Legal

Contrato de encargado del tratamiento

Versión 2026-v1 · art. 28 RGPD

Este contrato forma parte de las condiciones que acepta el administrador de la clínica al darse de alta o al aceptar una versión nueva. La aceptación se registra con la versión, la fecha y el usuario en la aplicación; no se guarda una copia firmada por clínica.

En este texto, [FALTA: nombre legal de la empresa] (Aviva) es el encargado y la clínica que contrata el servicio es la responsable del tratamiento de los datos de sus pacientes.

1. Partes y objeto

• Responsable: la clínica que contrata AVIVA para gestionar su consulta.
• Encargado: [FALTA: nombre legal de la empresa], NIF [FALTA: NIF / CIF], domicilio [FALTA: domicilio fiscal], contacto [FALTA: email de privacidad].

El encargado tratará por cuenta del responsable los datos personales necesarios para prestar el servicio AVIVA descrito en los Términos del Servicio: gestión de pacientes e historia clínica, planes de alimentación (incluida la generación asistida por IA), agenda y reservas, facturación, informes, portal del paciente y comunicaciones.

2. Duración

La de la suscripción a AVIVA. Al terminar se aplica la cláusula 10.

3. Naturaleza y finalidad del tratamiento

Recogida, registro, organización, conservación, consulta, modificación, comunicación al propio paciente, exportación, supresión y, por indicación del responsable, envío a los subencargados del anexo I. La única finalidad es prestar el servicio al responsable.

4. Tipos de datos y categorías de interesados

• Interesados: pacientes del responsable (incluidos menores, a través de sus representantes) y representantes legales; profesionales y personal de la clínica.
• Datos: identificación y contacto; fecha de nacimiento; datos de salud (medidas, composición corporal, patologías, alergias, medicación, analíticas, hábitos, fotos de seguimiento, notas clínicas, informes, menús); datos de citas; datos de facturación; mensajes entre paciente y profesional.

5. Obligaciones del encargado

1. Trata los datos solo siguiendo instrucciones documentadas del responsable. Son instrucciones este contrato, la configuración que el responsable elige en AVIVA y las acciones que hace en la aplicación. Si una instrucción le parece contraria al RGPD, lo avisa de inmediato.
2. No usa los datos para fines propios ni para entrenar modelos de IA. No los vende ni los cede.
3. Garantiza que su personal con acceso está sujeto a confidencialidad. El acceso de personal de AVIVA a datos de pacientes solo ocurre para soporte pedido por el responsable o para resolver una incidencia, y queda registrado.
4. Aplica las medidas de seguridad del anexo II (art. 32).
5. Solo recurre a los subencargados del anexo I. Avisa al responsable con 30 días de antelación antes de añadir o cambiar uno, por email al administrador y en la aplicación; el responsable puede oponerse y, si no hay alternativa, resolver el contrato sin penalización. Impone a cada subencargado las mismas obligaciones de este contrato y responde de ellos.
6. Ayuda al responsable a atender los derechos de los interesados, con funciones en la aplicación: exportación completa por paciente y por clínica, rectificación, bloqueo, anonimización y supresión cuando el plazo lo permite. Si un interesado se dirige a AVIVA, se lo remite al responsable en un plazo de 5 días hábiles sin contestar por él.
7. Notifica al responsable cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y en un máximo de 48 horas desde que la conozca, con la información del art. 33.3 que tenga en ese momento.
8. Ayuda al responsable en sus evaluaciones de impacto y consultas previas. Pone a su disposición la evaluación de la plataforma.
9. Mantiene un registro de actividades como encargado (art. 30.2).
10. Pone a disposición del responsable la información necesaria para demostrar el cumplimiento y permite auditorías razonables: como regla general, mediante documentación e informes; presencial, con 30 días de aviso, una vez al año como máximo y a cargo del responsable, salvo que haya una brecha o un requerimiento de la autoridad.
11. Ha designado un delegado de protección de datos: pendiente de designar y comunicar a la AEPD.

6. Obligaciones del responsable

1. Garantiza que tiene base legal para tratar los datos de sus pacientes. En particular, declara que todos los profesionales que tratan pacientes en su clínica son sanitarios titulados sujetos a secreto profesional y mantiene esa declaración al día.
2. Informa a sus pacientes. AVIVA le facilita el texto, que se adapta con sus datos.
3. Configura correctamente AVIVA: datos fiscales y de contacto, plazo de conservación de la historia clínica según su comunidad autónoma, uso de IA, roles de su equipo.
4. Atiende las peticiones de los pacientes, incluida la oposición al uso de IA (marca «No usar IA con este paciente»).
5. Supervisa el tratamiento y comunica a AVIVA cualquier instrucción adicional por escrito.

7. Inteligencia artificial

• Los datos de pacientes se envían al proveedor de IA (anexo I) solo cuando un profesional de la clínica usa una función de IA y solo si la clínica tiene activo «Usar IA con datos de pacientes» y el paciente no tiene la marca de exclusión.
• AVIVA minimiza lo que envía: nunca nombre, contacto ni fecha de nacimiento exacta.
• AVIVA exige al proveedor de IA no conservar los datos ni usarlos para entrenar, y lo configura así en cada petición.
• El resultado de la IA es siempre un borrador que el profesional debe revisar y aprobar. AVIVA no toma decisiones sobre pacientes.

8. Transferencias internacionales

Algunos subencargados están en EE. UU. (anexo I). Las transferencias se basan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. cuando el subencargado está adherido, y si no, en cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), con las medidas adicionales del anexo II. La base de datos y el almacenamiento de ficheros están en la Unión Europea.

9. Conservación durante el contrato

AVIVA conserva los datos mientras el responsable los mantenga en la aplicación. El responsable fija el plazo de conservación de la historia clínica (mínimo legal 5 años) y AVIVA le avisa de los pacientes cuyo plazo ha vencido, sin borrar nada por su cuenta.

10. Fin del contrato

1. Al darse de baja, el responsable puede descargar la exportación completa de todos sus datos y ficheros. AVIVA la ofrece antes de confirmar la baja.
2. AVIVA borra todos los datos del responsable 30 días después de la baja, salvo los que deba conservar por ley (por ejemplo, los registros de facturación sujetos a Verifactu, bloqueados y solo accesibles por obligación legal), y lo comunica. Las copias de seguridad se sobrescriben en su ciclo normal de rotación, de como máximo 30 días adicionales.
3. Desde la baja, la obligación de conservar la historia clínica y las facturas es del responsable, con la exportación.

11. Responsabilidad

Cada parte responde de sus incumplimientos conforme al art. 82 RGPD. La limitación de responsabilidad se ajusta a la de los Términos del Servicio.

12. Ley y jurisdicción

Legislación española; juzgados de [FALTA: ciudad del domicilio], salvo que la ley imponga otro fuero.

Anexo I. Subencargados

No reciben datos de pacientes: Stripe (cobro de la suscripción de la clínica) y Canny (sugerencias de los nutricionistas). AVIVA es responsable de esos datos, no encargado.

Anexo II. Medidas de seguridad

• Aislamiento por clínica: toda consulta de datos de negocio se filtra por la clínica del usuario, obtenida de su sesión; nunca del cliente.
• Control de acceso por roles (administrador, nutricionista, recepción) y visibilidad configurable de pacientes entre nutricionistas.
• Cifrado: TLS en tránsito con HSTS; cifrado en reposo del proveedor de base de datos y almacenamiento; cifrado adicional AES-256-GCM a nivel de campo de notas clínicas y credenciales de integraciones.
• Ficheros privados, accesibles solo con enlaces firmados de 1 hora.
• Trazas de auditoría de acceso y modificación de expedientes, exportaciones y acciones sensibles.
• Autenticación gestionada por Supabase Auth con verificación de email.
• Errores sin datos personales: depuración de eventos antes de salir hacia Sentry.
• Minimización y no retención en IA (cláusula 7).
• Exportación completa de datos para portabilidad y devolución.

¿Dudas sobre este contrato? Escríbenos a [FALTA: email de privacidad].