Encargo de Tratamiento de Datos

Este documento constituye el acuerdo de encargo de tratamiento exigido por el artículo 28 del Reglamento (UE) 2016/679 (RGPD) entre la clínica que contrata Kliniqa (responsable del tratamiento) y Gerard Soler Almenara, titular de Kliniqa (encargado del tratamiento). Se acepta de forma expresa al registrarte como negocio en la plataforma, y queda registrada la fecha de aceptación.

1. Objeto y ámbito

El encargado tratará por cuenta del responsable los datos personales de los pacientes y clientes finales de la clínica que se introduzcan en Kliniqa, con el único fin de prestar el servicio de gestión de citas, reservas online, comunicaciones automatizadas y demás funcionalidades descritas en los Términos y Condiciones.

2. Duración

Este encargo estará vigente mientras dure la relación contractual entre la clínica y Kliniqa (la suscripción activa o el período de prueba). Al finalizar dicha relación, se aplicará lo indicado en la cláusula 8 sobre destino de los datos.

3. Naturaleza y finalidad del tratamiento

Almacenamiento, consulta, modificación, comunicación (por email o WhatsApp) y supresión de datos personales, con la finalidad exclusiva de gestionar citas, reservas, comunicaciones con el paciente y la operativa diaria de la clínica dentro de Kliniqa. El encargado no tratará los datos para ningún fin propio ni distinto del indicado por el responsable.

4. Tipo de datos y categorías de interesados

Se tratan los datos de los pacientes y clientes de la clínica detallados en la sección 2.2 de la Política de Privacidad: datos identificativos y de contacto, historial de citas, notas clínicas (incluidas categorías especiales de datos de salud del art. 9 RGPD, como alergias u observaciones médicas), fotografías antes/después, y conversaciones mantenidas con el asistente virtual de WhatsApp cuando esta función esté activada.

5. Obligaciones del encargado (Kliniqa)

• Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable, sin utilizarlos para fines propios.
• Garantizar que las personas autorizadas a tratar los datos se comprometen a confidencialidad.
• Aplicar las medidas de seguridad técnicas y organizativas exigidas por el artículo 32 RGPD (cifrado de contraseñas, control de acceso por negocio, autenticación por token, y las descritas en la sección 9 de la Política de Privacidad).
• No subcontratar a ningún otro encargado (subencargado) sin informar previamente al responsable, salvo los ya indicados en la sección 5 de la Política de Privacidad (MongoDB Atlas, Cloudinary, Brevo, Stripe, y —solo si la clínica activa las funciones de WhatsApp— Meta y Anthropic), a los que el responsable presta su autorización general con la aceptación de este documento.
• Ayudar al responsable a atender las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, portabilidad, oposición y limitación) de sus pacientes.
• Notificar al responsable, sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener constancia, cualquier violación de la seguridad de los datos personales que le afecte.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones.

6. Obligaciones y derechos del responsable (la clínica)

• Informar a sus pacientes sobre el tratamiento de sus datos personales y obtener las bases legales necesarias (incluido el consentimiento explícito para datos de salud, art. 9.2.a RGPD).
• Garantizar que los datos introducidos en Kliniqa son exactos, adecuados y lícitos.
• Dar al encargado las instrucciones de tratamiento a través del uso normal de la plataforma.
• Tiene derecho a solicitar información sobre las medidas de seguridad aplicadas y, previo aviso razonable, a auditar el cumplimiento de este encargo.

7. Confidencialidad

Los datos a los que el encargado tenga acceso en ejecución de este encargo se consideran de naturaleza confidencial, y no serán comunicados ni cedidos a terceras personas, salvo a los subencargados indicados en la cláusula 5, ni siquiera para su conservación una vez finalice la relación contractual.

8. Destino de los datos al finalizar el contrato

Al terminar la prestación del servicio, el encargado conservará los datos durante el plazo indicado en la sección 4 de la Política de Privacidad (1 año tras la baja), transcurrido el cual serán suprimidos de forma segura, salvo que exista una previsión legal que exija su conservación por un plazo mayor. El responsable puede solicitar en cualquier momento, durante ese plazo, la exportación de sus datos o su supresión anticipada, escribiendo a info.kliniqa@gmail.com.