Política de privacidad

Última actualización: 22 de octubre de 2026

Aplica a la web pública (www.maxclinicas.com), a la aplicación (app.maxclinicas.com y la app móvil), a las webs de cada clínica creadas con MaxClínicas (*.maxclinicas.es o su propio dominio) y al panel de gestión interno de nuestro propio equipo. Sustituye a cualquier versión anterior de esta política.

1. Responsable del tratamiento

Gabriel Marco Noain, con NIF 29138546F y domicilio en calle Irigarai, 3, 31192 Badostain, Navarra, España ("MaxClínicas", "nosotros"), es el responsable del tratamiento de los datos que se describen en esta política, salvo en los casos señalados expresamente en la sección 3, donde actuamos como encargados del tratamiento por cuenta de la clínica.

Puedes contactar con nosotros en gabriel@maxclinicas.com para cualquier cuestión relacionada con esta política.

2. Objeto y ámbito de aplicación

MaxClínicas es un software de gestión para clínicas de psicología: agenda, fichas de pacientes, notas clínicas, facturación, cobros, videoconsultas y comunicación con pacientes. Intervienen tres tipos de personas:

Profesionales y personal de una clínica (administración, profesionales y recepción), que se registran, crean su clínica y gestionan su actividad desde la aplicación web o la app móvil.
Pacientes de esas clínicas, cuyos datos introduce y gestiona la propia clínica. Un paciente no crea ninguna cuenta, pero puede interactuar de forma puntual con la aplicación a través de los enlaces que le envía su clínica o desde la web de la clínica: firmar el consentimiento informado y la información sobre protección de datos, reservar o solicitar una cita, pagar una sesión, entrar en una videoconsulta y recibir recordatorios, facturas y documentos.
Visitantes de nuestra web y personas interesadas en MaxClínicas (por ejemplo, quien responde a una de nuestras encuestas o nos pide una demo).

Esta política cubre todos los casos, distinguiendo en cada sección a quién corresponde cada tratamiento.

3. Nuestros dos papeles: responsable y encargado

Esta distinción es la más importante de todo el documento, así que la explicamos primero:

Como responsables

De los datos de la cuenta y la relación comercial con cada clínica (quién se registra, los datos de facturación de la suscripción, las comunicaciones sobre el servicio), de los visitantes de nuestra web y de las personas interesadas en MaxClínicas. Aquí decidimos nosotros para qué se usan esos datos.

Como encargados

De los datos de los pacientes que cada clínica trata en la aplicación (identidad, contacto, notas clínicas, consentimientos, citas, cobros y facturación a sus pacientes), incluidos los que el propio paciente introduce a través de los enlaces o de la web de su clínica. Aquí la clínica es la responsable: decide qué datos trata y para qué, y nosotros solo los alojamos y procesamos siguiendo sus instrucciones, recogidas en el contrato de encargo del tratamiento.

Si eres paciente de una clínica que usa MaxClínicas y quieres ejercer tus derechos sobre tus datos, debes dirigirte directamente a tu clínica — es ella quien decide y responde, nosotros la asistimos técnicamente. La sección 14 explica esto con más detalle.

4. Acceso de nuestro equipo

Nadie de MaxClínicas tiene acceso a los datos de tu clínica: ni la lista de pacientes, ni las citas, ni las facturas y, por supuesto, tampoco las notas de sesión ni el historial clínico. Esto no es solo una promesa escrita — las propias reglas de acceso a la base de datos lo impiden técnicamente, incluso a nuestro equipo. Lo único que ve nuestro equipo son los datos de la cuenta y la relación comercial con la clínica (sección 5).

Si en el futuro ofrecemos un acceso de soporte técnico o un servicio de asesoría fiscal que requiera ver datos de tu clínica, solo será posible si lo autorizas expresamente, de forma puntual y revocable, y nunca incluirá las notas de sesión ni el historial clínico de tus pacientes. Actualizaremos esta sección antes de ofrecerlo.

5. Qué datos tratamos

De quien se registra y usa la aplicación

Categoría	Datos	Finalidad
Cuenta	Nombre, correo electrónico, teléfono, contraseña (cifrada)	Identificación y acceso a la aplicación
Clínica	Nombre comercial, NIF, dirección, logo	Emitir facturas y personalizar el uso de la app
Equipo	Nombre, correo, rol, número de colegiado	Gestionar quién tiene acceso a cada clínica y con qué permisos
Suscripción	Plan contratado, historial de pago (gestionado por Stripe)	Facturar el uso del servicio
Origen del registro	Campaña o anuncio desde el que llegaste, si viniste desde uno (parámetros utm y gclid)	Saber qué campañas funcionan
Soporte	Mensajes que nos envías desde la sección Soporte de la aplicación	Atender tus consultas e incidencias
Gastos	Facturas de proveedores que subes a la sección de Gastos	Registrar tus gastos y, si lo usas, leer automáticamente sus datos

De los pacientes (tratados por cuenta de la clínica)

Categoría	Datos	Finalidad
Identificación y contacto	Nombre, NIF, fecha de nacimiento, dirección, teléfono, correo	Gestionar citas, enviar recordatorios y emitir facturas
Salud (categoría especial)	Notas de sesión, resumen clínico, tipo de terapia, documentos e informes	Historial clínico del paciente, gestionado por su profesional
Dictado de notas	La voz del profesional cuando dicta una nota de sesión, que puede incluir datos de salud del paciente	Transcribirla al texto de la nota; el audio no se guarda
Consentimientos	Documentos firmados, fecha, dirección IP y navegador desde el que se firmó, y, si firma un representante legal, su nombre y documento de identidad	Acreditar el consentimiento informado (Ley 41/2002)
Citas y videoconsultas	Fecha, hora, modalidad y profesional	Agenda y acceso a la videoconsulta
Cobros	Importe, forma de pago y, si paga con tarjeta, los datos que gestiona Stripe (MaxClínicas nunca ve ni guarda el número de la tarjeta)	Cobrar las sesiones
Facturación	Datos fiscales de a quién se factura (puede ser un tercero, el "pagador")	Cumplir la normativa de facturación

Los datos de salud son categoría especial según el artículo 9 del RGPD, y se tratan con el nivel de protección más alto: nunca son visibles entre clínicas distintas y, dentro de una misma clínica, las notas de sesión y el historial clínico de cada paciente solo los puede ver el profesional responsable de ese paciente — ni la persona administradora de la clínica, ni recepción, ni el resto del equipo. Y, como se explica en la sección 4, nunca son accesibles por nuestro equipo.

Las videoconsultas no se graban ni se transcriben.

Si la clínica tiene activado el dictado de notas, el profesional puede dictar la nota de una sesión en lugar de escribirla. Solo se graba la voz del profesional mientras dicta, nunca la sesión con el paciente. El audio se envía cifrado para transcribirlo con Gemini (Vertex AI de Google Cloud) en centros de datos de la UE y se descarta: MaxClínicas no lo guarda en la base de datos, ni en los archivos, ni en los registros del sistema. Solo se conserva el texto que el profesional revisa y guarda en la nota, con la misma protección que el resto de notas de sesión. Google no usa estos datos para entrenar sus modelos.

De los visitantes de la web y personas interesadas

Datos de navegación y de campañas, solo si aceptas las cookies (sección 15).
Si respondes a una de nuestras encuestas: tus respuestas y los datos de contacto que nos facilites (nombre, correo y, si lo indicas, teléfono).
Si nos escribes por WhatsApp o por correo: tu nombre, tu teléfono o correo y el contenido de la conversación.

6. Base legal de cada tratamiento

Ejecución de un contrato: crear y gestionar tu cuenta, tu clínica y tu suscripción.
Interés legítimo: seguridad de la plataforma, prevención de fraude, mejora del servicio, medición del origen de los registros y comunicaciones comerciales a clientes (sección 7).
Obligación legal: conservación de facturas y su envío a la Agencia Tributaria (Verifactu) según la normativa fiscal española.
Consentimiento: cookies de análisis y publicidad, y datos que nos facilitas en encuestas o al pedir información. Puedes retirarlo en cualquier momento.
Instrucciones del responsable (la clínica): para todo dato de paciente que tratamos como encargados — la base legal de ese tratamiento la determina la propia clínica frente a su paciente (normalmente consentimiento o relación asistencial), no nosotros.

7. Comunicaciones comerciales

Usamos el nombre y el correo electrónico de las personas administradoras de una clínica, de quienes se registran en un período de prueba, de quienes responden a nuestras encuestas o nos piden información, y de quienes participan en algún evento organizado por nosotros, para enviarles información comercial sobre MaxClínicas (novedades, funciones nuevas, invitaciones a eventos).

Cada comunicación comercial incluye un enlace para darte de baja en cualquier momento, sin coste ni justificación.

Nunca enviamos comunicación comercial a los pacientes de una clínica, ni por correo ni por WhatsApp. Como se explica en la sección 3, sus datos solo los usamos siguiendo instrucciones de la clínica, nunca para nuestros propios fines comerciales.

8. Comunicaciones con los pacientes: correo y WhatsApp

Correo electrónico

Los correos a los pacientes (recordatorios, facturas, enlaces de consentimiento o de pago) se envían siempre desde la propia cuenta de correo de la clínica (Microsoft 365/Outlook o Google/Gmail), que la clínica conecta si quiere usar estos envíos; nunca desde una dirección de MaxClínicas. Los correos de MaxClínicas a los profesionales (verificación de la cuenta, invitaciones, cambio de contraseña, facturas de la suscripción) se envían desde nuestras direcciones. Sobre la conexión de la cuenta de correo de la clínica:

El permiso que pedimos es únicamente de envío (Mail.Send en Microsoft, gmail.send en Google) — no leemos, ni listamos, ni almacenamos ningún correo de la bandeja de entrada ni de enviados de esa cuenta.
Solo usamos ese permiso para los envíos que genera la aplicación: los que la clínica lanza con un botón, los recordatorios automáticos que la clínica haya activado y los documentos que un paciente pida que se le reenvíen.
La clínica puede desconectar esta integración en cualquier momento desde Ajustes, sin que afecte al resto de la aplicación.
Las credenciales de acceso (token OAuth) se guardan cifradas y nunca se muestran a nuestro equipo ni a terceros.

Calendario de Google u Outlook

Cada profesional puede conectar, si quiere, su propio calendario de Google o de Outlook (Microsoft 365/Outlook.com) desde «Mi perfil», para ver sus citas de MaxClínicas en ese calendario y sus otros compromisos en la agenda de MaxClínicas. Sobre esta conexión:

El permiso que pedimos es el de ver y editar eventos del calendario (calendar.events en Google, Calendars.ReadWrite en Microsoft). Lo usamos solo para dos cosas: crear, actualizar y borrar en su calendario principal los eventos de sus citas de MaxClínicas, y leer los eventos de ese calendario para mostrarlos en su agenda y no ofrecer esas horas en la reserva online.
De cada evento leído guardamos solo el título, la fecha y hora, si es de día completo y si figura como «ocupado». No leemos asistentes, descripciones, ubicaciones ni archivos adjuntos, ni otros calendarios distintos del principal.
El texto con el que aparece cada cita en el calendario lo elige el profesional: iniciales del paciente (opción por defecto), nombre completo o un texto genérico. Nunca se envían notas de sesión ni datos clínicos.
El profesional puede desconectar el calendario en cualquier momento desde «Mi perfil»: se quitan de su calendario las citas futuras que habíamos creado y se borran de MaxClínicas los eventos copiados y las credenciales.
Las credenciales de acceso (token OAuth) se guardan cifradas y nunca se muestran a nuestro equipo ni a terceros.

Uso de los datos de las cuentas de Google

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de MaxClínicas se ajustarán a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. (MaxClínicas' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.)

En concreto: los datos de Gmail y Google Calendar solo se usan para prestar las funciones descritas en esta sección; no se usan para publicidad, no se venden, no se usan para entrenar modelos de inteligencia artificial y ninguna persona de MaxClínicas los lee, salvo con el consentimiento expreso del usuario para resolver una incidencia, por motivos de seguridad o por obligación legal.

Si la clínica lo activa, los recordatorios de cita se envían también por WhatsApp, desde un número de MaxClínicas y en nombre de la clínica, mediante la API oficial de WhatsApp Business (Meta). El mensaje es una plantilla fija con el nombre del paciente, el de la clínica y la fecha y hora de la cita. Solo se usa el teléfono móvil del paciente, y solo para los recordatorios que la clínica configure — nunca para otros fines.

9. Comunicaciones a la Agencia Tributaria

Verifactu: cuando la clínica emite una factura, la aplicación envía a la Agencia Tributaria el registro que exige la normativa (incluidos los datos fiscales del destinatario de la factura).
Comprobación de NIF: al guardar el NIF de un paciente o de un pagador, la aplicación lo comprueba, junto con su nombre, en el servicio oficial de la Agencia Tributaria de verificación de datos identificativos, para que las facturas salgan con datos fiscales correctos.

10. Dónde se almacenan los datos

Toda la base de datos y los archivos (documentos, informes, consentimientos, logos, facturas en PDF) se almacenan en infraestructura de Google Cloud ubicada físicamente en la Unión Europea (región de Bélgica/Países Bajos), y todo el procesamiento (las funciones que ejecutan la lógica de la aplicación) corre también en un centro de datos de la UE (Bélgica). El vídeo de las videoconsultas se transmite a través de servidores de la UE (Fráncfort).

Esta decisión se tomó de forma deliberada: dado que tratamos datos de salud de pacientes, los datos clínicos nunca salen del Espacio Económico Europeo.

Algunos proveedores que prestan funciones concretas son empresas de Estados Unidos o pueden tratar datos limitados fuera del EEE (se indican en la sección 11). En esos casos, la transferencia se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en el Marco de Privacidad de Datos UE-EE. UU., y nunca incluye notas de sesión ni historial clínico.

11. Proveedores y encargados del tratamiento

Proveedor	Servicio	Datos a los que accede
Google Cloud / Firebase (Google Ireland Ltd.)	Alojamiento de la base de datos, archivos, funciones y webs; protección contra abusos (App Check/reCAPTCHA); informes de fallos de la app móvil (Crashlytics); transcripción de los dictados de notas (Vertex AI, modelo Gemini), si la clínica la tiene activada	Todos los datos de la aplicación, alojados en la UE. Crashlytics solo recibe datos técnicos del fallo (modelo de dispositivo, versión, traza del error). Del dictado, solo el audio mientras se transcribe en la UE, sin usarlo para entrenar modelos
Microsoft (Microsoft Ireland Operations Ltd.)	Envío de los correos de MaxClínicas a los profesionales; si la clínica la conecta, envío desde su cuenta de Microsoft 365; si un profesional lo conecta, sincronización con su calendario de Outlook	El correo enviado en cada envío (nunca la bandeja de entrada); en el calendario, los eventos de las citas (con el texto que elija el profesional) y título y horario de sus otros eventos
Google (Gmail y Google Calendar)	Envío de correo desde la cuenta de Gmail de la clínica, si la conecta; sincronización con el Google Calendar del profesional, si lo conecta	El correo enviado en cada envío (nunca la bandeja de entrada); en el calendario, los eventos de las citas (con el texto que elija el profesional) y título y horario de sus otros eventos
Stripe (Stripe Payments Europe Ltd.)	Cobro de las suscripciones de las clínicas y, si la clínica activa los cobros online, cobro de sus sesiones a los pacientes	Datos de pago de la clínica; del paciente, solo nombre, correo, importe y los datos de su tarjeta, que gestiona Stripe directamente
Daily (Daily.co, Inc., EE. UU.)	Videoconsultas	La transmisión de audio y vídeo, a través de servidores de la UE, sin grabación; nombre que se muestra en la sala
Meta (WhatsApp Business)	Recordatorios de cita por WhatsApp, si la clínica los activa	Teléfono móvil y nombre del paciente, nombre de la clínica, fecha y hora de la cita
Anthropic (Anthropic, PBC, EE. UU.)	Lectura automática de las facturas de proveedor que se suben a la sección de Gastos	Solo esa factura de proveedor; nunca datos de pacientes. No usa los datos para entrenar sus modelos
Cloudflare (Cloudflare, Inc.)	Entrega de las webs de las clínicas en *.maxclinicas.es	Datos técnicos de la conexión de los visitantes de esas webs (dirección IP, navegador)

Con cada uno existe un acuerdo de tratamiento de datos (DPA) que exige confidencialidad y garantías de seguridad adecuadas.

12. Plazos de conservación

Datos de cuenta y clínica: mientras la cuenta esté activa, y hasta 5 años después de su baja para atender posibles reclamaciones.
Facturas: el plazo que exige la normativa fiscal española (actualmente 4 años a efectos de IVA, 6 a efectos mercantiles).
Datos clínicos de pacientes: los determina cada clínica según su propia normativa profesional y sanitaria — nosotros los conservamos mientras la clínica mantenga su cuenta activa y los borramos o se los devolvemos si nos lo solicita.
Datos de personas interesadas (encuestas, peticiones de información): hasta que nos pidas que los borremos o te des de baja de las comunicaciones comerciales.

13. Seguridad

Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones y cifrado de los datos almacenados.
Aislamiento estricto por clínica: las reglas de acceso a la base de datos impiden que una clínica pueda leer, ni siquiera por error, los datos de otra.
Dentro de una misma clínica, cada persona ve solo lo que corresponde a su rol: un profesional ve solo a sus pacientes; administración y recepción ven los datos de identificación y las citas de los pacientes, pero no sus notas ni su historial clínico.
Las notas de sesión no se pueden borrar y, una vez bloqueadas, tampoco modificar.
Verificación de que las peticiones al servidor vienen de nuestra aplicación auténtica (App Check con reCAPTCHA Enterprise), para bloquear accesos automatizados y no autorizados.
Registro de cada acceso a documentos clínicos y consentimientos, cuyos enlaces de descarga caducan a los pocos minutos.
Autenticación con contraseña cifrada; nunca almacenamos contraseñas en texto plano.
Copias de seguridad periódicas de la base de datos.

Si algo falla

Ningún sistema es invulnerable al cien por cien. Si se produjera una violación de seguridad que afecte a tus datos, la notificaremos a la Agencia Española de Protección de Datos en el plazo de 72 horas cuando así lo exija la normativa, y a las clínicas afectadas sin dilación indebida, para que puedan a su vez informar a sus pacientes si el riesgo lo requiere.

14. Tus derechos

Tienes derecho a acceder, rectificar, suprimir, oponerte, limitar y solicitar la portabilidad de tus datos personales, así como a retirar tu consentimiento cuando el tratamiento se base en él.

Si tus datos son de cuenta, clínica, suscripción o eres una persona interesada en MaxClínicas: escríbenos a gabriel@maxclinicas.com.
Si eres paciente de una clínica y quieres ejercer un derecho sobre tus datos: dirígete directamente a tu clínica, que es quien decide sobre esos datos. Si nos escribes a nosotros por error, te redirigiremos a ella.

También tienes derecho a reclamar ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que no hemos atendido correctamente tu solicitud.

15. Cookies

La web www.maxclinicas.com y la aplicación usan cookies de análisis (Google Analytics) y de medición de campañas publicitarias (Google Ads y el píxel de Meta para Facebook e Instagram), que solo se activan si das tu consentimiento en el aviso correspondiente. Si las rechazas, se usan únicamente los elementos técnicos imprescindibles (mantener tu sesión iniciada y recordar tu elección sobre las cookies). Además, contamos las visitas a la web y a la página de registro de forma agregada y sin cookies (totales por día y campaña de origen, sin conservar la IP ni datos que te identifiquen). Tienes el detalle en nuestra política de cookies.

16. Menores de edad

MaxClínicas no está dirigida a menores: solo profesionales mayores de edad pueden crear una cuenta. Los pacientes menores de edad que una clínica atienda son gestionados bajo la responsabilidad de esa clínica, conforme a la normativa aplicable sobre el consentimiento de sus representantes legales (la aplicación permite que el consentimiento lo firme un representante legal).

17. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o en el funcionamiento del servicio. Si el cambio es significativo, te avisaremos por correo o mediante un aviso dentro de la aplicación antes de que entre en vigor.

18. Contacto

MaxClínicas · Gabriel Marco Noain
c/ Irigarai, 3. 31192 Badostain. Navarra. España
Email: gabriel@maxclinicas.com
Teléfono: 609 483 748