Política de privacidad y tratamiento de datos personales

Vigente desde el 19 de octubre de 2026 · Versión 1.1 · Actualizada el 23 de octubre de 2026

En resumen

Read Me guarda lo que escribes para que tú y tu terapeuta puedan verlo. Nadie más.
No vendemos tus datos ni los usamos para publicidad.
No usamos cookies de rastreo ni herramientas de analítica.
Puedes borrar tu cuenta y tus datos cuando quieras desde tu perfil.

1. Quién es responsable de tus datos

La responsable del tratamiento de los datos personales es:

Nombre: Valery Michell Ariza Hernandez, persona natural
Domicilio: Barranquilla, Atlántico, Colombia
Correo: privacidad@readme.lat
Teléfono: +57 324 314 2355
Sitio: https://readme.lat

Esta política se rige por la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y las demás normas colombianas de protección de datos personales.

2. Qué es Read Me

Read Me es una aplicación que acompaña el proceso terapéutico: conecta a una persona (paciente) con su terapeuta para compartir recordatorios, registros de ánimo, un diario, ejercicios y mensajes. Read Me es una herramienta de apoyo. No presta servicios de salud, no hace diagnósticos y no reemplaza la atención de un profesional.

3. Qué datos tratamos

Datos de tu cuenta

Nombre, correo electrónico y rol (paciente o terapeuta).
Contraseña, guardada de forma cifrada e irreversible. No podemos verla.
Foto de perfil, si decides subir una.

Datos que registras en la app (datos sensibles)

La información sobre tu salud y tu estado emocional es un dato sensible según la ley colombiana. No estás obligado a entregarla y solo la tratamos con tu autorización expresa. Incluye:

Registros emocionales (situación, pensamiento, emoción, conducta y consecuencias).
Chequeo de ánimo diario y registro de sueño.
Entradas del diario y resultados de la rueda de emociones.
Recordatorios, su cumplimiento y las fotos de confirmación que subas.
Ejercicios, logros y tareas asignadas por tu terapeuta.
Mensajes entre paciente y terapeuta.
Citas programadas.

Datos que registra el terapeuta

Notas privadas sobre sus pacientes, visibles solo para ese terapeuta.
Ejercicios, logros, recordatorios y citas que crea para sus pacientes.

Datos técnicos

El identificador que tu navegador genera para enviarte notificaciones, si las activas.
Códigos temporales de verificación de correo y de recuperación de contraseña.

4. Para qué usamos tus datos

Crear y proteger tu cuenta.
Mostrarte tu información y compartirla con el terapeuta al que tú decidas vincularte.
Enviarte recordatorios, avisos de citas y correos de verificación.
Analizar de forma automática los pensamientos que escribes en el registro emocional, como se explica en la sección 6.
Mantener la seguridad de la aplicación y corregir fallas.
Atender tus consultas y reclamos.

No usamos tus datos para publicidad, no elaboramos perfiles comerciales y no los vendemos ni los cedemos a terceros para sus propios fines.

5. Quién puede ver tu información

Tú.
Tu terapeuta, únicamente si tú te vinculas con su código de invitación y aceptas compartir tu información. Desde ese momento puede ver tus registros, tu diario y tu cumplimiento de recordatorios.
La responsable de Read Me, solo cuando sea indispensable para dar soporte técnico, garantizar la seguridad o cumplir una obligación legal.
Autoridades, cuando exista una orden legal válida.

El terapeuta es responsable del uso que haga de la información de sus pacientes, del secreto profesional y de llevar su propia historia clínica conforme a las normas de su profesión. Read Me no es un sistema de historia clínica.

6. Análisis automático de pensamientos

Cuando guardas un registro emocional, un modelo automático propio de Read Me revisa el texto del campo «pensamiento» y puede sugerir un posible patrón de pensamiento (por ejemplo, «generalización»). Ten en cuenta que:

Es una sugerencia orientativa. No es un diagnóstico ni una valoración clínica, y puede equivocarse.
El análisis se hace en nuestros propios servidores. El texto no se envía a servicios externos de inteligencia artificial.
La sugerencia queda guardada junto al registro y tu terapeuta puede verla.
No se toma ninguna decisión automática sobre ti a partir de ese análisis.

Uso opcional de tus registros para mejorar el modelo

Solo si lo autorizas en tu perfil («Ayúdanos a mejorar»), podremos usar el texto de tus registros emocionales para revisar cómo funciona el modelo y enseñarle a reconocer mejor los patrones. En ese caso:

Usamos el texto sin tu nombre, correo ni otros datos de contacto. Si el texto incluye nombres u otros datos que te identifiquen, los quitamos antes de usarlo.
Solo lo revisa la responsable del tratamiento, y no se comparte con terceros.
Es voluntario: no darlo no cambia nada en tu uso de Read Me, y puedes retirarlo en cualquier momento desde tu perfil. Al retirarlo dejamos de usar tus registros a partir de ese momento.
Los registros de quienes no dan este permiso nunca se usan para entrenar el modelo.

7. Proveedores que nos ayudan a prestar el servicio

Para funcionar, Read Me usa servicios de terceros que actúan como encargados del tratamiento. Solo reciben los datos necesarios para su función:

Railway (Estados Unidos): alojamiento de la aplicación y de la base de datos.
Resend (Estados Unidos): envío de correos de verificación y recuperación de contraseña.
Servicios de notificaciones de tu navegador (por ejemplo Google, Apple o Mozilla): entrega de notificaciones push, si las activas.
Google Fonts: carga de las tipografías del sitio.
Google Calendar: solo si un terapeuta decide conectar su calendario (sección 8).
Servicio de dictado por voz de tu dispositivo o navegador (por ejemplo Google o Apple): solo si decides dictar en lugar de escribir. Ese servicio recibe el audio para convertirlo en texto según sus propias políticas. Read Me no graba ni almacena tu voz; solo guarda el texto que tú confirmas.

Esto implica que tus datos se almacenan y procesan en servidores ubicados fuera de Colombia. Al aceptar esta política autorizas esa transferencia internacional.

8. Uso de datos de Google Calendar

Los terapeutas pueden conectar de forma opcional su cuenta de Google para que las citas que agenden en Google Calendar aparezcan en Read Me. Los pacientes nunca conectan una cuenta de Google. Si un terapeuta conecta su calendario:

A qué datos accedemos: pedimos un único permiso, de solo lectura de eventos (calendar.events.readonly). De los eventos de los próximos 60 días leemos solo estos campos: el identificador del evento, si está cancelado, la fecha y hora de inicio, y los correos de los invitados con su respuesta a la invitación. No leemos títulos, descripciones, ubicaciones, adjuntos ni ningún otro campo. También leemos y guardamos el correo de la cuenta de Google conectada (el nombre del calendario principal), para mostrarle al terapeuta cuál cuenta tiene vinculada.
Para qué los usamos: comparamos los correos de los invitados con los pacientes que ya están vinculados a ese terapeuta en Read Me. Si hay coincidencia, creamos la cita en el perfil del paciente, se la mostramos en su pantalla de inicio y le enviamos un aviso una hora antes. No hacemos ningún otro uso.
Qué guardamos: de los eventos que incluyen a un paciente vinculado, solo el identificador del evento y la fecha y hora de inicio, como una cita. Los eventos que no incluyen a un paciente vinculado se descartan de inmediato y no se guardan. Los correos de los invitados no se almacenan.
Con quién los compartimos: con nadie. La cita solo la ven el terapeuta y el paciente involucrado. Los datos de Google no se usan para publicidad, no se venden, no se transfieren a terceros y no se usan para entrenar modelos de inteligencia artificial.
Cómo los protegemos: la credencial de acceso que entrega Google (token de actualización) se guarda cifrada con AES-256-GCM y solo el servidor de Read Me puede usarla. Todas las comunicaciones usan HTTPS. El detalle de todas las medidas está en la sección 12.
Cuánto tiempo los conservamos: la credencial y el correo de la cuenta conectada se eliminan en cuanto el terapeuta desconecta su calendario o elimina su cuenta. Si un evento se borra o se mueve en Google Calendar mientras el calendario está conectado, la cita se borra o se actualiza en Read Me. Las citas ya creadas se conservan como parte del perfil del paciente hasta que se eliminen o se elimine alguna de las cuentas.
Cómo revocar el acceso: desde el perfil del terapeuta en Read Me (botón "Desconectar") o en myaccount.google.com/permissions. Para pedir la eliminación de cualquier dato, escribe a privacidad@readme.lat.

El uso y la transferencia que Read Me hace de la información recibida de las API de Google cumple con la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

Google user data (English summary)

Data accessed: only therapists can optionally connect Google Calendar, with the single read-only scope calendar.events.readonly. For events in the next 60 days we request only these fields: event ID, event status (to detect cancellations), start date/time, and attendee email addresses with their response status. We do not read titles, descriptions, locations or attachments. We also read and store the email address of the connected Google account (the primary calendar name) so the therapist can see which account is linked.
Data use: attendee emails are matched against patients already linked to that therapist in Read Me. On a match, we create an appointment that is shown on the patient's home screen, with a reminder one hour before. No other use is made of the data.
Data storage: for matching events we store only the event ID and start date/time. Non-matching events are discarded immediately. Attendee emails are not stored.
Data sharing: none. Google user data is not sold, not used for advertising, not transferred to third parties and not used to train AI models. An appointment is visible only to the therapist and the patient involved.
Data protection: the OAuth refresh token is encrypted at rest with AES-256-GCM, access tokens are never stored, and all traffic uses HTTPS. See the full list of data protection mechanisms in section 12.
Data retention and deletion: the refresh token and the connected account email are deleted as soon as the therapist disconnects Google Calendar or deletes their account. Appointments are updated or deleted when the event changes or is removed in Google Calendar while connected, and are otherwise kept until deleted or until either account is deleted. Users can request deletion at privacidad@readme.lat or revoke access at myaccount.google.com/permissions.

Read Me's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

9. Cookies y almacenamiento en tu dispositivo

Read Me no usa cookies de publicidad ni de analítica y no rastrea tu actividad en otros sitios. Para funcionar guarda en el almacenamiento local de tu navegador únicamente lo necesario:

Tu sesión iniciada, para que no tengas que ingresar cada vez.
Tus preferencias: tema de color, idioma y modo tranquilo.
Pequeñas marcas de uso, como si ya viste la bienvenida.

Esta información se queda en tu dispositivo y se borra al cerrar sesión o al limpiar los datos del navegador. Como es estrictamente necesaria para prestar el servicio, no requiere un aviso de consentimiento aparte.

10. Tus derechos

Como titular de tus datos tienes derecho a:

Conocer, actualizar y rectificar tus datos.
Pedir prueba de la autorización que nos diste.
Saber qué uso les hemos dado.
Revocar la autorización y pedir que eliminemos tus datos.
Acceder gratis a tus datos.
Presentar quejas ante la Superintendencia de Industria y Comercio (SIC).

Cómo ejercerlos

Desde la app: puedes editar tu perfil, borrar tus registros y eliminar tu cuenta de forma definitiva desde el menú de usuario.
Por correo: escribe a privacidad@readme.lat desde el correo de tu cuenta, indicando tu nombre y qué solicitas.

Respondemos las consultas en un máximo de 10 días hábiles y los reclamos en un máximo de 15 días hábiles, contados desde el día siguiente al recibo. Si necesitamos más tiempo, te lo informaremos antes de que venza el plazo, como lo permite la ley.

11. Cuánto tiempo conservamos tus datos

Conservamos tu información mientras tu cuenta esté activa. Si eliminas tu cuenta, borramos tus datos personales de nuestra base de datos. Los códigos de verificación y de recuperación de contraseña vencen a los pocos minutos.

Si te desvinculas de un terapeuta, este deja de tener acceso a tu información en Read Me.

12. Cómo protegemos tu información

Read Me trata datos sensibles (sobre tu salud y tu estado emocional) y datos de Google Calendar de los terapeutas que lo conectan. Estos son los mecanismos concretos con los que los protegemos:

Cifrado

En tránsito: toda la comunicación entre tu dispositivo, Read Me, nuestro servicio de análisis y Google viaja cifrada con HTTPS (TLS).
Contraseñas: nunca se guardan en texto. Se almacenan transformadas con bcrypt, un algoritmo irreversible; ni siquiera nosotros podemos verlas.
Credenciales de Google: el token de actualización que entrega Google se guarda cifrado con AES-256-GCM, con una clave que solo conoce el servidor. El token de acceso temporal se usa en memoria y no se guarda.
Claves del sistema: las claves de cifrado, de la base de datos y de los servicios externos se guardan como variables de entorno protegidas del servidor, nunca en el código ni en repositorios.

Control de acceso

Para entrar se necesita correo verificado y contraseña. La sesión usa un token firmado que vence a los 30 días.
El servidor verifica en cada solicitud quién la hace: cada persona solo accede a su propia información y cada terapeuta solo a la de los pacientes que se vincularon con él usando su código.
Las notas privadas del terapeuta nunca se envían al paciente.
Limitamos los intentos de inicio de sesión y registro para frenar ataques de fuerza bruta, y solo nuestro propio dominio puede usar la API desde el navegador.
La conexión con Google usa un código de verificación firmado y de un solo uso, que vence en 10 minutos, para que nadie pueda conectar un calendario a una cuenta ajena.
El servicio que analiza los pensamientos solo acepta solicitudes de nuestro servidor, con una clave privada, y no guarda los textos que analiza.
El acceso administrativo a los servidores y a la base de datos está restringido a la responsable del tratamiento.

Minimización

Solo pedimos los datos necesarios para cada función. De Google Calendar pedimos un único permiso de solo lectura y únicamente los campos indicados en la sección 8.
Los eventos de calendario que no incluyen a un paciente vinculado se descartan sin guardarse, y los correos de los invitados no se almacenan.
No usamos herramientas de analítica ni de publicidad de terceros, y no vendemos ni compartimos datos.

Conservación y eliminación

Cuando eliminas tu cuenta, borramos tu información de la base de datos, incluidas las credenciales de Google si las había.
Cuando un terapeuta desconecta Google Calendar, borramos de inmediato su token cifrado.

Incidentes

Ningún sistema es infalible. Si llegara a ocurrir un incidente de seguridad que afecte tus datos, lo investigaremos, tomaremos medidas para contenerlo, te avisaremos y lo reportaremos a la Superintendencia de Industria y Comercio, como exige la ley colombiana.

Data protection mechanisms (English summary)

Encryption in transit: all traffic between the user's device, Read Me, our analysis service and Google uses HTTPS (TLS).
Passwords: stored only as bcrypt hashes, never in plain text.
Google user data: the OAuth refresh token is encrypted at rest with AES-256-GCM using a server-side key; access tokens are used in memory only and never stored. We request only the calendar.events.readonly scope and only the event ID, status, start time and attendee emails. Non-matching events are discarded and attendee emails are not stored.
Secrets management: encryption keys, database credentials and API keys are kept in protected server environment variables, never in source code or repositories.
Access control: email-verified login, signed session tokens that expire after 30 days, server-side authorization on every request (users access only their own data; therapists only their linked patients), rate limiting on authentication, API restricted to our own domain, signed single-use OAuth state that expires in 10 minutes, and administrative access to servers and database restricted to the data controller.
No third-party sharing: no analytics or advertising tools; data is never sold or shared. Google user data is not used to train AI models.
Retention and deletion: account deletion removes the user's data, including Google credentials; disconnecting Google Calendar immediately deletes the encrypted token.
Incident response: any security incident affecting user data is investigated, contained, notified to affected users and reported to Colombia's data protection authority (Superintendencia de Industria y Comercio).

13. Menores de edad

Read Me está dirigida a personas mayores de 18 años. No recogemos a sabiendas datos de menores de edad. Si crees que un menor creó una cuenta, escríbenos y la eliminaremos.

14. Si estás en una emergencia

Read Me no es un servicio de emergencias y nadie revisa los registros en tiempo real. Si estás en crisis o en riesgo, llama a la línea de emergencias 123, a la línea nacional de salud mental 192 (opción 4) o acude al servicio de urgencias más cercano. En Barranquilla también está la Línea de la Vida, (605) 339 9999, y en el Atlántico la línea Habla y te Sanas, 317 621 8394, ambas las 24 horas.

15. Cambios a esta política

Si hacemos cambios importantes, te avisaremos dentro de la aplicación o por correo antes de que empiecen a regir. La fecha de la versión vigente aparece al inicio de este documento.

¿Dudas? Escríbenos a privacidad@readme.lat · Términos y condiciones