Contrato de encargo de tratamiento (resumen)

Al suscribir el Servicio, la clínica Cliente (responsable) y el Proveedor (encargado) formalizan un contrato de encargo conforme al art. 28 RGPD. Sus puntos principales:

Objeto

Tratamiento de datos de pacientes por cuenta de la clínica para prestar la plataforma de gestión.

Instrucciones y confidencialidad

El Proveedor trata los datos solo siguiendo instrucciones documentadas del Cliente y garantiza la confidencialidad del personal autorizado.

Seguridad

Medidas del art. 32: cifrado en tránsito y reposo (AES-256), control de acceso, 2FA, aislamiento entre clínicas, copia de seguridad diaria cifrada en la UE, auditoría.

Subencargados

Neon (base de datos, UE), Scaleway (ficheros y copias, UE), Vercel (alojamiento, EE. UU. — traslado a la UE previsto), Stripe (pagos), Sentry (Functional Software, Inc.) (monitorización de errores y rendimiento de la aplicación, Unión Europea — región de Frankfurt, Alemania, de.sentry.io). Sentry trata solo datos técnicos de errores (tipo de error, ruta, navegador, entorno) y no recibe datos de pacientes, datos de salud, nombres, emails, teléfonos, DNI ni direcciones IP, que se filtran antes de enviarse. Garantías: DPA de Sentry y Cláusulas Contractuales Tipo de la Comisión Europea para posibles transferencias a EE. UU. (Functional Software, Inc. es empresa estadounidense). El Cliente autoriza estos subencargados; se le avisará con [30] días de antelación de cualquier cambio, con derecho de oposición.

Asistencia

El Proveedor asiste al Cliente en el ejercicio de derechos de los interesados, en la notificación de brechas (aviso al Cliente en [24 h]) y en las evaluaciones de impacto.

Fin del contrato

A elección del Cliente, devolución o supresión de todos los datos, con certificación por escrito, salvo obligación legal de conservación.

El texto completo del contrato se facilita al contratar. Pendiente de revisión legal.