Encargo de tratamiento para centros y profesionales

Partes y alcance

José David Rodríguez García · NIF 14630883P
C/ Damas de la Cruz Roja 11, Bajo, 18500 Guadix (Granada), España
Contacto: rodriguezgarciajd@gmail.com

El centro o profesional identificado en el anexo de su organización actúa como responsable respecto de los tratamientos asistenciales que determine; el titular de iClinicSalud actúa como encargado. Este documento se formaliza mediante la aceptación expresa de su representante y el anexo de identificación. Su publicación no implica que una clínica ya lo haya aceptado.

Objeto, datos y duración

El encargo comprende el alojamiento, organización, consulta, actualización, exportación y entrega autorizada de información mediante la aplicación durante la relación de servicio. Puede afectar a pacientes, representantes, profesionales y personal autorizado, y a datos identificativos, contactos, citas, datos de salud, documentos y registros de actividad. No autoriza usos ajenos al servicio ni comercialización de los datos.

Instrucciones y confidencialidad

El encargado actuará conforme a las instrucciones documentadas del responsable, incluidas las referentes a transferencias. Informará si considera que una instrucción infringe la normativa. Si una ley exige otro tratamiento, lo comunicará previamente salvo prohibición legal. Las personas autorizadas estarán sujetas a confidencialidad y recibirán acceso limitado a sus funciones.

Seguridad y colaboración

Se aplicarán medidas adecuadas al riesgo: acceso individual, separación por centro y especialidad, reglas de autorización, conexiones cifradas, restricción del soporte y registro de cambios clínicos. La configuración concreta y las medidas organizativas se revisarán con el responsable; ninguna cláusula sustituye esa revisión ni garantiza la ausencia de incidentes.

El encargado colaborará en la atención de derechos, análisis de riesgos, evaluaciones de impacto y consultas a la autoridad, aportando la información necesaria. Si conoce una brecha de datos personales, avisará al responsable sin dilación indebida, con la información disponible sobre naturaleza, alcance, consecuencias y medidas, y completará los datos conforme avance la investigación.

Subencargados y comprobación

El anexo identifica los servicios de Google/Firebase descritos en la página de proveedores. El responsable autoriza esos servicios al formalizar el encargo. Se comunicará con antelación suficiente la incorporación o sustitución de otros subencargados, permitiendo formular objeciones motivadas antes de su uso. Si no pueden resolverse, se acordará una alternativa o la finalización ordenada del servicio afectado.

Los subencargados quedarán sujetos a obligaciones equivalentes, sin liberar al encargado de su responsabilidad. Este pondrá a disposición información que permita comprobar el cumplimiento y colaborará en auditorías razonables, protegiendo los datos de otros clientes.

Fin del servicio

Al finalizar, el responsable elegirá la devolución o supresión de los datos y las copias, salvo obligación legal de conservación. Se documentarán el alcance, los formatos de devolución, los plazos de ejecución y cualquier conservación restringida. La exportación no equivale a una eliminación y ninguna baja autoriza a destruir documentación sanitaria que deba conservarse.

Anexo de cada organización

La aceptación debe identificar razón social o nombre profesional, NIF, domicilio, contacto de privacidad, representante, organización, fecha y versión. El responsable debe describir sus finalidades, categorías adicionales, plazos de conservación y medidas específicas en sus instrucciones documentadas. Debe determinar, cuando proceda, el delegado de protección de datos y la relación con otros profesionales que actúen en sus instalaciones.

Módulos comerciales opcionales

El alcance incluye, cuando el responsable los activa, los datos identificativos y fiscales de clientes y proveedores, facturas, justificantes, pedidos de productos y fechas de recogida. La instrucción comprende la comunicación de registros de facturación a AEAT mediante el certificado del emisor configurado. Google Cloud Functions, Cloud Scheduler y Secret Manager se incorporan a los servicios de Google identificados en el anexo de proveedores. La conservación y devolución incluyen estos registros comerciales y respetan los deberes legales aplicables.