Contrato de Encargado del Tratamiento

1. Marco legal y partes

Este DPA se rige por el artículo 28 del RGPD (Reglamento UE 2016/679) y por la LOPDGDD (LO 3/2018). Las partes son:

• Responsable del tratamiento: el profesional sanitario que contrata Clinessa para gestionar los datos de sus pacientes (tú).
• Encargado del tratamiento: Luis Ros Moreno, titular del servicio Clinessa.
• Subencargados: terceros proveedores que Clinessa contrata para operar las funciones clínicas autorizadas. Ver §4.

2. Objeto y duración

Clinessa trata datos personales y de salud por cuenta del profesional únicamente para prestar los servicios contratados: gestión de pacientes, agenda de citas, transcripción y análisis con IA, generación de notas clínicas y comunicaciones que el profesional active con el paciente.

El encargo comienza antes de introducir datos de pacientes y continúa mientras Clinessa trate esos datos por cuenta del profesional, también durante la exportación y el cierre de la cuenta. La cancelación de la suscripción no extingue anticipadamente estas obligaciones. Al finalizar, Clinessa devolverá o suprimirá los datos a elección e instrucción del profesional, salvo conservación legal obligatoria.

3. Obligaciones de Clinessa como encargado

• Tratar los datos siguiendo únicamente las instrucciones documentadas del profesional.
• Garantizar el deber de confidencialidad de todas las personas autorizadas.
• Aplicar las medidas técnicas y organizativas descritas en la política de privacidad.
• Asistir al profesional para responder a los derechos del paciente (acceso, rectificación, supresión, oposición, portabilidad).
• Asistir, con la información disponible, en seguridad, evaluación de impacto y consulta previa.
• Advertir al profesional si una instrucción infringe, a juicio de Clinessa, la normativa de protección de datos.
• Notificar al profesional toda brecha de datos personales sin dilación indebida desde que tenga conocimiento, y completar la información por fases si aún no se conoce todo el alcance.
• Cooperar con auditorías razonables que el profesional pueda solicitar, y poner a su disposición la información necesaria para demostrar el cumplimiento.
• Eliminar o devolver los datos al final del encargo (a elección del profesional) y suprimir las copias salvo obligación legal de conservación.
• No contratar nuevos subencargados sin informar previamente al profesional, dándole la oportunidad de oponerse.

4. Subencargados autorizados

Al aceptar este DPA el profesional autoriza, con carácter general, la subcontratación de los siguientes proveedores. La lista completa con regiones y propósito está en la política de privacidad:

• Supabase (región principal Irlanda, UE) — base de datos, autenticación, almacenamiento de audios y archivos.
• Vercel — hosting y ejecución de la aplicación web.
• Google Cloud Vertex AI (Gemini) — generación de borradores y asistencia documental cuando se activa la IA.
• AssemblyAI — transcripción automática de audio; la región efectiva depende de la configuración del servicio.
• Resend — avisos transaccionales y recordatorios que active el profesional, con datos limitados al envío.
• Sentry — diagnóstico técnico con medidas para evitar contenido clínico.
• Cloudflare R2 — copias cifradas de la base de datos.

Los pagos a Clinessa se gestionan separadamente mediante Stripe; no forman parte del encargo de la historia clínica. Los contadores técnicos de Upstash tampoco contienen datos clínicos. Antes de cualquier transferencia fuera del Espacio Económico Europeo se deben identificar el destino y la garantía aplicable. El detalle por proveedor está en la política de privacidad.

5. Naturaleza de los datos

• Categorías de personas afectadas: pacientes del profesional, el propio profesional y, en su caso, su equipo.
• Categorías de datos: identificativos, de contacto, económicos, técnicos y de uso, y datos de salud (art. 9 RGPD) — historia clínica, notas, audio, transcripciones, métricas, documentos adjuntos.
• Operaciones de tratamiento: recogida, almacenamiento, organización, modificación, consulta, transcripción automática, análisis con IA, generación de documentos, supresión.
• Duración: la del encargo, salvo periodo de conservación legalmente exigido.

6. Obtener la copia firmable del DPA

Cualquier profesional que use Clinessa puede solicitar el PDF firmable del DPA para incorporarlo a su expediente RGPD. La forma habitual es por email a soporte@clinessa.com con tus datos fiscales. Te enviamos el documento listo para firma electrónica o impresión lo antes posible.

Solicitar DPA firmable

Si necesitas firmar el contrato antes de empezar a usar el servicio (por ejemplo porque tu empresa lo exige), escríbenos a soporte@clinessa.com y coordinamos los tiempos.

7. Auditoría y demostración del cumplimiento

Clinessa pone a disposición del profesional, bajo petición razonable y con confidencialidad recíproca:

• Información pertinente del registro de actividades de Clinessa y material técnico de apoyo a la EIPD del profesional.
• Lista actualizada de subencargados y evidencia contractual disponible para cada uno, con las restricciones de confidencialidad aplicables.
• Resumen anual de incidentes de seguridad y de medidas adoptadas.
• Configuración técnica relevante (cifrado, controles de acceso, RLS, retención).

8. Contacto

Para cualquier asunto relacionado con este DPA o con la protección de datos:

• Protección de datos: soporte@clinessa.com
• Soporte general: soporte@clinessa.com