Documento legal

Política de privacidad

Versión: v1.0-privacy · Vigencia: 1 de mayo 2026 · Referencia: Ley CR 8968 · HIPAA · GDPR Art. 9

Compromiso central: TriaCR nunca almacena su nombre, número de cédula, dirección ni número de teléfono en texto legible. Todos los datos identificables se transforman en hashes criptográficos irreversibles antes de ser guardados.

1. Responsable del tratamiento

Qidia S.A., cédula jurídica 3-101-152186, domiciliada en San José, Costa Rica, actúa como responsable del tratamiento de datos bajo la Ley 8968. Para operaciones con entidades en los Estados Unidos, Prodeo Innovation LLC (EIN 98-1777965, Wyoming) actúa como entidad relacionada bajo HIPAA.

Contacto del oficial de datos: privacidad@qidia.ai

2. Datos que recopilamos

Durante el proceso de pre-screening, recopilamos únicamente:

Dato	Forma de almacenamiento	Propósito	Retención
Respuestas a criterios de elegibilidad	Hash SHA-256 por slot	Evaluación de elegibilidad	5 años (requerimiento regulatorio ICH GCP)
Número de teléfono (si elegible)	Hash SHA-256 irreversible	Contacto por coordinador	6 meses o hasta cierre del estudio
Aceptación del consentimiento	Booleano + timestamp + hash del texto	Evidencia regulatoria	15 años (21 CFR Part 312)
Timestamp y hash de IP	Hash SHA-256 de la IP	Integridad del audit trail	5 años
Metadatos de sesión	Duración, turnos, motor usado	Mejora del servicio	2 años

No recopilamos: nombre completo, número de cédula/pasaporte, fecha de nacimiento exacta, dirección física, resultados de laboratorio, ni imágenes.

3. Base legal del tratamiento

El tratamiento de sus datos de salud se basa en:

Consentimiento explícito (Ley 8968, Art. 5 inciso f; GDPR Art. 9.2.a) otorgado por usted antes de iniciar la conversación.
Interés legítimo en investigación científica (Ley 9234, Art. 24; GDPR Art. 9.2.j) con las salvaguardas técnicas descritas en esta política.

4. Compartición de datos

Sus datos pueden ser compartidos exclusivamente con:

Equipo coordinador del estudio (investigador principal y coordinadores registrados), bajo acuerdo de confidencialidad y con acceso solo a datos no identificables.
Patrocinador del estudio (ej. GSK), únicamente en forma de reportes agregados o datos anonimizados para fines del protocolo aprobado.
Autoridades regulatorias (CONIS, FDA, EMA) cuando sea requerido por ley o en el contexto de una inspección regulatoria.

TriaCR nunca vende datos a terceros ni los utiliza para publicidad.

5. Subencargados del tratamiento

Proveedor	Servicio	País	Garantías
Amazon Web Services (AWS)	Infraestructura cloud, ECS Fargate	EE.UU. (us-east-1)	BAA disponible, SOC 2, ISO 27001
Supabase	Base de datos PostgreSQL	EE.UU.	BAA en plan Enterprise, SOC 2
Vitia Health (vitiahealth.com)	Motor conversacional WebSocket	Costa Rica	NDA vigente, Ley 8968

6. Sus derechos (ARCO)

Bajo la Ley 8968 y según aplique el GDPR, usted tiene derecho a:

Acceso: Solicitar un reporte de los datos que tenemos sobre usted (en forma de hashes y metadatos, dado que los datos planos no se almacenan).
Rectificación: Corregir información imprecisa en registros activos.
Cancelación/Supresión: Solicitar la eliminación de sus datos, sujeto a obligaciones de retención regulatoria (registros de consentimiento y audit trail son irrenunciables por ley).
Oposición: Oponerse al tratamiento para fines distintos al pre-screening del estudio específico.

Para ejercer sus derechos, escriba a privacidad@qidia.ai indicando el identificador de sesión que se le proporcionó (si lo conserva) y el estudio al que accedió.

7. Seguridad técnica

Comunicaciones cifradas con TLS 1.3 (HTTPS/WSS obligatorio).
Datos en reposo cifrados con AES-256 (estándar Supabase/AWS).
Audit trail inmutable: el sistema no permite modificar ni eliminar registros de bitácora.
Acceso con mínimo privilegio: cada rol solo puede ver los datos necesarios para su función.
Evaluaciones de seguridad periódicas conforme a OWASP.

8. Cookies y rastreo

TriaCR no utiliza cookies de seguimiento, píxeles de terceros ni herramientas de analítica invasiva. Únicamente se usa almacenamiento de sesión local (sessionStorage) para mantener el estado de la conversación durante su visita. Este dato se elimina al cerrar el navegador.

9. Modificaciones

Esta política puede actualizarse para reflejar cambios regulatorios o mejoras del sistema. La versión vigente siempre estará disponible en esta URL con su fecha de efectividad. Cambios sustanciales serán notificados mediante aviso en la plataforma.