Política de Privacidad

• Kinesync es la herramienta que su clínica de fisioterapia usa para asignarle rutinas y darles seguimiento. La clínica decide qué datos recoge y para qué; nosotros solo los procesamos por encargo suyo.
• Tratamos datos de salud, que la ley costarricense clasifica como sensibles. Por eso pedimos un consentimiento expreso e informado, separado de cualquier otra aceptación.
• Sus datos se almacenan cifrados en servidores de Estados Unidos. Al aceptar, usted autoriza esa transferencia internacional.
• No vendemos datos, no hacemos publicidad, no los cedemos a terceros con fines comerciales y no los usamos para entrenar modelos de inteligencia artificial.
• Puede pedir acceso, rectificación, eliminación u oposición en cualquier momento. Respondemos en un máximo de 5 días hábiles.

Lo anterior es un resumen de cortesía. Las secciones siguientes son el texto que rige.

Kinesync es una plataforma de gestión de rutinas de fisioterapia operada por Giuliano Rojas Murillo — Persona física, Cédula de identidad 0-9011-40831, con domicilio en Ecoresidencial Villa Real, Pozos de Santa Ana, Costa Rica (en adelante, «Kinesync», «nosotros»).

Para cualquier asunto relacionado con datos personales — dudas, solicitudes de derechos o reclamos — el canal es privacidad@kinesync.app. Es una dirección atendida específicamente para esto.

La plataforma consta de dos partes: el panel profesional, en el que trabajan las clínicas y sus fisioterapeutas con una cuenta y contraseña; y el portal del paciente, al que se entra únicamente con el enlace personal que la clínica envía por WhatsApp, sin registro ni contraseña.

La Ley 8968 distingue entre quien decide sobre los datos y quien los procesa por encargo. La distinción determina a quién debe dirigirse usted, y es la parte más importante de este documento.

La clínica es la Responsable de la base de datos

La clínica de fisioterapia (o el profesional independiente) es quien decide qué pacientes registra, qué información clínica anota, con qué finalidad y por cuánto tiempo. Es la responsable frente a sus pacientes y ante la PRODHAB, incluida la obligación de inscribir su base de datos cuando corresponda.

Kinesync es el Encargado del Tratamiento

Nosotros aportamos el software y la infraestructura. Tratamos los datos de los pacientes únicamente siguiendo las instrucciones de la clínica, para prestarle el servicio contratado, y no decidimos sobre su finalidad ni les damos usos propios.

Si usted es paciente y desea acceder a su expediente, corregirlo o eliminarlo, diríjase primero a su clínica de fisioterapia: es quien tiene la potestad de decidir sobre esos datos. Si no obtiene respuesta, escríbanos y le ayudaremos a canalizar la solicitud.

Hay una excepción: respecto de los datos de la propia cuenta profesional (nombre del fisioterapeuta, correo, credenciales, datos de la clínica y de facturación), Kinesync sí actúa como Responsable, porque somos nosotros quienes decidimos tratarlos para prestar y cobrar el servicio.

Toda clínica que contrata Kinesync suscribe además un Acuerdo de Encargo de Tratamiento (DPA) que fija por escrito estas obligaciones: instrucciones documentadas, deber de confidencialidad, medidas de seguridad, uso de subencargados y devolución o borrado de los datos al terminar el contrato.

Recogemos lo mínimo necesario para que el servicio funcione. No pedimos número de cédula, dirección, ni datos financieros del paciente, y no accedemos a la agenda, los contactos ni la ubicación de ningún dispositivo.

De los pacientes (tratados por encargo de la clínica)

Nombre completo; número de teléfono; notas clínicas que escriba el fisioterapeuta; rutinas de ejercicio asignadas, con su dosificación y frecuencia; registro de ejercicios marcados como completados, con fecha y hora; nivel de dolor reportado (escala 0–10); y el registro del consentimiento otorgado (fecha, método, versión del texto aceptado y, en el caso digital, el identificador del navegador utilizado).

De los profesionales y las clínicas (tratados por nosotros como responsables)

Nombre completo, correo electrónico, contraseña — que se almacena cifrada de forma irreversible y que nadie en Kinesync puede leer —, nombre y rol dentro de la clínica, nombre y datos de contacto de la clínica, y las invitaciones de equipo enviadas.

Contenido cargado por la clínica

Los videos de ejercicios que graba y sube el equipo de fisioterapia, junto con su título, descripción, instrucciones, etiquetas musculares y nivel de dificultad. Estos videos pueden mostrar a la persona que los graba; la clínica es responsable de contar con la autorización de quien aparezca en ellos.

Datos técnicos

Registros mínimos de operación y seguridad generados automáticamente por nuestros proveedores de infraestructura (dirección IP, fecha y hora de la petición, tipo de navegador, errores). Se usan para operar el servicio, detectar abuso y diagnosticar fallas, y se conservan por períodos cortos.

No usamos cookies de analítica, de publicidad ni de perfilado, y no incorporamos rastreadores de terceros. Las únicas cookies que la plataforma escribe son las estrictamente necesarias para mantener abierta la sesión de un profesional que ha iniciado sesión. El portal del paciente no requiere cookies de sesión: el enlace personal es la credencial.

La información sobre su estado de salud, sus lesiones, su dolor y su condición física es un dato sensible según el artículo 9 de la Ley 8968. Su tratamiento está prohibido salvo que exista consentimiento expreso e informado, o que sea estrictamente necesario para la prestación de asistencia sanitaria.

Por eso Kinesync no utiliza consentimiento implícito ni presunto. Nunca damos por aceptada esta política por el simple hecho de navegar o de usar la plataforma.

Consentimiento del paciente

Antes de mostrarle su primera rutina, el portal presenta el texto de consentimiento completo y exige una acción afirmativa e inequívoca para continuar. Nada viene marcado por defecto. Como alternativa, la clínica puede recabar el consentimiento en papel mediante el formulario impreso que genera la plataforma, y registrar esa firma en el sistema. Ambos caminos guardan la versión exacta del texto aceptado, de modo que siempre puede acreditarse a qué consintió usted.

Consentimiento del profesional

Al crear una cuenta, la aceptación de esta Política de Privacidad se solicita mediante una casilla independiente, desmarcada por defecto y separada de la casilla de los Términos y Condiciones. No es posible completar el registro sin marcar ambas de forma deliberada, y la cuenta guarda constancia de qué versión de cada documento se aceptó. La clínica acepta además esta política al suscribir el Acuerdo de Encargo de Tratamiento.

Su decisión es voluntaria y revocable. Puede negarse a otorgar el consentimiento, o revocarlo después, sin que ello afecte la legalidad del tratamiento realizado antes de la revocación. Si lo revoca, dejará de tener acceso al portal digital, pero su clínica podrá continuar su tratamiento por otros medios.

Cada dato que guardamos sirve a una de estas finalidades concretas, y a ninguna otra:

• Crear y mantener el expediente de rutinas de cada paciente dentro de su clínica.
• Asignar planes de ejercicio y mostrar al paciente sus ejercicios del día, con video, instrucciones, series y repeticiones.
• Generar el enlace personal de acceso y el mensaje de WhatsApp con el que la clínica se lo envía.
• Registrar los ejercicios completados y el dolor reportado, y calcular a partir de ellos el indicador de adherencia que ve el fisioterapeuta.
• Almacenar y reproducir de forma segura los videos de la biblioteca de ejercicios de la clínica.
• Autenticar a los profesionales, gestionar los roles y las invitaciones dentro de cada clínica, y permitir la recuperación de contraseña.
• Conservar la evidencia del consentimiento otorgado, como exige la Ley 8968.
• Facturar el servicio a la clínica y llevar la contabilidad correspondiente.
• Mantener la seguridad de la plataforma: prevenir accesos no autorizados, limitar abusos y diagnosticar errores.
• Comunicar a las clínicas avisos operativos indispensables sobre el servicio (cambios, incidencias, mantenimiento).

Lo que nunca hacemos: vender o alquilar datos personales; cederlos a terceros con fines publicitarios o comerciales; usarlos para entrenar modelos de inteligencia artificial; elaborar perfiles con efectos jurídicos sobre las personas; ni acceder al contenido clínico de una clínica salvo por instrucción expresa suya o por una obligación legal.

Kinesync no opera servidores propios. La plataforma se apoya en proveedores de infraestructura en la nube cuyos centros de datos están fuera de Costa Rica, principalmente en Estados Unidos. Esto implica una transferencia internacional de datos en los términos del artículo 14 de la Ley 8968, que usted autoriza expresamente al otorgar su consentimiento.

Estos son todos los subencargados que intervienen y qué hace exactamente cada uno:

Sobre WhatsApp conviene una precisión: Kinesync no envía mensajes por su cuenta ni tiene acceso a las conversaciones. Preparamos el texto y la clínica lo envía desde su propio WhatsApp, de modo que el mensaje viaja bajo los términos y la política de privacidad de WhatsApp, igual que cualquier otro mensaje que la clínica le escriba.

Con cada proveedor mantenemos las condiciones de tratamiento de datos que ofrecen sus contratos estándar, y nos obligamos a exigirles medidas de protección equivalentes a las descritas en esta política. Cualquier alta o cambio de subencargado se reflejará en esta tabla, con una nueva versión del documento.

Datos de pacientes

Se conservan mientras la persona sea paciente de la clínica y esta mantenga activa su cuenta. Se eliminan cuando la clínica lo solicita, cuando el paciente lo pide a través de su clínica, o al terminar la relación entre el paciente y la clínica, salvo que exista una obligación legal de conservarlos por más tiempo.

Enlaces de acceso

El enlace personal del paciente tiene una vigencia limitada, definida por la duración de la rutina asignada. Al vencer deja de funcionar, y la clínica puede revocarlo o regenerarlo en cualquier momento.

Evidencia de consentimiento

Los registros de consentimiento son inmutables y se conservan mientras exista el expediente del paciente, porque constituyen la prueba de que el tratamiento fue autorizado.

Cuentas profesionales y datos de facturación

Se conservan mientras la cuenta esté activa. Cerrada la cuenta, se eliminan salvo la información que la normativa tributaria y contable obligue a mantener.

Registros técnicos

Los registros de operación y seguridad se conservan por períodos cortos, conforme a la configuración de nuestros proveedores de infraestructura.

Al terminar el contrato con una clínica, sus datos y los de sus pacientes se devuelven o se eliminan de forma definitiva, según lo que la clínica indique, dentro de un plazo razonable acordado en el DPA.

La Ley 8968 le reconoce derechos que puede ejercer de forma gratuita y en cualquier momento:

Acceso

Solicitar una copia de los datos personales suyos que se están tratando, así como saber su origen, su finalidad y a quién se han comunicado.

Rectificación

Pedir que se corrijan los datos inexactos, incompletos o desactualizados.

Cancelación o supresión

Pedir la eliminación de sus datos, incluida la eliminación de la cuenta, cuando ya no sean necesarios o cuando usted revoque su consentimiento.

Oposición

Negarse a que sus datos se traten para una finalidad concreta, incluidas las comunicaciones que no sean estrictamente operativas.

Revocación del consentimiento

Retirar el consentimiento otorgado, sin efecto retroactivo sobre el tratamiento ya realizado.

Portabilidad

Obtener sus datos en un formato legible y de uso común, para trasladarlos a otro profesional si así lo desea.

Si usted es paciente

Diríjase primero a su clínica de fisioterapia, que es la responsable de la base de datos y quien puede resolver directamente sobre su expediente. Si la clínica no le responde, escríbanos y trasladaremos la solicitud, acompañándola hasta su resolución.

Si usted es profesional o clínica

Escríbanos directamente a privacidad@kinesync.app.

Cómo solicitarlo: escriba a privacidad@kinesync.app indicando su nombre completo, el derecho que desea ejercer y el nombre de la clínica correspondiente. Podremos pedirle una verificación razonable de identidad, únicamente para evitar que un tercero acceda a sus datos. Responderemos en un plazo máximo de 5 días hábiles desde la recepción de la solicitud.

Si considera que sus derechos no han sido atendidos, puede presentar una denuncia ante la Agencia de Protección de Datos de los Habitantes (PRODHAB) de Costa Rica, autoridad de control en la materia.

Tratamos información de salud, y la protegemos en consecuencia. Estas son las medidas técnicas y organizativas que tenemos implementadas:

• Cifrado en tránsito: todo el tráfico viaja sobre HTTPS/TLS. La plataforma no acepta conexiones sin cifrar.
• Cifrado en reposo: la base de datos y el almacenamiento de videos están cifrados en disco por nuestros proveedores de infraestructura.
• Contraseñas irrecuperables: se almacenan mediante funciones de derivación de un solo sentido. Nadie en Kinesync puede leerlas, ni siquiera con acceso a la base de datos.
• Aislamiento entre clínicas: cada registro pertenece a una clínica, y la propia base de datos impide — mediante políticas de seguridad a nivel de fila — que una clínica alcance los datos de otra. La restricción vive en la base de datos, no en el código de las pantallas.
• Portal del paciente sin llaves privilegiadas: el acceso público del paciente no consulta tablas directamente. Solo puede invocar un conjunto cerrado de funciones que validan el enlace y devuelven exclusivamente la información del paciente al que ese enlace corresponde. La separación entre pacientes la garantiza la base de datos.
• Enlaces de acceso limitados: cada enlace es único, aleatorio, con vencimiento, y puede revocarse o regenerarse en cualquier momento desde el panel de la clínica.
• Videos en almacenamiento privado: el depósito de videos no es público ni navegable. Cada reproducción usa una dirección firmada y de vigencia corta, generada solo después de comprobar la autorización.
• Acceso interno restringido: el acceso administrativo a la infraestructura se limita al personal estrictamente necesario, con autenticación reforzada y bajo deber de confidencialidad.
• Límites de uso y controles antiabuso en los puntos públicos de la aplicación.
• Registro inmutable de consentimientos: las constancias de consentimiento no pueden modificarse ni borrarse desde la aplicación.

Ningún sistema es infalible. Nos comprometemos a mantener estas medidas actualizadas y a revisarlas conforme evoluciona la plataforma.

Si detectamos una violación de seguridad que afecte datos personales, informaremos a las clínicas afectadas sin demora indebida, con la descripción del incidente, los datos comprometidos y las medidas adoptadas, para que puedan cumplir su deber de notificación a los titulares y a la PRODHAB conforme al artículo 10 de la Ley 8968. Colaboraremos con la clínica en todo lo necesario para esa notificación.

Kinesync no está dirigido a personas menores de edad como usuarias directas. Cuando la persona en tratamiento es menor de edad, el consentimiento debe otorgarlo su madre, padre o representante legal, quien es también la persona que recibe y utiliza el enlace de acceso. El formulario impreso de consentimiento incluye un espacio específico para la firma del representante legal.

Podemos actualizar esta política cuando cambie la plataforma, la normativa aplicable o nuestros proveedores. Cada versión lleva un número y una fecha de entrada en vigencia, visibles al inicio del documento.

Si un cambio afecta de manera sustancial la finalidad del tratamiento, los datos recogidos o el destino de las transferencias internacionales, lo comunicaremos a las clínicas con antelación razonable y se solicitará nuevamente el consentimiento de los pacientes antes de continuar.

Asuntos de privacidad y ejercicio de derechos: privacidad@kinesync.app. Cualquier otro asunto sobre el servicio: soporte@kinesync.app.

Responsable de la plataforma: Giuliano Rojas Murillo — Persona física, Cédula de identidad 0-9011-40831, Ecoresidencial Villa Real, Pozos de Santa Ana, Costa Rica.

Autoridad de control: Agencia de Protección de Datos de los Habitantes (PRODHAB), Ministerio de Justicia y Paz, Costa Rica.