Política de privacidad

En resumen

Somos Boli Care SAS, establecida en Francia. Somos el responsable del tratamiento de tus datos.
Los datos de salud son sensibles (art. 9 RGPD). Solo los tratamos con tu consentimiento explícito y aplicamos garantías reforzadas.
Los datos se alojan en la Unión Europea. Cualquier transferencia fuera de la UE se enmarca en garantías conformes con el RGPD (CCE + evaluación de impacto de la transferencia).
Nunca vendemos datos personales.
Puedes ejercer en cualquier momento todos los derechos del RGPD escribiendo a privacy@boli.care.
También puedes presentar una reclamación ante la AEPD (España), la CNIL (Francia) o la autoridad de control de tu país de residencia.

01Introducción

Boli («nosotros», «nuestro») es una empresa de salud digital que acompaña a las personas con obesidad, en particular a quienes están en tratamiento con medicamentos antiobesidad. Nuestro horizonte es la salud metabólica: empezamos por la atención a la obesidad y esta nueva generación de tratamientos la convierte en un campo transversal cuyo beneficio va mucho más allá del peso. La protección de tus datos personales es para nosotros un requisito de fondo, no una formalidad de cumplimiento.

La presente política se rige por el Reglamento (UE) 2016/679 («RGPD»), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD») en España, la ley francesa n.º 78-17, de 6 de enero de 1978, modificada («Loi Informatique et Libertés») y por las directrices y recomendaciones emitidas por la Agencia Española de Protección de Datos («AEPD») y la Commission Nationale de l’Informatique et des Libertés («CNIL»). Se aplica además de cualquier norma nacional de protección de datos del país de la UE en el que residas.

02Responsable del tratamiento y DPD

Responsable del tratamiento: Boli Care SAS - Société par Actions Simplifiée
Domicilio social: 3 rue Loustau, 64200 Biarritz, Francia
RCS / SIRET: 989 985 718 R.C.S. Bayonne · SIRET 989 985 718 00018
Contacto de privacidad: privacy@boli.care
Delegado de Protección de Datos (DPD): dpo@boli.care
Dirección postal (DPD): Boli Care SAS - DPO, 3 rue Loustau, 64200 Biarritz, Francia

03Ámbito

Esta política se aplica :

A las personas que visitan nuestro sitio boli.care.
A las personas que interactúan con nuestros formularios, boletín, contenidos o canales sociales.
A las personas usuarias actuales y futuras de la app Boli Care y de la consola para profesionales.
A los profesionales sanitarios que utilizan la consola.

No se aplica a los sitios o servicios de terceros accesibles a través de enlaces desde nuestro sitio, que disponen de sus propias políticas de privacidad.

04Datos que recogemos

a. Datos que nos facilitas activamente

Identidad y datos de contacto (nombre, apellidos, email, teléfono, idioma).
Información que nos transmites a través de formularios, suscripción al boletín o mensajes que nos envías.
Credenciales profesionales sanitarias, cuando proceda (especialidad, número de colegiado, institución).

b. Datos recogidos automáticamente

Dirección IP, navegador, dispositivo, sistema operativo, idioma.
Páginas visitadas, duración, URL de origen.
Cookies y tecnologías de seguimiento - consulta la Política de cookies.

c. Datos recogidos en la app Boli Care (cuando proceda)

Si te registras o utilizas la app Boli Care, podemos recoger datos adicionales :

Datos de salud : peso, IMC, síntomas, tratamiento en curso, efectos adversos, historial de titulación.
Datos de conducta alimentaria : hábitos, alimentación emocional, antojos, tipo de dieta.
Actividad física y movilidad : nivel de actividad, tipos de ejercicio, limitaciones físicas.
Datos de sueño : calidad, duración, dificultad para conciliar el sueño.
Datos psicológicos autodeclarados : ánimo, estrés, autoestima, fatiga mental.
Datos contextuales : estructura del hogar, apoyo social, actividad profesional.
Preferencias y ajustes de usuario.

Los datos de salud son sensibles. Conforme al artículo 9 del RGPD, esta categoría recibe una protección especial. Solo los recogemos con tu consentimiento explícito y separado y aplicamos medidas de seguridad reforzadas.

05Registro de actividades de tratamiento

La tabla siguiente resume las principales actividades de tratamiento que llevamos a cabo, su base jurídica, las categorías de datos implicadas y los plazos de conservación.

Finalidad	Base jurídica	Categorías de datos	Conservación
Operar el sitio y garantizar su seguridad	Interés legítimo	Logs de conexión, IP, navegador, datos técnicos	12 meses máx.
Responder a tus solicitudes de contacto	Precontractual / Consentimiento	Identidad, datos de contacto, contenido del mensaje	3 años desde el último contacto activo
Envío del boletín	Consentimiento	Email, idioma, datos de interacción	Hasta que te des de baja
Operar la app Boli Care - funciones de seguridad clínica, seguimiento de efectos adversos, registro de auditoría	Contrato + Consentimiento explícito (art. 9.2.a)	Cuenta, datos de salud, datos conductuales y clínicos	Uso del servicio + 3 años (archivo intermedio)
Poner a disposición la consola para profesionales y compartir datos con los profesionales sanitarios que tú autorices	Consentimiento explícito	Datos de salud, eventos clínicos, registros de auditoría	Uso del servicio + 3 años
Cumplir las obligaciones aplicables a los productos sanitarios (vigilancia, trazabilidad)	Obligación legal	Eventos del producto, notificaciones de vigilancia, registros de auditoría	Hasta 10 años tras el fin de vida del producto (según el MDR)
Medición de audiencia (analítica del sitio)	Consentimiento	Datos de navegación seudonimizados	13 meses máx. (recomendación AEPD/CNIL)
Investigación con datos del mundo real y mejora del producto	Consentimiento (separado, opt-in)	Datos agregados y seudonimizados	Duración del proyecto de investigación
Gestión contable y facturación	Obligación legal	Identidad, datos de facturación	10 años (Código de Comercio francés)
Defensa de derechos en juicio	Interés legítimo	Datos necesarios para el litigio	Duración del litigio + plazos de prescripción aplicables

Se realiza una ponderación documentada para cada tratamiento basado en el interés legítimo.

06Bases jurídicas (RGPD art. 6 y 9)

Consentimiento (art. 6.1.a / art. 9.2.a) : boletín, cookies no esenciales, tratamiento de datos de salud, usos opcionales en investigación. El consentimiento se recoge de forma separada y específica para los datos de salud.
Ejecución de un contrato (art. 6.1.b) : cuando te registras o utilizas nuestros servicios.
Obligación legal (art. 6.1.c) : registros de seguridad, cumplimiento normativo, contabilidad.
Interés legítimo (art. 6.1.f) : mejora del sitio, prevención del fraude, análisis estadístico. En cada caso se realiza una ponderación documentada.

08Transferencias internacionales

Algunos datos pueden ser transferidos fuera de la Unión Europea, en particular a Estados Unidos (alojamiento, servicios de IA, herramientas de analítica). Cuando esto ocurre, aplicamos garantías apropiadas en virtud del capítulo V del RGPD :

Cláusulas Contractuales Estándar (CCE) adoptadas por la Comisión Europea (decisión de ejecución 2021/914).
Una evaluación de impacto de la transferencia (TIA) documentada para cada transferencia.
Medidas técnicas y organizativas adicionales (cifrado, seudonimización, gestión de claves) cuando resulte necesario.

09Conservación

Conservamos tus datos solo durante el tiempo necesario para los fines para los que fueron recogidos. Los plazos detallados figuran en el registro de actividades de tratamiento. Al finalizar el plazo aplicable, tus datos se suprimen o se anonimizan de forma irreversible. Puedes solicitar su supresión en cualquier momento (consulta tus derechos), sin perjuicio de las obligaciones legales de conservación que nos correspondan.

10Tus derechos

Conforme al RGPD, a la LOPDGDD y a la Loi Informatique et Libertés, dispones de los siguientes derechos sobre tus datos personales :

Derecho	Artículo	Significado
Acceso	RGPD art. 15	Obtener una copia de tus datos e información sobre cómo se tratan.
Rectificación	RGPD art. 16	Corregir datos inexactos o incompletos.
Supresión («derecho al olvido»)	RGPD art. 17	Suprimir tus datos cuando ya no sean necesarios o cuando retires el consentimiento.
Limitación	RGPD art. 18	Restringir el tratamiento en situaciones específicas.
Portabilidad	RGPD art. 20	Recibir tus datos en un formato estructurado, de uso común y lectura mecánica.
Oposición	RGPD art. 21	Oponerte a un tratamiento basado en el interés legítimo, incluida la elaboración de perfiles.
Retirada del consentimiento	RGPD art. 7	Retirar el consentimiento en cualquier momento, sin afectar a los tratamientos previos.
No ser objeto de decisiones automatizadas	RGPD art. 22	No ser objeto de una decisión basada únicamente en un tratamiento automatizado.
Derechos digitales y testamento digital	LOPDGDD arts. 79-97	Derechos digitales y disposiciones aplicables tras el fallecimiento (legislación española).
Reclamación	RGPD art. 77	Presentar una reclamación ante tu autoridad de control - consulta más abajo.

Para ejercer cualquiera de estos derechos, escribe a privacy@boli.care. Te responderemos en el plazo de un mes desde la recepción de tu solicitud (art. 12 RGPD). Este plazo puede ampliarse en dos meses en casos excepcionales, en cuyo caso te lo notificaremos por escrito.

También puedes presentar una reclamación ante la autoridad de control de tu país de residencia. Si resides en España, la autoridad competente es la AEPD ; en Francia, la CNIL. Boli colaborará en el procedimiento de mecanismo de cooperación y coherencia previsto en los artículos 60 y siguientes del RGPD.

País	Autoridad	Sitio web
España	AEPD - Agencia Española de Protección de Datos	aepd.es
Francia	CNIL - Commission Nationale de l’Informatique et des Libertés	cnil.fr
Unión Europea	EDPB - Comité Europeo de Protección de Datos (coordinación)	edpb.europa.eu
Otro país de la UE	Autoridad nacional de protección de datos	Lista de autoridades del EEE

11Seguridad

Aplicamos medidas técnicas y organizativas en estado del arte para proteger tus datos :

Cifrado en tránsito (HTTPS / TLS 1.3) y en reposo.
Alojamiento en la Unión Europea o por proveedores conformes con el RGPD.
Control de acceso estricto y minimización de datos.
Seudonimización de los identificadores de usuario.
Cláusulas de confidencialidad para todo el personal y los encargados del tratamiento.
Formación periódica de los equipos en materia de protección de datos.
Sistema de gestión de la calidad alineado con la norma ISO 13485.
Pruebas de intrusión periódicas y ciclo de desarrollo seguro.

Notificación de violación de datos. Ningún sistema es infalible. En caso de violación de datos personales que pueda suponer un riesgo para tus derechos y libertades, lo notificaremos a la autoridad de control competente en un plazo de 72 horas y te informaremos sin dilación indebida (arts. 33 y 34 RGPD). Para notificar un incidente sospechoso : security@boli.care.

12Personas menores de edad

Nuestros servicios no están dirigidos a personas menores de 16 años, conforme al artículo 8 del RGPD. No recogemos a sabiendas datos de menores. Si crees que una persona menor de edad nos ha facilitado datos personales, contáctanos inmediatamente en privacy@boli.care.

Nota para España. El artículo 7 de la LOPDGDD permite, en España, prestar consentimiento a partir de los 14 años. Boli aplica de forma uniforme el umbral del RGPD (16 años) para reforzar la protección de las personas menores en todos los territorios donde se despliega el servicio. Por debajo de esta edad, el consentimiento debe ser otorgado por la persona titular de la patria potestad o tutela.

13Evaluación de Impacto relativa a la Protección de Datos (EIPD)

Dada la naturaleza de los datos tratados (datos de salud al amparo del artículo 9 del RGPD), la elaboración algorítmica de perfiles utilizada para personalizar el acompañamiento, el seguimiento sistemático que se lleva a cabo y la posible vulnerabilidad de las personas afectadas, hemos realizado una Evaluación de Impacto relativa a la Protección de Datos conforme al artículo 35 del RGPD y a los criterios de la AEPD y de la CNIL.

Este documento se mantiene actualizado y está disponible previa solicitud a nuestro DPD en dpo@boli.care.

14Elaboración de perfiles y decisiones automatizadas

Nuestra aplicación utiliza un sistema de personalización algorítmica para ofrecer contenidos y un acompañamiento adaptados a tu perfil de salud. Esta elaboración de perfiles se basa en la información que nos facilitas (síntomas, hábitos, tratamiento) y se utiliza exclusivamente para mejorar la pertinencia del apoyo que te ofrecemos.

Este tratamiento se basa en tu consentimiento explícito (arts. 9.2.a y 22.4 del RGPD). En cualquier momento puedes :

Obtener información sobre la lógica subyacente a la elaboración de perfiles.
Solicitar la intervención humana.
Impugnar una recomendación automatizada.
Retirar tu consentimiento a la elaboración de perfiles.

15Cambios

Podremos actualizar esta política para reflejar los cambios en nuestras prácticas, servicios u obligaciones legales. Las actualizaciones se publican en esta página con una nueva fecha de revisión. En caso de cambios sustanciales, te informaremos por email o a través de la aplicación.

v2.0 - 11 de marzo de 2026 : incorporación del registro de actividades, la sección de encargados del tratamiento, la tabla estructurada de derechos y de las autoridades de control en la UE.
v1.0 - publicación inicial.

16Contacto y reclamaciones

Contacto de privacidad: privacy@boli.care
DPD: dpo@boli.care
Dirección postal: Boli Care SAS - DPO, 3 rue Loustau, 64200 Biarritz, Francia
Incidente de seguridad: security@boli.care
Autoridades de control: AEPD - aepd.es · CNIL - cnil.fr · o cualquier otra autoridad competente del EEE

Política de privacidad.