Encargo de tratamiento para centros y profesionales

Partes y alcance

José David Rodríguez García · NIF 14630883P
C/ Damas de la Cruz Roja 11, Bajo, 18500 Guadix (Granada), España
Contacto: rodriguezgarciajd@gmail.com

El centro o profesional identificado en el anexo de su organización actúa como responsable respecto de los tratamientos asistenciales que determine; el titular de iClinicSalud actúa como encargado. Este documento se formaliza mediante la aceptación expresa de su representante y el anexo de identificación. Su publicación no implica que una clínica ya lo haya aceptado.

Objeto, datos y duración

El encargo comprende el alojamiento, organización, consulta, actualización, exportación y entrega autorizada de información mediante la aplicación durante la relación de servicio. Puede afectar a pacientes, representantes, profesionales y personal autorizado, y a datos identificativos, contactos, citas, datos de salud, documentos y registros de actividad. No autoriza usos ajenos al servicio ni comercialización de los datos.

Instrucciones y confidencialidad

El encargado actuará conforme a las instrucciones documentadas del responsable, incluidas las referentes a transferencias. Informará si considera que una instrucción infringe la normativa. Si una ley exige otro tratamiento, lo comunicará previamente salvo prohibición legal. Las personas autorizadas estarán sujetas a confidencialidad y recibirán acceso limitado a sus funciones.

Seguridad y colaboración

Se aplicarán medidas adecuadas al riesgo: acceso individual, separación por centro y especialidad, reglas de autorización, conexiones cifradas, restricción del soporte y registro de cambios clínicos. La configuración concreta y las medidas organizativas se revisarán con el responsable; ninguna cláusula sustituye esa revisión ni garantiza la ausencia de incidentes.

El encargado colaborará en la atención de derechos, análisis de riesgos, evaluaciones de impacto y consultas a la autoridad, aportando la información necesaria. Si conoce una brecha de datos personales, avisará al responsable sin dilación indebida, con la información disponible sobre naturaleza, alcance, consecuencias y medidas, y completará los datos conforme avance la investigación.

Subencargados y comprobación

El anexo identifica los servicios de Google/Firebase descritos en la página de proveedores. El responsable autoriza esos servicios al formalizar el encargo. Se comunicará con antelación suficiente la incorporación o sustitución de otros subencargados, permitiendo formular objeciones motivadas antes de su uso. Si no pueden resolverse, se acordará una alternativa o la finalización ordenada del servicio afectado.

Los subencargados quedarán sujetos a obligaciones equivalentes, sin liberar al encargado de su responsabilidad. Este pondrá a disposición información que permita comprobar el cumplimiento y colaborará en auditorías razonables, protegiendo los datos de otros clientes.

Fin del servicio

Al finalizar, el responsable elegirá la devolución o supresión de los datos y las copias, salvo obligación legal de conservación. Se documentarán el alcance, los formatos de devolución, los plazos de ejecución y cualquier conservación restringida. La exportación no equivale a una eliminación y ninguna baja autoriza a destruir documentación sanitaria que deba conservarse.

Anexo de cada organización

La aceptación debe identificar razón social o nombre profesional, NIF, domicilio, contacto de privacidad, representante, organización, fecha y versión. El responsable debe describir sus finalidades, categorías adicionales, plazos de conservación y medidas específicas en sus instrucciones documentadas. Debe determinar, cuando proceda, el delegado de protección de datos y la relación con otros profesionales que actúen en sus instalaciones.

Módulos comerciales opcionales

El alcance incluye, cuando el responsable los activa, los datos identificativos y fiscales de clientes y proveedores, facturas, justificantes, pedidos de productos y fechas de recogida. La instrucción comprende la comunicación de registros de facturación a AEAT mediante el certificado del emisor configurado. Google Cloud Functions, Cloud Scheduler y Secret Manager se incorporan a los servicios de Google identificados en el anexo de proveedores. La conservación y devolución incluyen estos registros comerciales y respetan los deberes legales aplicables.

Instrucciones para IA y documentos firmados

La instrucción debe distinguir dictado del profesional, grabación de conversación y conservación de la muestra vocal. La activación de IA requiere documentar la instrucción del responsable, informar de OpenAI como proveedor y revisar las garantías aplicables. La aceptación previa de una versión del encargo que no incluía IA no se interpreta como autorización retroactiva de este proveedor. No se utilizarán datos reales hasta completar esa evaluación. La firma de documentos preserva la evidencia del texto y del firmante; las solicitudes de retirada, rectificación o supresión deben tramitarse de forma separada sin alterar documentos ya firmados.