Politica de Privacidad

Versión: 1.0  |  Última actualización: 8 de abril de 2026

En Thanic Capital SL («Thanic», «nosotros») nos comprometemos a proteger su privacidad. Este documento describe cómo tratamos los datos personales de los visitantes de pymwin.com, los usuarios registrados de la plataforma Pymwin y, en calidad de Encargado del Tratamiento, los datos de los pacientes/clientes finales gestionados por nuestros clientes (los responsables).

Esta política cumple con el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa aplicable.

1. Identidad del Responsable del Tratamiento

Thanic actúa como Responsable del Tratamiento respecto a los datos de visitantes y usuarios registrados de Pymwin. En lo que concierne a los datos de pacientes/clientes finales introducidos por los usuarios de la plataforma, Thanic actúa como Encargado del Tratamiento según el Acuerdo de Encargo de Tratamiento (DPA) suscrito con cada cliente.

2. Delegado de Protección de Datos (DPO)

Thanic no ha designado formalmente un Delegado de Protección de Datos en esta fase del proyecto. Para cualquier consulta relacionada con la protección de datos puede contactar con nosotros en legal@pymwin.com. Esta designación será revisada cuando el volumen de tratamiento lo requiera.

3. Categorías de datos personales tratados

3.1 Visitantes del sitio web

• Datos técnicos anonimizados: dirección IP (anonimizada), tipo de navegador, sistema operativo, páginas visitadas, duración de la visita, origen del tráfico.
• Analítica agregada: recopilada mediante Vercel Web Analytics, que no utiliza cookies ni almacena datos personales identificables. No se requiere banner de consentimiento de cookies para esta analítica.

3.2 Usuarios registrados

• Identificación: nombre completo, dirección de correo electrónico, contraseña (almacenada con hash bcrypt, nunca en texto plano).
• Datos profesionales: profesión, especialidad, número de colegiado (si procede).
• Datos del negocio: nombre del centro o clínica, dirección fiscal, NIF/CIF, número de teléfono profesional.
• Datos de cuenta: plan de suscripción, fecha de alta, preferencias de configuración.
• Datos de pago: historial de facturas y estado de suscripción. Los datos de tarjeta no se almacenan en los servidores de Thanic; son gestionados íntegramente por Stripe como procesador de pagos PCI-DSS certificado.
• Datos de comunicación: registros de correos transaccionales (confirmación de cuenta, recuperación de contraseña, notificaciones del sistema) y, si lo consiente, comunicaciones comerciales.
• Datos de auditoría y seguridad: registros de acceso, dirección IP de inicio de sesión, dispositivos autenticados, marcas temporales de acciones relevantes.

3.3 Pacientes/clientes finales (Thanic como Encargado)

Cuando los usuarios de Pymwin gestionan sus propios pacientes o clientes a través de la plataforma, Thanic trata estos datos exclusivamente como Encargado del Tratamiento por cuenta del usuario (Responsable). Las categorías pueden incluir:

• Identificación: nombre, apellidos, fecha de nacimiento, DNI/NIF (si aplica).
• Contacto: teléfono, correo electrónico, dirección postal.
• Fiscales: NIF/CIF para emisión de facturas.
• Servicios: historial de citas, tratamientos realizados, notas clínicas, documentos adjuntos.
• Datos de categoría especial — salud (art. 9 RGPD): diagnósticos, evoluciones clínicas, historiales médicos introducidos por el profesional sanitario.

3.4 Contactos profesionales a los que nos dirigimos (prospectos)

Si usted no es usuario de Pymwin y ha recibido una comunicación nuestra, sus datos proceden de fuentes de acceso público y no nos los facilitó usted. En cumplimiento del artículo 14 del RGPD, le informamos de lo siguiente:

• Datos tratados: nombre comercial del centro, dirección de correo electrónico profesional, teléfono, dirección y provincia. Nada más.
• Origen: directorios y fichas profesionales de acceso público, principalmente fichas públicas de Google Maps, publicadas por el propio profesional o centro para ser contactado.
• Finalidad: presentarle Pymwin e invitarle a probarlo.
• Base jurídica: interés legítimo (art. 6.1.f RGPD) en promocionar nuestro servicio ante el público profesional al que se dirige, ponderado previamente frente a sus derechos.
• Conservación: hasta que usted se oponga y, en su defecto, un máximo de 12 meses desde el último contacto sin respuesta.
• Cómo dejar de recibirlas: con el enlace de baja de cualquiera de nuestros correos, que funciona con un solo clic, sin registro y sin preguntarle el motivo. También escribiéndonos a legal@pymwin.com.

Cuando alguien se da de baja, conservamos constancia de esa baja de forma indefinida. Puede parecer contradictorio, pero es justo lo contrario: es lo único que garantiza que su dirección no vuelva a entrar en una lista futura. No conservamos el resto de sus datos, solo el hecho de que pidió no ser contactado.

Nunca tratamos datos de categoría especial en este contexto, no elaboramos perfiles y no tomamos decisiones automatizadas sobre usted.

4. Finalidades y bases jurídicas del tratamiento

4.1 Thanic como Responsable del Tratamiento

Resumen práctico: los datos de cuenta se eliminan 30 días después de la cancelación del servicio. Las facturas emitidas se conservan durante 6 años conforme a la normativa mercantil y fiscal aplicable.

4.2 Thanic como Encargado del Tratamiento

Cuando Thanic actúa como Encargado, el tratamiento de los datos de pacientes/clientes finales se realiza exclusivamente según las instrucciones del cliente (Responsable del Tratamiento) y conforme a lo pactado en el Acuerdo de Encargo de Tratamiento (DPA). Thanic no utiliza estos datos para finalidades propias.

5. Categoría especial: datos de salud

5.1 Garantías técnicas y organizativas

• Cifrado en tránsito mediante TLS 1.2 o superior.
• Cifrado en reposo mediante AES-256.
• Control de acceso basado en roles (RBAC) y seguridad a nivel de fila (RLS — Row Level Security) en la base de datos.
• Registro de auditoría de accesos y modificaciones sobre datos sensibles.
• Almacenamiento de datos en la Unión Europea (región Ireland eu-west-1 de Supabase).
• Acceso restringido por parte del personal de Thanic: únicamente en caso de necesidad técnica debidamente justificada y documentada.

5.2 Base jurídica

Thanic actúa exclusivamente como Encargado del Tratamiento respecto a los datos de salud. El profesional sanitario o la clínica (cliente de Pymwin) es el Responsable del Tratamiento y debe contar con la base jurídica adecuada para tratar estos datos (consentimiento expreso del paciente, necesidad de asistencia sanitaria u otra base del art. 9.2 RGPD).

6. Destinatarios de los datos

Los datos personales pueden ser comunicados a:

• Subencargados del tratamiento (véase sección 8) que prestan servicios técnicos necesarios para el funcionamiento de Pymwin.
• Autoridades públicas competentes cuando exista obligación legal (Agencia Tributaria, autoridades sanitarias, fuerzas y cuerpos de seguridad, etc.).
• Asesores profesionales (jurídicos, fiscales, auditores) bajo acuerdo de confidencialidad.
• Sucesores legales en caso de fusión, adquisición o reestructuración empresarial, con notificación previa a los interesados.

Thanic no vende, alquila ni cede datos personales a terceros con fines comerciales o publicitarios propios.

7. Transferencias internacionales de datos

7.1 Garantías aplicadas

Thanic Capital SL está establecida en España, por lo que el tratamiento que realiza directamente se lleva a cabo dentro del Espacio Económico Europeo y no constituye una transferencia internacional. No obstante, algunos de los subencargados que intervienen en la prestación del Servicio están establecidos en Estados Unidos u otros terceros países (véase la sección 8). Para dichas transferencias se aplican las siguientes garantías:

• Cláusulas Contractuales Tipo (SCCs) adoptadas por la Comisión Europea (Decisión 2021/914), incorporadas en los contratos con todos los subencargados establecidos fuera del EEE.
• Marco UE-EE.UU. de Protección de Datos (EU-US DPF): cuando el subencargado está certificado en el DPF, la transferencia se ampara adicionalmente en la decisión de adecuación de la Comisión Europea.
• Medidas suplementarias: cifrado en tránsito y en reposo, seudonimización y minimización de los datos transferidos fuera de la UE.
• Localización preferente en la UE: siempre que el proveedor lo permite, se selecciona una región de alojamiento dentro de la Unión Europea.

8. Subencargados del tratamiento (subprocesadores)

Thanic mantiene actualizado el listado de subencargados y notifica a sus clientes con antelación razonable cualquier cambio en esta lista, permitiendo la oposición justificada conforme al DPA.

9. Plazos de conservación

Los datos se conservan durante el tiempo estrictamente necesario para las finalidades indicadas en la sección 4. Una vez transcurridos dichos plazos:

1. Eliminación segura: los datos se eliminan de los sistemas de producción de forma que no puedan recuperarse.
2. Bloqueo durante plazos de prescripción: determinados datos pueden mantenerse bloqueados (inaccesibles para el tratamiento ordinario) durante los plazos de prescripción legal aplicables.
3. Anonimización irreversible: en su caso, los datos se anonimizarán irreversiblemente para uso estadístico o de mejora del producto.

Las copias de seguridad (backups) se retienen durante un máximo de 30 días y se eliminan de forma automática pasado dicho período.

10. Derechos del interesado

De conformidad con el RGPD, los interesados cuyos datos sean tratados por Thanic como Responsable tienen derecho a:

• Acceso (art. 15): obtener confirmación de si se tratan sus datos y una copia de los mismos.
• Rectificación (art. 16): solicitar la corrección de datos inexactos o incompletos.
• Supresión («derecho al olvido», art. 17): solicitar la eliminación de sus datos cuando, entre otros supuestos, ya no sean necesarios para la finalidad que motivó su recogida.
• Limitación del tratamiento (art. 18): solicitar que el tratamiento quede restringido en determinadas circunstancias.
• Portabilidad (art. 20): recibir sus datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Oposición (art. 21): oponerse al tratamiento basado en interés legítimo o con fines de mercadotecnia directa.
• No ser objeto de decisiones automatizadas (art. 22): no ser sometido a decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos significativos.
• Retirada del consentimiento: en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

Cómo ejercer sus derechos

Puede ejercer cualquiera de estos derechos por las siguientes vías:

• Correo electrónico: legal@pymwin.com
• Correo postal: Thanic Capital SL (representante UE de Thanic Capital SL), Bilbao, España — indicando «Ejercicio de derechos RGPD — Pymwin» en el asunto.

Responderemos a su solicitud en el plazo máximo de 1 mes desde su recepción, prorrogable otros dos meses en casos de complejidad o elevado número de solicitudes (con notificación previa).

Si considera que el tratamiento de sus datos vulnera la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es — o ante la autoridad de control del Estado miembro de la UE donde tenga su residencia habitual o lugar de trabajo.

11. Decisiones automatizadas y elaboración de perfiles

Thanic no aplica decisiones automatizadas ni elaboración de perfiles que produzcan efectos jurídicos o afecten significativamente a los interesados en el sentido del art. 22 RGPD.

12. Medidas de seguridad

Thanic ha implementado medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, entre las que se incluyen:

• Cifrado en tránsito: TLS 1.2 o superior en todas las comunicaciones.
• Cifrado en reposo: AES-256 para bases de datos y almacenamiento de ficheros.
• Hashing de contraseñas: algoritmo bcrypt con salt aleatorio.
• Principio de mínimo privilegio: acceso a datos restringido al personal y sistemas estrictamente necesarios.
• Autenticación de doble factor (2FA): disponible y recomendada para todos los usuarios de la plataforma.
• Row Level Security (RLS): aislamiento de datos entre clientes a nivel de base de datos.
• Copias de seguridad: backups automáticos con retención de 30 días.
• Registro de auditoría: trazabilidad de accesos y modificaciones sobre datos sensibles.
• Gestión de incidentes: procedimiento documentado de detección, respuesta y notificación de brechas de seguridad.

En caso de brecha de seguridad que suponga un riesgo para los derechos y libertades de las personas físicas, Thanic notificará a la AEPD en un plazo máximo de 72 horas desde que tenga constancia de ella, conforme al art. 33 RGPD. Si la brecha supone un alto riesgo para los interesados, también se les notificará directamente sin dilación indebida.

13. Menores de edad

La plataforma Pymwin está diseñada exclusivamente para profesionales mayores de 18 años. Thanic no recaba datos de menores de edad de forma deliberada en el proceso de registro.

Respecto a los pacientes menores de edad gestionados por los profesionales a través de la plataforma, la responsabilidad de obtener y documentar el consentimiento (del menor o de su representante legal, según corresponda) recae íntegramente en el profesional sanitario (Responsable del Tratamiento). Thanic actúa como mero Encargado y no interviene en dicha relación.

14. Modificación de esta política

Thanic se reserva el derecho de modificar esta Política de Privacidad para adaptarla a cambios normativos, jurisprudenciales o del propio servicio. La versión actualizada se publicará en esta página con indicación de la fecha de entrada en vigor.

Ante cambios sustanciales que afecten a los derechos de los interesados, Thanic notificará a los usuarios registrados mediante correo electrónico con un preaviso razonable antes de la entrada en vigor de dichos cambios.

15. Contacto

Para cualquier consulta relacionada con esta política o con el tratamiento de sus datos:

• Correo electrónico: legal@pymwin.com
• Responsable del tratamiento (correo postal): Thanic Capital SL, Calle Gran Vía de Don Diego López de Haro, 45, 5º Dr., 48011 Bilbao (Bizkaia), España
• Autoridad de control: Agencia Española de Protección de Datos (AEPD), www.aepd.es