Política de Privacidad

1. Quiénes somos

Business Agent es una plataforma SaaS multi-clínica operada por Business Agent S.A.C.S. (RUC 20616094824), con domicilio en Chachapoyas, departamento de Amazonas, Perú, que permite a las clínicas gestionar reservas por WhatsApp, agenda de especialistas, historia clínica y cobros. Para consultas de privacidad podés escribirnos a [email protected].

2. Información que recopilamos

• Datos de cuenta: nombre, correo electrónico y rol de los usuarios administradores y especialistas de cada clínica.
• Datos operativos de la clínica: servicios, agenda, citas, pagos y la historia clínica de pacientes que la clínica decide registrar. Estos datos pertenecen a la clínica; Business Agent actúa como encargado del tratamiento por cuenta de ella.
• Datos de Google: cuando un especialista conecta su cuenta de Google Calendar, accedemos a la información descrita en la sección 3.
• Datos de Meta/Facebook: cuando la clínica activa el módulo de publicidad, accedemos a su cuenta de anuncios y a su Página de Facebook para gestionar sus campañas, según la sección 5. No usamos inicio de sesión con Facebook ni accedemos a datos personales de usuarios de Facebook o Instagram.
• Datos técnicos: registros de acceso, dirección IP y datos de uso necesarios para operar, asegurar y depurar el servicio.

3. Datos de Google Calendar y permisos solicitados

La conexión con Google Calendar es opcional y la inicia cada especialista desde su panel de configuración. Solicitamos únicamente los siguientes permisos (scopes) de Google, con un propósito acotado:

• Ver eventos de tu calendario (calendar.readonly): leemos la disponibilidad del especialista para evitar ofrecer a los pacientes horarios que chocan con sus eventos personales o bloqueos (almuerzo, días libres).
• Gestionar eventos de citas (calendar.events): creamos, actualizamos y cancelamos en tu calendario los eventos correspondientes a las citas agendadas en la Plataforma, para mantener tu agenda sincronizada.

No accedemos ni almacenamos el contenido de tus eventos personales más allá de lo estrictamente necesario para verificar disponibilidad y sincronizar las citas de la clínica. Podés revocar el acceso en cualquier momento (ver sección 8).

4. Uso limitado de los datos de Google (Limited Use)

El uso y la transferencia que Business Agent hace de la información recibida de las APIs de Google se ajustan a la Política de Datos de Usuario de los Servicios de las API de Google, incluidos los requisitos de Uso Limitado (Limited Use). En particular:

• No vendemos ni transferimos los datos de Google a terceros con fines publicitarios.
• No usamos los datos de Google para mostrar publicidad de ningún tipo.
• No permitimos que personas lean estos datos, salvo que el usuario lo autorice expresamente, sea necesario por seguridad, para cumplir la ley, o como parte de operaciones internas con datos agregados y anonimizados conforme a la política de Google.

Business Agent's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

5. Datos de Meta/Facebook (publicidad)

Business Agent ofrece a la clínica un módulo opcional de publicidad para crear y gestionar anuncios en Meta (Facebook e Instagram) que llevan a los pacientes a su WhatsApp. La clínica autoriza la conexión entregando un token de acceso a su propia cuenta de anuncios de Meta; Business Agent actúa por cuenta de la clínica y bajo sus instrucciones.

• Qué accedemos: la cuenta de anuncios (permisos ads_management, ads_read) y la Página de Facebook de la clínica, únicamente para crear, pausar y medir sus campañas. No accedemos a datos personales de usuarios de Facebook o Instagram ni usamos inicio de sesión con Facebook.
• Para qué: armar los anuncios (todos nacen en pausa), leer su estado de revisión de Meta y reportar resultados a la clínica. El gasto publicitario se cobra a la tarjeta de la clínica, no a Business Agent.
• Lo que NO hacemos: no vendemos ni transferimos a terceros los datos obtenidos de Meta, ni los usamos para una finalidad distinta de gestionar la publicidad de la clínica. El token de acceso se guarda cifrado y se usa solo del lado del servidor.
• Revocación: la clínica puede desconectar Meta en cualquier momento (se elimina el token) o revocar el acceso desde la configuración de su cuenta de Meta Business.

6. Cómo usamos la información

• Operar la agenda, las reservas y la historia clínica de la clínica.
• Sincronizar las citas con el calendario de Google del especialista.
• Gestionar la publicidad de la clínica en Meta, si activó ese módulo.
• Procesar cobros y generar reportes para la clínica.
• Brindar soporte, garantizar la seguridad y prevenir abuso o fraude.
• Cumplir obligaciones legales aplicables.

7. Con quién compartimos la información

No vendemos información personal. Compartimos datos solo con proveedores que nos ayudan a operar el servicio, bajo obligaciones de confidencialidad y tratamiento:

• Proveedor de infraestructura (hosting): servidores donde se aloja la Plataforma.
• SITAC (WhatsApp): proveedor de mensajería usado para las reservas y notificaciones por WhatsApp.
• Google: en la medida en que el especialista conecta su calendario.
• Meta (Facebook/Instagram): en la medida en que la clínica activa el módulo de publicidad, para operar sus campañas en su propia cuenta de anuncios.
• Autoridades, cuando la ley lo exija.

8. Transferencia internacional de datos

Versión de esta cláusula: 2026-08-05.

La infraestructura que aloja la Plataforma —base de datos y almacenamiento de archivos— está ubicada fuera del territorio peruano, concretamente en los Estados Unidos de América. Eso significa que la información que la clínica registra, incluida la historia clínica, las imágenes clínicas y los documentos que se adjuntan, es objeto de un flujo transfronterizo de datos personales en los términos de la Ley N.° 29733 y su reglamento.

• Quiénes reciben los datos y dónde: Neon (base de datos, Estados Unidos) y Cloudflare R2 (almacenamiento de archivos e imágenes clínicas, Estados Unidos) actúan como encargados del tratamiento; Resend (Estados Unidos) procesa los correos transaccionales. El resto de proveedores de la sección 7 recibe únicamente los datos que su función requiere. Si esta lista cambia, se publicará la actualización en esta página.
• Garantías aplicadas: con cada encargado se suscriben cláusulas contractuales tipo (art. 20 de la Ley N.° 29733) y un acuerdo de tratamiento de datos que obligan a un nivel de protección equivalente al exigido por la ley peruana, con prohibición de usar la información para fines propios. No se invoca una decisión de «nivel adecuado» del país de destino: el mecanismo son esas cláusulas junto con el consentimiento del titular.
• Qué datos viajan: los necesarios para prestar el servicio —datos de contacto y de la cita, historia clínica que la clínica decida registrar, imágenes y documentos adjuntos—. No se transfieren datos con fines publicitarios ni se venden a terceros.
• Consentimiento del titular: cuando el titular es el paciente, la autorización para este flujo transfronterizo se solicita de forma separada, expresa y no premarcada —hoy, al reservar una cita en línea, y también puede registrarla la clínica desde su panel— y queda registrada con la versión de esta cláusula, la de esta política, la fecha y la hora de la aceptación.
• Revocación: el titular puede revocar esta autorización en cualquier momento ante la clínica o escribiendo a [email protected]. La revocación no afecta la licitud del tratamiento previo ni la conservación que la normativa de salud imponga sobre la historia clínica ya generada.

9. Seguridad

Aplicamos medidas técnicas y organizativas para proteger la información: cifrado en tránsito (TLS), cifrado en reposo de los tokens de Google y de los datos sensibles, aislamiento estricto entre clínicas (multi-tenant con control de acceso por fila) y acceso restringido del personal. Ningún sistema es 100 % infalible, pero trabajamos para reducir riesgos de forma continua.

10. Retención, revocación y eliminación

• Conservamos la información mientras la cuenta esté activa o sea necesaria para prestar el servicio y cumplir obligaciones legales.
• Podés desconectar Google Calendar desde el panel de configuración de la Plataforma. Al hacerlo, eliminamos los tokens de acceso y de actualización asociados a tu cuenta de Google.
• Podés desconectar Meta (publicidad) desde el panel de la Plataforma. Al hacerlo, eliminamos el token de acceso a tu cuenta de anuncios de Meta.
• También podés revocar el acceso directamente desde la página de permisos de tu cuenta de Google.
• Para solicitar la eliminación de tus datos, escribí a [email protected].

11. Tus derechos

Conforme a la Ley N.° 29733 de Protección de Datos Personales del Perú, podés ejercer tus derechos de acceso, rectificación, cancelación y oposición sobre tus datos personales escribiéndonos a [email protected]. Si sos paciente de una clínica, dirigí tu solicitud a la clínica, que es la responsable de tus datos clínicos.

12. Cambios a esta política

Podemos actualizar esta Política de Privacidad. Publicaremos la versión vigente en esta página con su fecha de actualización. Los cambios significativos se comunicarán por los canales habituales del servicio.

13. Contacto

Para cualquier consulta sobre esta política o sobre el tratamiento de tus datos, escribí a [email protected].