WellPD — Política de Privacidad — Espacio Económico Europeo
CÓMO TRATA EMPATICA SUS DATOS PERSONALES
Última actualización: 20 de octubre de 2026
1. Quiénes somos y qué abarca esta Política
Esta Política de Privacidad («Política») explica cómo trata Empatica los datos personales —incluidos los datos de salud— de las personas que adquieren y utilizan WellPD: el dispositivo portátil Embrace Mini, la aplicación móvil WellPD («App»), el Portal del Usuario y el Servicio de Suscripción (conjuntamente, los «Servicios»).
Empatica es el responsable del tratamiento de todos los tratamientos descritos en esta Política: decidimos para qué y cómo se tratan sus datos personales y somos responsables de dicho tratamiento. Su responsable del tratamiento es Empatica S.r.l., Via Stendhal 36, 20144 Milan, Italy, la entidad con la que usted contrata en virtud de los Términos y Condiciones de WellPD («Empatica», «nosotros»). Otras sociedades del grupo Empatica tratan sus datos por cuenta nuestra, tal como se describe en el apartado 6.
Esta Política debe leerse junto con los Términos y Condiciones de WellPD y las Instrucciones de Uso. No abarca los datos tratados por sus profesionales sanitarios: WellPD es un producto que usted compra y utiliza por sí mismo; ningún profesional sanitario recibe sus datos a través de WellPD, salvo que usted exporte un informe y lo comparta personalmente (apartado 6(d)).
En esta Política, «usted» designa a la persona titular de una cuenta de WellPD que lleva puesto el Embrace Mini.
2. Datos personales que tratamos
Datos identificativos y de contacto — nombre, fecha de nacimiento (que se utiliza, junto con el número de serie del Dispositivo, para que usted inicie sesión en la App y para verificar que tiene al menos 18 años), género, dirección postal y de correo electrónico, número de teléfono, la dirección de correo electrónico y la contraseña que utiliza para el Portal del Usuario, idioma y país de residencia.
Datos relativos a la salud — señales fisiológicas registradas por su Dispositivo (por ejemplo, datos de movimiento procedentes de su acelerómetro; las señales dependen del modelo de Dispositivo), tiempo de uso, medidas relacionadas con la enfermedad de Parkinson calculadas a partir de dichas señales (puntuaciones de temblor, bradicinesia y discinesia), medidas de sueño y actividad (incluido el tiempo en que no se lleva puesto el Dispositivo o «sin datos»), el plan de medicación que usted introduce en la App (nombres de los medicamentos, dosis y pauta) y su registro de medicación (tomada, omitida, según necesidad), la medida motora WellMove y el texto narrativo diario «PD insights» generado a partir de sus registros, el tiempo de monitorización, y los síntomas y notas que usted registre. Los datos relativos a la salud son datos de «categoría especial» con arreglo al RGPD y reciben una protección adicional.
Insights — resúmenes, tendencias e interpretaciones generados a partir de los datos de su Dispositivo y de lo que usted introduce en la App, algunos de ellos de forma automática mediante inteligencia artificial (apartado 5).
Datos de pedidos, pagos y suscripción — pedidos, datos de envío, estado de la suscripción, referencia del método de pago y registros de transacciones (los datos de la tarjeta los recoge y almacena nuestro proveedor de servicios de pago, Stripe, y no Empatica — apartado 6(b)).
Datos del dispositivo y datos técnicos — número de serie del Embrace Mini, versión del firmware y de la App, modelo y sistema operativo del teléfono, dirección IP, identificadores, estado de Bluetooth y de conectividad, batería, registros de fallos y de diagnóstico, marcas de tiempo, eventos de uso de la App.
Datos de uso y analíticos — qué pantallas abre y qué funciones utiliza en la App y en el Portal del Usuario, y los eventos de emparejamiento y de configuración inicial, registrados con un identificador seudónimo.
Datos de soporte y comunicaciones — sus solicitudes al servicio de atención al cliente, notificaciones de eventos adversos, respuestas a encuestas, comentarios y otras Contribuciones del Usuario, y nuestros registros de las comunicaciones con usted.
Datos de marketing — sus opciones de consentimiento, el estado de su suscripción a boletines informativos y su interacción con nuestros mensajes.
No tratamos datos de menores: WellPD está destinado a adultos de 18 años o más (apartado 9).
3. De dónde proceden los datos
Principalmente de usted y del uso que hace de los Servicios: lo que introduce en la compra y el registro, lo que registra el Embrace Mini mientras lo lleva puesto y lo que registran la App y el Portal mientras los utiliza. También recibimos datos de un representante autorizado que actúe en su nombre, de su proveedor de servicios de pago (confirmación del pago) y de las tiendas de aplicaciones (estado de la compra y de la instalación). Si se pone en contacto con nosotros a través de redes sociales, podemos recibir los datos que esas plataformas compartan con nosotros.
4. Para qué tratamos sus datos y con qué base jurídica
La tabla recoge cada finalidad, los datos utilizados y la base jurídica aplicable con arreglo al RGPD; el apartado 16 añade lo que dispone la legislación nacional.
Finalidad | Datos | Base jurídica (RGPD) | Qué ocurre si no facilita los datos |
|---|---|---|---|
Prestación de WellPD — venta y envío del Embrace Mini, creación y gestión de su cuenta y suscripción, emparejamiento del Dispositivo, registro y visualización de sus mediciones, sueño, actividad, registro de medicación e Insights, envío de mensajes de servicio por correo electrónico, mensaje de texto, llamada telefónica o notificación push (por ejemplo, el recordatorio que le enviamos al menos 7 días antes de la renovación de su suscripción) | Datos identificativos y de contacto, de pedidos/pagos/suscripción, del dispositivo y técnicos, datos relativos a la salud, Insights | Ejecución del contrato con usted (art. 6(1)(b)); para los datos relativos a la salud, su consentimiento explícito (art. 9(2)(a)), solicitado en la App antes de que el Dispositivo registre datos | Sin los datos contractuales no podemos vender ni entregar WellPD; sin su consentimiento para los datos de salud, el Dispositivo no puede registrar datos y la App no puede mostrar mediciones |
Atención al cliente — respuesta a sus solicitudes, resolución de problemas, garantía y devoluciones | Datos identificativos y de contacto, de soporte, del dispositivo y técnicos y, cuando sea necesario para ayudarle, datos relativos a la salud | Ejecución del contrato (art. 6(1)(b)); datos de salud: su consentimiento explícito (art. 9(2)(a)) cuando nos pida que examinemos sus registros | Es posible que no podamos resolver su solicitud |
Seguridad del producto y vigilancia — seguimiento del funcionamiento y la seguridad del Embrace Mini y de la App, investigación de incidentes, gestión de notificaciones de eventos adversos, acciones correctivas, notificación a las autoridades | Datos relativos a la salud, del dispositivo y técnicos, datos de soporte, registros de eventos adversos | Cumplimiento de obligaciones legales en materia de productos sanitarios (art. 6(1)(c)); datos de salud: art. 9(2)(i) (interés público en el ámbito de la salud pública — seguridad y calidad de los productos sanitarios) | Obligatorio: no podemos eximirle |
Gestión regulatoria y de la calidad — registros exigidos por la legislación sobre productos sanitarios y por nuestro sistema de gestión de la calidad, auditorías e inspecciones | Registros de uso del dispositivo, de calibración y de validación; datos relativos a la salud cuando el registro lo requiera | Obligación legal (art. 6(1)(c)); art. 9(2)(i) | Obligatorio |
Seguridad — protección de nuestros sistemas, detección y prevención del fraude y de incidentes de seguridad, registro de accesos | Datos del dispositivo y técnicos, de la cuenta y de uso | Nuestro interés legítimo en mantener la seguridad de los Servicios y de sus datos (art. 6(1)(f)) | Obligatorio para el funcionamiento de los Servicios |
Mejora de WellPD e investigación — análisis e investigación sobre datos seudonimizados para evaluar y mejorar los algoritmos, desarrollar nuevas funciones y biomarcadores digitales, y respaldar futuras solicitudes regulatorias y clínicas | Datos relativos a la salud, del dispositivo y de uso, de forma seudonimizada o agregada; datos demográficos | Su consentimiento (art. 6(1)(a)) y, para los datos de salud, su consentimiento explícito (art. 9(2)(a)), solicitado por separado en la App | Opcional: puede negarse o retirarlo en cualquier momento; WellPD funciona igual |
Marketing — novedades sobre productos y servicios de Empatica, encuestas, contenidos educativos, por correo electrónico o en la App | Datos identificativos y de contacto, preferencias de marketing, datos de interacción | Su consentimiento (art. 6(1)(a)) | Opcional |
Reclamaciones legales — formulación, ejercicio o defensa de reclamaciones | Los datos a los que se refiera el litigio | Nuestro interés legítimo (art. 6(1)(f)); datos de salud: art. 9(2)(f) | — |
Operaciones societarias — evaluación y realización de fusiones, adquisiciones, operaciones de financiación o ventas de activos | Los datos a los que se refiera la operación | Nuestro interés legítimo (art. 6(1)(f)); no se compartirán datos de salud relativos a una persona física identificada o identificable | — |
Contabilidad y fiscalidad — facturas, pagos, registros obligatorios | Datos identificativos, de pedidos y de pago | Obligación legal (art. 6(1)(c)) | Obligatorio |
Consentimiento. Cuando la tabla indica que nos basamos en su consentimiento, se lo solicitamos por separado en la App o en el sitio web, con una descripción clara de aquello a lo que usted da su conformidad. La aceptación de los Términos y Condiciones no constituye consentimiento. Puede retirar su consentimiento en cualquier momento en los ajustes de la App o escribiendo a privacy@empatica.com; la retirada no afecta al tratamiento realizado con anterioridad a ella. Si retira su consentimiento al tratamiento de datos de salud para la prestación de WellPD, el Dispositivo deja de registrar y la App deja de mostrar mediciones; puede conservar su cuenta y exportar sus datos (apartado 7).
Intereses legítimos. Cuando nos basamos en nuestros intereses legítimos, hemos evaluado que el tratamiento es necesario y que sobre nuestro interés no prevalecen sus intereses, derechos y libertades. Puede solicitar un resumen de dicha evaluación y puede oponerse (apartado 7).
5. Insights, inteligencia artificial y tratamiento automatizado
Algunos Insights se generan de forma automática, sin revisión humana, mediante algoritmos —incluidos modelos de inteligencia artificial— que analizan los datos registrados por su Dispositivo y lo que usted introduce en la App. La App identifica como tales los Insights generados por IA. Los Insights tienen carácter informativo: no constituyen asesoramiento médico y no se adopta por medios automatizados ninguna decisión que produzca efectos jurídicos en usted o le afecte significativamente de modo similar (art. 22 del RGPD). El texto narrativo «PD insights» lo genera en nuestros servidores un modelo de lenguaje a partir de un resumen de sus registros del periodo; el modelo se ejecuta dentro de nuestra infraestructura en la nube (Amazon Web Services), que actúa como nuestro encargado del tratamiento y no utiliza sus datos para sus propios fines ni para entrenar sus modelos. Los Insights generados se almacenan con su cuenta para que sean los mismos cada vez que los abra. Empatica no utiliza sus datos para entrenar modelos que puedan identificarle; los modelos se entrenan con datos seudonimizados o agregados, y únicamente de usuarios que hayan dado su consentimiento para investigación y mejora (apartado 4).
6. Quién recibe sus datos
Solo comunicamos datos personales en la medida necesaria para las finalidades indicadas en el apartado 4.
(a) Grupo Empatica. Empatica S.r.l. (Italia) opera la plataforma WellPD; Empatica, Inc. (Estados Unidos) presta servicios de operaciones de alojamiento, soporte técnico y éxito del cliente; Global Kinetics UK Corporation Limited (Reino Unido) presta servicios de soporte y de administración de cuentas a los usuarios del Reino Unido; Empatica Care, Inc. (Estados Unidos) vende WellPD en los Estados Unidos. Su responsable del tratamiento es Empatica S.r.l.; las demás entidades del grupo actúan como encargados del tratamiento de esta, en virtud del acuerdo intragrupo de tratamiento de datos que las vincula.
(b) Proveedores de servicios (encargados del tratamiento) que actúan siguiendo nuestras instrucciones documentadas: alojamiento y almacenamiento en la nube; gestión de identidades y accesos; supervisión y registro de la infraestructura; gestión de incidencias de atención al cliente; envío de SMS, correos electrónicos y notificaciones push; procesamiento de pagos (Stripe Payments Europe, Limited, Irlanda, que trata los datos de pago en los Estados Unidos al amparo del EU–U.S. Data Privacy Framework (Marco de Privacidad de Datos UE-EE. UU.), con las cláusulas contractuales tipo de la Comisión Europea como mecanismo subsidiario; Stripe también actúa como responsable del tratamiento independiente, a través de Stripe Technology Company, Limited, Irlanda, para el cumplimiento de sus propias obligaciones legales, como la prevención del fraude y los controles contra el blanqueo de capitales, con arreglo a su propia política de privacidad); envío y logística; cálculo de impuestos; encuestas; infraestructura de IA (dentro de nuestro proveedor de servicios en la nube); auditoría y certificación. Nuestra lista actualizada de proveedores de servicios, con su ubicación, se publica en https://www.empatica.com/wellpd/privacy-policy/sub-processors y se actualiza cuando cambia; también puede solicitárnosla.
(c) Autoridades y organismos reguladores — autoridades competentes en materia de productos sanitarios (por ejemplo, para las notificaciones de vigilancia), autoridades de control, órganos jurisdiccionales y fuerzas y cuerpos de seguridad, cuando la ley lo exija o lo permita, y limitado a lo necesario.
(d) Personas con las que usted decide compartir sus datos. Puede exportar un informe desde la App o el Portal del Usuario y compartirlo con su profesional sanitario o con cualquier otra persona que elija. No lo enviamos en su nombre; una vez que lo haya compartido, el destinatario es responsable del uso que se haga de él.
(e) Asesores profesionales y sucesores — auditores, abogados y, en el caso de una operación societaria, la entidad adquirente o sucesora, con sujeción a obligaciones de confidencialidad y con garantías equivalentes.
No vendemos sus datos personales ni los compartimos con terceros para fines de marketing propios de estos.
7. Sus derechos y cómo ejercerlos
En función de la legislación que le sea aplicable (apartado 16), usted tiene derecho a: acceder a sus datos personales y obtener una copia; rectificar los datos inexactos; suprimir sus datos (es posible que debamos conservar los datos que la normativa sobre productos sanitarios u otra legislación nos obligue a conservar; se lo indicaremos); limitar el tratamiento en los casos previstos por la ley; obtener la portabilidad de los datos que nos haya facilitado, en un formato de lectura mecánica, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados (la App y el Portal del Usuario incluyen una función de exportación); oponerse al tratamiento basado en intereses legítimos y, en cualquier momento, a la mercadotecnia directa; retirar el consentimiento en cualquier momento; no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente de modo similar; obtener información sobre las transferencias internacionales y una copia de las garantías; y presentar una reclamación ante la autoridad de control indicada en el apartado 16.
Escriba a privacy@empatica.com o utilice los ajustes de privacidad de la App. Es posible que le pidamos que verifique su identidad. Respondemos dentro del plazo que establezca la legislación aplicable (un mes, prorrogable otros dos meses en casos complejos) y de forma gratuita, salvo que una solicitud sea manifiestamente infundada o excesiva. Un representante autorizado puede ejercer los derechos en su nombre con su autorización por escrito.
Delegado de Protección de Datos. Empatica S.r.l. ha designado un Delegado de Protección de Datos (42 Law Firm S.r.l.), con el que puede ponerse en contacto en privacy@empatica.com o en la dirección postal indicada en el apartado 15.
8. Cuánto tiempo conservamos sus datos
Datos / finalidad | Conservación |
|---|---|
Datos de la cuenta, del contrato y de la suscripción; mediciones, registro de medicación e Insights | Durante la vigencia del contrato y durante los 10 años siguientes (plazo de prescripción de la responsabilidad contractual), salvo que se exija un plazo más largo por litigios, requerimientos de las autoridades competentes o la legislación aplicable. Puede solicitar una supresión anticipada (apartado 7); en tal caso, suprimimos aquello que ninguna obligación legal nos exija conservar |
Registros de seguridad del producto, vigilancia y gestión de la calidad (incluidos los datos seudonimizados del dispositivo que dichos registros requieran) | Durante el plazo que establezca la legislación sobre productos sanitarios: hasta 25 años después de la seudonimización |
Investigación y mejora (con su consentimiento) | Datos seudonimizados: hasta 25 años después de la seudonimización, salvo que retire antes su consentimiento; datos anonimizados: indefinidamente |
Marketing | Hasta que retire su consentimiento o se oponga y, en cualquier caso, no más de 24 meses después de su última interacción con nuestras comunicaciones |
Registros de seguridad | Entre 7 días y 1 año según el registro, salvo que sean necesarios para investigar un incidente |
Registros de soporte y notificaciones de eventos adversos | Soporte: 3 años después del cierre; notificaciones de eventos adversos: como los registros de vigilancia indicados anteriormente |
Reclamaciones legales | Hasta que expire el plazo de prescripción aplicable |
Una vez finalizado el plazo de conservación, suprimimos de forma segura o anonimizamos de forma irreversible los datos, de conformidad con nuestros procedimientos de conservación de datos.
9. Menores
WellPD está destinado a adultos de 18 años o más y no está destinado a menores. No tratamos a sabiendas datos personales de menores; si tenemos conocimiento de que lo hemos hecho, los suprimimos.
10. Transferencias internacionales
Empatica S.r.l. está establecida en Italia; Empatica, Inc. y Empatica Care, Inc., en los Estados Unidos; Global Kinetics UK Corporation Limited, en el Reino Unido. Nuestros proveedores de servicios operan en el Espacio Económico Europeo, en los Estados Unidos y en otros países. Sus datos se almacenan en el EEE (AWS, Irlanda).
Cuando sus datos personales se transfieren fuera del EEE, utilizamos las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), junto con evaluaciones de impacto de las transferencias, o una decisión de adecuación. Empatica mantiene en todo momento cláusulas contractuales tipo suscritas con Empatica, Inc. Puede solicitarnos una copia de las garantías (apartado 7).
11. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas a la sensibilidad de los datos de salud, en el marco de un sistema de gestión de la seguridad de la información certificado conforme a la norma ISO/IEC 27001: cifrado en tránsito y en reposo, seudonimización de los datos de investigación, control de acceso y autenticación multifactor, registro y supervisión, desarrollo seguro, copias de seguridad y continuidad de la actividad, formación del personal y obligaciones de confidencialidad, y obligaciones contractuales de seguridad impuestas a nuestros proveedores de servicios. Ningún sistema es completamente seguro; mantenga seguros su Dispositivo, su teléfono y la contraseña de su Portal del Usuario —cualquier persona que tenga su Dispositivo y conozca su fecha de nacimiento puede iniciar sesión en la App— y avísenos de inmediato si pierde su Dispositivo o se lo roban, o si sospecha un uso indebido de su cuenta.
12. Cookies y seguimiento
La App y el Portal del Usuario solo utilizan las cookies técnicas y los identificadores necesarios para su funcionamiento y, con su consentimiento, herramientas analíticas. Nuestros sitios web utilizan cookies, incluido Google Analytics con fines de marketing, tal como se describe en la Política de Cookies de Empatica, disponible en https://www.empatica.com/legal/cookie_policy.
13. Enlaces de terceros
Los Servicios pueden contener enlaces a sitios web o aplicaciones de terceros. Sus prácticas de privacidad se rigen por sus propias políticas; no somos responsables de ellas.
14. Cambios en esta Política
Podemos actualizar esta Política para reflejar cambios en la legislación o en los Servicios. Publicamos las actualizaciones en la App y en nuestro sitio web y actualizamos la fecha de «Última actualización»; en caso de cambios sustanciales, se lo notificamos con antelación por correo electrónico o en la App y, cuando la ley lo exija, volvemos a solicitar su consentimiento.
15. Contacto
privacy@empatica.com — Empatica S.r.l., Via Stendhal 36, 20144 Milan, Italy (a la atención del Delegado de Protección de Datos).
16. Información para los usuarios del Espacio Económico Europeo
Responsable del tratamiento: Empatica S.r.l., Via Stendhal 36, 20144 Milan, Italy (NIF-IVA IT07462810966). Legislación: Reglamento (UE) 2016/679 (RGPD) y legislación nacional en materia de protección de datos. Autoridad de control: la autoridad del Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción (lista en edpb.europa.eu/about-edpb/about-edpb/members_en); para Empatica S.r.l., la autoridad de control principal es la autoridad italiana Garante per la protezione dei dati personali. Transferencias: apartado 10 (cláusulas contractuales tipo / adecuación). Idioma: esta Política está disponible en danés, neerlandés, inglés, finés, francés, alemán, italiano, noruego, español y sueco, en la página correspondiente a su país indicada en los Términos y Condiciones (definición de «Política de Privacidad»). Disposiciones nacionales. En Francia, puede darnos instrucciones sobre lo que debe ocurrir con sus datos tras su fallecimiento (artículo 85 de la Loi Informatique et Libertés). En Italia, tras el fallecimiento de una persona, sus derechos pueden ser ejercidos por cualquier persona que tenga un interés propio, que actúe en su nombre o por motivos familiares, salvo que dicha persona lo hubiera prohibido (artículo 2-terdecies del Codice in materia di protezione dei dati personali). En España, los herederos y las personas vinculadas al fallecido pueden solicitar el acceso a sus datos, así como su rectificación o supresión, salvo que el fallecido lo hubiera prohibido (artículo 3 de la Ley Orgánica 3/2018).