Política de Privacidad

KORNYX LLC — EIN 61-2374219 — 30 N Gould St, Ste R, Sheridan, WY 82801, EE. UU. Contacto: support@kornyx.com.

Hay que distinguir dos tratamientos:

Datos de los pacientes o clientes de la clínica. La clínica que contrata KORNYX CALL es la responsable del tratamiento; KORNYX LLC actúa como encargada y trata esos datos únicamente siguiendo sus instrucciones, para prestarle el servicio. Si eres paciente y quieres ejercer tus derechos, dirígete a tu clínica; nosotros la asistiremos.

Datos de los usuarios del panel y de quien nos contacta. Aquí el responsable es KORNYX LLC.

De pacientes o clientes de la clínica: nombre y teléfono; la grabación de la llamada y su transcripción; el resumen y la clasificación de lo hablado; la cita reservada (día, hora, tratamiento indicado por la clínica); los mensajes de WhatsApp intercambiados; y la constancia de una baja u oposición a recibir llamadas, con el motivo que el propio paciente exprese.

De usuarios del panel: email, datos de la cuenta y de la clínica, y registro de accesos de administración.

De navegación: solo con consentimiento previo (detalle en la Política de Cookies).

Datos de salud. Lo que un paciente cuenta en la llamada, el tratamiento que se le indica o el motivo por el que pide cita pueden revelar información sobre su salud, que el art. 9 del RGPD considera una categoría especial de datos. KORNYX LLC los trata únicamente como encargada, siguiendo las instrucciones de la clínica y sin usarlos para ninguna finalidad propia. La base jurídica que levanta la prohibición del art. 9.1 —normalmente el art. 9.2.h, fines de medicina preventiva o asistencia sanitaria bajo secreto profesional— la aporta la clínica responsable, no KORNYX.

Realizar y atender llamadas en nombre de la clínica, gestionar sus citas, enviarle avisos y mensajes de WhatsApp a sus pacientes, y darle en el panel el resultado de todo ello. Las grabaciones y transcripciones se usan además para comprobar la calidad del agente. No se usan datos de pacientes para publicidad ni para entrenar modelos propios.

Para los datos de pacientes, la que determine la clínica responsable, formalizada en el contrato de encargo de tratamiento. Para los datos de los usuarios del panel, la ejecución del contrato de servicio (art. 6.1.b RGPD). Para las cookies de medición, tu consentimiento (art. 6.1.a RGPD).

Contenido de las llamadas: 30 días. Un proceso automático diario borra la grabación y vacía la transcripción, el resumen y las frases literales de cada llamada, incluidas las entrantes, a los 30 días. Después se conservan solo datos sin contenido (fecha, duración, resultado, categorías y métricas), que ya no permiten reconstruir la conversación.

Las citas, las tareas de la clínica y los mensajes de WhatsApp se conservan mientras la clínica mantenga la cuenta activa, porque forman parte de su historial de trabajo. El registro de accesos de administración se conserva 5 años. La constancia de una baja se mantiene mientras sea necesaria para no volver a llamar a esa persona.

Al terminar el contrato, los datos de la clínica se le devuelven o se eliminan en un plazo de 30 días, a su elección, salvo aquello que una obligación legal obligue a conservar durante más tiempo.

Datos de Google Calendar: ver el apartado 7.

Para prestar el servicio intervienen los siguientes proveedores. La entidad indicada es la que figura en sus condiciones de servicio públicas, consultadas el 19 de septiembre de 2026; donde pone «pendiente de confirmar», el dato debe tomarse del contrato o la factura antes de darlo por bueno.

• Motor de voz: Vapi Inc. (sociedad de Delaware, EE. UU.), que atiende la llamada y, a través de ella, emplea servicios de transcripción, voz sintética y modelo de lenguaje — subencargados concretos pendientes de confirmar.
• Telefonía: Telnyx LLC (Austin, Texas, EE. UU.) o Telnyx Ireland Limited, «as applicable» según su política; y Zadarma, cuyo servicio prestan varias sociedades según la región (entre ellas VOICE CLOUD S.L. en España e IP Telecom Bulgaria Ltd) — cuál es la contratante: pendiente de confirmar en la factura. Algunos números entrantes los provee el propio Vapi.
• Base de datos y almacenamiento de grabaciones: Supabase Pte. Ltd. (Singapur), con los datos alojados en la región eu-west-1 (Irlanda): la base de datos y las grabaciones no salen del Espacio Económico Europeo.
• Mensajería WhatsApp: Meta Platforms Ireland Ltd. (Irlanda).
• Agenda: Google, cuando la clínica conecta su calendario — entidad contratante (Google Ireland Ltd. o Google LLC): pendiente de confirmar.
• Correo: Amazon Web Services EMEA SARL (Amazon SES, región eu-west-1, Irlanda).
• Errores de la aplicación: Functional Software, Inc. d/b/a Sentry (San Francisco, California, EE. UU.). No recibe datos de pacientes: los campos con nombre, teléfono o email se eliminan antes de enviar el evento.
• Avisos operativos a la clínica: Telegram Messenger Inc., fuera del Espacio Económico Europeo (grupo con sociedades en las Islas Vírgenes Británicas y Telegram FZ-LLC en Dubái; representante en la UE conforme al art. 27 RGPD: European Data Protection Office, Bruselas). Los avisos no incluyen el contenido de la conversación del paciente.

No se ceden datos a terceros para finalidades propias de estos, ni se venden.

Si la clínica conecta su Google Calendar, KORNYX CALL solicita únicamente los permisos calendar.events y userinfo.email.

Qué datos accede. El correo de la cuenta de Google conectada, y la capacidad de crear y borrar los eventos que KORNYX CALL mismo genera. Puede consultar franjas de ocupación del calendario (freeBusy) para no ofrecer huecos ya ocupados; esa consulta no devuelve título, descripción ni asistentes de ningún evento. No lee ni modifica el contenido de otros eventos.

Qué datos escribe. Cada cita reservada por teléfono se crea como evento con el nombre y teléfono del paciente y el identificador de la cita. Al cancelarla desde el panel, el evento se elimina.

Uso. Exclusivamente para reflejar en el calendario de la clínica las citas reservadas o canceladas. No se usan para publicidad, perfilado ni ningún otro fin.

Transferencia. Los datos obtenidos de Google no se comparten con terceros ni se envían a proveedores de inteligencia artificial (Anthropic, Vapi) ni a ningún otro servicio. Solo se almacenan en nuestra base de datos (Supabase, Irlanda).

Protección. El token de acceso se guarda cifrado (AES-256-GCM) y solo lo utiliza el servidor de KORNYX CALL; nunca se expone al navegador ni a terceros. Todas las comunicaciones con Google van cifradas (TLS).

Retención y borrado. El token y el correo se conservan mientras la conexión esté activa. Al desconectar Google Calendar desde Ajustes, el token y el correo se eliminan de inmediato de nuestra base de datos; para retirar además el permiso concedido a KORNYX CALL, la clínica puede revocarlo en myaccount.google.com/permissions. Al terminar el contrato se eliminan junto con el resto de datos de la cuenta, en los plazos del apartado 5. Los eventos creados permanecen en el calendario de la clínica, bajo su control, y se eliminan cuando la cita se cancela.

Inteligencia artificial. Los datos obtenidos de las API de Google no se utilizan para desarrollar, mejorar ni entrenar modelos de IA o aprendizaje automático, ni se transfieren a servicios de terceros que los utilicen para ello.

El uso de datos de usuario brutos o derivados recibidos de las API de Workspace se ajustará a la Política de datos de usuario de Google, incluidos los requisitos de uso limitado.

KORNYX LLC está domiciliada en Estados Unidos y parte de los proveedores indicados tratan datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en las cláusulas contractuales tipo de la Comisión Europea o en el marco de adecuación aplicable a cada proveedor. El detalle por proveedor y las garantías concretas están pendientes de revisión legal y se publicarán aquí.

Acceso, rectificación, supresión, oposición, limitación y portabilidad. Si eres paciente, dirígete a tu clínica, que es la responsable; si eres cliente de KORNYX CALL, escribe a support@kornyx.com. Puedes reclamar ante la autoridad de control de tu país (en España, la AEPD).

KORNYX LLC no ha designado a día de hoy representante en la Unión Europea conforme al art. 27 RGPD. Esta sección se actualizará en cuanto se designe.