Este contrato cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Lo celebran:
- Responsable del tratamiento: la clínica dental titular de la cuenta en PresuDental (sus datos son los que constan en el registro).
- Encargado del tratamiento: [Nombre y apellidos o razón social del titular], NIF [NIF], con domicilio en [Domicilio a efectos de notificaciones].
Se acepta al registrar la clínica y forma parte de las Condiciones del servicio.
1. Objeto
El encargado trata, por cuenta de la clínica, los datos personales necesarios para prestarle el servicio PresuDental: seguimiento de presupuestos, envío de enlaces y recordatorios por WhatsApp, asistente virtual para dudas prácticas, avisos al equipo y estadísticas.
2. Datos y personas afectadas
- Personas: pacientes y potenciales pacientes de la clínica; miembros de su equipo.
- Datos identificativos y de contacto: nombre, teléfono, email.
- Datos económicos: importes del presupuesto, forma de pago preferida, plazo de financiación (sin datos bancarios).
- Datos de salud: tratamientos dentales incluidos en el presupuesto (categoría especial, art. 9 RGPD).
- Comunicaciones: mensajes de WhatsApp con la clínica y respuestas en la página del presupuesto.
- Prueba de aceptación: nombre, firma, fecha, dirección IP y navegador.
3. Duración
Mientras la clínica tenga la cuenta activa. Al terminar, el encargado entregará a la clínica una copia de los datos si la pide en los 30 días siguientes y después los suprimirá, incluidas las copias, salvo que una ley obligue a conservarlos (en cuyo caso los mantendrá bloqueados).
4. Obligaciones del encargado
El encargado se compromete a:
- Tratar los datos solo siguiendo las instrucciones documentadas de la clínica (las de este contrato y las que la clínica da al usar el panel). Si una instrucción le parece contraria a la ley, avisará a la clínica.
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
- Garantizar que quienes acceden a los datos se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad del anexo II.
- Ayudar a la clínica a atender los derechos de los pacientes (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un paciente se dirige al encargado, le remitirá la solicitud a la clínica sin demora.
- Notificar a la clínica, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier brecha de seguridad que afecte a sus datos, con la información disponible para que la clínica pueda notificarla a la AEPD (72 horas) y, si procede, a los pacientes.
- Ayudar a la clínica con la evaluación de impacto y las consultas previas, aportando la información técnica del servicio.
- Poner a disposición de la clínica la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo de 30 días y a cargo de la clínica, sin poner en riesgo los datos de otras clínicas.
- Llevar el registro de actividades de tratamiento que realiza como encargado.
5. Subencargados
La clínica autoriza de forma general al encargado a recurrir a los subencargados del anexo I. El encargado avisará a la clínica de cualquier alta o sustitución con al menos 15 días de antelación, para que pueda oponerse por motivos razonables; si se opone y no hay alternativa, podrá darse de baja sin coste. El encargado exigirá a cada subencargado, por contrato, las mismas obligaciones de protección de datos.
6. Transferencias internacionales
Los datos se alojan en la Unión Europea. Si algún subencargado trata datos fuera del Espacio Económico Europeo, el encargado se asegurará de que existan garantías adecuadas (decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo de la Comisión Europea).
7. Obligaciones de la clínica
La clínica se compromete a: tener una base jurídica para tratar los datos y, en particular, el consentimiento expreso de cada paciente antes de enviarle mensajes de WhatsApp; informar a sus pacientes (puede enlazar la Información para pacientes); revisar los datos que extrae la IA antes de confirmarlos; realizar la evaluación de impacto si es necesaria; y supervisar el tratamiento.
Anexo I. Subencargados autorizados
| Proveedor | Servicio | Ubicación de los datos |
|---|---|---|
| Supabase Inc. | Base de datos, archivos y autenticación | Unión Europea (Irlanda) |
| Vercel Inc. | Alojamiento de la aplicación | Unión Europea (Dublín) y red de distribución global |
| OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) | Lectura de presupuestos y asistente virtual | Europa cuando la residencia de datos esté activada; si no, EE. UU. con cláusulas contractuales tipo. Sin uso de los datos para entrenar modelos |
| Resend (Plus Five Five, Inc.) | Envío de avisos por email al equipo de la clínica (sin datos de salud) | Unión Europea |
| Meta Platforms Ireland Ltd. | WhatsApp Business (Cloud API), cuando la clínica conecta su número | Global, según las condiciones de WhatsApp Business que acepta la clínica |
Anexo II. Medidas de seguridad
- Aislamiento entre clínicas: cada clínica solo puede ver sus datos (seguridad a nivel de fila en la base de datos, con pruebas automáticas).
- Control de acceso: usuario personal por miembro del equipo, roles, verificación en dos pasos, cierre de sesión tras 12 horas sin uso y como máximo a los 7 días.
- Cifrado: en tránsito (HTTPS/TLS) y en reposo en los servidores del proveedor de base de datos.
- Minimización: del documento original solo se guardan los datos necesarios; otros identificadores se descartan antes de usar la IA, y el archivo original se borra 30 días después de confirmarlo.
- Enlaces de pacientes personales, aleatorios y con caducidad; páginas sin cookies de seguimiento.
- Registro de actividad (auditoría) de las acciones relevantes, sin datos de pacientes.
- Protección contra abusos: límites de intentos, verificación de la firma de los mensajes de WhatsApp, cabeceras de seguridad (CSP).
- Copias de seguridad gestionadas por el proveedor de base de datos.
- Gestión de incidentes: procedimiento de respuesta a brechas y notificación a la clínica.
- Revisión periódica de dependencias y avisos de seguridad.