamiento.
• Prestador Asociado: toda institución de salud (clínica, sanatorio, prestadora u otra) o persona física que, además del Financiador Asociado, utilice Predicta bajo licencia de Zafirus y en cuyo ámbito el Usuario recibe atención. Cada uno es responsable del tratamiento de los datos que origina, conforme a la Sección 3.
• Datos Personales: toda información de cualquier tipo referida a personas humanas determinadas o determinables, en los términos del artículo 2 de la LPDP.
• Datos Sensibles / Datos de Salud: los Datos Personales que revelan información referida a la salud física o mental del Usuario, que la LPDP somete a un régimen de protección reforzado.
• Responsable del Tratamiento: la persona humana o jurídica que determina las finalidades y los medios esenciales del tratamiento de los Datos Personales, y ante quien el Usuario ejerce sus derechos. Según el modo de uso, puede ser el Financiador Asociado, un Prestador Asociado o Zafirus.
• Encargado del Tratamiento: la persona humana o jurídica que trata Datos Personales por cuenta y orden del Responsable, conforme al artículo 25 de la LPDP. En el modo embebido, Zafirus es Encargado del Financiador Asociado.
• Subencargado: el proveedor de servicios que trata Datos Personales por cuenta de Zafirus (por ejemplo, infraestructura en la nube o servicios de mensajería), bajo instrucciones documentadas y contrato de encargo.
• LPDP: la Ley N° 25.326 de Protección de Datos Personales, su Decreto Reglamentario N° 1558/2001 y las normas complementarias dictadas por la Agencia de Acceso a la Información Pública.
• AAIP: la Agencia de Acceso a la Información Pública, órgano de control de la LPDP en la República Argentina.

El rol de Zafirus respecto de los Datos Personales no es único: depende de cómo el Usuario utilice Predicta y de la operación de tratamiento de que se trate, conforme a los artículos 2 y 25 de la LPDP y a los conceptos de responsable y encargado del tratamiento reconocidos por la normativa comparada aplicable.

3.1. Regla general: uso embebido con un Financiador Asociado

Cuando el Usuario accede a Predicta como módulo embebido dentro de la aplicación de su financiador, o vincula su afiliación a un Financiador Asociado, el responsable del tratamiento de los Datos Personales es el Financiador Asociado.

El Financiador Asociado es quien determina las finalidades y los medios esenciales del tratamiento: autentica al usuario, define y configura los protocolos clínicos, los umbrales de los indicadores, los módulos por patología, el catálogo de beneficios y las reglas del programa; sus profesionales de la salud y su personal administrativo acceden a la información y reciben los resultados del seguimiento.

En este escenario, Zafirus actúa como encargado de tratamiento (procesador de datos), por cuenta y orden del Financiador Asociado, en los términos del artículo 25 de la LPDP y del artículo 25 del Decreto N° 1558/2001, y tratará los datos personales conforme a un contrato de encargo de tratamiento que se ajusta a los requisitos legales establecidos en la Ley 25.326 y su decreto reglamentario, garantizando el cumplimiento de los deberes de seguridad, confidencialidad y licitud en el tratamiento de la información.

Zafirus limita su tratamiento a lo estrictamente necesario para prestar el servicio conforme a las instrucciones documentadas del Financiador Asociado; no aplica ni utiliza los Datos Personales con un fin propio distinto del contratado, ni los cede a terceros. En este modo rige, en primer lugar, la política de privacidad del Financiador Asociado, y la presente Política se aplica de manera complementaria para describir el tratamiento técnico que Zafirus realiza como encargado.

3.2. Excepción: uso independiente sin ingreso a través de la aplicación de un Financiador Asociado

Cuando el Usuario descarga y utiliza App Predicta como aplicación independiente, sin vincular ningún Financiador Asociado, no existe un tercero que determine las finalidades y los medios: en tal caso Zafirus es el responsable del tratamiento de los Datos Personales, con todas las obligaciones que la LPDP impone a los responsables (deber de información, seguridad, atención de los derechos del titular e inscripción de la base). Esta Política de Privacidad es la que gobierna íntegramente ese uso independiente.

3.3. Pluralidad de entidades asociadas: cada una es responsable de su propio legajo

Un mismo Usuario puede acceder a Predicta como módulo embebido dentro de la aplicación de distintos financiadores o Entidades Asociadas contratadas, en distintos momentos, que utilizan Predicta bajo licencia de Zafirus (por ejemplo, su Financiador Asociado y, posteriormente, un Prestador Asociado).

En tal caso, cada institución es responsable del tratamiento de los datos que ella origina y gestiona dentro de su propio ámbito, y Zafirus actúa como encargado de cada una de ellas por separado.

Predicta está diseñada con aislamiento estricto por institución: los datos que una institución incorpora al legajo que administra (por ejemplo, las prescripciones médicas emitidas por sus profesionales, indicaciones y estudios de esa atención) se procesan de forma segregada y no se cruzan, combinan ni comparten con otro Prestador Asociado sin una base jurídica que lo habilite. Esto significa que:

• los datos originados por un Prestador Asociado (prescripciones, indicaciones, datos de sus profesionales) integran el legajo del Usuario en el ámbito de ese Prestador Asociado, del que es responsable;
• el Financiador Asociado u otra institución no accede a los datos originados por el Prestador Asociado ni a la inversa, salvo que el Usuario preste su consentimiento expreso para una comunicación entre instituciones, en los términos del artículo 11 de la LPDP, con indicación de la finalidad y del destinatario;
• Zafirus, como encargado común, no unifica ni pone en común los datos de las distintas instituciones responsables, y mantiene la separación técnica y de acceso entre ellas;
• los derechos del Usuario se ejercen frente a la institución responsable de cada conjunto de datos; Zafirus, como encargado, dará traslado a la institución que corresponda y colaborará en la respuesta.

Datos de los profesionales de la salud. Cuando una institución incorpora prescripciones o indicaciones, se tratan también datos personales de los profesionales de la salud que las emiten (por ejemplo, nombre y matrícula), en el marco del ejercicio profesional y del cumplimiento de las normas sanitarias aplicables. Estos datos se utilizan únicamente para identificar el origen y la validez de la indicación clínica, bajo las mismas garantías de confidencialidad de esta Política.

3.4. Tratamientos en los que Zafirus es siempre responsable

Con independencia del modo de uso, existen tratamientos que Zafirus decide y ejecuta por sí misma, no por instrucción de un Financiador Asociado, y respecto de los cuales Zafirus es responsable:

• la seguridad, integridad y disponibilidad de su propia plataforma;
• la prevención y detección de fraudes y abusos;
• el cumplimiento de obligaciones legales propias de Zafirus (por ejemplo, requerimientos judiciales dirigidos a Zafirus); y
• la mejora de sus sistemas, motores y modelos, realizada exclusivamente sobre datos anonimizados de forma irreversible que, en tal carácter, dejan de ser datos personales (art. 28 y concordantes, LPDP).

El Usuario consiente expresa, informada, voluntaria e inequívocamente la inclusión y el procesamiento, por medios automatizados y no automatizados, de los Datos Personales que facilite a través de App Predicta, los cuales serán conservados en las bases de datos de titularidad del Financiador Asociado, de un Prestador Asociado o de Zafirus, según corresponda conforme a la Sección 3, para los fines descritos en este documento.

Atento a que Predicta trata datos sensibles de salud, el consentimiento se solicita de manera granular, separada y específica, mediante casillas o botones que requieren una acción afirmativa del Usuario (nunca premarcados), y su otorgamiento queda registrado con fecha y hora. El sistema verifica la existencia del consentimiento específico correspondiente (por ejemplo, para datos biométricos o para notificaciones) antes de cada operación de tratamiento, y rechaza la operación si el consentimiento no está activo. Se solicita consentimiento independiente, al menos, para:

• el tratamiento de datos de salud (presión arterial, medicación y adherencia, hábitos, y otros parámetros clínicos);
• la vinculación de cada dispositivo de medición y del hardware que corresponda;
• la vinculación de cada integración de wearables o plataformas de terceros;
• el acceso a cada permiso del dispositivo (cámara, ubicación, notificaciones, y los que resulten necesarios);
• el canal de comunicación por WhatsApp; y
• la participación en el programa de beneficios.

El Usuario no está obligado a proporcionar datos sensibles: todas las funciones de salud son de activación voluntaria, y la no participación en cualquiera de ellas —incluido el programa de beneficios— no afecta su cobertura médico-asistencial ni el precio de su plan en un Financiador Asociado. El consentimiento es revocable en cualquier momento, sin efectos retroactivos y sin expresión de causa (Sección 9).

AL ACCEDER, CONECTARSE O DE CUALQUIER OTRA FORMA UTILIZAR APP PREDICTA, USTED CONFIRMA QUE HA LEÍDO, ENTENDIDO Y CONCUERDA CON LAS DISPOSICIONES DE ESTA POLÍTICA DE PRIVACIDAD. SI NO ESTÁ DE ACUERDO, POR FAVOR, ABSTENERSE DE UTILIZAR APP PREDICTA.

De acuerdo con la LPDP, los datos personales son toda información relacionada con personas físicas determinadas o determinables. El Usuario se compromete a garantizar la veracidad y exactitud de los Datos Personales que comparta.

5.1. Datos facilitados por el Usuario al registrarse (datos identificatorios y de contacto)

• Datos de contacto (nombre y apellido, correo electrónico, y teléfono cuando se utilice el canal de mensajería);
• Credenciales de acceso. En el modo embebido, la autenticación es provista por el Financiador Asociado: Predicta no gestiona la contraseña del Usuario, sino que opera sobre la identidad ya validada por el financiador;
• Datos de identificación personal, incluyendo documento nacional de identidad y/o número de afiliado;
• Grupo de seguimiento o perfil asignado (por ejemplo, "seguimiento de hipertensión"). Este dato revela información de salud y se trata como dato sensible;
• Registro de fecha y hora de aceptación de los Términos y Condiciones y de cada consentimiento otorgado;
• Información que el Usuario facilite en sus consultas o comentarios.

5.2. Datos de salud (datos sensibles)

Únicamente si el Usuario activa las funciones correspondientes y presta su consentimiento específico, se tratan los siguientes datos sensibles (art. 2, LPDP):

• Parámetros clínicos (por ejemplo, presión arterial o valores de glucosa en sangre) que correspondan según las patologías del Usuario, con su fecha y hora;
• Medicación y adherencia: esquema de medicación, fármaco, dosis, frecuencia, horarios, confirmación de cada toma (declarada por el Usuario o registrada por el dispositivo, según el caso) y grado de cumplimiento del tratamiento;
• Respuestas de hábitos: respuestas del Usuario a las preguntas periódicas de hábitos y las rachas de cumplimiento asociadas;
• Prescripciones e indicaciones de instituciones tratantes: cuando el Usuario recibe atención en un Prestador Asociado que utiliza Predicta, las prescripciones médicas, indicaciones y datos clínicos que esa institución genera en el marco de la atención, junto con la identificación del profesional interviniente, se incorporan al legajo del Usuario en el ámbito de esa institución, conforme a la Sección 3.3;
• Indicadores clínicos calculados: clasificaciones y puntuaciones de seguimiento (por ejemplo, de presión arterial, de adherencia y de riesgo) que los motores de Predicta generan a partir de los datos anteriores, conforme a la Sección 12;
• Mediciones de dispositivos conectados, en las funciones y fases en que se encuentren disponibles: además de presión arterial, según el equipamiento que el Usuario vincule, podrán incorporarse otras mediciones (por ejemplo, glucemia, saturación de oxígeno o peso). Las integraciones que no se encuentren activas en la versión utilizada no recolectan dato alguno.

5.3. Datos de dispositivos vinculados y hardware

Para operar la sincronización con dispositivos, se recolectan datos técnicos de los equipos vinculados (identificadores de hardware, historial de emparejamiento y estado de conexión). Estos datos se utilizan únicamente para la operación, el soporte y la seguridad del servicio, y no se vinculan con otros datos con fines publicitarios. Cuando interviene hardware de conectividad domiciliario, este se comunica exclusivamente con los dispositivos del programa y no monitorea el tráfico de internet del hogar ni datos de otros dispositivos ajenos al programa, y no incorpora micrófono ni cámara.

5.4. Datos de wearables, dispositivos IoT de salud e integraciones con plataformas de terceros

El Usuario puede vincular voluntariamente, a través del flujo de autorización oficial de cada dispositivo o plataforma, distintas fuentes de datos de salud, que Predicta sincroniza para incorporarlas a su seguimiento. Estas fuentes comprenden, de manera enumerativa y no taxativa:

• Dispositivos médicos y de medición conectados (IoT de salud) que el Usuario empareja, habitualmente por Bluetooth, con la aplicación —por ejemplo: tensiómetros que transmiten mediciones de presión arterial, glucómetros que transmiten mediciones de glucemia, oxímetros que transmiten la saturación de oxígeno en sangre, balanzas que transmiten el peso corporal, y otros dispositivos de medición de parámetros clínicos que se incorporen en el futuro—;
• Dispositivos wearables (relojes y anillos inteligentes, pulseras de actividad y similares), de los que pueden sincronizarse métricas como frecuencia cardíaca, cantidad de pasos y distancia, duración y fases del sueño, y tipo, duración e intensidad de la actividad física;
• Plataformas de salud y fitness de terceros (por ejemplo, ecosistemas como Health Connect, Samsung Health o Apple Salud), que actúan como intermediarias y desde las cuales, con la autorización del Usuario, se importan las métricas correspondientes.

En todos los casos, la vinculación de cada dispositivo o plataforma requiere una acción afirmativa y un consentimiento específico del Usuario (Sección 4), y solo se sincronizan los tipos de datos estrictamente necesarios para las funciones de seguimiento que el Usuario active. La disponibilidad concreta de cada tipo de dispositivo o integración depende de la versión y de las funciones habilitadas: aquellas que no se encuentren activas no recolectan dato alguno.

Uso limitado. Los datos provenientes de estos dispositivos y plataformas se utilizan únicamente para proveer y mejorar las funciones de seguimiento de salud visibles para el Usuario dentro de App Predicta. No se venden, no se usan con fines publicitarios, no se transfieren a intermediarios de datos, no se utilizan para evaluar solvencia crediticia ni para perfilar al Usuario con fines ajenos al servicio de seguimiento clínico.

Revocación. El Usuario puede desvincular cualquier dispositivo o integración en cualquier momento, desde App Predicta o desde la configuración del propio dispositivo o de la plataforma de origen, con efecto inmediato sobre la sincronización de datos nuevos. La desvinculación no afecta la licitud del tratamiento previo; el Usuario puede además solicitar la supresión de los datos históricos ya sincronizados (Sección 9).

5.5. Datos que se recolectan de manera automática

• Información técnica del dispositivo con el que se accede (tipo y versión de sistema operativo, configuración, datos de conexión) y dirección IP;
• Identificadores técnicos y de sesión, incluido el token que vincula la actividad del módulo Predicta dentro de la app del Financiador Asociado, e identificadores de dispositivo cuando corresponda;
• Registros técnicos y de auditoría (logs): Predicta genera registros inmutables de las operaciones clínicas y de los accesos a datos, con fines de trazabilidad, seguridad y cumplimiento (quién, qué, cuándo, mediante identificadores de solicitud y de actor). Estos logs no contienen datos identificatorios en texto claro;
• Ubicación del dispositivo, únicamente mientras la app está abierta y en uso (primer plano), si el Usuario lo autoriza, para contextualizar sus métricas o campañas de prevención por zona. Predicta no accede a la ubicación en segundo plano, no la usa con fines publicitarios y no la vende. El Usuario puede activarla o desactivarla desde la configuración de su dispositivo;
• Registro de la mensajería, alertas y recordatorios enviados y recibidos a través del canal de WhatsApp, si el Usuario lo activa;
• Respuestas a encuestas que el Usuario decida completar;
• Registro de objetivos, puntos y beneficios, si participa del programa (Sección 14).

En los casos en que esta información revele datos de salud, será tratada como dato sensible.

5.6. Cookies y tecnologías similares

Según cómo utilice Predicta, el Usuario accede a través de un componente web integrado dentro de la aplicación de su Financiador Asociado o, en el supuesto de descarga independiente, a través de App Predicta como aplicación autónoma. En ambos entornos, Predicta utiliza únicamente cookies o mecanismos de almacenamiento local técnicamente necesarios para mantener la sesión del Usuario activa, garantizar la seguridad de la conexión y permitir el correcto funcionamiento de las funciones que utiliza. Las mismas cookies estrictamente necesarias operan en el recurso web de eliminación de cuenta (Sección 9.2), cuando el Usuario lo utiliza.

No se utilizan cookies de publicidad, de terceros ni de seguimiento con fines comerciales, ni tecnologías que elaboren perfiles del Usuario con finalidades ajenas al servicio de seguimiento de salud.

6.1. Base legal

El tratamiento de datos personales se realiza sobre las siguientes bases jurídicas, según el modo de uso de Predicta:

Predicta embebida en la app de tu Financiador Asociado (regla general)

En este supuesto, las bases jurídicas del tratamiento son las que determine tu Financiador Asociado en su propia política de privacidad, entre las que pueden encontrarse el consentimiento expreso del Usuario, la ejecución del contrato que lo vincula con ella, el cumplimiento de obligaciones legales, u otras que resulten aplicables conforme a la normativa vigente. Zafirus Technologies, en su rol de encargado del tratamiento, actúa exclusivamente por cuenta y orden de tu Financiador Asociado y no determina bases jurídicas propias para este supuesto, salvo en lo referido a seguridad de la plataforma, prevención del fraude y mejora de sistemas con datos anonimizados (véase más abajo).

Predicta como app independiente (excepción)

En este supuesto, Zafirus Technologies es responsable del tratamiento y los datos personales se tratan únicamente sobre la base del consentimiento expreso que el Usuario otorga con la aceptación de esta Política y de los consentimientos específicos por función (Sección 4), sin perjuicio de las demás bases jurídicas aplicables: la ejecución de la relación que vincula al Usuario con Zafirus; el tratamiento de datos de salud por establecimientos y profesionales sanitarios bajo secreto profesional (art. 8, LPDP); y el cumplimiento de obligaciones legales.

En ambos supuestos Zafirus es responsable del tratamiento de los datos vinculados a la seguridad de su plataforma, la prevención del fraude y la mejora de sus sistemas con datos anonimizados. La base jurídica para este tratamiento es el interés legítimo de Zafirus (Sección 3.4).

6.2. Enumeración

• Permitir al propio usuario, las Entidades Asociadas y las Entidades Tratantes realizar un seguimiento y gestión de sus datos de salud: registrar y almacenar los datos que el Usuario carga o que sus dispositivos transmiten (presión arterial, medicación y adherencia, hábitos y demás parámetros); procesar, validar y clasificar cada registro conforme a protocolos configurables; y componer el panel de seguimiento donde el Usuario visualiza su evolución. Predicta es una herramienta de gestión y seguimiento de la salud: no presta asistencia médica ni sustituye el diagnóstico, la indicación o el criterio de los profesionales de la salud tratantes.
• Enviar al Usuario recordatorios, notificaciones y avisos: generar y enviar recordatorios de tomas de medicación, de mediciones y de preguntas de hábitos, a través de notificaciones y —si el Usuario lo activa— a través de redes sociales.
• Identificación y validación: verificar la identidad y elegibilidad del Usuario.
• Indicadores y perfil clínico de seguimiento: calcular las clasificaciones y puntuaciones de seguimiento descritas en la Sección 12, siempre como apoyo a la decisión de un profesional de la salud.
• Participación del usuario en programas de beneficios: registrar objetivos cumplidos, asignar puntos y gestionar canjes, si el Usuario participa (Sección 14).
• Comunicación y soporte: responder consultas y brindar soporte técnico.
• Trazabilidad, auditoría y consentimiento: registrar de forma inmutable las operaciones clínicas, los accesos a datos y el estado de los consentimientos, con fines de auditoría y cumplimiento.
• Seguridad y prevención del fraude: proteger la plataforma y a los Usuarios frente a accesos no autorizados y abusos.
• Mejora del servicio: operar, evaluar y mejorar los productos y motores de Predicta, utilizando a tal fin exclusivamente datos anonimizados de forma irreversible.
• Estadística: elaborar estudios con información agregada o disociada para la gestión del programa.
• Cumplimiento legal: atender obligaciones legales y requerimientos de autoridades competentes.

Algunas de estas finalidades podrían no ser aplicables si el Usuario no utiliza el servicio asociado.

6.3. Finalidades expresamente excluidas

Los datos vinculados a la salud se tratan de modo que en ningún caso causen discriminación.

La información se almacena y utiliza por el plazo necesario para cumplir las finalidades informadas y por el plazo máximo que establezca la normativa aplicable.

7.1. Plazos de conservación

• Datos clínicos e historia de seguimiento (presión, medicación, adherencia, hábitos, indicadores): plazo mínimo de diez (10) años desde la última actuación, conforme al artículo 18 de la Ley N° 26.529 de Derechos del Paciente.
• Registros de auditoría clínica y de accesos (logs): conservación mínima de cinco (5) años, por requisito de trazabilidad y cumplimiento.
• Registros de operaciones de cifrado/descifrado de datos identificatorios: conservación de dos (2) años.
• Datos de cuenta, técnicos y de beneficios: mientras la cuenta esté activa y por 2 años adicionales para defensa de reclamos, seguridad y cumplimiento.
• Datos anonimizados de forma irreversible: pueden conservarse con fines estadísticos y de mejora (art. 28, LPDP), al dejar de ser datos personales.

La supresión no procede cuando exista obligación legal de conservar los datos (en particular, la historia clínica por diez años). Durante ese plazo los datos permanecen bloqueados para cualquier otro propósito. Vencidos los plazos, los datos se destruyen de forma segura o se anonimizan de manera irreversible.

8.1. Destinatarios

Los Datos Personales podrán comunicarse únicamente a:

• El Financiador Asociado o un Prestador Asociado (responsable, según el caso) y sus profesionales de la salud y personal autorizado, con acceso segmentado por perfil (Administrador, Auditor médico, Médico prestador), por institución y por paciente asignado, bajo secreto profesional.
• Proveedores de servicios (Subencargados) que actúan por cuenta de Zafirus, bajo instrucciones documentadas y contrato de encargo con obligaciones de confidencialidad y seguridad equivalentes:
  • proveedores de infraestructura en la nube (alojamiento, base de datos, gestión de claves de cifrado y colas de mensajería);
  • proveedores de mensajería para el envío de recordatorios y alertas, tales como WhatsApp: Meta Platforms (WhatsApp Business / Cloud API) y Twilio, según el caso;
  • otros subencargados que se incorporen, cumpliendo las obligaciones impuestas por la ley.
• Autoridades públicas, cuando exista obligación legal o requerimiento judicial o administrativo válido.

No se autoriza a los proveedores a usar los Datos Personales para fines propios ni a divulgarlos, salvo lo estrictamente necesario para prestar el servicio en nombre de Zafirus, del Financiador Asociado o del Prestador Asociado, o para cumplir obligaciones legales. Zafirus no vende Datos Personales.

8.2. Confidencialidad

Se suscriben convenios de confidencialidad y de procesamiento de datos con cada parte que intervenga en el tratamiento. Quienes intervengan en cualquier fase están obligados al secreto profesional (art. 10, LPDP), obligación que subsiste tras finalizar la relación.

Podrán revelarse Datos Personales: (i) por obligación legal o en el marco de un procedimiento; (ii) a fuerzas de seguridad o funcionarios públicos que lo soliciten legítimamente; (iii) para evitar daños físicos o pérdidas económicas; o (iv) en investigaciones de actividades presuntamente fraudulentas o ilegales.

8.3. Terceros adheridos al programa de beneficios

Cuando el Usuario canjea un beneficio en un comercio, entidad o institución adherida, se comparte con dicho comercio únicamente el identificador del cupón y su estado de vigencia. En ningún caso se comparten con los comercios la patología, las mediciones, la medicación, los indicadores de salud ni ningún otro dato sensible del Usuario.

9.1. Derechos del titular de datos

Todo titular de datos personales tratados en el marco de Predicta tiene reconocidos los siguientes derechos:

• Derecho de acceso. El titular puede solicitar confirmación sobre si sus datos personales están siendo tratados, obtener información sobre ellos y conocer la finalidad del tratamiento, las fuentes de obtención, los destinatarios y el plazo previsto de conservación.
• Derecho de actualización. El titular puede solicitar que sus datos sean actualizados cuando hubieran sido modificados desde su recolección y la información obrante en los registros no refleje su situación actual.
• Derecho de rectificación. El titular puede solicitar la corrección de sus datos cuando resulten inexactos, falsos, erróneos, incompletos o desactualizados.
• Derecho de supresión. El titular puede solicitar la eliminación de sus datos cuando éstos hayan dejado de ser necesarios para la finalidad que motivó su recolección, o cuando hubiera revocado el consentimiento que la sustentaba, y no exista otra base jurídica que legitime su conservación.
• Derecho a la limitación del tratamiento. El titular puede solicitar que el tratamiento de sus datos sea restringido en aquellos supuestos en que impugne su exactitud, se oponga a su supresión, o el tratamiento sea ilícito pero prefiera la limitación antes que la eliminación.
• Derecho a la portabilidad. El titular puede solicitar recibir sus datos personales en un formato estructurado, de uso común y legible por máquina, y a transferirlos a otro responsable del tratamiento, en la medida en que el tratamiento está basado en el consentimiento y sea realizado por medios automatizados.
• Derecho de oposición. El titular puede oponerse al tratamiento de sus datos, o a una finalidad específica de éste, cuando no hubiera prestado consentimiento para ello o cuando el tratamiento tenga por objeto la publicidad, la prospección comercial o la mercadotecnia directa, incluida la elaboración de perfiles con dichos fines.
• Derecho de no inferencia y revisión humana. El titular tiene derecho a no ser objeto de una decisión que le produzca efectos jurídicos perjudiciales, lo afecte de forma negativa o tenga efectos discriminatorios, basada única o parcialmente en el tratamiento automatizado de datos, incluida la elaboración de perfiles e inferencias. En virtud de ello, el titular puede solicitar la revisión por una persona humana de cualquier decisión automatizada o semiautomatizada que afecte sus intereses, incluidas aquellas orientadas a evaluar aspectos de su salud, perfil clínico, personalidad u otros.
• Derecho de revocación del consentimiento. El titular puede revocar el consentimiento otorgado en cualquier momento, sin efecto retroactivo sobre el tratamiento ya realizado. La revocación podrá implicar la imposibilidad de acceso a determinadas funcionalidades de Predicta que dependan de dicho consentimiento.

9.2. Procedimiento para el ejercicio de derechos

El procedimiento varía según el modo de uso de Predicta:

9.2.1. Predicta embebida en la app del Financiador Asociado (regla general)

En este supuesto, el responsable del tratamiento es el Financiador Asociado. El titular debe ejercer sus derechos directamente ante ella, a través de los canales habilitados en su propia política de privacidad o en la app del financiador.

Zafirus actúa como encargado del tratamiento y, en ese carácter, colabora con el Financiador Asociado en la atención de las solicitudes que ésta le traslade, dentro de los plazos que resulten exigibles conforme a la normativa aplicable. Zafirus no da respuesta directa al titular en este supuesto, salvo que el Financiador Asociado así lo instruya o que la solicitud verse sobre las materias respecto de las cuales Zafirus es responsable conforme a la Sección 3.4.

9.2.2. Predicta como app independiente (excepción)

En este supuesto, Zafirus Technologies es el responsable del tratamiento. El titular puede ejercer sus derechos a través del correo electrónico privacy@zafirus.tech, indicando en el asunto el derecho que desea ejercer e incluyendo: (i) nombre completo y número de documento de identidad u otro identificador que permita su identificación razonable; (ii) descripción clara del derecho que ejerce y los datos sobre los que recae; y (iii) dirección de correo electrónico válida para recibir la respuesta.

Los plazos de respuesta son los siguientes:

• Solicitudes de acceso: dentro de los diez (10) días corridos desde la recepción de la solicitud.
• Solicitudes de rectificación, actualización, supresión, limitación, oposición y portabilidad: dentro de los cinco (5) días hábiles desde la recepción de la solicitud.
• Solicitudes de revisión humana de decisiones automatizadas: dentro de los diez (10) días hábiles desde la recepción de la solicitud.

Zafirus comunicará de forma razonada cualquier negativa total o parcial al ejercicio del derecho invocado dentro de los mismos plazos. La eliminación de datos no alcanzará a aquellos cuya conservación resulte exigida por obligación legal o regulatoria, circunstancia que será informada al titular.

Los Datos Personales se alojan en servidores ubicados en la República Argentina o en jurisdicciones consideradas adecuadas por la autoridad conforme a la normativa argentina (por ejemplo, países de la Unión Europea).

Los subencargados situados en dichas jurisdicciones quedan sujetos a contratos de encargo en las condiciones de la Sección 8.

Para operar correctamente, Predicta requiere una infraestructura tecnológica de vanguardia. Esto podría implicar la contratación de servidores y servicios en la nube, ya sean propios o de terceros, cuya sede social o alojamiento se encuentre en un país distinto al de su residencia. Estas transferencias internacionales de datos personales pueden involucrar jurisdicciones que no cuenten con las mismas normas de protección de datos que su país de residencia o que no ofrezcan niveles de protección adecuados según los criterios de clasificación de su país de residencia (por ejemplo, una transferencia de datos a los Estados Unidos). En tal caso, se observarán los requisitos legales para las transferencias de datos en tales condiciones, lo que puede implicar la celebración de acuerdos de protección de datos con cláusulas estándar. Cuando transferimos sus datos personales a otros países, independientemente de que estos ofrezcan niveles de protección adecuados o no, los protegeremos de la forma descrita en esta Política de Privacidad y de conformidad con los requisitos legales para las transferencias internacionales de datos.

Zafirus adopta las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos personales tratados en Predicta, conforme a lo exigido por el art. 9 de la Ley N° 25.326 y las medidas recomendadas por la AAIP en su Resolución 47/2018.

Dichas medidas están reforzadas en razón de la naturaleza de los datos tratados, que incluyen datos sensibles de salud, datos de geolocalización e información clínica, los cuales exigen un nivel de protección elevado. Entre las medidas implementadas se encuentran:

• (i) el cifrado de datos en tránsito y en reposo mediante protocolos de seguridad estándar de la industria, aplicables tanto a la comunicación entre la app y los servidores como al almacenamiento de información en la infraestructura en la nube;
• (ii) seudonimización de los datos en los entornos de análisis y mejora de sistemas, de modo que la información tratada no permita la identificación directa del titular sin el uso de información adicional conservada de forma separada y segura;
• (iii) control de acceso basado en roles (RBAC), que limita el acceso a los datos personales únicamente al personal autorizado y en la medida estrictamente necesaria para el cumplimiento de sus funciones;
• (iv) autenticación reforzada para el acceso a los sistemas internos y a los entornos que contienen datos sensibles, y registro de auditoría (logs) de accesos, operaciones y eventos relevantes sobre los datos personales, que permiten la detección de desvíos, accesos no autorizados o incidentes de seguridad;
• (v) gestión de subencargados mediante cláusulas contractuales que les imponen obligaciones de seguridad equivalentes a las aquí descritas;
• (vi) procedimientos internos de respuesta ante incidentes de seguridad, que incluyen la evaluación del impacto, la contención del incidente y la notificación a los afectados y a la autoridad de control cuando así lo exija la normativa aplicable.

Ninguna medida de seguridad puede garantizar una protección absoluta. En caso de producirse un incidente que afecte los datos personales del titular, Zafirus adoptará las acciones de mitigación correspondientes y comunicará el hecho conforme a las obligaciones legales vigentes.

Predicta puede utilizar algoritmos de elaboración de perfiles clínicos que implican tratamiento automatizado de datos personales con fines de evaluación y seguimiento de enfermedades crónicas.

No obstante, ninguna decisión que afecte al Usuario se adopta de forma automatizada: el perfil clínico generado es siempre evaluado por un profesional de la salud habilitado, quien conserva plena facultad de criterio clínico independiente para confirmarlo, modificarlo o descartarlo.

El perfil constituye únicamente un instrumento de apoyo a la decisión médica y no produce por sí mismo efectos jurídicos ni consecuencias significativas sobre el Usuario.

Predicta es una plataforma destinada exclusivamente a personas mayores de edad. Los menores de edad no son usuarios de Predicta en ninguna de sus modalidades. Sin perjuicio de ello, sus datos personales pueden ser objeto de tratamiento en el marco de la relación de cobertura que los vincula con su Financiador Asociado, conforme a las siguientes disposiciones:

13.1. Predicta embebida en la app del Financiador Asociado (regla general)

En este supuesto, el Financiador Asociado reviste el carácter de responsable del tratamiento y determina las condiciones bajo las cuales los datos personales de afiliados menores de edad son tratados a través de Predicta. A tal efecto, el Financiador Asociado se encuentra obligado a:

• Recabar, con carácter previo al tratamiento, el consentimiento informado, expreso e inequívoco de quienes ejerzan la patria potestad o tutela del menor, en los términos exigidos por la normativa de protección de datos personales aplicable y, en particular, por el art. 5 de la Ley N° 25.326.
• Adoptar los mecanismos razonables disponibles, acordes a la tecnología existente, para verificar que el consentimiento ha sido otorgado por persona con capacidad legal suficiente para ello.
• Circunscribir el tratamiento de los datos del menor a las finalidades expresamente autorizadas por sus representantes legales, sin que pueda extenderse a finalidades distintas o incompatibles con aquellas que motivaron su otorgamiento. El ejercicio de los derechos reconocidos por la Ley N° 25.326 y concordantes respecto de los datos personales del menor corresponde, en forma exclusiva, a sus representantes legales, quienes deberán acreditar fehacientemente el vínculo jurídico que los legitima al momento de formular la solicitud ante el Financiador Asociado.

13.2. Predicta como app independiente (excepción)

En esta modalidad, Zafirus Technologies no recaba ni trata datos personales de menores de edad bajo ninguna circunstancia. En caso de que Zafirus tomara conocimiento de la existencia de datos personales de un menor de edad incorporados sin el consentimiento de sus representantes legales, procederá a su supresión inmediata conforme a lo dispuesto por el art. 16 de la Ley N° 25.326. Los representantes legales que adviertan tal situación podrán comunicarla a privacy@zafirus.tech.

Si el Usuario acepta participar —mediante consentimiento separado y específico—, Predicta registra el cumplimiento de objetivos clínicos verificables (por ejemplo, registrar mediciones, confirmar tomas, responder hábitos) y otorga puntos en un registro trazable, canjeables contra un catálogo de beneficios definido por el Financiador Asociado: bonificaciones aplicables a la cuota siguiente o descuentos y cupones en comercios adheridos.

El programa funciona exclusivamente en beneficio del Usuario.

No existe una calificación que lo perjudique: solo registros de objetivos cumplidos, puntos y beneficios otorgados. Ni los datos del programa ni ningún dato de salud se utilizan para aumentar la cuota, penalizar, rechazar afiliaciones ni restringir coberturas. La no participación, el incumplimiento de objetivos o la revocación de consentimientos solo tienen como consecuencia la no obtención del beneficio, nunca un perjuicio. Toda la funcionalidad clínica permanece disponible aunque el Usuario no participe del programa.

App Predicta puede contener enlaces a otros sitios o aplicaciones (por ejemplo, plataformas de salud de terceros que el Usuario vincule, el canal de WhatsApp o los sitios de comercios adheridos), operados por compañías no vinculadas a Zafirus ni a las Entidades Asociadas, con sus propias políticas de privacidad, que recomendamos leer. No se asume responsabilidad sobre el contenido ni las prácticas de privacidad de esos sitios o aplicaciones.

Esta Política podrá actualizarse periódicamente, indicándose la fecha de la última actualización. Los cambios sustanciales se notificarán mediante aviso visible en App Predicta y por correo electrónico. Si el cambio implica nuevas finalidades, nuevas categorías de datos sensibles o nuevos destinatarios, se solicitará nuevamente el consentimiento del Usuario antes de aplicarlo. Toda modificación entrará en vigencia con su publicación.