Política de privacidad.

§ 01 · Información que recopilamos

Lo que realmente solicitamos.

La información que recopilamos depende de los servicios que utiliza y de cómo interactúa con nosotros. Esto incluye la información que usted proporciona a través de formularios, correo electrónico y mensajes de Instagram, así como registros recibidos a través de nuestra integración de mensajería autorizada.

• Envíos de formularios de contacto. Nombre, nombre de la clínica o consultorio, correo electrónico profesional, número de teléfono y el cuerpo del mensaje que nos envía.
• Verificación de clínicas. Número de licencia profesional, NPI (Identificador Nacional de Proveedor) cuando corresponda, dirección comercial y documentación de respaldo solicitada en la apertura de la cuenta.
• Datos del pedido. Artículos pedidos, cantidades, dirección de envío, dirección de facturación y la referencia de pago enmascarada que nuestro procesador nos devuelve (nunca vemos el número de tarjeta completo).
• Solicitudes de asistencia. Todo lo que nos escriba sobre un producto, un pedido o una pregunta clínica, más los metadatos de la conversación (marcas de tiempo, agente asignado).
• Exocellure AI Marketing y mensajería de Instagram. Nombres de usuario e identificadores de cuentas de Instagram; mensajes y consultas enviadas a nuestra cuenta comercial de Instagram; marcas de tiempo de mensajes y registros de conversaciones; información de contacto que proporciona voluntariamente, como su nombre, dirección de correo electrónico, número de teléfono, nombre de la clínica o detalles comerciales; correspondencia de servicio al cliente; y registros técnicos asociados con nuestra integración de mensajería de Instagram.
• Suscripciones al boletín. Sólo si marca afirmativamente la casilla. Dirección de correo electrónico, fecha de suscripción y página de origen.
• Registros del servidor. Dirección IP, cadena de agente de usuario, marcas de tiempo de solicitud y ruta URL solicitada. Celebrada por el período indicado en el § 06.

Nuestra integración de Instagram puede utilizar la API de Instagram de Meta y proveedores de tecnología autorizados, incluidos los servicios de automatización del flujo de trabajo, para procesar mensajes y gestionar consultas. No envíe su contraseña de Instagram, tokens de acceso u otras credenciales de inicio de sesión confidenciales.

§ 02 · Cómo utilizamos la información

El uso está ligado a un propósito.

Cada categoría de datos anterior tiene un uso definido. No reutilizamos los datos más adelante para algo que usted no haya dado su consentimiento en el momento de la recopilación.

• Cumplir pedidos. Verifique la elegibilidad de la clínica, prepare el envío, entréguelo a un transportista y confirme la entrega.
• Verificación de elegibilidad. Haga coincidir los números de licencia con el registro público de la junta emisora ​​antes de que cualquier producto clínico salga de las instalaciones.
• Responder y gestionar consultas. Recibir, organizar, enrutar y responder mensajes recibidos a través de nuestro sitio web, correo electrónico, cuenta comercial de Instagram y la aplicación Exocellure AI Marketing. Los servicios de mensajería y automatización del flujo de trabajo se pueden utilizar para gestionar conversaciones y brindar servicio al cliente sobre productos, pedidos y otras consultas.
• Correo electrónico transaccional. Confirmaciones de pedidos, notificaciones de envío y avisos de seguridad de la cuenta, enviados a través de la infraestructura de Resend.
• Actualizaciones clínicas. Enviado solo a destinatarios que han optado activamente por participar. Enlace para cancelar la suscripción en cada envío. No hay reincorporaciones silenciosas a la lista.
• Calidad del sitio y del servicio. Análisis agregado de registros del servidor para monitorear el tiempo de actividad, las tasas de error y los patrones de abuso. No unido a cuentas identificables.
• Obligaciones legales. Registros fiscales, registros de distribución de productos controlados y respuesta legal a citaciones, órdenes judiciales u órdenes judiciales.

§ 03 · Compartir y divulgar

Nosotros nunca vendemos. Compartimos solo lo necesario.

Exocellure no vende datos personales. No lo alquilamos, comercializamos ni intercambiamos. No lo introducimos en audiencias publicitarias ni en modelos parecidos.

Utilizamos proveedores de servicios para operar nuestros servicios y divulgar información cuando sea legalmente requerido. La información relevante podrá ser procesada por las siguientes partes para los fines descritos:

• Procesador de pagos. Stripe maneja los datos de la tarjeta. Recibimos sólo la referencia enmascarada, no el número de tarjeta completo.
• Transportistas. FedEx y UPS reciben la dirección de envío, el número de teléfono y los metadatos del paquete para entregar su pedido.
• Infraestructura de correo electrónico. Resend transmite correos electrónicos clínicos transaccionales y de suscripción voluntaria en nuestro nombre en virtud de un acuerdo de procesamiento de datos.
• Proveedores de mensajería y automatización de Instagram. La API de Instagram de Meta y los proveedores de tecnología autorizados pueden procesar información relevante para respaldar la mensajería de Instagram, la automatización del flujo de trabajo, el servicio al cliente y el almacenamiento seguro de datos para Exocellure AI Marketing.
• Socios de salas limpias y control de calidad. Operar bajo acuerdos de confidencialidad firmados. Manejan datos del lote, nunca la identidad del cliente.
• Destinatarios legales. Tribunales, reguladores y organismos encargados de hacer cumplir la ley, solo cuando sea legalmente obligado y solo en el alcance que requiera la orden.

La información que Instagram o Meta conservan de forma independiente se rige por sus respectivas políticas de privacidad y controles de cuenta. Para más detalles, revise Política de privacidad de Instagram y Política de privacidad de Meta.

§ 04 · Cookies y análisis

Mínimo por diseño.

Este sitio funciona con la huella de cookies más pequeña que aún funciona. No hay píxeles de seguimiento de terceros, ni rastreadores de publicidad, ni scripts de huellas digitales del navegador cargados desde ninguna página.

• Cookie de sesión. Una cookie de origen que mantiene activo su carrito y su sesión de inicio de sesión mientras navega. Caduca cuando finaliza la sesión.
• Cookie de preferencias. Una única entrada de almacenamiento local denominada exo_theme que almacena la paleta del sitio elegido (Obsidian o Royal Navy). Extraíble desde su navegador en cualquier momento.
• Sin scripts de terceros. Sin Google Analytics, sin Meta Pixel, sin LinkedIn Insight Tag, sin Hotjar, sin FullStory, sin etiquetas de remarketing publicitario.
• Sin identificación por huella digital del navegador. No cargamos ninguna biblioteca cuyo propósito sea identificar a un visitante que regresa entre sesiones sin su consentimiento.

Si alguna vez agregamos una herramienta de análisis propia, será autohospedada, anónima por IP y se divulgará aquí antes del lanzamiento.

§ 05 · Datos del paciente y HIPAA

Los datos del paciente permanecen en la clínica.

Nuestro sitio web, servicio al cliente, mensajes de Instagram y servicios de Exocellure AI Marketing no están destinados a recopilar información de salud del paciente. No envíe nombres de pacientes, registros médicos, fotografías identificables de pacientes u otra información de salud confidencial a través de estos canales. Los registros de tratamiento de los pacientes deben permanecer en poder del médico tratante dentro de su sistema clínico; No solicitamos acceso a esos registros.

Si una clínica decide compartir con nosotros datos de resultados no identificados para investigación, desarrollo de formulaciones o una serie de casos publicada, ese intercambio se rige por un acuerdo de investigación independiente. Todos estos datos se mantienen según el estándar de desidentificación HIPAA Safe Harbor antes de que lleguen a nuestros sistemas.

No somos una entidad cubierta por HIPAA a efectos de registros de pacientes. Cuando se crea una relación incidental de Socio Comercial (poco frecuente, específica de un proyecto), firmamos un BAA antes de cualquier transferencia de datos.

§ 06 · Retención de datos

Conservamos lo que debemos, y establecemos plazos.

Los siguientes períodos de retención se aplican a nuestro sitio web existente y a los registros de servicios de los profesionales. Cuando finaliza el período aplicable, los registros se eliminan, se anonimizan o se retienen solo cuando se aplica un requisito de retención legal continuo u otro requisito necesario.

• Consultas de contacto. 24 meses desde la última respuesta, luego eliminado.
• Cuentas clínicas. Duración de la sociedad, más 7 años después del cierre para cumplimiento contable y tributario.
• Registros de pedidos. 10 años según las regulaciones de impuestos y distribución de productos controlados de EE. UU.
• Registros del servidor. 90 días, luego se agregan a contadores anónimos y los registros sin procesar se eliminan.
• Lista de boletines. Se mantiene hasta que se cancele la suscripción, momento en el que la dirección se elimina de la lista activa y se registra solo como un hash de supresión.
• Solicitudes de asistencia. 36 meses desde la última actividad, luego archivado sin identificadores.

La información procesada a través de Exocellure AI Marketing y los mensajes de Instagram se conserva solo según sea necesario para gestionar consultas y respaldar el servicio, sujeto a solicitudes de eliminación y requisitos de retención aplicables. Es posible que sea necesario conservar cierta información para obligaciones contables y fiscales, registros de pedidos y transacciones, cumplimiento normativo, prevención de fraude, seguridad o reclamaciones legales. Cualquier información retenida se limita a lo necesario y está protegida de acuerdo con nuestras políticas de privacidad y seguridad.

§ 07 · Seguridad

Defensa en capas.

Tratamos la seguridad como una disciplina de grado clínico porque las personas a las que atendemos operan con estándares de grado clínico. Los mismos equipos de ingeniería que construyen productos también refuerzan la infraestructura.

• Cifrado en tránsito. TLS 1.3 en el sitio público, el portal de pedidos y todas las superficies API internas.
• Cifrado en reposo. AES-256 para registros operativos confidenciales, perfiles de clientes y documentos adjuntos.
• Acceso basado en roles. Se aplica el mínimo privilegio de forma predeterminada. Los datos de producción son de solo lectura fuera de un procedimiento de acceso de emergencia definido.
• Autenticación multifactor. Requerido para cada cuenta de personal, cada portal de proveedores y cada interfaz administrativa.
• Revisiones de acceso. Trimestral. Cada credencial activa se compara con la función actual; Las credenciales obsoletas se revocan el mismo día.
• Auditorías de proveedores. Requerimos informes SOC 2 Tipo II o equivalentes de cualquier proveedor que procese datos de clientes o pedidos en nuestro nombre.
• Notificación de brechas de datos. Si confirmamos una infracción que afecta a datos identificables, notificamos a las partes afectadas y a los reguladores aplicables dentro de las 72 horas posteriores a la confirmación.

§ 08 · Tus derechos · EE.UU., GDPR, CCPA

Puede solicitarlo. Tenemos que responder.

Puede solicitar acceso, corrección o eliminación de su información personal. Revisamos y verificamos las solicitudes y nuestro objetivo es responder dentro de los 30 días, sujeto a los requisitos legales aplicables. Si se requiere tiempo adicional, le explicamos el motivo. Enviamos confirmación una vez que se ha procesado una solicitud de eliminación.

• Acceso. Solicite una copia de los datos personales que tenemos sobre usted.
• Corrección. Actualizar cualquier registro que sea inexacto o esté desactualizado.
• Supresión. Solicitar la eliminación de su información personal. La información necesaria puede conservarse para obligaciones contables y fiscales, registros de pedidos y transacciones, cumplimiento normativo, prevención de fraude, seguridad o reclamaciones legales, sujeto a la ley aplicable.
• Portabilidad. Reciba sus datos en un formato legible por máquina que puede transferir a otro proveedor.
• Optar por no participar en marketing. Retirar el consentimiento de las actualizaciones clínicas o cualquier otra comunicación voluntaria en cualquier momento.
• Oponerse al procesamiento. Cuando nos basemos en intereses legítimos, usted puede oponerse y lo reevaluaremos.

Envíe cualquiera de los anteriores a privacy@exocellure.com. Los residentes de California tienen derechos adicionales según la CCPA, incluido el derecho a saber qué categorías hemos recopilado, vendido o divulgado en los 12 meses anteriores. No vendemos información personal.

Para Exocellure AI Marketing y mensajes de Instagram, envíe un correo electrónico privacy@exocellure.com con el tema Solicitud de eliminación de datos: Exocellure AI Marketing. Incluya su nombre de usuario de Instagram, si corresponde, la dirección de correo electrónico utilizada en comunicaciones anteriores, si corresponde, y una descripción de la información que desea eliminar. No envíe contraseñas, tokens de acceso u otras credenciales de inicio de sesión confidenciales.

Podemos solicitar información razonable para verificar que la solicitud se relaciona con su cuenta. Al procesar una solicitud de eliminación válida, abordamos la información relevante en poder de Exocellure e instruimos a los proveedores de servicios correspondientes para que eliminen la información cubierta cuando sea necesario.

También puede revisar o eliminar el acceso a Exocellure AI Marketing a través de la configuración de la aplicación conectada de Instagram, si aparece en la lista. Eliminar el acceso no necesariamente elimina la información ya almacenada en los sistemas de Exocellure. Sigue nuestro Instrucciones para eliminar datos para solicitar la eliminación y revisar el proceso completo.

§ 09 · Transferencias internacionales

Dónde están los datos almacenados.

Para nuestro sitio web y nuestra infraestructura de pedidos de profesionales, la residencia de datos principal es los Estados Unidos. Esas bases de datos de producción, almacenamiento de documentos e infraestructura operativa están alojadas en regiones de EE. UU.

Un pequeño número de proveedores procesan datos en sus propias jurisdicciones regionales como parte de su forma de operar: Stripe (datos de pago, EE. UU. y UE), Resend (entrega de correo electrónico, EE. UU.) y transportistas (datos de paquetes, dependiente de la ruta).

Instagram y Meta describen sus propias prácticas de transferencia y procesamiento internacional en sus respectivas políticas de privacidad. Los proveedores autorizados de mensajería y automatización del flujo de trabajo pueden procesar información en las jurisdicciones donde operan, sujeto a los requisitos aplicables.

Para los visitantes de la UE y el EEE cuyos datos se transfieren a los EE. UU. durante el uso de este sitio, las transferencias se realizan según las Cláusulas Contractuales Estándar de la Comisión Europea, con medidas complementarias cuando sea necesario. Una copia de las SCC aplicables está disponible previa solicitud para privacy@exocellure.com.

§ 10 · Niños

No apto para menores.

Este sitio y sus productos no están dirigidos a niños menores de 16 años. No recopilamos intencionalmente datos de ninguna persona menor de esa edad. Si nos enteramos de que datos de un menor han llegado a nuestros sistemas, los eliminamos.

Nuestros productos son sólo para clínica. Son administrados por profesionales autorizados como parte de un plan de tratamiento para adultos. No se venden directamente al consumidor y no son apropiados para uso pediátrico.