Contrato de encargado de tratamiento

1. Objeto

Este contrato regula el tratamiento que Piagetia (el encargado) realiza por cuenta de la profesional usuaria del servicio (la responsable) sobre los datos personales que ella introduce en Piagetia, y se celebra al amparo del artículo 28 del Reglamento (UE) 2016/679.

Forma parte de los Términos del servicio y se acepta al crear la cuenta. Prevalece sobre los Términos en todo lo relativo al tratamiento de datos personales de los pacientes.

2. Quién es quién

La responsable del tratamiento es la profesional. Ella decide qué datos recoge de sus pacientes, para qué y cuánto tiempo los conserva, informa a los interesados y atiende sus derechos.

Piagetia es encargada del tratamiento: trata esos datos únicamente por cuenta de la responsable y siguiendo sus instrucciones documentadas, sin ninguna finalidad propia.

Es distinto del tratamiento de los datos de la propia profesional (su cuenta, su facturación, su uso del producto), respecto de los cuales Piagetia es responsable y se rige por la política de privacidad.

3. Qué se trata, de quién y para qué

Naturaleza y finalidad: alojar y hacer funcionar la agenda, la ficha de paciente, la historia clínica, los cobros, la facturación, los avisos de cita, los consentimientos y, si se activa, la videollamada.

Categorías de interesados: los pacientes de la responsable y, cuando el paciente es menor o tiene la capacidad modificada, sus padres, madres o tutores.

• Datos identificativos y de contacto: nombre, apellidos, DNI o NIE, fecha de nacimiento, teléfono, correo y dirección.
• Datos de salud (categoría especial, art. 9): la historia clínica y las notas de sesión.
• Datos económicos: importes, método de pago, cobros y facturas.
• Datos de uso del servicio: citas, consentimientos firmados y registros técnicos mínimos de acceso e incidencias.

4. Duración

Este contrato rige mientras la cuenta esté activa. Al terminar se aplica lo previsto en la cláusula 9.

5. Obligaciones del encargado

Piagetia se obliga a lo siguiente, en los términos del artículo 28.3:

• Tratar los datos únicamente siguiendo instrucciones documentadas de la responsable, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso se le informará antes salvo prohibición legal.
• Garantizar que quien accede a los datos se ha comprometido a la confidencialidad, que se mantiene después de terminar la relación.
• Aplicar las medidas de seguridad del artículo 32 descritas en la cláusula 6.
• No subcontratar sin autorización, en los términos de la cláusula 7.
• Asistir a la responsable, con medidas técnicas y organizativas apropiadas, para que pueda atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad de sus pacientes.
• Ayudarla a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa, teniendo en cuenta la información de que dispone.
• Suprimir o devolver los datos al terminar el servicio, según la cláusula 9.
• Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías, incluidas inspecciones, por ella o por quien designe.
• Informarla de inmediato si, en su opinión, una instrucción infringe la normativa de protección de datos.

6. Medidas de seguridad

Las medidas aplicadas están descritas y actualizadas en la página de tratamiento de datos, que forma parte de este contrato por referencia. Se describen las que están efectivamente implantadas, no las previstas.

Si alguna medida se retira o cambia sustancialmente a la baja, se avisará a la responsable con antelación razonable.

7. Subencargados

La responsable autoriza de forma general la subcontratación de los proveedores enumerados en este contrato, cada uno con la finalidad indicada.

Cualquier alta o baja de subencargado se comunicará con al menos treinta días de antelación. Durante ese plazo la responsable puede oponerse; si lo hace y el cambio es imprescindible para prestar el servicio, podrá resolver el contrato sin penalización y con devolución de la parte no consumida.

Se impondrán a cada subencargado, por contrato, las mismas obligaciones de esta cláusula y de la cláusula 5.

8. Brechas de seguridad

Ante una violación de seguridad que afecte a datos tratados por cuenta de la responsable, se le notificará sin dilación indebida y, en todo caso, en menos de 72 horas desde que se tenga constancia.

La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Notificar a la autoridad de control y, en su caso, a los interesados corresponde a la responsable.

9. Al terminar

Terminada la relación, la responsable dispone de un plazo de treinta días para exportar sus datos desde la propia aplicación. Transcurrido ese plazo, se suprimen, incluidas las copias, salvo que una norma obligue a conservarlos.

Excepción prevista por ley: las facturas emitidas y su registro de facturación son documentos con obligaciones fiscales de conservación propias y no se destruyen a petición. Se conservan bloqueados durante el plazo legal y sin ningún otro uso.

10. Responsabilidad y ley aplicable

Cada parte responde de los daños causados por su propio incumplimiento de la normativa de protección de datos, en los términos del artículo 82 del RGPD.

Se aplica la legislación española y la de la Unión Europea. Para cualquier controversia, los juzgados que correspondan conforme a la ley.

11. Quién más interviene

Estos son todos los subencargados autorizados, con lo que hace cada uno. Los marcados como opcionales solo intervienen si activas esa función.

Stripe no aparece en esta lista porque no trata datos por nuestra cuenta: si conectas los cobros con tarjeta, tus datos de verificación se los das tú en sus pantallas y allí responde por sí mismo. Está explicado en privacidad.