Política de Privacidad

Cognitus Biotech S.L. protege y garantiza el derecho fundamental a la protección de datos y salvaguarda la privacidad de las personas. Por consiguiente, el tratamiento de sus datos se hace de acuerdo con el Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Asimismo, este tratamiento responde a los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de los datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva.

Para más información sobre el uso que hacemos de los datos personales puede consultar nuestro registro de actividades de tratamiento (RAT) en: https://anqwncasedpdcxnwkqep.supabase.co/storage/v1/object/public/public-docs/RAT/registro-actividades-tratamiento-Cognitus-Biotech-VA.pdf

1. Responsable del Tratamiento y Delegado de Protección de Datos

El responsable del tratamiento de los datos personales recogidos en el marco de la utilización del Sitio Web y del sistema Avatar Silver es:

• Denominación social: COGNITUS BIOTECH S.L.
• NIF: B09912064
• Dirección: Rúa Oliveiras, 37B, P2, Polígono Industrial Milladoiro, 15895 - Ames (A Coruña), España.
• Contacto general: contacto@avatarsilver.com

Cognitus Biotech ha designado formalmente a un Delegado de Protección de Datos (DPD), a quien el usuario puede dirigirse para cualquier cuestión relativa al tratamiento de sus datos personales:

• Delegado de Protección de Datos: José Julio Fernández Rodríguez
• Correo electrónico de contacto: dpd@avatarsilver.com

2. Categorías de datos personales objeto de tratamiento

Atendiendo a la Evaluación de Impacto relativa a la Protección de Datos (EIPD) realizada para el sistema Avatar Silver, el asistente opera tanto en entornos domésticos como residenciales/centros de día, tratando las siguientes categorías de datos:

• Datos identificativos básicos: nombre, apellidos, alias o nombre preferido para la interacción.
• Datos de contacto: dirección postal, teléfono, correo electrónico del usuario y de los familiares o cuidadores autorizados.
• Datos de interacción y voz: Señal de voz procesada en tiempo real (que puede constituir dato biométrico conforme a su tratamiento), comandos de voz y transcripciones escritas.
• Contenido de las conversaciones: Manifestaciones vertidas espontáneamente durante las charlas con el avatar (incluyendo recuerdos, gustos, vivencias, convicciones o estado anímico).
• Datos de hábitos y comportamiento: cumplimiento de rutinas diarias, pautas de interacción, frecuencias de uso del sistema e indicadores de inactividad.
• Datos relativos a la salud e inferencias sensibles: recordatorios de toma de medicación, citas médicas, manifestaciones espontáneas sobre el estado físico o emocional e inferencias generadas por el sistema sobre variaciones anímicas o necesidades de apoyo.

Nota de privacidad: Por defecto, el sistema NO captura imágenes ni datos de geolocalización precisa salvo habilitación técnica consciente y previa.

3. Finalidad del tratamiento y bases jurídicas

Los datos personales serán tratados con las siguientes finalidades y bajo las bases legitimadoras señaladas:

• Prestación del servicio de acompañamiento conversacional y estimulación cognitiva: Permitir al avatar mantener un diálogo empático, fluido y adaptado, recordando detalles relevantes de la persona.
  Base legal: Consentimiento explícito del usuario y/o persona de apoyo (artículos 6.1.a y 9.2.a del RGPD).
• Apoyo en la gestión de rutinas y alertas de emergencia: Emisión de recordatorios de medicación/citas y activación de protocolos de aviso a familiares o servicios de apoyo ante palabras clave de ayuda.
  Base legal: Ejecución del contrato del servicio (art. 6.1.b del RGPD) y consentimiento explícito (art. 9.2.a del RGPD).
• Atención a solicitudes, consultas y soporte técnico: Gestionar el contacto B2B, consultas de familias o incidencias del dispositivo.
  Base legal: Aplicación de medidas precontractuales o interés legítimo (arts. 6.1.b y 6.1.f del RGPD).

4. Régimen especial de consentimiento, capacidad y consentimiento informado

Conforme al marco de apoyo a la capacidad jurídica (Ley 8/2021) y los resultados de la EIPD, se reconoce la presunción de capacidad de las personas mayores. Sin embargo, dada la entrada de tecnologías de IA conversacional en el entorno íntimo del hogar se consideran necesarios:

• Doble consentimiento / Consentimiento de apoyo: El consentimiento para el tratamiento de datos y la suscripción del servicio podrá prestárselo de manera conjunta por la persona mayor (usuaria principal) y por la persona o familiar que la acompaña en el uso de la tecnología o actúa como parte contratante.
• Consentimiento informado asistencial (Ley 41/2002): Se garantiza que la persona usuaria y su entorno comprendan los riesgos y limitaciones de la inteligencia artificial (respuestas probabilísticas, ausencia de criterio médico), evitando falsas expectativas.

5. Plazos de conservación y bloqueo de datos

Los datos personales se conservarán mientras se mantenga la prestación del servicio Avatar Silver o la participación en las pruebas piloto correspondientes.

Una vez finalizada la relación contractual o solicitada la baja, los datos serán objeto de bloqueo conforme al artículo 32 de la LOPDGDD, quedando a disposición exclusiva de jueces, tribunales, el Ministerio Fiscal o la AEPD durante los plazos de prescripción de responsabilidades legales. Transcurridos dichos plazos, se procederá a su destrucción o anonimización irreversible.

6. Destinatarios, encargados del tratamiento y transferencias internacionales

Cognitus Biotech no venderá ni cederá datos personales a terceros con fines comerciales o publicitarios.

Para la prestación técnica del servicio, intervienen los siguientes encargados del tratamiento bajo contratos vinculantes:

• Proveedor de grandes modelos del lenguaje (LLM): OpenAI, LLC, mediante acuerdo de procesamiento de datos (DPA) con cláusulas contractuales tipo (SCCs) y ejecución sobre infraestructura segura de Microsoft Azure en regiones del Espacio Económico Europeo. Se prohíbe expresamente el reentrenamiento de modelos con los audios o textos de las personas usuarias.
• Espacio de datos: OneHealth DataSpace (antes denominado demostrador multisectorial DATAlife) del CESGA, accesible mediante conectores IDS (concretamente conectores EDC) y cuya arquitectura es compatible con los estándares de GAIA-X y la Data Governance Act (Reglamento UE 2022/868), para garantizar la soberanía del dato.

7. Medidas de seguridad y principios de privacidad desde el diseño

Cognitus Biotech aplica las medidas técnicas y organizativas determinadas en la EIPD, alineadas con los estándares ISO/IEC 27001 y la norma UNE-ISO 31000:

• Cifrado robusto: Protocolos TLS 1.3 para datos en tránsito (WSS/HTTPS) y cifrado AES-256-CBC para datos en reposo.
• Dispositivo "capado" (Kiosk Mode): La tableta suministrada opera en un entorno restringido que impide la instalación de software no autorizado.
• Protocolo de suspensión remota del servicio: Si el cliente decide suspender su suscripción o cancelar definitivamente el servicio, su avatar y los datos que este guardó dejan de ser accesibles desde la tableta.
• Pseudonimización y segregación: Separación estricta entre la identidad real del usuario y las transcripciones procesadas.
• Cartel informativo de entorno: Se facilita un elemento informativo para ubicar en la estancia advirtiendo a las visitas de la presencia del asistente.

8. Ejercicio de derechos

Los interesados pueden ejercer sus derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición, portabilidad y a no ser objeto de decisiones individuales automatizadas mediante un correo electrónico dirigido a:

José Julio Fernández Rodríguez
Email: dpd@avatarsilver.com

En caso de estimar que sus derechos han sido vulnerados, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.