Acuerdo de Encargo de Tratamiento de Datos Personales

2. Datos y titulares

Las categorías de titulares pueden incluir: pacientes, profesionales, usuarios autorizados, responsables de pago y personas que contacten al Responsable o al Encargado.

Las categorías de datos pueden incluir: identificación, contacto, domicilio, fecha de nacimiento, CUIT/CUIL, datos de turnos, datos de pago o estado de operación, y datos técnicos, de seguridad y auditoría.

Al momento de aceptar este Acuerdo, la Plataforma no solicita motivo de consulta, diagnóstico, notas clínicas ni historia clínica mediante sus formularios.

El Responsable no deberá cargar datos clínicos en campos no destinados a ello.

3. Instrucciones documentadas

El Encargado tratará los datos únicamente conforme a:

• este Acuerdo;
• la Política de Privacidad;
• las instrucciones configuradas en la Plataforma;
• las instrucciones escritas impartidas por el Responsable;
• las obligaciones legales aplicables.

El Encargado informará al Responsable si considera que una instrucción infringe la Ley 25.326 u otra norma aplicable y podrá suspender su ejecución hasta recibir una instrucción válida.

4. Prohibición de uso propio

El Encargado no podrá:

• vender o alquilar datos;
• cederlos para publicidad;
• crear perfiles de pacientes;
• combinar datos de distintos Responsables;
• utilizar datos identificables para entrenar modelos;
• comercializar información;
• usar datos para una finalidad distinta;
• intentar reidentificar datos disociados.

El Encargado podrá utilizar información agregada o efectivamente disociada para métricas técnicas, seguridad y mejora general del servicio, siempre que no permita identificar a los titulares.

5. Confidencialidad

El Encargado garantizará que las personas autorizadas a tratar datos:

• estén sujetas a deber de confidencialidad;
• reciban instrucciones adecuadas;
• accedan únicamente a la información necesaria;
• mantengan el secreto incluso después de finalizar su relación.

El deber de confidencialidad subsiste aun después de terminada la relación con el titular de la base.

6. Seguridad

El Encargado adoptará medidas técnicas y organizativas apropiadas, incluyendo: control de acceso por roles, mínimo privilegio, autenticación reforzada para accesos administrativos, cifrado en tránsito, cifrado de tokens mediante AES-256-GCM, registros de acceso y operaciones, copias de seguridad, gestión de vulnerabilidades, separación de ambientes, protección de credenciales, monitoreo, recuperación ante fallas, eliminación segura, y capacitación y confidencialidad del personal.

El Encargado no registrará datos en sistemas que no reúnan condiciones razonables de integridad y seguridad, conforme al artículo 9 de la Ley 25.326.

7. Subencargados

El Responsable autoriza al Encargado a utilizar subencargados para: base de datos, hosting, almacenamiento, correo electrónico, caché, monitoreo, seguridad, soporte, y procesamiento o verificación técnica de pagos.

El Encargado:

• mantendrá una lista actualizada de subencargados;
• informará cambios relevantes;
• impondrá obligaciones equivalentes de finalidad, confidencialidad y seguridad;
• verificará razonablemente su idoneidad;
• responderá frente al Responsable por los incumplimientos imputables a su selección, instrucciones o supervisión.

El Responsable podrá formular objeciones razonables por motivos de protección de datos. Si no existe alternativa técnica razonable, las partes negociarán una solución.

8. Transferencias internacionales

El Encargado podrá utilizar subencargados ubicados fuera de la Argentina únicamente cuando la transferencia cumpla la Ley 25.326, el Decreto 1558/2001, la Disposición 60-E/2016 y demás normas aplicables.

El Encargado deberá: identificar el país o región de tratamiento; informar al Responsable las categorías de proveedores; limitar la transferencia a los datos necesarios; celebrar garantías contractuales adecuadas; exigir confidencialidad y seguridad; asistir en derechos e incidentes; devolver o eliminar los datos al finalizar; e impedir usos incompatibles.

Cuando el destino no sea adecuado, se utilizarán cláusulas contractuales de transferencia internacional u otra garantía admitida, con obligaciones sobre derechos, seguridad, devolución, destrucción y responsabilidad.

9. Derechos de los titulares

El Encargado asistirá al Responsable para atender solicitudes de acceso, rectificación, actualización, supresión, bloqueo, oposición y revocación del consentimiento.

Si un titular contacta directamente al Encargado, este registrará la solicitud, verificará razonablemente la identidad, informará al Responsable y colaborará para responder dentro de los plazos legales.

El acceso debe atenderse dentro de los diez días corridos y la rectificación o supresión dentro de los cinco días hábiles, cuando resulten procedentes.

10. Incidentes

El Encargado notificará al Responsable sin demora indebida cualquier incidente real o razonablemente sospechado que afecte la confidencialidad, integridad o disponibilidad de los datos.

La notificación deberá incluir, en la medida disponible: fecha y hora de detección, naturaleza del incidente, sistemas afectados, categorías de datos, cantidad aproximada de titulares, medidas de contención, riesgos identificados, acciones correctivas y contacto técnico responsable.

El Encargado deberá preservar evidencias, contener el incidente, evitar su reiteración y cooperar con las comunicaciones a titulares o autoridades cuando correspondan.

11. Asistencia, auditoría y cooperación

El Encargado deberá: colaborar en evaluaciones de riesgo; aportar información razonable sobre seguridad; facilitar auditorías documentales; responder cuestionarios de cumplimiento; informar cambios relevantes en su infraestructura; colaborar ante requerimientos de la AAIP o autoridades competentes; y mantener registros de tratamiento y subencargados.

Las auditorías no podrán comprometer la seguridad ni revelar información confidencial de otros clientes.

12. Conservación, devolución y eliminación

El Encargado tratará los datos durante la vigencia del servicio.

Al finalizar la relación, el Responsable podrá solicitar una copia dentro de los treinta días corridos. Cumplido ese plazo, el Encargado deberá, según instrucción del Responsable: devolver los datos, entregarlos en un formato de uso corriente, eliminarlos, anonimizarlos o bloquearlos.

Podrán conservarse copias estrictamente necesarias para obligaciones legales, seguridad, auditoría, defensa de derechos o respaldos técnicos, sujetas a bloqueo, confidencialidad y eliminación conforme al ciclo aplicable.

13. Responsabilidades

El Responsable conserva la responsabilidad sobre: la finalidad del tratamiento, la legitimidad de la recolección, la relación profesional-paciente, la exactitud de los datos, las instrucciones impartidas, la atención profesional y la información proporcionada al titular.

El Encargado responde por sus propios incumplimientos, por exceder las instrucciones o por tratar los datos para finalidades incompatibles.

14. Vigencia y prevalencia

Este Acuerdo rige mientras el Responsable utilice la Plataforma.

En caso de contradicción:

• este Acuerdo prevalece en materia de tratamiento de datos;
• la Política de Privacidad prevalece en materia de información a los titulares;
• los Términos prevalecen en materia comercial, salvo que una norma imperativa disponga otra cosa.

15. Aceptación

El profesional acepta este Acuerdo mediante una casilla separada, no premarcada, al registrarse.