Contrato de Encargado del Tratamiento
1. Partes
Este contrato se celebra entre Tactivo, como encargado del tratamiento, y la clínica, sociedad, autónomo, profesional o entidad que contrata el servicio, como responsable del tratamiento respecto de los datos personales de sus pacientes y otros interesados gestionados en la plataforma.
La persona que acepta este contrato declara tener autorización suficiente para contratar Tactivo y aceptar este contrato en nombre de la clínica.
2. Objeto
El objeto de este contrato es regular cómo Tactivo trata datos personales por cuenta de la clínica para poder prestar el servicio.
3. Duración
Este contrato estará vigente mientras Tactivo preste servicios a la clínica y continúe tratando datos personales por cuenta de la clínica. Las obligaciones de confidencialidad, seguridad, devolución, supresión y bloqueo subsistirán mientras resulten exigibles.
4. Naturaleza y finalidades del tratamiento
Tactivo tratará los datos mediante las operaciones necesarias para prestar la plataforma, como alojamiento, conservación, consulta, organización, modificación, copias de seguridad, transmisión, exportación o supresión.
Las finalidades son gestionar agenda, pacientes, documentos, firmas, comunicaciones, cobros, facturación, métricas, programas de ejercicios, soporte, seguridad e integraciones o funcionalidades activadas por la clínica. Si activa el asistente telefónico, incluyen recibir y procesar la voz del llamante, transcribirla cuando sea necesario para gestionar la conversación, consultar datos de agenda y pacientes, ejecutar las operaciones autorizadas y registrar incidencias para recepción.
5. Tipos de datos tratados
Tactivo puede tratar por cuenta de la clínica:
- Datos identificativos.
- Datos de contacto.
- Datos administrativos.
- Datos de agenda y citas.
- Datos de salud.
- Historia clínica o información asistencial.
- Documentos, firmas, comunicaciones, imágenes o archivos.
- Datos de facturación relacionados con servicios sanitarios.
- Registros necesarios para seguridad y funcionamiento del servicio.
- Voz, transcripciones, identificadores de llamada, número llamante y resultado de la atención telefónica cuando la clínica active el asistente, con la conservación configurada para ese servicio.
6. Categorías de interesados
Los interesados pueden ser pacientes, representantes legales de pacientes, profesionales de la clínica, usuarios administradores y personal de la clínica.
7. Obligaciones de la clínica como responsable
La clínica debe contar con base legal suficiente, informar a los interesados, cumplir la normativa sanitaria y de protección de datos, configurar correctamente los permisos de sus usuarios, no introducir datos innecesarios y atender los derechos de sus pacientes.
La clínica es responsable de las instrucciones dadas a Tactivo y de la legalidad de los datos introducidos en la plataforma.
La activación de un token de API, la selección de sus permisos y la identificación del Proveedor Autorizado constituyen una instrucción documentada de la clínica para que Tactivo ponga a disposición de ese destinatario las categorías de datos comprendidas en dichos permisos. La clínica puede retirar esa instrucción solicitando la revocación del token.
Cuando el proveedor ha sido elegido y contratado por la clínica para fines determinados por ella, no es un subencargado de Tactivo. La clínica debe determinar correctamente su función, elegir un proveedor que ofrezca garantías suficientes, suscribir el contrato exigido por el artículo 28 del RGPD cuando actúe como encargado, regular cualquier transferencia internacional y limitar el acceso a los datos estrictamente necesarios. Si Tactivo contrata directamente a un proveedor para prestar el servicio por cuenta de la clínica, se aplicará en cambio el régimen de subencargados de este contrato.
8. Obligaciones de Tactivo como encargado
Tactivo se obliga a:
- Tratar los datos solo siguiendo instrucciones documentadas de la clínica.
- No usar datos de pacientes para fines propios.
- No vender datos.
- No usar datos de pacientes para publicidad.
- No entrenar modelos generales con datos de pacientes salvo acuerdo específico, explícito y documentado.
- Garantizar la confidencialidad del personal autorizado.
- Aplicar medidas de seguridad apropiadas al riesgo.
- Asistir a la clínica en la atención de derechos RGPD.
- Asistir en seguridad, brechas, evaluaciones de impacto y consultas previas cuando proceda.
- Devolver, exportar, suprimir o bloquear datos al finalizar el servicio conforme a este contrato.
- Permitir auditorías razonables conforme a la sección de auditoría.
- Aplicar a cada token de API el aislamiento por clínica y los permisos autorizados, y revocarlo cuando lo solicite la clínica o exista un riesgo de seguridad o una instrucción manifiestamente ilícita.
9. Transcripción, análisis e IA
Tactivo no utilizará datos de pacientes para entrenar modelos generales, crear perfiles comerciales, vender datos o explotarlos para fines propios. Las funcionalidades de transcripción, análisis o IA se prestan bajo instrucciones de la clínica y requieren revisión profesional.
Si una funcionalidad requiere la intervención de un proveedor externo, dicho proveedor figurará como subencargado cuando trate datos personales por cuenta de la clínica.
OpenAI recibe el contexto necesario en las funciones de análisis de gestión, resúmenes pre-cita, generación de programas de ejercicios, transcripción y procesamiento de dictados de datos o historias clínicas y resúmenes de cierre diario. Ese contexto puede incluir grabaciones, datos identificativos, de agenda o clínicos según la función utilizada. Tactivo limitará la información comunicada a la finalidad de cada función y no habilitará el uso de datos de pacientes para entrenamiento general de los proveedores.
Las solicitudes de texto a OpenAI se configuran sin almacenamiento persistente de las respuestas. Pueden existir registros técnicos o de prevención de abusos conforme a las condiciones y configuración del proveedor; no se presume retención cero ni tratamiento exclusivamente en el Espacio Económico Europeo. Las transferencias internacionales se rigen por la sección 12 de este contrato.
En el asistente telefónico, Tactivo limitará las funciones y datos accesibles al agente a la clínica correspondiente. La clínica debe definir la información que se facilita al llamante y un protocolo de identificación para las consultas de citas; el número desde el que se llama no acredita por sí solo la identidad del paciente. Tactivo y la clínica acordarán antes de la activación la configuración de grabación, transcripción y conservación, y reflejarán los proveedores utilizados en la Lista de Subencargados.
10. Medidas Técnicas y Organizativas incorporadas
Las medidas técnicas y organizativas forman parte de este contrato aunque no se mencionen de forma individual en el texto corto de aceptación del registro.
Medidas aplicadas por Tactivo:
- Control de acceso por usuario y roles.
- Autenticación de usuarios.
- Separación de la información por clínica.
- Registros de seguridad y actividad cuando son necesarios para el servicio.
- Uso de HTTPS/TLS en comunicaciones web.
- Copias de seguridad del proveedor de infraestructura y copias independientes mantenidas por Tactivo para facilitar la recuperación ante incidencias.
- Acceso administrativo restringido al personal autorizado.
- Medidas de confidencialidad para personal autorizado.
- Procedimientos de respuesta ante incidencias y brechas de seguridad.
Tactivo revisará estas medidas y las adaptará cuando sea necesario, especialmente por la posible presencia de datos de salud.
11. Subencargados incorporados
La clínica autoriza de forma general a Tactivo a contratar subencargados necesarios para prestar el servicio, siempre que Tactivo imponga obligaciones equivalentes de protección de datos.
La relación vigente de proveedores, su función y las integraciones que requieren activación figuran en la Lista de Subencargados, incorporada a este contrato y disponible en /subencargados.
Tactivo mantendrá una lista accesible y actualizada de subencargados. Los cambios relevantes se notificarán con antelación razonable cuando sea posible. La clínica podrá oponerse por motivos razonables relacionados con protección de datos.
12. Transferencias internacionales
Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. Cuando exista una transferencia internacional, Tactivo se apoyará en garantías válidas conforme al RGPD, como decisiones de adecuación, cláusulas contractuales tipo u otros mecanismos aplicables.
13. Brechas de seguridad
Tactivo notificará a la clínica sin dilación indebida cuando tenga conocimiento de una violación de seguridad de los datos personales tratados por su cuenta, para que la clínica pueda cumplir sus propias obligaciones de evaluación y notificación.
La comunicación incluirá, en la medida disponible, la naturaleza de la brecha, los datos o interesados afectados, las posibles consecuencias, las medidas adoptadas o propuestas y un punto de contacto.
14. Derechos, EIPD y consultas previas
Tactivo asistirá razonablemente a la clínica en la atención de derechos de interesados, evaluaciones de impacto, consultas previas y obligaciones de seguridad, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
15. Auditoría
Tactivo pondrá a disposición de la clínica información razonable para demostrar el cumplimiento de este contrato. Las auditorías deberán ser proporcionadas, avisadas con antelación razonable, no comprometer secretos empresariales ni seguridad de otros clientes y no interferir indebidamente en el servicio.
16. Terminación, devolución y supresión
Al finalizar el servicio, la clínica podrá solicitar exportación de sus datos en un formato razonable disponible. Tras la terminación, Tactivo suprimirá o devolverá los datos tratados por cuenta de la clínica, salvo conservación bloqueada cuando sea necesaria para atender responsabilidades legales, cumplimiento normativo o defensa de reclamaciones.
17. Jerarquía documental
Este contrato prevalece sobre los Términos de Servicio en materia de tratamiento de datos por cuenta de la clínica. La Política de Privacidad regula los tratamientos propios de Tactivo.
Las secciones de medidas técnicas y organizativas, subencargados, transferencias internacionales, brechas y devolución o supresión forman parte del propio Contrato de Encargado del Tratamiento, aunque no se mencionen expresamente en el texto corto de aceptación del registro.
18. Validez electrónica y aceptación
Este contrato puede aceptarse mediante un checkbox obligatorio y la pulsación del botón de registro. Tactivo conservará una prueba electrónica de esa aceptación para poder acreditar la contratación.