Política de privacidad
1. Quién es responsable de sus datos
El responsable del tratamiento de sus datos personales es Olorun Sistemas (República Dominicana), operador de la plataforma escan, disponible en https://olo.run/escan.
- Contacto de seguridad y privacidad: security@olo.run
- Responsable de Protección de Datos: Norlhin Guzmán
Nuestro marco legal de referencia es la Ley 172-13 de la República Dominicana sobre protección de datos de carácter personal. De forma voluntaria, alineamos nuestras prácticas con estándares internacionales como ISO 27701 y el RGPD europeo, aunque no sean de aplicación obligatoria en el país.
2. A qué servicios aplica esta política
Esta política cubre la plataforma escan y los servicios que se prestan a través de ella:
- Cuenta de usuario escan — registro, inicio de sesión y panel de usuario.
- vEmergency — perfiles médicos de emergencia accesibles por código QR/NFC, incluidos los kits físicos (stickers y etiquetas) entregados por lote.
- Tienda — compra de kits, renovaciones y otros productos.
- Agenda y citas — reservas de servicios a través de la plataforma.
- Asistente por WhatsApp — atención y notificaciones automatizadas.
Importante: los datos de salud que usted registra en vEmergency son datos sensibles y tienen una política específica que amplía la presente: la Política de datos de salud, publicada en este mismo Trust Center. En caso de datos de salud, aquella política prevalece.
3. Qué datos tratamos y para qué
Solo recogemos los datos necesarios para prestar cada servicio. Usted decide qué información aporta; en vEmergency, además, ningún campo médico es obligatorio.
| Categoría de datos | Ejemplos | Servicio donde se usa | Finalidad |
|---|---|---|---|
| Identificativos | Nombre, documento de identidad, foto, placa de vehículo | Cuenta, vEmergency | Identificarle como titular y, en emergencia, confirmar que el perfil corresponde a la persona atendida |
| Contacto | Teléfonos, correos electrónicos, contactos de emergencia | Cuenta, vEmergency, agenda, asistente | Comunicarnos con usted, enviar códigos de verificación y avisar a sus personas de confianza |
| Datos de salud (categoría especial) | Alergias, condiciones críticas, medicamentos, implantes, tipo de sangre, notas de emergencia | vEmergency | Que el personal que le atienda en una emergencia disponga de información vital (ver nuestra Política de datos de salud) |
| Seguro | Aseguradora, número de póliza | vEmergency | Agilizar su admisión en un centro de salud |
| Pago | Constancias de pago; el procesamiento del cobro lo realiza PayPal | Tienda, kits, renovaciones | Gestionar sus compras y renovaciones |
| Trazabilidad técnica | Dirección IP, ubicación geográfica aproximada, dispositivo y navegador | Toda la plataforma; en especial la bitácora de accesos a perfiles de emergencia | Seguridad de la plataforma, prevención de abusos y transparencia hacia usted (puede consultar quién abrió su perfil) |
No usamos sus datos para publicidad de terceros ni elaboramos perfiles comerciales con su información. Nunca vendemos, alquilamos ni cedemos con fines comerciales sus datos de salud.
4. Bases que legitiman el tratamiento
| Base | Cuándo aplica |
|---|---|
| Consentimiento explícito | Datos identificativos, de contacto, de seguro y de salud que usted aporta voluntariamente. Para los datos de salud el consentimiento es expreso y trazable. Nuestro sistema de consentimientos es versionado: guardamos constancia de qué versión aceptó, cuándo y desde qué dirección IP y navegador |
| Ejecución de contrato | Datos necesarios para gestionar sus compras, kits y renovaciones |
| Interés legítimo (seguridad) | Registros técnicos de trazabilidad (IP, ubicación aproximada, navegador) para proteger la plataforma y a los titulares frente a accesos indebidos |
| Consentimiento explícito + finalidad de asistencia sanitaria urgente | Exhibición de la información de emergencia que usted configuró como visible, cuando un tercero escanea su código en una situación de urgencia. Esta exhibición se sustenta en su consentimiento explícito y se limita por la finalidad de facilitar asistencia sanitaria urgente, bajo principios de minimización, trazabilidad y deber de confidencialidad de quien accede (ver nuestra Política de datos de salud) |
vEmergency muestra información médica de emergencia únicamente con base en el consentimiento explícito del titular y con la finalidad limitada de facilitar asistencia urgente. El acceso se limita a los datos que usted definió como visibles, se registra para trazabilidad y debe usarse exclusivamente para proteger la vida, salud o integridad del titular en una situación de emergencia, bajo deber de confidencialidad de quien accede. Esta política no invoca el "interés vital" como base autónoma de licitud bajo la Ley 172-13.
5. Con quién compartimos datos
No compartimos sus datos con terceros salvo los proveedores estrictamente necesarios para operar el servicio, y solo para prestárnoslo:
| Proveedor | Para qué interviene | Qué datos recibe |
|---|---|---|
| PayPal | Procesamiento de pagos de la tienda, kits y renovaciones | Datos de la transacción de pago; PayPal opera bajo su propio programa de cumplimiento PCI-DSS |
| Solo si usted conecta su calendario o correo de Google al asistente | Tokens de acceso autorizados por usted, que almacenamos cifrados | |
| Microsoft | Solo si usted conecta su cuenta Microsoft al asistente | Tokens de acceso autorizados por usted, que almacenamos cifrados |
| Meta / WhatsApp | Envío de códigos de un solo uso (OTP) y notificaciones | Números de teléfono y el contenido del mensaje enviado |
| Nuestro proveedor de alojamiento (hosting) | Infraestructura donde opera la plataforma y su base de datos | Aloja técnicamente la información de la plataforma |
A cada proveedor le exigimos tratar los datos únicamente para prestarnos el servicio contratado. No entregamos sus datos a ninguna empresa para fines publicitarios.
Las autoridades competentes podrán recibir datos únicamente cuando una obligación legal lo exija.
6. Transferencias internacionales
Parte de nuestra infraestructura y de los proveedores listados en la sección 5 (alojamiento, pagos, mensajería, integraciones) operan desde Estados Unidos, por lo que sus datos pueden almacenarse o procesarse fuera de la República Dominicana. Algunos proveedores tecnológicos pueden procesar datos fuera del país para prestar servicios de hosting, seguridad, comunicaciones, pagos, soporte u operación técnica. Estas transferencias se realizan bajo consentimiento informado, necesidad contractual o base legal aplicable, se limitan a la finalidad del servicio y se protegen mediante medidas contractuales, organizativas y técnicas razonables. Exigimos a cada proveedor tratar los datos únicamente para prestarnos el servicio contratado y limitamos lo que recibe a lo estrictamente necesario.
7. Cuánto tiempo conservamos sus datos
- Datos de su cuenta y perfiles: mientras su cuenta o perfil esté activo, o mientras exista una obligación legal de conservarlos.
- Registros técnicos y bitácoras: aplicamos plazos de conservación diferenciados por categoría de dato, vinculados a la finalidad, la minimización, la seguridad y la posibilidad de reclamaciones:
- Bitácoras de acceso a fichas médicas: 365 días.
- Eventos de escaneo QR/NFC: 730 días.
- Cola fallida y errores técnicos: 90 días.
- Comprobantes de pago y documentos fiscales (incluido e-CF): 10 años, conforme a la obligación fiscal y documental aplicable.
- Constancias de consentimiento y de solicitudes de derechos: se conservan como evidencia del cumplimiento mientras sean necesarias para ese fin.
Cuando los datos dejan de ser necesarios, se eliminan o se anonimizan de acuerdo con nuestra política de retención.
8. Sus derechos y cómo ejercerlos
La Ley 172-13 le reconoce, entre otros, los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO) sobre sus datos personales.
- Canal: escriba a security@olo.run indicando qué derecho desea ejercer.
- Responsable de Protección de Datos: Norlhin Guzmán.
- Cada solicitud queda registrada formalmente en nuestro sistema de gestión de solicitudes de derechos, con seguimiento hasta su cierre y constancia de la respuesta.
- Verificaremos su identidad antes de actuar, para proteger sus datos frente a suplantaciones.
- Plazo de respuesta: las solicitudes de acceso se atenderán dentro de cinco (5) días hábiles. Las solicitudes de rectificación, actualización o supresión se atenderán dentro de diez (10) días hábiles, salvo que exista obligación legal de conservación, necesidad de bloqueo, protección de derechos de terceros, preservación de evidencia o cumplimiento fiscal/contractual. La supresión técnica total puede requerir plazos operativos adicionales, pero la respuesta al titular no se condiciona a un plazo genérico.
Además, desde su propia cuenta puede en todo momento editar sus datos, ocultar campos de su perfil de emergencia, desactivar el perfil o cambiar sus preferencias de notificación, sin necesidad de escribirnos.
9. Cookies y sesión
- Usamos una cookie técnica de sesión, imprescindible para mantener su sesión iniciada y proteger los formularios de la plataforma. Está configurada con atributos de seguridad que impiden su lectura por scripts y su envío a otros sitios.
- No utilizamos cookies de publicidad ni rastreadores de terceros con fines comerciales.
- Si en el futuro incorporáramos cookies adicionales no esenciales, se lo informaríamos y le pediríamos su consentimiento antes de activarlas.
10. Seguridad de la información
Protegemos sus datos con medidas técnicas y organizativas que fortalecemos de forma continua como parte de nuestro programa permanente de seguridad, entre ellas:
- Comunicaciones cifradas (HTTPS/TLS) en toda la plataforma.
- Verificación en dos pasos disponible y códigos de un solo uso (OTP) para la información protegida de los perfiles de emergencia.
- Límites automáticos contra intentos de acceso masivo y mecanismos anti-robots.
- Bitácora de accesos a los perfiles de emergencia, consultable por el titular.
- Llaves de activación de kits físicos almacenadas de forma irreversible (hasheadas).
- Medidas de cifrado y protección sobre la información almacenada, aplicadas y reforzadas de forma continua, con especial prioridad sobre los datos sensibles.
El detalle de las garantías específicas para datos de salud está en nuestra Política de datos de salud.
10.1 Trazabilidad de accesos, geolocalización y teléfono del escaneador
Para proteger al titular y prevenir usos indebidos, vEmergency registra datos técnicos mínimos del acceso, como fecha, hora, IP aproximada, navegador/dispositivo y perfil consultado. Estos registros se sustentan en la finalidad de seguridad, trazabilidad, prevención de abuso y defensa de derechos, y se conservan con los plazos definidos en la sección 7.
La geolocalización precisa solo se registra cuando el usuario que escanea la autoriza expresamente desde su dispositivo. vEmergency no obtiene automáticamente el número telefónico del escaneador; cualquier identificación adicional debe ser voluntaria y, cuando aplique, verificada por OTP.
11. Menores de edad
Los perfiles de menores solo podrán ser creados, administrados y actualizados por su padre, madre, tutor o representante legal debidamente acreditado. Olorun podrá solicitar documentación de respaldo y conservar evidencia mínima de la representación mientras el perfil permanezca activo o durante el plazo legal aplicable. La plataforma permite al representante autorizado revocar, actualizar o suprimir el perfil y, cuando el menor alcance la mayoría de edad, transferir o confirmar el control de la cuenta. El régimen aplicable a los datos de salud de menores se describe en nuestra Política de datos de salud.
12. Cambios en esta política y versionado
Cuando modifiquemos esta política publicaremos la nueva versión con su fecha y número identificador, y mantendremos el historial de versiones visible. Nuestro sistema de consentimientos es versionado: sabemos qué versión aceptó cada titular y cuándo. Si un cambio afecta de forma sustancial el tratamiento de sus datos, se lo comunicaremos y, cuando la ley lo exija, le pediremos que acepte expresamente la nueva versión.
13. Contacto
- Seguridad y privacidad: security@olo.run
- Responsable de Protección de Datos: Norlhin Guzmán
- Política específica de datos de salud: Política de datos de salud, en este mismo Trust Center.