Política de privacidad de datos y cumplimiento normativo para la medición del estrés de Sapiens

Última actualización: 12 de octubre de 2026

Aviso: esta traducción se ha generado automáticamente y tiene carácter meramente informativo. Solo la versión en inglés es jurídicamente vinculante.

En resumen

Privacidad de datos (lista no exhaustiva, más detalles a continuación)

En Sapiens, nos comprometemos a proteger su privacidad y sus datos personales. Nuestras prácticas de privacidad cumplen el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y, antes de colaborar con clientes B2B en Estados no pertenecientes a la UE, verificamos también el doble cumplimiento con la normativa del país del cliente B2B.

Sus datos (“sus” se refiere a los datos del interesado) están protegidos mediante estrictos controles de acceso, seudonimización y medidas de seguridad avanzadas, y se almacenan de forma segura en servidores ubicados en la UE.

Los datos de identificación personal no se comparten con el empleador ni con terceros ajenos.

El tratamiento y el almacenamiento de los datos de los participantes los realiza Sapiens Health & Performance GmbH en Alemania. El análisis de laboratorio de las muestras de cabello y/o saliva lo realiza Dresden Lab Services GmbH (Alemania). Las muestras (tubos de saliva y material para la toma de cabello) se etiquetan previamente con un ID de participante aleatorio para garantizar su trazabilidad. Una vez que el interesado (o el personal de Sapiens o del Cliente) ha recogido las muestras de saliva y/o cabello, estas se envían al laboratorio sin información de identificación personal, solo con el ID de participante aleatorio. Sapiens recibe los resultados del laboratorio vinculados únicamente al ID de participante aleatorio. Sapiens trata y almacena todos los datos de los participantes en Microsoft Azure, en regiones de la UE, con cifrado en tránsito y en reposo y con controles de acceso adecuados para datos de salud sensibles. Los informes individuales se entregan a los interesados (participantes) por correo electrónico como archivos PDF protegidos con contraseña. Se envía una contraseña de un solo uso por separado, por SMS o WhatsApp, para reducir el riesgo de acceso no autorizado. Algunos empleadores solo permiten el SMS. En esos programas no se utiliza WhatsApp. Los participantes no tienen cuenta, inicio de sesión ni portal en línea de Sapiens. Todos los datos se recogen bajo un ID de participante anónimo. Los resultados llegan a los participantes únicamente como PDF cifrado y en una llamada de revisión de resultados.

Los datos de identificación personal no se comparten con su empleador ni se revelan a terceros externos como datos identificables, salvo que usted dé su consentimiento explícito o estemos legalmente obligados a ello.

Los proveedores de servicios externos (p. ej., laboratorio, plataforma de encuestas) tratan los datos únicamente mediante ID de participante aleatorios (p. ej., “IDHDHK”) y no reciben de Sapiens su nombre, su correo electrónico ni ningún otro dato de identificación personal.

Antes de recoger información relacionada con la salud, solicitamos su consentimiento explícito, que puede retirar en cualquier momento. Eliminamos o anonimizamos sus datos de salud y de medición transcurridos 24 meses, salvo que se acuerde otra cosa. En los programas de empresa, todos los datos del programa se eliminan al finalizar el contrato con el Cliente o transcurridos 24 meses. Las facturas y los registros contables se conservan por separado durante los plazos legales de conservación previstos en la normativa tributaria y mercantil alemana.

Otros aspectos de cumplimiento normativo (lista no exhaustiva, más detalles a continuación)

Sapiens es un servicio de bienestar y estilo de vida y no ofrece diagnóstico, interpretación clínica, tratamiento ni prescripción.

Nuestros servicios están diseñados para no constituir ejercicio de la medicina ni actos médicos regulados conforme a la legislación aplicable.

‍‍Las muestras de saliva, cabello y otras muestras biológicas se envían como DHL Express o DHL Packages (no en sobres), con el triple embalaje exigido por la normativa IATA para líquidos, y se marcan como “Exempt Human Specimen” (muestra humana exenta).

Según la Reglamentación sobre Mercancías Peligrosas, 3.6.2.2.3.8, estas “Exempt Human Specimens” pueden enviarse desde la mayoría de los países al laboratorio alemán, ya que la probabilidad de que contengan patógenos es mínima. Antes de contratar con Clientes de fuera de la UE/EEE, se revisa la normativa local.

Las muestras se etiquetan previamente con un ID de participante aleatorio para garantizar su trazabilidad. La saliva la recogen los participantes; el cabello pueden recogerlo los participantes, el personal de Sapiens o, si así se acuerda, el personal del Cliente siguiendo las instrucciones de Sapiens. Cada paso de la custodia (recogida, sellado, entrega para el envío, recepción, entrada en el laboratorio) se anota en un registro de custodia.

Esta política se aplica tanto si ha adquirido Sapiens Diagnostics directamente como particular como si participa a través de su empleador. Cuando una sección menciona al Cliente, se refiere al empleador o a la organización. Si ha realizado la compra directamente, esas secciones no le son aplicables. En cualquier caso, sus resultados individuales nunca se comparten con un empleador.

Términos

“Cliente”: Persona u organización que mantiene una relación contractual con Sapiens para la prestación del Servicio, utilizando información personal y datos de medición de los Interesados, que son definidos por el Cliente.

“Interesado”: Persona cuya información utiliza Sapiens para prestar el Servicio, a partir de autoevaluaciones, datos de medición de saliva y cabello, datos de medición de la frecuencia cardiaca y otra información personal. En este documento, el término "usted" se refiere al interesado. Los términos interesado, usted, participante y usuario de nuestro Servicio se utilizan como equivalentes. Un usuario de los servicios de Sapiens puede ser un interesado en un contexto B2B o B2C. Un usuario individual puede ser un empleado de un cliente B2B (usuario de pago o no de pago), un usuario vinculado a un cliente B2B (p. ej., un participante externo del programa, de pago o no de pago) o un cliente B2C (usuario de pago).

“Servicio”: Las soluciones personalizadas de bienestar y rendimiento que ofrece Sapiens, incluida la recogida y el análisis de datos de salud individuales, como las respuestas de autoevaluación y las mediciones fisiológicas (p. ej., datos de saliva, cabello y frecuencia cardiaca), así como las consultas individuales y los talleres de grupo, según lo especificado en el contrato entre el Cliente y Sapiens.

‍

Principios de privacidad de datos

Cumplimiento del RGPD: En Sapiens, nos comprometemos a proteger su privacidad y sus datos personales. Nuestras prácticas de privacidad cumplen el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.
Doble cumplimiento: Para clientes B2B de fuera de la UE/EEE, Sapiens verifica antes de contratar el cumplimiento de los requisitos locales pertinentes en materia de protección de datos, además del RGPD.
Control: Usted (= usuarios individuales) tiene el control de sus datos. Usted decide qué comparte, con derecho a transferir sus datos a otro proveedor (portabilidad de los datos) y a solicitar su eliminación de nuestros sistemas (derecho de supresión).
Tratamiento limitado a la finalidad: La finalidad del tratamiento de los datos personales es ofrecer análisis y asesoramiento personalizados sobre bienestar y rendimiento. Solo recogemos los datos necesarios para prestarle nuestros productos y servicios, y no almacenamos información innecesaria.
Seguridad de los datos: Sus datos están protegidos mediante estrictos controles de acceso y medidas de seguridad avanzadas, de modo que solo el personal autorizado con una finalidad legítima puede acceder a ellos. Los datos se cifran en tránsito y en reposo y se almacenan en servidores de la Unión Europea. Los informes individuales se entregan por correo electrónico como archivos PDF protegidos con contraseña. Se envía una contraseña de un solo uso por separado, por SMS o WhatsApp, para reducir el riesgo de acceso no autorizado. Algunos empleadores solo permiten el SMS. En esos programas no se utiliza WhatsApp.
Seudonimización: Los terceros (p. ej., el laboratorio de análisis y la plataforma de encuestas) nunca reciben de Sapiens información de identificación personal. En su lugar, los datos se gestionan mediante ID de participante seudónimos y aleatorios (p. ej., “DFDIGH”). Los ID de participante son aleatorios y no contienen ninguna información sobre la persona. La clave de reidentificación (correspondencia ID ↔ nombre/correo electrónico) se almacena por separado, con un acceso muy restringido, y solo está disponible para el coach asignado al participante y para la dirección de Sapiens. El personal de logística solo ve el nombre, el correo electrónico y la dirección de envío, nunca los datos de medición. El personal técnico solo accede a los datos de identidad para resolver incidencias técnicas. Cada participante tiene un único coach. Todos los demás miembros del equipo de Sapiens trabajan tras barreras de información y no tienen acceso a datos identificables de los participantes.
Medidas de seguridad: Aplicamos controles de confidencialidad, integridad y disponibilidad adecuados para datos de salud sensibles, entre ellos cifrado en tránsito y en reposo, control de acceso basado en roles, autenticación multifactor, registros de auditoría, separación entre la clave de reidentificación y los datos de medición, cifrado de los dispositivos de trabajo y procedimientos documentados de respuesta a incidentes.
Consentimiento explícito: Antes de recoger o tratar cualquier dato personal relacionado con la salud, obtenemos su consentimiento explícito mediante un proceso transparente. Le facilitamos información detallada sobre cómo se tratarán sus datos, y usted mantiene en todo momento el pleno control sobre su consentimiento. Carácter voluntario en los programas patrocinados por el empleador: la participación y el consentimiento son voluntarios. Si no consiente el tratamiento de sus datos de salud, puede rechazar la participación sin consecuencias negativas en su relación laboral. Su empleador no recibe de Sapiens sus datos individuales identificables, salvo que usted dé un consentimiento explícito e independiente.
Datos personales no compartidos con el empleador: No compartimos sus datos sin su consentimiento, tampoco con su empleador. Solo podemos facilitar informes anonimizados y agregados para grupos de más de 20 participantes, sin subgrupos.
Conservación y revisión periódica: Conservamos los datos de identificación personal durante un máximo de 24 meses desde su última interacción, y revisamos y eliminamos periódicamente los datos que ya no son necesarios o pertinentes. En los programas de empresa, todos los datos del programa se eliminan al finalizar el contrato con el Cliente o transcurridos 24 meses.
Datos anonimizados para investigación: Sapiens no comparte datos individuales con terceros. Los datos solo se utilizan para investigación cuando (i) la investigación cuenta con la aprobación ética correspondiente, cuando se exija, y (ii) el participante ha dado un consentimiento explícito e independiente para la investigación. Los análisis de investigación utilizan conjuntos de datos anonimizados o agregados y no utilizan nombres ni información que permita la identificación directa.
Sus derechos: Tiene derecho a acceder a sus datos, rectificarlos, suprimirlos, limitar su tratamiento o transferirlos. También puede retirar su consentimiento en cualquier momento, cuando proceda.
Compromiso de mejora: Revisamos y mejoramos activamente nuestras prácticas de privacidad y publicamos todas las actualizaciones en nuestro sitio web para mantenerle informado.

Responsable del tratamiento

El responsable del tratamiento es:
Sapiens Health & Performance GmbH (”Sapiens”)
Dinxperloer Straße 365
46399 Bocholt
Alemania

Puede contactar con el responsable del tratamiento (”Sapiens”) por correo electrónico en support@be-sapiens.com o por teléfono en el +49 172 88 66 434.

Sapiens es el responsable independiente del tratamiento de los datos individuales de los participantes para la prestación del Servicio, sobre la base del consentimiento explícito de cada participante. La participación es voluntaria, el consentimiento puede retirarse en cualquier momento y negarse a participar no tiene consecuencias laborales. Los proveedores de servicios, como Dresden Lab Services GmbH y Firstbeat, actúan como encargados del tratamiento según la actividad de tratamiento concreta. Los Clientes (p. ej., empleadores o universidades) son socios operativos y no reciben datos de identificación personal de los participantes, salvo que exista un consentimiento explícito e independiente del participante. Si el Cliente y Sapiens determinan conjuntamente los fines y medios de una investigación, se aplican un acuerdo de corresponsabilidad del tratamiento y un proceso de consentimiento para investigación específicos.

Cuando el Cliente no recoge muestras, no trata ni accede a datos de los participantes y no realiza investigación, actúa únicamente como socio operativo o promocional. En ese caso, el Cliente no es ni encargado ni responsable del tratamiento de los datos de los participantes y no recibe de Sapiens datos que permitan identificar a las personas. La participación del Cliente se limita a la promoción y la coordinación logística, sin acceso a los sistemas de Sapiens ni a los resultados individuales de los participantes.

Si el Cliente recoge muestras de cabello o apoya operaciones presenciales siguiendo las instrucciones documentadas de Sapiens, el Cliente (o el personal que designe) actúa como encargado del tratamiento para esas actividades limitadas y debe firmar un Acuerdo de Encargo del Tratamiento (DPA) y compromisos de confidencialidad. El Cliente debe seguir los protocolos de Sapiens, incluidas la seudonimización, la manipulación segura y el registro de la cadena de custodia.

Si el Cliente y Sapiens determinan conjuntamente los fines y medios de una investigación, se aplica un acuerdo de corresponsabilidad del tratamiento específico, y la investigación solo se lleva a cabo con: (i) las aprobaciones éticas correspondientes, cuando se exijan, y (ii) un consentimiento explícito e independiente del participante para la investigación. Los resultados de la investigación utilizan conjuntos de datos anonimizados o agregados y no incluyen nombres ni información que permita la identificación directa.

‍

Finalidad y base jurídica del tratamiento de datos

La finalidad del tratamiento de los datos personales es el funcionamiento básico del Servicio, incluidas las operaciones de atención al usuario. El funcionamiento básico y la finalidad del Servicio consisten en ofrecer un análisis personalizado del efecto de los factores de estilo de vida sobre distintos aspectos del bienestar.

Para prestar el Servicio se utilizan las mediciones de saliva y cabello del Interesado y, si el Cliente lo solicita, otras muestras biológicas como análisis de sangre, así como la frecuencia cardiaca medida y los datos de autoevaluación.

El Servicio incluye además una devolución personal directa a cada Interesado por parte de un coach de Sapiens. El Servicio suele incluir un informe seudonimizado para el Interesado sobre su bienestar general y una consulta personalizada sobre el informe con un coach de Sapiens. El Servicio puede incluir además talleres de grupo para el Cliente, en los que se muestran datos no identificables, agregados y anonimizados si el Cliente lo solicita y si ello redunda en interés de los participantes (se aplican condiciones para compartir datos agregados, véase más abajo). Los detalles del Servicio se describen de forma pormenorizada en el contrato entre el Cliente y Sapiens. Los datos personales como el correo electrónico, el número de teléfono y el nombre también se utilizan para las operaciones de atención del Servicio y para las comunicaciones entre Sapiens y el Interesado. Si la legislación aplicable exige el consentimiento del Interesado para tratar alguno de los datos personales descritos en este documento (por ejemplo, los datos relativos a la salud, es decir, las denominadas categorías especiales de datos), el consentimiento se obtendrá por un método adecuado.

Esto puede hacerse, por ejemplo, marcando una casilla de consentimiento independiente en una encuesta, o mediante otra acción o declaración específica que manifieste el consentimiento. No dar el consentimiento puede afectar a la posibilidad de ofrecer el Servicio concreto. Sapiens utiliza los datos de los participantes para prestar el Servicio. Cualquier uso adicional con fines de investigación es opcional y solo se realiza con un consentimiento explícito e independiente para la investigación y con la aprobación ética correspondiente, cuando se exija. Los resultados de la investigación utilizan conjuntos de datos anonimizados o agregados, de modo que los participantes individuales no sean identificables.

Facilitar datos de salud y de biomarcadores no es un requisito legal. No obstante, si no facilita los datos mínimos necesarios (p. ej., muestras y/o respuestas al cuestionario) o no consiente el tratamiento de sus datos de salud, Sapiens no podrá elaborar su informe personalizado ni prestar el Servicio completo.

Bases jurídicas del tratamiento de datos personales conforme al RGPD (artículos 6 y 9):

(1) Para los datos de cuenta y administrativos (p. ej., nombre, correo electrónico, administración del programa), Sapiens trata sus datos personales principalmente para ejecutar el contrato de servicio y prestar asistencia (Art. 6(1)(b) RGPD) y, cuando proceda, para cumplir obligaciones legales (Art. 6(1)(c)).

(2) Para los datos relativos a la salud y otras categorías especiales de datos (p. ej., resultados de biomarcadores, información de salud del cuestionario), Sapiens solo trata dichos datos con su consentimiento explícito (Art. 9(2)(a) RGPD) y la correspondiente base jurídica del consentimiento (Art. 6(1)(a)).

(3) Cuando tratamos datos limitados con fines de seguridad, prevención del fraude, mejora del servicio y defensa frente a reclamaciones legales, nos basamos en el interés legítimo (Art. 6(1)(f)), aplicando garantías estrictas y el principio de minimización de datos.

Puede retirar su consentimiento en cualquier momento; la retirada no afecta a la licitud del tratamiento realizado antes de ella.

‍

Plazo de conservación de los datos personales

Eliminamos o anonimizamos sus datos de salud y de medición 24 meses después de su última interacción con nosotros. En los programas de empresa, todos los datos del programa se eliminan al finalizar el contrato con el Cliente o transcurridos 24 meses. Sapiens confirma la eliminación por escrito. Cuando es posible, eliminamos antes la clave de reidentificación, lo que anonimiza los datos de medición codificados restantes, y podemos conservar únicamente conjuntos de datos agregados o anonimizados. Las facturas, los registros de pedidos y otros documentos contables se conservan por separado durante los plazos legales de conservación previstos en la normativa tributaria y mercantil alemana, y después se eliminan. Esos registros contienen sus datos de facturación y lo que ha adquirido. No contienen sus resultados de medición. Una vez transcurrido el plazo de conservación aplicable, Sapiens elimina o anonimiza de forma irreversible los datos conforme a calendarios de conservación documentados y a los requisitos legales.

‍

Tipo de datos personales

Grupo de interesados: En el Servicio se tratan los datos personales de los Interesados participantes. Por lo general, el Cliente de Sapiens es la organización a la que pertenecen los Interesados, y el Cliente determina el grupo de Interesados.

Datos ordinarios: El Cliente facilita el nombre completo y la dirección de correo electrónico de cada Interesado en el Servicio. Sapiens almacena los datos de identidad en Microsoft Azure, en la UE. Los participantes no tienen cuenta, inicio de sesión ni portal en línea de Sapiens. Los demás datos personales los facilitan los propios Interesados a través de la encuesta de autoevaluación, la automuestra o el uso de dispositivos de medición. El Cliente o Sapiens también pueden recabar información de los Interesados al prestar el Servicio. Además, se genera información de forma analítica a través de las propias actividades de Sapiens.

La base de datos contiene la siguiente información (parcial o completa) sobre los Interesados. Antes de facilitar estos datos, los Interesados otorgan su consentimiento y consultan la política de privacidad de Sapiens. Los Interesados pueden elegir facilitar los datos siguientes y no están obligados a hacerlo.

Nombre completo (nombre y apellidos)
Correo electrónico
Número de teléfono: para enviar la contraseña por SMS o WhatsApp, tratamos su número de teléfono móvil y los metadatos de entrega de mensajes con el fin de enviarle la contraseña del informe por un canal independiente.
Año de nacimiento, sexo
Información sobre el Cliente (p. ej., el empleador del Interesado), como el nombre de la empresa

Todos los datos anteriores se almacenan por separado de los datos relativos a la salud que se describen a continuación, que se almacenan únicamente bajo un ID de participante aleatorio (p. ej., DHDIKL)

Datos almacenados bajo ID de participante aleatorios:

Información de salud sensible, si el Interesado decide facilitarla:
- 1. Kit estándar de Sapiens Diagnostics. Incluido en todos los programas.
  - Resultados de la medición de cortisol en saliva
  - Mediciones de esteroides (cortisol, cortisona, testosterona, DHEA) y endocannabinoides (AEA, 1/2 AG, OEA, SEA, PEA) en cabello
  - Datos de frecuencia cardiaca y de variabilidad de la frecuencia cardiaca obtenidos de la medición del ECG, incluidas las puntuaciones de recuperación y de sueño
  - Hora de inicio del sueño, duración del sueño y ritmo de sueño formado por los distintos periodos de sueño
- 2. Autoevaluación científica. Incluida en todos los programas, y solo con lo que usted decida contarnos.
  - Estrés percibido y resiliencia percibida
  - Factores de estrés laboral percibidos
  - Estilo de vida y hábitos percibidos, incluidos la alimentación, el ejercicio y la regulación de la atención
  - Enfermedades crónicas y agudas, medicación y afecciones de salud femenina
  - Síntomas gastrointestinales, inmunitarios o musculoesqueléticos
  - Nerviosismo y bienestar emocional
- 3. Pruebas complementarias opcionales. No forman parte del kit estándar. Solo se tratan si usted las selecciona al hacer su pedido como cliente particular o, en un programa de empresa u organización, solo si el empleador las ha solicitado expresamente y así se ha acordado por separado. En la mayoría de los programas de empresa, los análisis de sangre, la monitorización de glucosa, las pruebas de microbioma y todas las demás pruebas complementarias están excluidos, por lo que esta parte de la política puede no aplicarse a su programa. Si no se realiza una prueba determinada, no tratamos los datos correspondientes.
  - Marcadores sanguíneos de una toma de sangre capilar en casa: LDL, HDL, triglicéridos, PCR ultrasensible, albúmina, vitamina B12, vitamina D, ferritina, transferrina y TSH
  - Composición del microbioma intestinal obtenida mediante la secuenciación del ADN de las bacterias de una muestra de heces, incluidas su diversidad y su equilibrio. No secuenciamos ni analizamos su ADN humano
  - Mediciones continuas de glucosa durante el periodo de uso, incluidos valores derivados como la glucosa media, la glucosa en ayunas, la glucosa al acostarse, la variabilidad de la glucosa y los patrones de picos
  - Información de pruebas anteriores que decida facilitarnos, como lípidos o glucosa en sangre
Además de lo anterior, información general sobre bienestar y actividad física, como las sesiones de ejercicio detectadas, el número de pasos y el efecto del entrenamiento.
Entradas de diario, si el Interesado las crea durante el periodo de medición en la app de Firstbeat, como el consumo de alcohol, acontecimientos autodocumentados que sean relevantes y de interés para el Interesado y autoevaluaciones relativas a dichas entradas.
Otra información que el Interesado envíe a Sapiens a través del Servicio o de otro modo (p. ej., respondiendo a los cuestionarios de Sapiens)
Información sobre los consentimientos para el tratamiento de datos en el Servicio
El informe de resultados con las acciones objetivo definidas, elaborado para el Interesado a partir del análisis de los datos
Otra información, con el consentimiento del Interesado

Análisis automatizado (sin decisiones jurídicas ni clínicas): Sapiens utiliza métodos automatizados (p. ej., scripts y modelos de puntuación) para tratar datos codificados de biomarcadores y cuestionarios y generar conclusiones orientadas al bienestar y los contenidos del informe. Estos análisis no producen efectos jurídicos ni efectos similares significativos y no constituyen diagnóstico médico ni decisiones de tratamiento. Un coach humano revisa y explica los resultados durante la sesión de revisión.

‍

Principios de protección de datos

Para prestar el Servicio, Sapiens aplica medidas técnicas y organizativas diseñadas para datos sensibles relativos a la salud, entre ellas estrictos controles de acceso, seudonimización, cifrado y gestión de incidentes.

Principios fundamentales

Minimización de datos: Recogemos y tratamos únicamente los datos necesarios para prestar el Servicio (logística de la medición, análisis, informes, sesión de revisión).
Limitación de la finalidad: Utilizamos sus datos para elaborar su informe de bienestar y ofrecerle coaching. Cualquier finalidad adicional (p. ej., investigación) requiere un consentimiento independiente y, cuando se exija, la aprobación ética.
Seudonimización desde el diseño: Los datos de medición y las muestras biológicas se gestionan mediante ID de participante aleatorios. Los proveedores externos reciben ID, no nombres.
Limitación del acceso: Solo puede acceder a los datos el personal autorizado de Sapiens que los necesita para prestar el servicio, mediante un control de acceso basado en roles.

Separación entre datos de identidad y datos de medición

Datos de identidad (p. ej., nombre, correo electrónico y, opcionalmente, número de teléfono para el envío de la contraseña), y
Datos de medición (resultados de laboratorio, respuestas a encuestas)

Las muestras y los dispositivos de medición que puedan enviarse por correo no contienen ningún dato personal que permita conocer la identidad del Interesado ni información de ubicación. Los datos de medición se almacenan y tratan bajo un ID de participante aleatorio. La clave de reidentificación (ID ↔ nombre/correo electrónico) se almacena por separado, con acceso restringido, y solo está disponible para el coach asignado al participante y para la dirección de Sapiens, a efectos de comunicación con el participante y de la sesión de revisión. El personal de logística solo ve el nombre, el correo electrónico y la dirección de envío, nunca los datos de medición. El personal técnico solo accede a los datos de identidad para resolver incidencias técnicas. Los datos del dispositivo de monitorización de la frecuencia cardiaca (Firstbeat) se tratan conforme a la política de privacidad de Firstbeat (encargado del tratamiento). Por defecto, Sapiens facilita un ID y una dirección de correo electrónico anónimos para la app de Firstbeat, de modo que el principio de separación de datos se aplique también a la monitorización de la frecuencia cardiaca de Firstbeat. Los participantes pueden optar por utilizar su propio correo electrónico.

Medidas de seguridad

Sapiens garantiza que todos los sistemas de datos y equipos informáticos están suficientemente protegidos con medios técnicos adecuados, como cortafuegos, contraseñas, ID de usuario personales y formación del personal en seguridad.

Sapiens está finalizando su certificación ISO 27001, prevista para el primer trimestre de 2027, y ha desarrollado sus sistemas conforme a los principios de seguridad del RGPD y la HIPAA. Los datos de los participantes nunca se utilizan para entrenar modelos de IA. En concreto, Sapiens aplica medidas de seguridad adecuadas para datos relativos a la salud, entre ellas:

Cifrado en tránsito y en reposo para los datos almacenados en la infraestructura de Microsoft ubicada en la UE (Microsoft 365 y Azure). Las bases de datos de Sapiens solo son accesibles a través de una red privada de Azure.
Autenticación multifactor (MFA) en todos los sistemas de Sapiens que contienen datos de los participantes. Solo inicios de sesión individuales, sin cuentas compartidas.
Control de acceso basado en roles y permisos de mínimo privilegio.
Registros de auditoría y supervisión del acceso a sistemas y conjuntos de datos sensibles. Los Clientes B2B, sus auditores y las autoridades reguladoras pueden auditar registros, sistemas y personal según lo acordado en el contrato.
Seguridad de los dispositivos (p. ej., cifrado de los dispositivos y prácticas de acceso seguro para el personal que maneja datos sensibles).
Proceso de respuesta a incidentes que incluye el registro y la escalada de incidentes. Los Clientes B2B reciben notificación en un plazo de 48 horas de cualquier violación de datos personales, real o sospechada. Se notifica a la autoridad de control competente en un plazo de 72 horas cuando la ley lo exige, incluida la UK Information Commissioner’s Office (ICO) para los participantes del Reino Unido.

Encargados del tratamiento

Para prestar el Servicio, Sapiens recurre a proveedores de servicios externos que actúan como encargados del tratamiento por cuenta nuestra. Los proveedores que manejan sus muestras, sus respuestas a encuestas o sus resultados de laboratorio nunca reciben su identidad. Todo lo que Sapiens les envía lleva únicamente su ID de participante aleatorio de seis letras, nunca su nombre, su dirección de correo electrónico, su número de teléfono ni ningún otro identificador directo. Estos proveedores son: Dresden Lab Services GmbH, Alemania (análisis de muestras de saliva y cabello); Probatix Health GmbH, Bismarckstraße 10-12, 10625 Berlin, Alemania (toma de sangre en casa y análisis del panel sanguíneo; además, recibe su año de nacimiento y su sexo para poder aplicar los intervalos de referencia correctos); BIOMES 4.0 GmbH, Schwartzkopffstr. 1, 15745 Wildau, Alemania (análisis del microbioma intestinal); Dexcom Deutschland GmbH, Rotterdamer Platz 10, 55120 Mainz, Alemania (monitorización continua de glucosa, en la que Sapiens registra el monitor bajo su ID de seis letras); y Typeform, España, EU Responses Data Center (encuesta de autoevaluación, únicamente bajo su ID de seis letras). Firstbeat, Finlandia, trata sus datos de ECG y de variabilidad de la frecuencia cardiaca bajo su ID de seis letras. Si decide crear su propia cuenta en la app de Firstbeat con su dirección de correo electrónico personal o del trabajo, en lugar de la dirección seudonimizada que podemos facilitarle, Firstbeat trata los datos de esa cuenta conforme a su propio aviso de privacidad.

Un pequeño número de proveedores trata necesariamente sus datos de contacto, porque los necesitamos para poder comunicarnos con usted. Cada uno se utiliza solo cuando esa parte del servicio le es aplicable, y cada uno recibe lo mínimo necesario para hacer su trabajo:

Microsoft Teams (por defecto) o Zoom Video Communications (sesiones de revisión por vídeo): Microsoft Teams por defecto. Algunos empleadores exigen Zoom. Ambos solo transmiten la llamada en directo y no reciben datos de medición ni informes.
Microsoft 365 y Azure, regiones de la UE West Europe (Países Bajos), Germany West Central (Fráncfort) y North Europe (Irlanda), para el alojamiento y el tratamiento interno.
SMS o WhatsApp: se utilizan solo para enviarle la contraseña de un solo uso de su informe, nunca el informe en sí. Cuando el empleador solo permite el SMS, no se utiliza WhatsApp.

Ninguno de estos proveedores recibe sus muestras, sus resultados de laboratorio, sus datos de medición ni el contenido de su informe. Por defecto, todos los encargados del tratamiento están establecidos en la UE y tratan los datos en la UE. WhatsApp (Meta) puede tratar datos fuera de la UE y no se utiliza cuando el empleador solo permite el SMS. Cuando un Cliente exige Zoom (Estados Unidos) o solicita expresamente un coach o facilitador de fuera de la UE, esto solo ocurre con el consentimiento previo por escrito del Cliente y al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea (con el Anexo del Reino Unido cuando se aplique la legislación británica), suscritas mediante el acuerdo de encargo del tratamiento del proveedor. Estas cláusulas se aplican junto con las garantías descritas en otras partes de esta política, en particular la seudonimización y la estricta separación entre su identidad y sus datos de medición.

Si prefiere no utilizar Zoom, indíquenoslo antes de su primera cita y celebraremos su sesión de revisión en Microsoft Teams.

Estos proveedores se contratan con las condiciones contractuales adecuadas (p. ej., acuerdos de encargo del tratamiento cuando se exijan). Como norma general:

Análisis de laboratorio (Dresden Lab Services GmbH): Dresden Lab Service GmbH transmite a Sapiens los archivos de resultados de laboratorio por canales seguros, seudonimizados mediante ID de participante (junto con los datos de laboratorio no se transmite a Sapiens ningún nombre ni otro identificador personal). Cuando se utiliza el correo electrónico, los archivos adjuntos deben estar cifrados y el acceso debe limitarse al personal autorizado.
Recogida de encuestas (Typeform): Las encuestas se cumplimentan mediante ID de participante aleatorios. Sapiens no envía nombres ni correos electrónicos al proveedor de encuestas para el conjunto de datos de respuestas.
Proveedor de ECG/VFC (Firstbeat): Firstbeat puede tratar determinados datos como encargado del tratamiento de Sapiens (p. ej., datos de medición vinculados a un ID) y puede actuar como responsable independiente del tratamiento de los datos de la cuenta o del registro en la app, tratados conforme al propio aviso de privacidad de Firstbeat, cuando los participantes crean una cuenta. Por defecto, Sapiens facilita un ID y una dirección de correo electrónico anónimos para la app de Firstbeat. Los participantes pueden optar por utilizar su propio correo electrónico.
Comunicación para las sesiones de revisión (videollamadas): El correo electrónico se utiliza para comunicarse con el participante, p. ej., para programar la sesión de revisión del informe de bienestar. Sapiens no revela intencionadamente detalles innecesarios en esos sistemas y aplica controles de acceso a los enlaces de las reuniones y a los archivos. Las sesiones de revisión se celebran por defecto en Microsoft Teams. Algunos empleadores exigen Zoom, conforme a su normativa informática. Ninguna de las dos plataformas recibe datos de medición ni informes.
Proveedores utilizados solo para las pruebas complementarias opcionales. Los tres proveedores siguientes solo intervienen cuando usted ha seleccionado la prueba complementaria correspondiente como cliente particular, o cuando un empleador la ha solicitado expresamente y así se ha acordado por separado. En la mayoría de los programas de empresa, estas pruebas están excluidas y estos proveedores no se utilizan. No forman parte de la oferta estándar de Sapiens Diagnostics y no tratan absolutamente ningún dato de los participantes que no realizan estas pruebas.
Toma y análisis de sangre (Probatix Health GmbH): Si contrata un panel sanguíneo, el kit de toma en casa y el análisis de laboratorio correspondiente corren a cargo de Probatix Health GmbH, Bismarckstraße 10-12, 10625 Berlin, Alemania. Su muestra y sus resultados llevan su ID de participante aleatorio de seis letras junto con su año de nacimiento y su sexo, que el laboratorio necesita para aplicar los intervalos de referencia correctos. Probatix no recibe de Sapiens su nombre, su dirección de correo electrónico ni su número de teléfono.
Análisis del microbioma intestinal (BIOMES 4.0 GmbH): Si contrata una prueba de microbioma, BIOMES 4.0 GmbH, Schwartzkopffstr. 1, 15745 Wildau, Alemania, analiza la muestra de heces mediante la secuenciación del ADN de las bacterias presentes en ella. Su muestra y sus resultados llevan únicamente su ID de participante aleatorio de seis letras. BIOMES no recibe de Sapiens su nombre, su dirección de correo electrónico ni su número de teléfono. Su ADN humano no se secuencia ni se analiza.
Monitorización continua de glucosa (Dexcom Deutschland GmbH): Si contrata la monitorización de glucosa, Sapiens registra el monitor y su app ante Dexcom Deutschland GmbH, Rotterdamer Platz 10, 55120 Mainz, Alemania, bajo su ID de participante aleatorio de seis letras. Dexcom no recibe de Sapiens su nombre, su dirección de correo electrónico ni su número de teléfono.

Entrega segura de los informes individuales

Los informes individuales se entregan como archivos PDF protegidos con contraseña enviados por correo electrónico. La contraseña se comunica por un canal independiente (una contraseña de un solo uso por SMS o WhatsApp; cuando el empleador solo permite el SMS, no se utiliza WhatsApp) para reducir el riesgo de acceso no autorizado si una bandeja de entrada se ve comprometida. Si prefiere otro método o canal de entrega, puede solicitar una alternativa, cuando esté disponible. Los informes se elaboran y revisan sin nombres y solo llevan su ID de participante.

El siguiente mapa ofrece una visión general del flujo de datos junto con una selección de medidas técnicas y organizativas de protección de datos (lista no exhaustiva, ya que la visualización se complementa con la descripción de este documento):

‍
Transferencia de datos personales

Los datos personales no pueden transferirse fuera de Sapiens sin el consentimiento del Interesado de forma que puedan ser identificados, salvo en las siguientes circunstancias excepcionales: si así lo exige una resolución de una autoridad gubernamental o reguladora, un tribunal o una ley de obligado cumplimiento; o si es necesario por otros motivos para prevenir o investigar cualquier infracción de la ley, de las condiciones de uso o de las buenas prácticas, o para proteger los derechos de Sapiens.

Salvo consentimiento explícito e independiente del Interesado, sus datos personales no se facilitarán al Cliente. (Nota: si el Interesado es una persona que adquiere el Servicio para sí misma, el Interesado es también Cliente y, naturalmente, recibirá sus propios datos personales.)

Sapiens trata y almacena los datos de los participantes en servidores de Azure ubicados en la UE. Cuando los participantes se encuentran fuera de la UE/EEE, sus datos se transfieren a la UE para que Sapiens los trate y almacene. Sapiens no comparte datos de identificación personal con terceros; los terceros solo reciben ID de participante seudónimos y aleatorios, cuando procede (p. ej., para el procesamiento de laboratorio y de encuestas).

Para el análisis de ECG/VFC, los participantes se registran en la app de Firstbeat y aceptan las condiciones de privacidad de Firstbeat. Por defecto, utilizan un ID y una dirección de correo electrónico anónimos facilitados por Sapiens, lo que reduce su identificabilidad ante Firstbeat. Los participantes pueden optar por utilizar su propio correo electrónico.

Canales de entrega: Sapiens puede comunicarse con los participantes por correo electrónico para prestar el servicio y envía el informe como PDF protegido con contraseña. Se envía una contraseña de un solo uso por separado, por SMS o WhatsApp. Algunos empleadores solo permiten el SMS. En esos programas no se utiliza WhatsApp. Los participantes deben asegurarse de tener acceso a los canales elegidos y proteger sus propios dispositivos y cuentas.

Comunicación de resultados agregados: si el participante y el Cliente están de acuerdo, Sapiens puede compartir resultados agregados con el Cliente y/o con el grupo de participantes solo cuando el grupo es lo bastante grande (más de 20 participantes, sin subgrupos) y la agregación se presenta de forma que impida rastrear a las personas. Los participantes pueden optar por no ser incluidos en los resultados agregados. Los resultados agregados solo se comparten si existe una finalidad claramente identificable, como un conocimiento más profundo para el Cliente y los participantes. Los participantes siempre pueden ejercer la exclusión, y en ese caso sus datos no se incluyen en los datos agregados. Los resultados agregados se comparten con los participantes del programa, por ejemplo en seminarios web, y con el Cliente solo si se acuerda expresamente.

El Interesado tiene los derechos que le reconoce el Reglamento General de Protección de Datos (RGPD) de la UE: consultar su información personal, modificarla o solicitar su modificación y, en determinadas circunstancias, solicitar la supresión de su información personal. Por tanto, el Interesado tiene derecho a solicitar a Sapiens que rectifique sin dilación indebida la información personal inexacta o incorrecta. El Interesado tiene derecho a solicitar la supresión de su información sin dilación indebida, por ejemplo, cuando los datos personales ya no sean necesarios para los fines originales, cuando se hayan tratado de forma ilícita, o cuando el Interesado retire su consentimiento al tratamiento y no exista otra base jurídica para este.

El Interesado tiene derecho a solicitar a Sapiens que limite el tratamiento en determinadas situaciones, por ejemplo, cuando impugne la exactitud de la información o cuando el tratamiento sea ilícito. En determinadas circunstancias, el Interesado también tiene derecho a oponerse al tratamiento.

En determinadas circunstancias, el Interesado puede tener derecho a solicitar que sus datos personales se transfieran de un sistema a otro. Siempre que la base jurídica del tratamiento de los datos personales sea el consentimiento, el Interesado tiene también derecho a retirarlo en cualquier momento.

Sapiens desea que cualquier controversia relativa al tratamiento de datos personales se resuelva, en primer lugar, de forma amistosa entre las partes. El Interesado tiene también derecho a presentar una reclamación ante la autoridad de control competente, en particular en el Estado miembro de la UE en el que tenga su residencia habitual o su lugar de trabajo, o en el que se haya producido la supuesta infracción. Para Sapiens (Bocholt, Alemania), la autoridad competente suele ser la Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf, Alemania, correo electrónico: poststelle@ldi.nrw.de, teléfono: +49 211 38424-0.

Cualquier solicitud para consultar, modificar o suprimir los datos personales deberá dirigirse a Sapiens en persona, o mediante carta firmada o un documento verificado de forma similar, para que Sapiens pueda confirmar que el solicitante tiene derecho a realizarla. La solicitud puede hacerse por correo electrónico si se utiliza la dirección registrada al usar el servicio. Sapiens puede necesitar identificar al Interesado y pedirle información adicional para atender este tipo de solicitudes.

Para ejercer cualquiera de estos derechos, contacte con nosotros en support@be-sapiens.com.

Esta descripción del tratamiento de datos personales se actualizó el 12 de octubre de 2026. Sapiens sigue los cambios legislativos y las instrucciones de las autoridades reguladoras relativos al tratamiento de datos personales y continúa desarrollando el servicio, por lo que se reserva el derecho a modificar esta descripción.

‍

Base jurídica de las transferencias internacionales y cumplimiento en múltiples jurisdicciones

Sapiens Health & Performance GmbH es una empresa alemana y aplica el RGPD como marco de cumplimiento de referencia. Cuando el Cliente (solo en el caso de Clientes B2B) o los participantes se encuentran fuera de la UE/EEE, Sapiens realiza una evaluación documentada de doble cumplimiento para garantizar que el tratamiento y las transferencias cumplen tanto el RGPD como la legislación local aplicable en materia de privacidad y protección de datos en la jurisdicción o jurisdicciones correspondientes.

Consentimiento y bases jurídicas: Sapiens se basa en el consentimiento explícito para tratar datos relativos a la salud y otras categorías especiales de datos, así como para cualquier uso opcional con fines de investigación. El consentimiento se recoge mediante un formulario de consentimiento documentado de Sapiens, se almacena en Microsoft Azure en la UE y puede retirarse en cualquier momento. Para los datos administrativos no relacionados con la salud (p. ej., administración de cuentas y del programa), Sapiens se basa en la ejecución del contrato y/o en obligaciones legales, según corresponda. La retirada del consentimiento no afecta a la licitud del tratamiento realizado antes de la retirada.

Transferencias internacionales: Cuando los participantes se encuentran fuera de la UE/EEE, sus datos se transferirán a la UE y se tratarán en ella. Para las transferencias desde terceros países hacia la UE, Sapiens aplica garantías y documentación adecuadas a cada jurisdicción. En función de los requisitos legales locales y del escenario de transferencia, Sapiens puede aplicar, entre otras: (i) vías de transferencia basadas en una decisión de adecuación, cuando la legislación local las reconozca, (ii) garantías contractuales (p. ej., cláusulas contractuales tipo o instrumentos equivalentes) y/o (iii) el consentimiento explícito del participante para las transferencias internacionales, cuando se exija. Sapiens minimiza la exposición transfronteriza garantizando que los terceros solo reciban ID de participante aleatorios y no datos de identificación personal, salvo consentimiento explícito u obligación legal. Para los participantes del Reino Unido, Sapiens aplica el RGPD del Reino Unido y la Ley de Protección de Datos de 2018 (Data Protection Act 2018). El Reino Unido y la UE reconocen mutuamente como adecuada su protección de datos. Según dónde se encuentren los participantes, Sapiens designa un representante en el Reino Unido conforme al Art. 27 del RGPD del Reino Unido. Los participantes pueden presentar una reclamación ante Sapiens o ante la UK Information Commissioner’s Office (ICO). Acusamos recibo de cada reclamación en un plazo de 30 días.

Pasos de cumplimiento previos a la contratación (aplicables a cualquier colaboración fuera de la UE/EEE): Antes de contratar con un Cliente de fuera de la UE/EEE, Sapiens lleva a cabo y documenta los siguientes pasos, según corresponda:

Identificar todas las jurisdicciones implicadas (ubicación del Cliente, de los participantes, del tratamiento y de los subencargados).
Mapear las categorías de datos (datos administrativos, datos de salud o de categorías especiales, muestras biológicas) y las finalidades del tratamiento.
Confirmar las normas locales sobre el tratamiento de datos de salud o sensibles (requisitos de consentimiento, requisitos de información, normas de investigación, requisitos de registro, restricciones a las transferencias internacionales).
Determinar los mecanismos de transferencia lícitos exigidos por la legislación local y aplicarlos (incluidos los contratos y la documentación).
Confirmar y formalizar las estructuras contractuales necesarias (acuerdos entre responsable y encargado, confidencialidad, obligaciones de seguridad, gestión de incidentes).
Verificar que los encargados y subencargados externos cumplen los requisitos de seguridad y privacidad y están vinculados por condiciones de tratamiento adecuadas.
Ultimar los avisos y consentimientos dirigidos a los participantes, incluida la información sobre transferencias internacionales.
Confirmar el plan de conservación y eliminación, el plan de respuesta a incidentes y la preparación para auditorías conforme a los requisitos locales

Otras medidas de cumplimiento normativo

Las siguientes descripciones definen los principios para garantizar el cumplimiento normativo de los servicios de Sapiens más allá de la normativa de privacidad de datos.

Todos los resultados son informativos y orientados al coaching e incluyen advertencias de que “no constituyen consejo médico”. Su coach de salud asignado de Sapiens interpreta sus resultados con usted. Algunos de nuestros coaches son médicos colegiados. Dentro de Sapiens, todos trabajan como coaches de salud: interpretan sus mediciones, explican la fisiología y diseñan su protocolo. No diagnostican, no tratan ni prescriben, no emiten recetas ni bajas médicas, y su programa de Sapiens no establece ninguna relación asistencial médico-paciente (Behandlungsvertrag). Cuando se necesita atención médica, la presta un médico colegiado de su elección, fuera de Sapiens. Todos los coaches han firmado acuerdos de confidencialidad y de encargo del tratamiento con Sapiens. Solo trabajan a través de cuentas seguras de be-sapiens.com con autenticación en dos pasos.

Sin diagnóstico ni tratamiento médico: Nosotros no ofrecemos diagnósticos médicos, prescripciones ni intervenciones terapéuticas de ningún tipo. Todas las observaciones y recomendaciones se refieren al estilo de vida (gestión del estrés, hábitos, etc.), y se informa claramente a los participantes de que no sustituyen a la atención médica. Incluiremos advertencias de que ningún componente del programa constituye un acto médico y recomendaremos a los participantes que consulten a un profesional sanitario si surge cualquier problema de salud (p. ej., si los resultados indican niveles de hormonas del estrés inusualmente altos). Al no atribuirnos la capacidad de curar o tratar enfermedades, garantizamos que el servicio queda fuera del ámbito de la práctica médica regulada.
Toma de muestras: Usted mismo recoge en casa las muestras de saliva y cabello, que no son invasivas. Si contrata un panel sanguíneo, usted mismo recoge en casa la sangre capilar con un dispositivo de toma domiciliaria con marcado CE. Si contrata una prueba de microbioma, usted mismo recoge en casa una muestra de heces. Cada muestra se etiqueta únicamente con su ID de participante aleatorio de seis letras, nunca con su nombre ni sus datos de contacto.
Dispositivos: Los dispositivos de medición utilizados en su programa, incluido el monitor de frecuencia cardiaca y ECG de Firstbeat y, si lo ha contratado, un monitor continuo de glucosa, se utilizan para el seguimiento del estrés, la recuperación y el estilo de vida. No los utilizamos para detectar, diagnosticar ni vigilar afecciones médicas, y no emitimos alertas médicas, declaraciones diagnósticas ni indicaciones de tratamiento basadas en las señales de los dispositivos.
Su coach de salud asignado de Sapiens interpreta sus resultados con usted. Algunos de nuestros coaches son médicos colegiados. Dentro de Sapiens, todos trabajan como coaches de salud, no como sus médicos responsables. No se establece ninguna relación médico-paciente, no se ofrecen servicios de urgencias y no se lleva historia clínica.
Reglas claras ante hallazgos anómalos: Aunque los marcadores y las mediciones de Sapiens están diseñados de forma que no permiten realizar diagnósticos clínicos, existen reglas claras en caso de hallazgos anómalos en estos marcadores de bienestar y estilo de vida. Por ejemplo, si los niveles de cortisol son anormalmente altos o bajos, se recomienda al cliente que acuda a un médico para hacerse una prueba médica. Los niveles bajos o altos de cortisol por sí solos no constituyen el diagnóstico de nada.
Sin intención de constituir un acto médico: El Servicio de Sapiens nunca pretende ser un acto médico. Si, conforme a la legislación local, alguna parte del servicio llegara a considerarse un acto médico, ese componente se elimina en la región correspondiente y/o se traslada a un profesional local habilitado (p. ej., Sapiens no ofrece análisis de sangre venosa, pero pueden realizarse con un profesional local habilitado).
Las muestras biológicas se limitan a saliva, cabello, sangre capilar y heces para los marcadores de bienestar descritos en esta política. Sapiens no secuencia ni analiza su ADN humano, no realiza pruebas de detección de drogas y no realiza ninguna prueba más allá de los marcadores de bienestar indicados.

Conservación y destrucción de las muestras: La conservación y la destrucción de las muestras de laboratorio siguen los procedimientos normalizados de trabajo (PNT) documentados del laboratorio. Tras el análisis y cualquier periodo definido de repetición a corto plazo (normalmente <14 días), el material restante de las muestras se destruye de forma segura (eliminación como residuo biológico) y no se almacena a largo plazo para fines ajenos, salvo acuerdo y consentimiento explícitos (p. ej., investigación).

Enfoque de responsabilidad: Sapiens mantiene una clara separación entre el coaching de bienestar y la atención médica para evitar la responsabilidad clínica asociada al diagnóstico o tratamiento médico. Los riesgos operativos se gestionan mediante protocolos y documentación: cadena de custodia, manipulación segura de los datos, acceso restringido, cifrado, procesos de respuesta a incidentes y asignación contractual formal de responsabilidades. Cuando el Cliente realiza actividades presenciales (p. ej., toma de cabello), la responsabilidad por esas actividades se asigna contractualmente, incluidas las obligaciones de seguir los protocolos de Sapiens, los requisitos de confidencialidad, la notificación de incidentes y la cooperación en caso de reclamaciones o investigaciones. Sapiens sigue siendo responsable de sus propias actividades de tratamiento, de la elaboración de informes, de la prestación del coaching y de la seguridad de sus sistemas y flujos de datos. En caso de incidente, Sapiens dispone de procesos de respuesta documentados y coopera con las partes interesadas pertinentes según exija la legislación aplicable.

Procesos de recogida de datos y muestras: Existen tres modalidades posibles de recogida de muestras biológicas, y cada una tiene implicaciones para el flujo de datos y la custodia:

Autorrecogida por el participante: Los participantes pueden recoger sus propias muestras en casa. Les enviaremos kits de recogida con instrucciones, un tubo de saliva (para el cortisol) y material para cortar un pequeño mechón de cabello de 3 cm de la parte posterior de la cabeza. Cada kit tendrá un código ID único (un código anonimizado de 6 letras) que el participante utilizará para etiquetar sus muestras en lugar de su nombre. A continuación, el participante enviará las muestras por correo en un paquete de envío seguro con la dirección ya impresa o las depositará en un punto postal designado. Este método mantiene el proceso personal y confidencial, ya que la muestra solo se etiqueta con el código y la identidad del participante solo se vincula a través de ese código en nuestros registros.
Recogida por personal de Sapiens (presencial): Como alternativa, el personal de Sapiens puede desplazarse al país del Cliente o de los usuarios para recoger muestras de los participantes (p. ej., durante una sesión programada). En este caso, nuestro personal obtendrá las muestras de saliva (los participantes escupen ellos mismos en los tubos) y cortará las muestras de cabello in situ. El personal de Sapiens etiquetará inmediatamente cada muestra con el código ID anonimizado del participante, la registrará y la guardará de forma segura. Las muestras permanecen bajo la custodia de Sapiens y se trasladan en mano o por mensajería a Alemania para su análisis. Aun así, los participantes cumplimentarán su consentimiento y una hoja de codificación del ID, de modo que ningún identificador personal viaje con las muestras.
Recogida por el Cliente o personal vinculado: Una opción posible es que personal local formado (p. ej., del Cliente colaborador) recoja las muestras de cabello. Esta opción solo se elige si el Cliente lo solicita expresamente. Por ejemplo, un asistente de investigación podría cortar y reunir los mechones de cabello de los participantes. En este caso, el procedimiento sigue siendo no médico, ya que no se realiza ninguna acción invasiva. El personal del Cliente seguiría los protocolos facilitados por Sapiens: utilizar los códigos preasignados, etiquetar y sellar las muestras y llevar un registro. Después, entregaría las muestras al personal de Sapiens u organizaría su envío seguro al laboratorio alemán conforme a las normas indicadas en este documento. Este enfoque requeriría un acuerdo claro de que el personal local mantiene la confidencialidad y sigue una manipulación adecuada. Si se utiliza, nos aseguraremos de que las personas que recojan las muestras localmente firmen acuerdos de confidencialidad y reciban instrucciones sobre los procedimientos de privacidad y manipulación.

Envío de muestras biológicas: Las muestras de saliva, cabello y otras muestras biológicas se envían como DHL Express o DHL Packages (no en sobres), con el triple embalaje exigido por la normativa IATA para líquidos, y se marcan como “Exempt Human Specimen” (muestra humana exenta). Los envíos llevan declaraciones de aduana exactas e incluyen toda la documentación de exportación o importación necesaria. Debido a la estabilidad de las muestras para el análisis de hormonas esteroideas, los envíos no son sensibles a la temperatura durante el periodo de entrega. Las muestras se etiquetan únicamente con el ID de participante aleatorio y no contienen el nombre ni la ubicación del interesado. El triple embalaje incluye un embalaje exterior estanco, un embalaje exterior rígido, una etiqueta de "exempt specimen", los datos del remitente (en este caso, el remitente indicado es "Sapiens Health & Performance GmbH", para proteger la identidad del usuario), una factura de aduanas cuando sea necesaria y, además, material absorbente y de amortiguación. Las muestras biológicas enviadas (saliva o cabello en la mayoría de los casos) se clasifican como "Exempt Human Specimen" por los siguientes motivos:

La muestra se envía con fines distintos del diagnóstico de una enfermedad infecciosa
La muestra tiene una baja probabilidad de contener agentes infecciosos
El usuario no es un paciente con antecedentes médicos, síntomas ni otras circunstancias relevantes, lo que implica un bajo riesgo de que la muestra contenga una sustancia infecciosa

Cadena de custodia: Cada muestra se etiqueta previamente con un ID de participante aleatorio para garantizar su trazabilidad. La saliva la recogen los participantes; el cabello pueden recogerlo los participantes, el personal de Sapiens o, si así se acuerda, el personal del cliente siguiendo las instrucciones de Sapiens. Cada paso de entrega (recogida, sellado, entrega para el envío, recepción, entrada en el laboratorio) se documenta. Sapiens mantiene este registro de cadena de custodia en una tabla de seguimiento en Excel almacenada en una infraestructura protegida de Microsoft Azure/Microsoft 365 (UE). Cualquier desviación (p. ej., paquete dañado, etiqueta ausente, discrepancia, retraso) se anota en un registro de incidentes y se gestiona conforme al procedimiento de respuesta a incidentes de Sapiens.

‍