Registrarse

Iniciar sesión

Política de privacidad y Acuerdo de Encargado de Tratamiento de datos

Versión: 2026-09
Fecha de publicación: 24/09/2026
Entrada en vigor: 24/10/2026. Para las nuevas altas producidas a partir de su publicación, se aplica desde el 24/09/2026.

MediaValue explica en este documento cómo trata datos personales en sus webs, aplicaciones y servicios y, además, establece el Acuerdo de Encargado de Tratamiento (DPA) aplicable cuando MEDIA FOR VALUE, S.L. trata datos por cuenta de una Farmacia/Cliente.

PARTE I — POLÍTICA DE PRIVACIDAD

1. Responsable del tratamiento

El responsable de los tratamientos propios es MEDIA FOR VALUE, S.L. («MV»), NIF B10987485, con domicilio social en Avenida de la Ilustración, n.º 17, C.P. 50012, Zaragoza (España).

Contacto general: info@mediaforvalue.com
Privacidad: privacy@mediaforvalue.com

MV no ha designado actualmente Delegado de Protección de Datos. Si se designara, se publicará su canal de contacto.

2. Ámbito

Esta Política aplica a las webs, subdominios, aplicaciones y servicios gestionados por MV, incluidos, cuando corresponda, mediaforvalue.com, intranet.mediaforvalue.com, talentmap360.mediaforvalue.com, mvfarmasummit.com y otros dominios o subdominios identificados como parte de los Servicios de MV.

MediaValue es un servicio B2B, dirigido a empresas y profesionales. No está destinado a consumidores para fines personales o domésticos.

3. Cuándo MV es Responsable y cuándo Encargado

MV como Responsable. MV actúa como Responsable respecto de los datos necesarios para gestionar su relación con clientes y usuarios, altas y cuentas, autenticación y seguridad, facturación y pagos, soporte, comunicaciones operativas, marketing propio cuando exista base jurídica, analítica, prevención del fraude, mejora del Servicio y cumplimiento legal.

MV como Encargado. La Farmacia/Cliente actúa normalmente como Responsable respecto de los datos que incorpora o gestiona dentro de MediaValue sobre sus empleados, colaboradores, clientes/pacientes, contactos o terceros. En esos casos MV trata los datos por cuenta del Cliente y conforme al DPA incluido en la Parte II.

4. Categorías de datos

Según la relación y las funcionalidades utilizadas, MV puede tratar:

MV no solicita con carácter general categorías especiales de datos. Si el Cliente incorpora datos de salud u otras categorías especiales en Contenido bajo su responsabilidad, MV los tratará únicamente como Encargado y conforme a las instrucciones del Cliente y a medidas adecuadas al riesgo.

5. Finalidades y bases jurídicas

MV trata datos, según corresponda, para:

  1. Alta, administración y prestación del Servicio. Base: ejecución contractual o medidas precontractuales.
  2. Autenticación, permisos, seguridad y prevención del abuso/fraude. Base: ejecución contractual e interés legítimo en proteger el Servicio.
  3. Soporte, mantenimiento, continuidad y resolución de incidencias. Base: ejecución contractual e interés legítimo.
  4. Facturación, pagos, suscripciones y gestión administrativa. Base: contrato y obligaciones legales.
  5. Registro horario y otras funciones de cumplimiento. MV actúa normalmente como Encargado del Cliente; la base jurídica corresponde al Cliente como Responsable.
  6. Analítica de producto, rendimiento y experiencia de usuario. Base: interés legítimo cuando pueda utilizarse sin acceso al terminal; cuando se utilicen cookies o tecnologías no necesarias, consentimiento conforme a la LSSI y la Política de Cookies.
  7. Marketing y medición publicitaria. Consentimiento cuando sea necesario. Para comunicaciones a clientes sobre productos o servicios de MV similares a los contratados, interés legítimo conforme al artículo 6.1.f del RGPD, dentro del supuesto permitido por el artículo 21.2 de la LSSI. Siempre se facilitará un mecanismo sencillo de oposición o baja.
  8. Cumplimiento legal y defensa de derechos. Obligación legal e interés legítimo.
  9. Integraciones, APIs, MCP y asistentes de IA. Ejecución contractual e instrucciones del Cliente cuando MV actúe como Encargado.

6. Analítica, publicidad y tecnologías de experiencia

MV puede utilizar herramientas de analítica, medición, onboarding, experiencia de usuario y publicidad, según el dominio, configuración y consentimiento aplicables. Entre ellas pueden encontrarse Google Analytics/Tag Manager, Meta Pixel/Conversions API, Microsoft Clarity, Hotjar, Amplitude, UserGuiding, Metricool u otras equivalentes.

En los flujos de registro y conversión, MV puede medir eventos mediante plataformas publicitarias, incluida Meta, siempre sujeto al consentimiento o base exigible. Cuando se utilicen funciones como coincidencias avanzadas, los datos se limitarán a los necesarios y podrán comunicarse en forma seudonimizada o hasheada según la tecnología del proveedor.

Algunas de estas herramientas permiten grabar la interacción de la sesión (clics, desplazamiento y navegación) o capturar eventos de uso de forma automática. Estas funciones solo se cargan cuando el usuario acepta la categoría correspondiente y se configuran con minimización y enmascaramiento de campos y contenidos. La herramienta concreta, el entorno o dominio en que opera, su finalidad, su duración y su estado figuran en el registro de cookies y preferencias de cada entorno. Si una de estas funciones se activa dentro de la aplicación con acceso a Datos del Cliente, se aplica además lo previsto en la sección 8.1.

7. Integraciones externas, APIs, MCP y asistentes de IA

El Cliente puede decidir conectar MediaValue con servicios externos mediante API, MCP, conectores o asistentes de inteligencia artificial.

Cuando el Cliente o un usuario autorizado active, configure o autorice voluntariamente una integración externa, esa acción constituye una instrucción documentada del Cliente a MV para comunicar al servicio seleccionado los datos estrictamente necesarios para ejecutar la solicitud, dentro de los permisos del usuario autenticado.

La conexión no amplía por sí misma los permisos existentes en MediaValue. El MCP de MV utiliza autenticación OAuth por usuario y las operaciones deben quedar limitadas a la cuenta, farmacia, rol y permisos correspondientes.

MV no almacena los prompts ni las respuestas intercambiados con el asistente externo ni mantiene registros específicos de esas conversaciones. Las acciones ejecutadas mediante la integración generan únicamente los registros ordinarios de la operación realizada en MediaValue, igual que si la ejecutara directamente el usuario.

Cuando el tercero sea contratado directamente por MV para formar parte del Servicio, podrá actuar como subencargado y se aplicará el régimen del DPA. Cuando sea el propio Cliente quien conecte o contrate directamente al tercero, el tratamiento posterior por ese tercero se regirá por la relación entre el Cliente y dicho tercero.

8. Destinatarios, proveedores y subencargados autorizados

MV utiliza o puede habilitar proveedores tecnológicos según las funcionalidades, configuración, plan y evolución del Servicio. La inclusión de un proveedor en estas relaciones no significa que esté activo simultáneamente en todos los entornos. Los proveedores se agrupan según el papel que desempeñan.

8.1 Subencargados que pueden tratar Datos del Cliente

Tratan datos personales por cuenta de la Farmacia/Cliente y están sujetos al DPA (Parte II):

Además, los siguientes proveedores de la sección 8.2 tendrán la consideración de subencargados cuando, por la funcionalidad o el uso concreto, traten Datos del Cliente por cuenta de la Farmacia:

En esos casos figurarán en la relación de subencargados activos y se aplicará el procedimiento de aviso y oposición del DPA. En su utilización para publicidad, marketing y medición publicitaria, Klaviyo, ActiveCampaign, Meta, Google Ads, Google Analytics y Metricool no recibirán Datos del Cliente tratados por MV por cuenta de la Farmacia.

8.2 Proveedores de MV para sus tratamientos propios

Tratan datos para las finalidades de MV como Responsable descritas en la sección 5 (web, marketing, analítica, onboarding, pagos, gestión comercial y operativa interna). Solo tratan Datos del Cliente los identificados en la sección 8.1 como posibles subencargados, y únicamente en las condiciones allí previstas:

8.3 Otros destinatarios y componentes

MV utiliza Neon para entornos efímeros de desarrollo y pruebas, que no contienen datos personales reales de clientes; por ello Neon no tiene la consideración de subencargado.

MV puede utilizar componentes de software, plugins, CDN, librerías o recursos web de terceros. Cuando un componente se ejecute localmente y no comunique datos a su fabricante, no tendrá la consideración de subencargado. Si su configuración implica acceso o comunicación de datos a un tercero, se aplicarán las reglas de esta Política y del DPA.

Podrán comunicarse datos a autoridades cuando exista obligación legal o requerimiento válido.

8.4 Cambios en los proveedores

MV podrá activar o desactivar proveedores de la sección 8.2 sin necesidad de aprobar una nueva versión de esta Política, reflejándolo en el centro de preferencias cuando afecte a cookies o tecnologías similares. Para los subencargados de la sección 8.1 se aplicará el procedimiento de aviso y oposición previsto en el DPA.

9. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Cuando exista una transferencia internacional, MV utilizará un mecanismo válido conforme al RGPD, como decisiones de adecuación, el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable, cláusulas contractuales tipo u otras garantías adecuadas, y medidas complementarias cuando proceda. La relación actualizada de proveedores y subencargados indica, cuando proceda, la ubicación del tratamiento y el mecanismo aplicable a la transferencia. Puede solicitarse información o copia de las garantías aplicables en privacy@mediaforvalue.com.

10. Conservación

MV aplica criterios de minimización y limitación del plazo de conservación.

11. Derechos

Cuando MV sea Responsable, las personas interesadas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento escribiendo a privacy@mediaforvalue.com.

Cuando MV actúe como Encargado, la solicitud deberá dirigirse normalmente a la Farmacia/Cliente responsable, y MV la asistirá conforme al DPA.

Se puede reclamar ante la Agencia Española de Protección de Datos.

12. Decisiones automatizadas

MV no adopta decisiones automatizadas con efectos jurídicos o significativamente similares basadas exclusivamente en tratamiento automatizado, salvo que se informe específicamente cuando alguna funcionalidad lo requiera.

13. Seguridad

MV aplica medidas técnicas y organizativas apropiadas al riesgo y al estado de la técnica. Entre otras, según el sistema y alcance: control de acceso por roles, segregación lógica de cuentas, protección de credenciales, gestión de sesiones, cifrado en tránsito y controles de almacenamiento, infraestructura privada, monitorización y alertas, observabilidad, gestión de vulnerabilidades y dependencias, copias de seguridad, pruebas previas a despliegues, continuidad e incident response.

La infraestructura principal de producción utiliza AWS en Irlanda. La base de datos de producción se aloja en AWS. Neon se utiliza para entornos efímeros de desarrollo y no como base de datos principal de producción.

Ningún sistema puede garantizar seguridad absoluta; MV mantiene un proceso de mejora continua y revisión de medidas.

14. Menores

Los Servicios B2B de MV no están dirigidos a menores.

15. Cambios de esta Política

MV podrá actualizar esta Política. Los cambios materiales se comunicarán al Owner/Admin por medios razonables, incluido email o aviso dentro del Servicio. Las activaciones o desactivaciones de proveedores ya incluidos en la sección 8 no obligan, por sí solas, a aprobar una nueva versión de esta Política, sin perjuicio del aviso previsto en el DPA para los subencargados de la sección 8.1.

PARTE II — ACUERDO DE ENCARGADO DE TRATAMIENTO (DPA)

0. Partes, aceptación y alcance

Encargado: MEDIA FOR VALUE, S.L.
Responsable: la Farmacia/Cliente que crea una Cuenta-Farmacia y acepta este DPA.

El DPA se acepta electrónicamente por el/los Owner(s) mediante la acción afirmativa habilitada. MV podrá conservar como evidencia la fecha/hora, versión, identificador de cuenta, usuario aceptante y evidencias técnicas razonables asociadas.

Este DPA regula el tratamiento de datos personales que MV realiza por cuenta del Cliente conforme al artículo 28 RGPD y prevalece, respecto de dicho tratamiento, sobre cualquier disposición contradictoria de otros documentos contractuales.

1. Objeto, naturaleza, finalidad y duración

El objeto es la prestación del SaaS MediaValue y las funcionalidades contratadas o habilitadas, que pueden implicar alojamiento, almacenamiento, organización, consulta, visualización, comunicación, soporte, copia de seguridad, restauración, transmisión y otras operaciones técnicas sobre Datos del Cliente.

El encargo dura mientras esté vigente la relación contractual y, tras su terminación, durante el periodo necesario para devolución de datos exportables, supresión técnica y conservación legal aplicable.

2. Interesados y tipos de datos

Según las funcionalidades utilizadas, pueden incluirse datos de empleados y colaboradores, usuarios externos invitados, clientes/pacientes, contactos de CRM, terceros incluidos en documentos o comunicaciones y otros interesados cuyos datos introduzca el Cliente.

Los datos pueden incluir identificativos, profesionales, contacto, permisos, actividad, registro horario, mensajes, documentos, imágenes, vídeos, citas, CRM, consentimiento/aceptación, datos técnicos, metadatos y, cuando el Cliente los incorpore bajo su responsabilidad, categorías especiales.

Algunas funcionalidades, como las citas de servicios farmacéuticos o los consentimientos de clientes y pacientes, pueden implicar datos relativos a la salud según su configuración y uso por el Cliente. En ese caso, MV tratará dichos datos únicamente para prestar el Servicio y limitará el acceso de su personal a lo imprescindible para el soporte autorizado por el Cliente.

3. Instrucciones documentadas

MV tratará los Datos del Cliente únicamente conforme a instrucciones documentadas, salvo obligación legal.

Constituyen instrucciones documentadas, entre otras:

Si MV considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Cliente y podrá suspender su ejecución hasta que el Cliente la confirme o modifique.

3.1 Integraciones externas

Cuando el Cliente active o configure un servicio externo mediante API, MCP, conector o asistente de IA, autoriza e instruye a MV a comunicar a dicho tercero los datos estrictamente necesarios para ejecutar las acciones solicitadas, dentro de los permisos del usuario autenticado.

El Cliente es responsable de decidir si el tercero elegido es adecuado y de cumplir las obligaciones que le correspondan respecto de la relación directa con ese tercero.

Si el tercero es contratado por MV como parte del Servicio, se aplicará el régimen de subencargados. Si es contratado/conectado directamente por el Cliente, el tratamiento posterior del tercero se regirá por sus propias condiciones y por la relación con el Cliente.

3.2 Anonimización

El Cliente autoriza a MV a anonimizar Datos del Cliente para obtener estadísticas agregadas de uso y mejora del Servicio. Los resultados no permitirán identificar a personas ni revelar el Contenido concreto de una Farmacia.

4. Obligaciones de MV

MV se compromete a:

5. Obligaciones del Cliente

El Cliente se compromete a:

6. Subencargados y autorización general

El Cliente concede a MV autorización general previa para recurrir a los proveedores identificados en la sección 8.1 de la Parte I como subencargados o posibles subencargados, cuando por la funcionalidad o configuración concreta traten Datos del Cliente por cuenta de la Farmacia y sean necesarios para prestar, mantener, proteger o evolucionar el Servicio. MV impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA y seguirá respondiendo frente al Cliente de su cumplimiento.

La activación, desactivación o sustitución funcional entre proveedores ya identificados en la sección 8.1 no requiere una nueva aceptación del DPA, siempre que no se altere materialmente la naturaleza del encargo. MV mantendrá la relación actualizada de subencargados, con indicación de los que están activos, disponible para el Cliente en su web, en el Servicio o bajo solicitud.

Antes de que un proveedor identificado en la sección 8.1 pase a actuar efectivamente como subencargado, o de incorporar uno nuevo con acceso a Datos del Cliente, MV lo comunicará al Owner/Admin con al menos 15 días de antelación por email o aviso en el Servicio. Dentro de ese plazo, el Cliente podrá formular oposición razonada por motivos de protección de datos. Las partes intentarán una alternativa razonable y, si no existiera, el Cliente podrá limitar o finalizar la parte afectada del Servicio.

La mera conexión de un tercero por decisión directa del Cliente no convierte automáticamente a ese tercero en subencargado contratado por MV.

7. Transferencias internacionales

MV garantizará que los subencargados que impliquen transferencias internacionales cuenten con un mecanismo válido conforme al RGPD y, cuando proceda, medidas complementarias. La relación de subencargados indicará la ubicación y el mecanismo aplicable, y MV facilitará al Cliente copia de las garantías a petición.

8. Seguridad

Las medidas pueden incluir, según alcance:

  1. control de accesos y permisos por rol;
  2. segregación lógica de cuentas/tenants;
  3. autenticación y gestión de sesiones;
  4. protección de credenciales mediante hash/cifrado adecuado;
  5. cifrado en tránsito y controles de almacenamiento;
  6. infraestructura y recursos privados cuando corresponda;
  7. almacenamiento de archivos con controles de acceso y mecanismos temporales de acceso cuando proceda;
  8. monitorización, alertas y observabilidad;
  9. gestión de vulnerabilidades, dependencias y actualizaciones;
  10. copias de seguridad, restauración y continuidad;
  11. pruebas previas a producción y controles de despliegue;
  12. gestión de incidentes;
  13. confidencialidad y formación;
  14. evaluación contractual de subencargados.

La infraestructura principal de producción se aloja en AWS, región Irlanda.

9. Auditoría y evidencia de cumplimiento

A solicitud razonable del Cliente, MV facilitará información suficiente para demostrar el cumplimiento del artículo 28 RGPD, protegiendo la confidencialidad, seguridad, secretos empresariales y datos de otros clientes.

Las auditorías presenciales, cuando sean necesarias, estarán sujetas a preaviso razonable, confidencialidad, alcance proporcionado y ausencia de interferencia indebida.

10. Terminación, devolución y supresión

Tras la terminación:

  1. MV devolverá al Cliente, si este lo solicita, los datos que sean exportables mediante las funcionalidades disponibles o mediante un formato razonablemente accesible para MV.
  2. La devolución no incluye lógica interna, modelos, reglas, métricas agregadas, sistemas técnicos ni otros elementos que no constituyan Datos del Cliente, salvo acuerdo expreso. Los datos personales del Cliente que no sean técnica o razonablemente exportables se suprimirán conforme a este DPA.
  3. Una vez completada la devolución que proceda, o si el Cliente no la solicita, MV iniciará la supresión de los Datos del Cliente.
  4. El proceso técnico de supresión de sistemas activos y copias de seguridad se completará en un plazo máximo de 60 días desde la terminación, salvo que exista obligación legal de conservación o necesidad legítima de defensa ante reclamaciones.
  5. Los datos conservados por obligación legal quedarán limitados a esa finalidad y protegidos durante el periodo correspondiente.
  6. La obligación legal de conservar los registros de jornada corresponde al Cliente. MV le recordará durante el proceso de baja que debe solicitar su exportación. El Cliente podrá pedirla antes de la terminación o dentro de los 30 días siguientes, y MV la entregará en un formato electrónico de uso común. Transcurrido el plazo del punto 4, MV no los conservará, salvo acuerdo expreso de conservación por cuenta del Cliente.
  7. A petición del Cliente, MV emitirá un certificado de supresión.

11. Vigencia y cambios

Este DPA forma parte de la relación contractual. Los cambios materiales serán comunicados al Owner/Admin. La evolución técnica dentro del marco de proveedores previamente autorizados no obliga por sí sola a una nueva aceptación.

MEDIA FOR VALUE, S.L. · C.I.F. B10987485 · Zaragoza, España

Links

Pruébalo 20 días en tu farmacia, con todo el equipo.

Empezar la prueba