Contrato de Encargo del Tratamiento

1. Las partes y sus papeles

Responsable del tratamiento: tú, el profesional o el centro titular de la cuenta. Decides con qué finalidad y de qué manera se tratan los datos de tus pacientes o clientes, y mantienes frente a ellos las obligaciones que el RGPD impone al responsable.

Encargado del tratamiento: Jorge Mochón Bernal, con NIF 02780906E, titular de Clinora. Trata esos datos únicamente para prestarte el servicio y siguiendo tus instrucciones.

Clinora sí es responsable, en cambio, de los datos de tu propia cuenta: tu nombre, tu correo, tu facturación y tu uso de la plataforma. Eso se rige por la Política de Privacidad, no por este contrato.

2. Objeto, duración y naturaleza

Objeto: el alojamiento y tratamiento de los datos que registras en la plataforma para gestionar tu actividad: agenda, expedientes, documentación clínica, consentimientos, cuestionarios, comunicaciones con el paciente y cobros.

Duración: mientras tu cuenta esté activa. Termina cuando la cancelas o cuando finaliza la relación contractual, con los efectos del apartado 8.

Naturaleza y finalidad: operaciones de recogida, registro, conservación, consulta, modificación, comunicación a los destinatarios que tú indiques y supresión, con la única finalidad de prestarte el servicio.

3. Datos y personas afectadas

Categorías de interesados: tus pacientes o clientes y, en su caso, sus representantes legales; los profesionales de tu centro.

Categorías de datos: identificativos y de contacto, datos económicos derivados de los cobros y datos relativos a la salud, que son categoría especial del artículo 9 del RGPD. Por eso las medidas del apartado 6 no son discrecionales.

4. Obligaciones de Clinora como encargado

• Tratar los datos solo siguiendo tus instrucciones, incluidas las transferencias internacionales, salvo obligación legal, en cuyo caso te lo comunicaremos antes salvo que la ley lo prohíba.
• No utilizarlos para fines propios ni cederlos a terceros distintos de los subencargados del apartado 5, ni para entrenar modelos, ni para elaborar perfiles comerciales.
• Garantizar que quien accede a los datos está sujeto a deber de confidencialidad, que subsiste tras terminar la relación.
• Aplicar las medidas de seguridad del artículo 32 que se detallan en el apartado 6.
• Asistirte para que puedas atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un paciente nos los ejerce a nosotros, te lo trasladamos: la respuesta te corresponde a ti.
• Ayudarte a cumplir los artículos 32 a 36: seguridad, notificación de brechas y evaluaciones de impacto.
• Notificarte cualquier violación de seguridad dentro de las 48 horas siguientes a que tengamos conocimiento de ella, con la información que necesitas para valorar si debes comunicarla a la autoridad de control y a los afectados. El plazo es un compromiso nuestro y es más corto que el «sin dilación indebida» que exige el artículo 33.2 por un motivo concreto: tus 72 horas ante la Agencia empiezan a contar cuando tú te enteras, así que avisarte tarde te haría incumplir a ti aunque nosotros siguiéramos dentro de la ley.
• Poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir auditorías, tuyas o de quien tú designes.

5. Subencargados

Nos autorizas de forma general a recurrir a los siguientes proveedores, cada uno vinculado por obligaciones equivalentes a las de este contrato. Cualquier alta o sustitución se publicará aquí con antelación suficiente para que puedas oponerte; si te opones y no hay alternativa razonable, podrás resolver el contrato sin penalización.

Además, cuando tú lo indicas, la plataforma remite los datos de tus operaciones cobradas a la asesoría que tú designes para que expida tus facturas. Esa comunicación la decides tú: Clinora solo la ejecuta, y el acceso que concedes es revocable en cualquier momento desde tu cuenta.

6. Medidas de seguridad

• Cifrado de la documentación clínica en base de datos (AES-256).
• Cifrado en tránsito mediante TLS en todas las comunicaciones.
• Control de acceso por roles: cada profesional accede únicamente a los expedientes que tiene asignados.
• Registro de accesos y de operaciones sobre la documentación clínica, para poder reconstruir quién hizo qué y cuándo.
• Copias de seguridad periódicas y procedimientos de restauración.
• Seudonimización y minimización donde la finalidad lo permite.

7. Transferencias internacionales

El tratamiento se realiza dentro del Espacio Económico Europeo, salvo los proveedores marcados en la tabla del apartado 5, amparados en el Marco de Privacidad de Datos UE-EE. UU. y en cláusulas contractuales tipo. La documentación clínica no se transfiere fuera del EEE.

8. Al terminar el contrato

Cancelar tu suscripción no borra nada. Tu cuenta pasa al plan gratuito y tus datos —y los de tus pacientes— siguen donde están, accesibles y exportables. No hay ningún borrado automático, ni a los 30 días ni a ningún plazo.

No es una comodidad, es lo único compatible con tu obligación: la documentación que generas tiene plazos de conservación propios que te obligan a ti como responsable y que no desaparecen porque dejes de pagar. Cuáles son depende de tu actividad:

• Si prestas asistencia sanitaria —psicología sanitaria, fisioterapia, logopedia—, la Ley 41/2002 te obliga a conservar la documentación clínica un mínimo de cinco años desde el último acto asistencial. En varias comunidades autónomas el plazo aplicable a la documentación clínica relevante es superior, pudiendo llegar a los quince años; y en algunas normas varía además según el tipo de documento. El plazo que te corresponde lo decide tu normativa, no este contrato.
• Si tu actividad no es sanitaria —terapia, acompañamiento y disciplinas sin colegiación sanitaria—, la Ley 41/2002 no te aplica. Te aplican los plazos que marque tu colegio profesional si lo tienes y, en su defecto, el de prescripción de las acciones personales: cinco años desde que pudieron ejercitarse (art. 1964.2 del Código Civil). Coincide en número con el sanitario, pero por otro motivo: aquí se conserva para poder defenderte de una reclamación, no porque una ley de documentación clínica lo imponga.

Un borrado automático al cancelar te dejaría sin poder cumplirlos, sea cual sea la norma que te resulte de aplicación. Clinora calcula y respeta el plazo que te corresponde según tu disciplina y tu comunidad, y lo usa para impedir que un expediente se elimine antes de tiempo.

La supresión la pides tú, desde Protección de datos › Mis datos, y entonces: te entregamos primero una copia completa de tus datos y de los expedientes de tus pacientes, y suprimimos después. Nos comprometemos a completar la supresión en los 30 días siguientes a que confirmes haber recibido esa entrega. Quedan fuera los datos cuya conservación nos imponga una norma a nosotros —la facturación de tu suscripción, señaladamente—, que se bloquean: sin más tratamiento que ponerlos a disposición de la autoridad que los reclame, y solo durante el plazo que esa norma marque.

Y al revés: si alguna vez fuéramos nosotros quienes tuviéramos que dejar de conservar tus datos —por cese del servicio o por cualquier otra causa—, te avisaremos con 90 días de antelación y con tu exportación disponible durante todo ese plazo. Nunca antes, y nunca sin avisar.

9. Contacto

Para cualquier cuestión relativa a este contrato, incluidas auditorías o notificación de incidencias: info@clinora.es.

10. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española y, en lo que corresponda, por el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018.

Para cualquier controversia que surja de su interpretación o cumplimiento, las partes se someten a los Juzgados y Tribunales del domicilio del Encargado, con renuncia expresa a cualquier otro fuero que pudiera corresponderles. Este sometimiento se acuerda entre profesionales y no afecta a los derechos que la normativa de consumo reconozca a quien tenga esa condición.

Nada de lo anterior limita tu derecho a presentar una reclamación ante la Agencia Española de Protección de Datos ni el de los interesados a hacerlo, que es una vía administrativa independiente de este contrato y a la que no se renuncia por firmarlo.