Política de Privacidad

Versión 3.2 — 21 de julio de 2026

Esta política describe de manera transparente cómo OmniNeo trata los datos personales de sus usuarios, conforme al Reglamento UE 2016/679 (GDPR) y al D.Lgs. italiano 196/2003 (Código de Privacidad), modificado por el D.Lgs. 101/2018.

En resumen. OmniNeo es una herramienta educativa para neonatólogos/pediatras. No recopilamos ni almacenamos datos de pacientes. Los mensajes enviados al AI Assistant no se almacenan en nuestros servidores y son filtrados del lado servidor para bloquear el envío accidental de datos identificativos. No utilizamos cookies de perfilación ni publicidad.

1. Responsable del tratamiento

Ciro Barone, persona física titular del proyecto OmniNeo.
Email: privacy@omni-test.it
Sitio: https://omni-test.it

OmniNeo está en fase de lanzamiento comercial; se constituirá una sociedad ad hoc al alcanzar los umbrales de facturación previstos por la normativa fiscal italiana. La presente política se actualizará en consecuencia.

2. Categorías de datos tratados

El principio de minimización (art. 5 GDPR) guía la recopilación: pedimos lo mínimo necesario para el servicio.

Categoría	Ejemplos	Origen
Identificadores de cuenta	Email, nombre, contraseña (almacenada solo como hash bcrypt)	Proporcionada por el usuario al registrarse
Datos profesionales	Rol (médico/enfermero/matrona), número de colegiación, país	Proporcionada por el usuario — verificable mediante registros públicos
Datos de acceso	Dirección IP, user agent, dispositivo, ciudad/país (geolocalización aproximada)	Calculada al login (sin servicios externos: GeoLite2 local)
Datos de pago	Identificador Stripe, ningún dato de tarjeta en nuestros servidores	Stripe Inc. (EE. UU.) procesa los pagos
Datos de facturación	Código fiscal (Codice Fiscale), dirección de facturación, número de IVA si corresponde — necesarios para emitir la factura electrónica al Sistema de Intercambio (SdI)	Proporcionados por el usuario en la compra (obligación de factura electrónica)
Uso AI Assistant	Recuentos diarios (número de llamadas, modelo, créditos consumidos). NO contenidos de los mensajes.	Calculada automáticamente
Foro / comunidad	Posts, respuestas, perfil público	Proporcionada por el usuario
Reportes clínico-editoriales	Reportes de errores en el formulario de medicamentos y fichas clínicas	Proporcionada por el usuario
Eventos de seguridad	Log de auditoría de acciones sensibles (login, cambio de contraseña, eliminación de cuenta...)	Calculada automáticamente

Categorías especiales (Art. 9 GDPR — datos de salud). OmniNeo no trata datos de salud de pacientes. El producto es una herramienta educativa para profesionales sanitarios habilitados: los contenidos son de literatura médica y razonamiento clínico abstracto, nunca datos identificativos de pacientes reales. El filtro automático anti-PII descrito en el §6 bloquea técnicamente el envío accidental de códigos fiscales, IBAN, NHS/SSN, prefijos clínicos (Sr./Sra. + Apellido), fechas de nacimiento, etc. Si un usuario transmite tales datos por error, el sistema interrumpe la operación y le educa para reformular de forma anónima.

3. Finalidades y bases jurídicas

Finalidad	Base jurídica (Art. 6 GDPR)
Prestación del servicio (registro, login, acceso a contenidos)	Ejecución del contrato (Art. 6.1.b)
Gestión de suscripciones y facturación	Contrato + obligación legal fiscal (Art. 6.1.b + 6.1.c)
Seguridad de la cuenta (rate limit, lockout, audit log, 2FA admin)	Interés legítimo — protección del usuario (Art. 6.1.f)
Funcionamiento del AI Assistant	Ejecución del contrato (Art. 6.1.b) + interés legítimo (sin persistencia de prompts — Art. 6.1.f)
Verificación de inscripción al colegio profesional (badge "Verificado")	Interés legítimo — fiabilidad de la audiencia clínica (Art. 6.1.f); dato ya público por ley
Foro / comunidad (posts públicos)	Consentimiento (Art. 6.1.a)
Cookies funcionales / seguridad / estadísticas	Consentimiento (Art. 6.1.a)
Emisión y transmisión de la factura electrónica al SdI (Agencia Tributaria italiana) y conservación conforme a norma	Obligación legal (Art. 6.1.c)
Cumplimiento de obligaciones legales (facturación, antiblanqueo, accountability GDPR)	Obligación legal (Art. 6.1.c)

4. Proveedores (encargados del tratamiento — Art. 28)

Para prestar el servicio nos apoyamos en los siguientes sujetos, vinculados por acuerdo de tratamiento (DPA) o equivalente:

Proveedor	Rol	Sede	Transferencia
Netsons S.r.l.	Hosting cPanel, base de datos MySQL, email SMTP	Italia (UE)	Ninguna fuera UE
Stripe Inc. / Stripe Payments Europe Ltd.	Pagos, suscripciones, IAP web	EE. UU. / Irlanda (UE)	SCC 2021 + DPA
Openapi S.p.A.	Facturación electrónica: generación y transmisión de la FatturaPA al Sistema de Intercambio (SdI), conservación conforme a norma	Italia (UE)	Ninguna fuera de la UE — DPA Art. 28
Anthropic PBC	Modelos AI (Claude Haiku/Sonnet)	EE. UU.	SCC 2021 + DPA — sin persistencia de prompts
Intuition Machines / hCaptcha	Verificación anti-bot en registro y login	EE. UU.	SCC 2021
Google LLC (futuro)	OAuth Sign-In, Play Billing (Android)	EE. UU.	SCC 2021 + DPA — solo tras consentimiento explícito
Apple Inc. (futuro)	Sign-In with Apple, IAP (iOS)	EE. UU.	SCC 2021 + DPA — solo tras consentimiento explícito
Backblaze Inc. (futuro Fase 4c)	Backup cifrado	EE. UU.	SCC 2021 + DPA — clave no compartida con el proveedor

La lista actualizada y los DPA están disponibles escribiendo a privacy@omni-test.it.

5. Plazos de conservación

Categoría	Tiempo	Motivo
Perfil de usuario	Hasta solicitud de cancelación	Prestación del servicio
Datos de facturación (Stripe, Openapi — conservación conforme a norma)	10 años	Obligación fiscal italiana (D.P.R. 633/1972, art. 22 y 39)
Historial de accesos	12 meses	Seguridad de la cuenta (interés legítimo)
Log de intentos de login (rate limit)	30 días	Seguridad de la cuenta
Eventos de seguridad (auditoría)	12 meses	Accountability GDPR
Recuentos uso AI	Hasta solicitud de cancelación	Estadística cuenta / facturación
Contenidos mensajes AI	0 segundos (no almacenados)	Privacy by design — Art. 25 GDPR
Foro: posts públicos	Hasta cancelación del usuario (con anonimización, salvo solicitud de cancelación completa)	Continuidad de la comunidad

6. Medidas de seguridad

Implementamos medidas técnicas y organizativas adecuadas (Art. 32 GDPR) coherentes con un tratamiento fuera del Art. 9 (sin datos de salud de pacientes):

Transporte: HTTPS obligatorio, HSTS, certificados TLS 1.3, redirect 80→443
Contraseñas: hashing bcrypt cost 12, nunca en texto plano, nunca por email
Sesiones: cookies HttpOnly, Secure, SameSite=Strict, idle timeout 24h, session_version para logout-everywhere
Anti-bruteforce: rate limiting con sliding window, lockout temporal, sleep constante anti-timing
CSRF: token sincronizado en todos los métodos POST sensibles
Anti-bot: hCaptcha en registro y login
Filtro anti-PII hacia Anthropic: 16 categorías regex (CF, IBAN, NHS, SSN, teléfonos, prefijos clínicos IT/EN/ES, fechas de nacimiento, números de historia). Ver security-ai.html para detalle.
2FA admin obligatorio + step-up reauth para acciones sensibles (en deploy en Fase 4a)
Audit log inmutable para accountability (en deploy en Fase 4a)
Backups cifrados offsite con clave no compartida con el proveedor (en deploy en Fase 4c)
Headers HTTP: CSP, X-Frame-Options=DENY, Permissions-Policy restrictiva, Referrer-Policy strict-origin
Geolocalización local: GeoLite2 vendored in-app (sin llamadas HTTP a servicios terceros EE. UU.)

Una descripción técnica completa está disponible en security.html (resumen no técnico) y security-ai.html (detalle anti-PII).

7. Transparencia sobre la inteligencia artificial (Reglamento UE 2024/1689 — AI Act)

De conformidad con las obligaciones de transparencia del Reglamento UE 2024/1689 (AI Act) te informamos de que:

Asistente clínico basado en IA: el asistente de OmniNeo es un sistema de inteligencia artificial. Cuando lo utilizas estás interactuando con una IA, no con una persona; esto se indica de forma clara al iniciar el chat (art. 50, apdo. 1). Sus respuestas tienen finalidad didáctica, pueden contener errores y no sustituyen el juicio clínico ni constituyen un diagnóstico o una indicación terapéutica.
Contenidos producidos con ayuda de la IA: algunos textos e ilustraciones de la app se han producido con la ayuda de herramientas de inteligencia artificial y han sido revisados por un editor humano, bajo la responsabilidad de BaronSoft.
Sin perfil de alto riesgo: OmniNeo no es un producto sanitario y no emplea la IA para decisiones clínicas automatizadas; por lo tanto no se encuentra entre los sistemas de IA de alto riesgo con arreglo al art. 6.

8. Derechos del interesado

Puedes ejercer en cualquier momento los derechos previstos en los arts. 15–22 GDPR:

Acceso (Art. 15): obtener una copia de tus datos. Botón "Descargar mis datos" en el perfil — envía por email un archivo ZIP con todos los datos en JSON (en menos de 60 segundos, link válido 24h, mono-uso). Frecuencia: 1 cada 30 días.
Rectificación (Art. 16): corregir datos inexactos. Desde el perfil o escribiendo a privacy@omni-test.it.
Cancelación / olvido (Art. 17): botón "Eliminar cuenta" en el perfil — requiere contraseña + palabra de confirmación "ELIMINA". La eliminación es efectiva tras un período de gracia de 7 días (cancelable en cualquier momento haciendo login). Pasado el período, la eliminación es completa e irreversible (con pseudonimización automática de los posts del foro, o cancelación completa si se ha seleccionado).
Limitación (Art. 18): suspender el tratamiento. Escríbenos a privacy@omni-test.it.
Portabilidad (Art. 20): recibir los datos en formato estructurado (JSON). Mismo botón "Descargar mis datos".
Oposición (Art. 21): oposición al tratamiento basado en interés legítimo. Escríbenos a privacy@omni-test.it.
Reclamación (Art. 77): presentar reclamación a la autoridad de control italiana (Garante per la Protezione dei Dati Personali) o a la autoridad de tu Estado miembro UE.

9. Cookies

OmniNeo utiliza tres categorías de cookies/SDK:

Técnicas (siempre activas) — sesión, preferencias de tema, aceptación del descargo. No requieren consentimiento (art. 122 D.Lgs. 196/2003).
Funcionales (opt-in) — pre-relleno email login, preferencias UI sincronizadas.
Seguridad (opt-in) — hCaptcha (Intuition Machines, EE. UU., SCC). Sin este consentimiento, registro y login no funcionan.
Estadísticas (opt-in) — estadísticas de uso agregadas y anónimas para entender qué funciones se usan y mejorar la app. Con tu consentimiento registramos eventos categóricos (apertura de una función, clics en los avisos "¿Sabías que?", el destino de una búsqueda, clics desde los enlaces de la newsletter). Nunca registramos datos de pacientes, ni el texto libre de las búsquedas, ni direcciones IP. Los datos se conservan un máximo de 180 días y luego se eliminan. Puedes retirar el consentimiento en cualquier momento desde el banner de cookies.

No utilizamos cookies de perfilación ni publicitarias. El consentimiento se recoge mediante banner conforme a las Directrices del Garante italiano del 10 de junio de 2021 (3 botones con mismo peso visual: "Aceptar todo" / "Rechazar todo" / "Personalizar"). Persistencia: 12 meses, con re-prompt automático al vencimiento. Puedes modificar tus opciones en cualquier momento reabriendo el banner desde el footer de la homepage.

10. Transferencias fuera de la UE

Algunos proveedores tienen sede en EE. UU. Las transferencias se realizan respetando las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea con Decisión 2021/914, integradas con medidas suplementarias cuando sean necesarias según el TJUE C-311/18 (Schrems II): cifrado de los transportes, sin claves gestionadas por los proveedores para los datos más sensibles, sin transferencia de datos de salud.

11. Delegado de Protección de Datos (DPO)

El Responsable ha valorado los criterios obligatorios de nombramiento del DPO (Art. 37 GDPR + Directrices WP243) y no ha nombrado un DPO dado que:

No es autoridad u organismo público
No realiza monitorización sistemática a gran escala de interesados
No trata datos de categorías especiales (Art. 9) ni datos relativos a condenas penales a gran escala — la posición "fuera del Art. 9" se demuestra mediante medidas técnicas (filtro anti-PII, sin persistencia de prompts)

Para cuestiones de privacidad puedes escribir siempre al Responsable a privacy@omni-test.it — recibirás respuesta en un plazo de 30 días (Art. 12.3).

12. Modificaciones

Esta política puede actualizarse por adaptaciones normativas o evolución del servicio. Notificaremos las modificaciones sustanciales por email. La versión actual está siempre disponible en https://omni-test.it/privacy_es.html. Histórico de versiones disponible bajo solicitud.

Contactos

Privacidad / DSAR: privacy@omni-test.it
Seguridad / vulnerability disclosure: security@omni-test.it
Soporte general: support@omni-test.it