Política de privacidad

1. Responsable del tratamiento

Bayer Hispania, S.L.U. (en adelante, “Bayer” o “nosotros”), con domicilio en Av. Baix Llobregat 3-5, 08970 Sant Joan Despí (Barcelona), España. CIF: B-08193013.

Contacto del delegado de Protección de Datos (DPD/DPO): Puede contactar con nuestro Delegado de Protección de Datos enviando una carta a la dirección postal indicada (a la atención de “Oficina de Protección de Datos”) o mediante correo electrónico a oficinaprotecciondatos@bayer.com. Este punto de contacto atiende cualquier consulta o solicitud relacionada con la privacidad y el tratamiento de sus datos personales.

2. Datos Personales Tratados, Finalidades y Base Jurídica

En este sitio web recopilamos y tratamos datos personales de profesionales sanitarios para las siguientes finalidades. Para cada categoría de datos, se indica la finalidad específica y la base jurídica (legitimación) que permite su tratamiento conforme al RGPD:

2.1 Navegación y uso del sitio web (datos técnicos y cookies)

Al acceder y navegar por nuestro sitio web, se recopilan datos técnicos de forma automática, tales como la dirección IP, fecha y hora de acceso, páginas consultadas, idioma del navegador, zona horaria, sistema operativo, identificadores del dispositivo o navegador, y estado de la solicitud (p. ej., código HTTP). Estos datos se tratan para permitir la carga y visualización adecuada de la página, asegurar la estabilidad y seguridad de nuestros sistemas, y realizar análisis agregados del uso de la web. La base jurídica principal de este tratamiento es la ejecución de la relación de servicio al usuario que implica mostrar el sitio y sus funciones (Art. 6.1.b RGPD). Adicionalmente, el almacenamiento temporal de ciertos datos de conexión en registros (logs) para fines de seguridad (por ejemplo, detección de accesos no autorizados o ataques) se basa en nuestro interés legítimo en proteger el sitio y prevenir usos indebidos (Art. 6.1.f RGPD).

En cuanto al uso de cookies y tecnologías similares, distinguimos entre:

Cookies necesarias (funcionales): Son esenciales para el funcionamiento básico del sitio (por ejemplo, mantener su sesión iniciada o recordar preferencias de idioma). Se instalan automáticamente al acceder y la base jurídica es nuestro interés legítimo en prestar un servicio funcional (Art. 6.1.f RGPD), dado que sin ellas el sitio no puede operar correctamente.

Cookies opcionales (analíticas y de personalización/publicidad): Nos ayudan a analizar el tráfico, entender la interacción de los usuarios con la web, personalizar contenido o mostrar publicidad dirigida relacionada con nuestros productos. No las instalaremos sin su consentimiento previo explícito (Art. 6.1.a RGPD). Al ingresar por primera vez, verá un banner de cookies solicitando su consentimiento para estas cookies opcionales. Podrá aceptar todas, configurarlas por categorías, o rechazarlas. Su elección será respetada; en caso de dar consentimiento, se almacenará una cookie de preferencia y, al caducar esta o si las borra, se le volverá a preguntar. Siempre puede revocar su consentimiento posteriormente desde nuestro Centro de Preferencias de Cookies o ajustando la configuración de su navegador para bloquear o eliminar cookies. Tenga en cuenta que bloquear completamente las cookies puede afectar a la funcionalidad del sitio o a la experiencia de usuario, pero nunca impedirá el acceso a los contenidos esenciales.

2.2 Registro de cuenta y verificación de profesional sanitario

Este sitio está dirigido exclusivamente a los profesionales de la salud pertenecientes al colectivo de expertos farmacéuticos y técnicos de farmacia de España. Para acceder a ciertas secciones, deberá registrarse y proporcionar datos personales que permitan verificar su condición de profesional sanitario habilitado. Durante el registro le solicitaremos:

Datos identificativos y de contacto: nombre, apellidos, DNI/NIE, correo electrónico.
Datos profesionales: Función en la farmacia y su farmacia/grupo asociado.
Credenciales de acceso: correo electrónico y la contraseña que usted elija para su cuenta.
Otros datos necesarios para la verificación profesional: Podemos requerir documentación o información adicional para confirmar su estatus (por ejemplo, copia de colegiación o comprobación en registros públicos de profesionales sanitarios). Estos datos respetarán el principio de limitación y proporcionalidad y solo se usarán con el fin de validar su derecho de acceso.

Finalidad: Gestionar su alta como usuario registrado de Club Bayer, comprobar que cumple el criterio de ser profesional sanitario autorizado, y administrar su cuenta personal (permitirle iniciar sesión, actualizar sus datos, acceder a contenidos restringidos para profesionales, etc.). También utilizamos sus datos de registro para comunicarnos con usted acerca de la administración de su cuenta o cuestiones de servicio (por ejemplo, para enviar confirmaciones, avisos técnicos, cambios en términos y condiciones o en esta política de privacidad).

Base jurídica: El tratamiento de sus datos para el registro y acceso a la zona restringida se basa en la ejecución de la relación contractual consistente en la prestación de los servicios del Club Bayer al usuario profesional (Art. 6.1.b RGPD). Además, la verificación de su condición de profesional sanitario responde a nuestro cumplimiento de una obligación legal de farmacovigilancia y normativa de publicidad de medicamentos (Art. 6.1.c RGPD), dado que la ley prohíbe proporcionar información de medicamentos de prescripción al público general; estamos legalmente obligados a restringir el acceso únicamente a profesionales sanitarios. De este modo, tratamos sus datos profesionales con la finalidad legítima de garantizar el cumplimiento normativo en el sector farmacéutico. En caso de que usted no facilite la información requerida para verificar su estatus, no podremos crear la cuenta ni permitirles el acceso a los contenidos restringidos.

2.3 Formación, retos y gamificación (actividades del Club)

Club Bayer ofrece diversos programas formativos, retos interactivos, sistemas de puntos y premios como parte de la experiencia de usuario. Cuando participa en estas actividades, tratamos información relacionada con su participación, que incluye:

Datos de actividad: por ejemplo, cursos completados, resultados de evaluaciones o quizzes, puntos obtenidos en retos o concursos, niveles alcanzados, premios canjeados o ganados, etc.
Dirección de correo electrónico: cuando usted se inscriba en un webinar, le será enviado un correo electrónico advirtiéndole acerca de la confirmación de la participación en el mismo, y de la fecha de celebración.
Datos de interacción: registros de asistencia a eventos o webinars, respuestas enviadas en dinámicas de juego, fechas de participación y finalización de desafíos, etc.
Preferencias o intereses formativos: categorías de contenido que consume con más frecuencia, especialidades de interés, feedback que nos proporcione sobre las actividades.

Finalidad: Gestionar las actividades de formación y gamificación del sitio, lo que incluye: llevar el seguimiento de sus puntos y logros, contabilizar su progreso en cursos o retos, proporcionarle certificados o reconocimientos, determinar ganadores de concursos o sorteos, entregar premios (p. ej., material promocional, becas para eventos, etc.) y mejorar continuamente nuestros programas formativos en base a niveles de participación e intereses manifestados. También podremos usar estos datos para personalizar su experiencia en el Club, recomendando contenidos o retos acordes a su perfil profesional o historial de actividades.

Base jurídica: Este tratamiento es necesario para la ejecución de los servicios que ofrecemos a través del Club Bayer y a los cuales usted accede voluntariamente al registrarse y participar (Art. 6.1.b RGPD). Dichos programas (formación, retos, premios) forman parte de los Términos y Condiciones del servicio del Club Bayer que usted acepta al unirse. Por tanto, usar sus datos para administrar estas actividades es indispensable para cumplir nuestra relación contractual con usted como usuario. En ciertos casos, también podemos apoyarnos en nuestro interés legítimo (Art. 6.1.f RGPD) en mejorar la calidad de nuestros programas educativos y promover una participación activa de los profesionales sanitarios, siempre ponderando que sus derechos y libertades no se vean afectados. Cuando alguna actividad promocional específica requiera su consentimiento (por ejemplo, si publicásemos su nombre como ganador de un concurso en comunicaciones del Club, o si quisiéramos utilizar testimonios suyos), se lo solicitaremos claramente por separado.

Nota: En caso de que resulte ganador de algún premio o incentivo, podríamos necesitar datos adicionales para la entrega del premio (por ejemplo, dirección postal para un envío, o NIF si es necesario reportar fiscalmente la entrega de ciertos incentivos conforme a la normativa). Esa información adicional se usará únicamente para gestionar la entrega y cumplir las obligaciones legales asociadas, respetando siempre el principio de limitación en el tratamiento y el principio de proporcionalidad (por ejemplo, obligaciones fiscales o de transparencia de transferencias de valor a profesionales sanitarios, de acuerdo con los códigos de la industria farmacéutica). De haber tales requisitos, se lo comunicaremos oportunamente junto con las bases de la actividad correspondiente.

2.4 Contacto, soporte y comunicaciones directas

El sitio web pone a su disposición formularios de contacto y funciones para comunicarse con nosotros, así como opciones para recomendar contenidos a conocidos (p. ej., funcionalidad “recomendar a un compañero”) o enviar e-cards (tarjetas electrónicas) con información de nuestro sitio a terceros. En relación con estos canales de comunicación:

Datos proporcionados en formularios de contacto o soporte: cuando nos envía una consulta, comentario o solicita asistencia mediante un formulario, le podemos solicitar sus datos identificativos y de contacto básicos (como nombre, apellidos, email, teléfono) junto con la información que decida incluir en su mensaje. También puede haber un campo para indicar su especialidad u otros detalles que nos ayuden a gestionar su consulta.

Recomendación a terceros / E-cards: si utiliza la función de recomendar nuestro sitio o contenidos a otro profesional (por ejemplo, enviándole una invitación o e-card), le pediremos la dirección de correo electrónico del destinatario y posiblemente su nombre, además de permitirle incluir un breve mensaje personalizado.

Finalidad: Utilizaremos estos datos exclusivamente para atender y responder a sus comunicaciones o solicitudes. En el caso de los formularios de contacto o soporte, sus datos nos permiten identificarle, darle seguimiento a su caso y responderle por la vía indicada (por ejemplo, contestar a su email o llamarle si así lo solicita). También podemos conservar un registro de estas comunicaciones para mejorar nuestro servicio de atención al usuario y asegurarnos de resolver adecuadamente futuras consultas similares. Respecto a las recomendaciones o e-cards, trataremos los datos proporcionados (su nombre y el email del tercero) solo para enviar en su nombre el mensaje o tarjeta electrónica a dicho destinatario una única vez. No almacenaremos permanentemente el correo del destinatario para fines propios ni lo utilizaremos para enviarle comunicaciones no solicitadas. Asimismo, daremos al destinatario la posibilidad de rechazar futuras recomendaciones, por ejemplo, incluyéndolo en una lista de exclusión si así lo solicita, para respetar su voluntad de no recibir más mensajes de este tipo.

Base jurídica: Cuando usted nos contacta voluntariamente, entendemos que tenemos un interés legítimo en tratar sus datos para gestionar adecuadamente dicha comunicación y resolver lo que nos plantea (Art. 6.1.f RGPD). Este interés es mutuo, pues también redunda en beneficio suyo al obtener una respuesta o solución. En las recomendaciones a terceros o envío de e-cards, la base jurídica es igualmente nuestro interés legítimo y el suyo en compartir información relevante con colegas profesionales (Art. 6.1.f RGPD); asumimos que usted cuenta con el consentimiento o la aquiescencia del destinatario para recibir esa información puntual. En todo caso, estos mensajes incluyen mecanismos para que el destinatario se oponga o opt-out de futuras comunicaciones referidas por terceros. Garantizamos que no utilizaremos los datos de terceros proporcionados en este contexto para otros fines ajenos a la mera transmisión de su mensaje.

2.5 Gestión de notificaciones y comunicaciones informativas y comerciales a usuarios del sitio web

El sitio web usa la información del perfil y de la actividad formativa del usuario para ofrecerle una mejor experiencia y enviarle notificaciones relevantes (nuevas actividades, sugerencias formativas, logros, actualizaciones del equipo, etc.) basándose en su interés legítimo (art. 6.1.f RGPD). Algunas notificaciones, como las relacionadas con la gestión del equipo (altas, bajas, aprobaciones), se envían por correo electrónico por ser necesarias para el funcionamiento operativo del sitio web.

El usuario puede elegir recibir comunicaciones comerciales (por correo u otros medios electrónicos) si da su consentimiento expreso (art. 6.1.a RGPD). Estas comunicaciones pueden incluir información, publicidad o encuestas relacionadas con sus intereses (p. ej., salud, nutrición, alergias, etc.). El usuario puede revocar el consentimiento en cualquier momento desde la configuración de su cuenta o a través de los enlaces de baja incluidos en cada mensaje. En tal caso, se eliminarán sus datos vinculados a estas comunicaciones.

Además, se realiza un seguimiento estadístico de apertura de correos mediante una imagen transparente incluida en los boletines. Este seguimiento es anónimo y agregado, sin registrar direcciones IP. El servicio lo proporciona To doList, y el usuario puede evitarlo desactivando la carga automática de imágenes en su correo o navegador.

Finalidad del tratamiento

Gestionar el envío de notificaciones operativas e informativas necesarias para el funcionamiento del sitio web (por ejemplo, actualizaciones de actividades, estado del equipo, nuevas funcionalidades) y, en su caso, comunicaciones comerciales personalizadas sobre productos, servicios o actividades relacionadas con los intereses del usuario, con el fin de mejorar su experiencia y mantenerle informado.

Base jurídica del tratamiento

Interés legítimo (art. 6.1.f RGPD): para el envío de notificaciones necesarias u operativas vinculadas al uso del sitio web y al correcto desarrollo de las actividades formativas.

Consentimiento del interesado (art. 6.1.a RGPD): para el envío de comunicaciones comerciales y publicitarias por medios electrónicos (correo, SMS, Messenger u otros), personalizadas según sus intereses.

2.6 Campañas promocionales y concursos especiales

Ocasionalmente, el Club Bayer puede organizar campañas promocionales, sorteos, concursos o programas de fidelización adicionales a las actividades habituales de gamificación, con condiciones particulares (por ejemplo, un concurso relacionado con un producto específico, o un programa de puntos canjeables por material educativo). En caso de que usted participe en alguna de estas iniciativas especiales, se le informará de cualquier tratamiento de datos personales adicional o distinto al descrito en esta política. En términos generales, cualquier dato personal que nos facilite para tomar parte en una campaña de este tipo (por ejemplo, respuestas a un concurso, imágenes o testimonios si correspondiera, datos para entrega de recompensas, etc.) se utilizará exclusivamente para gestionar su participación, verificar el cumplimiento de las bases de la promoción, comunicarle los resultados, entregar los premios correspondientes y difundir (cuando proceda) los ganadores según lo establecido en las condiciones.

Siempre le proporcionaremos una información detallada de privacidad específica si una promoción lo requiere, incluyendo la base jurídica aplicable (que típicamente será la ejecución de la relación contractual al inscribirse en la promoción, Art. 6.1.b RGPD, o su consentimiento, Art. 6.1.a RGPD, dependiendo de la naturaleza de la actividad). Asimismo, cumpliremos con las obligaciones legales o de autorregulación sectorial que apliquen, como las normas de transparencia de la industria farmacéutica respecto a transferencias de valor, si correspondiera declarar públicamente ciertos datos (algo poco frecuente en campañas del Club, pero que le sería notificado de antemano de ser exigible).

2.7 Monitoreo de información pública (Active Online Listening)

Bayer lleva a cabo una práctica de escucha activa en línea para conocer la percepción pública sobre nuestra compañía, marcas, productos y la industria de la salud en general. Esto implica monitorizar información y comentarios publicados en fuentes accesibles públicamente en Internet, como foros, redes sociales, blogs, noticias o sitios web especializados. Importante: Esta actividad no se orienta a recolectar datos personales de usuarios individuales del Club Bayer, ni hacemos seguimiento del uso que usted haga de Internet a título privado. Nos centramos en contenido público relevante (por ejemplo, publicaciones en redes sociales abiertas, artículos de opinión, etc.) y en tendencias agregadas, con fines de análisis de mercado, mejora de nuestros servicios, y detección temprana de posibles cuestiones de seguridad (p. ej. identificar comentarios sobre efectos adversos de medicamentos).

En el curso de esta monitorización, es posible que de forma incidental tratemos datos personales publicados por terceros (por ejemplo, el nombre de un profesional sanitario que opina en un blog sobre un producto nuestro, o el alias de un usuario en Twitter junto a su comentario). Cuando detectamos menciones a posibles eventos adversos o problemas de calidad relacionados con medicamentos de Bayer, tenemos la obligación legal de gestionar esa información bajo nuestros procedimientos de farmacovigilancia (ver sección 2.8). Fuera de esos casos, cualquier dato personal obtenido de fuentes públicas se trata sobre la base del interés legítimo de Bayer en comprender la conversación pública y mejorar su actividad empresarial (Art. 6.1.f RGPD), y no se utiliza para decisiones individuales de carácter comercial sin informar al afectado. Aplicamos medidas para anonimizar o agregar los resultados de esta escucha activa siempre que sea posible, enfocándonos en las tendencias más que en datos personales concretos. Si por algún motivo quisiéramos contactar a una persona específica a raíz de lo observado en fuentes públicas (por ejemplo, invitar a un líder de opinión a un evento), lo haríamos respetando la normativa aplicable y utilizando los canales adecuados con transparencia.

2.8 Notificación de efectos adversos y cumplimiento legal farmacéutico

Es importante destacar que este sitio web no está diseñado para la notificación de acontecimientos adversos de medicamentos, quejas de calidad u otras consultas médico-farmacéuticas de seguridad. Si usted necesita reportar un efecto adverso o incidencia relacionada con un producto de Bayer, le recomendamos encarecidamente que contacte directamente con nuestro departamento de Farmacovigilancia a través de los canales oficiales (p. ej., teléfono de atención farmacéutica) o con las autoridades sanitarias competentes, o que consulte en la web global de Bayer la sección para reporte de eventos adversos.

No obstante, si usted incluye en alguna comunicación a través del Club Bayer (por ejemplo, en un formulario de contacto) información sobre un posible efecto adverso, falta de efectividad, error de medicación, uso indebido de un medicamento, o cualquier problema relacionado con la seguridad o calidad de un producto Bayer, estamos legalmente obligados a tratar esos datos con el fin exclusivo de cumplir con nuestras obligaciones de farmacovigilancia. Esto puede implicar que:

Registremos la información proporcionada en nuestros sistemas globales de seguridad de medicamentos, incluyendo los detalles del evento adverso y datos personales mínimos necesarios del informante o paciente (p. ej., iniciales, edad o sexo, si se proporcionaron, pero tratamos de evitar datos identificativos directos innecesarios). En la medida de lo posible, pseudonimizaremos o anonimizaremos los datos del paciente afectado.
Contactemos con usted para obtener aclaraciones o información complementaria sobre el caso reportado, si fuera necesario para dar seguimiento adecuado al evento adverso.
Notifiquemos el caso a las autoridades sanitarias pertinentes, como exige la normativa (EMA, AEMPS en España u otros organismos competentes), enviando los datos en formato pseudonimizado o codificado. Esto significa que su identidad como informante no se revelará en esos informes, a menos que la autoridad requiera explícitamente esa información (lo cual es raro).
Compartamos el informe dentro del Grupo Bayer y con socios colaboradores (por ejemplo, codesarrolladores o co-distribuidores del producto implicado) exclusivamente con fines de cumplimiento de farmacovigilancia, ya que dichas entidades también deben cumplir obligaciones de reporte a sus autoridades locales. En estos casos, los datos se comparten de forma segura y limitada al propósito regulatorio.

La base jurídica de este tratamiento es el cumplimiento de una obligación legal (Art. 6.1.c RGPD) en materia de farmacovigilancia, y en cuanto a categorías especiales de datos de salud que pudieran estar involucradas, aplican las excepciones legales por motivos de interés público en el ámbito de la salud pública, seguridad de medicamentos y alta garantía de calidad (Art. 9.2.i RGPD y normativa farmacéutica aplicable). Los datos de farmacovigilancia se conservan durante al menos el período exigido por la ley (normalmente muchos años, ver sección 5 sobre conservación) y se tratan con estrictas medidas de confidencialidad. Tenga la seguridad de que estos datos no se usan para fines comerciales ni de marketing, sino únicamente para monitorear la seguridad de los medicamentos y cumplir la ley.

2.9 Personalización de la experiencia del usuario en el sitio web

Queremos ofrecerle una experiencia personalizada y fácil de usar dentro del sitio web, adaptada a sus necesidades. Para ello, utilizamos la información de su perfil, de su cuenta y ciertos datos técnicos y de comportamiento (como su forma de navegar o el dispositivo que utiliza). Esta información nos permite sugerirle contenidos, funciones y servicios ajustados a sus intereses y garantizar que el sitio web se visualice y funcione correctamente en su ordenador o dispositivo.

El tratamiento de estos datos se realiza con su consentimiento, de acuerdo con el artículo 6, apartado 1, letra a) del RGPD. Si en algún momento desea dejar de recibir estos servicios personalizados, puede retirar su consentimiento accediendo a la sección «Configuración» de su perfil en el sitio web y ajustando sus preferencias de usuario.

Finalidad del tratamiento

Personalizar la experiencia del usuario dentro del sitio web, ofreciendo contenidos, funciones y servicios adaptados a sus intereses y características técnicas, con el objetivo de mejorar la usabilidad y relevancia de los contenidos.

Base jurídica

Consentimiento del interesado, conforme al artículo 6.1.a del RGPD.

3. Destinatarios de los Datos y Encargados del Tratamiento

En Bayer tratamos sus datos personales con confidencialidad y no los compartimos con terceros salvo que sea necesario para cumplir las finalidades antes descritas o por obligación legal. A continuación detallamos los tipos de destinatarios que pueden acceder a sus datos y en qué circunstancias, siempre bajo garantías de privacidad:

Empresas del Grupo Bayer

Su información puede ser comunicada a otras compañías afiliadas a Bayer dentro del Espacio Económico Europeo (EEA) con fines administrativos internos, de gestión centralizada o soporte técnico de los sistemas del Club Bayer. Por ejemplo, es posible que los servidores o la infraestructura de este sitio web estén gestionados por la matriz o una filial de Bayer en la UE. Todas las entidades del Grupo Bayer siguen políticas de privacidad coherentes y estándares de seguridad equivalentes. En caso de que alguna entidad del grupo situada fuera del EEA necesitase acceder a datos (por ejemplo, Bayer AG en Alemania o una filial global para fines de mantenimiento o por requerimiento de farmacovigilancia internacional), nos aseguraremos de que se respeten las cláusulas contractuales tipo u otros mecanismos legítimos para esas transferencias (ver sección 4 sobre transferencias internacionales). Además, si usted reporta un evento adverso (sección 2.8), podremos compartir la información pseudonimizada con otras entidades Bayer o socios comerciales sujetos a las mismas obligaciones regulatorias, exclusivamente para notificación a autoridades reguladoras.

Proveedores de servicios (Encargados del Tratamiento)

Para operar eficientemente el Club Bayer, recurrimos a terceros proveedores especializados que actúan bajo nuestras instrucciones, por ejemplo:

Servicios de alojamiento web y mantenimiento informático: empresas de hosting, almacenamiento en la nube, soporte técnico y desarrollo del sitio web.
Proveedor de verificación profesional: en caso de utilizar un servicio externo para comprobar sus credenciales de profesional sanitario (p. ej., un servicio que valide su número de colegiado contra bases de datos oficiales), dicho proveedor tratará sus datos únicamente para esa verificación inicial.
Herramientas de análisis y marketing digital: como Google Analytics para estadísticas de uso (si usted consiente las cookies analíticas) u otras plataformas de marketing del sector salud que nos ayudan a entender sus intereses (siempre dentro de lo autorizado).
Gestión de newsletters y comunicaciones: plataformas de emailing o CRM que almacenan sus datos de suscripción y envían los boletines en nuestro nombre.
Agencias de organización de eventos/promociones: si una campaña promocional especial es cogestionada por una agencia externa (p. ej., para la logística de envío de premios o la coordinación de un congreso), dicha agencia tratará los datos de participantes estrictamente para ejecutar esa campaña según nuestras instrucciones.

A todos estos proveedores les exigimos contractualmente (mediante acuerdos de encargo de tratamiento) que utilicen sus datos únicamente para la prestación del servicio contratado con nosotros y bajo nuestros estándares de seguridad y confidencialidad. Antes de colaborar con ellos, verificamos que ofrecen garantías suficientes en materia de protección de datos (por ejemplo, certificados, auditorías, cumplimiento normativo). En caso de que alguno de estos proveedores subcontrate a su vez alguna parte del servicio (sub-encargados), debe informárnoslo y también imponerles las mismas medidas de protección.

Terceros con su consentimiento

Fuera de los encargados que actúan en nuestro nombre, solo compartiremos sus datos con terceros cuando usted nos haya dado su consentimiento explícito para ello. Por ejemplo, si en alguna actividad se le propusiera compartir sus datos de contacto con los patrocinadores de un evento, solo lo haríamos si usted acepta expresamente tras haber sido informado de todos los detalles. En ausencia de tal consentimiento, no cederemos sus datos personales a terceros para fines propios de éstos, como acciones de marketing de otras empresas.

Autoridades y obligaciones legales

Podremos comunicar datos personales a autoridades gubernamentales, judiciales o reguladoras cuando estemos legalmente obligados a hacerlo. Esto incluye, por ejemplo, la Agencia Española de Protección de Datos (en caso de requerimientos durante la gestión de alguna reclamación), autoridades sanitarias (para notificar efectos adversos como se explicó, o ante inspecciones de cumplimiento), autoridades fiscales (si correspondiera reportar datos de valor entregados a profesionales), jueces y tribunales (en caso de procesos legales), o fuerzas de seguridad del Estado (ante eventuales solicitudes relacionadas con investigaciones oficiales). En cada caso, verificaremos que la petición sea legítima y proporcionaremos solo la información estrictamente necesaria.

Contenido incrustado y redes sociales

Si en nuestro sitio web se integran servicios o contenidos de terceros (por ejemplo, vídeos de YouTube/Vimeo, mapas de Google Maps, botones para compartir en redes sociales como Facebook, Twitter, Instagram, LinkedIn, etc.), es posible que al interactuar con dichos contenidos sus datos de navegación (como su IP o identificadores de cookies) se transmitan a esas terceras partes. Por ejemplo, si reproduce un video de YouTube/Vimeo insertado en nuestra página, se establecerá una conexión con los servidores de YouTube/Google/Vimeo, que podría registrar esa reproducción. Nosotros configuramos estas integraciones de modo que, por defecto, no se transmitan datos a terceros a menos que usted interactúe activamente (clic para reproducir, para cargar el mapa, etc.), en línea con el principio de privacidad por defecto. No obstante, una vez usted acciona el contenido de terceros, estos proveedores procesarán sus datos bajo sus propias políticas de privacidad, actuando como responsables independientes. Le recomendamos revisar las políticas de privacidad de cada plataforma externa para informarse de sus prácticas (p. ej., las políticas de privacidad de Google, Facebook, Twitter, etc., enlazadas en sus respectivos sitios). Bayer no comparte por sí misma sus datos con esas redes, sino que es usted quien decide utilizarlas; no tenemos control sobre el tratamiento que dichos terceros realicen de sus datos recopilados directamente por ellos.

En resumen, no vendemos ni alquilamos sus datos personales a terceros. Cualquier comunicación a otros destinatarios se realiza de manera limitada y bajo bases jurídicas adecuadas. Mantenemos un registro de las entidades con las que podemos compartir datos y los correspondientes contratos o garantías que protegen su información.

4. Transferencias Internacionales de Datos

Los datos personales se almacenan y procesan preferentemente en servidores ubicados dentro del Espacio Económico Europeo. En caso de que, para las finalidades explicadas, sus datos deban transferirse o ser accesibles fuera del EEA (por ejemplo, a otras entidades Bayer o proveedores situados en otros países):

Adecuación

Siempre que sea posible, enviaremos datos a destinos que cuenten con una decisión de adecuación de la Comisión Europea, lo que significa que ese país ofrece un nivel de protección de datos equivalente al europeo. (Ejemplo: Suiza, Japón, Reino Unido, entre otros, poseen decisiones de adecuación.)

Escudo de Privacidad UE-EEUU / Marco de Privacidad

Sabemos la importancia de proteger los datos en transferencias a Estados Unidos. Bayer procura que los proveedores estadounidenses clave que puedan manejar datos (p. ej., Google) estén certificados bajo el marco del Data Privacy Framework UE-EEUU (el programa sucesor del antiguo “Privacy Shield”), aprobado en 2023. Dicho marco reconoce a las empresas certificadas un nivel adecuado de protección según la Comisión Europea.

Cláusulas Contractuales Tipo (SCCs)

Si no aplica una decisión de adecuación ni existe certificación aplicable, estableceremos Cláusulas Contractuales Tipo aprobadas por la Comisión Europea con la entidad importadora de los datos. Estas cláusulas contractuales son compromisos legales que garantizan que el destinatario protegerá sus datos conforme a estándares equivalentes a los europeos. Asimismo, evaluaremos caso por caso si se requieren medidas adicionales (técnicas u organizativas) para asegurar la protección efectiva en destino (por ejemplo, cifrado robusto de los datos durante la transferencia, medidas para evitar accesos desproporcionados por autoridades extranjeras, etc.), tal como recomiendan las autoridades europeas.

Otras salvaguardas y excepciones

En ausencia de los mecanismos anteriores, podríamos basar transferencias puntuales en alguna excepción del Art. 49 RGPD, solo si aplica (p. ej., usted nos dio su consentimiento explícito para la transferencia propuesta, o la transferencia es necesaria para ejecutar un contrato con usted, etc.). Esto sería excepcional; la norma general es utilizar las garantías mencionadas.

Usted puede solicitar más información sobre las transferencias internacionales de sus datos (incluyendo, en su caso, copia de las cláusulas contractuales tipo u otras garantías aplicables) contactando con nuestro Delegado de Protección de Datos. Atenderemos sus preguntas proporcionando la mayor transparencia posible sin comprometer medidas de seguridad ni cláusulas de confidencialidad.

5. Plazos de Conservación de los Datos

Conservamos sus datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las cuales fueron recabados, o para atender requisitos legales aplicables. A continuación, resumimos los criterios de retención por tipo de tratamiento:

Datos de cuenta y registro

Sus datos de perfil de usuario registrado (incluyendo información verificada de profesional sanitario) se conservarán mientras su cuenta permanezca activa en el Club Bayer. Si usted decide darse de baja o solicitar la cancelación de su cuenta, eliminaremos o anonimizaremos sus datos de registro dentro de un plazo de tres meses tras dicha desactivación. Importante: En caso de que cierre su cuenta, pero nos haya otorgado consentimiento para seguir recibiendo comunicaciones comerciales, podremos retener su correo electrónico u otros datos de contacto mínimos en una lista de suscriptores hasta que revoque ese consentimiento, con el único propósito de seguir enviándole el boletín u ofertas aprobadas. Si opta por no recibir más comunicaciones, eliminaremos también estos datos de las listas de mailing. Por el contrario, si usted no se da de baja manualmente, pero permanece inactivo durante un largo periodo, podremos contactarle para confirmar si desea mantener la cuenta; en ausencia de respuesta positiva, podríamos proceder a eliminar o archivar sus datos tras, dos 2 años de inactividad, a fin de limitar la retención indefinida de cuentas inactivas.

Datos de verificación profesional

Cualquier documento o información aportada para comprobar su condición de profesional (por ejemplo, copia de carnet colegial) será eliminada o borrada una vez verificado su estatus, ya que no es necesario conservarlo posteriormente de forma identificativa. En su lugar, mantenemos marcado en su perfil el resultado de la verificación (y la fecha de la misma) para auditar el proceso. No obstante, podremos conservar evidencia básica del proceso de validación (p. ej., un registro de que comprobamos su número en el Colegio Oficial tal fecha) durante el tiempo que la cuenta esté activa, por motivos de cumplimiento normativo.

Datos de navegación (logs) y cookies

Los registros de acceso al sitio que contienen direcciones IP y detalles técnicos se almacenan de forma segura y con acceso restringido por un período corto, generalmente 90 días, salvo detección de incidencias. Ese plazo nos permite revisar eventuales incidentes de seguridad. Pasado dicho término, se eliminan o anonimizan, a menos que algún registro en particular deba conservarse por más tiempo para investigación de un acceso malicioso detectado (en cuyo caso se retiene hasta su resolución). En cuanto a las cookies: cada cookie tiene su propio plazo de expiración (algunas se eliminan al cerrar el navegador, otras pueden durar días o meses si no se borran). Puede consultar la duración exacta de nuestras cookies opcionales en la Configuración de Cookies del sitio. Una vez vencido el plazo, la cookie se desactiva automáticamente. Asimismo, si usted revoca su consentimiento para cookies de análisis/marketing, dejaremos de recolectar nuevos datos de ese tipo; sin embargo, los datos previamente obtenidos pueden conservarse anonimizados para estadísticas globales.

Datos de formación, retos y gamificación

La información sobre cursos realizados, puntos acumulados y demás historial de participación se mantiene mientras usted siga siendo miembro activo del Club (pues constituye su trayectoria formativa dentro del sitio web). Si elimina su cuenta, procederemos a borrar estos datos asociados. No obstante, conservamos ciertos datos de forma agregada o disociada (no identificables) para análisis estadísticos de uso de nuestros programas, dado que dichos análisis no involucran datos personales. Si alguna actividad de gamificación conlleva expedición de un certificado o acreditación de formación continua, estaríamos obligados a conservar registros de los otorgamientos por un periodo definido (p. ej., 5 años para auditorías educativas), pero en tal caso esos registros podrían mantenerse separadamente y solo con los datos necesarios (nombre, curso, fecha, etc.).

Datos de contacto y soporte

Las comunicaciones que recibamos por formulario o correo las almacenaremos durante el tiempo necesario para resolver su solicitud y asegurarnos de un correcto seguimiento. Una vez resultas, es práctica habitual conservar las consultas y nuestras respuestas por un período de 1 año, en caso de que usted vuelva a contactarnos sobre el mismo asunto o para analizar la calidad del servicio de atención. Pasado ese tiempo, podremos eliminar esas comunicaciones, salvo que deban mantenerse por motivos legales (p. ej., una reclamación que derive en tema jurídico se archivaría con el expediente correspondiente).

Datos de suscripción a boletines

Se tratarán hasta que usted retire su consentimiento o se dé de baja. Una vez cancelada la suscripción, bloquearemos su email en nuestras listas para no enviarle más correos comerciales y procederemos a su supresión completa tras un breve periodo de gracia (para confirmar la baja). También podemos conservar evidencia técnica de su baja (como la fecha en que se realizó) durante un tiempo por si necesitáramos demostrar que cumplimos con su solicitud.

Datos de campañas promocionales especiales

Serán conservados durante la duración de la campaña y el tiempo necesario para completar todas sus fases (por ejemplo, selección de ganadores, entrega de premios, plazo de reclamaciones). Después, se suprimirán o anonimizarán. Si la ley exige guardar documentación (por ejemplo, certificados de ganadores de un sorteo con fines de transparencia o justificar ante notario), podríamos archivar esos datos por el plazo legal requerido (p. ej., 4 años que es el plazo general de prescripción de infracciones en materia promocional, o el plazo fiscal si hubiera implicaciones tributarias).

Datos de eventos adversos (farmacovigilancia)

Por mandato legal, los reportes de seguridad de medicamentos (que pueden contener datos personales pseudonimizados) deben conservarse al menos 10 años después de la retirada del producto del mercado (y en muchos casos, indefinidamente dentro de registros históricos, dado el interés público en la seguridad de los medicamentos). Estos datos no se eliminan según las reglas comunes de la web, sino conforme a la normativa farmacéutica específica.

En todos los casos, cuando finalicen los plazos indicados procederemos a la eliminación segura o anonimización de los datos. La anonimización implica que ya no será posible vincular la información a una persona identificada o identificable, por lo que dichos datos disociados podrían conservarse sin límite para fines estadísticos o históricos de Bayer. Si por razones técnicas no es posible borrar inmediatamente algunas copias residuales (por ejemplo, en backups de seguridad), aseguraremos que queden bloqueadas fuera de uso hasta su eliminación.

6. Seguridad de los Datos Personales

En Bayer nos tomamos muy en serio la seguridad de sus datos personales. Hemos implementado múltiples medidas técnicas y organizativas para proteger la información frente a accesos no autorizados, alteración, pérdida o divulgación indebida. Estas medidas incluyen, entre otras:

Cifrado de la comunicación entre su navegador y nuestro sitio mediante protocolo SSL/TLS (es decir, navegación HTTPS segura).
Sistemas de control de acceso a la información: solo el personal autorizado de Bayer y de nuestros encargados del tratamiento (proveedores) que necesiten acceder a sus datos para las finalidades descritas puede hacerlo, siempre bajo obligación de confidencialidad. Mantenemos políticas de control de accesos robustas, con autenticación segura y registros de acceso a los sistemas que contienen datos personales.
Pseudonimización y minimización: en la medida de lo posible, tratamos sus datos de forma pseudonimizada (por ejemplo, reemplazando identificadores directos por códigos) y aplicamos el principio de minimización, recopilando únicamente la información necesaria para cada finalidad. Por ejemplo, los datos utilizados para análisis estadísticos se agregan y anonimizan.
Cortafuegos y monitorización activa: nuestra infraestructura utiliza firewalls, sistemas de detección de intrusos y herramientas de monitorización continua para prevenir y detectar accesos maliciosos. Cualquier comportamiento inusual es analizado por nuestros equipos de seguridad.
Pruebas y auditorías de seguridad: realizamos pruebas periódicas (incluyendo test de penetración, auditorías TI) para evaluar la resiliencia de nuestros sistemas, así como revisiones de cumplimiento de las políticas internas de seguridad.
Planes de respuesta ante incidentes: disponemos de procedimientos para gestionar eficazmente cualquier sospecha de breja de seguridad o incidente de datos. En el improbable caso de que ocurriera una violación de seguridad que comprometiera sus datos personales, le notificaríamos conforme a los requisitos legales y tomaríamos las medidas de contención y mitigación necesarias.

Aunque ningún sistema es 100% invulnerable, nos esforzamos por aplicar las mejores prácticas de la industria para garantizar un nivel de seguridad adecuado al riesgo (Art. 32 RGPD), teniendo en cuenta la naturaleza de los datos y el contexto del tratamiento. También exigimos contractualmente a nuestros proveedores que adopten niveles equivalentes de protección.

7. Privacidad desde el Diseño y por Defecto

Adherimos al principio de protección de datos desde el diseño y por defecto en todos nuestros proyectos, incluido el desarrollo y mantenimiento del Club Bayer. Esto significa que:

Desde la fase de concepción de las funcionalidades del sitio y de nuestras actividades, consideramos el impacto en la privacidad y tomamos decisiones proactivas para salvaguardar los datos personales. Por ejemplo, las características de gamificación fueron diseñadas limitando la exposición pública de información personal (los rankings o resultados, si los hay, se muestran de forma controlada dentro del sitio web y no son accesibles a terceros no registrados).
Configuración por defecto: Las opciones del usuario en su cuenta y en el uso del sitio están predeterminadas al nivel más respetuoso con la privacidad posible, sin restringir la experiencia. Por ejemplo, por defecto solo recopilamos las cookies estrictamente necesarias y pedimos su consentimiento para las demás; por defecto, su perfil de usuario en el sitio web no mostrará más información que la imprescindible.
Evaluaciones de Impacto: Cuando lanzamos nuevas funcionalidades o tratamos nuevos tipos de datos que pudieran presentar un alto riesgo para los derechos y libertades (según los criterios del RGPD), realizamos una Evaluación de Impacto en la Protección de Datos (EIPD/DPIA) para identificar riesgos y establecer medidas de mitigación antes de su implementación. Si se detectaran riesgos no mitigables adecuadamente, consultaríamos con la autoridad de control según lo previsto por la ley.
Revisión continua: La privacidad por diseño no es algo puntual, sino un proceso de mejora continua. Revisamos periódicamente las medidas implementadas, adaptándolas ante cambios en el contexto, la normativa o la tecnología. Todos nuestros empleados y colaboradores relevantes reciben formación en protección de datos para fomentar una cultura de privacidad.

En resumen, nos comprometemos a que solo se traten por defecto los datos personales necesarios para cada propósito legítimo, y a integrar salvaguardas de privacidad en toda la vida del proyecto.

8. Derechos del Interesado

Como titular de datos personales, la legislación le reconoce una serie de derechos que puede ejercer en relación con los tratamientos descritos. En particular, usted tiene derecho a:

Derecho de acceso: Obtener confirmación de si Bayer trata datos personales suyos, y en tal caso, recibir una copia de dichos datos y información detallada sobre el tratamiento (finalidades, categorías de datos, destinatarios, plazos de conservación, etc.).
Derecho de rectificación: Solicitar la corrección de datos personales inexactos o incompletos que tengamos sobre usted. Recuerde que como usuario registrado también puede actualizar gran parte de su información de perfil directamente a través de su cuenta en la web.
Derecho de supresión (“derecho al olvido”): Pedir la eliminación de sus datos personales cuando, entre otros motivos, ya no sean necesarios para los fines para los que fueron recogidos, o cuando retire su consentimiento (en tratamientos basados en este) y no exista otra base legal que nos obligue a conservarlos, o cuando considere que el tratamiento es ilícito. Tenga en cuenta que este derecho no es absoluto; puede haber circunstancias legales que nos exijan conservar algunos datos (por ejemplo, informes de farmacovigilancia no se pueden borrar, o registros que debamos mantener por una obligación legal). En cualquier caso, una vez atendida su solicitud, bloquearemos los datos remanentes para que no sean tratados para fines distintos a dicha obligación legal.
Derecho a la limitación del tratamiento: Obtener la limitación (suspensión temporal) del tratamiento de sus datos personales en ciertos supuestos establecidos por la ley, por ejemplo: mientras se verifica la exactitud de los datos que usted impugna, o si el tratamiento es ilícito y usted prefiere la limitación a la supresión, o si usted ha ejercitado su derecho de oposición y estamos evaluando si nuestros motivos legítimos prevalecen. Cuando la limitación aplica, podemos conservar sus datos pero no realizar otros tratamientos salvo excepciones previstas (p.ej., su consentimiento, defensa de reclamaciones). Le informaremos antes de levantar la limitación.
Derecho a la portabilidad de los datos: Recibir en un formato estructurado, de uso común y lectura mecánica los datos personales que nos haya proporcionado y que sean tratados por medios automatizados con base en su consentimiento o en un contrato, para que pueda transmitirlos a otro responsable si lo desea. También puede solicitarnos, cuando sea técnicamente factible, que transfiramos esos datos directamente a otro responsable que nos indique. Este derecho no aplica a datos inferidos o derivados que generemos nosotros (por ejemplo, perfiles internos) ni a datos que se traten en base a interés legítimo o obligación legal. En la práctica, los principales datos portables serían aquellos de su perfil y actividades que usted mismo nos dio.
Derecho de oposición: Tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que tratemos datos personales suyos basados en interés legítimo. En tal caso, dejaremos de tratarlos salvo que acreditemos motivos legítimos imperiosos para continuar (por ejemplo, la necesidad de protegernos en una reclamación legal) que prevalezcan sobre sus derechos e intereses, o en su caso, para la formulación, ejercicio o defensa de reclamaciones. Cuando el tratamiento tenga fines de marketing directo, usted puede oponerse en cualquier momento y sin justificación, y entonces cesaremos inmediatamente el uso de sus datos con tales fines (esto incluye la elaboración de perfiles relacionada con marketing). Por ejemplo, si usted se opone a seguir recibiendo publicidad personalizada, respetaremos su decisión. (Nota: En nuestro caso, como enviamos comunicaciones comerciales solo con consentimiento, la vía principal para cesarlas es la revocación de ese consentimiento, pero su derecho de oposición le permite, por precaución, pedir que no hagamos perfiles o segmentaciones con sus datos con fines promocionales, lo cual cumpliremos.)
Derecho a no ser objeto de decisiones automatizadas individualizadas: Bayer no toma decisiones que le afecten de forma significativa basadas únicamente en tratamientos automatizados (sin intervención humana), como podría ser perfilado automatizado que derive en acciones legales o efectos importantes para usted. En la medida en que usemos algoritmos para personalizar su experiencia (por ejemplo, recomendarle contenidos), siempre hay intervención y revisión humana en las decisiones clave. No obstante, le informamos de su derecho a no estar sujeto a una decisión basada únicamente en procesamiento automatizado que produzca efectos jurídicos o igualmente significativos, según el Art. 22 RGPD. En el improbable caso de que aplicáramos alguna automatización de este tipo, le daríamos opción de solicitar intervención humana, expresar su punto de vista e impugnar la decisión.
Derecho a retirar el consentimiento: Si en alguna de las finalidades hemos indicado que la base legal es su consentimiento (por ejemplo, recepción de newsletter, uso de cookies opcionales, etc.), usted tiene derecho a revocar ese consentimiento en cualquier momento. La consecuencia será que dejaremos de tratar sus datos para ese propósito específico. La retirada no afecta a la licitud del tratamiento realizado con anterioridad mientras el consentimiento era válido.
Derecho a presentar una reclamación ante la autoridad de control: Si considera que hemos infringido la normativa de protección de datos o no hemos respetado adecuadamente el ejercicio de alguno de sus derechos, tiene derecho a presentar una reclamación ante la autoridad competente. En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD) (www.aepd.es). Le animamos a que antes de nada nos contacte a nosotros para intentar resolver cualquier cuestión, pero en última instancia puede dirigirse a la AEPD para obtener tutela de sus derechos.

Ejercicio de los derechos

Puede ejercer sus derechos en cualquier momento y de forma gratuita enviándonos una solicitud a través de los canales de contacto indicados en la sección 1 (ya sea por correo electrónico al DPO o por carta a nuestra dirección postal). Para agilizar su petición, es aconsejable que indique claramente qué derecho desea ejercer y sobre qué datos o tratamientos en particular (por ejemplo: “solicito acceder a mis datos de registro en el Club Bayer” o “me opongo a que mis datos se utilicen con fines de análisis de uso”). Es posible que necesitemos solicitarle información adicional para verificar su identidad, especialmente si no podemos autenticarle por otros medios, con el fin de proteger sus datos de accesos indebidos. Respondemos a las solicitudes en el plazo más breve posible y, en todo caso, dentro del plazo de un mes desde su recepción, ampliable a dos meses más si se trata de solicitudes complejas o múltiples (en cuyo caso le informaremos de la prórroga dentro del primer mes). Si por algún motivo no pudiéramos atender a lo que pide (por ejemplo, denegar la supresión de datos que debamos conservar legalmente), le explicaremos el motivo legal o técnico que lo impide, y tendrá la posibilidad, si discrepa, de acudir a la vía de reclamación mencionada.

9. Tratamiento de Datos de Menores de Edad

El Club Bayer está estrictamente dirigido a profesionales sanitarios adultos. No está previsto ni permitido el registro de menores de 18 años en este sitio web. Nuestros contenidos versan sobre formación médica y productos farmacéuticos, por lo que no son de interés para niños ni se conciben para público adolescente. No recopilamos deliberadamente información de menores de edad. Si tuviéramos constancia de que, inadvertidamente, hemos recibido datos personales de un menor (por ejemplo, porque alguien falsificó su condición profesional), procederemos a eliminar dichos datos de inmediato. En caso de que usted sea padre, madre o tutor y sospeche que un menor nos pudo haber proporcionado datos, le rogamos que nos contacte para tomar las medidas oportunas.

Este compromiso con la exclusión de menores es consistente con la LOPDGDD, que establece requisitos especiales de consentimiento parental para menores de 14 años, y con la ética del sector sanitario de no involucrar a menores en comunicaciones profesionales.

10. Actualizaciones de esta Política

La privacidad de datos es un ámbito dinámico, y es posible que realicemos modificaciones a esta política para adaptarnos a cambios legislativos, nuevos tratamientos de datos que emprendamos, o para mejorar la transparencia. Cualquier cambio o actualización será publicado en este mismo sitio web con indicación de la fecha de la última revisión en el encabezado. Si los cambios son significativos, podremos comunicarlo a los usuarios registrados mediante un aviso en el sitio o por correo electrónico. Le recomendamos revisar periódicamente esta política para estar informado sobre cómo protegemos su información.

En caso de que introdujéramos un cambio sustancial que requiera obtener un nuevo consentimiento (por ejemplo, queremos utilizar sus datos para una finalidad adicional no prevista originalmente), se lo solicitaremos explícitamente conforme a la normativa.

Su uso continuado del sitio web tras la entrada en vigor de las nuevas condiciones de privacidad se interpretará como aceptación de las mismas en la medida en que no requieran un consentimiento explícito. No obstante, siempre podrá ejercer sus derechos como hemos descrito, si tuviera alguna preocupación.

Si tiene cualquier pregunta o inquietud acerca de esta Política de Privacidad Complementaria o sobre el tratamiento de sus datos personales en el Club Bayer, no dude en contactarnos a través del Delegado de Protección de Datos o del formulario de contacto en el sitio. Estaremos encantados de ayudarle.

Fecha de la política de privacidad: Marzo de 2026