Skip to main content
📚 Ciencia

Política de Privacidad

Última actualización:

1. Responsable del Tratamiento

La entidad responsable del tratamiento de tus datos personales es:

2. Datos que Recogemos

Recogemos y tratamos los siguientes datos, proporcionados voluntariamente por ti o generados automáticamente:

  • Datos de cuenta: nombre de usuario, correo (si inicias sesión con Google), contraseña hasheada (bcrypt). Nunca almacenamos contraseñas en texto plano.
  • Datos genéticos (categoría especial según el art. 9 RGPD): SNPs del fichero de ADN que subes y las puntuaciones de riesgo derivadas.
  • Datos de sesión: identificador de sesión en cookie HttpOnly para mantenerte conectado.
  • Datos técnicos: dirección IP y user-agent, registrados únicamente en logs de error (conservados 90 días).

3. Finalidad del Tratamiento

Tus datos se tratan estrictamente con las siguientes finalidades:

  • Crear y gestionar tu cuenta.
  • Cruzar tus SNPs con las bases de datos GWAS Catalog, PharmGKB y ClinVar y calcular puntuaciones de riesgo poligénico.
  • Generar, almacenar y mostrar tus informes genéticos.
  • Generar explicaciones con IA en lenguaje claro. Esto implica enviar a Anthropic (Claude) las puntuaciones, nombres de genes, identificadores de variantes (rsids), tus genotipos en esas variantes e IDs de estudios de PubMed. NO enviamos el fichero de ADN completo.

4. Base Legal

  • Consentimiento (art. 6.1.a y 9.2.a RGPD): Nos proporcionas consentimiento explícito para tratar tus datos genéticos al subir un fichero de ADN y generar un informe. Puedes retirar el consentimiento en cualquier momento eliminando tus datos o tu cuenta.
  • Contrato (art. 6.1.b RGPD): El tratamiento de los datos de cuenta es necesario para proporcionarte el servicio que has solicitado.
  • Interés legítimo (art. 6.1.f RGPD): Los logs de error con IP y user-agent se conservan 90 días para diagnosticar incidencias y prevenir abusos.

5. Terceros y Transferencias

Utilizamos los siguientes encargados de tratamiento para operar el servicio:

  • Google OAuth: Sólo para autenticación (si usas Iniciar sesión con Google). Recibimos tu ID de Google y correo. Google actúa como responsable independiente — consulta su política de privacidad.
  • Anthropic Claude API: Sólo para explicaciones con IA. Enviamos puntuaciones, nombres de genes, rsids, tus genotipos y PMIDs. No se transmite el fichero de ADN crudo. Anthropic trata los datos en EE.UU. bajo Cláusulas Contractuales Tipo (art. 46 RGPD).
  • NCBI PubMed: Base de datos pública de investigación (NCBI, EE.UU.). Consultamos PubMed por PMID para obtener resúmenes — no se envían datos personales.

6. Conservación de Datos

  • Tus datos de ADN e informes se conservan mientras tu cuenta esté activa. Puedes borrar cualquier análisis en cualquier momento desde el historial.
  • Los logs de error se purgan automáticamente tras 90 días.
  • Al eliminar tu cuenta, todos tus datos personales y genéticos se eliminan de nuestra base de datos activa en un plazo de 24 horas. Las copias de seguridad cifradas se rotan cada 7 días y se sobrescriben dentro de ese periodo.

7. Tus Derechos RGPD

Tienes los siguientes derechos sobre tus datos personales (arts. 15–22 RGPD):

  • Derecho de acceso — obtener una copia de los datos que tenemos sobre ti (autoservicio en Cuenta → Descarga tus datos).
  • Derecho de rectificación — corregir datos inexactos.
  • Derecho de supresión — eliminar tu cuenta y todos los datos asociados.
  • Derecho de portabilidad — recibir tus datos en un formato legible por máquina (exportación JSON desde tu página de Cuenta).
  • Derecho de oposición — retirar el consentimiento u oponerte a tratamientos específicos.

Para ejercer cualquiera de estos derechos, escribe a [email protected]. Te responderemos en un plazo máximo de 30 días.

8. Medidas de Seguridad

Aplicamos medidas técnicas y organizativas razonables para proteger tus datos:

  • Las contraseñas se hashean con bcrypt (coste 12). Nunca se almacenan en texto plano.
  • Las cookies de sesión son HttpOnly, SameSite=Strict y Secure (sólo HTTPS) en producción.
  • Todo el tráfico se cifra en tránsito mediante TLS (HTTPS). Los servidores están en Alemania (UE) en Hetzner Online GmbH.
  • Protección CSRF: validación del header Origin + header personalizado X-Requested-With en todas las peticiones que modifican estado.
  • Cabeceras Content Security Policy y X-Frame-Options: DENY para prevenir XSS y clickjacking.
  • HSTS activado en producción para forzar HTTPS en todas las conexiones futuras.

9. Autoridad de Control

Si consideras que tus derechos de protección de datos han sido vulnerados, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, aepd.es) o la autoridad de control del país de tu residencia.