Política de privacidad

1. Quién es responsable de cada dato

Esta política sigue la Ley N.º 8968, de Protección de la Persona frente al Tratamiento de sus Datos Personales, y su reglamento. La autoridad de control en Costa Rica es la Agencia de Protección de Datos de los Habitantes (PRODHAB).

Datos de las personas usuarias (nutricionistas): Nutrydy, operada por Jordy Esteban Diaz Abarca, es la responsable.

Datos de los pacientes: la clínica que los registra es la responsable. Nutrydy los trata por encargo de la clínica y solo para prestar el servicio; no decide sobre ellos ni los usa para fines propios.

2. Datos de las personas usuarias

De las personas usuarias tratamos:

• Nombre, correo electrónico y los datos de su consulta.
• La contraseña nunca se guarda: solo un resumen cifrado (argon2id) que no permite recuperarla.
• Datos de la clínica que se muestran en los PDF: nombre, contacto, dirección, logo y colores.
• Tu país y, si lo indicas, tu código profesional (código CPN en Costa Rica o el registro de tu país), que se muestra en tus documentos y que Nutrydy puede verificar.
• Registros de uso necesarios para la seguridad y la auditoría: inicios de sesión y acciones importantes.
• Datos de facturación: nombre o razón social, número de identificación y correo, para emitir la factura electrónica. Los datos de la tarjeta los trata Tilopay; Nutrydy no guarda su número completo.
• Para que la prueba gratis sea una por persona y los meses gratis por referidos sean entre personas distintas: una huella de cada correo que ha tenido la cuenta (un código que se calcula a partir del correo y no permite recuperarlo), del equipo y de la red desde donde se creó, y un identificador de la tarjeta que nos da el procesador de pagos. Las huellas del correo, del equipo y de la red se guardan aunque la cuenta se elimine, solo para ese fin.

3. Datos de los pacientes

La clínica registra datos de identificación y contacto de sus pacientes y datos de salud: antropometría, reportes InBody, laboratorios, medicamentos, condiciones, alergias, consultas, planes de alimentación y seguimiento. Los datos de salud son datos sensibles y reciben la protección reforzada que exige la ley.

Si el paciente lo autoriza, la clínica puede agregar su fotografía para reconocerlo en el expediente. La foto no se usa en documentos, en el portal del paciente ni en el asistente de IA.

La bitácora de auditoría guarda quién cambió cada dato clínico, cuándo y qué cambió; forma parte del expediente y se protege igual que él.

4. Para qué los usamos

Para prestar el servicio: llevar el expediente, armar planes, generar documentos PDF, administrar la agenda y enviar los correos del servicio (por ejemplo, la confirmación y los recordatorios de las citas y, si la clínica lo deja activado, un saludo el día de su cumpleaños, que usa su nombre, su correo y su fecha de nacimiento).

También para mantener la seguridad (auditoría, prevención de accesos indebidos), dar soporte, cobrar el servicio y cumplir obligaciones legales.

No vendemos datos, no los usamos para publicidad y no hacemos perfiles comerciales de los pacientes.

5. Consentimiento

Las personas usuarias aceptan esta política al crear su cuenta.

Para los pacientes, la clínica debe obtener su consentimiento informado, expreso y documentado antes de registrarlos (en el caso de personas menores de edad, el de su madre, padre o representante legal). En cada expediente, Nutrydy permite dejar constancia de ese consentimiento y de su fecha. Los datos de salud se tratan para la atención nutricional por profesionales sujetos al secreto profesional.

6. Con quién se comparten

Soporte de Nutrydy: solo con tu permiso explícito y temporal (ver los términos, sección 4), y únicamente en modo lectura. El soporte nunca te pide contraseñas ni códigos, y antes de cualquier cambio en tu cuenta verifica tu identidad con el correo registrado.

Con proveedores que nos ayudan a prestar el servicio y que actúan por nuestro encargo, con obligación de confidencialidad: alojamiento de la plataforma, envío y recepción de correos y, si se contratan, cobros e inteligencia artificial. Hoy son: Vercel (alojamiento de la plataforma, Estados Unidos), Supabase (base de datos y archivos, Estados Unidos), Resend (envío de correos, Estados Unidos), Zoho (recepción de los correos que nos escribes a soporte, contacto o privacidad, Estados Unidos), Upstash (control de intentos de acceso, Estados Unidos), Tilopay (cobros, Costa Rica) y Anthropic (asistente de IA, Estados Unidos). Si cambiamos de proveedor, actualizamos esta lista.

Asistente de IA (opcional): si la clínica lo usa, se envía al proveedor de IA un resumen clínico sin nombre, correo, teléfono ni fecha de nacimiento del paciente (solo la edad). Ni Nutrydy ni su proveedor de IA usan tu información ni la de tus pacientes para entrenar modelos de inteligencia artificial. Recomendamos no escribir datos que identifiquen al paciente en los campos de texto libre. El proveedor de IA es Anthropic, en Estados Unidos.

Varios de estos proveedores están fuera de Costa Rica. Solo trabajamos con proveedores que se obligan por contrato a proteger los datos y a usarlos únicamente para prestarnos el servicio, y los datos viajan y se guardan cifrados.

Los botones de WhatsApp abren la aplicación de la persona usuaria con un mensaje escrito, sin datos clínicos. Nutrydy no envía esos mensajes ni recibe copia de ellos.

Solo entregaremos datos a una autoridad cuando una orden o la ley lo exijan.

7. Cómo los protegemos

Entre otras medidas:

• Cada clínica solo ve sus propios datos (aislamiento por organización en todas las consultas).
• Cada cuenta es de una sola persona: nadie más entra a sus expedientes.
• Contraseñas con argon2id, límite de intentos de inicio de sesión y sesiones que se invalidan al cerrar sesión.
• Verificación en dos pasos (un código de una app en el teléfono) al iniciar sesión, disponible para todas las cuentas y obligatoria para la administración de la plataforma; aviso por correo cuando se entra desde un dispositivo nuevo y cierre de la sesión tras un tiempo sin uso.
• Bitácora de auditoría de los cambios clínicos y de las acciones importantes.
• Conexión cifrada (HTTPS) en el servicio publicado.
• Datos cifrados en reposo por el proveedor de la base de datos y del almacenamiento; los secretos de la verificación en dos pasos, además, con una llave propia (AES-256).
• Copias de seguridad cifradas de la base de datos y de los archivos, diarias, y pruebas periódicas de que se pueden restaurar. Las copias se conservan un máximo de 30 días.
• Los archivos que se suben se revisan antes de guardarlos (tipo real, sin los datos de ubicación de las fotos) y quedan en un almacenamiento privado: solo se abren con una sesión autorizada.
• A la inteligencia artificial se envía solo lo necesario para cada tarea, sin nombre, cédula, correo ni teléfono del paciente (salvo lo que venga impreso en un reporte que se pida leer con IA).
• Registros técnicos y alertas de seguridad sin datos de pacientes.

8. Cuánto tiempo los conservamos

Mientras la cuenta esté activa. Si la cuenta cancela o su prueba termina sin elegir plan, los datos se conservan 90 días para que pueda descargarlos y luego se eliminan, salvo que una norma exija conservarlos más tiempo. La nutricionista es responsable de conservar el expediente de sus pacientes durante el plazo que le exija la normativa de su profesión; por eso puede descargarlo completo en cualquier momento, también durante esos 90 días.

Las huellas del correo, del equipo y de la red que evitan pruebas gratis repetidas se conservan aunque la cuenta se elimine.

9. Tus derechos

Puedes pedir el acceso a tus datos, su rectificación o su supresión, y revocar tu consentimiento, en los términos de la Ley N.º 8968.

Si eres una persona usuaria, escríbenos a privacidad@nutrivaacr.com o desde el formulario de contacto.

Si eres paciente, dirígete a la clínica que te atiende: ella es la responsable de tus datos y Nutrydy le ayuda a responder.

Si consideras que no se respetaron tus derechos, puedes acudir a la PRODHAB.

10. Cookies y almacenamiento en el navegador

Usamos una cookie de sesión, necesaria para mantenerte dentro de tu cuenta, y una cookie del equipo, que sirve para avisarte cuando alguien entra a tu cuenta desde un equipo nuevo y para que la prueba gratis sea una por persona. También guardamos en tu navegador preferencias como la apariencia (clara u oscura). No usamos cookies de publicidad ni de analítica de terceros.

11. Cambios y contacto

Si cambiamos esta política, lo avisaremos por correo o dentro de la plataforma antes de que el cambio entre en vigor.

Esta versión rige desde el 6 de octubre de 2026 para las cuentas creadas desde ese día. Para las cuentas creadas antes, rige desde el 5 de noviembre de 2026, 30 días después del aviso; hasta entonces se aplica la versión anterior de esta política, del 1 de octubre de 2026, que sigue publicada en la página «Versión anterior».

Contacto de privacidad: privacidad@nutrivaacr.com.