Contrato de encargado del tratamiento

Este contrato se celebra entre cada profesional con cuenta en Fisiema (el Responsable) y Alexis Lozano Prior, con NIF 29543137M y domicilio en Calle Sierpes 1, Sevilla (el Encargado o «Fisiema»), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de uso y el profesional lo acepta al aceptar estas.

1. Objeto

Fisiema trata, por cuenta del profesional, los datos personales de las personas que le piden cita o que el profesional añade a su agenda, con el único fin de prestarle el servicio de agenda y reservas en línea descrito en las condiciones de uso.

2. Duración

Mientras el profesional tenga cuenta en Fisiema. Al terminar, se aplica lo previsto en el apartado 10.

3. Naturaleza y finalidad del tratamiento

Recogida a través del formulario de reserva o de la agenda del profesional, registro, conservación, consulta, comunicación al profesional, envío de emails al paciente sobre su cita y supresión. Todo ello solo para:

• recibir y mostrar al profesional las solicitudes de cita y su agenda;
• avisar al paciente del estado de su cita y enviarle un recordatorio el día antes;
• si el profesional lo tiene activado, pedirle al paciente una única vez su opinión después de la cita;
• permitir al paciente consultar y cancelar su cita.

4. Datos y personas afectadas

• Personas afectadas: pacientes, o sus representantes legales, que piden cita al profesional o que este añade a su agenda.
• Datos: nombre, email, teléfono, servicio, fecha y hora de la cita, su estado y, en las citas añadidas a mano, una nota breve del profesional.
• Categorías especiales: Fisiema no pide el motivo de la consulta ni ningún dato clínico. Aun así, que una persona pida cita a un profesional sanitario puede revelar indirectamente algo sobre su salud, por lo que el Encargado aplica a todos estos datos las medidas del apartado 7. Fisiema no es una herramienta de historia clínica: el profesional se compromete a no introducir datos clínicos en la nota de las citas.

5. Obligaciones del Responsable

• Disponer de una base legal para el tratamiento e informar a sus pacientes.
• Añadir a mano solo citas de pacientes que le hayan dado sus datos, y marcar el envío de emails solo si el paciente le ha dado su email para eso.
• Atender los derechos de sus pacientes, con la ayuda del Encargado.
• Vigilar el cumplimiento de este contrato.

6. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato, las condiciones de uso y la configuración que el profesional elige en su panel. Si una instrucción infringe, a su juicio, la normativa de protección de datos, lo comunicará de inmediato al Responsable.
• No usar los datos para fines propios, no cederlos a terceros salvo a los subencargados del apartado 8 o por obligación legal, y no venderlos ni usarlos con fines publicitarios.
• Garantizar que las personas autorizadas para tratarlos se han comprometido a respetar su confidencialidad. Hoy solo el titular de Fisiema tiene acceso a los sistemas.
• Llevar el registro de actividades de tratamiento que realiza por cuenta del Responsable.

7. Medidas de seguridad

• Conexiones cifradas (HTTPS) y contraseñas guardadas con hash, nunca en claro.
• Acceso a la agenda limitado al profesional y, si pertenece a un centro y lo ha aceptado, al titular del centro; acceso a los sistemas limitado al titular de Fisiema, con claves SSH.
• Límites de intentos frente a accesos automatizados y registro de las acciones administrativas.
• Copias de seguridad diarias y pruebas antes de cada cambio en el servicio.
• Los informes de error no incluyen direcciones IP, cookies ni el contenido de los formularios.
• Revisión de estas medidas cuando cambie el servicio o el riesgo.

8. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, a los que impone por contrato las mismas obligaciones de protección de datos:

Antes de añadir o sustituir un subencargado, Fisiema avisará al profesional por email con al menos 30 días de antelación. Si se opone por motivos razonables relacionados con la protección de datos y no se encuentra una solución, podrá darse de baja antes de que el cambio se aplique, sin penalización.

9. Asistencia al Responsable

• Derechos de los pacientes: si un paciente se dirige a Fisiema para ejercer sus derechos sobre una cita, Fisiema se lo trasladará al profesional en un plazo máximo de 5 días laborables y le ayudará a responder (por ejemplo, extrayendo o borrando los datos de esa cita).
• Brechas de seguridad: Fisiema avisará al profesional sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de una brecha que afecte a sus pacientes, con la información disponible para que pueda notificarla a la AEPD y, si procede, a los afectados.
• Le ayudará también, cuando sea necesario, en las evaluaciones de impacto y consultas previas a la autoridad de control.

10. Fin del servicio: devolución y borrado

Los datos de cada cita se borran automáticamente 6 meses después de su fecha. Antes de borrar su cuenta, el profesional puede descargar sus pacientes en un archivo CSV desde el panel y sincronizar su agenda con su calendario; la cuenta y todas sus citas se borran definitivamente a los 15 días. Las copias de seguridad que las contengan se sobrescriben en su ciclo normal. Fisiema no conserva ninguna copia salvo que una ley lo obligue.

11. Demostrar el cumplimiento y auditorías

Fisiema pondrá a disposición del profesional la información necesaria para demostrar que cumple este contrato y permitirá y colaborará en las auditorías o inspecciones razonables que el profesional, o un auditor que este designe con deber de confidencialidad, realice con un preaviso de 30 días.

12. Responsabilidad

Si el Encargado destina los datos a otra finalidad, los comunica o los usa incumpliendo este contrato, será considerado responsable del tratamiento en lo que a ese uso se refiere y responderá de las infracciones en que haya incurrido personalmente.

13. Contacto

Para cualquier cuestión sobre este contrato: hola@fisiema.es.