Política de Privacidad

HEURISTIK TECHNOLOGIES, S.L. · CIF B95977351

Versión 2.0 · 21 de agosto de 2026

En HEURISTIK TECHNOLOGIES, S.L. (en adelante, «Heuristik») cuidamos con especial atención la privacidad, la seguridad y la transparencia. La presente Política de Privacidad describe, por tratamiento y de forma estructurada, los datos personales que tratamos, por qué los tratamos, con qué garantías, durante cuánto tiempo y qué derechos le asisten. La política es aplicable a las actividades de Heuristik en la Unión Europea, México y Estados Unidos, y se emite conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD), la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México, la normativa federal HIPAA y la legislación de Massachusetts (M.G.L. c. 93H, c. 93I y 201 CMR 17.00) para Estados Unidos, y el Reglamento (UE) 2024/1689 (AI Act).

Alcance de esta política

Esta Política de Privacidad regula los tratamientos de datos personales que Heuristik realiza como responsable o corresponsable en las siguientes actividades públicas: (i) prestación del servicio principal de identificación biométrica de pacientes mediante huella dactilar y modelo de inteligencia artificial; (ii) prestación del servicio de identificación biométrica de personas fallecidas en el ámbito funerario; (iii) participación en estudios de investigación clínica; (iv) gestión de la web corporativa, formularios de contacto, suscripción al newsletter y organización de eventos; (v) recepción de candidaturas espontáneas y de candidaturas a puestos de trabajo publicados a través de la web corporativa.

Los tratamientos derivados de una relación contractual, comercial o laboral concreta con Heuristik (entre otros, personal empleado y colaboradores internos, personas de contacto de clientes y potenciales clientes, y personas de contacto de proveedores) NO se rigen por esta política pública: se regulan de forma específica en el contrato o el formulario correspondiente y en la cláusula informativa anexa que Heuristik facilita al interesado en el momento de la recogida de los datos.

Responsable del tratamiento

Identificación del responsable:

• Razón social: HEURISTIK TECHNOLOGIES, S.L.
• CIF: B95977351
• Domicilio social: Calle Buensuceso, 40 — 18002 Granada (España)
• Dominio corporativo: heuristik.com
• Correo electrónico de contacto general: info@heuristik.com

Delegado de Protección de Datos (DPO)

El Delegado de Protección de Datos de Heuristik es la entidad EUROPEAN DATA PROTECTION OFFICERS, S.L. (CIF B88047220), con domicilio en Carretera de Húmera 8, 1ºA, 28023 Madrid, y persona de contacto D. Carlos Mateo Enseñat. Canales de contacto:

• Canal público principal: dpo@heuristik.com
• Canal alternativo: contacto@delegadopd.com
• Correo postal: Carretera de Húmera 8, 1ºA, 28023 Madrid (España)

1. IDENTIFICACIÓN BIOMÉTRICA DE PACIENTES MEDIANTE HUELLA DACTILAR Y MODELO DE IA (TRATAMIENTO PRINCIPAL)

Este es el tratamiento principal de Heuristik. La solución «Heuristik Health» permite identificar de forma unívoca a los pacientes en centros sanitarios (hospitales y clínicas) a partir de una huella dactilar que se convierte en un vector matemático y se coteja mediante un modelo de inteligencia artificial de titularidad de Heuristik. La finalidad última es mejorar la seguridad clínica, prevención de riesgos asistenciales, mitigar el riesgo inherente de errores de identificación y vincular las actuaciones asistenciales con la historia clínica electrónica del centro. El modelo de IA es un componente inherente del servicio: sin él, la identificación no es posible.

INFORMACIÓN BÁSICA

Responsables (corresponsables Art. 26 RGPD): HEURISTIK TECHNOLOGIES, S.L. y el centro sanitario contratante, actuando como CORRESPONSABLES DEL TRATAMIENTO. Categoría de corresponsables: hospitales, clínicas, residencias geriátricas y centros de asistencia sanitaria públicos o privados que hayan contratado el servicio SaaS de Heuristik, con actividad en la Unión Europea, México o Estados Unidos.

Finalidad: Identificación biométrica administrativa unívoca del paciente y del personal sanitario; vinculación con la historia clínica del centro; control de acceso a áreas restringidas; trazabilidad del tránsito del paciente por las áreas del centro (para información del usuario y gestión del hospital); y envío de SMS a familiares autorizados con los puntos de escaneo, entradas y salidas; entrenamiento, validación y mejora del modelo de IA subyacente cuando el paciente lo consienta granularmente; recogida de diversas variables, incluyendo demográficas y fenotípica (color de piel, escala validada) durante los pilotos clínicos para métricas agregadas y entrenamiento de mitigación de sesgo del modelo.

Legitimación: LEGITIMACIÓN DEL TRATAMIENTO

La base jurídica del tratamiento depende de la finalidad concreta.

1) Identificación biométrica del paciente. Se legitima según tu situación, sin que los supuestos se solapen:

(i) Si puedes decidir — tu consentimiento explícito (art. 9.2.a RGPD), recabado con el alcance y las garantías del consentimiento informado sanitario previsto en los arts. 2.2, 2.4 y 8.1 de la Ley 41/2002. Si no lo prestas o lo retiras, se te identificará por el procedimiento habitual del centro, sin consecuencia alguna para tu asistencia.

(ii) Si no estás en condiciones de decidir — consentimiento por representación de tu representante legal o, en su defecto, de las personas vinculadas a ti por razones familiares o de hecho (art. 9.3.a de la Ley 41/2002), amparándose el tratamiento en la prestación de asistencia sanitaria y la gestión de los servicios sanitarios (art. 9.2.h RGPD en relación con el art. 6.1.e), que se realiza por profesional sujeto a secreto o bajo su responsabilidad (art. 9.3 RGPD).

(iii) Si te encuentras en una urgencia con riesgo para tu vida y no puedes consentir, sin que sea posible obtener el consentimiento por representación con la inmediatez que la situación requiere — protección de tus intereses vitales o los de otra persona física (arts. 9.2.c y 6.1.d RGPD, en relación con el art. 9.2.b de la Ley 41/2002). Identificarte correctamente es precisamente lo que permite conocer tus alergias, tu medicación y tus antecedentes. Esta base ampara únicamente ese episodio y decae en cuanto recuperas la capacidad de decidir, momento en que serás informado y podrás oponerte.

2) Calidad y seguridad del sistema: entrenamiento continuo del modelo. Mantener y mejorar la precisión del sistema —reduciendo las identificaciones erróneas y los riesgos asistenciales asociados— no es una decisión comercial de Heuristik sino una obligación regulatoria: el art. 83 del Reglamento (UE) 2017/745 sobre productos sanitarios y el art. 72 del Reglamento (UE) 2024/1689 de inteligencia artificial le imponen mantener un sistema de vigilancia poscomercialización que recoja y analice de forma activa los datos de funcionamiento del producto durante toda su vida útil. Este tratamiento se legitima, por tanto, en el cumplimiento de una obligación legal (art. 6.1.c RGPD) y en la necesidad de garantizar elevados niveles de calidad y seguridad de la asistencia sanitaria y de los productos sanitarios (art. 9.2.i RGPD). Cuando se desarrolle en el marco de un proyecto de investigación, se sujetará además al art. 9.2.j y a las garantías del art. 89.1 RGPD. La detección y corrección de sesgos cuenta con habilitación expresa en el art. 10.5 del Reglamento (UE) 2024/1689.

El tratamiento se realiza sobre datos seudonimizados y se limita a lo estrictamente necesario para esa finalidad. Aunque la ley no lo exige cuando el tratamiento responde a una obligación legal, puedes solicitar que tus datos dejen de contribuir al entrenamiento del modelo, sin que ello afecte a tu identificación ni a la asistencia que recibes.

3) Conservación de la imagen original de la huella o de variables fenotípicas más allá de lo necesario para lo anterior. Cuando se conserve la imagen original de tu huella dactilar, o variables fenotípicas por encima de lo imprescindible para la calidad y seguridad del sistema, el tratamiento se basa en tu consentimiento explícito, específico y granular (arts. 6.1.a y 9.2.a RGPD), que puedes otorgar o retirar libremente en cualquier momento sin consecuencia alguna para tu asistencia.

Destinatarios: Centro sanitario: Como norma general actuarán como corresponsables o encargados del tratamiento de Heuristik contratados conforme al Art. 28 RGPD para la prestación de servicios técnicos necesarios; autoridades competentes cuando exista requerimiento legal. No se ceden datos a terceros distintos del corresponsable ni sin su instrucción documentada.

Derechos: Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento. Retirada específica de las autorizaciones granulares (imagen cruda / color de piel) sin impacto en el servicio de identificación.

Información adicional: El detalle completo se ofrece en el bloque INFORMACIÓN ADICIONAL que sigue y en el acuerdo de corresponsabilidad firmado entre Heuristik y cada centro sanitario.

Procedencia: Del propio interesado (captura biométrica presencial en el centro sanitario en el momento del registro o de la atención) y del corresponsable hospitalario (identificador opaco del paciente en el sistema de información hospitalaria).

INFORMACIÓN ADICIONAL

1.1. Régimen de corresponsabilidad (Art. 26 RGPD)

El acuerdo de corresponsabilidad regulado en el contrato específico con cada centro reparte las funciones de la siguiente forma: el centro sanitario mantiene la relación con el paciente, recaba y documenta su consentimiento informado, gestiona el acceso a la historia clínica electrónica y custodia la «llave» que vincula el identificador opaco del sistema biométrico con la identidad del paciente en el sistema de información hospitalaria; Heuristik, por su parte, digitaliza la huella, genera el vector matemático irreversible, custodia el vector con las garantías descritas, realiza el cotejo mediante el modelo de IA propio y, si el paciente lo consiente granularmente, entrena el modelo con la imagen cruda de la huella y podrá avisar a familiares/acompañantes de la trazabilidad de su tránsito en el centro.

1.2. Finalidades y plazos de conservación

Heuristik trata los datos biométricos y accesorios del paciente y del personal sanitario con las siguientes finalidades:

• Identificación administrativa unívoca del paciente en el momento del registro y de la atención sanitaria.
• Vinculación del identificador biométrico opaco con la historia clínica electrónica del centro.
• Control de acceso del personal sanitario a áreas y recursos clínicos restringidos.
• Cotejo biométrico mediante el modelo de IA propio de Heuristik, componente inherente del servicio.
• Con consentimiento granular opcional: conservación cifrada de la imagen cruda de la huella para entrenar y mejorar el modelo de IA.
• Precisión del sistema y corrección de sesgos. El Reglamento (UE) 2024/1689 obliga a los proveedores de sistemas de inteligencia artificial de alto riesgo a alcanzar un nivel adecuado de precisión y a examinar y corregir los posibles sesgos que puedan afectar a la salud, a la seguridad o a los derechos fundamentales de las personas. Un sistema de identificación biométrica que funcionase con distinta precisión según características fenotípicas produciría un trato desigual, con consecuencias directas sobre la seguridad asistencial de quienes se vieran afectados. Para verificar que esto no ocurre y para corregirlo cuando se detecta, Heuristik necesita medir el rendimiento del sistema por subgrupos de población, lo que exige conocer determinadas variables demográficas y fenotípicas, entre ellas el tono de piel codificado en una escala validada. Esa medición permite además elevar la precisión del sistema allí donde resulta inferior, hasta alcanzar un nivel homogéneo para todas las personas. El propio Reglamento habilita expresamente el tratamiento de estas categorías de datos cuando resulte estrictamente necesario para detectar y corregir sesgos. Este tratamiento se realiza sobre datos seudonimizados, con acceso restringido al personal técnico designado y con la exclusiva finalidad de calcular métricas agregadas de rendimiento por subgrupo y de reequilibrar los conjuntos de entrenamiento. La variable no se incorpora como criterio de funcionamiento del sistema de identificación, no se emplea para personalizar el servicio ni para elaborar perfiles, no se comunica a terceros y se suprime una vez corregido el sesgo o concluido el estudio.
• Notificación de incidentes graves conforme al Art. 73 del AI Act y al Art. 33-34 del RGPD.

Casos de uso explícitamente EXCLUIDOS por diseño y por cláusula contractual:

• Diagnóstico médico, monitorización clínica o tratamiento de enfermedades — Aunque Heuristik está en proceso de autocertificación como Producto Sanitario Clase I bajo el Reglamento (UE) 2017/745 (MDR), su finalidad prevista se limita estrictamente a garantizar la correcta identificación del paciente para mitigar riesgos en los procesos asistenciales, no realizando evaluaciones clínicas, diagnósticas ni terapéuticas.
• Identificación biométrica remota en tiempo real en espacios públicos con fines policiales (categoría prohibida por el Art. 5 AI Act).
• Categorización biométrica para inferir raza, opiniones políticas, orientación sexual u otras características (categoría prohibida por el Art. 5 AI Act), salvo para la precisión del sistema y corrección de sesgos raciales, de acuerdo con lo dispuesto en el artículo 10 del Reglamento (UE) 2024/1689 de Inteligencia Artificial.
• Decisiones automatizadas con efectos jurídicos significativos sobre el paciente sin supervisión humana. Más allá de que las identificaciones propuestas por Heuristik Health son siempre validadas por el personal sanitario del hospital, el interesado conserva íntegro el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (Art. 22 RGPD). Plazos de conservación:
• Vector biométrico opaco: mientras dure la relación asistencial entre el corresponsable y el interesado; supresión técnica en 72 horas tras instrucción del corresponsable o tras retirada del consentimiento.
• Imagen cruda de la huella (opt-in): hasta la retirada del consentimiento por el interesado o durante la vida útil del modelo entrenado con ella (revisión anual).
• Variables demográficas y fenotípicas: 5 años desde la última actualización del modelo entrenado o hasta finalización del piloto.
• Logs técnicos de captura y cotejo: conservación mínima conforme al Art. 12 del AI Act, en formato inmutable.
• Documentación del consentimiento y del ejercicio de derechos: 5 años (Art. 32 LOPDGDD).

1.3. Legitimación y consentimiento único ID + IA

El tratamiento de los datos biométricos del paciente encuentra amparo en el Art. 9.2.h del RGPD (fines de medicina preventiva, diagnóstico médico, prestación de asistencia o tratamiento sanitario y gestión de sistemas y servicios sanitarios) cuando el corresponsable es un centro sanitario y el tratamiento sirve a la asistencia; subsidiariamente, y como refuerzo, el Art. 9.2.a del RGPD (consentimiento explícito). Respecto a la vía de legitimidad del consentimiento informado, Heuristik gestiona el servicio mediante consentimientos granulares independientes que permiten al paciente decidir sobre las siguientes finalidades:

• (a) La finalidad principal de identificación biométrica administrativa mediante Inteligencia Artificial, incluyendo el uso del modelo de IA como componente inherente al servicio de identificación.
• (b) Opt-in granular separado y desmarcable, sin afectar (a): conservación cifrada de la imagen cruda para reentrenamiento del modelo. Base jurídica: Art. 6.1.a + 9.2.a RGPD.
• (c) Aviso a familiares: Autorización opcional para el envío de notificaciones (SMS) a familiares o acompañantes sobre el tránsito del paciente en el centro.

Nota sobre pilotos clínicos: En los supuestos en los que el centro sanitario realice pilotos clínicos de investigación, la participación en el mismo implica la recogida de variables de estudio (incluyendo variables fenotípicas como el color de piel) conforme al protocolo aprobado por el Comité de Ética del centro. Esta recogida no constituye un consentimiento granular independiente dentro de la App, sino que forma parte integral del protocolo de investigación, cuyo consentimiento es recabado por el centro sanitario. Heuristik utiliza estas variables exclusivamente para la realización de métricas agregadas destinadas a la validación y mitigación de sesgos del modelo de IA, en cumplimiento con el Reglamento (UE) 2024/1689 (AI Act).

La retirada del consentimiento único acarrea el cese del servicio y la supresión técnica del vector biométrico opaco en un plazo máximo de 72 horas. La retirada de las autorizaciones granulares (imagen cruda o variable fenotípica) NO afecta al servicio de identificación. La retirada de las autorizaciones opcionales (b) o (c) NO afecta a la prestación del servicio de identificación.

Menores de edad. Heuristik es un servicio destinado exclusivamente a mayores de edad. No obstante cuando el paciente sea menor de 14 años, el consentimiento se recaba de sus progenitores o tutores legales conforme al Art. 7 de la LOPDGDD y a la normativa aplicable del centro sanitario. En jurisdicciones distintas de España se aplica la edad de consentimiento digital que corresponda o el consentimiento parental exigido por la legislación local.

1.4. Categorías de datos tratados

Categorías de datos tratadas (categoría especial — Art. 9 RGPD):

• Imagen cruda de la huella dactilar (procesada en memoria volátil por defecto; conservada cifrada solo con consentimiento granular).
• Vector matemático derivado de la huella.
• Metadatos técnicos de captura (dispositivo, marca temporal, calidad de la muestra).
• Resultado del cotejo (match/no match y score de confianza).
• Identificador del operador que realiza la captura, para trazabilidad conforme al Art. 12 AI Act.
• Identificador opaco del paciente en el sistema de información hospitalaria (custodiado por el hospital). Ninguna otra categoría de dato clínico es tratada por Heuristik. Los datos se obtienen del propio interesado (captura biométrica presencial y consentimiento informado suscrito) y del corresponsable hospitalario (identificador opaco del paciente).

1.5. Destinatarios

Los datos se comunican exclusivamente a los siguientes destinatarios:

• Centro sanitario corresponsable, siempre, en el marco de la operación de identificación y de la vinculación con el sistema de información hospitalaria.
• Encargados del tratamiento de Heuristik, contratados conforme al Art. 28 RGPD, para la prestación de los servicios técnicos necesarios (por ejemplo, infraestructura cloud y logging).
• Autoridades de control competentes (AEPD, INAI, HHS-OCR y autoridades de vigilancia del AI Act — AESIA en España) cuando exista requerimiento legal.

Heuristik NO cede datos a terceros distintos del corresponsable ni sin instrucción documentada del propio corresponsable o requerimiento legal expreso. No existe monetización de datos, no existe venta de datos y no existe cesión con fines publicitarios o de marketing.

1.6. Medidas técnicas y organizativas de seguridad

Heuristik implanta un conjunto integral de medidas técnicas y organizativas de seguridad conforme al Art. 32 del RGPD, al Reglamento (UE) 2024/1689 (AI Act) y, cuando resulte aplicable, al programa de cumplimiento HIPAA y a la legislación de Massachusetts. Dichas medidas se revisan periódicamente por el Delegado de Protección de Datos y por el equipo de seguridad de Heuristik, se someten a auditoría externa cuando procede y garantizan la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento. El detalle técnico de estas medidas no se publica en la presente política por razones de seguridad; se pone a disposición de las autoridades de control competentes cuando lo requieran, así como de los corresponsables en el marco del acuerdo de corresponsabilidad.

1.7. Alojamiento y transferencias:

Heuristik utiliza infraestructura de alojamiento en servidores ubicados tanto en el Espacio Económico Europeo (EEE) como en Estados Unidos, dependiendo de la ubicación geográfica del corresponsable sanitario y de los requisitos contractuales aplicables. Los datos de pacientes atendidos por corresponsables en la Unión Europea o el Espacio Económico Europeo se alojan íntegramente en infraestructura cloud dentro del EEE. Para usuarios de Heuristik ubicados fuera del Espacio Económico Europeo, el alojamiento de sus datos podrá realizarse en servidores situados fuera en México o Estados Unidos, aplicando en tales casos las garantías reforzadas exigidas por el Capítulo V del RGPD (Cláusulas Contractuales Tipo, EU-US Data Privacy Framework y medidas suplementarias adecuadas)

2. IDENTIFICACIÓN BIOMÉTRICA DE PERSONAS FALLECIDAS EN SERVICIOS FUNERARIOS

Heuristik, junto a proveedores de servicios funerarios prestan, en el marco de contratos con empresas del sector funerario, un servicio de captura, digitalización, custodia, descarga y reconstrucción de huellas dactilares de personas fallecidas para su integración en biografías digitales y productos memoriales elaborados por dichas empresas. Este tratamiento se rige por un régimen jurídico específico que combina el Considerando 27 del RGPD (no aplicación general a datos de fallecidos), el Art. 3 de la LOPDGDD (facultades de personas vinculadas) y la Ley Orgánica 1/1982 sobre honor, intimidad e imagen.

INFORMACIÓN BÁSICA

Responsables: Modelo bipartito documentado en el contrato con cada empresa funeraria: (a) HEURISTIK TECHNOLOGIES, S.L. es responsable independiente del Tratamiento A (custodia de la huella y del vector, entrenamiento del modelo); (b) la empresa funeraria contratante es responsable del Tratamiento B (uso en biografías digitales, descarga y reconstrucción de huellas para productos memoriales).

Finalidad: Captura, digitalización, almacenamiento, custodia, descarga y reconstrucción e identificación de huellas dactilares de personas fallecidas (Tratamiento A). Incorporación a biografía digital y elaboración de productos memoriales (Tratamiento B).

Legitimación: RGPD no aplicable con carácter general a personas fallecidas (Cdo. 27). LOPDGDD Art. 3 — facultades de personas vinculadas al fallecido. Ley Orgánica 1/1982 — honor, intimidad e imagen. Régimen contractual específico con cada empresa funeraria.

Destinatarios: Empresa funeraria contratante en el Tratamiento B, a petición de usuario legitimado; encargados del tratamiento de Heuristik contratados conforme al Art. 28 RGPD para la prestación de servicios técnicos necesarios. Sin otras cesiones.

Derechos: Facultades del Art. 3 LOPDGDD para personas vinculadas al fallecido, canalizadas a través de la empresa funeraria. Heuristik colabora con la ejecución técnica de las solicitudes.

Información adicional: Detalle en el contrato de colaboración firmado entre Heuristik y cada empresa funeraria.

Procedencia: De la empresa funeraria contratante y del propio finado (huella dactilar recogida en sede funeraria).

INFORMACIÓN ADICIONAL

2.1. Alojamiento y transferencias

Heuristik dispone de infraestructura de alojamiento en servidores ubicados tanto en el Espacio Económico Europeo (EEE) como en Estados Unidos. La ubicación concreta de los servidores donde se alojan los datos se determina en función de la ubicación geográfica del cliente y los requisitos contractuales aplicables. En caso de alojamiento en servidores situados en Estados Unidos, la transferencia internacional se sujeta a las garantías reforzadas exigidas por el Capítulo V del RGPD: (i) Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914; (ii) EU-US Data Privacy Framework (Decisión (UE) 2023/1795) cuando el proveedor esté certificado; y (iii) las medidas suplementarias técnicas, organizativas y contractuales adecuadas.

2.2. Conservación

Indefinido en Tratamiento A, salvo retirada de la autorización o ejercicio de derechos por la persona legitimada o resolución contractual entre Heuristik y la empresa; revisión periódica de la necesidad de conservación.

2.3. Ejercicio de facultades del Art. 3 LOPDGDD

Las personas vinculadas al fallecido (familiares, herederos y personas designadas conforme al Art. 3 LOPDGDD) pueden ejercer las facultades legalmente previstas dirigiéndose a la empresa funeraria o, subsidiariamente, al DPO de Heuristik (dpo@heuristik.com).

3. INVESTIGACIÓN CLÍNICA (SPONSOR / CO-INVESTIGADOR)

Heuristik participa, en su caso, como Sponsor o Co-Investigador en estudios clínicos que validan la solución de identificación biométrica en entornos hospitalarios. Los estudios se realizan bajo un Clinical Trial Agreement (CTA) suscrito con la Institución sanitaria y bajo aprobación del correspondiente Comité de Ética / Institutional Review Board (IRB).

INFORMACIÓN BÁSICA

Responsables: Heuristik como Sponsor y la Institución sanitaria como Institution/Investigator.

Finalidad: Participación en estudios clínicos conforme al protocolo aprobado por el Comité de Ética / IRB.

Legitimación: Art. 9.2.j RGPD (investigación científica con las garantías del Art. 89 RGPD) y consentimiento informado del sujeto conforme al Common Rule 45 CFR Part 46 y a la HIPAA Authorization 45 CFR §164.508 recabada por la Institución.

Destinatarios: Coautores académicos según protocolo; autoridades sanitarias competentes; comités de ética. Encargados del tratamiento de Heuristik contratados conforme al Art. 28 RGPD para la prestación de servicios técnicos necesarios.

Derechos: Los del RGPD y los previstos en la Common Rule / HIPAA. Reclamación al IRB de la Institución sanitaria correspondiente y al HHS-OCR.

Información adicional: Detalle en el protocolo del estudio, en el Clinical Trial Agreement firmado con cada Institución sanitaria y en la ficha de información al sujeto (ICF).

Procedencia: Del sujeto del estudio (seudonimizado por la Institución antes de compartir con Heuristik).

INFORMACIÓN ADICIONAL

3.1. Conservación

Los datos se conservan conforme al protocolo del estudio y a la normativa de archivo de investigación clínica (típicamente 15 años o más, en función de la regulación local aplicable). No obstante, en aquellos supuestos en los que el centro sanitario actúe como Responsable del tratamiento y solicite expresamente la supresión de los datos una vez finalizado el piloto clínico, Heuristik procederá a dicha eliminación, salvo que existan obligaciones legales imperativas o exigencias del protocolo del estudio que requieran un plazo de archivo mínimo indispensable.

3.2. Transferencias internacionales

Cuando la institución sanitaria esté establecida fuera del Espacio Económico Europeo, la existencia de transferencia internacional depende de la dirección real del flujo de datos. Si Heuristik comunica a la institución datos personales procedentes de la Unión Europea, la transferencia se sujeta a las Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914, a las medidas suplementarias correspondientes y, para Estados Unidos, al EU-US Data Privacy Framework cuando el destinatario esté certificado. Si, por el contrario, los datos del estudio se recogen, alojan y tratan íntegramente en la región de la institución sin que Heuristik remita datos de origen europeo, no se produce transferencia en el sentido del Capítulo V del RGPD, y el acuerdo suscrito con la institución regula en su lugar el compromiso de cumplimiento de Heuristik y la asistencia mutua entre las partes. En ambos casos, si Heuristik llegara a recibir información sanitaria protegida de un Covered Entity estadounidense, suscribiría el correspondiente Business Associate Agreement conforme a HIPAA.

4. VISITANTES DE LA WEB, FORMULARIOS DE CONTACTO, NEWSLETTER Y EVENTOS

INFORMACIÓN BÁSICA

Responsable: HEURISTIK TECHNOLOGIES, S.L. — CIF B95977351 — Calle Buensuceso 40, 18002 Granada.

Finalidad: Responder a solicitudes de contacto o demo; gestionar la suscripción al newsletter y enviar comunicaciones corporativas; analizar el uso de la web para mejorar el servicio; organizar eventos, webinars y jornadas profesionales.

Legitimación: Consentimiento (Art. 6.1.a RGPD) para newsletter, cookies no necesarias, eventos y comunicaciones promocionales; interés legítimo (Art. 6.1.f RGPD) para responder a solicitudes; obligación legal para conservar prueba del consentimiento.

Destinatarios: Encargados del tratamiento especializados en alojamiento web, analítica, automatización de marketing, CDN y gestión de eventos, bajo contrato conforme al Art. 28 RGPD. Sin cesiones a terceros.

Derechos: Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento.

Información adicional: El uso de cookies y tecnologías similares se detalla en la Política de Cookies (véase sección 6 de esta política).

Procedencia: Del propio interesado a través de los formularios de la web corporativa o de su interacción con nuestros canales corporativos.

INFORMACIÓN ADICIONAL

4.1. Conservación

Solicitudes puntuales de contacto: 5 años (plazo de prescripción del Art. 1964 del Código Civil). Newsletter: hasta la retirada del consentimiento. Eventos: 2 años desde su finalización. Cookies: conforme a la Política de Cookies.

4.2. Transferencias internacionales

Sí. Algunos encargados del tratamiento pueden tratar datos en Estados Unidos. Estas transferencias se sujetan a Cláusulas Contractuales Tipo (Decisión (UE) 2021/914) + EU-US Data Privacy Framework (Decisión (UE) 2023/1795) + medidas suplementarias técnicas, organizativas y contractuales.

5. CANDIDATURAS A PUESTOS DE TRABAJO RECIBIDAS A TRAVÉS DE LA WEB

Cuando el interesado nos hace llegar su candidatura a través del formulario «Trabaja con nosotros» o canales equivalentes publicados en la web corporativa, Heuristik trata sus datos conforme a lo siguiente. Las candidaturas recibidas por vías distintas de la web (referrals internos, portales de terceros, procesos privados) se rigen por la cláusula informativa específica que el candidato acepta en el momento de la recogida.

INFORMACIÓN BÁSICA

Responsable: HEURISTIK TECHNOLOGIES, S.L.

Finalidad: Gestionar los procesos de selección de personal (recepción de candidatura, entrevistas, pruebas técnicas) y, si el candidato lo consiente expresamente, conservar el CV en bolsa de empleo para procesos futuros.

Legitimación: Medidas precontractuales a petición del interesado (Art. 6.1.b RGPD). Consentimiento del interesado (Art. 6.1.a RGPD) para conservación en bolsa de empleo.

Destinatarios: Encargados del tratamiento especializados en plataformas de reclutamiento profesional y en herramientas de productividad, bajo contrato conforme al Art. 28 RGPD.

Derechos: Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento.

Información adicional: El detalle se ofrece en la sección INFORMACIÓN ADICIONAL siguiente y en la cláusula informativa específica publicada junto al formulario web.

Procedencia: Del propio interesado a través del formulario «Trabaja con nosotros» o canales equivalentes de la web corporativa.

INFORMACIÓN ADICIONAL

5.1. Conservación

El CV se suprime al finalizar el proceso de selección o, en su caso, transcurrido el plazo de 2 años si el interesado ha consentido expresamente su conservación en la bolsa de empleo.

5.2. Transferencias internacionales

Sí. Algunos encargados del tratamiento pueden tratar datos en Estados Unidos — Cláusulas Contractuales Tipo + EU-US Data Privacy Framework + medidas suplementarias.

6. RÉGIMEN JURÍDICO MULTI-JURISDICCIONAL, TRANSFERENCIAS Y EJERCICIO DE DERECHOS

6.1. Marco general

Heuristik opera en la Unión Europea, México y Estados Unidos. En consecuencia, sus tratamientos quedan sujetos a las obligaciones que resulten aplicables por razón de la jurisdicción del interesado y del servicio prestado. Se detallan a continuación las particularidades relevantes.

6.2. Unión Europea — RGPD, LOPDGDD y AI Act

El tratamiento se rige íntegramente por el Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018 (LOPDGDD). Para tratamientos relacionados con la web se aplican asimismo la Ley 34/2002 (LSSI-CE) y las directrices vigentes sobre cookies emitidas por la Agencia Española de Protección de Datos (AEPD).

En materia de inteligencia artificial, el sistema de identificación biométrica de Heuristik está clasificado como sistema de IA de ALTO RIESGO conforme al Anexo III, apartado 1 (sistemas biométricos) y apartado 5 (servicios esenciales privados — sanitarios) del Reglamento (UE) 2024/1689 (AI Act). Heuristik actúa como PROVEEDOR (Arts. 16 a 25 AI Act) y los centros sanitarios contratantes como RESPONSABLES DEL DESPLIEGUE (deployers, Art. 26 AI Act).

Adicionalmente, el AI Act contempla una base jurídica específica para el tratamiento excepcional de categorías especiales de datos personales cuando resulte estrictamente necesario para detectar y corregir sesgos en los sistemas de IA. Esta habilitación cubre, junto al consentimiento explícito del interesado, la recogida acotada del dato «color de piel» que Heuristik realiza durante los pilotos clínicos exclusivamente para métricas agregadas de mitigación de sesgo. La documentación técnica del sistema, el sistema de gestión de riesgos, la gobernanza de datos y las medidas de supervisión humana se ponen a disposición de las autoridades de vigilancia competentes cuando lo requieran.

6.3. México — LFPDPPP

De conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad emitidos por el INAI, Heuristik informa a los titulares de que:

• Los datos personales recabados pueden incluir datos sensibles (biométricos y de identificación) cuando el titular es paciente de un cliente sanitario en México.
• Las finalidades primarias son la prestación del servicio SaaS de identificación biométrica, la ejecución del contrato con el corresponsable y el cumplimiento de obligaciones legales y fiscales.
• Las finalidades secundarias (analítica, mejora del producto, newsletter, entrenamiento de IA) requieren consentimiento expreso y por escrito del titular, recabado por el corresponsable.
• Los derechos ARCO (Arts. 22-32 LFPDPPP) pueden ejercerse mediante solicitud al DPO (dpo@heuristik.com) — respuesta en 20 días hábiles, prorrogables 20 días adicionales.
• Transferencias: los datos pueden ser transferidos a encargados del tratamiento con presencia en Estados Unidos y en la Unión Europea, con garantías contractuales suficientes (SCCs + EU-US Data Privacy Framework).
• Autoridad competente: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — www.inai.org.mx.

6.4. Estados Unidos — HIPAA y Massachusetts

Cuando Heuristik presta el servicio SaaS a un Covered Entity estadounidense, actúa como Business Associate y suscribe el correspondiente Business Associate Agreement (BAA). Aplican las salvaguardas de la Security Rule (45 CFR §§164.302-164.318) y las obligaciones del Privacy Rule (uso mínimo necesario) y de la Breach Notification Rule (§§164.400-414). Adicionalmente, para residentes de Massachusetts, Heuristik mantiene un Written Information Security Program (WISP) conforme a 201 CMR 17.00, aplica la notificación de brecha exigida por M.G.L. c. 93H (Massachusetts Attorney General + Office of Consumer Affairs and Business Regulation + residentes) y la destrucción segura conforme a M.G.L. c. 93I. Los derechos del interesado incluyen el HIPAA Right of Access (45 CFR §164.524), la rectificación (§164.526), la auditoría de comunicaciones (§164.528) y las comunicaciones confidenciales (§164.522). Las reclamaciones pueden dirigirse al Department of Health and Human Services Office for Civil Rights (HHS-OCR) y al Massachusetts Attorney General.

Otras leyes estatales de Estados Unidos (CCPA/CPRA, BIPA, CUBI, RCW 19.375, VCDPA, CTDPA, UCPA, TDPSA, Colorado AI Act, entre otras) están fuera del alcance actual del programa de cumplimiento de Heuristik y se evaluarán caso a caso cuando Heuristik entre en esos mercados.

6.5. Transferencias internacionales — marco común

Los datos productivos de identificación biométrica de pacientes atendidos por corresponsables de la Unión Europea o del Espacio Económico Europeo se alojan íntegramente en infraestructura cloud de región europea, con backup también en el Espacio Económico Europeo o en países con decisión de adecuación vigente. En consecuencia, NO existe transferencia internacional fuera del EEE para estos pacientes. Los datos productivos de identificación biométrica de pacientes atendidos por corresponsables en México y en Estados Unidos pueden tratarse en infraestructura cloud fuera del Espacio Económico Europeo. Estas transferencias internacionales se sujetan a las garantías reforzadas exigidas por el Capítulo V del RGPD: (i) Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914; (ii) EU-US Data Privacy Framework (Decisión (UE) 2023/1795) para los destinatarios certificados; (iii) Transfer Impact Assessment (TIA) documentado por el DPO; (iv) medidas suplementarias técnicas, organizativas y contractuales adecuadas al riesgo.

6.6. Ejercicio de derechos — canal único del DPO

Con independencia de la jurisdicción del interesado, todas las solicitudes relativas a esta política pueden dirigirse al Delegado de Protección de Datos por los canales indicados en la sección introductoria (dpo@heuristik.com como canal principal, contacto@delegadopd.com como canal alternativo y el correo postal de EUROPEAN DATA PROTECTION OFFICERS, S.L.). Los derechos que asisten al interesado son, con las particularidades propias de cada jurisdicción: acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y retirada del consentimiento; en México, adicionalmente los derechos ARCO de la LFPDPPP; en Estados Unidos, adicionalmente los derechos reconocidos por HIPAA (Right of Access, amendment, accounting) y por la legislación de Massachusetts que resulte aplicable.

El plazo general de respuesta es de un mes desde la recepción de la solicitud, prorrogable dos meses adicionales en supuestos de especial complejidad (regla AEPD, aplicada por defecto a todas las jurisdicciones). El interesado puede, en todo caso, presentar una reclamación ante la autoridad de control competente: AEPD (www.aepd.es), INAI (www.inai.org.mx) o HHS-OCR (www.hhs.gov/hipaa/filing-a-complaint), según jurisdicción.

7. COOKIES Y TECNOLOGÍAS SIMILARES

Heuristik utiliza cookies y tecnologías similares en sus dominios web. El detalle completo — tipos de cookies utilizadas, finalidad, duración, proveedor y mecanismos granulares de consentimiento y rechazo — se encuentra en la Política de Cookies, accesible en https://heuristik.com/cookies-policy. La configuración puede modificarse en cualquier momento a través del enlace «Configurar cookies» disponible en el pie de página del sitio web.

Cambios a esta política. Las modificaciones sustanciales de esta Política de Privacidad se publicarán en https://heuristik.com/privacy-policy y, cuando proceda, se comunicarán al interesado por los canales habituales.