Contrato de encargo de tratamiento

De una parte, la clínica identificada en el contrato particular, en adelante la Responsable o la Clínica.

De otra, Miguel Monllau Monfort, NIF ES73383415Y, con domicilio en Calle Doctor Coca 1, planta 1, puerta 1, 08700 Igualada, Barcelona, que opera bajo la marca «Clynalia», en adelante el Encargado o Clynalia.

Ambas partes acuerdan regular el tratamiento de datos personales necesario para prestar Clynalia conforme a las siguientes cláusulas.

La Responsable encarga a Clynalia la prestación de servicios de software para la gestión clínica y administrativa descritos en el contrato principal. Para ello, Clynalia tratará datos personales por cuenta de la Responsable y únicamente según sus instrucciones documentadas.

El objeto, duración, operaciones, finalidades, categorías de datos e interesados se detallan en los anexos.

Este contrato entra en vigor en la fecha fijada en el contrato particular y permanece vigente mientras Clynalia trate datos por cuenta de la Responsable.

Las obligaciones de confidencialidad, seguridad, devolución, supresión y cooperación que deban sobrevivir continuarán durante el plazo legal aplicable.

La Clínica determina las finalidades y medios esenciales del tratamiento de sus pacientes y actúa como responsable.

Clynalia actúa como encargada cuando trata esos datos para prestar el servicio. La denominación contractual no prevalecerá sobre la realidad del tratamiento. Si Clynalia considerase que una instrucción altera los roles o infringe la normativa, informará a la Responsable sin demora y podrá suspender la instrucción en la medida necesaria para evitar un tratamiento ilícito.

Clynalia:

• tratará los datos únicamente para prestar el servicio contratado;
• no los utilizará para fines propios incompatibles;
• no venderá datos de pacientes;
• no utilizará historias clínicas para entrenar modelos;
• no comunicará datos salvo instrucción, obligación legal o subencargo autorizado;
• documentará las instrucciones recibidas mediante el contrato, la configuración de la clínica y las solicitudes autorizadas de sus usuarios.

Cuando exista una obligación legal de tratar o comunicar datos al margen de las instrucciones, Clynalia informará previamente a la Responsable salvo prohibición legal.

Clynalia garantizará que las personas autorizadas para tratar datos:

• accedan solo cuando sea necesario para sus funciones;
• estén sujetas a deber de confidencialidad;
• reciban formación adecuada;
• utilicen credenciales individuales;
• pierdan el acceso cuando deje de ser necesario.

El acceso excepcional de soporte deberá estar justificado, limitado y registrado.

Clynalia aplicará medidas técnicas y organizativas adecuadas al riesgo y mantendrá evidencia de su funcionamiento. Las medidas iniciales figuran en el anexo correspondiente e incluyen cifrado, aislamiento por clínica, control de acceso, auditoría, copias de seguridad, gestión de claves y seguridad del desarrollo.

Las medidas podrán evolucionar para mantener o mejorar el nivel de protección, sin reducirlo materialmente durante la vigencia.

La Clínica se compromete a administrar usuarios y permisos, proteger sus dispositivos y redes, y comunicar incidentes o bajas de usuarios sin demora.

La Responsable autoriza a Clynalia, en los términos fijados en el contrato particular, a utilizar los subencargados identificados en los anexos.

En caso de autorización general, Clynalia:

• informará, por el canal y con la antelación fijados en el contrato particular, sobre incorporaciones o sustituciones;
• facilitará identidad, función y ubicación;
• permitirá objeciones razonadas relacionadas con protección de datos;
• propondrá una solución razonable cuando la objeción esté fundada;
• impondrá al subencargado obligaciones equivalentes;
• seguirá respondiendo ante la Responsable por el cumplimiento del subencargado en los términos legales.

Clynalia no realizará transferencias internacionales ni permitirá que un subencargado las realice salvo:

• instrucción documentada de la Responsable;
• necesidad para prestar el servicio descrita en los anexos; y
• existencia de un mecanismo válido y garantías adecuadas.

El inventario deberá identificar ubicación, mecanismo y documentación aplicable. La mera elección de un proveedor europeo o de una región europea no sustituye esta evaluación contractual.

La Clínica atenderá las solicitudes de sus pacientes. Si Clynalia recibe una solicitud relacionada con datos tratados por cuenta de la Clínica:

• la remitirá sin demora al contacto designado;
• no responderá en nombre de la Clínica salvo instrucción;
• facilitará, dentro de sus posibilidades, búsqueda, exportación, corrección, limitación, oposición, portabilidad o supresión.

El contacto de la Responsable y el plazo operativo de remisión y asistencia se fijan en el contrato particular.

Clynalia notificará a la Responsable sin dilación indebida después de tener constancia de una brecha que afecte a los datos encargados.

La comunicación incluirá, a medida que esté disponible:

• naturaleza e impacto probable;
• categorías y volumen aproximados;
• medidas adoptadas o previstas;
• persona de contacto;
• información necesaria para que la Clínica valore sus notificaciones.

La Clínica decide las comunicaciones a autoridad e interesados, salvo obligación directa de Clynalia. Las partes mantendrán el canal de emergencia fijado en el contrato particular.

Clynalia asistirá razonablemente a la Clínica en:

• análisis de riesgos;
• evaluaciones de impacto en la protección de datos;
• consulta al delegado de protección de datos;
• consulta previa a la autoridad cuando proceda;
• documentación de medidas y funcionamiento técnico.

Clynalia facilitará información reutilizable del servicio. La Clínica deberá completarla con su contexto, volumen, colectivos, bases jurídicas y procesos asistenciales.

Clynalia pondrá a disposición de la Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías razonables.

Las auditorías:

• se coordinarán con antelación salvo incidente urgente;
• respetarán la confidencialidad y la seguridad de otras clínicas;
• priorizarán certificaciones, informes y evidencias remotas cuando sean suficientes;
• no permitirán acceso a secretos o datos de terceros innecesarios;
• tendrán el régimen de costes que fije el contrato particular.

Al terminar la prestación, Clynalia devolverá o suprimirá los datos según la instrucción de la Responsable, salvo obligación legal de conservación.

Los anexos definen los formatos de exportación, la ventana para descargar, el tratamiento de documentos, base de datos, claves, auditoría y copias, el bloqueo de los datos sujetos a conservación, la certificación de la operación, y los plazos y excepciones.

No se ejecutará un borrado irreversible de historia clínica hasta que la Clínica confirme los plazos de conservación aplicables a su territorio y a cada categoría de datos.

Clynalia mantendrá medidas razonables de copia, recuperación y continuidad acordes al riesgo. Los objetivos de recuperación y cualquier compromiso de nivel de servicio constarán en el contrato particular o en los anexos.

El régimen de responsabilidad se coordinará con el contrato principal y no limitará derechos u obligaciones que legalmente no puedan limitarse.

En caso de contradicción sobre protección de datos, prevalecerán este contrato y sus anexos.

Por parte de Clynalia: privacidad y protección de datos, privacy@clynalia.com; asuntos contractuales, hello@clynalia.com. Los contactos de la Clínica se designan en el contrato particular.

El contrato se firma por la persona que representa a la Clínica y por Miguel Monllau Monfort en nombre de Clynalia, con fecha, antes de que se trate ningún dato de pacientes.

Funciones opcionales con IA. Si la clínica activa la función correspondiente y una persona autorizada la solicita, Clynalia utiliza Amazon Bedrock para: (a) transcribir literalmente el texto visible de un documento; (b) organizar su información escrita; o (c) redactar un borrador de informe de visita o de episodio a partir de notas que ya ha escrito el profesional.

En las dos primeras funciones se envía el PDF o la imagen seleccionados, junto con instrucciones técnicas. En informes de visita se envían las notas de anamnesis, exploración, tratamiento, evolución y recomendaciones. En los de episodio, las notas de sus visitas con fecha y número de sesión y el motivo de consulta; no se envía el campo diagnóstico del episodio. Clynalia no agrega otros campos identificativos de la ficha, pero pueden existir identificadores y datos de salud dentro del fichero o de las propias notas.

El resultado puede contener errores u omisiones. La finalidad es documental: el sistema no debe aportar interpretaciones, diagnósticos o recomendaciones clínicas nuevas. Un profesional debe compararlo con las fuentes, corregirlo o descartarlo y decidir expresamente su incorporación o emisión. La identidad que figura en el informe se añade después, fuera de la llamada al modelo. El profesional entrega el informe al paciente; Clynalia no realiza un envío automático a terceros.

AWS presta la inferencia en el ámbito UE verificado. El uso exige condiciones contractuales y de conservación evaluadas. Las fuentes, el borrador IA, el texto revisado y sus trazas se conservan según la política aplicable a cada categoría. La lista de subencargados informa sobre servicios y garantías. Clynalia no utiliza historias clínicas para entrenar modelos.

• Anexo I: descripción de tratamientos.
• Anexo II: subencargados y ubicaciones.
• Anexo III: medidas técnicas y organizativas.
• Anexo IV: devolución, conservación y supresión.
• Anexo V: funciones opcionales de transcripción, organización documental y borradores de informe de visita o episodio con IA.

Los anexos se entregan con el contrato particular. Referencias: artículo 28 del RGPD y la guía de la AEPD sobre el contenido del contrato de encargo.