Política de Privacidad — Uva

Versión 1.5

1. Objeto y alcance

La presente Política de Privacidad describe el tratamiento que KLOWI LLC (en adelante, «Uva») realiza de los datos personales de la profesional de la nutrición que contrata y utiliza el servicio (en adelante, «la Profesional»): su identificación, sus datos de contacto, los datos necesarios para la facturación y los registros de uso de la aplicación.

Esta Política no comprende los datos personales de los pacientes de la Profesional. Respecto de dichos datos, la Profesional reviste el carácter de responsable del tratamiento y Uva actúa como encargada, conforme a sus instrucciones. Esa relación se rige exclusivamente por el Acuerdo de Encargado de Tratamiento.

La distinción determina el régimen de responsabilidad aplicable: la Profesional responde frente a sus pacientes; Uva responde frente a la Profesional.

2. Responsable del tratamiento

• Responsable: KLOWI LLC, sociedad constituida en los Estados Unidos de América
• Domicilio: 8 The Green, Suite B, Dover, Delaware 19901, Estados Unidos de América
• Contacto en materia de datos personales: contacto@holauva.com

3. Datos tratados y finalidad

Uva no utiliza los datos de la Profesional con fines publicitarios de terceros ni los comercializa.

4. Base legal del tratamiento

El tratamiento se funda en el consentimiento libre, expreso e informado prestado por la Profesional al aceptar los documentos legales durante el registro (artículo 5 de la Ley 25.326), así como en la necesidad de ejecutar la relación contractual y de cumplir obligaciones legales, incluidas las de carácter fiscal.

Conforme al artículo 6 de la Ley 25.326, al recabar los datos se informa la finalidad del tratamiento, la identidad del responsable, el carácter obligatorio o facultativo de cada dato, las consecuencias de proporcionarlos o de negarse a hacerlo, y los derechos de acceso, rectificación y supresión que asisten a su titular.

5. Destinatarios y comunicación de datos

Los datos se comunican únicamente a proveedores que prestan servicios a Uva y que se encuentran obligados contractualmente a tratarlos conforme a sus instrucciones, bajo deber de confidencialidad. La nómina actualizada de proveedores y su ubicación consta en el Anexo II del Acuerdo de Encargado de Tratamiento.

Asimismo, los datos podrán ser comunicados cuando así lo exija una norma o una orden judicial.

5.1. Diagnóstico de errores

Los errores de funcionamiento de la aplicación se registran en Sentry, servicio prestado por un tercero cuyos servidores se encuentran en los Estados Unidos de América. Dicha transferencia queda comprendida en lo previsto en la cláusula 7.

Sentry recibe el mensaje del error, su ubicación en el código, la pantalla en uso —identificada por la forma de la dirección, por ejemplo /pacientes/:id/consultas—, el navegador y la fecha y hora.

Sentry no recibe, por supresión previa al envío:

• el identificador del paciente, de la consulta o del documento en pantalla, que se reemplaza por :id;
• el contenido ingresado en formularios;
• las direcciones completas con sus parámetros, que contienen enlaces de un solo uso;
• las cookies de sesión ni las cabeceras de la conexión;
• la identidad de la Profesional: no se adjunta su identificador de cuenta ni su correo electrónico.

La supresión se aplica de modo automático a todo reporte de error, y su vigencia se verifica mediante pruebas automatizadas.

5.2. Analítica de uso

A efectos de evaluar la utilización de las distintas funciones de la aplicación, Uva registra eventos de uso en Amplitude, servicio prestado por un tercero cuyos servidores se encuentran en la Unión Europea.

Amplitude recibe la ocurrencia de acciones pertenecientes a una nómina cerrada —tales como la creación de una ficha, la carga de un estudio o la emisión de un documento—, el plan contratado por la cuenta, el tipo de dispositivo utilizado y la versión de la aplicación.

La Profesional es identificada ante Amplitude mediante un código derivado de su identificador de cuenta, irreversible y sin significado fuera de dicho servicio. Amplitude no recibe su nombre, su correo electrónico ni su identificador real de cuenta.

Amplitude no recibe, en ningún caso:

• dato alguno de los pacientes de la Profesional: nombres, correos electrónicos, teléfonos, documentos, fechas de nacimiento, diagnósticos, antecedentes, historia clínica, resultados de estudios, peso, altura, composición corporal ni diarios alimentarios;
• la identidad del paciente cuya ficha se hubiera abierto: se registra la apertura, no el paciente;
• el contenido ingresado en la aplicación, en ningún campo;
• las direcciones visitadas, el contenido de los formularios ni las respuestas del servidor;
• la dirección IP de la Profesional.

La aplicación sólo puede transmitir los datos comprendidos en la nómina cerrada indicada, y esa limitación se verifica mediante pruebas automatizadas.

Uva no utiliza herramientas de publicidad. No emplea píxeles publicitarios ni técnicas de remarketing, ni comercializa datos con terceros.

5.3. Google Analytics en el sitio público

En el sitio público holauva.com, Uva utiliza Google Analytics 4 con la finalidad de medir el volumen y la procedencia de las visitas.

Google Analytics no opera dentro de la aplicación ni en el espacio destinado a los pacientes: se trata de programas distintos, servidos desde ubicaciones distintas, y el sitio público no comparte código con la aplicación.

Su activación requiere el consentimiento previo del visitante. Hasta tanto éste se pronuncie, no se carga componente alguno de Google ni se almacenan cookies de analítica. La negativa impide definitivamente su carga. El consentimiento puede revocarse en cualquier momento desde la opción «Cookies» del pie de página.

Prestado el consentimiento, se miden las páginas visitadas del sitio, el país de origen, el tipo de dispositivo y el buscador o enlace de procedencia. No se mide dato alguno relativo a la utilización de la aplicación por parte de la Profesional.

La utilización de Google Analytics importa una transferencia internacional de datos, en los términos de la cláusula 7, por tratarse Google LLC de una sociedad estadounidense cuyos tratamientos pueden realizarse fuera de la República Argentina.

6. Integración con Google Calendar

La integración con Google Calendar reviste carácter optativo. La aplicación opera íntegramente sin ella. Su activación y desactivación se efectúan desde Configuración → Integraciones y requieren un acto expreso de la Profesional.

6.1. Permiso solicitado

La activación requiere que la Profesional autorice ante Google dos permisos:

• https://www.googleapis.com/auth/calendar.events, que habilita la visualización y edición de los eventos de su calendario;
• https://www.googleapis.com/auth/calendar.calendarlist.readonly, que habilita únicamente la lectura de la lista de calendarios a los que se encuentra suscrita, a fin de que pueda seleccionarlos por su nombre. Dicho permiso no habilita el acceso al contenido de calendario alguno.

6.2. Finalidad

El permiso se utiliza con la exclusiva finalidad de mantener sincronizadas la agenda de Uva y el calendario de Google de la Profesional, en ambos sentidos:

• De Uva a Google: la creación, modificación o cancelación de un turno determina la creación, actualización o eliminación del evento correspondiente. Dichos eventos son creados por Uva y quedan identificados como tales. El evento consigna las iniciales del nombre del paciente —dos letras por cada palabra que lo compone, de modo que «Pedro Gonzales» se consigna como «Pe Go»— y el nombre del servicio, e incorpora al paciente en calidad de invitado cuando se dispone de su dirección de correo electrónico, de modo que el turno se refleje asimismo en su propio calendario. Las notificaciones se cursan exclusivamente desde Uva: Google no remite correo alguno al paciente por cuenta de la Profesional.
• De Google a Uva: se consultan los eventos del calendario a fin de determinar los períodos de ocupación de la Profesional y no ofrecer a un paciente un horario ya comprometido. De cada evento ajeno a Uva se conservan únicamente su hora de inicio, su hora de finalización, su condición de evento de día completo y su título, este último a efectos de su exhibición en la agenda de la propia Profesional. No se consultan ni se conservan la descripción, los invitados, los archivos adjuntos, las ubicaciones ni ningún otro contenido del evento. Los eventos señalados como «disponible» en Google no generan bloqueo alguno.

Los datos recibidos de Google no se utilizan para el entrenamiento de modelos de inteligencia artificial, no se comercializan y no se comparten con terceros. Su uso se limita a las finalidades enunciadas en esta cláusula.

6.3. Conservación de las credenciales

Los tokens de acceso y de actualización provistos por Google se almacenan cifrados mediante AES-256-GCM y en ningún caso en texto plano. La clave de cifrado se conserva fuera de la base de datos.

6.4. Revocación

La Profesional puede revocar el acceso en cualquier momento, por cualquiera de las siguientes vías:

• Desde Uva: Configuración → Integraciones, opción «Desconectar». Uva revoca el permiso ante Google, elimina los tokens y, a solicitud de la Profesional, elimina asimismo los eventos futuros que hubiera creado en el calendario.
• Desde Google: mediante la página de permisos de la cuenta de Google, retirando el acceso otorgado a Uva.

La desconexión no afecta los turnos registrados en Uva: únicamente interrumpe la sincronización.

6.5. Uso limitado

El uso que Uva realiza de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de la API de Google, incluidos los requisitos de uso limitado (Limited Use).

Uva's use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

7. Transferencia internacional de datos

Algunos de los proveedores de Uva se domicilian fuera de la República Argentina, en países que la Agencia de Acceso a la Información Pública no reconoce como de nivel adecuado de protección, entre ellos los Estados Unidos de América.

El artículo 12 de la Ley 25.326 prohíbe tales transferencias salvo las excepciones que enumera, entre las cuales no se encuentra el consentimiento. La habilitación por consentimiento surge del artículo 12 del Decreto 1558/2001, conforme al cual la prohibición no rige cuando el titular del dato hubiera consentido expresamente la cesión.

Las transferencias se amparan, en consecuencia, en el consentimiento expreso prestado por la Profesional al aceptar los documentos legales durante el registro, y en los términos de tratamiento de datos que cada proveedor aplica a sus clientes, que lo obligan a tratar la información conforme a las instrucciones de Uva y bajo deber de confidencialidad.

La Agencia aprobó además dos juegos de cláusulas contractuales modelo, alternativos y no acumulativos: los de la Disposición DNPDP 60/2016 y los de la Resolución AAIP 198/2023, estos últimos correspondientes a la Red Iberoamericana de Protección de Datos. La contratación de los proveedores se efectúa por adhesión a sus términos, razón por la cual dichos modelos no se incorporan actualmente como anexo suscripto con cada uno de ellos, y la transferencia se ampara en lo expuesto en el párrafo precedente. Uva evalúa, con asesoramiento legal, su incorporación respecto de aquellos proveedores que lo admitan, y actualizará esta Política en caso de hacerlo.

8. Plazo de conservación

Los datos se conservan mientras la cuenta permanezca activa. Producida la baja, se conservan por el plazo de treinta (30) días a fin de permitir su exportación o la reactivación de la cuenta, y se eliminan una vez vencido dicho plazo, con excepción de aquellos cuya conservación resulte exigible por obligación legal, principalmente los datos de facturación, por los plazos que fija la normativa fiscal.

9. Medidas de seguridad

Uva adopta las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos, conforme al artículo 9 de la Ley 25.326 y siguiendo las medidas recomendadas por la Resolución AAIP 47/2018. Dichas medidas se describen en el Anexo III del Acuerdo de Encargado de Tratamiento.

Todo el personal que interviene en el tratamiento se encuentra sujeto al deber de confidencialidad establecido en el artículo 10 de la Ley 25.326, que subsiste aun después de finalizada su relación con Uva.

10. Derechos del titular de los datos

La Profesional puede ejercer los derechos de acceso, rectificación, actualización y supresión mediante comunicación dirigida a contacto@holauva.com, acreditando su identidad.

• Acceso: se responde dentro de los diez (10) días corridos (artículo 14 de la Ley 25.326). Su ejercicio es gratuito a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto.
• Rectificación, actualización o supresión: se responde dentro de los cinco (5) días hábiles de recibido el reclamo (artículo 16). La supresión no procede cuando pudiera causar perjuicio a derechos de terceros o cuando exista obligación legal de conservar los datos.

En caso de considerar que su reclamo no ha sido debidamente atendido, la Profesional puede presentarlo ante la Agencia de Acceso a la Información Pública, órgano de control de la Ley 25.326.

10.1. Leyendas exigidas por la Disposición DNPDP 10/2008

La Resolución AAIP 126/2024 reordenó el régimen sancionatorio y derogó la Disposición DNPDP 7/05 y las Resoluciones AAIP 12/18, 240/22, 243/19 y 244/22, pero no derogó la Disposición 10/2008, que mantiene la exigencia de las siguientes leyendas en sitios web y formularios de recolección. Donde el texto original refiere a la «Dirección Nacional de Protección de Datos Personales», corresponde leer «Agencia de Acceso a la Información Pública», conforme al Decreto 899/2017.

El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326.

La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que se interpongan con relación al incumplimiento de las normas sobre protección de datos personales.

11. Registro de bases de datos

El artículo 21 de la Ley 25.326 impone la inscripción en el Registro Nacional de Bases de Datos de la Agencia de Acceso a la Información Pública de todo archivo público y de todo archivo privado «destinado a proporcionar informes». La Agencia interpreta el alcance de dicha obligación con mayor amplitud que su texto literal, y la Resolución AAIP 126/2024 mantiene la falta de inscripción como infracción.

Con asesoramiento legal, Uva ha concluido que su base de datos no se encuentra alcanzada por dicha obligación, por no constituir un archivo destinado a proporcionar informes a terceros en los términos del artículo citado. En caso de modificarse ese criterio, sea por una interpretación de la Agencia o por un cambio en el funcionamiento del servicio, Uva iniciará la inscripción y publicará aquí el número correspondiente.

La conclusión precedente se refiere exclusivamente a la base de datos de Uva. La determinación respecto del registro de pacientes de la Profesional corresponde a ella.

12. Cookies y tecnologías similares

El tratamiento difiere según el ámbito de que se trate.

Dentro de la aplicación, comprendido el espacio destinado a los pacientes, Uva utiliza exclusivamente cookies estrictamente necesarias: aquellas que mantienen la sesión iniciada y las que protegen el servicio. Sin ellas la aplicación no opera. No se utilizan cookies de analítica, de publicidad ni de terceros, ni rastreador alguno. Por esa razón no se exhibe allí solicitud de consentimiento.

En el sitio público (holauva.com) se utilizan cookies de analítica correspondientes a Google Analytics, y su utilización requiere consentimiento previo, que se solicita en el primer acceso:

• hasta tanto el visitante se pronuncie, no se carga componente alguno de Google ni se almacena cookie de analítica alguna;
• la negativa impide definitivamente su carga y no se reitera la solicitud. Las opciones de aceptación y rechazo se presentan en condiciones equivalentes;
• el consentimiento puede revocarse en cualquier momento desde la opción «Cookies» del pie de página. Revocado el consentimiento, cesa la medición y se eliminan las cookies almacenadas.

La presente cláusula establecía, hasta el 9 de septiembre de 2026, que Uva no utilizaba cookies de analítica y que, en consecuencia, no correspondía solicitar consentimiento alguno. Ello resultó exacto hasta dicha fecha y dejó de serlo con la incorporación de Google Analytics al sitio público. La modificación se deja expresamente asentada, por cuanto quienes aceptaron la versión anterior prestaron su consentimiento respecto de un texto distinto.

13. Menores de edad

Uva se dirige a profesionales de la nutrición mayores de edad. No se crean cuentas de profesionales a personas menores de dieciocho (18) años.

14. Modificaciones

Toda modificación de la presente Política será notificada a la Profesional por correo electrónico y desde la aplicación, con anterioridad a su entrada en vigencia, con indicación de las cláusulas modificadas. Las versiones anteriores se archivan con su respectiva fecha de vigencia.

Normas citadas

• Ley 25.326, artículos 5, 6, 9, 10, 12, 14, 16 y 21
• Decreto 1558/2001, reglamentario de la Ley 25.326, artículo 12
• Disposición DNPDP 10/2008 (leyendas obligatorias)
• Decreto 899/2017 (la Agencia de Acceso a la Información Pública reemplaza a la Dirección Nacional de Protección de Datos Personales)
• Disposición DNPDP 60/2016 y Resolución AAIP 198/2023 (cláusulas contractuales modelo)
• Resolución AAIP 47/2018 (medidas de seguridad recomendadas)