Contracte d'encàrrec de tractament

D'una part, la clínica identificada al contracte particular, d'ara endavant la Responsable o la Clínica.

De l'altra, Miguel Monllau Monfort, NIF ES73383415Y, amb domicili al Carrer Doctor Coca 1, planta 1, porta 1, 08700 Igualada, Barcelona, que opera sota la marca «Clynalia», d'ara endavant l'Encarregat o Clynalia.

Totes dues parts acorden regular el tractament de dades personals necessari per prestar Clynalia d'acord amb les clàusules següents.

La Responsable encarrega a Clynalia la prestació de serveis de programari per a la gestió clínica i administrativa descrits al contracte principal. Per fer-ho, Clynalia tractarà dades personals per compte de la Responsable i únicament segons les seves instruccions documentades.

L'objecte, la durada, les operacions, les finalitats, les categories de dades i els interessats es detallen als annexos.

Aquest contracte entra en vigor en la data fixada al contracte particular i es manté vigent mentre Clynalia tracti dades per compte de la Responsable.

Les obligacions de confidencialitat, seguretat, devolució, supressió i cooperació que hagin de sobreviure continuaran durant el termini legal aplicable.

La Clínica determina les finalitats i els mitjans essencials del tractament dels seus pacients i actua com a responsable.

Clynalia actua com a encarregada quan tracta aquestes dades per prestar el servei. La denominació contractual no prevaldrà sobre la realitat del tractament. Si Clynalia considerés que una instrucció altera els rols o infringeix la normativa, n'informarà la Responsable sense demora i podrà suspendre la instrucció en la mesura necessària per evitar un tractament il·lícit.

Clynalia:

• tractarà les dades únicament per prestar el servei contractat;
• no les farà servir per a finalitats pròpies incompatibles;
• no vendrà dades de pacients;
• no farà servir històries clíniques per entrenar models;
• no comunicarà dades llevat d'instrucció, obligació legal o subencàrrec autoritzat;
• documentarà les instruccions rebudes mitjançant el contracte, la configuració de la clínica i les sol·licituds autoritzades dels seus usuaris.

Quan hi hagi una obligació legal de tractar o comunicar dades al marge de les instruccions, Clynalia n'informarà prèviament la Responsable llevat de prohibició legal.

Clynalia garantirà que les persones autoritzades per tractar dades:

• hi accedeixin només quan sigui necessari per a les seves funcions;
• estiguin subjectes al deure de confidencialitat;
• rebin formació adequada;
• facin servir credencials individuals;
• perdin l'accés quan deixi de ser necessari.

L'accés excepcional de suport haurà d'estar justificat, limitat i registrat.

Clynalia aplicarà mesures tècniques i organitzatives adequades al risc i mantindrà evidència del seu funcionament. Les mesures inicials figuren a l'annex corresponent i inclouen xifratge, aïllament per clínica, control d'accés, auditoria, còpies de seguretat, gestió de claus i seguretat del desenvolupament.

Les mesures podran evolucionar per mantenir o millorar el nivell de protecció, sense reduir-lo materialment durant la vigència.

La Clínica es compromet a administrar usuaris i permisos, protegir els seus dispositius i xarxes, i comunicar incidents o baixes d'usuaris sense demora.

La Responsable autoritza Clynalia, en els termes fixats al contracte particular, a fer servir els subencarregats identificats als annexos.

En cas d'autorització general, Clynalia:

• informarà, pel canal i amb l'antelació fixats al contracte particular, sobre incorporacions o substitucions;
• facilitarà identitat, funció i ubicació;
• permetrà objeccions raonades relacionades amb la protecció de dades;
• proposarà una solució raonable quan l'objecció estigui fonamentada;
• imposarà al subencarregat obligacions equivalents;
• continuarà responent davant la Responsable pel compliment del subencarregat en els termes legals.

Clynalia no farà transferències internacionals ni permetrà que un subencarregat les faci llevat de:

• instrucció documentada de la Responsable;
• necessitat per prestar el servei descrita als annexos; i
• existència d'un mecanisme vàlid i garanties adequades.

L'inventari haurà d'identificar ubicació, mecanisme i documentació aplicable. La mera elecció d'un proveïdor europeu o d'una regió europea no substitueix aquesta avaluació contractual.

La Clínica atendrà les sol·licituds dels seus pacients. Si Clynalia rep una sol·licitud relacionada amb dades tractades per compte de la Clínica:

• la remetrà sense demora al contacte designat;
• no respondrà en nom de la Clínica llevat d'instrucció;
• facilitarà, dins de les seves possibilitats, cerca, exportació, correcció, limitació, oposició, portabilitat o supressió.

El contacte de la Responsable i el termini operatiu de remissió i assistència es fixen al contracte particular.

Clynalia notificarà la Responsable sense dilació indeguda després de tenir constància d'una violació que afecti les dades encarregades.

La comunicació inclourà, a mesura que estigui disponible:

• naturalesa i impacte probable;
• categories i volum aproximats;
• mesures adoptades o previstes;
• persona de contacte;
• informació necessària perquè la Clínica valori les seves notificacions.

La Clínica decideix les comunicacions a l'autoritat i als interessats, llevat d'obligació directa de Clynalia. Les parts mantindran el canal d'emergència fixat al contracte particular.

Clynalia assistirà raonablement la Clínica en:

• anàlisi de riscos;
• avaluacions d'impacte en la protecció de dades;
• consulta al delegat de protecció de dades;
• consulta prèvia a l'autoritat quan escaigui;
• documentació de mesures i funcionament tècnic.

Clynalia facilitarà informació reutilitzable del servei. La Clínica l'haurà de completar amb el seu context, volum, col·lectius, bases jurídiques i processos assistencials.

Clynalia posarà a disposició de la Responsable la informació necessària per demostrar el compliment d'aquest contracte i permetrà auditories raonables.

Les auditories:

• es coordinaran amb antelació llevat d'incident urgent;
• respectaran la confidencialitat i la seguretat d'altres clíniques;
• prioritzaran certificacions, informes i evidències remotes quan siguin suficients;
• no permetran l'accés a secrets o dades de tercers innecessaris;
• tindran el règim de costos que fixi el contracte particular.

En acabar la prestació, Clynalia retornarà o suprimirà les dades segons la instrucció de la Responsable, llevat d'obligació legal de conservació.

Els annexos defineixen els formats d'exportació, la finestra per descarregar, el tractament de documents, base de dades, claus, auditoria i còpies, el bloqueig de les dades subjectes a conservació, la certificació de l'operació, i els terminis i excepcions.

No s'executarà cap esborrat irreversible d'història clínica fins que la Clínica confirmi els terminis de conservació aplicables al seu territori i a cada categoria de dades.

Clynalia mantindrà mesures raonables de còpia, recuperació i continuïtat d'acord amb el risc. Els objectius de recuperació i qualsevol compromís de nivell de servei constaran al contracte particular o als annexos.

El règim de responsabilitat es coordinarà amb el contracte principal i no limitarà drets o obligacions que legalment no es puguin limitar.

En cas de contradicció sobre protecció de dades, prevaldran aquest contracte i els seus annexos.

Per part de Clynalia: privacitat i protecció de dades, privacy@clynalia.com; assumptes contractuals, hello@clynalia.com. Els contactes de la Clínica es designen al contracte particular.

El contracte el signen la persona que representa la Clínica i Miguel Monllau Monfort en nom de Clynalia, amb data, abans que es tracti cap dada de pacients.

Funcions opcionals amb IA. Si la clínica activa la funció corresponent i una persona autoritzada la demana, Clynalia utilitza Amazon Bedrock per: (a) transcriure literalment el text visible d’un document; (b) organitzar-ne la informació escrita; o (c) redactar un esborrany d’informe de visita o d’episodi a partir de notes que el professional ja ha escrit.

En les dues primeres funcions s’envia el PDF o la imatge seleccionats, juntament amb instruccions tècniques. En els informes de visita s’envien les notes d’anamnesi, exploració, tractament, evolució i recomanacions. En els d’episodi, les notes de les seves visites amb data i número de sessió i el motiu de consulta; no s’envia el camp diagnòstic de l’episodi. Clynalia no hi afegeix altres camps identificatius de la fitxa, però hi pot haver identificadors i dades de salut dins del fitxer o de les notes.

El resultat pot contenir errors o omissions. La finalitat és documental: el sistema no ha d’aportar interpretacions, diagnòstics ni recomanacions clíniques noves. Un professional l’ha de comparar amb les fonts, corregir-lo o descartar-lo i decidir expressament si l’incorpora o l’emet. La identitat de l’informe s’afegeix després, fora de la crida al model. El professional lliura l’informe al pacient; Clynalia no fa un enviament automàtic a tercers.

AWS presta la inferència dins de l’àmbit UE verificat. L’ús exigeix condicions contractuals i de conservació avaluades. Les fonts, l’esborrany IA, el text revisat i les seves traces es conserven segons la política aplicable a cada categoria. La llista de subencarregats informa sobre serveis i garanties. Clynalia no utilitza històries clíniques per entrenar models.

• Annex I: descripció de tractaments.
• Annex II: subencarregats i ubicacions.
• Annex III: mesures tècniques i organitzatives.
• Annex IV: devolució, conservació i supressió.
• Annex V: funcions opcionals de transcripció, organització documental i esborranys d’informes de visita o episodi amb IA.

Els annexos es lliuren amb el contracte particular. Referències: article 28 del RGPD i la guia de l'AEPD sobre el contingut del contracte d'encàrrec.