Acuerdo de Tratamiento de Datos

Objeto, roles y duración

El Cliente es responsable del tratamiento de los datos de sus pacientes, clientes, profesionales y usuarios. JIVSoft S.A. actúa como encargado y trata esos datos solo para prestar el servicio.

El encargo dura lo mismo que el Acuerdo de Cliente y, después, el tiempo necesario para devolver o suprimir los datos según la cláusula 9.

Datos y titulares

• Titulares: pacientes y sus representantes, clientes del Cliente, profesionales, personal y usuarios de la cuenta.
• Datos de identificación y contacto: nombres, documento de identidad, fecha de nacimiento, sexo, dirección, teléfono y correo.
• Datos de salud (categoría especial o sensible): antecedentes, motivos de consulta, signos vitales, diagnósticos, tratamientos, recetas, certificados, imágenes y archivos clínicos.
• Datos administrativos y financieros: citas, facturas, pagos y datos tributarios.
• Tratamientos: registro, organización, conservación, consulta, generación de documentos, envío de comunicaciones que el Cliente active, copia de seguridad, exportación y supresión.

Instrucciones del Cliente

Tratamos los datos solo según las instrucciones documentadas del Cliente. Este Acuerdo, la configuración de la cuenta y el uso de las funciones del servicio constituyen esas instrucciones.

No usamos los datos para fines propios, publicitarios ni para entrenar modelos de inteligencia artificial, y no los vendemos ni cedemos. Si una instrucción nos parece contraria a la ley, lo informaremos al Cliente.

Si la ley nos obliga a un tratamiento distinto, lo comunicaremos antes al Cliente, salvo que la ley lo prohíba.

Confidencialidad y personal

Solo accede a los datos el personal que lo necesita para prestar el servicio o dar soporte, sujeto a deber de confidencialidad, y con acceso registrado. El soporte que requiera ver datos de la cuenta se presta a solicitud del Cliente.

Medidas de seguridad

• Cifrado de las comunicaciones entre el navegador y el servicio.
• Contraseñas guardadas con hash irreversible, bloqueo de pantalla y control de sesiones.
• Aislamiento lógico de cada cuenta y control de acceso por roles y permisos definidos por el Cliente.
• Registro de accesos y de actividad relevante para la seguridad.
• Copias de seguridad y procedimientos de recuperación.
• Gestión de vulnerabilidades, actualizaciones y separación de entornos.
• Revisión periódica de estas medidas según el riesgo, la técnica disponible y la naturaleza de los datos.

Subencargados

El Cliente autoriza de forma general la contratación de subencargados. Cada uno queda obligado por contrato a medidas de protección equivalentes a las de este Acuerdo, y respondemos frente al Cliente por su actuación.

Avisaremos de la incorporación o sustitución de subencargados con al menos 15 días de anticipación. El Cliente puede oponerse por motivos razonables de protección de datos; si no encontramos una alternativa, podrá terminar el servicio afectado con reembolso de lo pagado no utilizado.

Categorías de subencargados actuales: infraestructura y almacenamiento en la nube (Amazon Web Services); correo transaccional; mensajería de WhatsApp (Twilio y Meta), solo si el Cliente activa esos envíos; notificaciones en tiempo real (Pusher); procesamiento de pagos (Payphone u otra pasarela elegida por el Cliente), solo para los datos del pago; inteligencia artificial (OpenAI), solo cuando un usuario usa una función de asistencia con IA y únicamente con el texto que envía; y autoridades tributarias, cuando el Cliente emite comprobantes electrónicos.

Asistencia al Cliente

Ayudaremos al Cliente, mediante las funciones del servicio o a través del soporte, a atender las solicitudes de los titulares (acceso, rectificación, supresión, oposición, portabilidad y demás derechos que reconozca su ley). Si un titular nos escribe directamente, le indicaremos que se dirija al Cliente y avisaremos al Cliente.

También colaboraremos razonablemente en evaluaciones de impacto y consultas con la autoridad cuando se refieran al servicio.

Brechas de seguridad

Si confirmamos una brecha de seguridad que afecte a datos del Cliente, se lo notificaremos sin demora indebida y, en todo caso, dentro de las 48 horas siguientes a su confirmación, al correo registrado.

La notificación incluirá, en la medida en que se conozca: la naturaleza de la brecha, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Completaremos la información a medida que la obtengamos.

Notificar a la autoridad y a los titulares corresponde al Cliente como responsable, con nuestra asistencia, dentro de los plazos que fije su ley. Notificar una brecha no implica reconocer culpa.

Devolución y supresión

Mientras la cuenta esté activa o suspendida el Cliente puede exportar su información. Al terminar el Acuerdo la conservamos 90 días para que pueda solicitar una copia; después la suprimimos de los sistemas activos y de las copias de seguridad en sus ciclos ordinarios de rotación, salvo lo que la ley nos obligue a conservar.

Las obligaciones de conservación de la historia clínica son del Cliente: debe exportar y custodiar la información durante el plazo que exija su ley, aunque deje de usar el servicio.

Auditoría

Pondremos a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, respondiendo cuestionarios de seguridad una vez al año sin costo.

Las auditorías presenciales o técnicas adicionales se acordarán por escrito con al menos 30 días de aviso, en horario laboral, sin acceder a datos de otros clientes, bajo confidencialidad y a costo del Cliente, salvo que la audite una autoridad competente o exista una brecha confirmada.

Transferencias internacionales

Los datos pueden alojarse y procesarse fuera del país del Cliente. Al aceptar este Acuerdo, el Cliente autoriza esas transferencias a los subencargados indicados, y nos obligamos a que cada transferencia cuente con garantías contractuales adecuadas según la ley aplicable.

Cuando la ley del país del Cliente exija requisitos adicionales (cláusulas tipo, autorización de la autoridad, consentimiento del titular o comunicación previa), los Términos específicos del país indican cómo se cumplen. Obtener el consentimiento o informar a los titulares cuando la ley lo exija corresponde al Cliente.

Responsabilidad

La responsabilidad derivada de este Acuerdo se rige por las limitaciones del Acuerdo de Cliente, salvo lo que la ley de protección de datos aplicable declare irrenunciable.