Política de privacidad

1. Responsable del tratamiento

A los efectos de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, "RGPD"), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD"), el tratamiento de los datos personales aportados a través de la plataforma se realiza bajo la denominación comercial Miofase, marca registrada bajo la que se presta el servicio.

El canal único de contacto del responsable, del equipo gestor y, en su caso, de la persona designada para atender consultas relativas a protección de datos es la siguiente dirección electrónica:

Correo de contacto: miofase@hotmail.com

A través de este correo el usuario podrá:

• Ejercer cualquiera de los derechos descritos en esta política.
• Solicitar información adicional sobre el tratamiento.
• Comunicar incidencias, dudas, problemas técnicos relativos al funcionamiento de la plataforma o a la integridad de sus datos.
• Notificar la posible existencia de una brecha de seguridad o accesos indebidos.
• Solicitar la suspensión, baja o supresión definitiva de su cuenta y de la información asociada.

El responsable se compromete a tramitar las solicitudes recibidas a través del canal indicado en el plazo máximo de un (1) mes desde su recepción, prorrogable por dos meses adicionales cuando la complejidad de la solicitud lo justifique, conforme al artículo 12.3 del RGPD.

2. Datos personales objeto del tratamiento

Se tratan, con carácter general, las siguientes categorías de datos personales:

• Datos identificativos básicos: nombre, primer apellido y, opcionalmente, segundo apellido, así como nombre de usuario único elegido por el interesado.
• Datos de contacto: dirección de correo electrónico y, en su caso, teléfono cuando el usuario decide facilitarlo voluntariamente.
• Datos de autenticación: contraseña almacenada mediante funciones criptográficas no reversibles (hashing) por el proveedor del subsistema de autenticación, así como tokens de sesión.
• Datos sociodemográficos voluntarios: fecha de nacimiento, sexo declarado, dirección postal y código postal si el usuario los facilita.
• Datos relativos al estado de salud y a la condición física: información clínica que el interesado aporta de forma voluntaria —en particular el motivo o justificación facilitada en el momento del registro— y los datos derivados del seguimiento del programa de ejercicio (valoraciones, registros de sesiones, marcas personales, cuestionarios cumplimentados). Estos datos tienen la consideración de categorías especiales a efectos del artículo 9 del RGPD.
• Datos derivados del uso del sistema: registros de acceso, identificadores técnicos del dispositivo y navegador (user-agent), dirección IP en logs de seguridad, fecha y hora de las acciones relevantes, así como aceptación de las cláusulas de consentimiento informado.
• Comunicaciones: mensajes intercambiados con el profesional asignado a través del chat interno y notas internas del sistema.

No se solicitan, ni se tratarán, datos personales innecesarios para las finalidades descritas. El usuario es libre de no aportar aquellos datos que no sean estrictamente imprescindibles para el funcionamiento del servicio.

3. Finalidades del tratamiento

Los datos personales facilitados se tratan exclusivamente para las finalidades específicas, explícitas y legítimas que se enumeran a continuación, y no serán tratados ulteriormente de manera incompatible con dichas finalidades, conforme al principio de limitación de la finalidad del artículo 5.1.b del RGPD:

1. Crear, mantener, gestionar y, en su caso, dar de baja la cuenta del usuario en la plataforma.
2. Autenticar al usuario en cada inicio de sesión y mantener la sesión activa durante el uso de la aplicación.
3. Permitir al usuario utilizar la plataforma: planificación de sesiones, seguimiento de ejercicios, cumplimentación de cuestionarios, registro de marcas personales y comunicación con el profesional asignado.
4. Asignar a cada usuario al profesional adecuado en función del contenido del mensaje de solicitud aportado voluntariamente al registrarse.
5. Atender cualquier consulta, sugerencia o ejercicio de derechos recibido a través del canal de contacto establecido.
6. Velar por la seguridad técnica del sistema, prevenir abusos, detectar incidencias y mantener el registro inmutable de solicitudes y consentimientos.
7. Cumplir con las obligaciones legales que resulten de aplicación al responsable.

Se hace constar expresamente que no se realizan: (i) envíos comerciales o publicitarios; (ii) cesiones de datos a terceros con fines de marketing; (iii) elaboración de perfiles con efectos jurídicos significativos sobre el interesado; (iv) decisiones automatizadas de las descritas en el artículo 22 del RGPD.

4. Base jurídica del tratamiento

Cada uno de los tratamientos descritos se apoya en una base jurídica concreta de las previstas en los artículos 6 y 9 del RGPD, en los términos que se detallan a continuación:

• Consentimiento expreso e informado del interesado (artículo 6.1.a y, en su caso, artículo 9.2.a del RGPD), prestado de forma libre, específica, informada e inequívoca mediante la cumplimentación del formulario de registro y el marcado expreso de la casilla habilitada al efecto. El consentimiento del interesado constituye la base jurídica principal del tratamiento.
• Ejecución del contrato con el interesado o adopción de medidas precontractuales a petición del mismo (artículo 6.1.b del RGPD).
• Cumplimiento de obligaciones legales aplicables al responsable (artículo 6.1.c del RGPD), en particular en materia de protección de datos, prevención del fraude y obligaciones contables, fiscales y sanitarias.
• Interés legítimo del responsable (artículo 6.1.f del RGPD) en garantizar la seguridad de los sistemas, prevenir su uso indebido, atender requerimientos legítimos y mejorar la calidad técnica de la plataforma, previa ponderación con los derechos y libertades fundamentales del interesado.
• Fines de medicina preventiva, diagnóstico o asistencia sanitaria prestados por profesional sujeto al secreto profesional (artículo 9.2.h del RGPD), cuando la prestación incorpore actuación profesional sanitaria.

La retirada del consentimiento en cualquier momento es un derecho del interesado y no afectará a la licitud del tratamiento realizado con anterioridad a dicha retirada.

5. Tratamiento de categorías especiales de datos

Cuando el interesado aporta —de forma voluntaria— información relacionada con su estado de salud, patologías, lesiones, tratamientos, diagnósticos o evolución clínica, dicha información tiene la consideración de categoría especial de datos conforme al artículo 9 del RGPD, lo que implica un nivel reforzado de protección.

El responsable adopta, en relación con estas categorías, las siguientes garantías reforzadas:

• Se exige un consentimiento explícito e independiente del resto de consentimientos, mediante una casilla propia y separada de la aceptación general del tratamiento. Ninguna de las dos puede marcarse por el interesado sin la otra, pero se registran por separado, cada una con su fecha y con la versión de este documento.
• Esa casilla solo puede marcarla el propio titular desde su cuenta. Ni el profesional, ni el centro, ni el administrador de la plataforma pueden registrarla en su nombre: la base de datos rechaza cualquier otra vía de escritura.
• El consentimiento puede retirarse en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior (art. 7.3 RGPD). Retirarlo cuesta lo mismo que darlo: en la aplicación, dentro de «Perfil → Privacidad y mis datos», hay un botón «Retirar mi consentimiento»; también puede hacerse escribiendo al canal de contacto del apartado 1. Retirarlo no borra nada —para eso está el derecho de supresión, más abajo— pero sí impide seguir usando la aplicación hasta que se vuelva a dar, porque la aplicación existe precisamente para tratar esos datos.
• La información clínica no se utiliza con finalidades distintas a la prestación del servicio, ni se cede a terceros con fines propios de estos. Sí es tratada, por cuenta del responsable y bajo contrato del artículo 28 del RGPD, por los proveedores de infraestructura relacionados en el apartado 7, que la alojan y la transmiten para que el servicio pueda funcionar. Ningún proveedor la utiliza para fines propios.
• Los datos de salud se guardan cifrados a nivel de campo, con una clave distinta por cada profesional responsable, de modo que una copia de la base de datos no resulta legible.
• Se aplican controles de acceso basados en roles, segregación estricta entre profesionales y políticas de mínimo privilegio sobre la información clínica.
• Los profesionales que acceden a estos datos se hallan sujetos al correspondiente deber de secreto profesional y a los principios deontológicos aplicables a su actividad.

6. Destinatarios de los datos. Cesiones

Con carácter general, los datos personales del interesado no son cedidos a terceros. Únicamente pueden acceder a la información los siguientes destinatarios, en los términos y con las limitaciones que se indican:

• El profesional al que se haya asignado el usuario en el seno de la plataforma. Cada profesional únicamente accede a los datos de los usuarios asignados a su cartera, sin que pueda visualizar la información de usuarios pertenecientes a la cartera de otros profesionales. Esta segregación se implementa de forma técnica mediante mecanismos de seguridad a nivel de registro de la base de datos.
• Encargados del tratamiento a los que se hace referencia detallada en el apartado siguiente, todos ellos obligados contractualmente y por imperativo del artículo 28 del RGPD a tratar la información exclusivamente conforme a las instrucciones del responsable.
• Administraciones públicas, jueces, tribunales o el Ministerio Fiscal cuando exista una obligación legal de comunicación de información.

En ningún caso se comparten datos personales con redes sociales, plataformas publicitarias ni terceros con finalidades comerciales, ni se venden, alquilan o ceden para la elaboración de perfiles con fines publicitarios.

Conviene distinguir dos cosas que suelen confundirse: una cesión es entregar datos a un tercero para que los use con sus propios fines, y eso no ocurre; un encargo de tratamiento es que un proveedor los trate por cuenta del responsable y siguiendo sus instrucciones, y eso sí ocurre necesariamente —el servicio se aloja en la nube—. El apartado 7 relaciona todos los proveedores implicados, sin excepciones.

7. Encargados del tratamiento

Para el funcionamiento técnico de la plataforma, el responsable recurre a los proveedores que se relacionan a continuación. Todos ellos tienen la condición de encargados del tratamiento en el sentido del artículo 28 del RGPD: tratan los datos por cuenta del responsable, siguiendo sus instrucciones, y no pueden utilizarlos para fines propios. La relación es completa: no existen otros proveedores con acceso a datos personales.

Sobre la generación de planes con inteligencia artificial: a fecha de esta política la funcionalidad se encuentra desactivada en la plataforma. Cuando se active, solo el profesional puede iniciarla, el envío se realiza desde el servidor —nunca desde el navegador del interesado—, el resultado entra siempre como borrador sujeto a revisión humana y en ningún caso sustituye al criterio del profesional ni constituye diagnóstico o tratamiento.

Todos los encargados aplican garantías técnicas y organizativas apropiadas y están vinculados por el correspondiente contrato del artículo 28. Cuando alguno subcontrate parte del tratamiento a un subencargado, lo hace cumpliendo el artículo 28.2. El interesado puede solicitar en cualquier momento, a través del canal de contacto, la relación actualizada de subencargados de cada proveedor.

8. Transferencias internacionales de datos

La base de datos, que es donde reside toda la información —incluida la de salud—, está alojada en la Unión Europea (región de Irlanda del proyecto de Supabase): ahí residen, cifrados, todos los datos de salud.

Hay una única salida de información clínica fuera del Espacio Económico Europeo, y conviene decirla sin rodeos en lugar de afirmar que no existe: cuando se usa la generación de planes con inteligencia artificial —hoy desactivada—, viaja a Anthropic, en los Estados Unidos, un perfil clínico-funcional sin ningún dato identificativo (ni nombre, ni apellidos, ni correo, ni teléfono, ni fecha de nacimiento, ni identificadores de la base de datos). Sigue siendo información sobre la salud de una persona, aunque no diga de quién, y por eso se declara aquí en vez de esconderla detrás de la palabra «anonimizado».

Sí existen transferencias a los Estados Unidos en los siguientes casos, y solo en ellos:

• Vercel: tráfico de la aplicación en tránsito, distribuido por su red global.
• Resend: nombre, correo y contenido de los correos del servicio.
• Sentry: datos técnicos de los errores, y únicamente si el usuario ha aceptado las cookies no esenciales.
• Cloudflare: dirección IP y testigo de la verificación anti-robot.
• Anthropic: el perfil clínico filtrado y sin identificadores descrito en el apartado anterior, cuando la funcionalidad de inteligencia artificial esté activada.
• Google: la dirección IP de quien reproduce un vídeo de ejercicio incrustado desde YouTube, y el contenido de los correos enviados a la dirección de soporte.

En todos estos supuestos el responsable garantiza la adopción de las medidas previstas en el Capítulo V del RGPD (artículos 44 a 50), en particular:

• Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea mediante Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021, suscritas con cada encargado que actúe fuera del EEE.
• Evaluaciones de impacto adicionales de las transferencias (denominadas habitualmente Transfer Impact Assessment), en cumplimiento del criterio fijado por el Tribunal de Justicia de la Unión Europea en la sentencia de 16 de julio de 2020, asunto C-311/18 (Schrems II).
• Adhesión a marcos de adecuación aprobados por la Comisión Europea, en su caso, como el EU-U.S. Data Privacy Framework cuando los proveedores se hallen adheridos al mismo.

9. Plazos de conservación

Los datos personales se conservarán durante el tiempo estrictamente necesario para el cumplimiento de las finalidades que justifican su tratamiento. A título orientativo se establecen los siguientes plazos:

• Datos asociados a la cuenta del usuario: mientras la cuenta permanezca activa o el usuario mantenga su vinculación con la plataforma.
• Datos clínicos voluntarios: durante el tiempo de prestación efectiva del servicio y, en su caso, conforme a los plazos que resulten aplicables en virtud de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, y la normativa autonómica que resulte de aplicación.
• Libro de registros de solicitudes y consentimientos: de manera inmutable durante el tiempo legalmente exigible para acreditar el correcto cumplimiento del principio de responsabilidad proactiva (accountability) del artículo 5.2 del RGPD.
• Registros de acceso y eventos de seguridad: los plazos no son orientativos, están fijados en la propia base de datos y se aplican solos. Cada registro tiene el suyo:
  • Accesos a fichas clínicas: 2 años.
  • Gobierno de equipos, solicitudes de alta y actuaciones de administración: 3 años.
  • Conversaciones borradas y códigos de recuperación usados: 1 año.
  • Intentos de acceso fallidos y de códigos de equipo: 90 días.
  • Contadores anti-abuso de los formularios públicos: 7 días.
  Los intentos de acceso correctos no se registran en ningún caso: estos registros existen para detectar ataques, no para vigilar a los usuarios.
• Comunicaciones con el equipo y registros de ejercicio de derechos: durante los plazos exigidos por la normativa de prescripción de acciones legales que pudieran derivarse del tratamiento.

Transcurridos los plazos anteriores, los datos serán suprimidos o, en su caso, bloqueados conforme al artículo 32 de la LOPDGDD hasta que prescriban las eventuales responsabilidades derivadas de su tratamiento.

10. Derechos del interesado

El RGPD y la LOPDGDD reconocen al interesado los siguientes derechos en relación con sus datos personales:

• Derecho de acceso (artículo 15 RGPD): a obtener confirmación sobre si se están tratando o no sus datos y, en caso afirmativo, a acceder a los mismos y a la información asociada.
• Derecho de rectificación (artículo 16 RGPD): a solicitar la modificación de los datos inexactos o incompletos.
• Derecho de supresión (artículo 17 RGPD), conocido como "derecho al olvido": a obtener la supresión de los datos cuando concurran las circunstancias previstas en el propio RGPD.
• Derecho de oposición (artículo 21 RGPD): a oponerse al tratamiento por motivos relacionados con su situación particular.
• Derecho a la limitación del tratamiento (artículo 18 RGPD): a obtener la suspensión temporal del tratamiento cuando se den las condiciones previstas en el citado precepto.
• Derecho a la portabilidad (artículo 20 RGPD): a recibir los datos en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable cuando ello sea técnicamente posible.
• Derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
• Derecho a no ser objeto de decisiones automatizadas que produzcan efectos jurídicos significativos o le afecten de modo similar (artículo 22 RGPD).

Para ejercer cualquiera de estos derechos, el interesado deberá remitir su solicitud al correo electrónico miofase@hotmail.com aportando, en su caso, copia de un documento que permita acreditar su identidad. La solicitud se atenderá en el plazo previsto en el artículo 12.3 del RGPD.

Sin perjuicio de lo anterior, el interesado tiene reconocido el derecho a presentar reclamación ante la Agencia Española de Protección de Datos (AEPD), con domicilio en calle Jorge Juan, número 6, 28001 Madrid, así como telemáticamente a través de la sede electrónica accesible en www.aepd.es.

11. Medidas técnicas y organizativas de seguridad

De conformidad con el artículo 32 del RGPD, el responsable aplica, en cooperación con los encargados, las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, la naturaleza, el alcance, el contexto y los fines del tratamiento. Entre tales medidas se encuentran:

• Cifrado de las comunicaciones en tránsito mediante TLS en su versión actualmente recomendada.
• Almacenamiento de contraseñas mediante funciones criptográficas no reversibles (hashing) aplicadas por el subsistema de autenticación del proveedor.
• Aplicación de políticas de control de acceso a nivel de registro (row-level security) en la base de datos, que impiden a un profesional acceder a la información de usuarios que no le hayan sido asignados.
• Uso de credenciales reforzadas para la administración del sistema, principio de mínimo privilegio y revisión periódica de los permisos otorgados.
• Verificación en dos pasos (un código del móvil además de la contraseña): obligatoria para las cuentas profesionales, que acceden a datos de muchas personas, y voluntaria y recomendada para las personas usuarias, que desde su cuenta solo alcanzan sus propios datos. Quien la activa la tiene que usar en cada sesión, y eso lo comprueba la propia base de datos.
• Límite de intentos de acceso y verificación anti-bot en el inicio de sesión.
• Realización de copias de seguridad por parte del proveedor del subsistema de base de datos, así como mantenimiento de registros de actividad para auditoría.
• Procedimientos documentados de gestión de incidentes y respuesta ante eventuales brechas de seguridad de los datos personales, conforme a los artículos 33 y 34 del RGPD.

Cómo proteger tu cuenta. No compartas tu contraseña ni tus códigos con nadie: ni Miofase ni tu profesional te los pedirán nunca, ni por correo, ni por WhatsApp, ni por teléfono. Entra desde el acceso directo de tu móvil o escribiendo tú mismo app.miofase.com, no desde enlaces que te lleguen sin esperarlos. Si recibes un enlace de pago, comprueba que empieza por https://app.miofase.com/ y que el importe y el concepto son los acordados; si dudas, pregunta a tu profesional antes de pagar. No envíes por el chat datos de tu tarjeta ni contraseñas. Y si crees que alguien ha entrado en tu cuenta, cambia la contraseña y avisa a tu profesional.

En caso de violación de la seguridad de los datos personales que pueda suponer un riesgo para los derechos y libertades de los interesados, el responsable la notificará a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar setenta y dos (72) horas después de haber tenido constancia de ella. Cuando la violación entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable comunicará la violación al interesado sin dilación indebida y en los términos previstos en el artículo 34 del RGPD.

12. Aislamiento entre profesionales y arquitectura de privacidad

La plataforma ha sido diseñada con el principio de protección de datos desde el diseño y por defecto, en aplicación del artículo 25 del RGPD. De forma específica:

• Cada profesional dispone de su propia cartera de usuarios asignados y solo accede a los datos de dicha cartera; los usuarios de otros profesionales son invisibles para él. Cada ficha registra además de quién es —del propio profesional o del centro con el que colabora—, responsables distintos.
• Equipos y supervisión: cuando el profesional forma parte de un equipo —un centro, una clínica o una consulta con varios profesionales—, la persona que lo coordina puede acceder a los datos de los usuarios del centro que ese profesional atiende, con la finalidad de supervisar la calidad del servicio; su cartera personal queda fuera, también de los recuentos. El alcance se pacta por escrito con cada profesional y puede limitarse a datos estadísticos y de actividad, sin acceso a la información clínica. Todo acceso a una ficha queda registrado —quién, a qué ficha y cuándo— y el profesional puede consultarlo.
• Sustituciones: el centro puede autorizar que otro profesional del mismo equipo acceda temporalmente a la cartera de un compañero, por un motivo concreto y con una fecha de finalización, por ejemplo para cubrir una ausencia. Estos accesos son desolo lectura, quedan igualmente registrados y son visibles para el profesional afectado.
• Esta segregación se aplica de forma técnica en la propia base de datos, no únicamente en la capa de presentación, mediante políticas de seguridad a nivel de registro.
• La información clínica, las anotaciones internas y los documentos privados elaborados por el profesional sobre el usuario no se exponen al propio usuario a través de la aplicación móvil. El usuario, desde su propia área, accede únicamente a la información que el profesional comparte con él (plan de entrenamiento, marcas personales, cuestionarios asignados, mensajes y datos personales básicos del propio usuario).
• Como interesado, el usuario tiene la posibilidad de editar sus propios datos básicos (teléfono, fotografía y campos limitados de perfil) y, en su caso, las marcas personales y cuestionarios que se le hayan asignado.

13. Cookies y tecnologías equivalentes

La aplicación utiliza dos categorías de almacenamiento en el dispositivo, y una de ellas requiere permiso:

• Técnico y necesario: los almacenamientos estrictamente imprescindibles para mantener la sesión iniciada y para el funcionamiento básico del sistema. Por su carácter técnico no requieren consentimiento, conforme al artículo 22 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE).
• No esencial (monitorización de errores): la herramienta de detección de fallos descrita en el apartado 7 no se carga hasta que el usuario la acepta expresamente en el aviso de cookies. Rechazarla cuesta exactamente un clic, igual que aceptarla, y la aplicación funciona igual sin ella. El aviso solo aparece la primera vez, así que para cambiar de opinión después está el control del apartado 5 de la política de cookies.

No se utilizan cookies publicitarias, de seguimiento entre sitios ni de elaboración de perfiles comerciales, ni propias ni de terceros.

14. Tratamiento de datos de menores

De acuerdo con el artículo 7 de la LOPDGDD, el tratamiento de datos personales de un menor de edad únicamente podrá basarse en su consentimiento cuando sea mayor de catorce (14) años. En caso contrario, será preceptivo el consentimiento del titular de la patria potestad o tutela del menor.

La plataforma se dirige únicamente a personas mayores de catorce (14) años. Si se detectara que un usuario menor de dicha edad ha accedido al sistema sin la autorización de sus representantes legales, su cuenta sería suspendida y los datos eliminados a la mayor brevedad.

15. Constancia inmutable del consentimiento

A los efectos del principio de responsabilidad proactiva (accountability) y de la carga de la prueba del consentimiento prevista en el artículo 7.1 del RGPD, en el momento en que el usuario marca la casilla de aceptación de la presente política se almacena, en un registro técnico inmodificable de la plataforma, la siguiente información:

• Fecha y hora exactas de la aceptación.
• Versión de la política aceptada.
• Identificador técnico del navegador desde el que se aceptó.
• Estado de aceptación (sí/no) y motivo, en su caso.

Estos registros sólo son accesibles al equipo gestor de la plataforma y se aportan, en su caso, a requerimiento de la autoridad de control o de la autoridad judicial competente.

16. Modificación de la política

El responsable se reserva el derecho a modificar la presente política para adaptarla a novedades legislativas, técnicas o de negocio. Cuando las modificaciones sean sustanciales se comunicarán al usuario con antelación razonable, a través de la propia aplicación o por correo electrónico, recabándose, en su caso, un nuevo consentimiento expreso para los nuevos términos.

17. Resolución de dudas y atención al interesado

Para cualquier consulta, duda, problema técnico o reclamación relacionada con la presente política, con el funcionamiento de la plataforma o con la integridad de los datos personales del interesado, el canal de comunicación habilitado por el responsable es la dirección de correo electrónico miofase@hotmail.com.

Las comunicaciones recibidas a través de este canal son gestionadas por el equipo de Miofase, que asume la función de atención al interesado y se compromete a responder en el plazo razonable indicado en el apartado 1.

18. Normativa de referencia

La presente política toma como referencia, entre otras, las siguientes normas:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE).
• Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
• Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países.
• Sentencia del Tribunal de Justicia de la Unión Europea de 16 de julio de 2020, asunto C-311/18 (Schrems II).

19. Aceptación

El marcado expreso de la casilla de aceptación habilitada en el formulario de registro implica la lectura y aceptación íntegra de la presente política de tratamiento de datos personales, así como del resto de condiciones aplicables al uso de la plataforma. Si el usuario no presta su consentimiento, no podrá completar el proceso de alta.