Anexo de Tratamiento de Datos (DPA)

El cliente es responsable del tratamiento de los datos que incorpora y la parte prestadora identificada en la orden es encargada, salvo que la ley o una actividad concreta determine otro rol. Este DPA aplica a HBS Medic, HB Dent, HB Lab y HBS Fit durante el plazo contratado y mientras existan copias sujetas a devolución, archivo o eliminación.

El encargado tratará los datos solo conforme al acuerdo, configuración y solicitudes documentadas del cliente, salvo obligación legal, caso en el que informará previamente cuando esté permitido. No venderá datos, no los usará para publicidad comportamental y no entrenará modelos propios con expedientes identificables. Informará si considera que una instrucción infringe la ley y podrá suspenderla mientras se aclara.

• determinar licitud, necesidad, minimización, conservación y exactitud;
• entregar avisos y obtener consentimiento expreso o específico cuando corresponda;
• configurar usuarios, roles, destinatarios, integraciones, país y respaldos;
• no ordenar tratamiento incompatible con el plan o contratos de subencargados;
• responder a titulares, autoridades y obligaciones sanitarias como custodio del expediente.

El encargado limitará el acceso a personas autorizadas sujetas a confidencialidad y mantendrá medidas proporcionales, incluidas protección de transporte, controles de acceso, almacenamiento protegido, gestión de secretos, registro de eventos seleccionados, respaldo y respuesta a incidentes. El cliente debe habilitar y usar las opciones de seguridad disponibles. Las medidas se revisan con el riesgo y no constituyen garantía absoluta.

El cliente autoriza de forma general los subencargados publicados a continuación. Se les exige un contrato de protección compatible con su servicio. Un cambio material se notificará por un medio razonable; el cliente podrá objetar con fundamentos de protección de datos. Si no existe solución comercial razonable, cualquiera podrá terminar la función o servicio afectado conforme a la orden.

• Vercel: Alojamiento, entrega y ejecución de la aplicación (siempre).
• Prisma Data Platform (Prisma Postgres): Base de datos principal y copias de seguridad contratadas (siempre).
• Cloudflare R2: Almacenamiento privado de archivos, documentos e imágenes (condicional).
• Anthropic (API de Claude): Funciones de asistencia y estructuración con IA (condicional).
• OpenAI (API): Funciones de asistencia y proveedor alternativo de IA (condicional).
• Google (Gemini API): Funciones de IA de texto e imagen (condicional).
• Google (Gmail, Calendar y Meet): Envíos autorizados, sincronización de citas y generación de enlaces de reunión (condicional).
• Resend: Correos de cuenta y, cuando se habilita, comunicaciones de la clínica (condicional).
• N1co: Procesamiento de pagos (condicional).
• Wompi: Procesamiento de pagos y enlaces de cobro (condicional).
• Jitsi Meet / instancia configurada: Videoconsulta iniciada por el profesional (condicional).

Antes de una transferencia internacional, las partes documentarán país de origen, ubicaciones configuradas, destinatarios, base legal y salvaguarda aplicable. Cuando la ley trate a un proveedor remoto como encargado y no como transferencia, se conservará igualmente el contrato y análisis correspondiente. La orden puede restringir regiones; una restricción no existe si no está expresamente escrita y técnicamente disponible.

El encargado asistirá razonablemente al cliente para localizar, exportar, corregir, restringir o eliminar datos, responder a una solicitud verificada, realizar una evaluación de impacto o atender a la autoridad. No responderá directamente sobre un expediente salvo instrucción, obligación legal o necesidad de redirigir al responsable correcto.

El encargado notificará al contacto designado por el cliente sin demora indebida después de confirmar un incidente que afecte datos del cliente. Compartirá, según esté disponible, naturaleza, categorías, volumen aproximado, consecuencias, medidas y punto de contacto. La notificación no admite responsabilidad y puede actualizarse. El cliente decide y ejecuta las notificaciones a pacientes o autoridades cuando actúa como responsable.

Al finalizar, el cliente elegirá exportación y posterior eliminación o conservación bloqueada cuando la ley lo exija. La orden debe fijar el periodo de exportación y ciclos de respaldo. El encargado puede conservar evidencia mínima de contrato, facturación, seguridad o litigio sin reutilizarla para otros fines. La eliminación se acreditará razonablemente a solicitud.

El encargado pondrá a disposición información razonable para demostrar estas obligaciones, priorizando cuestionarios, reportes independientes y documentación. Una auditoría presencial requiere aviso, alcance proporcional, confidencialidad, ausencia de interferencia y asumir costes salvo incumplimiento material. No se permite acceder a datos de otros clientes ni a secretos que comprometan la seguridad.

HIPAA, datos genéticos a gran escala, sistemas de historia clínica sujetos a certificación, investigación, dispositivos médicos y residencia estricta requieren una orden especial. Ningún uso queda autorizado por aparecer técnicamente en la interfaz. Para solicitar firma y anexos por país, escribe a soporte@hbsystemas.com.