Política de Privacidad

Esto es lo que debes saber desde el inicio. Este resumen es solo por conveniencia; la Política completa prevalece.

• No vendemos tu información personal. Sí la "compartimos" para medición publicitaria, y puedes desactivarlo. El píxel publicitario de Meta (con el Conversions API Gateway de Meta) y el remarketing de Google Ads miden nuestra publicidad y ayudan a mostrar nuestros anuncios, en otros sitios web, a quienes visitaron la Plataforma. Bajo la ley de California, eso cuenta como "compartir" tu información personal. Está activo por defecto y puedes desactivarlo cuando quieras desde el enlace Tus opciones de privacidad del pie de página. Ver las Secciones 5.5, 8.2 y 9.
• Nombramos todas las tecnologías de terceros que ejecutamos, y controlas cada una. Google Tag Manager y el píxel publicitario de Meta miden nuestra publicidad; Vercel Analytics cuenta el tráfico de nuestras propias páginas; Contentsquare registra cómo recorres una página. Las tres primeras están activas por defecto y puedes desactivarlas. Contentsquare está desactivada salvo que tú la actives, porque es la más intrusiva de las cuatro. No carga nada más allá de lo estrictamente necesario si tu navegador envía una señal de Global Privacy Control, o si estás en el estado de Washington y aún no has decidido. No usamos tecnologías de huella digital del navegador. Ver la Sección 6 y nuestra Política de Cookies.
• Tus respuestas de salud, tus números de póliza y tus datos de pago no entran nunca en ninguna de ellas. Es un límite sobre lo que transmitimos, y se cumple en todas las páginas. No es una afirmación de que estas tecnologías estén ausentes de alguna parte de la Plataforma: cargan en todo el sitio. Ver las Secciones 4.5 y 6.2.
• Tu información de salud se maneja con cuidado. Cuando proporcionas información de salud para una solicitud, tus respuestas se cifran y se conservan solo brevemente mientras entregamos tu solicitud a la aseguradora. Después de que la aseguradora confirma la recepción, purgamos nuestra copia. Ningún personal de Epicare, incluidos el personal y los agentes, puede ver tus respuestas específicas del cuestionario de salud.
• Tienes derechos de privacidad. Incluidos, según dónde vivas, el derecho a acceder, corregir, eliminar, obtener una copia, excluirte de cierto procesamiento y limitar el uso de tu información personal. Consulta la Sección 8, que incluye el Aviso en el Momento de la Recopilación (Sección 8.2).
• Estamos implementando controles de HIPAA y preparándonos para una auditoría SOC 2. Monitoreamos continuamente nuestros controles de seguridad.

2.1 Información que proporcionas

Cuando usas la Plataforma, puedes proporcionar:

• Información de identidad: nombre, fecha de nacimiento, dirección e información de contacto.
• Información demográfica: edad, sexo asignado al nacer, estado civil y composición del hogar.
• Información geográfica: código postal, estado y mercado.
• Información de solicitud: información necesaria para las solicitudes de seguro, que para ciertos productos puede incluir preguntas relacionadas con la salud.
• Información de verificación de identidad: documentos y datos que proporcionas para la verificación de identidad, que pueden incluir un número de Seguro Social (SSN) o un Número de Identificación Personal del Contribuyente (ITIN).
• Información de beneficiarios: nombres y relaciones para las pólizas aplicables.
• Información del instrumento de pago: tokenizada a través de una bóveda de tokenización compatible con PCI. No almacenamos los datos completos de tu tarjeta de pago.
• Contenido de comunicaciones: mensajes que envías a través de nuestro soporte dentro de la app.
• Preferencias: preferencias de notificaciones, idioma, consentimientos de marketing y tus opciones de cookies y publicidad.

2.2 Información recopilada automáticamente

Cuando usas la Plataforma, recopilamos automáticamente:

• Información del dispositivo: tipo de dispositivo, sistema operativo y versión del navegador.
• Información de uso: páginas y funciones utilizadas y actividad general en la Plataforma.
• Información técnica: dirección IP y agente de usuario. Usamos tu dirección IP para seguridad y prevención de abusos. Mientras la medición publicitaria esté activa, tu dirección IP y agente de usuario también son manejados por las tecnologías descritas en la Sección 6: el píxel publicitario de Meta transmite tu dirección IP y agente de usuario a Meta. Esas tecnologías cargan en toda la Plataforma, no solo en las páginas públicas (Sección 6.2); lo que no entra nunca en ellas son las respuestas del cuestionario de salud, los números de póliza y los datos de pago (Sección 4.5).
• Cookies y tecnologías similares: usamos cookies propias junto con las tecnologías de terceros descritas en la Sección 6, según las opciones que elijas. Cargan en toda la Plataforma, no solo en las páginas públicas; lo que no entra nunca en ellas son tus respuestas del cuestionario de salud, tus números de póliza y tus datos de pago. Ver la Sección 6 y nuestra Política de Cookies para la tabla completa de cookies, sus emisores y sus duraciones.

2.3 Información de terceros

En algunos casos, recibimos información de:

• Aseguradoras: el estado de tus solicitudes y pólizas.
• Proveedores de verificación de identidad: los resultados de las verificaciones de identidad.
• Agencias de informes del consumidor: cuando corresponda bajo la Fair Credit Reporting Act (FCRA, Ley de Informes Crediticios Justos), en relación con la verificación de identidad o la suscripción de la aseguradora.
• Plataformas de publicidad y analítica: cuando llegaste desde un anuncio, podemos recibir identificadores de clic en anuncios (como los parámetros GCLID, gbraid o wbraid de Google, y el fbclid de Meta) que nos permiten a nosotros y a la plataforma atribuir un registro o una descarga de app a una campaña. Estos identificadores son seudónimos y se describen en la Sección 6 y en nuestra Política de Cookies.

2.4 Información sobre atribución de agentes

Si llegaste a la Plataforma a través del enlace de referido de un agente o fuiste referido por un agente, asociamos tu cuenta con ese agente para fines de servicio y atribución.

3.1 Para proporcionar la Plataforma

Usamos la información para crear y mantener tu cuenta, autenticarte, mostrar opciones de seguro relevantes, procesar solicitudes y enviarlas a las aseguradoras, administrar tus pólizas y tu Wallet, enviar comunicaciones transaccionales, brindar soporte y resolver disputas.

3.2 Para mejorar la Plataforma

Usamos información agregada y desidentificada para entender cómo se usan las funciones, identificar y corregir problemas, y desarrollar nuevas funciones. Parte de esa medición es propia y se queda dentro de nuestros sistemas; el resto pasa por Vercel Analytics y, si la has activado, por Contentsquare (Sección 6).

3.3 Para cumplir con obligaciones legales

Usamos información para cumplir con las regulaciones de seguros y financieras, mantener los registros requeridos, responder a consultas regulatorias, detectar y prevenir el fraude, y cumplir con los requisitos fiscales y de reporte. Donde ofrecemos productos relacionados con Medicare, seguimos los requisitos de marketing y privacidad aplicables de los Centers for Medicare & Medicaid Services (CMS, Centros de Servicios de Medicare y Medicaid).

3.4 Para marketing y medición de publicidad, con tu consentimiento

Si optas por participar, podemos usar información para enviarte comunicaciones promocionales sobre productos y ofertas y para mostrar contenido relevante dentro de la Plataforma. También medimos la efectividad de nuestros esfuerzos de publicidad y de búsqueda orgánica usando las tecnologías descritas en la Sección 6 — por ejemplo, si un anuncio condujo a un registro o a una descarga de app. Medimos resultados publicitarios a partir de visitas y pasos en la Plataforma, como ver planes, empezar una solicitud, crear una cuenta y descargar la app. La medición publicitaria está activa por defecto y puedes desactivarla cuando quieras desde el enlace Tus opciones de privacidad del pie de página; cuando la desactivas, dejamos de cargar el píxel y no enviamos eventos de conversión publicitaria atribuibles a ti. Los mensajes de texto de marketing requieren un consentimiento separado, explícito y conforme a la TCPA que nunca es condición de compra.

Seguimos prácticas estrictas para la información de salud recopilada durante las solicitudes de seguro.

4.1 Retención temporal

La información de salud que proporcionas durante una solicitud de seguro se cifra y se conserva solo durante el tiempo necesario para entregar la solicitud a la aseguradora, para reintentar una transmisión fallida, o para permitir la reenvío si la aseguradora solicita una corrección (lo cual requiere que la vuelvas a ingresar). Después de que la aseguradora confirma la recepción, purgamos nuestra copia. También purgamos al rechazarse, cancelarse o expirar la solicitud.

4.2 Cifrado

La información de salud se cifra en reposo mediante cifrado a nivel de aplicación, con claves gestionadas en nuestro sistema de gestión de claves, y se cifra en tránsito.

4.3 Restricciones de acceso

Ningún personal de Epicare, incluidos agentes, personal, soporte o gerencia, puede ver tus respuestas específicas del cuestionario de salud. Esta información fluye desde tu entrada hasta la aseguradora y no se expone a nuestra gente.

4.4 Recuperación y reingreso

Si una aseguradora solicita información adicional después de tu envío inicial, te lo notificaremos. Debes volver a ingresar tú mismo la información solicitada; no podemos recuperar tus respuestas originales.

4.5 Qué no ponemos nunca en una tecnología de publicidad o analítica

Nunca ponemos las respuestas del cuestionario de salud, los números de póliza ni los datos de pago en ninguna tecnología de analítica o publicidad. Ese límite es sobre el dato en sí, y se aplica en toda la Plataforma. La medición de conversiones publicitarias lee la estructura de una página —su URL y los identificadores de los elementos visibles— y no lee el nombre, las respuestas de salud ni nada de lo que escribes en un formulario.

Qué no afirmamos. No afirmamos que estas tecnologías estén confinadas a nuestras páginas públicas de marketing. Se cargan desde el layout raíz de la aplicación, lo que significa que están presentes en toda la Plataforma, incluidos la solicitud de seguro, el cuestionario médico, la verificación de identidad, el pago y tu Wallet. Una versión anterior de esta Política describía un límite técnicamente exigido —una content-security policy y una lista blanca de rutas— que las mantenía fuera de esas superficies. Esos mecanismos nunca se implementaron, y esa afirmación queda retirada. La protección en la que sí nos apoyamos es el límite de carga útil de arriba, junto con mantener la grabación de sesión desactivada por defecto (Sección 6.2).

4.6 Marco de HIPAA

Operamos bajo los principios de la Regla de Seguridad de HIPAA donde aplican a la información de salud que manejamos, y exigimos Acuerdos de Asociado Comercial (BAA, Business Associate Agreements) a los proveedores de servicios antes de que procesen información de salud en nuestro nombre (los canales cuyo BAA esté pendiente de firma operan en un modo restringido que les retiene la información de salud hasta que el acuerdo esté vigente). No tenemos BAA de HIPAA con Google, Meta, Contentsquare ni Vercel para las tecnologías descritas en la Sección 6, y no son nuestros asociados comerciales: reciben información de página y de eventos, no información de salud protegida, porque no ponemos las respuestas del cuestionario de salud en ellas (Sección 4.5). Eso se apoya en el límite de carga útil, no en que esas tecnologías estén ausentes de las páginas relacionadas con salud — una versión anterior de esta Política daba lo segundo como razón, y no era exacto.

5.1 Con las aseguradoras

Cuando solicitas una póliza, compartimos la información necesaria para obtener ese seguro con la aseguradora correspondiente. Las aseguradoras procesan tu información bajo sus propias prácticas de privacidad.

5.2 Con proveedores de servicios y receptores de publicidad/analítica

Usamos proveedores de servicios de terceros para operar la Plataforma. Están obligados por contratos que exigen confidencialidad y seguridad, y exigimos que todo proveedor que procese información de salud en nuestro nombre esté bajo un Acuerdo de Asociado Comercial antes de manejar esa información; cuando el acuerdo de un proveedor está pendiente de firma, operamos ese canal en un modo restringido que le retiene la información de salud hasta que el acuerdo esté vigente. Las categorías de proveedores de servicios incluyen:

• Infraestructura en la nube y alojamiento de bases de datos;
• Autenticación y gestión de sesiones;
• Entrega de correo electrónico, mensajes de texto y notificaciones push;
• Bóveda de tokenización compatible con PCI para instrumentos de pago;
• Verificación de identidad (incluidas, cuando corresponda, las agencias de informes del consumidor bajo FCRA);
• Gestión de relaciones con clientes y gestión de agencias;
• Monitoreo continuo de seguridad y cumplimiento;
• Mapas y validación de direcciones;
• Asistencia de inteligencia artificial, donde se ofrezca y sujeto a tu consentimiento.

Además, ejecutamos cuatro tecnologías de terceros en la Plataforma, que actúan como receptoras de los datos descritos en la Sección 6. Las nombramos aquí porque la transparencia sobre quién recibe tus datos lo requiere:

• Google LLC — Google Tag Manager, la capa de orquestación de etiquetas que carga y activa nuestras etiquetas publicitarias, y a través de ella Google Analytics 4 y el seguimiento de conversiones y las audiencias de remarketing de Google Ads (Google Ads usa las visitas a la Plataforma para que nuestros anuncios se muestren a esos visitantes en otros sitios, lo que también es «compartir», Sección 5.5). Los tres quedan sujetos a las mismas opciones y a los mismos límites descritos aquí;
• Meta Platforms, Inc. — el píxel publicitario de Meta, entregado a través del contenedor de Google Tag Manager, que transmite eventos, URLs de páginas, información de dispositivo/navegador, dirección IP y agente de usuario a Meta, y que mide resultados publicitarios en otros sitios web. El píxel está configurado con el Conversions API Gateway de Meta: envía además una copia de los mismos eventos a un servidor de pasarela (alojado en Google Cloud, con respaldo en Amazon Web Services), que los pasa a Meta desde el servidor sin añadir datos del cliente. El píxel, el Gateway y el remarketing de Google Ads son lo que hace aplicable la definición de «compartir» de California (Sección 5.5);
• Contentsquare — grabación de sesión: qué zonas de una página ves, pulsas y desplazas. Es la única tecnología que está desactivada salvo que tú la actives; y
• Vercel Inc. — Vercel Analytics, recuento agregado del tráfico a nuestras propias páginas.

Estos receptores reciben información de páginas y eventos, información de dispositivo/navegador, identificadores seudónimos y (en el caso de Meta) la dirección IP. No reciben respuestas del cuestionario de salud, números de póliza ni datos de pago (Sección 4.5). No enviamos eventos de conversión desde nuestros propios servidores; la única copia del lado del servidor es la del Gateway de Meta descrito arriba. Google Enhanced Conversions y Meta Advanced Matching son las únicas funciones que podrían enviar datos hasheados del cliente (un correo electrónico, teléfono o nombre hasheado), y están apagadas. Los datos hasheados no son anónimos —la plataforma receptora puede volver a identificarlos—, lo cual es una de las razones por las que las mantenemos apagadas; Meta además restringe ese tipo de emparejamiento para verticales regulados como los seguros.

No usamos ninguna Plataforma de Gestión de Consentimiento de terceros. El aviso de consentimiento y los controles de preferencias forman parte de nuestra propia aplicación. TikTok no es un receptor: una versión anterior de esta Política nombraba la TikTok Events API como receptor; esa integración no existe, y se ha eliminado en lugar de corregirse.

Las categorías anteriores describen los proveedores de servicios que usamos. Los proveedores individuales se mantienen en nuestro registro interno de subprocesadores; puedes solicitar información adicional sobre nuestros proveedores de servicios a través del contacto de privacidad de la Sección 17. Ver también la Sección 18.

5.3 Con agentes y personal de Epicare

Cuando corresponda, tu información es accesible para tu agente de registro (si tu cuenta está atribuida a un agente específico), para nuestro personal con licencia para operaciones de servicio, y para nuestro equipo de Soporte al Miembro para solicitudes de soporte. El acceso se rige por permisos basados en roles y se audita. Como se describe en la Sección 4, los agentes y el personal no pueden ver las respuestas del cuestionario de salud que envías durante las solicitudes.

5.4 Con el gobierno y reguladores

Podemos compartir información cuando lo requieran los reguladores de seguros estatales o federales, las fuerzas del orden u órdenes judiciales, las autoridades fiscales, u otras agencias gubernamentales con la debida autoridad legal.

5.5 No vendemos. Sí "compartimos" para medición publicitaria, y puedes desactivarlo

No vendemos tu información personal. No recibimos dinero ni otra contraprestación valiosa por ella.

Sí la "compartimos", en el sentido de publicidad conductual de contexto cruzado que define la California Consumer Privacy Act (Ley de Privacidad del Consumidor de California), en su forma enmendada por la California Privacy Rights Act (CCPA/CPRA), y leyes estatales comparables: el píxel publicitario de Meta (y su Conversions API Gateway) permite una medición publicitaria que funciona en otros sitios web, y Google Ads crea audiencias de remarketing a partir de las visitas a la Plataforma. Está activo por defecto, y puedes desactivarlo cuando quieras desde el enlace Tus opciones de privacidad del pie de página de nuestro sitio web, descrito en la Sección 9. También respetamos el Global Privacy Control como exclusión de la compartición para el navegador que la envía. Cuando te excluyes, las tecnologías publicitarias dejan de cargar en ese navegador.

Una versión anterior de esta Política afirmaba en cuatro lugares que no "compartimos" información personal mientras que, en la sección que describe la tecnología, afirmaba que sí. La negación era la mitad inexacta y se ha eliminado. Ver el Aviso en el Momento de la Recopilación en la Sección 8.2 y las Secciones 6 y 9.

5.6 Transferencias comerciales

Si participamos en una fusión, adquisición o venta de activos, tu información puede ser transferida. Proporcionaremos aviso de cualquier transferencia que afecte materialmente tus derechos de privacidad.

Esta sección describe nuestro uso de cookies y de tecnologías de publicidad y analítica. Nuestra Política de Cookies en eppigo.com/cookie-policy lleva la tabla completa de cookies/identificadores y prevalece ante cualquier conflicto sobre detalles de cookies.

6.1 Qué usamos

Estrictamente necesarias y funcionales. Gestión de sesión, autenticación, seguridad, prevención de fraude y recordar tu idioma y tu mercado. Son propias y cargan automáticamente, porque la Plataforma no puede operar sin ellas.

Medición de tráfico y de publicidad — activas por defecto, y puedes desactivarlas.

• Google Tag Manager — la capa de orquestación que carga y activa nuestras etiquetas publicitarias, entre ellas Google Analytics 4 y el seguimiento de conversiones y el remarketing de Google Ads. No establece cookies de rastreo propias, salvo cookies temporales que usa un administrador al previsualizar la configuración.
• El píxel publicitario de Meta, entregado a través de ese contenedor — mide cómo funciona nuestra publicidad, y lo hace en otros sitios web, lo que bajo la ley de California cuenta como "compartir" tu información personal (Sección 5.5). Establece las cookies propias _fbp y _fbc, y está configurado con el Conversions API Gateway de Meta, que envía a Meta desde un servidor una copia de sus eventos (Sección 5.2).
• Vercel Analytics — recuento agregado del tráfico a nuestras propias páginas.

Grabación de sesión — desactivada salvo que tú la actives.

• Contentsquare — registra cómo recorres una página: qué zonas ves, pulsas y desplazas. La tratamos distinto de las otras tres y la mantenemos desactivada por defecto, porque es la más intrusiva de las cuatro y porque grabar una sesión es el objeto de la jurisprudencia descrita en la Sección 8.5.

Dos situaciones anulan esos valores por defecto, y entonces no carga nada más allá de lo estrictamente necesario: tu navegador envía una señal reconocida de exclusión, como el Global Privacy Control, o estás en el estado de Washington, donde te pedimos tu decisión antes de cargar nada.

Medimos resultados publicitarios a partir de visitas y pasos en la Plataforma —por ejemplo, ver planes, empezar una solicitud, crear una cuenta y descargar la app—. Se miden en tu navegador; la única copia del lado del servidor es la que hace el Gateway de Meta de los eventos del píxel (Sección 5.2). Un evento de conversión no incluye tu información de salud, los detalles de tu póliza ni tu información de pago, y no se envía cuando has desactivado la medición publicitaria o has enviado una señal reconocida de exclusión.

6.2 Dónde se ejecutan estas tecnologías, y qué no entra nunca en ellas

Se ejecutan en toda la Plataforma. Estas tecnologías se cargan desde el layout raíz de la aplicación, así que están presentes tanto en páginas públicas como en páginas con sesión iniciada, incluidos la solicitud de seguro, el cuestionario médico, la verificación de identidad, el pago y tu Wallet.

Qué no entra nunca en ellas. Nunca ponemos las respuestas del cuestionario de salud, los números de póliza ni los datos de pago en ninguna tecnología de analítica o publicidad, y no usamos tecnologías de huella digital del navegador. Los disparadores de conversión leen la estructura de una página, no lo que escribes en ella.

Una versión anterior de esta Política decía que estas tecnologías nunca cargaban en superficies sensibles, y nombraba una content-security policy y una lista blanca de rutas como los controles que lo hacían cumplir. Esos controles no existen, y la afirmación queda retirada (Sección 4.5).

6.3 Tus opciones, y cómo se registran

La primera vez que visitas, un aviso te dice qué usamos y te deja decidir. Puedes aceptarlo todo, quedarte solo con lo esencial, o elegir categoría por categoría: estrictamente necesarias (siempre activas), analítica de tráfico, medición publicitaria y grabación de sesión. Las estrictamente necesarias no forman parte de esa elección, porque la Plataforma no puede operar sin ellas.

Puedes cambiar tu decisión cuando quieras, mucho después de esa primera visita, desde el enlace Tus opciones de privacidad del pie de página de todas las páginas, que lleva el icono oficial de exclusión del estado de California. Registramos tu decisión junto con la fecha en que la tomaste, para poder evidenciarla.

Global Privacy Control.Respetamos las señales de exclusión basadas en navegador que reconocemos, incluido el Global Privacy Control. Cuando recibimos una, no cargamos ninguna de las tecnologías de la Sección 6.1, no enviamos eventos de conversión, y tratamos la señal como una exclusión del marketing y de la "compartición" de tu información personal para publicidad conductual de contexto cruzado.

Estado de Washington. Si estás en Washington —o si no podemos determinar dónde estás—, el aviso aparece antes de que carguemos nada más allá de lo estrictamente necesario, y esperamos tu respuesta. La razón está en la Sección 8.5.

Una decisión de rechazo o una señal de Global Privacy Control impide que las tecnologías lleguen a cargar.

6.4 Las funciones de datos hasheados están apagadas

Ciertas funciones están diseñadas para enviar datos hasheados del cliente (por ejemplo, un correo electrónico, teléfono o nombre transformado con SHA-256) a Google o Meta para mejorar la calidad del emparejamiento: Google Enhanced Conversions y Meta Advanced Matching. Estas funciones están apagadas, y Eppigo no las habilita. Los datos hasheados no son anónimos —la plataforma receptora puede volver a identificarlos—, lo cual es una de las razones por las que las mantenemos apagadas; Meta además restringe ese tipo de emparejamiento para verticales regulados como los seguros. Encender cualquiera de ellas exigiría una nueva evaluación legal y, para Meta, confirmación escrita de que la función está permitida para este vertical.

6.5 Grabación de sesión y huella digital (fingerprinting)

Sí usamos una tecnología de grabación de sesión: Contentsquare, descrita en la Sección 6.1. Está desactivada salvo que tú la actives. Una versión anterior de esta Política afirmaba que no usábamos ninguna herramienta de session-replay, mapas de calor ni fingerprinting en ninguna superficie; la mitad relativa a la grabación de sesión era falsa desde el 2026-08-19, cuando Contentsquare pasó a ser dependencia de producción, y queda corregida aquí.

Sobre fingerprinting en concreto: no usamos tecnologías de huella digital del navegador, y ninguna librería dedicada a ello forma parte de la Plataforma.

Para la tabla completa de cookies/identificadores, los topes de los navegadores y el detalle de qué recibe cada receptor, ver nuestra Política de Cookies en eppigo.com/cookie-policy.

7.1 Permisos

Nuestra app móvil solicita permisos solo cuando son necesarios:

• Notificaciones push: para enviarte alertas sobre tus solicitudes, pólizas y cuenta.
• Cámara y biblioteca de fotos: cuando eliges subir un documento.
• Biometría del dispositivo (Face ID, Touch ID o huella dactilar): para iniciar sesión. Los datos biométricos son manejados por el sistema operativo de tu dispositivo; nunca recibimos ni almacenamos tu plantilla biométrica, y usamos únicamente interfaces nativas del sistema operativo sin ningún software biométrico de terceros.

No solicitamos acceso a tu ubicación, contactos, micrófono ni calendario.

7.2 Identificadores publicitarios y medición en las tiendas de apps

La app móvil no usa cookies en el sentido web tradicional, y las tecnologías de publicidad y analítica de terceros se mantienen fuera de las superficies sensibles de la app (solicitud, cuestionario médico, verificación de identidad, pago y Wallet).

Las instalaciones de las apps de Eppigo impulsadas por publicidad se miden mediante software dentro de las apps junto con los marcos de atribución agregados y que preservan la privacidad de las tiendas de apps — Apple SKAdNetwork y AdAttributionKit en iOS, el Google Play Install Referrer en Android, y los métodos de medición de apps de Meta (Aggregated Event Measurement en iOS, Meta Install Referrer en Android) y de Google (métodos de install-referrer en Android). Estos marcos miden el rendimiento de las campañas de forma agregada, no al individuo que descargó la app, y no usan el Pixel ni la etiqueta de Google del sitio web.

• En dispositivos Apple, las apps deben pedir permiso antes de acceder al identificador publicitario del dispositivo (IDFA) bajo App Tracking Transparency; estás excluido de forma predeterminada a menos que otorgues permiso.
• En Android, el identificador publicitario (GAID) puede restablecerse o eliminarse en la configuración de tu dispositivo.

Nuestras divulgaciones aquí son consistentes con la información de privacidad que publicamos en las tiendas de apps (las Etiquetas de Privacidad "Nutrition" de Apple y el formulario de Seguridad de Datos de Google Play).

8.1 Derechos para todos los usuarios

Independientemente de dónde vivas, puedes acceder y actualizar la información de tu cuenta a través de tu configuración, solicitar la eliminación de tu cuenta, excluirte de las comunicaciones de marketing, administrar tus opciones de cookies y publicidad (Sección 6 y el enlace Tus opciones de privacidad del pie de página), y retirar consentimientos (ten en cuenta que retirar el consentimiento de comunicaciones electrónicas (ESIGN) suspenderá tu cuenta hasta que vuelvas a aceptar la entrega electrónica — reversible y de autoservicio; ver los Términos del Servicio).

8.2 Aviso en el Momento de la Recopilación (Notice at Collection)

Esta Sección 8.2 es nuestro Aviso en el Momento de la Recopilación bajo CCPA/CPRA. Reúne, en un solo lugar, las categorías de información personal que recopilamos, los fines para los que usamos cada categoría, si cada categoría se "vende" o se "comparte", y las opciones y derechos de privacidad que tienes — incluidos el derecho a excluirte de la "compartición" desde Tus opciones de privacidad y a "Limitar el Uso de Mi Información Personal Sensible" ("Limit the Use of My Sensitive Personal Information"). Está redactado para servir también a residentes de otros estados con leyes de privacidad integrales (incluidos Virginia, Colorado, Connecticut, Texas, Utah y otros a medida que entren en vigor; ver la Sección 8.4) y a estados con leyes de datos de salud del consumidor (ver la Sección 8.5). Léelo junto con la Política de Cookies y con las Secciones 5, 6, 11 y 18.

Lo más importante primero. No vendemos tu información personal. Sí la "compartimos": el píxel publicitario de Meta (con su Conversions API Gateway) y el remarketing de Google Ads miden nuestra publicidad y muestran nuestros anuncios en otros sitios web, y eso es lo que CCPA/CPRA llama "compartir". Está activo por defecto y puedes desactivarlo desde Tus opciones de privacidad, en el pie de página. Las tecnologías descritas en la Sección 6 se ejecutan en toda la Plataforma, no solo en las páginas públicas. Lo que no entra nunca en ellas es la carga útil: las respuestas del cuestionario de salud, los números de póliza y los datos de pago (Sección 4.5). Ninguna información personal sensible se vende ni se comparte con fines publicitarios.

8.2.1 Categorías de información personal: fines y venta/compartir

La tabla a continuación enumera las categorías de información personal (usando las categorías legales de CCPA/CPRA) que recopilamos, los fines para los que usamos cada categoría, y si cada categoría se "vende" o se "comparte". "Compartir" significa divulgación para publicidad conductual entre contextos; "venta" significa divulgación a cambio de una contraprestación monetaria o de otro valor.

Las únicas categorías que se "comparten" son los identificadores en línea seudónimos y la actividad de internet/red producidos por las tecnologías publicitarias descritas en la Sección 6 — hasta que te excluyas. Ninguna información personal sensible, y ninguna respuesta del cuestionario de salud, número de póliza o dato de pago, se vende ni se comparte jamás.

Fuentes de información personal. Recopilamos información personal directamente de ti (por ejemplo, cuando te registras, completas un cuestionario o verificas tu identidad); automáticamente desde tu dispositivo (cookies y tecnologías similares, según las opciones de la Sección 6); y de proveedores de servicios y subprocesadores que nos ayudan a operar la Plataforma (ver las Secciones 2.3, 5.2 y 18). Las cookies e identificadores propios específicos, sus emisores y sus duraciones se describen en la Sección 6 y nuestra Política de Cookies.

El píxel publicitario es "compartir", y está activo por defecto. Como se describe en la Sección 5.5, el píxel publicitario de Meta y el remarketing de Google Ads funcionan en otros sitios web, lo que es "compartir" bajo CCPA/CPRA. Algunas leyes estatales usan definiciones más amplias; desactivar la medición publicitaria en Tus opciones de privacidad te excluye de todo ello. Lo afirmamos en positivo, ofrecemos una exclusión funcional (Sección 9) y respetamos el Global Privacy Control. Los disparadores de conversión leen únicamente la estructura de una página pública (su URL y los identificadores de los elementos visibles); no leen el nombre, las respuestas de salud, ni ningún otro contenido que escribas en un formulario. Las funciones de datos con hash (Google Enhanced Conversions y Meta Advanced Matching) están DESACTIVADAS y no habilitadas (Sección 6.4), y la única copia de eventos del lado del servidor es la del Gateway de Meta (Sección 5.2).

Cuánto tiempo conservamos cada categoría. La retención por categoría se rige por la Sección 11 (Retención) y por nuestra política interna de retención de datos, que prevalece en caso de conflicto. No repetimos aquí los períodos de retención; consulta la Sección 11.

8.2.2 Información personal sensible y el derecho a limitar su uso

Las categorías de información personal sensible que recopilamos son: número de Seguro Social / ITIN; información de salud y respuestas del cuestionario médico (PHI); información financiera y de pago; y credenciales de inicio de sesión de la cuenta. No recopilamos geolocalización precisa (usamos tu código ZIP y una ubicación aproximada derivada de la IP únicamente).

Bajo CCPA/CPRA puedes indicar a una empresa que limite el uso y la divulgación de tu información personal sensible ("Limit the Use of My Sensitive Personal Information") a lo necesario para prestar los servicios que solicitaste. Eppigo ya limita la información personal sensible a la prestación del servicio únicamente — soporte de suscripción/inscripción, verificación de identidad, pago, seguridad de la cuenta y cumplimiento legal. No usamos ni divulgamos información personal sensible para inferir características, y nunca la usamos para publicidad, publicidad conductual entre contextos ni elaboración de perfiles. Nunca se vende ni se comparte, y nunca se transmite a Google, Meta ni a ninguna empresa de publicidad o analítica (ver las Secciones 4.5 y 6.2).

Debido a que nuestro uso de información personal sensible ya está confinado a fines permitidos de prestación del servicio, el derecho de "Limitar" no cambia cómo la manejamos. Aun así puedes enviar una solicitud de limitación a través de los canales de la Sección 8.2.4, y confirmaremos la postura de uso confinado y respetaremos cualquier limitación adicional que la ley disponga.

8.2.3 Tus opciones de privacidad — exclusión de la "compartición", GPC y plazo de servicio

Tienes derecho a excluirte de la "venta" y el "compartir" de tu información personal para publicidad conductual entre contextos. No vendemos; sí compartimos para medición publicitaria, y aquí es donde lo detienes. Puedes ejercerlo de cualquiera de estas formas:

• El enlace «Tus opciones de privacidad» en el pie de página de nuestro sitio web, que lleva el icono oficial de exclusión del estado de California. Excluirte detiene la medición publicitaria y los flujos de eventos asociados.
• Los controles por categoría de ese mismo panel — analítica de tráfico, medición publicitaria y grabación de sesión — que puedes cambiar en cualquier momento.
• Global Privacy Control (GPC). Respetamos las señales de preferencia de exclusión de navegador reconocidas, incluido el Global Privacy Control, como una exclusión de la compartición para el navegador que envía la señal, y esa señal suprime todas las tecnologías de la Sección 6.1 en tiempo real, no solo las publicitarias.

Cómo funciona la exclusión y nuestro plazo de servicio. Cuando te excluyes, dejamos de cargar en tu navegador las tecnologías de la Sección 6. Hacemos efectivas las exclusiones, y respetamos las señales de GPC, tan pronto como sea factible y a más tardar en 15 días hábiles desde su recepción. Como estas señales son específicas del navegador y del dispositivo, es posible que debas renovar tu elección en cada navegador o dispositivo, o si borras las cookies. No te exigimos crear una cuenta para excluirte, y no te cobramos ni degradamos tu servicio por hacerlo.

8.2.4 Cómo enviar una solicitud: verificación, agente autorizado, apelación, no discriminación y plazos

Cómo enviar una solicitud. Confirmamos la recepción de tu solicitud en un plazo de 10 días hábiles, y en ese momento te decimos cómo la vamos a tramitar y cuándo esperar una respuesta de fondo. Usa el enlace Tus opciones de privacidad del pie de página para solicitudes de exclusión y limitación, o contáctanos usando la Sección 17. Confirmaremos la recepción y responderemos dentro del plazo que exija la ley de tu estado (para California, generalmente dentro de 45 días, extendible una vez por 45 días adicionales cuando sea razonablemente necesario, con aviso dentro del período inicial).

Verificación de identidad. Para proteger tu información, verificamos tu identidad antes de atender solicitudes de acceso, eliminación, corrección o portabilidad, generalmente confirmando información ya asociada a tu cuenta. Podemos solicitar información adicional si no podemos verificarte con certeza razonable; las solicitudes de exclusión y limitación no requieren verificación.

Agentes autorizados. Puedes usar un agente autorizado para enviar una solicitud en tu nombre. Exigimos: (a) tu permiso firmado y por escrito nombrando al agente (o un poder válido bajo la ley estatal aplicable); (b) para solicitudes de acceso, eliminación, corrección o portabilidad, la verificación de tu propia identidad directamente con nosotros; y (c) cuando esté permitido, la confirmación directa contigo de que autorizaste la solicitud. Podemos denegar la solicitud de un agente que no aporte esta prueba.

Apelación. Donde tu estado lo disponga, puedes apelar la denegación de una solicitud; responderemos dentro del plazo que exija la ley de tu estado y, si denegamos la apelación, te diremos cómo contactar al Fiscal General de tu estado.

No discriminación / no represalias. No te discriminaremos ni tomaremos represalias por ejercer cualquier derecho de privacidad — no te negaremos la Plataforma, no te cobraremos un precio diferente, ni te proporcionaremos un nivel o calidad de servicio diferente porque ejerciste un derecho. Eppigo es 100% gratis para los consumidores; los precios son idénticos a lo que las aseguradoras ofrecen directamente, y ejercer un derecho de privacidad no cambia eso.

Retención y subprocesadores. Conservamos cada categoría de información personal solo durante el tiempo necesario para los fines descritos en esta Política, o según lo exija la ley, y luego la eliminamos o desidentificamos. La retención por categoría se describe en la Sección 11 y se rige por nuestra política interna de retención de datos. Las categorías de proveedores de servicios y los receptores de publicidad/analítica nombrados (Google, Meta, Contentsquare y Vercel) se describen en las Secciones 5.2 y 18.

8.3 Derechos bajo la ley de California (CCPA/CPRA)

Si eres residente de California, tienes derechos adicionales bajo la California Consumer Privacy Act (Ley de Privacidad del Consumidor de California), en su forma enmendada por la California Privacy Rights Act (Ley de Derechos de Privacidad de California), incluidos el derecho a saber qué información personal recopilamos y cómo la usamos y divulgamos; a acceder y obtener una copia de tu información personal; a corregir información personal inexacta; a solicitar la eliminación; a excluirte de la venta o "compartir" de información personal (no vendemos; puedes excluirte de la compartición cuando quieras desde Tus opciones de privacidad, en el pie de página); a limitar el uso de información personal sensible; y a no ser discriminado por ejercer tus derechos. Como se describe en las Secciones 5.5 y 8.2, el píxel publicitario de Meta constituye "compartir"; puedes excluirte a través del enlace Tus opciones de privacidad de nuestro pie de página y a través del Global Privacy Control.

Para ejercer estos derechos, envía una solicitud a través de la configuración de tu cuenta o contáctanos usando los detalles de la Sección 17; la mecánica de verificación, agente autorizado, apelación, no discriminación y plazos se describe en la Sección 8.2.4. Verificaremos tu identidad antes de cumplir la solicitud y responderemos dentro de los plazos requeridos por la ley aplicable (generalmente dentro de 45 días, con una prórroga permitida para solicitudes complejas). Puedes usar un agente autorizado, sujeto a los requisitos de verificación.

8.4 Derechos bajo otras leyes estatales

Varios estados han promulgado leyes de privacidad integrales (incluidos, entre otros, Virginia, Colorado, Connecticut, Texas y Utah). Cuando corresponda, respetamos los derechos que esas leyes otorgan, que generalmente incluyen los derechos a acceder, corregir, eliminar, obtener una copia y excluirse de cierto procesamiento de tu información personal — incluida la exclusión de la publicidad dirigida y de la venta de datos personales. Para ejercer estos derechos, usa los métodos descritos en esta Política, incluidos el enlace Tus opciones de privacidad de nuestro pie de página y nuestro respeto del Global Privacy Control.

8.5 Leyes de datos de salud del consumidor, y por qué Washington es distinto

Ciertos estados han promulgado leyes específicas para los datos de salud del consumidor, incluidas la My Health My Data Act de Washington (MHMDA), la SB 370 de Nevada, y disposiciones de la ley de Connecticut. La información de salud que manejamos para seguros se procesa bajo controles alineados con HIPAA y, como agencia de seguros licenciada, bajo la Gramm-Leach-Bliley Act (GLBA); la información regulada por HIPAA o GLBA está exenta de esas leyes de datos de salud del consumidor.

No nos apoyamos solo en esa exención. Una versión anterior de esta Política la respaldaba con un segundo argumento: que ninguna superficie relacionada con salud estaba expuesta a tecnología de publicidad o analítica. No era exacto: las tecnologías cargan en toda la Plataforma (Secciones 4.5 y 6.2). Hemos retirado esa pata en lugar de replantearla.

El estado de Washington recibe por tanto un trato distinto al del resto de Estados Unidos. La My Health My Data Act exige consentimiento afirmativo antes de recopilar datos de salud del consumidor; su definición de datos de salud del consumidor alcanza a quien está buscando cobertura de salud; y lleva un derecho privado de acción por la vía de la Washington Consumer Protection Act, lo que significa que puede demandar cualquier consumidor, no solo el fiscal general. Si estás en Washington, te pedimos tu decisión antes de cargar nada más allá de lo estrictamente necesario, y no cargamos nada hasta que respondas (Sección 6.3).

En el resto de Estados Unidos el modelo es de exclusión: la medición de tráfico y de publicidad están activas por defecto y puedes desactivarlas, y la grabación de sesión permanece desactivada salvo que la actives (Sección 6.1). La grabación de sesión se singulariza porque grabar la sesión de un visitante antes de mostrarle un aviso de privacidad es el supuesto de hecho de Javier v. Assurance IQ (9.º Circuito, 2022) —donde la demandada era ella misma una agencia de seguros— y es objeto de un cuerpo de litigación amplio y creciente bajo la California Invasion of Privacy Act y sus análogos estatales.

No vendemos datos de salud del consumidor, no los usamos para publicidad, y nunca ponemos las respuestas del cuestionario de salud en ninguna tecnología de publicidad o analítica.

Hasta dónde alcanzan de verdad las exenciones de HIPAA y GLBA. La exención de Washington está escrita a nivel del dato, no de la entidad (RCW 19.373.100): exime la información que es información de salud protegida bajo HIPAA, y la información personal regulada por GLBA. No exime a una empresa por ser agencia de seguros con licencia. Así que la exención cubre la información de tu solicitud y de tu cuestionario médico, y no cubre la información de navegación y publicidad de quien está buscando cobertura de salud en nuestro sitio, que no es información de salud protegida de HIPAA ni información regulada por GLBA. Para esa información, la ley se nos aplica por completo.

Lo que se sigue de ahí, dicho claro. La RCW 19.373.020 exige una Política de Privacidad de Datos de Salud del Consumidor separada, con su propio enlace prominente en la página de inicio. Una versión anterior de esta Política concluía que las protecciones que estas leyes exigen quedaban cubiertas dentro de este documento; esa conclusión era más ancha de lo que la exención permite, y queda retirada. Esa política independiente es nuestra Política de Privacidad de Datos de Salud del Consumidor, que hace las divulgaciones que exige la RCW 19.373.020(1)(a) y describe los derechos de la RCW 19.373.040 y cómo usarlos. Se publica con su propio enlace prominente, distinto del enlace a esta Política. El gate de Washington descrito en la Sección 6.3 se aplica además, así que a un visitante de Washington no le carga nada más allá de lo estrictamente necesario hasta que decide.

Esta posición, y el trato de Washington, se adoptaron sin revisión de abogado (ver el bloque de estado al inicio de este documento).

8.6 Cómo manejamos la eliminación y las copias de tus datos

Cuando solicitas la eliminación, respetamos las solicitudes verificadas dentro del tiempo requerido por la ley aplicable, y eliminamos la información identificable de nuestros sistemas activos, sujeto a la información que estamos obligados o autorizados a conservar (como registros de seguros, financieros, de consentimiento y de cumplimiento). La información puede permanecer en respaldos seguros durante un período limitado hasta que esos respaldos se purguen automáticamente. Cuando solicitas una copia de tu información personal, la proporcionamos, cuando la ley lo requiere, en un formato portátil dentro del plazo que la ley exige. Las respuestas del cuestionario de salud no se incluyen, porque no las conservamos después de la entrega a la aseguradora (ver la Sección 4).

8.7 HIPAA

Cuando HIPAA aplica, tienes derechos bajo la Regla de Privacidad de HIPAA para acceder a la información de salud protegida en poder de entidades cubiertas, que típicamente es la aseguradora y no Epicare. Para la información de salud en poder de una aseguradora, contacta directamente a esa aseguradora.

No vendemos tu información personal.Sí la "compartimos" para medición publicitaria, como se describe en la Sección 5.5: el píxel publicitario de Meta y el remarketing de Google Ads miden y dirigen nuestra publicidad en otros sitios web, y eso, bajo CCPA/CPRA y leyes estatales comparables, es "compartir". Algunas leyes estatales usan definiciones más amplias; desactivar la medición publicitaria en Tus opciones de privacidad te excluye de todo ello. Está activo por defecto, y puedes excluirte cuando quieras:

• Un enlace «Tus opciones de privacidad» está disponible en el pie de página de todas las páginas, con el icono oficial de exclusión del estado de California;
• Ese panel te permite activar o desactivar cada categoría —analítica de tráfico, medición publicitaria y grabación de sesión— en cualquier momento, incluso mucho después de tu primera visita; y
• Respetamos el Global Privacy Control (GPC) como una exclusión de la compartición para el navegador que la envía, y una señal de GPC suprime todas las tecnologías de la Sección 6.1, no solo las publicitarias.

Cuando te excluyes a través de cualquiera de estos métodos, dejamos de cargar las tecnologías asociadas en ese navegador. Registramos tu decisión junto con la fecha en que la tomaste. Esta preferencia se respeta en toda la Plataforma dentro del tiempo requerido por la ley aplicable: hacemos efectivas las exclusiones y respetamos las señales de GPC tan pronto como sea factible y a más tardar en 15 días hábiles desde su recepción. Como estas señales son específicas del navegador y del dispositivo, es posible que debas renovar tu elección en cada navegador o dispositivo, o si borras las cookies; no te exigimos crear una cuenta para excluirte.

Si estás en el estado de Washington, no carga nada más allá de lo estrictamente necesario hasta que hayas tomado esa decisión (Secciones 6.3 y 8.5).

Para la mecánica completa de exclusión, verificación, agente autorizado, apelación, no discriminación y plazos, ver la Sección 8.2.

La Plataforma no está destinada a personas menores de 18 años, y no recopilamos a sabiendas información personal de menores de 18 años. Los menores pueden estar cubiertos como dependientes en una póliza en poder de un adulto, pero no pueden crear sus propias cuentas. Si nos enteramos de que hemos recopilado inadvertidamente información personal de un menor de 18 años, la eliminaremos con prontitud. Cuando un dependiente llega a la mayoría de edad, puede crear su propia cuenta y solicitar que su información se asocie con ella, sujeto a verificación.

Conservamos la información personal solo durante el tiempo necesario para los fines descritos en esta Política o según lo requiera la ley. En general:

• La información de cuenta y perfil se conserva mientras tu cuenta esté activa y durante un período limitado después.
• Los registros de seguros y pólizas, y los registros que estamos obligados a mantener como agencia con licencia, se conservan durante el período requerido por las leyes aplicables de mantenimiento de registros de seguros y financieros, comúnmente hasta siete años.
• Las respuestas del cuestionario de salud se conservan solo temporalmente y cifradas, y se purgan después de que la aseguradora confirma la recepción o la solicitud finaliza (ver la Sección 4).
• Los registros de consentimiento y firma electrónica, incluidas tus opciones de cookies y publicidad y las señales del Global Privacy Control, se conservan durante el tiempo que sea necesario para evidenciarlos.
• Los identificadores de cookies y publicidad persisten durante las duraciones mostradas en nuestra Política de Cookies (sujeto a los límites del navegador), y los datos detallados de Google Analytics 4 se conservan por no más de 14 meses.
• Los datos de marketing se conservan hasta que te excluyes y durante un período corto después.

Después de que eliminas tu cuenta, eliminamos la información identificable de nuestros sistemas activos tras un breve período de gracia; la información puede permanecer en respaldos seguros durante un tiempo limitado hasta que esos respaldos se purguen automáticamente. Los períodos de retención específicos se mantienen en nuestra política interna de retención de datos y pueden cambiar a medida que cambien nuestras obligaciones legales.

Usamos salvaguardas administrativas, técnicas y físicas para proteger tu información, incluidos el cifrado en tránsito y en reposo (con cifrado a nivel de aplicación para campos sensibles), controles de acceso a nivel de fila, principios de privilegio mínimo, registro de auditoría del acceso administrativo, gestión de vulnerabilidades, monitoreo continuo de seguridad (nos estamos preparando para una auditoría SOC 2 e implementando controles de HIPAA), y autenticación multifactor obligatoria para las cuentas del personal. Una versión anterior de esta sección también enumeraba una content-security policy y una lista blanca de rutas como controles que hacían cumplir un límite de tecnología publicitaria; no están implementados y esa afirmación queda retirada (Sección 4.5).

Si crees que has encontrado una vulnerabilidad de seguridad, contáctanos en la dirección de la Sección 17. En caso de un incidente de seguridad que afecte tu información, te notificaremos a ti y a los reguladores aplicables según lo requiera la ley.

Ningún método de transmisión o almacenamiento es completamente seguro, y no podemos garantizar una seguridad absoluta.

Las comunicaciones sobre tu cuenta, solicitudes y pólizas son operativamente necesarias y no se pueden excluir mientras mantengas una cuenta activa. Las comunicaciones de marketing requieren tu consentimiento (opt-in), y los mensajes de texto de marketing requieren un consentimiento separado, explícito y conforme a la TCPA. Puedes excluirte del marketing en cualquier momento a través del enlace para cancelar la suscripción en los correos electrónicos de marketing, respondiendo STOP a los mensajes de texto de marketing, o en tu configuración.

Cuando ofrecemos un asistente de IA dentro de la Plataforma y eliges usarlo, tus mensajes y las respuestas del asistente son procesados por un proveedor de servicios de IA bajo un Acuerdo de Asociado Comercial cuando puede haber información de salud involucrada. Conservamos el contenido de las conversaciones durante un período limitado y conservamos los metadatos de las conversaciones durante un período más largo para analítica, tras lo cual se eliminan los identificadores. No usamos tus conversaciones individuales para entrenar modelos de IA de terceros, y puedes eliminar una conversación en cualquier momento. Las funciones de IA pueden no estar disponibles en todas las experiencias o en todo momento.

La Plataforma está destinada a usarse en los Estados Unidos — los 50 estados y el Distrito de Columbia. La información recopilada a través de la Plataforma se procesa y almacena en los Estados Unidos. Los receptores de publicidad y analítica descritos en la Sección 6 —Google, Meta, Contentsquare y Vercel— procesan datos en los Estados Unidos y en su propia infraestructura multirregional. Si accedes a la Plataforma desde fuera de los Estados Unidos, entiendes que tu información será transferida y procesada en los Estados Unidos y estará sujeta a la ley de los Estados Unidos.

Podemos actualizar esta Política de Privacidad de vez en cuando. Cuando hacemos cambios materiales, actualizaremos la fecha de "Última Actualización", fijaremos una nueva Fecha de Entrada en Vigor, te notificaremos por correo electrónico, aviso dentro de la app, o ambos, y donde el cambio afecte materialmente tus derechos, solicitaremos la reaceptación. Los cambios menores pueden hacerse sin reaceptación y se reflejarán en nuestro registro de cambios.

Para preguntas, solicitudes o inquietudes de privacidad:

Para los residentes de California que ejercen los derechos de CCPA/CPRA, ver la Sección 8 (incluido el Aviso en el Momento de la Recopilación de la Sección 8.2) para los procedimientos específicos. Respondemos a las consultas de privacidad dentro de los plazos requeridos por la ley aplicable.

Las categorías de proveedores de servicios que usamos, y las categorías de datos que procesan, se describen en la Sección 5.2. Debido a que la transparencia lo requiere, también nombramos a Google LLC (Google Tag Manager, y a través de él Google Analytics 4 y el seguimiento de conversiones y el remarketing de Google Ads), Meta Platforms, Inc. (el píxel publicitario de Meta, entregado a través de ese contenedor, y el Conversions API Gateway de Meta), Contentsquare (grabación de sesión, desactivada salvo que tú la actives) y Vercel Inc. (Vercel Analytics) como receptores de los datos descritos en la Sección 6. No enviamos eventos de conversión desde nuestros propios servidores; la única copia del lado del servidor es la del Gateway de Meta (Sección 5.2). Las funciones de datos hasheados (Google Enhanced Conversions y Meta Advanced Matching) están apagadas, de modo que ningún correo electrónico, teléfono o nombre hasheado —ni ninguna respuesta del cuestionario de salud, número de póliza o dato de pago— se transmite a ninguno de ellos (ver las Secciones 4.5 y 6.4).

Eliminados como receptores: la TikTok Events API y un proveedor externo de Plataforma de Gestión de Consentimiento se nombraban en versiones anteriores de esta Política. Ninguno existe: no hay integración de TikTok, y el aviso de consentimiento forma parte de nuestra propia aplicación.

Los proveedores individuales de PHI y PII se mantienen en nuestro registro interno de subprocesadores; el proveedor de la bóveda de tokenización compatible con PCI se describe solo por función. Puedes solicitar información adicional sobre nuestros proveedores de servicios a través del contacto de privacidad de la Sección 17. Proporcionamos aviso de cambios materiales según lo requiera la ley aplicable.

Un registro de cambios completo está disponible bajo solicitud.