Anexo de Encargo del Tratamiento

1. Papeles de cada parte

La Clínica es la responsable del tratamiento: decide sobre los datos de sus pacientes y determina las finalidades y los medios.

KHEO es el encargado del tratamiento: trata esos datos por cuenta de la Clínica y siguiendo sus instrucciones documentadas, que son las contenidas en este anexo y las que la Clínica ejerce a través de la configuración de la plataforma.

2. Objeto, duración, naturaleza y finalidad

• Objeto: prestación del servicio de gestión clínica descrito en las Condiciones.
• Duración: la del contrato, más los plazos de devolución o supresión previstos en la cláusula 9.
• Naturaleza: alojamiento, almacenamiento, consulta, modificación, copia de seguridad y supresión, por medios automatizados.
• Finalidad: permitir a la Clínica gestionar su actividad asistencial, su agenda y su facturación.

3. Datos y personas afectadas

• Personas: pacientes de la Clínica y, en su caso, sus representantes legales o contactos de emergencia.
• Identificativos y de contacto: nombre, apellidos, correo, teléfono, dirección, fecha de nacimiento.
• De salud (categoría especial, art. 9 RGPD): diagnóstico, notas de sesión, evolución y documentación clínica.
• Económicos y fiscales: NIF, dirección fiscal e importes facturados.

4. Obligaciones de KHEO como encargado

1. Tratar los datos únicamente siguiendo instrucciones documentadas de la Clínica, incluidas las transferencias internacionales.
2. No utilizarlos para fines propios ni cederlos a terceros salvo obligación legal.
3. Garantizar que las personas con acceso se comprometen a la confidencialidad.
4. Aplicar las medidas de seguridad del artículo 32, detalladas en la cláusula 6.
5. No subcontratar sin autorización, con las condiciones de la cláusula 7.
6. Asistir a la Clínica en la atención de los derechos de los interesados (cláusula 8).
7. Asistirla en la notificación de brechas y en las evaluaciones de impacto.
8. Devolver o suprimir los datos al terminar el contrato (cláusula 9).
9. Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 10).
10. Informarla de inmediato si considera que una instrucción infringe la normativa de protección de datos.

5. Obligaciones de la Clínica

• Disponer de base jurídica para el tratamiento —habitualmente el art. 9.2.h para los datos de salud— e informar a sus pacientes.
• Llevar su propio registro de actividades de tratamiento.
• Comunicar a KHEO cualquier instrucción particular por escrito.
• Gestionar los accesos de su personal y retirarlos cuando corresponda.

6. Medidas de seguridad (art. 32)

• Cifrado en reposo de los datos de salud y de contacto (AES-256-GCM), con índice ciego para permitir búsquedas sin descifrar.
• Cifrado en tránsito mediante TLS.
• Aislamiento entre clínicas: cada una accede únicamente a sus datos.
• Control de acceso por roles y verificación en dos pasos mediante código enviado por correo.
• Registro de auditoría de las operaciones sobre los datos.
• Copias de seguridad periódicas y externas al servidor principal.
• Revisión periódica de las medidas conforme evolucione el estado de la técnica.

7. Sub-encargados

La Clínica autoriza de forma general a KHEO a recurrir a los sub-encargados necesarios para prestar el servicio: alojamiento e infraestructura, copias de seguridad, envío de correo, red de distribución de contenido, monitorización de errores y servicios de inteligencia artificial.

KHEO impondrá a cada uno obligaciones equivalentes a las de este anexo y responderá de su actuación. La relación actualizada de sub-encargados, con su ubicación y las garantías aplicables, está disponible en la página de sub-encargados.

Cualquier alta o sustitución se comunicará con 30 días de antelación. Durante ese plazo la Clínica podrá oponerse por motivos razonables y, si la objeción no puede resolverse, resolver el contrato sin penalización.

8. Derechos de los interesados

Los pacientes ejercen sus derechos ante la Clínica, no ante KHEO. Si un paciente se dirigiera a KHEO, este le remitirá a su centro y lo comunicará a la Clínica sin dilación.

La plataforma incorpora funciones de exportación (art. 20) y supresión (art. 17) del expediente, de modo que la Clínica pueda atender esas solicitudes por sí misma.

9. Brechas de seguridad

KHEO comunicará a la Clínica cualquier violación de la seguridad sin dilación indebida desde que tenga constancia, con la información disponible sobre su naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas, para que la Clínica pueda cumplir el plazo de 72 horas del artículo 33.

10. Devolución y supresión

Al terminar el contrato, la Clínica dispondrá de 30 días para exportar sus datos. Transcurrido ese plazo KHEO los suprimirá, incluidas las copias de seguridad conforme a su ciclo de rotación, salvo aquellos cuya conservación imponga la ley: en particular las facturas emitidas, sujetas a plazos fiscales y a la inmutabilidad exigida por la normativa VeriFactu.

11. Auditoría

KHEO pondrá a disposición de la Clínica la información necesaria para acreditar el cumplimiento de este anexo y permitirá auditorías, incluidas inspecciones, realizadas por la Clínica o por un auditor designado por ella, con preaviso razonable, en horario laboral y sin comprometer la seguridad de los datos de otras clínicas.

12. Duración y modificación

Este anexo se mantiene vigente mientras KHEO trate datos por cuenta de la Clínica. Sus modificaciones se comunicarán con 30 días de antelación y se identificarán con número de versión y fecha. Se conserva registro de la versión aceptada por cada Clínica, con indicación del usuario y del momento de la aceptación.