Legal
Política de privacidad
Última actualización: 5 de octubre de 2026
Esta política explica cómo trata AVARU los datos personales cuando visitas nuestra web, cuando una organización usa la plataforma de gestión y cuando una persona realiza una sesión. Está escrita para entenderse sin ser jurista; si algo no queda claro, escríbenos a info@avaru.io.
1. Quiénes somos
AVARU ofrece experiencias de realidad virtual y una plataforma web de gestión para hospitales y centros, empresas y entidades de formación.
- Titular: AVARU Health, S.L.
- NIF/CIF: B22770333
- Domicilio: Rda. Circunvalación, 188, 12003 Castelló de la Plana
- Contacto de privacidad: info@avaru.io
2. Nuestro papel con los datos
Depende de quién sea la persona y de qué datos hablemos:
- Visitantes de la web y personas que nos escriben: AVARU es la responsable del tratamiento.
- Equipo de las organizaciones (administradores y acompañantes con cuenta): AVARU es responsable de los datos de acceso a la plataforma.
- Pacientes, empleados y alumnos cuyos perfiles y sesiones registra una organización cliente: la organización cliente es la responsable y AVARU actúa como encargada del tratamiento, siguiendo sus instrucciones y el contrato de encargo que firmamos con ella.
Si eres paciente, empleado o alumno y quieres ejercer tus derechos sobre esos datos, debes dirigirte primero a tu hospital, centro, empresa o escuela. Nosotros les ayudaremos a atender tu solicitud.
3. Qué datos tratamos
| Quién | Datos |
|---|---|
| Visitantes de la web | Datos técnicos de la conexión que genera el servidor al servir las páginas (dirección IP, navegador, fecha y hora). Si nos escribes por correo, tu dirección y el contenido del mensaje. |
| Equipo de una organización | Nombre, correo electrónico, contraseña (almacenada de forma cifrada, nunca en claro), rol y permisos, y el registro de las acciones que realizas en la plataforma. |
| Pacientes, empleados y alumnos | Un número de perfil asignado automáticamente, un alias o referencia interna opcional y una unidad o departamento opcional. No pedimos nombre, correo ni contraseña a estas personas. La relación entre el número y la persona la conserva la organización. |
| Sesiones | Actividad realizada, fecha, duración, estado y ajustes elegidos; en las experiencias de recuperación, el seguimiento del movimiento necesario para el ejercicio. |
| Cuestionarios de bienestar | Respuestas voluntarias antes y después de la sesión (por ejemplo, estrés declarado, estado de ánimo, sueño y percepción de utilidad o malestar). |
| Visores de realidad virtual | Nombre del visor, modelo, estado, última conexión y órdenes enviadas. |
Recomendamos a las organizaciones no introducir nombres completos ni otros datos que identifiquen a la persona en el alias o la unidad.
4. Para qué los usamos y con qué base legal
| Finalidad | Base legal |
|---|---|
| Prestar la plataforma y las experiencias contratadas por una organización. | Ejecución del contrato con la organización cliente. Para los datos de sus pacientes, empleados o alumnos, la base la determina la organización como responsable. |
| Crear y proteger las cuentas del equipo, gestionar invitaciones y accesos. | Ejecución del contrato y nuestro interés legítimo en la seguridad del servicio. |
| Mantener el registro de actividad y detectar usos indebidos. | Interés legítimo en la seguridad y en poder demostrar quién hizo qué. |
| Responder a consultas y solicitudes de demostración. | Medidas precontractuales o consentimiento, según el caso. |
| Mostrar vídeos en la web. | Tu consentimiento al reproducirlos (ver el apartado 9). |
| Cumplir obligaciones legales. | Obligación legal. |
No vendemos datos personales ni los usamos para publicidad ni para elaborar perfiles comerciales.
5. Datos de salud
Las sesiones y, sobre todo, los cuestionarios de bienestar pueden revelar información sobre la salud física o emocional de una persona. Son datos de categoría especial y los tratamos con medidas reforzadas:
- Cada persona se identifica con un número, no con su nombre.
- Los datos de una organización están aislados de los de las demás mediante permisos a nivel de base de datos.
- Un acompañante solo ve a las personas que se le han asignado.
- En las empresas, los responsables ven cuántos cuestionarios se han completado, no las respuestas individuales.
- Los paneles muestran cifras de uso y percepciones declaradas; no calculan riesgos clínicos ni evalúan el rendimiento laboral.
La organización cliente es responsable de contar con la base legal adecuada para tratar estos datos y de informar a las personas.
6. Con quién los compartimos
Solo con proveedores que necesitamos para prestar el servicio y que actúan siguiendo nuestras instrucciones:
| Proveedor | Para qué |
|---|---|
| Supabase | Base de datos, autenticación y funciones del servidor de la plataforma. Los datos se alojan en la Unión Europea. |
| Proveedor de correo (SMTP) | Envío de invitaciones y enlaces de acceso desde la dirección info@avaru.io. |
| Alojamiento web | Servir la web pública: GoDaddy. |
| Vimeo y YouTube | Reproducir los vídeos que aparecen en la web (ver el apartado 9). |
Si algún proveedor trata datos fuera del Espacio Económico Europeo, lo hacemos con las garantías que exige la normativa (por ejemplo, cláusulas contractuales tipo). También podemos comunicar datos a autoridades cuando una ley nos obligue.
7. Cuánto tiempo los guardamos
- Datos de pacientes, empleados y alumnos: mientras dure el contrato con la organización y según sus instrucciones. Al terminar el contrato los devolvemos a la organización y, 12 meses después de la baja, los suprimimos, salvo que la ley exija conservarlos.
- Cuentas del equipo: mientras la cuenta esté activa. Un acceso revocado se mantiene bloqueado y se conserva su rastro en el registro de actividad.
- Registro de actividad: se conserva durante 12 meses.
- Consultas por correo: el tiempo necesario para atenderlas y, después, durante los plazos de prescripción de posibles responsabilidades.
8. Seguridad
- Conexión cifrada (HTTPS) en toda la plataforma.
- Contraseñas cifradas y acceso con correo verificado; las invitaciones caducan.
- Permisos por organización y por rol aplicados en la propia base de datos.
- Cada visor usa una credencial propia y solo recibe órdenes de su organización; las órdenes caducan a los dos minutos.
- Registro de actividad de los cambios importantes (perfiles, permisos, sesiones y visores).
Ninguna medida es infalible. Si detectamos una brecha que afecte a tus datos, lo comunicaremos a quien corresponda en los plazos legales.
10. Tus derechos
Puedes solicitar el acceso, la rectificación, la supresión, la limitación, la oposición y la portabilidad de tus datos, y retirar tu consentimiento cuando el tratamiento se base en él.
Escribe a info@avaru.io indicando qué derecho quieres ejercer. Para proteger tu información podemos pedirte que acredites tu identidad. Responderemos en el plazo de un mes.
Si consideras que no hemos tratado tus datos correctamente, puedes reclamar ante la Agencia Española de Protección de Datos.
11. Cambios en esta política
Si cambiamos algo relevante, actualizaremos esta página y la fecha de arriba. Si el cambio afecta de forma significativa a cómo tratamos tus datos, te avisaremos por un medio adecuado.