Política de Privacidad y Seguridad

1. Responsable del tratamiento

• Nombre comercial: Kalyo
• Entidad legal: Endeavor Ventures LLC
• País de referencia para este aviso: México (cumplimiento LFPDPPP)
• Correo de privacidad: hola@kalyo.io
• Correo general: hola@kalyo.io

Respecto de los datos de pacientes ingresados por el psicólogo, el profesional actúa como responsable del tratamiento clínico y Kalyo como encargado del procesamiento tecnológico, conforme a los términos del servicio y, cuando aplique, al Contrato de Tratamiento de Datos / DPA.

2. Datos que se recopilan

Datos del psicólogo

• Nombre, correo electrónico y teléfono
• Cédula o licencia profesional (cuando se registre)
• Datos de perfil, configuración de consultorio y facturación

Datos de pacientes

Los que el psicólogo registre en el curso de su práctica clínica, por ejemplo:

• Nombre, fecha de nacimiento e información de contacto
• Notas clínicas, evaluaciones y resultados de tests
• Historial de citas y sesiones
• Grabaciones de sesión (audio), cuando el profesional active funciones de transcripción o notas asistidas por IA

Los datos de salud se consideran datos personales sensibles.

Datos de uso

• Logs de acceso y actividad en la plataforma
• Métricas de uso (funciones utilizadas, información técnica del dispositivo/navegador)
• Datos de pago procesados por Stripe (Kalyo no almacena números de tarjeta)

3. Finalidad del tratamiento

• Proveer la plataforma de gestión clínica (expedientes, agenda, evaluaciones, reportes)
• Transcripción y análisis de sesiones con IA, cuando el profesional las active
• Comunicaciones de servicio (recordatorios, alertas de seguridad, actualizaciones del producto)
• Cumplir obligaciones legales y de seguridad

No usamos datos clínicos ni de pacientes para publicidad. No vendemos datos a terceros bajo ninguna circunstancia.

Los datos clínicos y de audio no se utilizan para entrenar modelos públicos de inteligencia artificial.

4. Control de acceso y confidencialidad

• Cada psicólogo accede solo a sus propios pacientes mediante controles de autorización y Row Level Security (RLS) en la base de datos.
• El equipo de Kalyo no accede de forma rutinaria al contenido clínico.
• El acceso interno a contenido clínico ocurre únicamente bajo solicitud explícita de soporte del titular de la cuenta, o cuando sea estrictamente necesario para investigar un incidente de seguridad, y con registro de la acción.

5. Encriptación y seguridad

• Datos en tránsito: HTTPS / TLS 1.2 o superior
• Datos en reposo: AES-256 (infraestructura de Supabase)
• Archivos de audio: almacenados en Supabase Storage con cifrado en reposo
• Infraestructura: Vercel (hosting/despliegue) + Supabase (base de datos y almacenamiento), con objetivo de disponibilidad alineado a SLA 99.9% de esos proveedores

6. Subencargados (terceros que procesan datos)

Para operar el servicio, Kalyo utiliza los siguientes encargados / subencargados, bajo acuerdos de procesamiento y uso limitado al servicio:

• Supabase Inc. — base de datos y almacenamiento
• AssemblyAI — transcripción de audio (el audio se procesa y se elimina tras la transcripción exitosa, conforme a su política de retención)
• OpenAI — generación de notas clínicas y asistencia con IA (datos procesados sin retención para entrenamiento, conforme a su configuración de API / acuerdos de uso)
• Vercel Inc. — hosting y despliegue
• Stripe Inc. — procesamiento de pagos
• Resend (u otro proveedor de correo transaccional) — emails de servicio
• Anthropic / Groq — proveedores de IA opcionales, cuando se utilicen rutas específicas de generación

7. Derechos ARCO (LFPDPPP)

Puedes ejercer los derechos de Acceso, Rectificación, Cancelación y Oposición, así como limitar el uso o divulgación y revocar el consentimiento, cuando proceda.

• Contacto: hola@kalyo.io
• Plazo de respuesta: 20 días hábiles

Si los datos corresponden a un paciente tratados por un psicólogo en Kalyo, también puedes dirigirte al profesional responsable del expediente. Kalyo apoyará al profesional o al titular según corresponda.

8. Transferencia de datos

• No transferimos datos a terceros salvo los subencargados listados (y autoridades cuando la ley lo exija).
• No se venden datos de pacientes bajo ninguna circunstancia.
• La infraestructura puede residir fuera de México (p. ej. EE.UU.). Al usar Kalyo aceptas esa transferencia internacional bajo las medidas de seguridad descritas.

9. Retención de datos

• Datos activos: mientras la cuenta esté activa
• Tras cancelación: 30 días para exportación; después, eliminación de los datos no sujetos a retención legal
• Grabaciones de audio en AssemblyAI: eliminadas tras transcripción exitosa
• Expedientes clínicos: el profesional puede estar obligado a conservar información por plazos legales locales (p. ej. NOM-004-SSA3-2012 en México, mínimo 5 años). Esos plazos pueden prevalecer sobre la eliminación solicitada a Kalyo

10. Respaldos y contingencia

• Respaldos automáticos diarios en la infraestructura de base de datos
• Replicación geográfica de datos según las capacidades del proveedor (Supabase / región configurada)
• Plan de contingencia: objetivo de recuperación ante falla crítica en menos de 4 horas

11. Cambios a este aviso

Si hay cambios materiales, notificaremos por correo electrónico con al menos 30 días de anticipación. La fecha de última actualización al inicio de este documento se actualizará en cada revisión.

12. Google API Services

Cuando conectas Google Calendar, Kalyo utiliza la Google Calendar API con estas limitaciones:

• Scope: calendar.events
• Uso: sincronizar citas de Kalyo; no accedemos a eventos personales ajenos a la plataforma
• Desconexión: desde Configuración en la app o en myaccount.google.com/permissions

El uso de información de las APIs de Google cumple con la Google API Services User Data Policy, incluyendo Limited Use.

13. Cookies

• Esenciales: cookies de sesión para autenticación
• Marketing en el sitio público: Meta Pixel u otras herramientas de medición en kalyo.io (no se usan para rastrear actividad clínica dentro de la app)

No vendemos datos de navegación.

14. Contacto

• Privacidad / ARCO: hola@kalyo.io
• Soporte general: hola@kalyo.io
• Empresa: Endeavor Ventures LLC (Kalyo)