Política de Privacidad

Información de conformidad con los arts. 13–14 del Reglamento UE 2016/679 (RGPD). Última revisión: 16 de octubre de 2026.

1. Responsable del tratamiento

El Responsable del tratamiento es Ri-Hub S.r.l. Società tra Professionisti, con domicilio social en Italia. Para ejercer los derechos previstos por el RGPD y para cualquier solicitud, escriba a privacy@ri-hub.it.

Delegado de protección de datos (DPO). El nombramiento de un delegado de protección de datos (art. 37 RGPD) está en evaluación con nuestro abogado. Mientras tanto, para cualquier pregunta sobre sus datos escriba a privacy@ri-hub.it: le responde directamente el responsable del tratamiento.

Legal identification: Ri-Hub S.r.l. Società tra Professionisti — Registered office: Corso Assarotti 19/1, 16043 Chiavari (GE), Italy — VAT/Tax ID (P.IVA/C.F.): 02992670998 — REA GE-525421 — Share capital: €10,000 fully paid up — PEC: ri-hub@pec.it

2. Tratamiento de datos de salud (Art. 9 RGPD)

Ri-Hub es una plataforma de fisioterapia en línea: durante el uso del servicio recogemos y tratamos datos relativos a la salud (categoría especial conforme al art. 9 RGPD), en particular: respuestas a los cuestionarios de anamnesis, niveles de dolor, descripciones de la sintomatología, objetivos terapéuticos, planes de tratamiento. Las videoconsultas se prestan en tiempo real y no se graban ni se conservan en ningún formato de audio o vídeo.

Bases jurídicas. Tratamos los datos sobre su salud para atenderle (valoración, sesiones, plan de tratamiento, mensajes con el fisioterapeuta) porque es necesario para la prestación sanitaria que nos pide, bajo la responsabilidad de profesionales sujetos al secreto profesional (art. 9.2.h y 9.3 RGPD). Para este tratamiento, como indica la autoridad italiana de protección de datos (resolución n.º 55 de 7 de marzo de 2019), no le pedimos un consentimiento de privacidad: el consentimiento informado que firma antes de las sesiones se refiere a su decisión de tratarse, no al uso de los datos. Cualquier uso de los datos que no sirva para atenderle, por ejemplo la medición de las campañas publicitarias descrita en el § 5.2, solo se produce con su consentimiento explícito y separado (art. 9.2.a RGPD), opcional y revocable en cualquier momento, sin ninguna consecuencia para su atención. Sin los datos necesarios para la atención no es posible prestar el servicio.

Telemedicina. Las sesiones online siguen las Indicaciones nacionales italianas para la prestación de servicios de telemedicina (Acuerdo Estado-Regiones de 17 de diciembre de 2020) y el decreto del Ministro de Sanidad de 21 de septiembre de 2022 (directrices para los servicios de telemedicina). En el tratamiento de los datos de salud nos atenemos a la resolución n.º 55 de 7 de marzo de 2019 de la autoridad italiana de protección de datos.

Prohibición de difusión y de uso secundario. Los datos de salud se tratan exclusivamente con fines de atención, diagnóstico y gestión del recorrido de rehabilitación de cada paciente. Ri-Hub NO difunde, NO cede, NO vende y NO comunica los datos de salud a terceros distintos de los sujetos expresamente autorizados indicados en el § 6 (fisioterapeuta asignado y proveedores tecnológicos designados encargados del tratamiento). El contenido clínico (anamnesis, dolor, síntomas, planes de tratamiento, sesiones, mensajes) nunca se usa con fines publicitarios, de elaboración de perfiles o de marketing. Para medir nuestra publicidad usamos únicamente, y solo con su consentimiento explícito y separado, el hecho de haber reservado o realizado la visita y su primera compra, comunicados a Google Ads como se describe en el § 5.2.

Dónde están los datos. Los datos de salud que conservamos (cuestionarios, historia clínica, planes de tratamiento, mensajes) se alojan en una infraestructura en la nube situada en el Espacio Económico Europeo (EEE), con cifrado tanto en tránsito (TLS 1.3) como en reposo. El audio y el vídeo de las videosesiones, en cambio, pasan en tiempo real por los servidores de los proveedores de videollamada, empresas con sede en Estados Unidos (§ 6): no se graban ni se conservan, pero no se puede descartar una transferencia de estos datos fuera de la UE. Los demás proveedores fuera de la UE (por ejemplo Stripe para los pagos) tratan solo datos administrativos y contables, nunca datos de salud, sobre la base de las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD).

Secreto profesional. Los fisioterapeutas que acceden a los datos de salud están inscritos en el Colegio profesional y obligados al secreto profesional conforme al art. 622 del Código Penal italiano, al art. 200 del Código Procesal Penal italiano y al Código Deontológico de la profesión. El acceso a los datos de salud está limitado únicamente al paciente asignado (principio de minimización, art. 5.1.c RGPD) y registrado en logs de auditoría no modificables.

Seudonimización y minimización. Allí donde es técnicamente posible, los datos de salud se seudonimizan o se cifran a nivel aplicativo. Las estadísticas agregadas para uso interno o para clínicas/empresas concertadas se proporcionan exclusivamente en forma anónima y agregada, sin posibilidad de reidentificar al paciente individual.

3. Categorías de datos personales tratados

Datos identificativos: nombre, apellidos, código fiscal, fecha de nacimiento, dirección, datos de contacto.
Documentos de identidad (imagen).
Credenciales de autenticación: correo electrónico, contraseña en forma de hash, token Google si se accede mediante OAuth.
Datos de salud: anamnesis, dolor, síntomas, planes terapéuticos, resultados de cuestionarios de evaluación. Las sesiones de vídeo no se graban.
Datos de pago: gestionados por el proveedor Stripe (no almacenamos los datos de la tarjeta).
Datos técnicos: dirección IP, registros de acceso, identificadores del dispositivo (si está instalado Capacitor).
Datos de uso (páginas vistas, botones pulsados), vinculados a un identificador aleatorio del navegador: solo si ha aceptado las cookies de analytics.
Datos de procedencia publicitaria: fuente, campaña e identificadores de clic (p. ej. gclid, fbclid) de la cookie ri_utm (§ 5.4).
Código del clic en los anuncios de Google, para la medición de las campañas: gclid, gbraid o wbraid, enviado a Google Ads solo si llega desde uno de sus anuncios y ha dado el consentimiento explícito descrito en el § 5.2. Nunca email, teléfono, nombre ni datos de salud.

4. Finalidades del tratamiento

Prestación del servicio de fisioterapia online (base: contrato; para los datos de salud, finalidad de atención bajo secreto profesional, art. 9.2.h y 9.3 RGPD, § 2).
Gestión administrativa y contable (base: obligación legal).
Seguridad de la app, prevención del fraude y diagnóstico (base: interés legítimo).
Comunicaciones de servicio y notificaciones relativas a las citas (base: contrato).
Marketing y newsletter solo si ha prestado consentimiento separado en la fase de registro (base: consentimiento revocable en cualquier momento).
Estadísticas de uso del sitio y de la app (analytics) solo si ha aceptado las cookies de analytics (base: consentimiento, revocable en cualquier momento desde el enlace «Gestionar cookies»).
Medición de las visitas a las páginas del sitio que no hablan de salud mediante los píxeles de Meta y TikTok, solo si ha aceptado la categoría «Marketing» en el banner de cookies (base: consentimiento, revocable desde el enlace «Gestionar cookies» — § 5.1). Desde la app no enviamos ningún evento a los píxeles.
Medición desde nuestro servidor, hacia Google Ads, de la reserva y realización de la consulta gratuita y de la primera compra, solo si llega desde un anuncio de Google y ha dado el consentimiento explícito y facultativo en la app (base: consentimiento, incluido el explícito del art. 9 — § 5.2).
Estadísticas internas agregadas y anónimas de las visitas al sitio y a la app, para saber de dónde viene la gente (no se requiere consentimiento, no es un tratamiento de datos personales — § 5.3).

5. Publicidad y medición de las campañas publicitarias

En esta sección explicamos, de forma separada a nuestra Política de Cookies, qué herramientas usamos para saber si nuestra publicidad funciona: con qué consentimiento, qué enviamos y a quién. Para la lista de las cookies individuales (nombre, duración) véase nuestra Política de Cookies.

5.1 Píxeles de Meta y TikTok en el sitio (solo con el consentimiento «Marketing» del banner y solo en las páginas que no hablan de salud)

En el sitio ri-hub.it cargamos el píxel de Meta (Meta Platforms Ireland Ltd.) y el de TikTok (TikTok Technology Limited) solo si ha aceptado la categoría «Marketing» en el banner de cookies y solo en las páginas que no hablan de salud: la portada, quiénes somos, cómo funciona, los formatos y los precios, trabaja con nosotros, los contactos y las páginas legales. Desde estas páginas enviamos al píxel solo la visita de la página, ningún otro evento; desde las páginas que hablan de salud (artículos, patologías, ejercicios, servicios, páginas de los creadores y todas las demás) no sale nada hacia Meta o TikTok. Si elige «Solo necesarias», o excluye Marketing al personalizar, los píxeles no se cargan. Desde la app no enviamos ningún evento a los píxeles de Meta, TikTok o Google, ni siquiera la visita de página, y en el sitio no usamos el píxel de Google Ads. Los píxeles sirven exclusivamente para medir la eficacia de nuestra publicidad: no los usamos para mostrarle publicidad personalizada de terceros, ni para elaborar su perfil con fines distintos a la medición.

Base jurídica: su consentimiento (art. 6.1.a RGPD), libremente revocable en cualquier momento desde el enlace «Gestionar cookies» al pie de cada página, sin afectar a la licitud de lo ya medido antes de la revocación. Transferencias fuera de la UE: Meta trata estos datos también en Estados Unidos sobre la base del EU-US Data Privacy Framework; TikTok sobre la base de las Cláusulas Contractuales Tipo (art. 46 RGPD), pero los datos recogidos por su píxel también pueden ser accesibles desde China (§ 6).

5.2 Medición desde nuestro servidor hacia Google Ads (consentimiento específico y facultativo dado en la app)

Para tres momentos que de verdad cuentan — la reserva de la consulta gratuita, la consulta efectivamente realizada y la primera compra — nuestro servidor puede comunicar el hecho a Google Ads (Google Ireland Limited), para que la plataforma sepa qué anuncios llevan a resultados reales y no solo a un clic. Lo hacemos solo si se cumplen las dos condiciones: ha llegado hasta nosotros con un clic en un anuncio de Google (como máximo 90 días antes) y ha dado un consentimiento explícito, específico y facultativo en la app — una casilla no premarcada en el registro (o en el cuestionario inicial), o un interruptor que puede activar o desactivar cuando quiera desde los ajustes de privacidad de la app — distinto del consentimiento a las cookies. Si no llega desde un anuncio de Google no enviamos nada, aunque haya dado el consentimiento. Meta y TikTok no reciben ningún evento de nuestro servidor.

Qué enviamos (solo lo imprescindible): el código del clic en el anuncio de Google que le trajo hasta nosotros (gclid, gbraid o wbraid: un código creado por Google para ese clic, que sirve para vincular el evento con el anuncio); a cuál de los tres momentos se refiere el evento; la fecha y la hora; un código aleatorio que solo sirve para no contar dos veces el mismo evento; para la primera compra, el importe pagado (a la visita realizada le asociamos un valor convencional fijo, igual para todos). Además, indicamos a Google que estos datos no pueden usarse para publicidad personalizada. Nunca enviamos: su nombre, su email o su teléfono (ni siquiera cifrados), su dirección IP, datos sobre su salud, el contenido de las sesiones o de los mensajes. Los perfiles de los hijos (Ri-Hub Junior) nunca generan estos eventos, independientemente del consentimiento de la cuenta del progenitor.

Base jurídica. El tratamiento se basa en su consentimiento (art. 6.1.a RGPD); y dado que el mero hecho de haber reservado o realizado una visita en una plataforma de fisioterapia puede por sí mismo revelar información sobre su salud, nos basamos también en el consentimiento explícito previsto para las categorías especiales de datos (art. 9.2.a RGPD). Puede revocar este consentimiento en cualquier momento desde los ajustes de privacidad de la app: a partir de ese momento no se envía ningún evento nuevo, y un evento que ya esté a la espera de envío se anula.

Conservación de los registros de envío. El código del clic lo tomamos, en el momento del envío, de la procedencia guardada con su cuenta (§ 5.4). Un evento que no consigue salir en 6 días se anula. El registro de lo que se ha enviado — plataforma, tipo de evento, fecha, resultado, qué campos se enviaron (nunca los valores) — se conserva para poder demostrar que el envío se hizo conforme al consentimiento dado, con la misma conservación que los datos de cuenta indicada en el § 8.

5.3 Contador anónimo de visitas (no requiere consentimiento)

Mantenemos también un contador interno de las visitas al sitio y a la app, para saber cuántas personas llegan, desde qué canal y qué campaña, sin identificar a nadie: sin cookies, sin dirección IP almacenada, sin identificador personal o de dispositivo. Solo contamos cifras agregadas por día (huso horario de Roma), por sitio, canal, campaña, anuncio y tipo de página — por ejemplo «230 visitas de la campaña X el martes». La dirección IP se usa solo por un instante, para calcular una huella técnica que impide contar más de una vez un flujo anómalo de solicitudes, y nunca se almacena. Al no tratarse de un tratamiento de datos personales, este contador no requiere consentimiento: su finalidad es exclusivamente estadística e interna para Ri-Hub.

5.4 De dónde viene usted (cookie `ri_utm`)

Cuando llega desde un anuncio o desde un enlace con parámetros de campaña, recordamos la fuente, el medio, la campaña y los identificadores de clic (por ejemplo gclid, fbclid, ttclid) de su llegada. Solo si ha aceptado la categoría Analytics o Marketing en el banner de cookies los guardamos, durante un máximo de 90 días, en una cookie propia llamada ri_utm, compartida entre ri-hub.it y app.ri-hub.it; sin consentimiento solo se conservan mientras dura la visita, en la memoria de la pestaña del navegador, y nunca se convierten en una cookie. Si retira ambos consentimientos, la cookie se borra. Esta regla vale tanto en el sitio como en la app. Nos sirve para saber qué canal publicitario le trajo hasta nosotros, aunque se registre o reserve días después. Cuando se registra o reserva, la procedencia de su visita se guarda junto con su cuenta, para nuestras estadísticas internas sobre qué canales funcionan; a Google Ads solo le llega el código del clic, y solo en las condiciones del § 5.2.

6. Destinatarios y encargados externos

Todos los sujetos enumerados a continuación están designados como encargados del tratamiento conforme al art. 28 RGPD mediante un contrato específico. Ningún sujeto fuera de esta lista accede a sus datos. Los datos de salud conservados son accesibles exclusivamente al fisioterapeuta asignado; los proveedores de videollamada transportan en tiempo real el audio y el vídeo de las sesiones sin conservarlos; todos los demás proveedores tratan datos estrictamente técnicos o administrativos.

Fisioterapeutas concertados: acceden a los datos de salud únicamente del paciente asignado para prestar el servicio. Inscritos en el Colegio profesional, obligados al secreto profesional ex art. 622 del Código Penal italiano. Ningún fisioterapeuta puede consultar datos de pacientes no asignados a sí mismo.
Cloud hosting UE (centros de datos situados en el Espacio Económico Europeo): infraestructura de la aplicación y base de datos, donde se conservan los datos de salud. Cifrado TLS en tránsito y cifrado en reposo de los volúmenes.
Stripe (Irlanda + EE. UU.): gestión de pagos. Trata exclusivamente datos administrativos (importe, correo electrónico, datos de facturación). Nunca datos de salud. Eventual transferencia extracomunitaria basada en Cláusulas Contractuales Tipo art. 46 RGPD.
Google LLC: solo si accede con su cuenta de Google (OAuth limitado a correo electrónico + perfil) o si el fisioterapeuta ha activado la sincronización de su Google Calendar (scope calendar.events, lectura/escritura limitada a los eventos creados por Ri-Hub). Nunca datos de salud del paciente. Transferencia extracomunitaria basada en Cláusulas Contractuales Tipo.
PostHog (nube UE, eu.i.posthog.com): estadísticas de uso del sitio y de la app, vinculadas a un identificador aleatorio del navegador, solo tras el consentimiento «Analytics» del banner de cookies. Session replay desactivado; pedimos que no se guarde la dirección IP en los eventos. Nunca datos de salud.
Brevo (Sendinblue): envío de correos electrónicos transaccionales y newsletter. Servidores UE. Trata solo correo electrónico + nombre.
LiveKit (LiveKit, Inc., EE. UU., servicio LiveKit Cloud): hoy es el proveedor principal de las videosesiones. Sus servidores retransmiten en tiempo real el audio y el vídeo entre fisioterapeuta y paciente, cifrados en tránsito, pasando normalmente por el servidor más cercano a los participantes. Las videosesiones NO se graban ni se conservan.
Twilio (Twilio Inc., EE. UU.): videosesiones de reserva con Twilio Video, cuando se agota el tráfico mensual incluido en nuestro plan de LiveKit, con las mismas garantías (cifrado en tránsito, ninguna grabación); envío de los mensajes de WhatsApp de servicio, por ejemplo los recordatorios de las citas. LiveKit y Twilio tienen su sede en Estados Unidos: no podemos descartar que el audio, el vídeo y los datos técnicos de las sesiones pasen por allí o sean accesibles desde allí. Estamos comprobando con ambos la región de los servidores y las garantías para la transferencia (Data Privacy Framework o cláusulas contractuales tipo, arts. 45–46 RGPD).
Apple Inc. (EE. UU.): solo si accede con su Apple ID mediante «Sign in with Apple». Trata exclusivamente el identificador Apple + correo electrónico (relé anónimo opcional). Nunca datos de salud. Transferencia extracomunitaria basada en CCT.
Firebase Cloud Messaging (Google LLC, EE. UU.): para las notificaciones push en las aplicaciones Android e iOS. Trata únicamente un token opaco del dispositivo. Nunca datos de salud en el payload. Transferencia extracomunitaria basada en CCT.
MinIO (almacenamiento de objetos autoalojado, región UE): conservación de los documentos de consentimiento informado firmado (PDF + DNI anverso/reverso). Servidores internos de Ri-Hub, acceso restringido únicamente al personal técnico autorizado y al fisioterapeuta asignado. Cifrado en reposo a nivel de volumen.
CRM interno Ri-Hub (servidor autoalojado UE, dominio crm.ri-hub.it): sistema de gestión de historiales de pacientes accesible únicamente al personal clínico/administrativo de Ri-Hub vinculado por secreto profesional y acuerdos de confidencialidad. Recibe la sincronización automática de eventos: registro, anamnesis reservada, consentimiento firmado, compra de sesiones, sesiones completadas.
Calendly (EE. UU.): si el fisioterapeuta ha conectado su cuenta Calendly para sincronizar disponibilidades externas a Ri-Hub. Trata solo metadatos de slots (fechas/horas), ningún dato clínico. Transferencia extracomunitaria basada en CCT.
Google Analytics 4 (Google LLC, EE. UU.): métricas de uso agregadas solo tras consentimiento explícito mediante el banner de cookies. IP anonimizada, personalización publicitaria desactivada por defecto. Nunca datos de salud. CCT.
Ahrefs Web Analytics (Ahrefs Pte. Ltd., Singapur): cuenta las visitas a las páginas del sitio y su procedencia, solo tras el consentimiento «Analytics» del banner de cookies. En nuestras comprobaciones no guarda cookies en el dispositivo, pero recibe los datos técnicos de la visita (página, sitio de procedencia, dirección IP). Nunca datos de salud. Transferencia fuera de la UE basada en cláusulas contractuales tipo (art. 46 RGPD).
Meta Platforms Ireland Ltd. (Irlanda + EE. UU.): píxel publicitario en el sitio, solo con consentimiento «Marketing» del banner de cookies y solo en las páginas que no hablan de salud, desde las que recibe únicamente la visita de la página. Mide la eficacia de la publicidad en Facebook e Instagram. No recibe ningún evento de la app ni de nuestro servidor (§ 5.1, § 5.2). Nunca datos sanitarios. Transferencia fuera de la UE basada en el EU-US Data Privacy Framework.
TikTok Technology Limited (Irlanda): píxel publicitario en el sitio, solo con consentimiento «Marketing» del banner de cookies y solo en las páginas que no hablan de salud, desde las que recibe únicamente la visita de la página. No recibe ningún evento de la app ni de nuestro servidor (§ 5.1, § 5.2). Nunca datos sanitarios. Transferencia fuera de la UE basada en Cláusulas Contractuales Tipo; los datos también pueden ser accesibles desde China, por personal del grupo TikTok: en mayo de 2025 la autoridad irlandesa de protección de datos (Data Protection Commission) sancionó a TikTok con 530 millones de euros precisamente por estas transferencias.
Google Ireland Limited — Google Ads: solo para quien llega desde un anuncio de Google y ha dado el consentimiento explícito y facultativo en la app, recibe de nuestro servidor los eventos de reserva de la consulta gratuita, consulta realizada y primera compra: el código del clic en el anuncio (gclid, gbraid o wbraid), el tipo de evento, la fecha y, para la visita realizada y la primera compra, un valor en euros; nunca email, teléfono, nombre, datos de salud ni el contenido de sesiones y mensajes. En el sitio no usamos el píxel de Google Ads y desde la app no le enviamos eventos. Transferencia fuera de la UE basada en el EU-US Data Privacy Framework. Detalles: § 5.2.

7. Sus derechos (Arts. 15–22 RGPD)

Tiene derecho a: acceder a sus datos, rectificarlos, obtener su supresión ("derecho al olvido"), limitar su tratamiento, recibirlos en formato portable, oponerse al tratamiento, revocar en cualquier momento los consentimientos prestados (también cookies analytics y marketing) y el consentimiento específico a la medición de campañas publicitarias dado en la app (§ 5.2), y el consentimiento específico a la medición de campañas publicitarias dado en la app (§ 5.2), y el consentimiento específico a la medición de campañas publicitarias dado en la app (§ 5.2), y el consentimiento específico a la medición de campañas publicitarias dado en la app (§ 5.2), sin perjuicio de la licitud del tratamiento basado en el consentimiento prestado antes de la revocación.

Asimismo puede presentar reclamación ante el Garante italiano para la Protección de los Datos Personales (www.garanteprivacy.it).

Para ejercer sus derechos escriba a privacy@ri-hub.it. La cancelación de la cuenta desde la app conlleva la eliminación de los datos personales en un plazo de 30 días; por obligaciones fiscales y contractuales algunos registros (p. ej. facturación, citas) se conservan en forma seudonimizada durante el tiempo previsto por la ley.

8. Periodo de conservación

Datos de la cuenta y de salud: durante toda la relación y hasta 10 años después de su fin. El motivo es la protección de los derechos, suyos y nuestros: 10 años es el plazo ordinario de prescripción en el derecho italiano (art. 2946 del Código Civil italiano) dentro del cual pueden hacerse valer posibles reclamaciones relacionadas con las prestaciones sanitarias (Ley 24/2017). Los documentos fiscales y contables se conservan durante el tiempo previsto por la ley.
Tokens de autenticación: refresh token renovado en cada acceso, validez máxima 365 días de inactividad.
Datos de analytics (PostHog): 12 meses.
Logs técnicos de seguridad: 6 meses.
Medición de las campañas publicitarias (§ 5.2): un evento que no sale en 6 días se anula; el registro de lo que se ha enviado, cuándo y con qué resultado (nunca los valores) sigue la misma conservación que los datos de cuenta de esta tabla.
Cookie de atribución ri_utm (§ 5.4): 90 días.
Contador anónimo de visitas (§ 5.3): recuentos agregados diarios sin datos personales; no se aplica plazo de conservación al no tratarse de un tratamiento de datos personales.

9. Medidas de seguridad

Adoptamos medidas técnicas y organizativas adecuadas al riesgo conforme al art. 32 RGPD:

Cifrado en tránsito: TLS 1.3 obligatorio en todas las conexiones entre app/sitio y backend, ninguna comunicación en claro.
Cifrado en reposo: los volúmenes en los que residen los datos de salud están cifrados a nivel de disco; los tokens OAuth y los datos más sensibles están además cifrados a nivel aplicativo.
Autenticación: refresh token con hashing SHA-256 y rotación automática; contraseñas nunca almacenadas en claro (hash con algoritmos estándar PBKDF2/argon2).
Minimización en la medición de las campañas: a Google Ads solo le enviamos el código del clic en el anuncio, nunca email, teléfono ni nombre, ni siquiera cifrados (§ 5.2); a Meta y TikTok no les enviamos nada, ni desde nuestro servidor ni desde la app.
Control de accesos (RBAC): roles distintos paciente / fisioterapeuta / administrador con privilegios mínimos; el fisioterapeuta ve solo los datos de los pacientes que tiene asignados.
Audit log: registro inmutable de los accesos a los datos de salud, conservado 6 meses por finalidades de seguridad.
Backup: copias de seguridad cifradas y versionadas, historizadas en región UE, probadas periódicamente.
Localización UE: los datos de salud que conservamos residen en una infraestructura en la nube en el Espacio Económico Europeo. El audio y el vídeo de las videosesiones pasan en tiempo real por los proveedores de videollamada (§ 6) y no se conservan.
Estándar de seguridad de los proveedores: los proveedores de hosting y cloud utilizados operan con certificaciones ISO 27001 / SOC 2 y son conformes al RGPD.
Formación y procedimientos: el personal está formado en privacidad + seguridad; plan de gestión de brechas de datos con notificación al Garante en un plazo de 72 horas (art. 33 RGPD) y al interesado en caso de riesgo elevado (art. 34).

10. Menores

Un menor no puede crear una cuenta Ri-Hub por sí solo: la cuenta siempre pertenece a un adulto. Un progenitor que ejerza la responsabilidad parental, un tutor nombrado por el juez o un acogedor familiar puede añadir a su propia cuenta el perfil de un hijo menor de edad, atendido con el formato Ri-Hub Junior.

Antes de la primera sesión, el progenitor firma en la app, en nombre del hijo, el consentimiento informado al tratamiento de fisioterapia y una declaración responsable (arts. 46-47 del Decreto Presidencial 445/2000) en la que indica si el otro progenitor está informado y de acuerdo, o que decide solo por ser el único titular de la responsabilidad parental. Solo pedimos la firma del otro progenitor en caso de duda, desacuerdo o a petición del director sanitario: sin las firmas necesarias, las sesiones no comienzan.

Los datos de salud del hijo son tratados por el fisioterapeuta, sujeto al secreto profesional, exclusivamente para prestar el servicio sanitario solicitado (art. 9.2.h y 9.3 RGPD), y nunca se utilizan con fines de marketing, elaboración de perfiles o publicidad. El otro progenitor que ejerce la responsabilidad parental tiene derecho, una vez verificada su identidad, a ser informado sobre el tratamiento y a solicitar su suspensión. Los perfiles de los hijos (Ri-Hub Junior) quedan siempre excluidos de la medición de campañas publicitarias descrita en el § 5: ningún evento les afecta nunca, sea cual sea el consentimiento dado en la cuenta del progenitor.

El art. 2-quinquies del Código italiano de protección de datos personales (Decreto Legislativo 196/2003, introducido por el Decreto Legislativo 101/2018) se refiere a los servicios de la sociedad de la información ofrecidos directamente al menor: para estos servicios, a partir de los 14 años el consentimiento del propio menor es válido incluso sin el de los padres. No es el caso de Ri-Hub: nuestro servicio sanitario no se ofrece directamente al menor, y la cuenta siempre pertenece a un progenitor, tutor o acogedor familiar mayor de edad. Si sospecha que un menor ha creado una cuenta a su propio nombre declarando falsamente ser mayor de edad, escriba a privacy@ri-hub.it para solicitar la verificación y, en su caso, la cancelación.

Para información detallada sobre el uso de las cookies (necesarias, analytics, marketing) y sobre los datos técnicos de la app, consulte nuestra Política de Cookies. Puede cambiar su elección en cualquier momento desde el enlace «Gestionar cookies» al pie de cada página (y en la app: Ajustes → Privacidad y datos). La cookie de atribución ri_utm y la medición de las campañas publicitarias se describen en el § 5 de esta política.

12. Modificaciones

Esta información puede ser actualizada. La versión vigente está publicada en ri-hub.it/es/privacy y está reflejada en la app app.ri-hub.it/privacy para garantizar el acceso también en modalidad Capacitor offline. Última revisión: 16 de octubre de 2026.