Contrato de encargo del tratamiento
1. Partes y celebración
El contrato lo celebran la clínica registrada en Odonto Flow («la clínica», responsable del tratamiento) y Tymofii Shevchenko, trabalhador independente, NIF 309697107, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal («nosotros», encargado del tratamiento).
Si el contrato con la clínica pasa a un nuevo proveedor (condiciones de uso, sección 16), este contrato pasa con él: el nuevo proveedor se convierte en encargado en las mismas condiciones, y la clínica lo sabe con antelación.
El contrato forma parte de las condiciones de uso. La clínica lo acepta al registrarse; está vigente mientras tratemos los datos de la clínica. Puede solicitar una copia firmada en privacy@odontoflow.io.
2. Objeto
Tratamos los datos personales que la clínica introduce en el servicio solo para prestarle el servicio: guardarlos, mostrarlos a su personal, enviar mensajes a los pacientes por indicación suya, hacer copias de seguridad y ayudar en el soporte. Detalles en el anexo 1.
3. Instrucciones de la clínica
- Tratamos los datos solo según las instrucciones documentadas de la clínica. Las instrucciones son las condiciones de uso, este contrato y las acciones del personal de la clínica en el servicio (introducir, modificar, enviar, eliminar).
- Si la ley nos obliga a tratar los datos de otro modo, avisaremos antes a la clínica, salvo que la ley lo prohíba.
- Si, en nuestra opinión, una instrucción infringe el RGPD, se lo comunicaremos a la clínica.
4. Obligaciones de la clínica
La clínica responde de la licitud del tratamiento: la base jurídica (también para los datos de salud, art. 9 RGPD), la información a los pacientes, el consentimiento para mensajes de WhatsApp, la exactitud de los datos, los plazos de conservación de la documentación clínica y el acceso de su personal.
5. Confidencialidad
Solo tienen acceso a los datos de la clínica los empleados que lo necesitan para el funcionamiento del servicio. Todos están obligados a guardar confidencialidad.
Acceso del soporte: solo con permiso de la clínica. Sin permiso, el soporte no entra en la cuenta de la clínica. El propietario de la clínica puede activar el «Acceso del soporte» en los ajustes durante 7 días y desactivarlo antes. Mientras el acceso esté activo, un empleado del soporte puede entrar en la cuenta en nombre de un usuario de la clínica, mediante un enlace de un solo uso y por un tiempo limitado; cada entrada se registra en un historial (quién, como quién, cuándo), que la clínica ve. Al cabo de 7 días el acceso se cierra solo. En el panel de gestión del servicio se ve el registro de mensajes enviados (número, texto, estado), para dar soporte a la entrega. Las fichas de los pacientes no se muestran en el panel de gestión.
6. Seguridad
Aplicamos las medidas técnicas y organizativas del art. 32 RGPD, enumeradas en el anexo 2, y las desarrollamos junto con el servicio sin reducir el nivel general de protección.
7. Subencargados
- La clínica otorga una autorización general para recurrir a los subencargados del anexo 3.
- Comunicaremos al propietario de la clínica por e-mail un subencargado nuevo o sustituido con al menos 30 días de antelación. La clínica puede oponerse de forma justificada; si no se llega a un acuerdo, puede resolver el contrato y recibir el reembolso del periodo pagado no utilizado.
- Con cada subencargado tenemos un contrato con obligaciones de protección de datos no inferiores a estas. Respondemos ante la clínica de su trabajo.
8. Transferencias fuera del EEE
Los datos de la clínica se guardan en la UE (Alemania y Finlandia). Si un subencargado transfiere datos fuera del EEE, solo se permite con una decisión de adecuación de la Comisión Europea o con cláusulas contractuales tipo de la UE y medidas adicionales.
9. Asistencia a la clínica
- Solicitudes de los pacientes (acceso, rectificación, supresión, limitación, portabilidad): si una solicitud nos llega a nosotros, la remitimos a la clínica y no respondemos nosotros al paciente. Herramientas del servicio: la ficha del paciente se imprime o se guarda completa en PDF (exportación), y el paciente puede eliminarse para siempre («Eliminar para siempre»: ficha, visitas, mensajes, archivos).
- Ayudamos a la clínica con las medidas de seguridad, la evaluación de impacto relativa a la protección de datos (EIPD) y las consultas con la autoridad de control, en lo que respecta al servicio.
10. Incidentes
Comunicamos al propietario de la clínica una violación u otro incidente de seguridad que afecte a los datos de la clínica sin dilación indebida, a más tardar 72 horas después de tener conocimiento: qué ha ocurrido, qué datos y cuántos registros se han visto afectados, qué hemos hecho y qué recomendamos. Notificar a la autoridad de control y a los pacientes, cuando proceda, es obligación de la clínica; nosotros ayudamos.
11. Fin del contrato
- Tras el fin de la suscripción, los datos de la clínica se conservan durante 12 meses (para que la clínica pueda volver) y después se eliminan por completo, incluidos los archivos. A petición de la clínica, antes.
- Antes de la eliminación, la clínica puede recuperar sus datos (art. 28.3.g RGPD): el propietario exporta todos los datos de la clínica (CSV y un archivo comprimido con los archivos) en la cuenta, también tras el fin de la suscripción, o a petición al soporte en un plazo de 30 días (condiciones de uso, sección 7). La ficha de un paciente puede imprimirse o guardarse en PDF.
- Los datos desaparecen de las copias de seguridad a medida que se renuevan, en un plazo de 30 días.
- Solo conservamos más tiempo lo que exige la ley, por ejemplo los documentos de pago (que también conserva Paddle).
12. Auditorías
A petición de la clínica, facilitamos la información necesaria para demostrar el cumplimiento de este contrato: descripción de las medidas, respuestas a cuestionarios de seguridad. La clínica o su auditor pueden realizar una auditoría in situ como máximo una vez al año, con un preaviso de 30 días, a su cargo y con obligación de confidencialidad.
13. Responsabilidad y prelación
La responsabilidad de las partes se rige por las condiciones de uso y el RGPD (art. 82). Si este contrato contradice las condiciones de uso en materia de protección de datos, prevalece este contrato.
Anexo 1. Descripción del tratamiento
| Interesados | pacientes de la clínica; personal de la clínica (usuarios del servicio) |
| Categorías de datos | pacientes: nombre, apellidos, fecha de nacimiento, sexo, teléfono, dirección, notas, visitas, procedimientos, importes, archivos (radiografías, fotos, documentos), consentimiento para mensajes de WhatsApp y su fecha, textos y estados de los mensajes; personal: nombre, e-mail, rol, acciones en el servicio |
| Categorías especiales | datos de salud: alertas médicas (alergias, contraindicaciones, enfermedades crónicas, medicación), odontograma, historial de tratamiento, radiografías |
| Operaciones | almacenamiento, visualización por el personal de la clínica, búsqueda y ordenación, envío de mensajes a pacientes por WhatsApp por indicación de la clínica, copias de seguridad, eliminación |
| Finalidad | prestación del servicio a la clínica |
| Duración | mientras la suscripción esté activa; después, 12 meses de conservación y eliminación |
Anexo 2. Medidas de seguridad
- conexiones cifradas (HTTPS); contraseñas solo como hash; claves del sistema de pago guardadas cifradas;
- los datos de cada clínica están aislados de los demás, y el aislamiento se verifica con pruebas automáticas;
- acceso dentro de la clínica por roles (propietario, administrador, médico; el médico ve sus visitas y las visitas sin médico);
- los archivos de los pacientes no están en acceso público: se entregan mediante enlaces firmados temporales;
- servidores en la UE; la base de datos y los servicios internos no están expuestos a internet; el cortafuegos solo deja pasar HTTPS y SSH;
- copias de seguridad: a diario, en un almacenamiento separado en la UE (no en el mismo servidor); las copias se cifran ya en el servidor y se guardan en otro centro de datos, y la restauración a partir de ellas se prueba automáticamente una vez al mes;
- instalación automática de actualizaciones de seguridad en los servidores;
- supervisión permanente de la disponibilidad del servicio y del envío de las copias de seguridad, con alerta en caso de fallo;
- registro de acciones de los usuarios, registro de entradas del soporte y registro de acciones en el panel de gestión;
- acceso a los servidores solo para los empleados responsables, con claves SSH, sin acceso por contraseña; los intentos de acceso al panel de gestión están limitados;
- autenticación de dos factores en las cuentas de alojamiento, dominio, correo y sistema de pago.
Anexo 3. Subencargados
| Quién | Para qué | Dónde |
|---|---|---|
| Hetzner Online GmbH | servidores, base de datos, almacenamiento de archivos, copias de seguridad | Alemania y Finlandia |
| mailbox.org (Heinlein Hosting GmbH) | correos de servicio al personal de la clínica (sin datos de pacientes en los correos) | Alemania |
WhatsApp no es un subencargado, sino un servicio de la propia clínica. La clínica conecta su cuenta de WhatsApp y acepta ella misma las condiciones de Meta; nosotros no tenemos contrato con Meta. Por indicación de la clínica, transmitimos a su cuenta el número del paciente y el texto del mensaje, que después trata Meta (WhatsApp Ireland Ltd) según sus condiciones, como proveedor de la clínica. La conexión es como dispositivo vinculado, no a través de la plataforma oficial WhatsApp Business (condiciones de uso, sección 9).
Paddle no es un subencargado: no recibe datos de pacientes y trata los datos de pago de la clínica como responsable independiente.
Firebase Cloud Messaging (Google, notificaciones push en las aplicaciones) aparecerá en esta lista cuando se activen las notificaciones push, con aviso conforme a la sección 7.