Legal
Política de privacidad
Última actualización: 8 oct 2026 · Versión 0.1 (borrador)
Borrador pendiente de revisión jurídica
Este texto es un borrador de trabajo. Lo está revisando un/a abogado/a y puede cambiar antes del lanzamiento.
En Vínculo tratamos información muy delicada: la de quienes buscan ayuda psicológica y la de los profesionales que la prestan. Esta política explica qué datos tratamos, para qué, con qué base legal, cuánto tiempo los guardamos y qué derechos tienes. Se aplica a https://vinculo.app, a la app y a nuestras comunicaciones contigo.
Lo esencial:
- Vínculo es un directorio con reserva y una herramienta de gestión para psicólogos/as. No es un centro sanitario: tu terapia la presta tu psicólogo/a, que decide sobre tu historia clínica.
- No vendemos tus datos ni los usamos para publicidad. No hay píxeles publicitarios ni rastreadores de terceros en las páginas de reserva o de terapia.
- Tus datos se alojan en la Unión Europea, las notas clínicas se guardan cifradas y las videoconsultas no se graban.
- Puedes ejercer tus derechos desde los ajustes de tu cuenta o en privacidad@vinculo.app.
1. Quiénes somos
- Titular: Vínculo Salud Digital, S.L. (en constitución).
- NIF: [pendiente: NIF].
- Domicilio social: [pendiente: domicilio social], Madrid (España).
- Registro Mercantil: [pendiente: datos registrales].
- Contacto de privacidad: privacidad@vinculo.app.
- Delegado/a de Protección de Datos: dpo@vinculo.app (apartado 12).
2. Nuestros dos papeles
El responsable del tratamiento decide para qué y cómo se usan los datos. El encargado los trata por cuenta del responsable y siguiendo sus instrucciones (arts. 4 y 28 del Reglamento General de Protección de Datos, RGPD). Vínculo tiene los dos papeles:
| Información | Quién es responsable | Papel de Vínculo |
|---|---|---|
| Tu cuenta, búsquedas, favoritos y el asistente «Ayúdame a elegir» | Vínculo | Responsable |
| Reservas, cuestionario previo, pagos, bonos y suscripciones | Vínculo | Responsable |
| Mensajes con un profesional antes de tu primera sesión pagada | Vínculo | Responsable |
| Tu diario de estado de ánimo mientras no lo compartes | Vínculo | Responsable |
| Valoraciones, incidencias y atención al cliente | Vínculo | Responsable |
| Datos de los profesionales: alta, verificación, perfil, cobros y DAC7 | Vínculo | Responsable |
| Historia clínica: notas, anotaciones subjetivas, consentimientos, cuestionarios (PHQ-9, GAD-7), tareas y resúmenes | Tu psicólogo/a | Encargado |
| Diario que compartes, mensajes tras la reserva y videoconsultas | Tu psicólogo/a | Encargado |
| Facturas de tus sesiones, emitidas en nombre de tu psicólogo/a | Tu psicólogo/a | Encargado |
Como encargado, tratamos los datos solo para prestar el servicio al profesional, con las garantías del Contrato de encargo del tratamiento. Tu psicólogo/a te dará su propia información de protección de datos y atiende tus derechos sobre la historia clínica (apartado 11.3).
[pendiente: confirmar con abogado/a — el chat es un único hilo que pasa de Vínculo como responsable al profesional como responsable tras la primera sesión pagada; validar el reparto y cómo informarlo en el propio chat.]
3. Qué datos tratamos
- Si buscas atención: nombre, correo, teléfono (opcional) y fecha de nacimiento; búsquedas y favoritos; respuestas al asistente; datos de tus reservas y del cuestionario previo (motivo de consulta, terapia previa y objetivos); pagos; NIF y domicilio si pides factura completa; mensajes, valoraciones y consultas al soporte; tu diario, si lo usas. Los datos completos de tu tarjeta los trata Stripe, no Vínculo.
- Si eres profesional: identidad y documento de identidad; titulación, colegio y número de colegiado/a, registro sanitario de tu consulta y seguro; tu perfil público; datos de cobro y verificación (KYC) a través de Stripe; ingresos y gastos de las herramientas fiscales; datos DAC7 (NIF, domicilio, fecha de nacimiento e IBAN); y tu calendario, si lo conectas.
- Para todas las personas: dirección IP, dispositivo, registros de acceso y de seguridad e identificador de notificaciones push.
Si reservas terapia de pareja e indicas el nombre y el correo de la otra persona, asegúrate de que lo sabe. Le enviaremos una invitación con un enlace a esta política (art. 14 RGPD).
4. Para qué y con qué base
4.1 Si buscas atención psicológica
| Finalidad | Datos | Base jurídica | Conservación |
|---|---|---|---|
| Gestionar tu cuenta | Identificación, contacto, fecha de nacimiento | Contrato (art. 6.1.b RGPD) | Mientras esté activa y 12 meses bloqueados tras su cierre |
| Buscar profesionales y guardar favoritos | Criterios, ubicación aproximada, favoritos | Contrato (art. 6.1.b) | Favoritos, hasta que los borres; criterios, no se guardan [pendiente: confirmar con producto] |
| Asistente «Ayúdame a elegir» (opcional) | Motivo de consulta, preferencias, modalidad, presupuesto | Consentimiento explícito (arts. 6.1.a y 9.2.a) | Solo durante la búsqueda, salvo que decidas guardarlas [pendiente: confirmar con producto] |
| Reservar y gestionar sesiones | Datos de la reserva, cuestionario previo, confirmación de mayoría de edad | Contrato (art. 6.1.b) y consentimiento explícito para los datos de salud (art. 9.2.a) | Mientras la cuenta esté activa y 12 meses bloqueados |
| Pagos, bonos, suscripciones y reembolsos | Importes, estado y medio de pago | Contrato (art. 6.1.b) y obligación legal (art. 6.1.c) | 6 años (art. 30 del Código de Comercio) |
| Mensajes antes de la primera sesión pagada | Contenido y metadatos; ocultación automática de teléfonos, correos y enlaces | Contrato (art. 6.1.b), interés legítimo en la seguridad (art. 6.1.f) y consentimiento explícito si compartes datos de salud (art. 9.2.a) | Mientras la relación esté activa y [pendiente: plazo] |
| Diario de estado de ánimo | Ánimo, energía, ansiedad, sueño, emociones, notas | Consentimiento explícito (art. 9.2.a) | Hasta que lo borres o cierres la cuenta |
| Valoraciones tras la sesión | Respuestas cerradas y comentario privado | Consentimiento explícito (arts. 6.1.a y 9.2.a) | Mientras el perfil del profesional esté activo |
| Comunicaciones comerciales (opcional) | Nombre y correo | Consentimiento (art. 6.1.a RGPD y art. 21 LSSI) | Hasta tu baja |
| Lista de espera | Correo, perfil y ciudad | Consentimiento (art. 6.1.a) | Hasta tu baja o 12 meses tras el lanzamiento en tu ciudad |
4.2 Si eres profesional
| Finalidad | Datos | Base jurídica | Conservación |
|---|---|---|---|
| Verificar tu habilitación | Identidad, titulación, colegiación, registro sanitario, seguro | Contrato (art. 6.1.b), obligación legal (art. 6.1.c: art. 10 LSSI y art. 6 RD 1277/2003) e interés legítimo en proteger a los pacientes (art. 6.1.f) | Mientras tengas cuenta y [pendiente: propuesta 5 años] bloqueados tras la baja |
| Publicar tu perfil y servicios | Perfil público y credenciales verificadas | Contrato (art. 6.1.b) | Mientras esté publicado |
| Ordenar los perfiles en la búsqueda | Agenda publicada, tiempo de respuesta, cancelaciones y ausencias, perfil completo | Contrato (art. 6.1.b) y Reglamento (UE) 2019/1150 | Ventana móvil de [pendiente: 90 días] |
| Cobros con Stripe Connect | KYC, cuenta bancaria, importes | Contrato (art. 6.1.b) y obligación legal (art. 6.1.c) | Según la normativa de pagos y de prevención del blanqueo, aplicada por Stripe |
| Facturar nuestras tarifas | Datos fiscales e importes | Obligación legal (art. 6.1.c) | 4 años (Ley General Tributaria) y 6 años (art. 30 del Código de Comercio) |
| Herramientas fiscales | Ingresos, gastos y justificantes | Contrato (art. 6.1.b) | Mientras tengas cuenta; puedes exportarlos |
| Declaración DAC7 | Identificación fiscal, IBAN, importes y comisiones | Obligación legal (art. 6.1.c; Ley 13/2023 y RD 117/2024) | 10 años [pendiente: confirmar] |
| Sincronizar tu calendario (opcional) | Permisos de acceso y franjas ocupadas | Contrato (art. 6.1.b) | Hasta que lo desconectes |
4.3 Para todas las personas usuarias
| Finalidad | Datos | Base jurídica | Conservación |
|---|---|---|---|
| Seguridad y prevención del fraude | IP, dispositivo, registros técnicos | Interés legítimo (art. 6.1.f) | [pendiente: propuesta 12 meses] |
| Avisos del servicio | Correo e identificador push | Contrato (art. 6.1.b) | Mientras la cuenta esté activa |
| Soporte, incidencias y denuncias de contenidos | Lo que nos envíes | Contrato (art. 6.1.b) y obligación legal (arts. 16 y 17 del Reglamento (UE) 2022/2065) | [pendiente: propuesta 12 meses tras el cierre] |
| Obligaciones legales y reclamaciones | Los necesarios en cada caso | Obligación legal (art. 6.1.c), interés legítimo (art. 6.1.f) y, para datos de salud, art. 9.2.f | Plazos de prescripción |
| Riesgo grave para la vida de una persona | Los imprescindibles | Interés vital (arts. 6.1.d y 9.2.c) | El tiempo imprescindible |
5. Tus datos de salud
Saber que alguien reserva con un/a psicólogo/a ya revela información sobre su salud. Por eso tratamos tus reservas, el cuestionario previo, las respuestas al asistente y los mensajes como categorías especiales de datos (art. 9 RGPD), aunque no sean historia clínica.
Para tratarlos te pedimos tu consentimiento explícito al reservar o al usar el asistente. Puedes retirarlo cuando quieras desde los ajustes o en privacidad@vinculo.app. Retirarlo no afecta a lo ya tratado (art. 7.3 RGPD) ni a la historia clínica que custodia tu psicólogo/a, pero nos impedirá gestionar nuevas reservas tuyas. [pendiente: confirmar con abogado/a — si la gestión de citas debe basarse en el consentimiento explícito (art. 9.2.a) o puede tratarse por cuenta del profesional al amparo de los arts. 9.2.h y 9.3 RGPD.]
Nuestros compromisos:
- Tu cuestionario previo solo lo ve el profesional con quien reservas. Una vez se lo comunicamos, forma parte de tu historia clínica, bajo su responsabilidad.
- No usamos datos de salud para publicidad, perfiles comerciales ni entrenamiento de inteligencia artificial, y no los vendemos.
- No incluimos datos de salud en notificaciones, asuntos de correo, eventos de calendario, direcciones web ni registros técnicos.
- Las facturas llevan descripciones neutras, sin diagnósticos.
Tu psicólogo/a trata tu historia clínica al amparo del art. 9.2.h RGPD, la disposición adicional 17.ª de la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 41/2002. Para eso no necesita tu consentimiento en materia de protección de datos, pero sí te pedirá el consentimiento informado para la intervención.
6. Solo personas adultas
Vínculo es solo para mayores de 18 años. Pedimos tu fecha de nacimiento al registrarte y una confirmación expresa al reservar. Si detectamos la cuenta de una persona menor, la desactivaremos y suprimiremos sus datos, salvo los que debamos conservar por ley. La atención a menores exige garantías adicionales (art. 9 de la Ley 41/2002 y art. 57 de la LO 8/2021) que hoy no ofrecemos.
7. Con quién compartimos datos
7.1 Destinatarios
- El profesional con quien reservas o hablas, solo con los datos necesarios.
- Nuestros proveedores, como encargados con contrato del art. 28 RGPD (tabla siguiente).
- Stripe, que además es responsable independiente de ciertos datos para prevenir el fraude y el blanqueo (política de Stripe).
- La Agencia Tributaria: registros Verifactu de las facturas y declaración DAC7 de los profesionales.
- Autoridades y tribunales, cuando una norma lo exija.
- Servicios de emergencia, solo ante un riesgo grave e inminente para la vida (art. 18 del Reglamento (UE) 2022/2065).
No cedemos datos a anunciantes, aseguradoras, empleadores ni intermediarios de datos.
7.2 Proveedores
| Proveedor | Servicio | Ubicación de los datos | Garantías |
|---|---|---|---|
| Supabase | Base de datos, autenticación y archivos | UE [pendiente: confirmar región, p. ej. Fráncfort] | Contrato de encargo |
| LiveKit | Videoconsulta en tiempo real, sin grabación | UE [pendiente: confirmar región UE y plan] | Contrato de encargo |
| Stripe Payments Europe, Ltd. | Pagos, Stripe Connect y KYC de profesionales | Irlanda; posibles transferencias a Stripe, Inc. (EE. UU.) | Contrato de encargo; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo [pendiente: confirmar] |
| Resend | Envío de correo electrónico | EE. UU. | Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo [pendiente: confirmar]; correos sin datos de salud |
| Cloudflare | Alojamiento web, CDN y seguridad | Red global [pendiente: confirmar configuración de localización de datos en la UE] | Contrato de encargo y garantías de transferencia [pendiente: confirmar] |
| Proveedor Verifactu [pendiente: elección entre Invopop y Verifacti] | Facturas y envío de registros a la AEAT | UE [pendiente: confirmar] | Contrato de encargo |
| Expo | Notificaciones push de la app | EE. UU. [pendiente: confirmar] | Sin datos de salud; garantías de transferencia [pendiente: confirmar] |
| Google Calendar / Microsoft Outlook | Sincronización del calendario, si el profesional la activa | Según la cuenta del profesional | Contratados por el profesional; eventos sin datos de salud |
8. Transferencias internacionales
Alojamos los datos en la Unión Europea. Si un proveedor los trata fuera del Espacio Económico Europeo, lo hace con las garantías del capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) o cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914) con una evaluación de la transferencia. El Marco está recurrido ante el Tribunal de Justicia de la UE; si se anulara, usaríamos cláusulas tipo con medidas adicionales o cambiaríamos de proveedor. La historia clínica no sale del Espacio Económico Europeo [pendiente: confirmar con la configuración final de Supabase, LiveKit y Cloudflare]. Puedes pedir copia de las garantías en privacidad@vinculo.app.
9. Cuánto tiempo conservamos
Conservamos los datos el tiempo indicado en el apartado 4. Después los bloqueamos: solo quedan a disposición de jueces, tribunales y autoridades mientras puedan exigirse responsabilidades, y luego los suprimimos o anonimizamos (art. 32 LOPDGDD).
[pendiente: confirmar con abogado/a — el bloqueo de 12 meses de los datos de cuenta es corto frente a la prescripción general de 5 años de las acciones personales (art. 1964 del Código Civil).]
La historia clínica sigue sus propios plazos, que decide tu psicólogo/a como responsable:
| Normativa | Plazo mínimo |
|---|---|
| Estatal (art. 17 de la Ley 41/2002) | 5 años desde el alta de cada proceso asistencial |
| Cataluña (Ley 21/2000) | 15 años para consentimientos, informes de alta y documentos similares |
| Galicia (Ley 3/2001) | Indefinido para parte de la documentación |
Los registros de acceso a la historia clínica se conservarán [pendiente: propuesta 5 años, alineada con la historia clínica]. Mientras dure el plazo legal, Vínculo impide técnicamente el borrado de la historia clínica, aunque cierres tu cuenta o pidas la supresión.
10. Cómo protegemos tus datos
- Alojamiento en la Unión Europea y cifrado en tránsito y en reposo.
- Notas clínicas cifradas además con AES-256-GCM, con una clave por profesional protegida por una clave maestra de la plataforma (cifrado de sobre). No es cifrado de extremo a extremo: Vínculo custodia la clave maestra, por eso limita y registra cualquier acceso técnico.
- Acceso por roles con seguridad a nivel de fila en la base de datos: cada persona solo ve lo suyo.
- Registro de todos los accesos a la historia clínica.
- Videoconsultas cifradas en tránsito y nunca grabadas.
- Teléfonos, correos y enlaces ocultos en el chat hasta la primera sesión pagada.
- Personal con deber de confidencialidad y acceso mínimo imprescindible.
- Procedimiento de brechas para avisar a la AEPD en 72 horas (art. 33 RGPD) y, cuando proceda, a las personas afectadas (art. 34).
- [pendiente: autenticación en dos pasos para profesionales y administradores, y prueba de penetración antes del lanzamiento.]
11. Tus derechos
11.1 Qué derechos tienes
Puedes acceder a tus datos y obtener copia (art. 15 RGPD), rectificarlos (art. 16), pedir su supresión (art. 17), oponerte a los tratamientos basados en interés legítimo y a las comunicaciones comerciales (art. 21), pedir la limitación del tratamiento (art. 18), la portabilidad de los datos que nos diste (art. 20) y retirar tu consentimiento en cualquier momento (art. 7.3).
11.2 Cómo ejercerlos
Desde los ajustes puedes descargar tus datos, corregirlos y cerrar la cuenta. También puedes escribir a privacidad@vinculo.app indicando el derecho que ejerces; si dudamos de tu identidad, te pediremos lo mínimo para confirmarla. Es gratuito y responderemos en un mes, ampliable dos meses en casos complejos (art. 12.3 RGPD).
11.3 Si se trata de tu historia clínica
El responsable es tu psicólogo/a. Puedes dirigirte a él o ella, o a nosotros: le trasladaremos tu solicitud sin dilación [pendiente: plazo máximo propuesto de 5 días hábiles] y le ayudaremos a responder. Tienes derecho a acceder a tu historia clínica y a obtener copia, salvo las anotaciones subjetivas del profesional y los datos de terceros (art. 18 de la Ley 41/2002). La supresión está limitada mientras exista la obligación legal de conservarla (art. 17.3.b RGPD).
11.4 Reclamar ante la AEPD
Puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es). Antes, si quieres, puedes dirigirte a nuestro/a Delegado/a de Protección de Datos, que te responderá en un máximo de dos meses (art. 37 LOPDGDD).
12. Delegado/a de Protección de Datos
Vínculo trata a gran escala categorías especiales de datos, así que designará un/a Delegado/a de Protección de Datos antes del lanzamiento (art. 37.1.c RGPD y art. 34 LOPDGDD) y lo comunicará a la AEPD en diez días (art. 34.3 LOPDGDD). Contacto: dpo@vinculo.app. [pendiente: designación.]
13. Decisiones automatizadas
No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma similar (art. 22 RGPD).
- Orden de los perfiles: según su encaje con tu búsqueda (motivo, modalidad, ubicación, idioma, disponibilidad y precio) y señales de fiabilidad (agenda publicada, rapidez de respuesta, pocas cancelaciones o ausencias y perfil completo). Las valoraciones no cuentan y nunca influye lo que paguen. Detalle en los Términos y condiciones.
- «Ayúdame a elegir» sugiere perfiles; la decisión es siempre tuya.
- La ocultación de datos de contacto en el chat es automática, pero no decide nada sobre ti.
- Sin triaje ni diagnóstico automático y, por ahora, sin inteligencia artificial. Si la incorporamos (proveedor previsto: Anthropic), te avisaremos antes, pediremos tu consentimiento cuando haga falta y actualizaremos la evaluación de impacto.
14. Cookies
Solo usamos cookies técnicas necesarias para que el servicio funcione y sea seguro. Lo explicamos en la Política de cookies.
15. Cambios en esta política
Al principio de esta página verás la fecha y la versión vigentes. Si hacemos cambios importantes, te avisaremos por correo o en la app antes de aplicarlos. Si un cambio requiere tu consentimiento, te lo pediremos.