← Volver a inicio

Contrato de encargo de tratamiento

Partes

El Responsable: la clínica o profesional que se da de alta en PodoPilot (la «Clínica»), identificada con los datos de su cuenta. Acepta este contrato la persona que la registra como propietaria, que declara tener capacidad para obligarla.

El Encargado: Clínicas LSCU, NIF B26785725, Calle Barcelona, 27 - Piso 6, 1ª, 17002 Girona («PodoPilot»). Contacto de protección de datos: rgpd@podopilot.com.

Este contrato forma parte de las Condiciones del servicio. En lo relativo a los datos personales que la Clínica trata con PodoPilot, prevalece este contrato.

1. Objeto

La Clínica encarga a PodoPilot el tratamiento de los datos personales necesarios para prestarle el servicio de gestión de clínica descrito en las Condiciones del servicio: alojar, organizar, mostrar, transmitir y procesar los datos que la Clínica y sus pacientes introducen en la aplicación.

2. Duración

El contrato entra en vigor cuando la Clínica lo acepta en el registro y dura mientras tenga cuenta en PodoPilot. Las obligaciones de confidencialidad y las de devolución y supresión (cláusula 12) siguen vigentes tras su terminación.

3. Naturaleza y finalidad del tratamiento

Finalidad: únicamente prestar el servicio a la Clínica. PodoPilot no usa los datos para fines propios.

Operaciones: recogida, registro, estructuración, conservación, consulta, modificación, comunicación por transmisión a los destinatarios que indique la Clínica (por ejemplo, el envío de un informe o una factura al paciente), copia de seguridad, supresión y, además:

• transcripción automática del audio de la consulta;
• generación asistida por inteligencia artificial de borradores de notas, resúmenes e informes clínicos, lectura de documentos e imágenes, sugerencias de facturación y asistente;
• envío de correos al paciente en nombre de la Clínica (consentimientos, recordatorios, informes, presupuestos, facturas);
• recogida de firmas de consentimiento y de reservas de cita en línea.

Ninguna de estas operaciones produce decisiones automatizadas con efectos sobre el paciente: los resultados son borradores que revisa un profesional de la Clínica.

4. Tipo de datos personales

• Identificativos y de contacto: nombre, DNI u otro documento, fecha de nacimiento, dirección, teléfono, correo electrónico, y los mismos datos del representante legal cuando lo hay.
• Datos de salud (categoría especial, art. 9 RGPD): historia clínica, antecedentes, notas e informes, diagnósticos y tratamientos, imágenes clínicas (pies, heridas, pruebas), grabaciones de audio de la consulta y su transcripción.
• Citas y comunicaciones: agenda, mensajes intercambiados con la Clínica y archivos adjuntos.
• Consentimientos: documentos firmados, firma manuscrita digitalizada, fecha y datos técnicos de la firma.
• Registro de actividad: qué profesional consulta, crea, modifica, firma o exporta cada dato clínico, y cuándo.
• Económicos: presupuestos, facturas y datos fiscales del paciente. No se tratan datos bancarios ni de pago de los pacientes.

5. Categorías de interesados

• pacientes de la Clínica, incluidos menores de edad;
• representantes legales, tutores y personas autorizadas por el paciente;
• personas que contactan con la Clínica o piden cita sin llegar a ser pacientes;
• profesionales y personal de la Clínica, solo respecto del registro de actividad sobre datos clínicos.

El registro de qué datos clínicos consulta, crea, modifica, firma o exporta cada profesional forma parte del encargo: PodoPilot lo lleva por cuenta de la Clínica, que es la responsable de la historia clínica. Los datos de las cuentas del personal (nombre, correo, contraseña, idioma, rol, inicios y cierres de sesión, y aceptaciones legales) no forman parte del encargo: PodoPilot los trata como responsable, según la Política de Privacidad. Punto a revisar por el asesor: en qué condición se tratan el título, el número de colegiado, la firma y la foto del profesional, que la Clínica usa en sus documentos.

6. Obligaciones y derechos de la Clínica (Responsable)

La Clínica se obliga a:

• tener una base legal para tratar los datos e informar a los pacientes (arts. 6, 9, 13 y 14 RGPD), incluido el consentimiento para grabar la consulta cuando proceda;
• dar a PodoPilot instrucciones lícitas. Las instrucciones son este contrato, las Condiciones del servicio y lo que la Clínica configura y ordena dentro de la aplicación;
• decidir quién accede dentro de su organización, con qué rol, y retirar el acceso cuando corresponda;
• atender las solicitudes de derechos de los interesados y cumplir sus deberes de conservación de la historia clínica;
• hacer, cuando sea obligatoria, la evaluación de impacto y la consulta previa;
• notificar las brechas de seguridad a la autoridad de control y a los afectados cuando proceda.

La Clínica tiene derecho a: recibir de PodoPilot la información necesaria para demostrar el cumplimiento de este contrato, supervisar el tratamiento y auditarlo (cláusula 13), oponerse a nuevos subencargados (cláusula 9) y recuperar sus datos (cláusula 12).

7. Obligaciones de PodoPilot (Encargado)

• Instrucciones documentadas. Tratar los datos solo siguiendo las instrucciones de la Clínica, también respecto de las transferencias fuera del Espacio Económico Europeo, salvo que una norma de la Unión o española le obligue a otra cosa; en ese caso avisará antes a la Clínica, salvo que la ley lo prohíba.
• Aviso de instrucciones ilícitas. Informar de inmediato a la Clínica si considera que una instrucción infringe la normativa de protección de datos.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados de la cláusula 9 o por obligación legal.
• Registro de actividades. Llevar el registro de las categorías de tratamientos hechos por cuenta de la Clínica (art. 30.2 RGPD).
• Confidencialidad (cláusula 8), seguridad (cláusula 10), asistencia (cláusula 11), devolución o supresión (cláusula 12) y auditorías (cláusula 13).

8. Confidencialidad del personal

PodoPilot garantiza que las personas autorizadas a tratar los datos se han comprometido por escrito a guardar confidencialidad o están sujetas a una obligación legal de confidencialidad, que se mantiene después de terminar su relación con PodoPilot. El acceso se limita a quien lo necesita para prestar el servicio o dar soporte, y queda registrado. Los compromisos de confidencialidad del personal y colaboradores de Clínicas LSCU con acceso a producción están firmados.

9. Subencargados

La Clínica da una autorización general para que PodoPilot recurra a otros encargados (subencargados) y acepta los del Anexo III.

• PodoPilot avisará a la Clínica de cualquier alta o sustitución de subencargado con al menos 30 días de antelación, por correo electrónico o dentro de la aplicación.
• La Clínica puede oponerse en ese plazo por motivos razonables de protección de datos. Si no hay solución, puede resolver el contrato sin penalización.
• PodoPilot impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos de este contrato, y responde plenamente ante la Clínica si el subencargado las incumple.

Transferencias internacionales. Los datos se alojan en el Espacio Económico Europeo. Si un subencargado trata datos fuera de él, solo se hará con las garantías del Capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo), y constará en el Anexo III.

10. Seguridad

PodoPilot aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo de tratar datos de salud (art. 32 RGPD), y las revisa periódicamente. Puede cambiarlas siempre que no bajen el nivel de protección.

11. Asistencia a la Clínica

• Derechos de los interesados. La aplicación permite a la Clínica consultar, corregir, exportar y anonimizar o suprimir los datos de un paciente. Si un interesado se dirige a PodoPilot, se trasladará la solicitud a la Clínica en un plazo máximo de 3 días hábiles, sin contestarla en su nombre.
• Brechas de seguridad. PodoPilot notificará a la Clínica sin dilación indebida, y como máximo en 48 horas desde que tenga constancia, cualquier brecha que afecte a sus datos, con la información del art. 33.3 RGPD de la que disponga, y la irá completando.
• Evaluaciones de impacto y consultas previas. PodoPilot facilitará la información razonable que la Clínica necesite (arts. 35 y 36 RGPD).

12. Devolución o supresión al terminar

La Clínica puede descargar todos sus datos en cualquier momento, sin necesidad de darse de baja, en un formato estructurado y de uso común.

Si la Clínica se da de baja:

• PodoPilot mantiene los datos durante 30 días desde que termina el último mes pagado;
• avisa a la Clínica por correo electrónico tres veces, con el enlace a la descarga: al darse de baja, a mitad del plazo y unos días antes del borrado; y
• suprime los datos y sus copias pasado ese plazo. Las copias de seguridad se eliminan como máximo en 7 días.

En caso de impago, la cuenta pasa a modo de solo lectura y no se suprime ningún dato por ese motivo.

PodoPilot puede conservar bloqueados los datos imprescindibles mientras puedan derivarse responsabilidades de la prestación del servicio o una norma obligue a conservarlos (por ejemplo, el registro de accesos y la prueba de aceptación de este contrato). La conservación legal de la historia clínica corresponde a la Clínica, que debe descargar una copia antes del borrado.

13. Auditorías

PodoPilot pondrá a disposición de la Clínica la información necesaria para demostrar que cumple este contrato y permitirá auditorías e inspecciones, hechas por la Clínica o por un auditor que ella designe y que esté sujeto a confidencialidad.

• Primero se atenderá la solicitud con documentación: descripción de medidas, certificaciones e informes de los subencargados, y respuestas a cuestionarios.
• Si no basta, la Clínica puede hacer una auditoría con un preaviso de 30 días, como máximo una vez al año salvo que haya habido una brecha o lo exija una autoridad, sin acceder a datos de otras clínicas y asumiendo sus propios costes.

14. Responsabilidad

Cada parte responde de los daños que cause por incumplir el RGPD o este contrato, conforme al art. 82 RGPD. Si PodoPilot determina los fines y medios de un tratamiento infringiendo este contrato, será considerado responsable de ese tratamiento (art. 28.10 RGPD).

15. Aceptación, versiones y ley aplicable

Este contrato se acepta electrónicamente durante el registro de la Clínica, marcando una casilla específica. PodoPilot guarda la versión aceptada, la persona que la aceptó, la fecha y, si se conoce, la dirección IP y el navegador; ese registro no se puede modificar ni borrar. La aceptación electrónica cumple la exigencia de que el contrato conste por escrito, también en formato electrónico (art. 28.9 RGPD).

Cada versión lleva número y fecha. Los cambios se comunican con 30 días de antelación y los relevantes requieren una nueva aceptación. Se aplica la ley española y son competentes los Juzgados y Tribunales de Girona.

Anexo I — Resumen del tratamiento

Objeto	Prestación del servicio PodoPilot a la Clínica.
Duración	Mientras la Clínica tenga cuenta, más el plazo de devolución y supresión.
Naturaleza y finalidad	Alojamiento y gestión de la información de la clínica; transcripción y asistencia con IA; envío de comunicaciones al paciente.
Tipo de datos	Identificativos, de contacto, de salud (incluidas imágenes y audio), citas y comunicaciones, consentimientos y firma, económicos.
Interesados	Pacientes (incluidos menores), representantes y personas autorizadas, contactos que no llegan a ser pacientes.
Plazos dentro del servicio	Audio de la consulta: se borra a las 48 horas. Registro de accesos: 36 meses. El resto, mientras la Clínica lo mantenga.

Anexo II — Medidas de seguridad

• Cifrado en tránsito (TLS) y en reposo (AES-256).
• Aislamiento por clínica: cada registro pertenece a una organización y la base de datos impide leer los de otra (seguridad a nivel de fila).
• Control de acceso por roles (propietario, administrador, profesional, personal) y doble factor de autenticación opcional.
• Archivos clínicos (imágenes, audio, documentos) en almacenamiento privado, accesibles solo mediante enlaces firmados y temporales generados por el servidor.
• Registro de accesos a los datos clínicos (quién, qué, cuándo; e IP y navegador en inicios y cierres de sesión), conservado 36 meses. Cobertura parcial hoy: confirmar qué operaciones quedan registradas antes de afirmarlo sin matices.
• Copias de seguridad diarias con recuperación a un punto en el tiempo.
• Minimización: el audio de la consulta se borra a las 48 horas.
• Acceso del personal de PodoPilot limitado a lo necesario para soporte y mantenimiento, con compromiso de confidencialidad.
• Gestión de incidentes: evaluación en 24 horas y registro interno de todos los incidentes.

Anexo III — Subencargados autorizados

Subencargado	Para qué	Datos	Ubicación
Supabase	Base de datos, autenticación y almacenamiento de archivos.	Todos los del encargo.	Frankfurt, Alemania (UE), región eu-central-1.
OVHcloud	Servidor donde se ejecutan la aplicación y las automatizaciones (n8n).	Todos los del encargo, en tránsito y durante su procesamiento.	Gravelines (GRA), Francia (UE). Contrato de encargo con OVHcloud solicitado y pendiente: debe estar cerrado antes de publicar la 1.0.
Microsoft (Azure OpenAI)	Transcripción del audio de la consulta y funciones de IA: borradores de notas e informes, resúmenes previos a la visita, lectura de documentos e imágenes, sugerencias de facturación y asistente.	Audio de la consulta, texto clínico, imágenes y documentos que se envían a esas funciones.	Sweden Central, Suecia (UE).
Resend	Envío de correos al paciente y al personal: consentimientos, recordatorios, informes, presupuestos, facturas, invitaciones y recuperación de contraseña.	Nombre, correo electrónico y contenido del mensaje, incluidos los adjuntos (por ejemplo, un informe clínico).	Irlanda (UE), eu-west-1.
Meta (WhatsApp Business API) Entidad contratante	Automatizaciones de WhatsApp: envío y recepción de mensajes con el paciente. Solo trata datos de las Clínicas que contraten este complemento.	Nombre, teléfono y contenido de los mensajes.	Ubicación del tratamiento y garantías de transferencia (Capítulo V RGPD)
Telnyx Entidad contratante	Llamadas telefónicas con IA. Solo trata datos de las Clínicas que contraten este complemento.	Nombre, teléfono, audio y contenido de la llamada.	Ubicación del tratamiento y garantías de transferencia (Capítulo V RGPD)

No son subencargados: Google como proveedor de inicio de sesión del personal (trata los datos de la cuenta de Google como responsable propio y no recibe datos de pacientes), ni Google Workspace, que PodoPilot usa solo para su correo corporativo y no trata datos de pacientes. Telegram no está activo; si se activa, se añadirá aquí con el preaviso de la cláusula 9.