Contrato de Encargo de Tratamiento de Datos Personales

1. Objeto y duración

FIBON tratará datos personales por cuenta de la Clínica exclusivamente para la prestación de los servicios contratados: gestión de citas, recordatorios automáticos, asistente conversacional por WhatsApp, informes operativos y funcionalidades relacionadas descritas en el contrato de servicio principal.

La duración del presente contrato coincide con la vigencia del contrato de servicio suscrito entre las partes. A su terminación, se aplicará lo previsto en la cláusula 9.

2. Naturaleza y finalidad del tratamiento

• Almacenamiento y gestión de datos de pacientes y citas en base de datos segura.
• Envío de mensajes de recordatorio y confirmación vía WhatsApp.
• Procesamiento de conversaciones por IA para gestión de citas (sin diagnóstico clínico).
• Generación de informes operativos y de uso del servicio.
• Registro de consentimientos de comunicación de los pacientes.

3. Categorías de datos y de interesados

Categorías de datos tratados:

• Datos identificativos: nombre, teléfono, email, fecha de nacimiento.
• Datos de salud (categoría especial — art. 9 RGPD): tipo de servicio solicitado, historial de citas, notas administrativas relacionadas con la atención sanitaria.
• Datos de comunicación: mensajes WhatsApp relativos a la gestión de citas.
• Datos de facturación: pagos asociados a servicios prestados.

Categorías de interesados: pacientes de la Clínica, representantes legales de pacientes menores, y personal administrativo y sanitario de la Clínica.

4. Obligaciones de FIBON como encargado

FIBON se compromete a:

1. Tratar los datos personales únicamente conforme a las instrucciones documentadas de la Clínica, salvo que una obligación legal exija lo contrario, en cuyo caso lo comunicará previamente.
2. Garantizar que las personas autorizadas para tratar los datos han asumido compromisos de confidencialidad o están sujetas a obligaciones legales equivalentes.
3. Adoptar todas las medidas de seguridad técnicas y organizativas requeridas por el art. 32 RGPD, incluyendo cifrado en tránsito (TLS 1.3), cifrado en reposo (AES-256), control de acceso basado en roles y registros de auditoría.
4. No subcontratar tratamientos adicionales sin autorización previa de la Clínica, salvo los subencargados ya autorizados listados en la cláusula 6.
5. Asistir a la Clínica en el cumplimiento de sus obligaciones respecto a los derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición).
6. Notificar a la Clínica sin dilación indebida, y en todo caso en un plazo máximo de 72 horas, cualquier violación de seguridad de los datos que pudiera afectar a los derechos y libertades de los interesados.
7. Asistir a la Clínica en la realización de evaluaciones de impacto relativas a la protección de datos (EIPD) cuando proceda.
8. Poner a disposición de la Clínica toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este contrato y permitir y contribuir a auditorías o inspecciones realizadas por la Clínica o un auditor autorizado.

5. Obligaciones de la Clínica como responsable

La Clínica se compromete a:

1. Disponer de una base jurídica legítima para el tratamiento de los datos de sus pacientes antes de incorporarlos a la plataforma FIBON.
2. Informar a los pacientes sobre el tratamiento de sus datos y obtener los consentimientos necesarios, en particular para el envío de comunicaciones por WhatsApp.
3. Garantizar la exactitud y actualización de los datos introducidos en la plataforma.
4. Atender en tiempo y forma las solicitudes de ejercicio de derechos que reciba de sus pacientes, contando con la asistencia de FIBON cuando sea necesario.
5. Notificar a FIBON cualquier instrucción que pudiera afectar al tratamiento de datos.

6. Subencargados autorizados

La Clínica autoriza expresamente el uso de los siguientes subencargados, que han sido sometidos a las mismas garantías de protección de datos:

SCCs = Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914/UE).

FIBON informará a la Clínica de cualquier cambio en los subencargados con un mínimo de 30 días de antelación, otorgando a la Clínica la posibilidad de oponerse a dicho cambio.

7. Transferencias internacionales

La base de datos y el almacenamiento se alojan en el Reino Unido (Londres), país fuera del Espacio Económico Europeo que cuenta con una decisión de adecuación de la Comisión Europea (art. 45 RGPD), por lo que esa transferencia no requiere garantías adicionales. Las transferencias a otros países fuera del Espacio Económico Europeo (Vercel, Anthropic, Upstash) se realizan amparadas en Cláusulas Contractuales Tipo (SCCs) conforme al art. 46.2.c RGPD. FIBON mantendrá actualizadas dichas garantías y notificará a la Clínica si alguna transferencia dejara de estar debidamente amparada.

8. Medidas de seguridad

FIBON aplica, como mínimo, las siguientes medidas técnicas y organizativas:

• Cifrado de datos en tránsito mediante TLS 1.3.
• Cifrado de datos en reposo mediante AES-256.
• Control de acceso basado en roles (RBAC) con separación por organización.
• Row Level Security (RLS) a nivel de base de datos.
• Registro de auditoría inmutable de acciones críticas.
• Autenticación con contraseña + verificación por email.
• Backups diarios con retención de 7 días y restauración en punto en el tiempo (PITR).
• Monitorización continua de errores y alertas de seguridad (Sentry).

9. Devolución y supresión de datos

A la terminación del contrato de servicio, FIBON pondrá a disposición de la Clínica todos sus datos en formato exportable (CSV/JSON) durante un período de 30 días. Transcurrido dicho plazo, FIBON procederá a la eliminación definitiva y segura de todos los datos de la Clínica, salvo que una obligación legal exija su conservación. FIBON emitirá certificado de eliminación a solicitud de la Clínica.

10. Responsabilidad

Cada parte responderá de los daños causados a los interesados que sean imputables a su incumplimiento de las obligaciones del RGPD que les son propias. FIBON solo responderá de los daños causados por el tratamiento cuando no haya actuado conforme a las instrucciones de la Clínica o cuando haya infringido el RGPD en las materias que le son específicamente aplicables como encargado.

11. Modificaciones

Cualquier modificación de este contrato requerirá acuerdo escrito de ambas partes. FIBON notificará a la Clínica con al menos 30 días de antelación cualquier cambio sustancial en las condiciones de tratamiento.

12. Legislación aplicable y jurisdicción

El presente contrato se rige por el Reglamento (UE) 2016/679 (RGPD) y, en lo no previsto, por la legislación española para clínicas en España y por la legislación hondureña para clínicas en Honduras. Las partes se someten a los juzgados y tribunales competentes según el domicilio del responsable del tratamiento.