POLÍTICA DE PRIVACIDAD

Servicio de análisis directo al consumidor

1. Responsable del Tratamiento

1.1. Datos identificativos

El Responsable del Tratamiento de los datos personales recabados a través de la Plataforma BASE4 es:

Identidad: BASE4 BIOSCIENCES, S.L. (en adelante, «BASE4»)

NIF: B-24825846

Domicilio: Carrer de Can Campins, número 7, Piso 1, Puerta 1, 08348 Cabrils (Barcelona)

Delegado de Protección de Datos (DPO/DPD): privacy@base4bio.com

1.2. Ámbito de aplicación

La presente Política de Privacidad informa sobre el tratamiento de los datos personales de las personas que se registran en la plataforma digital de BASE4, accesible en https://app.base4bio.com (la «Plataforma»), y contratan a través de ella, directamente y sin intermediación de ninguna clínica, el servicio de análisis que BASE4 ofrece al consumidor (el «Servicio»), tanto si lo contratan directamente como si acceden a él a través de una clínica o centro sanitario cliente de BASE4.

El tratamiento de los datos de quienes navegan por el sitio web https://base4bio.com o se ponen en contacto con BASE4 a través de su formulario se rige por la Política de Privacidad del Sitio Web.

Esta Política tiene carácter informativo y no requiere su aceptación. Es un documento independiente de las Condiciones de Uso y Contratación y del Consentimiento Informado.

2. ¿En calidad de qué trata BASE4 sus datos?

2.1. BASE4 como Responsable del Tratamiento

En la modalidad de venta directa, BASE4 mantiene una relación directa con usted: vende el Servicio, gestiona el cobro, coordina la extracción a través de su red de centros colaboradores y le comunica los resultados a través de su propio equipo. Por ello, BASE4 decide para qué y cómo se tratan sus datos y actúa como Responsable del Tratamiento.

2.2. Otros intervinientes en la prestación del Servicio

En la prestación del Servicio intervienen, además:

• a)Centros de extracción colaboradores: realizan la extracción de sangre como prestadores sanitarios independientes. Son responsables del tratamiento de los datos que recaben con motivo del acto clínico de extracción, conforme a su propia política de privacidad. BASE4 solo recibe de ellos la información necesaria para identificar la muestra y gestionar su envío al laboratorio.
• b)Laboratorios de secuenciación y análisis: analizan la muestra por cuenta de BASE4, como Encargados del Tratamiento, siguiendo sus instrucciones y sin recibir sus datos identificativos (véase el apartado 6).
• c)Equipo médico: revisa los resultados y se los comunica a través de la Plataforma como personal de BASE4, sujeto en todo caso al deber de secreto profesional.
• d)Entidades de pago: gestionan el cobro del Servicio como responsables independientes, conforme a su propia política de privacidad.
• e)Centros/clientes: cuando usted accede al Servicio a través de una clínica o centro sanitario que lo ha adquirido a BASE4 para ofrecérselo (la «Clínica»), la Clínica y BASE4 actúan como responsables del tratamiento independientes, cada uno respecto de sus propios tratamientos, sin que ninguno de ellos actúe como encargado del tratamiento del otro. La Clínica es responsable de los datos que trata en el marco de su relación asistencial con usted, como la indicación del análisis, la interpretación clínica y la comunicación de los resultados, el consejo genético y, en su caso, su historia clínica, conforme a su propia política de privacidad. BASE4 es responsable de los tratamientos descritos en esta Política, que realiza sobre la base del Consentimiento Informado que usted presta directamente en la Plataforma. Para darle de alta en el Servicio, la Clínica comunica a BASE4 su nombre y apellidos, teléfono y correo electrónico y, una vez finalizado el análisis, BASE4 pone su informe de resultados a disposición de la Clínica para su interpretación y comunicación. Puede ejercer sus derechos ante cualquiera de los dos; si su solicitud se refiere a un tratamiento del que es responsable el otro, se la trasladaremos.

3. Cómo funciona el Servicio

Para que entienda en qué momento tratamos cada dato, estas son las fases del Servicio:

• a)Registro y pedido: usted se registra en la Plataforma, confirma que es mayor de edad, realiza el pedido y abona el precio. BASE4 le envía el kit de recogida de muestra a su domicilio.
• b)Consentimiento Informado: antes de facilitarnos cualquier dato de salud, usted firma el Consentimiento Informado, que se recaba de forma separada de la aceptación de las Condiciones. Sin él, BASE4 no trata ningún dato de salud o genético ni analiza la muestra.
• c)Cuestionario de salud: usted cumplimenta el cuestionario de salud en la Plataforma.
• d)Extracción: usted reserva cita en un centro de la red colaboradora de BASE4, donde se le extrae la muestra de sangre, que se identifica con un código.
• e)Análisis: la muestra codificada se envía a los laboratorios de secuenciación y análisis contratados por BASE4.
• f)Resultados: el equipo médico de BASE4 revisa los resultados y los pone a su disposición en la Plataforma.

4. Datos personales que tratamos, finalidades y bases de legitimación

A continuación se detallan los tratamientos que BASE4 realiza como Responsable del Tratamiento:

Los datos marcados como obligatorios en la Plataforma, en el Consentimiento Informado y en el cuestionario de salud son necesarios para prestarle el Servicio. Si no los facilita, BASE4 no podrá prestárselo.

Además de los que nos facilita usted, BASE4 recibe datos del centro de extracción (confirmación de la extracción y código de la muestra), de los laboratorios (resultados del análisis) y de la entidad de pago (confirmación del cobro) y, si accede al Servicio a través de una Clínica, de dicha Clínica (nombre y apellidos, teléfono y correo electrónico, para darle de alta en el Servicio)

5. Investigación biomédica y mejora de métodos

BASE4 puede querer utilizar datos y muestras para investigar y para mejorar la precisión de sus métodos y modelos de análisis. Esta finalidad es distinta de la prestación del Servicio y se rige por las siguientes reglas:

• a)Con su consentimiento específico. Solo utilizaremos sus datos genéticos y de salud, de forma seudonimizada, y, en su caso, su muestra, con estos fines si nos lo autoriza expresamente mediante un consentimiento independiente, que no es necesario para contratar el Servicio (arts. 6.1.a y 9.2.a RGPD y Ley de Investigación Biomédica). Puede retirarlo en cualquier momento escribiendo a privacy@base4bio.com, sin que ello afecte a la licitud del tratamiento previo ni a la prestación del Servicio.
• b)Datos anonimizados. BASE4 puede elaborar estadísticas y análisis agregados a partir de datos sometidos a un proceso de anonimización irreversible, que no permitan identificar a ninguna persona. Los datos seudonimizados, que todavía pueden vincularse a una persona, siguen siendo datos personales y se tratan conforme a esta Política.
• c)Proyectos de investigación. Cuando BASE4 participe en proyectos de investigación con universidades, hospitales u otras entidades, se le facilitará información específica y se recabará su consentimiento conforme a la Ley de Investigación Biomédica, con las garantías del artículo 89 RGPD y de la disposición adicional decimoséptima de la Ley Orgánica 3/2018 («LOPDGDD»).

6. Datos de salud y datos genéticos: garantías específicas

Los datos de su cuestionario de salud, los datos genéticos obtenidos de su muestra y su informe de resultados son categorías especiales de datos conforme al artículo 9 RGPD. BASE4 les aplica las siguientes garantías reforzadas:

• a)Su tratamiento se basa en el consentimiento explícito que usted presta en el Consentimiento Informado, recabado de forma separada de la aceptación de las Condiciones y antes de que cumplimente el cuestionario de salud. Puede retirarlo en cualquier momento.
• b)Su muestra y sus datos genéticos se identifican únicamente mediante un código y el sexo. Los laboratorios no reciben su nombre ni sus datos de contacto, y solo BASE4 puede vincular el código con su identidad.
• c)Se almacenan cifrados en servidores ubicados en el Espacio Económico Europeo, con acceso restringido por perfiles y permisos.
• d)Nunca se venden ni se ceden a terceros con fines publicitarios, y en ningún caso se comunican a su empleador ni a entidades aseguradoras.
• e)Usted puede decidir que no se le comuniquen determinados resultados, incluidos los hallazgos inesperados, en los términos del Consentimiento Informado (arts. 4.5 y 49 de la Ley de Investigación Biomédica).
• f)Sus resultados pueden ser relevantes para sus familiares biológicos. Comunicárselos o no es una decisión que le corresponde a usted.

El análisis no constituye un diagnóstico médico, no tiene la consideración de producto sanitario de diagnóstico in vitro y no sustituye la valoración de un profesional sanitario. Los resultados deben interpretarse siempre junto con el equipo médico de BASE4 o con su propio médico.

7. Elaboración de perfiles y decisiones automatizadas

Para elaborar su informe, BASE4 aplica a sus datos genéticos y a los de su cuestionario de salud algoritmos y modelos de análisis que estiman predisposiciones, riesgos o recomendaciones de salud. Este tratamiento constituye una elaboración de perfiles en el sentido del artículo 4.4 RGPD, cuya única finalidad es ofrecerle información preventiva y de optimización de su salud.

BASE4 no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre usted o le afecten significativamente de modo similar (art. 22 RGPD). El equipo médico revisa todos los informes antes de ponerlos a su disposición, y la decisión sobre el uso de los resultados corresponde siempre a usted o al profesional sanitario que le acompañe.

8. Destinatarios de los datos

8.1. Categorías de destinatarios

BASE4 no vende sus datos personales. Sus datos solo se comunicarán a:

• a)Los centros de extracción colaboradores, que reciben los datos necesarios para la cita y la identificación de la muestra.
• b)Las entidades de pago, para la gestión del cobro y la prevención del fraude, que actúan como responsables independientes.
• c)Si accede al Servicio a través de una Clínica, dicha Clínica, que recibe su informe de resultados para su interpretación clínica y comunicación en el marco de la relación asistencial, y que actúa como responsable independiente.
• d)Administraciones públicas, juzgados, tribunales, organismos de consumo y demás autoridades competentes, cuando exista una obligación legal.
• e)Asesores profesionales (abogados, auditores), sujetos a deber de confidencialidad, cuando resulte necesario.

Si usted decide compartir su informe con su médico o con otras personas, lo hará por decisión propia y bajo su responsabilidad.

8.2. Encargados del tratamiento

BASE4 cuenta con proveedores que tratan datos por su cuenta para prestar el Servicio, con los que ha suscrito los correspondientes contratos de encargo del tratamiento (art. 28 RGPD):

9. Transferencias internacionales de datos

Los datos de la Plataforma se almacenan en servidores ubicados en el Espacio Económico Europeo (EEE). Para su análisis, la muestra codificada y los datos genéticos derivados de ella pueden enviarse a laboratorios situados en la República de Corea. Cuando se produzca un acceso o una transferencia fuera del EEE, BASE4 garantiza que se realice al amparo de alguno de los mecanismos del Capítulo V RGPD:

• a)Decisiones de adecuación de la Comisión Europea (art. 45 RGPD), como el EU-US Data Privacy Framework (Decisión de Ejecución (UE) 2023/1795) para entidades certificadas en EE. UU. En concreto, para la República de Corea, se encuentra vigente la Decisión 2022/254/UE de la Comisión, de 17 de diciembre de 2021.
• b)Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 (art. 46.2.c RGPD), junto con las medidas complementarias que resulten necesarias.

Puede solicitar más información sobre las garantías aplicadas escribiendo a privacy@base4bio.com.

10. Plazos de conservación

Los datos se conservan durante el tiempo necesario para la finalidad para la que se recabaron y, después, bloqueados conforme al artículo 32 LOPDGDD durante los plazos de prescripción de las responsabilidades que pudieran derivarse. En particular:

• a)Datos de la cuenta: mientras la cuenta esté activa.
• b)Datos genéticos, datos de salud e informe de resultados: como mínimo, 5 años desde su obtención (art. 52.1 de la Ley de Investigación Biomédica), transcurridos los cuales podrá solicitar su supresión. En la medida en que formen parte de su historia clínica, durante el plazo exigido por la normativa de documentación clínica mínimo de 5 años desde el alta (art. 17.1 Ley 41/2002).
• c)Muestras biológicas: La muestra de sangre se destruye durante el proceso de extracción de ADN y ARN en un plazo máximo de 2 meses, salvo que usted haya consentido su conservación para investigación. El ADN y ARN extraídos que permanezcan tras el análisis, incluidas las muestras de respaldo, no utilizadas o que no hayan superado los controles de calidad, se eliminan transcurridos 3 meses desde la entrega de los datos por el laboratorio.
• d)Datos de facturación: 6 años (art. 30 Código de Comercio) y 4 años a efectos fiscales (art. 66 Ley General Tributaria).
• e)Datos utilizados para investigación con su consentimiento: hasta que lo retire o, como máximo, hasta la finalización del proyecto correspondiente.

Transcurridos estos plazos, los datos se suprimen o se anonimizan de forma irreversible.

11. Derechos de los interesados

11.1. Derechos reconocidos

De acuerdo con el RGPD y la LOPDGDD, usted puede ejercer los siguientes derechos:

• a)Acceso (art. 15 RGPD): saber si tratamos sus datos y obtener una copia de ellos, incluido su informe de resultados.
• b)Rectificación (art. 16 RGPD): corregir datos inexactos o completar los incompletos.
• c)Supresión (art. 17 RGPD): solicitar que eliminemos sus datos cuando ya no sean necesarios, retire su consentimiento o se oponga al tratamiento, salvo que debamos conservarlos por obligación legal (por ejemplo, la conservación mínima de los datos genéticos y de la documentación clínica) o para la defensa de reclamaciones.
• d)Limitación (art. 18 RGPD): solicitar que suspendamos el tratamiento en determinados supuestos.
• e)Portabilidad (art. 20 RGPD): recibir los datos que nos ha facilitado en un formato estructurado y de lectura mecánica, y transmitirlos a otro responsable.
• f)Oposición (art. 21 RGPD): oponerse a los tratamientos basados en el interés legítimo, incluidas las comunicaciones comerciales.
• g)No ser objeto de decisiones individuales automatizadas (art. 22 RGPD).
• h)Retirar el consentimiento en cualquier momento (art. 7.3 RGPD), sin que ello afecte a la licitud del tratamiento previo. Si retira el Consentimiento Informado, BASE4 no podrá seguir prestándole el Servicio, con los efectos previstos en las Condiciones y en el propio Consentimiento Informado. Darse de baja en la Plataforma no equivale a retirar el consentimiento, que debe retirarse de forma expresa.
• i)No ser informado (arts. 4.5 y 49 de la Ley de Investigación Biomédica): decidir que no se le comuniquen determinados resultados, en los términos del Consentimiento Informado.

11.2. Cómo ejercerlos

Puede ejercer sus derechos escribiendo a privacy@base4bio.com o por correo postal a la dirección indicada en el apartado 1, indicando el derecho que desea ejercer. Si tenemos dudas razonables sobre su identidad, podremos pedirle información adicional para verificarla. Dada la sensibilidad de los datos, BASE4 no remitirá información genética o de salud sin haber verificado antes la identidad del solicitante. Le responderemos en el plazo de un mes, prorrogable dos meses más cuando la complejidad o el número de solicitudes lo justifique.

11.3. Reclamación ante la autoridad de control

Si considera que el tratamiento de sus datos no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es). Le recomendamos que, antes, se ponga en contacto con nosotros o con nuestro Delegado de Protección de Datos.

12. Menores de edad

El Servicio está reservado a personas mayores de 18 años con plena capacidad de obrar. Durante el registro se le pedirá que confirme su fecha de nacimiento, y BASE4 podrá requerirle la acreditación documental de su edad y de su identidad. Si BASE4 detecta que el Usuario es menor de edad, cancelará el pedido, no tratará ningún dato de salud o genético ni analizará la muestra, y suprimirá los datos recabados, salvo los que deba conservar por obligación legal.

13. Medidas de seguridad

BASE4 aplica medidas técnicas y organizativas adecuadas al riesgo que supone el tratamiento de datos genéticos y de salud, entre ellas:

• a)Cifrado de los datos en reposo con claves propias gestionadas en AWS KMS y de todas las comunicaciones mediante TLS, incluida la conexión con la base de datos.
• b)Cifrado individual adicional del perfil genético y de los datos identificativos del firmante del consentimiento.
• c)Seudonimización: los datos de salud se vinculan a un identificador de estudio aleatorio; muestras y resultados circulan hacia laboratorios y servicios de análisis únicamente bajo código.
• d)Control de acceso basado en perfiles (paciente, administrador, experto, laboratorio, ventas) conforme al principio de necesidad de conocer; acceso a la base de datos con credenciales de mínimo privilegio.
• e)Registro de auditoría inmutable de las acciones y de los accesos a datos de salud, conservado 24 meses.
• f)Autenticación con segundo factor disponible para el personal, protección adaptativa frente a fuerza bruta y credenciales comprometidas, limitación de peticiones y cortafuegos de aplicación.
• g)Monitorización continua de seguridad (detección de amenazas, registro de la actividad administrativa en la nube, alertas).
• h)Copias de seguridad cifradas con protección frente a borrado y procedimiento de restauración documentado.
• i)Minimización de datos personales en los registros técnicos mediante redacción automática.
• j)Procedimiento técnico de supresión que elimina los datos identificativos y desvincula los datos de salud.
• k)Deber de confidencialidad del personal y de los proveedores, con contratos de encargo de tratamiento, y secreto profesional del equipo médico.
• l)Las contraseñas se transmiten únicamente por canal cifrado y BASE4 no las almacena; BASE4 no accede ni conserva números de tarjeta.
• m)Revisiones de seguridad periódicas.

Si se produce una violación de seguridad que suponga un alto riesgo para sus derechos, se lo comunicaremos sin dilación indebida, conforme al artículo 34 RGPD.

14. Exactitud de los datos y datos de terceros

Usted garantiza que los datos que facilita son veraces, exactos, completos y actualizados, y se compromete a comunicarnos cualquier cambio. La exactitud del cuestionario de salud influye directamente en la interpretación de sus resultados. También garantiza que la muestra biológica es suya: no puede solicitar el análisis de la muestra de otra persona. Es responsable, además, de custodiar sus credenciales de acceso y de no compartirlas.

Si en el cuestionario de salud nos facilita antecedentes de salud de sus familiares, le rogamos que incluya solo la información imprescindible para interpretar el análisis.

15. Modificaciones de la Política de Privacidad

BASE4 podrá modificar esta Política para adaptarla a cambios normativos o en la Plataforma. Le comunicaremos los cambios sustanciales mediante un aviso en la Plataforma o por correo electrónico con antelación razonable a su entrada en vigor y, cuando el cambio afecte a un tratamiento basado en su consentimiento, se lo volveremos a solicitar.

Fecha de actualización: octubre de 2026