Política de Privacidad
Última actualización: 14 de octubre de 2026
1. Introducción y ámbito de aplicación
Esta Política de Privacidad explica cómo Mamini (mamini.app) trata datos personales en relación con su plataforma de gestión de pacientes e historia clínica para profesionales sanitarios («Plataforma») y con su sitio web.
Se aplica a los Miembros cuya cuenta esté registrada en un país distinto de Brasil y a los visitantes de las versiones internacionales de nuestro sitio web. Los Miembros registrados en Brasil se rigen por la Política de Privacidade en lengua portuguesa, disponible en mamini.app/privacidade.
Hemos redactado esta Política para cumplir los estándares del Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, «RGPD») y del RGPD del Reino Unido (UK GDPR), que aplicamos como nivel mínimo de referencia. La sección 15 contiene información adicional para residentes en los Estados Unidos.
2. Quiénes somos
La Plataforma está gestionada por Mamini Ltda., sociedad constituida en Brasil, inscrita con el CNPJ n.º 68.726.254/0001-25 y con domicilio social en Rua Alessandro di Berardo, 1900, Jundiaí, São Paulo, Brasil («Mamini», «nosotros» o «nuestro»). Somos el responsable del tratamiento descrito en la sección 3.1.
- Delegado de protección de datos: [email protected]
3. Nuestro papel
3.1 Mamini como responsable del tratamiento
Decidimos cómo y por qué se tratan los datos personales y, por tanto, somos el responsable del tratamiento, en relación con:
- Los datos personales de los profesionales sanitarios registrados como Miembros de la Plataforma, ya sean Miembros Individuales o Miembros de una Clínica
- Los datos personales de los colaboradores con un perfil de secretaría concedido por el Administrador de una Clínica, descritos en la sección 4.4
- Los datos personales de los visitantes de nuestro sitio web
- Los datos de contacto comerciales y administrativos
3.2 Mamini como encargado del tratamiento
Tratamos Datos de Pacientes (datos personales de los Pacientes y de sus padres o tutores legales) por cuenta de los Miembros. Cada Miembro, como profesional sanitario, es el responsable del tratamiento de los Datos de Pacientes que introduce y trata, y nosotros actuamos como su encargado del tratamiento, siguiendo sus instrucciones conforme a lo establecido en la Sección 10 de nuestros Términos de Uso y en la configuración de la Plataforma.
Los Miembros pueden crear una Clínica, un espacio colaborativo al que pueden invitar a otros Miembros para compartir el acceso a Pacientes e historias clínicas. Dentro de una Clínica, cada Miembro sigue siendo el responsable del tratamiento de los Datos de Pacientes que introduce o trata. Cuando varios Miembros de una Clínica comparten un mismo Paciente, dichos Miembros son corresponsables del tratamiento de los datos compartidos. En esencia, cada Miembro es responsable de los datos que introduce y de informar a los Pacientes a los que atiende, y un Paciente puede ejercer sus derechos ante cualquier Miembro que le atienda.
Si usted es Paciente, el profesional sanitario que le atiende es responsable de sus datos y debe facilitarle su propia información sobre privacidad. Las solicitudes relativas a sus datos deben dirigirse a dicho profesional (véase la sección 13).
3.3 Cierre de la cuenta
Cuando un Miembro cierra su cuenta, sus datos personales como Miembro se suprimen dentro de los plazos indicados en la sección 11. No obstante, los Datos de Pacientes que el Miembro haya introducido dentro de una Clínica siguen estando disponibles para los demás Miembros de dicha Clínica, que continúan actuando como responsables del tratamiento. Los registros de autoría de las notas de evolución y de los documentos clínicos elaborados por el Miembro permanecen asociados a su nombre y a su registro profesional, con el fin de preservar la integridad de la historia clínica.
4. Datos personales que tratamos
4.1 Miembros
- Datos identificativos y profesionales: nombre completo, dirección de correo electrónico, número de teléfono, país, número de registro profesional y organismo que lo expide, y número de identificación fiscal cuando sea necesario para la facturación
- Credenciales de acceso: su contraseña se almacena como hash criptográfico; nunca tenemos acceso a ella en texto plano
- Datos de uso: registros de inicio de sesión, acciones realizadas en la Plataforma, dirección IP e identificadores de sesión
- Datos de pago: nombre del titular de la tarjeta, últimos 4 dígitos y marca de la tarjeta. Los datos completos de la tarjeta son tratados directamente por Stripe y nunca pasan por nuestros servidores ni se almacenan en ellos
- Relaciones en Clínicas: pertenencia e invitaciones entre Miembros que comparten el acceso a Pacientes
- Uso del asistente de IA: el número diario de consultas realizadas, a efectos de los límites de uso
4.2 Visitantes del sitio web
- Datos de navegación: páginas visitadas, tiempo de permanencia en la página, fuente de tráfico
- Identificadores de dispositivo y cookies, en las condiciones previstas en la sección 8
- Datos que usted facilite en los formularios de contacto, cuando proceda
4.3 Datos de Pacientes (tratados como encargado del tratamiento)
Los Datos de Pacientes son introducidos por los Miembros y pueden incluir: datos identificativos (nombre, fecha de nacimiento, documentos de identidad), datos de contacto, datos de los padres o tutores legales, historial clínico, notas de evolución, mediciones y valoraciones, imágenes clínicas, fotografías, escaneos tridimensionales de la cabeza, documentos adjuntos y datos de citas.
Los Datos de Pacientes incluyen datos relativos a la salud, una categoría especial de datos personales, y con frecuencia se refieren a lactantes y niños, dada la finalidad de las herramientas clínicas de la Plataforma.
4.4 Perfiles de secretaría
- Dirección de correo electrónico, facilitada por el Administrador de la Clínica al conceder el acceso
- Nombre, utilizado únicamente para enviar la invitación de acceso y no almacenado
- Credenciales de acceso: la contraseña se almacena como hash criptográfico; nunca tenemos acceso a ella en texto plano
- Datos de uso: registros de inicio de sesión, acciones realizadas en la Plataforma, dirección IP e identificadores de sesión
- Relación con la Clínica: el perfil de acceso concedido y, cuando proceda, el profesional al que está vinculado
5. Finalidades y bases jurídicas
5.1 Miembros
| Finalidad | Base jurídica (RGPD) |
|---|---|
| Prestación de la Plataforma y gestión de su cuenta | Ejecución de un contrato (art. 6.1.b) RGPD) |
| Cobro, facturación y obligaciones tributarias | Ejecución de un contrato y obligación legal (art. 6.1.b) y c) RGPD) |
| Comunicaciones operativas (avisos, actualizaciones, soporte) | Ejecución de un contrato (art. 6.1.b) RGPD) |
| Seguridad, prevención del fraude, registros de acceso y monitorización de errores | Interés legítimo en proteger la Plataforma y a sus usuarios (art. 6.1.f) RGPD) |
| Analítica del uso del sitio web y de la Plataforma mediante cookies | Consentimiento (art. 6.1.a) RGPD) |
| Comunicaciones comerciales | Consentimiento (art. 6.1.a) RGPD) |
| Formulación, ejercicio o defensa de reclamaciones | Interés legítimo (art. 6.1.f) RGPD) |
5.2 Visitantes del sitio web
| Finalidad | Base jurídica (RGPD) |
|---|---|
| Analítica mediante Google Analytics | Consentimiento (art. 6.1.a) RGPD) |
| Respuesta a las solicitudes recibidas a través del formulario de contacto | Aplicación de medidas precontractuales o interés legítimo (art. 6.1.b) o f) RGPD) |
5.3 Datos de Pacientes
Como encargado del tratamiento, tratamos los Datos de Pacientes únicamente siguiendo las instrucciones del Miembro. El Miembro, como responsable del tratamiento, determina la base jurídica. En el Espacio Económico Europeo (EEE) y en el Reino Unido, el tratamiento de datos de salud por parte de un profesional sanitario se basa normalmente en el artículo 9.2.h) del RGPD (prestación de asistencia sanitaria por un profesional sujeto a la obligación de secreto profesional). Fuera del EEE y del Reino Unido, la base jurídica es la prevista por la legislación aplicable al Miembro.
Cuando el Paciente sea un menor, el Miembro es responsable de velar por el interés superior del menor y de respetar las normas de su jurisdicción en materia de información, consentimiento o autorización de los padres o tutores legales.
Cuando el RGPD no sea aplicable, nos basamos en las bases jurídicas equivalentes disponibles conforme a la legislación aplicable al tratamiento.
5.4 Perfiles de secretaría
| Finalidad | Base jurídica (RGPD) |
|---|---|
| Creación, autenticación y gestión del acceso concedido por el Administrador de la Clínica | Interés legítimo en habilitar el acceso solicitado por el Administrador de la Clínica (art. 6.1.f) RGPD) |
| Seguridad, prevención del fraude, registros de acceso y monitorización de errores | Interés legítimo en proteger la Plataforma y a sus usuarios (art. 6.1.f) RGPD) |
6. Confirmación de citas y mensajes a los Pacientes
Por cada cita creada en la Plataforma se genera una página de confirmación de la cita que muestra únicamente el nombre completo del Paciente, para que la cita pueda identificarse. Se accede a la página a través de una URL aleatoria, no está indexada por los motores de búsqueda, solo la conocen quienes disponen del enlace y deja de mostrar el nombre del Paciente 48 horas después de la hora de la cita.
Los Miembros también pueden activar mensajes automáticos a los Pacientes, como solicitudes de confirmación de cita o recordatorios, por correo electrónico o WhatsApp. Los mensajes contienen el nombre del Paciente, el nombre del profesional y la fecha y hora de la cita, y permiten al Paciente confirmarla o cancelarla. El Miembro decide si utiliza esta funcionalidad y es responsable de informar a sus Pacientes.
Cuando se utiliza WhatsApp, los mensajes se envían a través de la infraestructura de Meta Platforms, que recibe el número de teléfono del Paciente y el contenido del mensaje. Ello implica una transferencia internacional conforme a la sección 10. Los mensajes se envían desde un único número de Mamini utilizado exclusivamente para envíos automáticos. Si el Paciente responde a través de este canal, la comunicación queda sujeta también a la política de privacidad de Meta, y Mamini no almacena el contenido enviado por el Paciente.
Si un Paciente solicita dejar de recibir estos mensajes, el Miembro es responsable de eliminar la dirección de correo electrónico o el número de teléfono del Paciente de sus registros en la Plataforma, o de desactivar el canal en su configuración.
7. Asistente de inteligencia artificial
Cuando está activado para un Miembro, la Plataforma ofrece un asistente basado en inteligencia artificial que responde a preguntas formuladas en lenguaje natural sobre datos a los que el Miembro ya tiene acceso en la Plataforma.
Para prestar esta funcionalidad, la pregunta del Miembro y los datos necesarios para responderla (que pueden incluir datos identificativos y clínicos de Pacientes, citas, notas de evolución, mediciones e información financiera vinculada al Miembro) se envían a Google LLC (Gemini API), subencargado del tratamiento indicado en la sección 9. Ello implica una transferencia internacional conforme a la sección 10.
- Los datos enviados se limitan a aquellos a los que el Miembro ya tiene acceso; no se envían datos de otros Miembros ni de Clínicas a las que el Miembro no pertenezca
- Conforme a nuestras condiciones con Google, el contenido enviado a través del asistente no se utiliza para entrenar los modelos de Google
- Mamini no almacena el contenido de las preguntas ni de las respuestas; solo conservamos un recuento diario de consultas por Miembro, para aplicar los límites de uso
- El asistente no toma decisiones sobre ninguna persona. Sus resultados son sugerencias que revisa el Miembro, y ninguna decisión que produzca efectos jurídicos o efectos significativos similares se basa únicamente en un tratamiento automatizado
8. Cookies y tecnologías similares
Utilizamos las siguientes categorías de cookies:
- Cookies esenciales: necesarias para el funcionamiento de la Plataforma, incluida la autenticación de la sesión (cookies HttpOnly y Secure) y las medidas de seguridad. No requieren consentimiento.
- Cookies analíticas: utilizadas por Google Analytics para entender cómo se utilizan nuestro sitio web y la Plataforma. Solo se instalan después de que usted haya prestado su consentimiento a través del banner de cookies.
Puede modificar o retirar su consentimiento en cualquier momento a través del enlace «Preferencias de cookies» situado en el pie de página de nuestro sitio web. La retirada del consentimiento no afecta a la licitud del tratamiento realizado antes de dicha retirada.
Dado que las cookies no esenciales solo se instalan tras su consentimiento, no respondemos de forma específica a las señales «Do Not Track» del navegador.
9. Subencargados del tratamiento y comunicaciones de datos
Contamos con proveedores de servicios que tratan datos personales por nuestra cuenta, todos ellos obligados contractualmente a cumplir estándares de seguridad y confidencialidad acordes con la normativa de protección de datos aplicable. Estos proveedores pueden, a su vez, recurrir a sus propios subencargados del tratamiento, sujetos a obligaciones equivalentes, cuyas listas mantiene y publica cada uno de ellos.
| Subencargado del tratamiento | Finalidad | Ubicación |
|---|---|---|
| Railway | Alojamiento de la aplicación y de la base de datos | Estados Unidos |
| Amazon Web Services (S3) | Almacenamiento de documentos clínicos, fotografías, archivos de escaneos 3D de la cabeza, adjuntos, avatares y logotipos | Estados Unidos |
| Cloudflare | DNS, distribución de contenidos y protección frente a ataques | Global |
| Resend | Envío de correos electrónicos transaccionales | Estados Unidos |
| Meta Platforms (WhatsApp Business Platform) | Mensajes de confirmación y recordatorio de citas a los Pacientes, cuando el Miembro los activa | Estados Unidos / Irlanda |
| Stripe | Procesamiento de pagos | Estados Unidos / Irlanda |
| Sentry (Functional Software, Inc.) | Monitorización de errores y rendimiento, con filtrado de los datos personales antes del envío | Estados Unidos |
| Google LLC (Google Analytics) | Analítica del uso del sitio web y de la Plataforma, con consentimiento | Estados Unidos |
| Google LLC (Gemini API) | Asistente de inteligencia artificial, cuando está activado para el Miembro | Estados Unidos |
| Valid Certificadora (VIDaaS) y Soluti (Bird ID) | Firmas digitales ICP-Brasil, solo para Miembros registrados en Brasil | Brasil |
La propia Mamini está establecida en Brasil, y nuestro equipo accede a los datos desde Brasil.
También podemos comunicar datos personales:
- Para cumplir una obligación legal o una orden de una autoridad competente
- Para la formulación, el ejercicio o la defensa de reclamaciones
- En caso de reorganización societaria, fusión o adquisición, con las mismas garantías previstas en esta Política
No vendemos datos personales.
10. Transferencias internacionales de datos
Mamini está establecida en Brasil, y la mayoría de nuestros proveedores de infraestructura se encuentran en los Estados Unidos. Solo realizamos transferencias internacionales de datos personales con las garantías adecuadas:
- Del EEE a Brasil: la Comisión Europea ha reconocido que Brasil ofrece un nivel de protección adecuado (decisión de adecuación adoptada en enero de 2026, conforme al artículo 45 del RGPD).
- Transferencias ulteriores a nuestros subencargados del tratamiento fuera del EEE y de Brasil: cláusulas contractuales tipo adoptadas por la Comisión Europea y/o, cuando el proveedor esté certificado, el Marco de Privacidad de Datos UE-EE. UU., junto con las garantías exigidas por la legislación brasileña.
- Desde el Reino Unido: el Anexo de Transferencia Internacional de Datos del Reino Unido (UK International Data Transfer Addendum) a las cláusulas contractuales tipo, u otro mecanismo reconocido por la legislación del Reino Unido.
- Desde otros países: las garantías exigidas por la legislación del país de origen.
Puede solicitar información sobre las garantías aplicadas poniéndose en contacto con nosotros (sección 17).
11. Conservación
| Categoría de datos | Plazo de conservación |
|---|---|
| Datos del Miembro, mientras la cuenta esté activa | Mientras dure la cuenta |
| Datos del Miembro tras el cierre de la cuenta | Hasta 90 días para permitir la recuperación de la cuenta, y después se suprimen o anonimizan, salvo que la ley exija su conservación |
| Datos de perfiles de secretaría | Mientras exista el perfil, incluso si está desactivado; se suprimen cuando el Administrador de la Clínica elimina el perfil, salvo los registros, que se conservan durante los plazos indicados en esta tabla |
| Datos de Pacientes introducidos dentro de una Clínica | Permanecen en la Clínica, bajo la responsabilidad de los Miembros que sigan formando parte de ella |
| Datos de Pacientes introducidos fuera de una Clínica, tras el cierre de la cuenta | Se suprimen en un plazo de 90 días, salvo que la ley exija su conservación |
| Historias clínicas y documentos clínicos | Durante los plazos exigidos por la legislación y las normas profesionales aplicables al Miembro, bajo la responsabilidad del Miembro |
| Registros de los mensajes enviados a los Pacientes | 90 días desde el envío, incluidos el correo electrónico o el número de teléfono utilizado y el estado de entrega |
| Registros de acceso a la aplicación | 6 meses, conforme a lo exigido por la legislación brasileña (Ley n.º 12.965/2014) |
| Registros de auditoría de accesos a datos sensibles | 12 meses |
| Datos de facturación y contractuales | 5 años tras la finalización de la relación, o más si así lo exige la ley |
12. Seguridad
Aplicamos medidas técnicas y organizativas para proteger los datos personales que tratamos, entre ellas:
- Cifrado en tránsito (TLS) de todas las comunicaciones
- Cifrado en reposo de la base de datos y del almacenamiento de archivos
- Autenticación de la sesión mediante cookies HttpOnly y Secure
- Control de acceso basado en roles y separación de los datos entre Miembros y Clínicas
- Registros de auditoría de accesos a datos sensibles
- Filtrado de los datos personales antes del envío de eventos a la monitorización de errores, y ausencia de grabación de sesiones
- Copias de seguridad periódicas
- Un procedimiento de gestión de incidentes de seguridad
Ningún sistema es completamente inmune a los incidentes. Si se produce una violación de la seguridad de los datos personales, la notificaremos a la autoridad de control competente cuando sea obligatorio (en un plazo de 72 horas, conforme al RGPD) y a las personas afectadas cuando sea probable que la violación entrañe un alto riesgo para sus derechos. Cuando la violación afecte a Datos de Pacientes, lo notificaremos a los Miembros afectados conforme a la Sección 10 de nuestros Términos de Uso.
13. Sus derechos
En función de la legislación que le sea aplicable y, en particular, conforme al RGPD, usted tiene derecho a:
- Acceder a sus datos personales y obtener una copia
- Rectificar los datos inexactos o incompletos
- Suprimir sus datos, cuando ya no exista un motivo legal para conservarlos
- Limitar el tratamiento de sus datos en determinadas circunstancias
- La portabilidad de los datos, recibiendo los datos que nos haya facilitado en un formato estructurado, de uso común y de lectura mecánica
- Oponerse al tratamiento basado en el interés legítimo
- Retirar su consentimiento en cualquier momento, sin que ello afecte al tratamiento realizado antes de su retirada
- No ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o le afecten significativamente de modo similar
Para ejercer sus derechos, escriba a [email protected]. Le responderemos en el plazo de un mes, que podrá prorrogarse otros dos meses en caso de solicitudes complejas, en cuyo caso se lo comunicaremos. Podemos solicitarle información para confirmar su identidad.
Asimismo, tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el país en el que resida o trabaje. En España, la autoridad competente es la Agencia Española de Protección de Datos (aepd.es).
Pacientes: las solicitudes relativas a Datos de Pacientes deben dirigirse al profesional sanitario que le atiende, que es el responsable del tratamiento. Si recibimos una solicitud de este tipo, la remitiremos al Miembro competente sin dilación indebida.
Límites a la supresión: la supresión solicitada por un Miembro se aplica a sus datos personales como Miembro. Tal como se describe en las secciones 3.3 y 11, no se extiende a los Datos de Pacientes introducidos dentro de una Clínica, que permanecen bajo la responsabilidad de sus demás Miembros, ni a los registros de autoría de los documentos clínicos. Los datos sujetos a obligaciones legales de conservación, incluidas las historias clínicas y los datos de facturación, se conservan durante los plazos exigidos por la ley.
14. Menores
La Plataforma está destinada a profesionales sanitarios adultos y no está dirigida a menores. Los Datos de Pacientes pueden incluir datos de menores, introducidos por los Miembros como responsables del tratamiento, a quienes corresponde cumplir las normas de su jurisdicción en materia de datos de menores.
15. Información adicional para residentes en los Estados Unidos
- HIPAA: actualmente, Mamini no celebra Business Associate Agreements (acuerdos de asociado comercial). Tal como se establece en nuestros Términos de Uso, las entidades cubiertas y los asociados comerciales sujetos a la HIPAA no deben utilizar la Plataforma para información sanitaria protegida.
- No venta de información personal: no vendemos información personal ni utilizamos los Datos de Pacientes con fines publicitarios.
- Derechos de privacidad estatales: en función de su estado de residencia, puede tener derecho a acceder a su información personal, corregirla o suprimirla, o a excluirse de determinados tratamientos. Cuando estas leyes sean aplicables, puede ejercer estos derechos a través de [email protected], y no le discriminaremos por ello.
- Datos de salud de los consumidores: tratamos los Datos de Pacientes como encargado del tratamiento por cuenta de los Miembros. Las solicitudes relativas a estos datos deben dirigirse al profesional que atiende al Paciente.
- Consulta y modificación de su información: puede consultar y actualizar la información de su cuenta en la configuración de la Plataforma o poniéndose en contacto con nosotros.
16. Modificaciones de esta Política
Podemos actualizar esta Política para reflejar cambios normativos, operativos o del servicio. Los cambios sustanciales se notificarán a los Miembros por correo electrónico y/o mediante un aviso en la Plataforma antes de que entren en vigor. La versión vigente es siempre la publicada en mamini.app/es/privacidad, con su fecha de última actualización.
17. Contacto
- Delegado de protección de datos: [email protected]
- Consultas generales: [email protected]
- Dirección postal: Mamini Ltda., Rua Alessandro di Berardo, 1900, Jundiaí, São Paulo, Brasil
18. Legislación aplicable
Esta Política se rige por las leyes de la República Federativa de Brasil, sin perjuicio de las disposiciones imperativas de la normativa de protección de datos que le sea aplicable y de su derecho a presentar una reclamación ante una autoridad de control o a ejercitar acciones ante los tribunales de su país de residencia.