← Volver a SereneCare

Contrato de Encargado del Tratamiento

Data Processing Agreement (DPA) conforme al artículo 28 del Reglamento General de Protección de Datos (RGPD) 2016/679

Este DPA se aplica automáticamente al registrarse en SereneCare y define las obligaciones de ambas partes respecto al tratamiento de datos personales de pacientes.

1. Objeto y duración

El Encargado tratará los datos personales por cuenta del Responsable durante la vigencia de la suscripción a SereneCare. Al terminar la suscripción, el Encargado cesa el tratamiento y procede según la cláusula de supresión (cláusula 9).

2. Naturaleza y finalidad del tratamiento

El Encargado tratará los datos con la única finalidad de prestar el servicio de software de gestión para psicólogos y clínicas de psicología, que incluye:

• Almacenamiento y gestión de historias clínicas (notas SOAP).
• Gestión de citas y recordatorios.
• Teleterapia (videoconsulta).
• Envío y puntuación de evaluaciones clínicas.
• Portal del paciente y mensajería.
• Facturación y cobros.

3. Categorías de datos e interesados

Categoría de interesados	Pacientes de la clínica o consulta del Responsable
Categorías de datos	Datos identificativos (nombre, DNI, email, teléfono), datos de salud (notas clínicas, diagnósticos, evaluaciones PHQ-9/GAD-7), datos de sesiones (fecha, duración, tipo de consulta), datos de facturación
Datos especialmente protegidos	Datos de salud (art. 9 RGPD). El Responsable garantiza haber obtenido el consentimiento explícito de los pacientes para el tratamiento de sus datos de salud en la plataforma.

4. Obligaciones del Encargado (SereneCare)

1. Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable.
2. Confidencialidad: Garantizar que el personal autorizado se haya comprometido a mantener la confidencialidad.
3. Medidas de seguridad: Implementar las medidas técnicas y organizativas adecuadas (ver cláusula 6).
4. Notificación de violaciones: Notificar al Responsable cualquier violación de datos personales en un plazo máximo de 48 horas.
5. Subencargados: No contratar a otros encargados sin autorización previa (ver cláusula 5).
6. Asistencia: Ayudar al Responsable a cumplir con su obligación de responder a las solicitudes de ejercicio de derechos ARCO+.
7. Devolución o supresión: Devolver o suprimir los datos al finalizar el servicio (cláusula 9).
8. Registro de actividades: Mantener un registro de todas las actividades de tratamiento.

5. Subencargados del tratamiento

El Responsable autoriza expresamente al Encargado a contratar los siguientes subencargados:

Subencargado	Servicio	Ubicación
Supabase Inc.	Base de datos y autenticación	Frankfurt, UE
Brevo (Sendinblue)	Envío de correos electrónicos	UE
Daily.co (Control Video Corp.)	Videoconferencia (teleterapia)	EE. UU. (EU-US DPF)
Railway Corp.	Infraestructura backend	EE. UU. (EU-US DPF)
Lemon Squeezy	Pasarela de pagos	EE. UU. (EU-US DPF)

El Encargado notificará al Responsable cualquier cambio en los subencargados con al menos 30 días de antelación, permitiendo al Responsable oponerse al cambio.

6. Medidas de seguridad

El Encargado implementa las siguientes medidas:

• Cifrado en tránsito: HTTPS/TLS 1.3 para todas las comunicaciones.
• Cifrado en reposo: Los datos se almacenan cifrados en la base de datos.
• Control de accesos: Autenticación mediante correo/contraseña con políticas de contraseñas seguras.
• Aislamiento de datos: RLS (Row Level Security) en Supabase para garantizar que cada clínica ve solo sus propios datos.
• Registro de accesos: Auditoría de quién accede a cada historia clínica y cuándo.
• Copias de seguridad: Automáticas diarias con retención de 7 días.
• Autenticación multifactor: Disponible para cuentas de administrador de clínica.

7. Ejercicio de derechos por los pacientes

Cuando un paciente ejerza sus derechos (acceso, rectificación, supresión, etc.) ante el Encargado, este remitirá la solicitud al Responsable en un plazo máximo de 48 horas. El Encargado asistirá al Responsable para dar respuesta a la solicitud.

8. Notificación de violaciones de datos

El Encargado notificará al Responsable cualquier violación de datos personales en un plazo máximo de 48 horas desde que tenga constancia, incluyendo:

• Naturaleza de la violación.
• Categorías y número de interesados afectados.
• Medidas adoptadas o propuestas.
• Consecuencias de la violación.

9. Devolución y supresión de datos al finalizar el servicio

Al cancelar la suscripción:

1. El Responsable dispone de 30 días para solicitar la exportación de sus datos en formato estructurado y de uso común (JSON/CSV).
2. El Encargado proporcionará dicha exportación sin coste adicional.
3. Transcurridos los 30 días, el Encargado eliminará todos los datos del Responsable, incluidos los de sus pacientes, de forma irreversible.
4. El Encargado podrá conservar los datos de facturación durante el tiempo exigido por la legislación fiscal (4 años).

10. Responsabilidad

El Encargado será responsable de los daños causados por el tratamiento cuando haya incumplido sus obligaciones específicas según el RGPD o haya actuado fuera de las instrucciones legales del Responsable.

11. Legislación aplicable y jurisdicción

Este DPA se rige por el Reglamento (UE) 2016/679 (RGPD) y la legislación española de protección de datos. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Madrid.

---