Versión de trabajo. Un abogado debe revisar este texto antes de usarlo.

Contrato de encargo del tratamiento de datos (artículo 28 del RGPD)

Este contrato se celebra entre la clínica que utiliza PediJurnal («la clínica», responsable del tratamiento) y Promotion Performance SRL, con domicilio social en Târgu Mureș, Rumanía («nosotros», encargado del tratamiento). Forma parte de las condiciones del servicio de PediJurnal y se aplica desde el momento en que se crea la cuenta.

1. Objeto

Tratamos los datos personales que la clínica introduce en PediJurnal únicamente para prestarle el servicio. No utilizamos estos datos para fines propios.

2. Duración

Este contrato se aplica mientras exista la cuenta de la clínica y hasta que los datos se borren conforme al apartado 13.

3. Naturaleza y finalidad del tratamiento

Almacenamos, organizamos, mostramos, exportamos, archivamos y borramos datos a petición de la clínica y mediante las funciones de la aplicación. La finalidad es permitir que el equipo de la clínica lleve el registro de pacientes, visitas, citas y pagos.

4. Categorías de datos

• datos de identificación y de contacto de los pacientes;
• datos de salud, que son categorías especiales de datos (artículo 9 del RGPD): antecedentes médicos, hallazgos de las visitas y fotos de los pies;
• consentimientos firmados: la imagen de la firma y el texto exacto firmado;
• citas, pagos por visita y gastos;
• las cuentas de los miembros del equipo;
• el registro de accesos: quién consultó o exportó la ficha de un paciente y cuándo.

5. Interesados

• los pacientes de la clínica;
• los miembros del equipo de la clínica que tienen una cuenta de PediJurnal.

6. Instrucciones de la clínica

Tratamos los datos únicamente siguiendo instrucciones documentadas de la clínica. Estas instrucciones son las condiciones del servicio, este contrato y las acciones que el equipo realiza en la aplicación. Si consideramos que una instrucción infringe la ley, se lo comunicaremos de inmediato. Si el Derecho de la UE o el Derecho rumano nos obliga a tratar los datos de otro modo, se lo comunicaremos previamente, salvo que esa ley lo prohíba.

7. Confidencialidad

Todas las personas de nuestra parte que puedan tener acceso a los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad. Solo acceden a los datos cuando es necesario para prestar el servicio o para atender una solicitud de asistencia de la clínica.

8. Medidas de seguridad (artículo 32 del RGPD)

• Cada miembro del equipo inicia sesión en la aplicación con su propia cuenta.
• Un registro de accesos recoge quién consultó o exportó la ficha de cada paciente.
• Las fotos de los pacientes se recodifican al subirlas y se eliminan los datos de ubicación. Las fotos solo se muestran a los miembros de la clínica que han iniciado sesión y al paciente cuando la clínica comparte en la aplicación el informe de la visita con fotos.
• Los datos de la tarjeta nunca pasan por PediJurnal. Van únicamente a Stripe.
• El sitio web y la aplicación no utilizan rastreadores publicitarios ni de analítica. Solo utilizan cookies estrictamente necesarias: la cookie de sesión y, si el usuario lo solicita, una que recuerda un dispositivo de confianza para la verificación en dos pasos.
• Los elementos eliminados permanecen en el archivo durante 30 días para poder restaurarlos. Después se borran definitivamente.
• La clínica puede exportar en cualquier momento un solo paciente o todos sus datos como archivo ZIP.
• Tras la eliminación de la cuenta, las copias de seguridad, si las hay, se sobrescriben en un plazo máximo de 30 días.

Revisamos estas medidas con regularidad y las adaptamos al riesgo, teniendo en cuenta que los datos de salud son datos sensibles.

9. Subencargados del tratamiento

La clínica nos autoriza a recurrir a los siguientes subencargados del tratamiento:

• Stripe: pago de la suscripción de la clínica;
• proveedor de alojamiento: Namecheap, Inc. (USA);
• servicio que envía correos electrónicos a las cuentas de la clínica: Namecheap, Inc. (USA).

Antes de añadir o sustituir un subencargado, se lo notificaremos por correo electrónico con al menos 30 días de antelación. Durante ese plazo, usted puede oponerse de forma motivada. Si no encontramos una solución, puede cancelar su suscripción y eliminar su cuenta antes del cambio.

Exigimos a cada subencargado que cumpla obligaciones de protección de datos equivalentes a las de este contrato. Seguimos siendo responsables ante la clínica del cumplimiento de dichas obligaciones por su parte.

10. Transferencias internacionales

Solo transferimos datos fuera del Espacio Económico Europeo con las garantías previstas en el capítulo V del RGPD. Stripe puede tratar datos fuera del EEE con arreglo a las cláusulas contractuales tipo aprobadas por la Comisión Europea. Si elegimos un proveedor de alojamiento o de correo electrónico que trate datos fuera del EEE, se lo notificaremos conforme al apartado 9.

11. Asistencia a la clínica

• Derechos de los pacientes: la aplicación le permite consultar, rectificar, exportar y eliminar los datos de un paciente. Así puede atender las solicitudes de acceso, rectificación, portabilidad y supresión. Si un paciente nos escribe directamente, trasladamos la solicitud a la clínica sin demora y no la respondemos nosotros en cuanto al fondo.
• Evaluaciones de impacto relativas a la protección de datos (EIPD) y consulta previa: le facilitamos la información de que disponemos sobre el tratamiento y las medidas de seguridad.
• Seguridad y notificaciones: le ayudamos a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD, en la medida en que lo permita la información de que disponemos.

12. Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad que afecte a los datos de la clínica, se lo notificaremos sin dilación indebida y, a más tardar, en las 48 horas siguientes a haber tenido conocimiento de ella. Le indicaremos qué ha ocurrido, qué datos y aproximadamente cuántas personas pueden verse afectados, las consecuencias probables y las medidas que hemos adoptado o proponemos. Si al principio no disponemos de toda la información, se la enviaremos a medida que la conozcamos.

La clínica, como responsable del tratamiento, decide si notifica a la ANSPDCP y a los pacientes.

13. Fin del servicio

• La clínica puede exportar todos sus datos como archivo ZIP en cualquier momento.
• Cuando termina la prueba o la suscripción, los datos permanecen en la cuenta y pueden consultarse y exportarse, pero no modificarse.
• Cuando la clínica elimina su cuenta, primero le ofrecemos una exportación. Después borramos todos los datos de inmediato. Las copias de seguridad, si las hay, se sobrescriben en un plazo máximo de 30 días.
• Solo conservamos datos tras el borrado si el Derecho de la UE o el Derecho rumano nos obliga a ello.

14. Auditorías

Ponemos a disposición toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD. Permitimos auditorías, incluidas inspecciones, por parte de la clínica o de un auditor designado por ella y sujeto a confidencialidad, con un preaviso razonable. Una auditoría no puede dar acceso a los datos de otras clínicas.

15. Disposiciones finales

En materia de protección de datos, este contrato prevalece sobre las condiciones del servicio. Se rige por la legislación rumana. La autoridad de control es la ANSPDCP. Este texto es una traducción. El contrato está disponible en rumano, húngaro, inglés y español; en caso de discrepancia entre las versiones, prevalece la versión en rumano.

Contacto: motion@promotioncreative.ro.

Última actualización: 2026-10-29