En pocas palabras: Mosaico SAS es una aplicación independiente que consulta datos públicos del Servicio Andaluz de Salud (SAS). Tus datos personales se usan solo para que la app funcione (cuenta, bolsa, calendario, vivienda, juegos, suscripción premium): nunca los vendemos ni los cedemos para publicidad ajena. Puedes exportarlos tú mismo, ajustar tu visibilidad pública y eliminar tu cuenta de forma irreversible desde la propia aplicación. Esta página detalla, cláusula por cláusula, todo lo que exige el Reglamento General de Protección de Datos.
La presente Política de Privacidad regula el tratamiento de datos personales realizado a través de Mosaico SAS (en adelante, «la aplicación»), accesible desde https://mosaico-sas.es y desde sus aplicaciones móviles para Android e iOS.
Mosaico SAS es una aplicación independiente que consulta datos públicos del Servicio Andaluz de Salud (SAS). No tiene relación orgánica con el SAS ni con la Junta de Andalucía, ni representa oficialmente a institución alguna.
No estamos obligados a designar un Delegado de Protección de Datos conforme al artículo 37 del RGPD, por lo que no hemos designado ninguno. Cualquier cuestión relativa a privacidad puede dirigirse igualmente al correo electrónico indicado en la cláusula 1.
Tratamos tus datos conforme a los principios del artículo 5 del RGPD: licitud, lealtad y transparencia; limitación de finalidades; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. En aplicación del principio de minimización (privacidad desde el diseño), adoptamos decisiones técnicas que evitan recoger información innecesaria: por ejemplo, la imagen de los diplomas que escaneas nunca se almacena, y los documentos de vida laboral y nóminas se procesan al vuelo sin persistirse.
Centro de trabajo, categoría profesional, tipo de contrato y fechas asociadas. Facilitarlos es opcional y mejora las funciones personalizadas (percentil, llamamientos, avisos).
Muro de fundadores (skin «Fundador»): si contratas el plan Fundador, puedes optar por aparecer en el muro de nombres que desfila dentro de dicha skin. Para ello eliges voluntariamente el nombre o apodo mostrado (se rechazan teléfonos y correos) y dos colores de tinta, y autorizas expresamente su visualización junto a tu código profesional. El muro solo es visible para otros fundadores y para el personal de la aplicación (nunca en público). Puedes retirarte o cambiar estos datos en cualquier momento desde Ajustes → Mi muro de fundador, y desaparecen con tu cuenta si la eliminas.
Búsquedas guardadas, favoritos vinculados a otros usuarios por su código profesional, seguimientos de listados y preferencias de notificación. Los listados, notas de corte y nombramientos consultados son datos públicos; lo que tratamos son tus interacciones con ellos.
Turnos, rotatorios, guardias, eventos, intercambios de turno propuestos o aceptados, festivos marcados y estructura hospitalaria consultada. Si activas la sincronización con tu Google Calendar (opcional), solo se crean y actualizan los eventos de tus turnos en tu propio calendario mediante la conexión oficial de Google que tú autorizas; no leemos ni almacenamos el resto de tu agenda.
Anuncios que publiques (modalidad, descripción, hasta 5 fotografías comprimidas, precio, coordenada aproximada, zona básica de salud asociada) y los mensajes intercambiados en el chat con otros usuarios. Los anuncios públicos muestran únicamente la zona aproximada (municipio/ZBS), nunca la dirección exacta. No está permitido publicar números de teléfono en título o descripción.
Puntos de experiencia (XP), nivel, racha, logros, retos, actividad registrada, partidas de AndaGuesser y Duelos, intentos del quiz EKG y totales numéricos diarios de pasos del podómetro «Quema Zuecos». Del podómetro sincronizamos exclusivamente totales numéricos agregados de pasos; ningún otro dato derivado de las plataformas de salud del dispositivo sale de este tratamiento, que se realiza mayoritariamente en tu propio dispositivo. La actividad registrada se utiliza además, de forma agregada e interna, para las estadísticas de uso y mejora del servicio descritas en la cláusula 5 (por ejemplo, cuántas personas usan cada módulo): nunca se muestra de forma individual ni se cede a terceros.
El pago se procesa íntegramente mediante Stripe Payments Europe Ltd. Nosotros no recibimos ni almacenamos números de tarjeta: conservamos únicamente identificadores de cliente/suscripción de Stripe y el historial mínimo necesario para gestionar tu acceso premium y la facturación durante los plazos exigidos por la normativa fiscal y de consumo.
Identificador de chat de Telegram (chat_id) de quienes se suscriban voluntariamente al bot de novedades. Véase la cláusula 17.
Registros técnicos del servidor (direcciones IP, tipo de cliente, marcas temporales) generados por la infraestructura con fines exclusivos de seguridad, diagnóstico y continuidad del servicio, conservados durante plazos operativos reducidos.
No tratamos categorías especiales de datos del art. 9 RGPD. Los documentos laborales que subes (vida laboral, nóminas) contienen datos económicos y laborales, pero no categorías especiales, y además no se almacenan (cláusula 4.5).
| Tratamiento | Finalidad | Base jurídica (RGPD) |
|---|---|---|
| Gestión de cuenta y registro | Crear y mantener tu usuario, autenticarte, verificar email y edad | Ejecución de contrato (art. 6.1.b) |
| Bolsa, percentil, llamamientos y búsquedas | Vincularte con tu candidatura en listados públicos y mostrarte posición, evolución y avisos | Ejecución de contrato (art. 6.1.b) |
| Calendario, turnos, guardias e intercambios | Prestar las herramientas de organización laboral | Ejecución de contrato (art. 6.1.b) |
| Herramientas de carrera (diplomas, vida laboral, nóminas) | Extraer méritos y generar informes | Ejecución de contrato (art. 6.1.b) |
| Vivienda y su chat | Publicar anuncios y contactar entre usuarios | Ejecución de contrato (art. 6.1.b) |
| Suscripción premium y pagos | Gestionar cobros y acceso a funciones de pago | Ejecución de contrato (art. 6.1.b) |
| Canal Telegram | Enviarte novedades si te suscribes | Consentimiento (art. 6.1.a) |
| Ranking y visibilidad pública de tu perfil | Aparecer en leaderboards y búsqueda de usuarios | Consentimiento configurable (arts. 6.1.a y 7) |
| Publicidad de Google AdSense (versión web) | Mostrar anuncios que sostienen el servicio cuando el espacio no lo ocupa publicidad directa | Consentimiento (art. 6.1.a y art. 22 LSSI) — ver cláusula 14 |
| Seguridad, control antiabuso y límites de peticiones | Prevenir fraude, abuso y ataques; garantizar disponibilidad | Interés legítimo (art. 6.1.f) |
| Métricas internas agregadas y mejora del servicio | Analizar de forma agregada el uso de la aplicación (altas, usuarios activos, uso por módulo, ingresos) para mejorarla. Solo recuentos: nunca se exponen datos individuales, ni se usan con fines publicitarios | Interés legítimo (art. 6.1.f) |
| Copias de seguridad cifradas | Garantizar la recuperación ante incidentes | Interés legítimo (art. 6.1.f) |
Obligatoriedad de facilitar los datos: únicamente los datos de registro (cláusula 4.1) son necesarios para celebrar el contrato; sin ellos no podemos crear tu cuenta. Todos los demás tratamientos son opcionales, y su ausencia solo reduce funcionalidades. Cuando la base sea el interés legítimo, puedes oponerte conforme a la cláusula 10.
La aplicación realiza cálculos automatizados (percentil sobre listados públicos, clasificación en rankings, emparejamiento de duelos, asignación de XP). Ninguno constituye una decisión individualizada basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o te afecte significativamente en términos similares (art. 22 RGPD): son métricas informativas y estadísticas basadas en datos públicos o en tu propia actividad. No elaboramos perfiles con fines publicitarios. Las métricas internas de uso (cláusula 5) son recuentos agregados: no identifican a personas concretas ni se muestran de forma individual. Si no deseas aparecer en rankings públicos, puedes desactivarlo en Ajustes (visibilidad pública y código en ranking).
| Dato | Plazo de conservación | Criterio |
|---|---|---|
| Datos de cuenta, perfil, calendario, vivienda, gamificación | Mientras mantengas la cuenta activa | Borrado irreversible al eliminar la cuenta (cláusula 10) |
| Registro de consentimiento | Vinculado a la cuenta | Necesario para poder acreditar la aceptación (art. 7.1 RGPD) |
| Copias de seguridad cifradas | Máximo 60 días | Rotación semanal; purga automática posterior |
| Informes de méritos generados | 7 días | Caducidad automática |
| Suscripción Telegram | Hasta que envíes /stop | Baja inmediata del canal |
| Datos técnicos del servidor | Plazos operativos cortos | Diagnóstico técnico y seguridad |
| Identificadores de facturación | Plazos legales aplicables | Normativa fiscal y de consumo |
No comunicamos tus datos a terceros salvo a los prestadores siguientes, contratados como encargados de tratamiento conforme al art. 28 RGPD:
| Encargado | Servicio | Datos tratados | Sede |
|---|---|---|---|
| Stripe Payments Europe Ltd. | Procesamiento de pagos | Datos de pago (gestionados en la plataforma de Stripe); nosotros solo recibimos identificadores | UE / EE.UU. (cláusula 9) |
| Google (API Gemini) | Generación de resúmenes automáticos de noticias públicas BOE/BOJA | Contenido de noticias públicas; ningún dato de usuarios | EE.UU. (cláusula 9) |
| Google (API Calendar) | Sincronización opcional de tus turnos con tu propio Google Calendar | Identificador de tu calendario y el token de conexión que tú autorizas (cifrado) | EE.UU. (cláusula 9) |
| Proveedores de IA para contenido público (DeepSeek, Groq, OpenRouter, Cloudflare, Pollinations) | Formateo de convocatorias de empleo público (OOE) y generación de imágenes de anuncios | Solo documentos y textos públicos (BOJA/BOE); ningún dato personal de usuarios | Varios (EE.UU., UE, China) — sin datos personales, no aplica la cláusula 9 |
| QRCode Monkey | Estilizado SVG del código QR personal | Tu código profesional | Unión Europea |
| Komoot GmbH (geocoder Photon / OpenStreetMap) | Búsqueda de calle al publicar en Vivienda | Texto de dirección buscado, sin identidad | Unión Europea |
| Infraestructura propia (VPS Contabo en Francia — UE; servidor de respaldo en España) | Alojamiento de la aplicación y la base de datos | Todos los anteriores | Francia (UE) / España |
| IONOS SE (correo transaccional SMTP del dominio) | Envío de verificación de email, seguridad y avisos desde no-responder@mosaico-sas.es | Nombre y correo electrónico del destinatario | Unión Europea |
Adicionalmente, podríamos comunicar datos a autoridades públicas cuando exista obligación legal. Las plataformas de salud del dispositivo (Health Connect / HealthKit) procesan los pasos en tu propio dispositivo: hacia nuestro servidor solo viajan totales numéricos.
Los encargados con sede fuera del Espacio Económico Europeo son:
Puedes consultar la certificación de ambos en la lista oficial dataprivacyframework.gov. No realizamos otras transferencias internacionales.
Conforme a los arts. 15 a 21 del RGPD, puedes ejercer en cualquier momento los siguientes derechos:
Responderemos en el plazo máximo de un mes desde la solicitud, prorrogable dos meses más en casos de especial complejidad (art. 12.3 RGPD). Podremos pedirte información adicional para verificar tu identidad cuando exista duda razonable.
Si consideras vulnerados tus derechos de protección de datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001, Madrid; sede electrónica www.aepd.es). Asimismo, asistes al derecho a la tutela judicial efectiva.
Cuando el fundamento del tratamiento sea tu consentimiento, puedes retirarlo en cualquier momento, con la misma facilidad con la que lo otorgaste (art. 7.3 RGPD): mediante los interruptores de Ajustes (visibilidad, notificaciones, difusión), con el comando /stop en Telegram, cambiando tu elección de publicidad desde Ajustes, o eliminando tu cuenta. La retirada no afecta a la licitud del tratamiento realizado antes de ella.
Aplicamos medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD), entre otras:
En caso de violación de la seguridad que suponga un alto riesgo, notificaremos a la Agencia Española de Protección de Datos sin dilación indebida y, en todo caso, en el plazo de 72 horas (art. 33 RGPD), y te informaremos a ti sin demora cuando proceda (art. 34 RGPD). Para poder cumplir estos plazos disponemos de un procedimiento interno de gestión de brechas de seguridad.
No utilizamos cookies propias de seguimiento ni de análisis. Guardamos en el almacenamiento local del navegador (o Capacitor Preferences en la app) únicamente datos funcionales, exentos de consentimiento conforme al art. 22.2 LSSI:
| Elemento (localStorage / Capacitor Preferences) | Propósito | Duración |
|---|---|---|
| Token de sesión | Mantenerte identificado | Hasta cerrar sesión o expiración (30 días) |
| Preferencias visuales (tema, ciudad, estilo, tamaño de fuente, animaciones) | Personalización de la interfaz | Hasta que las modifiques o borres datos del navegador |
| Estado del tutorial y elección de publicidad | No repetir el tour inicial ni volver a preguntar por las cookies | Persistente |
| Historial local de la conversación con Teselia | Recordar tu conversación con la asistente | Persistente; nunca sale de tu dispositivo |
La publicidad directa de la aplicación (anuncios propios y diegéticos, integrados en la interfaz) no instala cookies ni píxeles de seguimiento y no se basa en tu perfil. Los anuncios recompensados conceden ventajas internas (XP) y nunca condicionan el acceso a contenido esencial.
Cuando el espacio publicitario no está ocupado por anuncios directos, la versión web puede rellenarlo con anuncios de Google AdSense. La aplicación móvil nunca carga AdSense ni sus cookies.
Al cargar AdSense, Google (incluida DoubleClick, a través de los dominios pagead2.googlesyndication.com y googleads.g.doubleclick.net) puede instalar cookies de terceros (identificadores como _gads, IDE, AID, DSID, NID u otros equivalentes). Antes de la primera carga te lo preguntamos con un aviso y puedes elegir entre tres opciones, en cualquier momento y con la misma facilidad (también desde Ajustes > Privacidad):
La publicidad personalizada (o, en su caso, el uso de cookies de la red publicitaria) solo se activa con tu consentimiento. Si no eliges nada, no se carga AdSense. Además, puedes configurar tus preferencias de anuncios de Google en adssettings.google.com, consultar www.aboutads.info o bloquear las cookies de terceros desde tu navegador. Si haces clic en un anuncio y accedes al sitio del anunciante, allí regirá su propia política.
Para registrarte se exige tener al menos 14 años (art. 7 LOPDGDD y art. 8 RGPD), verificando la fecha de nacimiento facilitada. Las cuentas detectadas como pertenecientes a menores de esa edad serán suprimidas. Se recomienda a padres y tutores contactarnos si consideran que un menor ha facilitado datos.
Algunas noticias de la sección Noticias incluyen vídeos de canales oficiales del SAS (hospitales, agencias sanitarias) incrustados directamente en la aplicación. Para reproducirlos utilizamos los reproductores embebidos oficiales de YouTube (youtube-nocookie.com) y Vimeo (player.vimeo.com).
Al cargar o reproducir estos vídeos, las respectivas plataformas pueden instalar sus propias cookies y recopilar datos de uso (dirección IP, identificadores de sesión, preferencias de reproducción) conforme a sus políticas de privacidad:
La versión de YouTube que usamos (youtube-nocookie.com) está diseñada para no instalar cookies de seguimiento publicitario hasta que el usuario interactúa con el reproductor. No enviamos ningún dato personal a estas plataformas más allá de los técnicos inherentes a la carga del reproductor.
El bot de Telegram funciona por identificador de chat (chat_id), sin necesidad de cuenta de Mosaico SAS. Es un tratamiento independiente: puedes darte de baja en cualquier momento con /stop. Si eliminas tu cuenta de Mosaico SAS, la suscripción de Telegram (si la tienes aparte) no se ve afectada; deberás darte de baja expresamente con /stop.
El botón «Mi ubicación» del mapa usa la geolocalización del dispositivo únicamente para centrar el mapa en tu posición. La posición no se almacena en el dispositivo ni en el servidor y no se envía a terceros. En Hogar Mosaico, si publicas un anuncio, la coordenada que indiques se usa para mostrarlo en el mapa y para búsquedas por radio de otros usuarios; el anuncio solo muestra la zona aproximada (municipio/ZBS), nunca la dirección exacta. Si usas el buscador de calle al publicar (geocoder Photon sobre OpenStreetMap), esa búsqueda se envía a Photon para obtener coordenadas; no incluye tu identidad ni tus datos de usuario.
Podemos actualizar esta política para reflejar cambios normativos o funcionales. Publicaremos siempre la versión vigente en esta página, con fecha de actualización, y te avisaremos dentro de la aplicación (y, cuando el cambio sea sustancial, por correo electrónico) antes de su entrada en vigor. Registramos qué versión aceptaste en cada momento; si un cambio exigiera nueva aceptación, te la solicitaremos en tu próximo uso.
Esta política se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 34/2002 (LSSI), así como por la normativa de consumidores aplicable a las suscripciones premium (cuyas condiciones contractuales se detallan en los Términos de Uso). Para cualquier controversia, serán competentes los tribunales que correspondan conforme a la normativa de consumidores, sin perjuicio de tu derecho a acudir a la AEPD (cláusula 11).