RGPD · Artículo 28
Contrato de encargo de tratamiento
Versión dpa-2026-09-28-r2. Versión vigente para contratación profesional.
1. Partes
El responsable es la clínica o profesional identificado en el pedido. El encargado es ELOÍSA BALLESTER VALERO, autónoma, NIF 48622219N, que opera bajo la marca AGENDA360PRO, con domicilio en Calle Cardenal Belluga, 21, 03005 Alicante.
2. Objeto, duración y finalidad
Durante la vigencia del servicio, el encargado trata datos únicamente para prestar el SaaS de gestión de clínicas: pacientes, citas, profesionales, documentos, ventas, facturas, comunicaciones, reserva online y funciones opcionales activadas por el responsable.
3. Datos e interesados
Puede haber datos identificativos, de contacto, citas, preferencias de comunicación, económicos, documentos y datos relativos a la salud. Las personas interesadas pueden ser pacientes, representantes, profesionales, personal de la clínica y contactos autorizados. La clínica debe determinar la base jurídica de sus tratamientos y, cuando use datos de salud, disponer de una excepción válida del artículo 9 del RGPD.
4. Instrucciones y confidencialidad
Agenda360Pro tratará los datos siguiendo instrucciones documentadas, no los utilizará para publicidad propia, perfiles ni entrenamiento de modelos, y exigirá confidencialidad a las personas autorizadas. La clínica informa a sus pacientes y configura el servicio.
5. Seguridad y asistencia
El encargado aplicará el Anexo de medidas de seguridad, asistirá razonablemente al responsable en derechos, incidentes, análisis de riesgos y consultas de la autoridad, y notificará sin dilación indebida cualquier brecha de la que tenga conocimiento.
6. Subencargados y transferencias
El responsable autoriza los proveedores de la Lista de subencargados y proveedores dentro del alcance descrito. No se activará una función opcional si no está documentado su proveedor y la garantía aplicable a cualquier transferencia.
7. Auditoría y finalización
Agenda360Pro facilitará información razonable de cumplimiento y aceptará auditorías proporcionales, con preaviso y sin comprometer a otros clientes. Al finalizar, devolverá o suprimirá los datos conforme a la Política de conservación, exportación y salida, salvo copias sujetas a retención técnica u obligación legal.
Garantías complementarias del artículo 28 RGPD
Las instrucciones documentadas incluyen las transferencias internacionales. Si una norma de la Unión o de un Estado miembro obliga al encargado a tratar datos al margen de esas instrucciones, informará previamente al responsable, salvo prohibición legal por razones importantes de interés público. Informará inmediatamente si considera que una instrucción infringe la normativa de protección de datos y suspenderá la instrucción afectada mientras se aclara.
La autorización de subencargados es general para los servicios identificados. Antes de incorporar o sustituir un subencargado se informará al responsable de su identidad, servicio, ubicación y garantías con tiempo suficiente para que pueda formular una objeción motivada antes del acceso a sus datos. Mientras se resuelve la objeción no se comunicarán sus datos al nuevo subencargado. Si no es posible una alternativa conforme, se acordará la salida de la función o servicio afectado con devolución de datos. El encargado seguirá respondiendo frente al responsable del cumplimiento de las obligaciones del subencargado.
La asistencia comprende medidas técnicas y organizativas para los derechos del capítulo III y para las obligaciones de los artículos 32 a 36: seguridad, brechas, comunicación a interesados, evaluación de impacto y consulta previa. La notificación de una brecha incluirá progresivamente naturaleza, categorías y volumen aproximado de afectados y registros, contacto, consecuencias y medidas de contención; no se demorará esperando a disponer de todos los datos.
El responsable elige entre devolución y supresión al finalizar; la devolución no autoriza conservar copias indefinidamente. Se eliminarán las copias salvo conservación exigida por una norma aplicable. El ciclo de backups debe estar acotado y documentado, con datos fuera del uso ordinario y reaplicación de las supresiones ante restauración. Una retención técnica no constituye por sí sola una excepción legal ilimitada.
Las auditorías incluyen inspecciones por el responsable o su auditor. El preaviso y las medidas de confidencialidad no impedirán comprobaciones urgentes ni las facultades de las autoridades. Estas garantías prevalecen sobre una interpretación restrictiva de las secciones anteriores.
14. Sustitución de proveedores de IA
La autorización general de subencargados permite proponer cambios de proveedor de IA, incluida la API de OpenAI, pero no autoriza indistintamente a cualquier proveedor por su sola mención. Antes de comunicar datos se verificará el contrato aplicable, el uso permitido, las categorías de datos, las medidas de seguridad, la retención, el tratamiento sin entrenamiento con datos del cliente y las garantías de transferencia internacional.
Agenda360Pro comunicará a la clínica, por su canal contractual, la entidad y servicio propuestos, finalidad, categorías de datos, ubicaciones, garantías de transferencia, retención y fecha prevista del cambio, con al menos treinta días naturales de antelación. Este plazo es un compromiso contractual. Durante él la clínica podrá formular una objeción motivada en protección de datos.
Ante una objeción, los datos de esa clínica no se transmitirán al nuevo proveedor mientras se resuelve. Si no existe alternativa conforme, se permitirá terminar el servicio afectado conforme a las condiciones de servicio. Si el proveedor anterior debe retirarse urgentemente por seguridad o incumplimiento, podrá suspenderse temporalmente la función; la urgencia no autoriza enviar datos a un proveedor no autorizado.
Los proveedores de respaldo y cambios automáticos quedan sujetos a las mismas garantías. Un cambio de modelo dentro de un proveedor ya autorizado se evaluará antes de utilizarlo y se comunicará previamente si modifica de forma material el tratamiento o sus garantías. La lista de subencargados y el registro de cambios conservarán las versiones aplicables.