Política de Privacidad

Tavia · Última actualización: 18 de septiembre de 2026.

Borrador público. Este texto es una versión preliminar adaptada del documento fuente docs/legal/documentos-legales/politica-de-privacidad.md (versión 1.1.0). La revisión final por abogado especializado se realiza antes de la versión definitiva.

1. Alcance

Esta Política describe cómo Tavia trata los datos personales de quienes usan la plataforma — pacientes, profesionales y administradores — en cumplimiento de la Ley 25.326 (Protección de Datos Personales) y la Ley 26.529 (Derechos del Paciente).

2. Datos que recolectamos

• Datos de cuenta: nombre, DNI, fecha de nacimiento, email, teléfono.
• Datos de salud (sensibles): motivo de consulta, síntomas, diagnóstico registrado por el profesional, recetas emitidas. Se recolectan solo con tu consentimiento expreso y separado.
• Datos de uso: logs de acceso, interacciones con la plataforma, dispositivos y navegadores.
• Datos de pago: procesados íntegramente por Mercado Pago. Tavia no almacena datos de tarjeta.

3. Finalidad

Los datos se utilizan para:

• Brindar y mejorar el servicio de consultas médicas virtuales.
• Cumplir obligaciones legales (Ley 26.529: conservación de historia clínica por 10 años).
• Auditoría de seguridad y prevención de fraude.
• Encuestas de calidad y métricas agregadas (anonimizadas).

4. Conservación

• Datos de cuenta: mientras tu cuenta esté activa. Tras la baja, se eliminan en 30 días, salvo los que debamos conservar por obligación legal.
• Historia clínica: 10 años desde la última consulta, conforme Ley 26.529.
• Logs de auditoría: 2 años.

5. Quién accede

• Vos: tenés derecho de acceso, rectificación, actualización y supresión de tus datos personales no clínicos (Ley 25.326, art. 14). Para datos clínicos, aplican las reglas de la Ley 26.529.
• El profesional que te atendió: accede a la consulta concreta que realizó.
• Autoridad judicial o administrativa competente: ante requerimiento legal fundado.

6. Encargados de tratamiento

• Mercado Pago: procesamiento de pagos. Certificación PCI-DSS.
• Firebase (Google Cloud): hosting, base de datos, autenticación, funciones serverless. Datos hosteados en región South America.
• Agora: videollamada punto a punto. El audio/video no se almacena en servidores de Agora.

7. Seguridad

Aplicamos medidas técnicas y organizativas conforme el estándar internacional:

• Cifrado en tránsito: TLS 1.2+ en todas las conexiones.
• Cifrado en reposo: AES-256 sobre Firestore y Cloud Storage.
• Cifrado de credenciales de pago: KMS para los tokens de Mercado Pago.
• Reglas de seguridad: cada colección de Firestore declara permisos por rol (ver firestore.rules).
• Auditoría inmutable: toda acción de un super_admin queda registrada en auditoria/ con write: if false (ver reglas).
• App Check + reCAPTCHA Enterprise en producción para prevenir abuso de credenciales.

8. Transferencias internacionales

Algunos encargados (Firebase/Google Cloud, Agora) procesan datos fuera de Argentina, en Estados Unidos. Ese país no figura entre los de nivel adecuado de protección según la AAIP, por lo que la transferencia se apoya en tu consentimiento expreso (art. 12 de la Ley 25.326), que prestás junto con el consentimiento de datos de salud, y se limita a lo necesario para prestar el servicio.

9. Tus derechos

Conforme la Ley 25.326:

• Acceso: pedí una copia de tus datos personales.
• Rectificación: corregí datos inexactos.
• Supresión: solicitá la baja de datos no clínicos.
• Oposición: opoente al tratamiento para fines no esenciales.

Para ejercerlos: info@tavia.com.ar.

10. Cambios

Las modificaciones relevantes a esta Política se notifican por los medios de contacto registrados, con al menos 30 días de antelación.

11. Contacto

• Responsable del tratamiento: Sebastián Francisco Echazu, CUIT 20-27596328-4.
• Domicilio: Paraná 54, Piso 8, Dpto 14, Sección Sexta (6ta), Mendoza CP 5500, Argentina.
• Email: info@tavia.com.ar.