Política de Privacidad

Última actualización: 1 de julio de 2026

Esta Política de Privacidad describe cómo Hema Labsrecolecta, utiliza, protege y comparte los datos personales de los usuarios (el «Usuario» o «usted») de la aplicación web y mobile (la «Aplicación»). Hema Labs es una herramienta que ayuda a organizar e interpretar análisis de laboratorio con ayuda de inteligencia artificial.

Esta Política forma parte integrante de los Términos y Condiciones. El tratamiento de sus datos sensibles de salud requiere su consentimiento expreso, que se recaba de forma separada mediante la casilla de consentimiento correspondiente en la Aplicación.

1. Responsable del tratamiento y contacto

El responsable del tratamiento de sus datos personales es:

• Empresa: Hema LabsEmail de contacto para privacidad: contacto@hemalabs.com.

Para cualquier consulta sobre esta Política o sobre sus datos personales, puede escribirnos a la dirección indicada. Responderemos dentro de los plazos previstos por la normativa aplicable en su país de residencia.

2. Datos personales que recolectamos

• a) Datos de identificación y contacto. Nombre, dirección de correo electrónico y datos de registro de su cuenta. De forma opcional, en su perfil puede cargar datos adicionales —altura, peso y fecha de nacimiento— para contextualizar mejor sus resultados.
• b) Datos sensibles de salud. Los estudios de laboratorio y otros estudios médicos que usted carga (en PDF o imagen), los valores y biomarcadores extraídos de ellos, los Informes de IA generados a partir de ellos, y los datos contextuales que usted decida aportar (por ejemplo: edad, sexo, antecedentes relevantes) para mejorar la pertinencia del análisis. El archivo original de su estudio se guarda cifrado en un almacenamiento privado, accesible únicamente por su cuenta.
• c) Datos transaccionales. La Aplicación ofrece un nivel de uso gratuito y planes pagos de pago único. Si usted contrata un plan pago, recolectamos información relativa a sus compras (plan adquirido, fecha, importe, identificador de la transacción). Los pagos son procesados directamente por nuestros proveedores de pago: Mercado Pago (pagos en pesos argentinos) y PayPal (pagos internacionales, como procesador de pagos); no almacenamos los datos completos de su tarjeta.
• d) Datos técnicos y de uso. Información sobre cómo interactúa con la Aplicación (dispositivo, sistema operativo, dirección IP, pantallas visitadas y eventos de uso), recolectada mediante nuestra herramienta de analítica Amplitude ([TODO: confirmar integración]), sujeta a su consentimiento cuando la normativa lo exija.
• e) Datos almacenados en su dispositivo. Para agilizar el funcionamiento de la Aplicación, determinados datos —incluyendo los biomarcadores extraídos de sus estudios— se guardan localmente en el almacenamiento de su navegador (localStorage). Estos datos permanecen en su dispositivo y usted puede eliminarlos borrando los datos de navegación. Si utiliza la Aplicación en un dispositivo compartido, otras personas con acceso a ese dispositivo podrían ver esta información.
• f) Datos de comunicaciones. La información que nos proporciona cuando contacta a soporte, incluido el registro de que aceptó los Términos y Condiciones, esta Política y su declaración de ser mayor de 18 años, junto con la fecha de esa aceptación.

No recolectamos deliberadamente más datos que los necesarios para las finalidades descriptas en esta Política (principio de minimización).

3. Finalidades y bases legales del tratamiento

3.1. Mejora de la Aplicación y de los modelos. Para mejorar el servicio solo utilizamos datos estadísticos o irreversiblemente anonimizados, es decir, datos de los que se han eliminado de manera definitiva todos los elementos que permitirían identificarlo, directa o indirectamente. Los datos anonimizados de este modo dejan de ser datos personales. Si en el futuro quisiéramos utilizar datos de salud identificables o pseudonimizados con fines de mejora o investigación, le solicitaremos previamente un consentimiento específico y separado, que usted podrá negar o revocar sin que ello afecte su uso de la Aplicación. Los modelos de IA nunca reciben datos personales que puedan asociarlo a un usuario en particular.

3.2. Sin decisiones automatizadas con efectos jurídicos. Los Informes de IA son contenido informativo generado a su solicitud; no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre usted ni lo evaluamos con fines de crédito, seguros, empleo u otros similares. No utilizamos sus datos de salud con fines publicitarios ni de perfilado comercial.

4. Con quién compartimos sus datos

No vendemos sus datos personales. Solo los compartimos en los siguientes casos:

a) Proveedores de servicios. Terceros que procesan datos por cuenta y orden de Hema Labs, bajo contratos que les imponen confidencialidad, seguridad y prohibición de uso para fines propios:

• Infraestructura y almacenamiento: usamos Supabase para la base de datos, la autenticación y el almacenamiento cifrado de los archivos de sus estudios.
• Procesamiento de IA: el texto de los estudios que usted carga se procesa mediante modelos de inteligencia artificial de Google LLC (modelos Gemini), a los que accedemos a través del servicio de enrutamiento OpenRouter, Inc. Se transmite únicamente el contenido necesario para generar el análisis: no enviamos su nombre, su correo electrónico ni el identificador de su cuenta, de modo que el proveedor de IA no puede vincular ese contenido con usted como persona. Antes del envío, además, eliminamos del texto los datos identificatorios que detectamos (como nombre, documento, domicilio, teléfono, correo o fecha de nacimiento). Hemos configurado el servicio para que no retenga los datos procesados ni los utilice para entrenar sus modelos.
• Procesamiento en su dispositivo: cuando sube una foto, el reconocimiento de texto (OCR) se realiza en su propio navegador; la imagen no se envía a un servidor para ese paso.
• Analítica de uso: Amplitude, Inc. (con sede en Estados Unidos), que procesa datos técnicos y de uso, no sus estudios médicos ni sus datos personales. Solo eventos de uso en la plataforma con fines informativos.
• Pagos: Mercado Pago (MercadoLibre S.R.L., Argentina) para pagos en pesos, y PayPal (PayPal Holdings, Inc., Estados Unidos) para pagos internacionales. Procesan los datos de pago necesarios para completar la transacción; no acceden a sus estudios médicos.

b) Obligación legal. Cuando una ley, autoridad competente u orden judicial lo exija.

c) Reorganización empresarial. En caso de fusión, adquisición o venta de activos, sus datos podrán transferirse a la entidad sucesora, que quedará obligada por esta Política. Le notificaremos cualquier cambio de responsable.

Los profesionales de la salud no tienen acceso a sus datos a través de Hema Labs: es usted quien decide si comparte sus Informes con ellos.

5. Transferencias internacionales de datos

Algunos de nuestros proveedores (procesamiento de IA, analítica) están ubicados en Estados Unidos, por lo que la prestación del servicio puede implicar transferencias internacionales de sus datos, incluyendo sus datos de salud, hacia ese país. Si usted abona un plan mediante PayPal (pagos internacionales), sus datos transaccionales son tratados por PayPal Holdings, Inc. en Estados Unidos; los pagos en pesos mediante Mercado Pago se procesan en Argentina. En ningún caso los datos de su tarjeta pasan por nuestros servidores.

5.1. Cuando transferimos datos a países que no cuentan con un nivel de protección adecuado según la normativa de su país, lo hacemos mediante cláusulas contractuales de transferencia internacional ajustadas a los modelos aprobados o reconocidos por la autoridad de protección de datos correspondiente, u otros mecanismos válidos previstos por la normativa local.

5.2. Adicionalmente, aplicamos salvaguardas técnicas: los datos se transmiten y almacenan cifrados, y nuestros proveedores están contractualmente obligados a tratarlos únicamente para prestar el servicio.

5.3. Al prestar su consentimiento para el tratamiento de sus datos de salud, usted es informado de estas transferencias, cuyo detalle por proveedor figura en la Sección 4.

6. Seguridad de los datos

Aplicamos medidas técnicas y organizativas apropiadas a la sensibilidad de los datos que tratamos:

• Cifrado y almacenamiento seguro de sus estudios: los datos se transmiten cifrados mediante TLS/HTTPS. Los archivos originales de sus estudios se guardan en un almacenamiento privado de Supabase —no accesible mediante enlaces públicos— y cifrados en reposo por la infraestructura de Supabase. El acceso está aislado por usuario con las mismas políticas de seguridad a nivel de fila (RLS): cada archivo queda bajo una carpeta asociada a su cuenta y solo usted puede leerlo. Para visualizarlo se genera un enlace firmado de corta duración (expira en aproximadamente un minuto); no existen URLs públicas ni permanentes hacia sus estudios.
• Control de accesos: aislamiento estricto por usuario —cada cuenta solo puede ver y modificar sus propios datos—, aplicado a nivel de la base de datos mediante seguridad a nivel de fila (Row Level Security, RLS) y controles basados en sesiones autenticadas, con acceso restringido al personal autorizado bajo el principio de menor privilegio.
• Monitoreo y respuesta a incidentes: supervisamos la infraestructura para detectar anomalías y contamos con un procedimiento de respuesta a incidentes.
• Seguridad de los pagos: el pago ocurre íntegramente en la plataforma del proveedor (el checkout de Mercado Pago o de PayPal), certificada bajo los estándares de la industria de tarjetas (PCI DSS). Nunca vemos ni almacenamos el número de su tarjeta. Nuestra plataforma solo recibe del proveedor una notificación del pago aprobado, cuya autenticidad se verifica criptográficamente (firma digital del proveedor) antes de acreditar la compra; las notificaciones que no superan esa verificación se rechazan. De cada compra conservamos únicamente el plan adquirido, el importe, la moneda y el identificador de la transacción.

6.1. Notificación de incidentes. En caso de un incidente de seguridad que afecte sus datos personales, lo notificaremos a usted y/o a la autoridad de control cuando y como la normativa de su país lo exija.

6.2. Ningún sistema es infalible. Usted también contribuye a la seguridad manteniendo la confidencialidad de sus credenciales de acceso.

7. Plazos de conservación

Conservamos sus datos personales únicamente durante el tiempo necesario para las finalidades descriptas, y luego los eliminamos o anonimizamos de forma irreversible.

• Cuenta activa: sus datos de cuenta, estudios cargados, Informes de IA e historial se conservan mientras su cuenta permanezca activa, para que pueda acceder a su historial —una funcionalidad central del servicio—.
• Eliminación de cuenta: usted puede eliminar su cuenta y sus datos en cualquier momento desde la sección Perfil de la Aplicación. Producida la eliminación, borramos sus datos personales inmediatamente.
• Datos transaccionales: el registro de sus compras (plan, importe, moneda, identificador de la transacción) se conserva por el plazo exigido por las obligaciones fiscales y contables del país correspondiente (por ejemplo, 10 años en Argentina), incluso si usted elimina su cuenta.
• Datos de soporte: se conservan por 12 meses desde la resolución de la consulta.

8. Sus derechos

Usted puede ejercer, en forma gratuita, los derechos que la normativa de su país le reconoce sobre sus datos personales, que en general incluyen:

• Acceso: conocer qué datos suyos tratamos y obtener copia.
• Rectificación y actualización: corregir datos inexactos o desactualizados (puede hacerlo desde su Perfil).
• Supresión: solicitar la eliminación de sus datos.
• Oposición: oponerse a determinados tratamientos.
• Revocación del consentimiento: retirar en cualquier momento el consentimiento prestado para el tratamiento de sus datos de salud, sin efectos retroactivos. La revocación implicará la imposibilidad de seguir usando las funcionalidades que dependen de esos datos.
• Portabilidad (en los países que la reconocen): recibir sus datos en un formato estructurado y de uso común.

Cómo ejercerlos: la supresión puede ejercerla directamente desde la sección Perfil de la Aplicación, que le permite eliminar su cuenta y sus datos en cualquier momento. Para los demás derechos, o si prefiere esa vía, escríbanos a contacto@hemalabs.com indicando el derecho que desea ejercer. Podremos solicitarle información para verificar su identidad antes de responder. Responderemos dentro de los plazos legales de su país.

Reclamos ante la autoridad. Si considera que el tratamiento de sus datos infringe la normativa, además de contactarnos, puede presentar un reclamo ante la autoridad de protección de datos de su país de residencia.

9. Menores de edad

La Aplicación está destinada exclusivamente a personas mayores de 18 años. No recolectamos deliberadamente datos de menores. Si detectamos una cuenta de un menor, procederemos a su baja y a la eliminación de los datos asociados. Si usted advierte que un menor nos ha proporcionado datos, contáctenos a contacto@hemalabs.com.

10. Cookies y tecnologías similares

Utilizamos cookies y tecnologías similares para el funcionamiento de la Aplicación y la seguridad, incluyendo cookies para mantener su sesión iniciada y recordar su preferencia de idioma, y —con su consentimiento cuando la normativa lo exija— la analítica de uso mediante Amplitude. Asimismo, utilizamos el almacenamiento local de su navegador (localStorage) para guardar en su dispositivo datos que agilizan el funcionamiento de la Aplicación, incluyendo los biomarcadores de sus estudios (ver Sección 2.e). Puede gestionar sus preferencias y eliminar los datos almacenados localmente borrando los datos de navegación de su navegador. Las cookies y almacenamientos estrictamente necesarios para el funcionamiento del servicio no requieren consentimiento.

11. Cambios a esta política

Podremos actualizar esta Política periódicamente. La fecha de «Última actualización» indica la versión vigente. Si introducimos cambios sustanciales —en particular, nuevas finalidades para sus datos de salud, nuevos destinatarios o nuevas transferencias internacionales—, se lo notificaremos con antelación razonable por correo electrónico y/o mediante aviso destacado en la Aplicación y, cuando la normativa lo exija, le solicitaremos nuevamente su consentimiento.

12. Anexo por país

Las particularidades de cada país donde la Aplicación esté disponible se incorporan mediante los siguientes anexos, que prevalecen sobre el cuerpo principal cuando resulten más protectorios para el Usuario o cuando así lo exija la normativa local.

Anexo Argentina

• Normativa aplicable: Ley 25.326 de Protección de los Datos Personales y normas complementarias.
• Autoridad de control: Agencia de Acceso a la Información Pública (AAIP) — www.argentina.gob.ar/aaip. «La Agencia de Acceso a la Información Pública, en su carácter de Órgano de Control de la Ley N.º 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales».
• Derecho de acceso: el titular puede ejercerlo en forma gratuita a intervalos no inferiores a seis meses, salvo que acredite un interés legítimo (art. 14, Ley 25.326).
• Plazos de respuesta: acceso, 10 días corridos; rectificación, actualización o supresión, 5 días hábiles (arts. 14 y 16, Ley 25.326).
• Transferencias internacionales: realizadas conforme al art. 12 de la Ley 25.326 y mediante cláusulas contractuales según los modelos aprobados por la Disposición DNPDP 60-E/2016 o las que las reemplacen.
• Registro de bases de datos: [TODO: confirmar estado de inscripción de las bases ante la AAIP, según normativa vigente].