Política de privacidad

Esto es lo que debe saber de entrada. Este resumen es solo por conveniencia; prevalece la Política completa.

• No vendemos su información personal. Sí la "compartimos" para medición publicitaria: el píxel de Meta mide resultados en otros sitios web, y eso es lo que la ley de California llama "compartir". Está activo por defecto y puede desactivarlo cuando quiera desde Sus opciones de privacidad, en el pie de página.
• Nombramos todas las tecnologías de terceros que utilizamos, y usted controla cada una. Las cookies estrictamente necesarias para operar la Plataforma se cargan automáticamente, y también Google Tag Manager, el píxel publicitario de Meta y Vercel Analytics — puede desactivarlos cuando quiera desde «Sus opciones de privacidad» en el pie. Contentsquare, que registra cómo recorre usted una página, permanece desactivado salvo que usted lo active. No se carga nada más allá de lo estrictamente necesario si su navegador envía una señal de Control Global de Privacidad, o si usted está en el estado de Washington y aún no ha elegido. No utilizamos tecnologías de huella digital del navegador. Consulte la Sección 6 y nuestra Política de cookies.
• Su información de salud se trata con cuidado. Cuando proporciona información de salud para una solicitud, sus respuestas se cifran y se conservan solo brevemente mientras entregamos su solicitud a la aseguradora. Después de que la aseguradora confirme la recepción, eliminamos nuestra copia. Ningún personal de Epicare, incluidos empleados y agentes, puede ver sus respuestas específicas del cuestionario de salud.
• Usted tiene derechos de privacidad. Según donde viva, incluidos el derecho a acceder, corregir, eliminar, obtener una copia y limitar el uso de su información personal.
• Estamos implementando controles HIPAA y preparándonos para una auditoría SOC 2. Supervisamos continuamente nuestros controles de seguridad.

2.1 Información que usted proporciona

Cuando utiliza la Plataforma, puede proporcionar:

• Información de identidad: nombre, fecha de nacimiento, dirección e información de contacto.
• Información demográfica: edad, sexo asignado al nacer, estado civil y composición del hogar.
• Información geográfica: código postal, estado y mercado.
• Información de solicitud: información necesaria para solicitudes de seguro, que para ciertos productos puede incluir preguntas relacionadas con la salud.
• Información de verificación de identidad: documentos y datos que proporciona para verificar su identidad.
• Información de beneficiarios: nombres y relaciones para pólizas aplicables.
• Información del instrumento de pago: tokenizada mediante una bóveda de tokenización compatible con PCI. No almacenamos los datos completos de su tarjeta de pago.
• Contenido de comunicaciones: mensajes que envía a través de nuestro soporte en la aplicación.
• Preferencias: preferencias de notificación, idioma y consentimientos de marketing.

2.2 Información recopilada automáticamente

Cuando utiliza la Plataforma, recopilamos automáticamente:

• Información del dispositivo: tipo de dispositivo, sistema operativo y versión del navegador.
• Información de uso: páginas y funciones utilizadas y actividad general en la Plataforma.
• Información técnica: dirección IP, utilizada para seguridad y prevención de abusos, no para publicidad.
• Cookies y tecnologías similares: solo de primera parte, para gestión de sesión y funciones operativas. Consulte la Sección 6 y nuestra Política de cookies.

2.3 Información de terceros

En algunos casos, recibimos información de:

• Aseguradoras: el estado de sus solicitudes y pólizas.
• Proveedores de verificación de identidad: los resultados de las verificaciones de identidad.
• Agencias de informes del consumidor: cuando corresponda bajo la Fair Credit Reporting Act (FCRA), en relación con la verificación de identidad o la suscripción de la aseguradora.

2.4 Información sobre atribución de agente

Si llegó a la Plataforma mediante el enlace de referido de un agente o fue referido por un agente, asociamos su cuenta con ese agente para fines de servicio y atribución.

3.1 Para proporcionar la Plataforma

Utilizamos la información para crear y mantener su cuenta, autenticarlo, mostrar opciones de seguro relevantes, procesar solicitudes y enviarlas a las aseguradoras, administrar sus pólizas y Wallet, enviar comunicaciones transaccionales, brindar soporte y resolver disputas.

3.2 Para mejorar la Plataforma

Utilizamos información agregada y desidentificada para comprender cómo se utilizan las funciones, identificar y corregir problemas y desarrollar nuevas funciones.

3.2 Para cumplir obligaciones legales

Utilizamos la información para cumplir regulaciones de seguros y financieras, mantener registros exigidos, responder a consultas regulatorias, detectar y prevenir fraude y cumplir requisitos fiscales y de informes. Cuando ofrecemos productos relacionados con Medicare, seguimos los requisitos aplicables de marketing y privacidad de los Centers for Medicare & Medicaid Services (CMS).

3.3 Para marketing, con su consentimiento

Si opta por participar, podemos utilizar la información para enviarle comunicaciones promocionales sobre productos y ofertas y para mostrar contenido relevante dentro de la Plataforma. Puede darse de baja en cualquier momento. Los mensajes de texto de marketing requieren un consentimiento separado, explícito y conforme a TCPA que nunca es condición de compra.

Seguimos prácticas estrictas para la información de salud recopilada durante solicitudes de seguro.

4.1 Retención temporal

La información de salud que proporciona durante una solicitud de seguro se cifra y se conserva solo el tiempo necesario para entregar la solicitud a la aseguradora, reintentar una transmisión fallida o permitir un reenvío si la aseguradora solicita una corrección (lo que requiere que vuelva a ingresar la información). Después de que la aseguradora confirme la recepción, eliminamos nuestra copia. También eliminamos la información ante el rechazo, cancelación o vencimiento de la solicitud.

4.2 Cifrado

La información de salud se cifra en reposo mediante cifrado a nivel de aplicación, con claves administradas en nuestro sistema de gestión de claves, y se cifra en tránsito.

4.3 Restricciones de acceso

Ningún personal de Epicare, incluidos agentes, empleados, soporte o administración, puede ver sus respuestas específicas del cuestionario de salud. Esta información fluye desde su entrada hasta la aseguradora y no se expone a nuestro personal.

4.4 Recuperación y nuevo ingreso

Si una aseguradora solicita información adicional después de su envío inicial, se lo notificaremos. Debe volver a ingresar usted mismo la información solicitada; no podemos recuperar sus respuestas originales.

4.5 Marco HIPAA

Operamos bajo los principios de la HIPAA Security Rule cuando aplican a la información de salud que manejamos, y celebramos Business Associate Agreements con proveedores de servicios que procesan información de salud en nuestro nombre.

5.1 Con aseguradoras

Cuando solicita una póliza, compartimos con la aseguradora correspondiente la información necesaria para obtener ese seguro. Las aseguradoras procesan su información conforme a sus propias prácticas de privacidad.

5.2 Con proveedores de servicios

Utilizamos proveedores de servicios de terceros para operar la Plataforma. Están obligados por contratos que exigen confidencialidad y seguridad, y quienes procesan información de salud firman Business Associate Agreements. Las categorías de proveedores incluyen:

• Infraestructura en la nube y alojamiento de bases de datos;
• Autenticación y gestión de sesiones;
• Entrega de correo electrónico, mensajes de texto y notificaciones push;
• Bóveda de tokenización compatible con PCI para instrumentos de pago;
• Verificación de identidad;
• Gestión de relaciones con clientes y agencias;
• Supervisión continua de seguridad y cumplimiento;
• Mapas y validación de direcciones;
• Asistencia con inteligencia artificial, cuando se ofrezca y sujeta a su consentimiento.

Las categorías anteriores describen los proveedores que utilizamos. Puede solicitar información adicional sobre nuestros proveedores de servicios a través del contacto de privacidad en la Sección 17.

5.3 Con agentes y personal de Epicare

Cuando corresponda, su información es accesible para su agente de registro (si su cuenta está atribuida a un agente específico), para nuestro personal con licencia en operaciones de servicio y para nuestro equipo de Member Support en solicitudes de soporte. El acceso se rige por permisos basados en roles y se audita. Como se describe en la Sección 4, agentes y personal no pueden ver las respuestas del cuestionario de salud que envía durante las solicitudes.

5.4 Con autoridades gubernamentales y reguladores

Podemos compartir información cuando lo exijan reguladores estatales o federales de seguros, órdenes de autoridades policiales o tribunales, autoridades fiscales u otras agencias gubernamentales con la autoridad legal adecuada.

5.5 No vendemos. Sí "compartimos" para medición publicitaria, y puede desactivarlo

No vendemos su información personal. El píxel publicitario de Meta permite una medición publicitaria que funciona en otros sitios web, y eso, bajo la ley de California, cuenta como "compartir" su información personal. Está activo por defecto y puede desactivarlo cuando quiera desde el enlace Sus opciones de privacidad del pie de página, descrito en la Sección 9.

5.6 Transferencias comerciales

Si participamos en una fusión, adquisición o venta de activos, su información puede transferirse. Le avisaremos de cualquier transferencia que afecte materialmente sus derechos de privacidad.

Utilizamos cookies y tecnologías similares en dos grupos, y la diferencia entre ellos importa.

Estrictamente necesarias y funcionales. Gestión de sesión, seguridad, prevención de fraude y recordar sus preferencias de idioma y mercado. Son de primera parte y se cargan automáticamente, porque la Plataforma no puede operar sin ellas.

Medición de tráfico y publicidad — activas por defecto, y puede desactivarlas. Google Tag Manager, el píxel publicitario de Meta y Vercel Analytics. Son tecnologías de terceros: colocan cookies o identificadores similares en su navegador, y el píxel de Meta permite una medición publicitaria que funciona en otros sitios web, lo que bajo la ley de California cuenta como «compartir» su información personal. Puede desactivarlas en cualquier momento desde el enlace Sus opciones de privacidad en el pie de cada página.

Grabación de sesión — desactivada salvo que usted la active. Contentsquare registra cómo recorre usted una página: qué zonas ve, pulsa y desplaza. La tratamos de forma distinta al resto y la mantenemos desactivada por defecto, porque es la más intrusiva de las cuatro.

Dos situaciones anulan todo lo anterior, y entonces no se carga nada más allá de lo estrictamente necesario: que su navegador envíe una señal de preferencia de exclusión reconocida como el Control Global de Privacidad, o que usted esté en el estado de Washington, donde le pedimos su decisión antes de cargar nada. Lo hacemos porque la My Health My Data Act de Washington exige consentimiento afirmativo antes de recoger datos de salud del consumidor, y su definición alcanza a quien busca cobertura sanitaria.

Nunca introducimos respuestas del cuestionario de salud, números de póliza ni datos de pago en ninguna tecnología de analítica o publicidad, y no utilizamos tecnologías de huella digital del navegador. Los detalles completos, incluido cada proveedor y su finalidad, se describen en nuestra Política de cookies.

Nuestra aplicación móvil solicita permisos solo cuando son necesarios:

• Notificaciones push: para enviarle alertas sobre sus solicitudes, pólizas y cuenta.
• Cámara y biblioteca de fotos: cuando elige cargar un documento.
• Biometría del dispositivo (Face ID, Touch ID o huella dactilar): para iniciar sesión. Los datos biométricos los gestiona el sistema operativo de su dispositivo; nunca recibimos ni almacenamos su plantilla biométrica, y utilizamos únicamente interfaces nativas del sistema operativo sin software biométrico de terceros.

No solicitamos acceso a su ubicación, contactos, micrófono ni calendario.

8.1 Derechos para todos los usuarios

Independientemente de donde viva, puede acceder y actualizar la información de su cuenta en su configuración, solicitar la eliminación de su cuenta, darse de baja de comunicaciones de marketing y retirar consentimientos (tenga en cuenta que retirar el consentimiento de comunicaciones electrónicas desactivará su cuenta).

8.2 Derechos bajo la ley de California (CCPA/CPRA)

Si es residente de California, tiene derechos adicionales bajo la California Consumer Privacy Act, enmendada por la California Privacy Rights Act, incluido el derecho a saber qué información personal recopilamos y cómo la usamos y divulgamos; acceder y obtener una copia de su información personal; corregir información personal inexacta; solicitar la eliminación; optar por no participar en la venta o "compartición" de información personal (no vendemos; puede oponerse a la compartición cuando quiera desde Sus opciones de privacidad, en el pie de página); limitar el uso de información personal sensible; y no ser discriminado por ejercer sus derechos.

Para ejercer estos derechos, envíe una solicitud a través de la configuración de su cuenta o contáctenos con los datos de la Sección 17. Verificaremos su identidad antes de atender la solicitud y responderemos dentro de los plazos exigidos por la ley aplicable (generalmente dentro de 45 días, con prórroga permitida para solicitudes complejas). Puede utilizar un agente autorizado, sujeto a requisitos de verificación.

8.3 Derechos bajo otras leyes estatales

Varios estados han promulgado leyes integrales de privacidad. Cuando corresponda, respetamos los derechos que esas leyes proporcionan, que generalmente incluyen acceder, corregir, eliminar, obtener una copia y optar por no participar en cierto procesamiento de su información personal. Para ejercer estos derechos, utilice los métodos descritos en esta Política.

8.4 Cómo gestionamos la eliminación y copias de sus datos

Cuando solicita la eliminación, atendemos solicitudes verificadas dentro del plazo exigido por la ley aplicable y eliminamos información identificativa de nuestros sistemas activos, sujeto a la información que debemos o podemos conservar (como registros de seguros, financieros, consentimientos y cumplimiento). La información puede permanecer en copias de seguridad seguras por un periodo limitado hasta que esas copias se purguen automáticamente. Cuando solicita una copia de su información personal, la proporcionamos, cuando la ley lo exige, en un formato portable dentro del plazo que la ley requiere. Las respuestas del cuestionario de salud no se incluyen, porque no las conservamos después de entregarlas a la aseguradora (consulte la Sección 4).

8.5 HIPAA

Cuando HIPAA aplica, usted tiene derechos bajo la HIPAA Privacy Rule para acceder a la información de salud protegida en poder de entidades cubiertas, que normalmente es la aseguradora y no Epicare. Para información de salud en poder de una aseguradora, contacte directamente a esa aseguradora.

Conservamos la información personal solo el tiempo necesario para los fines descritos en esta Política o según exija la ley. En general:

• La información de cuenta y perfil se conserva mientras su cuenta esté activa y por un periodo limitado después.
• Los registros de seguros y pólizas, y los que debemos conservar como agencia con licencia, se guardan durante el periodo exigido por las leyes aplicables de conservación de registros de seguros y financieros, comúnmente hasta siete años.
• Las respuestas del cuestionario de salud se conservan solo temporalmente y cifradas, y se eliminan después de que la aseguradora confirme la recepción o finalice la solicitud (consulte la Sección 4).
• Los registros de consentimiento y firma electrónica se conservan el tiempo necesario para acreditarlos.
• Los datos de marketing se conservan hasta que se dé de baja y por un breve periodo después.

Después de eliminar su cuenta, quitamos la información identificativa de nuestros sistemas activos tras un breve periodo de gracia; la información puede permanecer en copias de seguridad seguras por un tiempo limitado hasta que esas copias se purguen automáticamente. Los periodos específicos de conservación se mantienen en nuestra política interna de retención de datos y pueden cambiar según evolucionen nuestras obligaciones legales.

Utilizamos salvaguardas administrativas, técnicas y físicas para proteger su información, incluido cifrado en tránsito y en reposo (con cifrado a nivel de aplicación para campos sensibles), controles de acceso a nivel de fila, principios de mínimo privilegio, registro de auditoría del acceso administrativo, gestión de vulnerabilidades, supervisión continua de seguridad (nos estamos preparando para una auditoría SOC 2 e implementando controles HIPAA) y autenticación multifactor obligatoria para cuentas del personal.

Si cree que ha encontrado una vulnerabilidad de seguridad, contáctenos en la dirección de la Sección 17. En caso de un incidente de seguridad que afecte su información, le notificaremos a usted y a los reguladores aplicables según exija la ley.

Ningún método de transmisión o almacenamiento es completamente seguro, y no podemos garantizar seguridad absoluta.

Para preguntas, solicitudes o inquietudes sobre privacidad:

Para residentes de California que ejercen derechos CCPA/CPRA, consulte la Sección 8.2 para procedimientos específicos. Respondemos a consultas de privacidad dentro de los plazos exigidos por la ley aplicable.

Un registro completo de cambios está disponible bajo solicitud.