Contrato de encargado del tratamiento
Versión 1 · 2 de noviembre de 2026
Este contrato forma parte de las condiciones del servicio y se acepta junto con ellas al contratar. Lo celebran la clínica que contrata el Servicio (la «CLÍNICA», responsable del tratamiento) y BW & TAKACS TELECOM, S.L. (NIF B66109604, Calle Camil Oliveras 26-30, planta 1, puerta 4, 08032 Barcelona, inscrita en el Registro Mercantil de Barcelona, tomo 43987, folio 150, sección 8, hoja B-443725), que opera con el nombre comercial SC Digital (el «ENCARGADO»), encargado del tratamiento, en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y del artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).
1. Objeto, duración y naturaleza
El ENCARGADO trata datos personales por cuenta de la CLÍNICA únicamente para prestar el Servicio: recibir solicitudes de pacientes, responderlas, gestionar la reserva de citas y avisar a recepción. El encargo dura lo mismo que el contrato de servicio.
2. Datos y personas afectadas
| Personas | Datos |
|---|---|
| Pacientes y potenciales pacientes que contactan con la CLÍNICA | Nombre, email, teléfono, tratamiento de interés, contenido de sus mensajes, citas reservadas |
| Personal de la CLÍNICA que usa el Servicio | Nombre, email profesional, accesos al panel |
Los mensajes de pacientes pueden contener datos de salud (categoría especial, art. 9 RGPD). El ENCARGADO los trata solo en la medida en que el paciente los escriba y aplica las medidas de seguridad de la cláusula 6.
3. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas de la CLÍNICA, incluidas las de este contrato, y no usarlos para fines propios. Si una instrucción le parece contraria a la normativa, avisará de inmediato.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
- Aplicar las medidas de seguridad del art. 32 RGPD descritas en la cláusula 6.
- Recurrir solo a los subencargados de la cláusula 5. La CLÍNICA da su autorización general a esa lista; el ENCARGADO avisará por email de cualquier alta o cambio con 15 días de antelación y la CLÍNICA podrá oponerse por motivos razonables. El ENCARGADO impone a cada subencargado las mismas obligaciones de protección de datos.
- Realizar transferencias internacionales solo con las garantías del capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo).
- Ayudar a la CLÍNICA a responder a las solicitudes de ejercicio de derechos; si recibe una directamente, trasladarla a la CLÍNICA en un máximo de 5 días laborables.
- Notificar a la CLÍNICA, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad de los datos, con la información disponible para que la CLÍNICA pueda notificarla a la AEPD si procede.
- Ayudar a la CLÍNICA, con la información de que disponga, en las evaluaciones de impacto y consultas previas que necesite.
- Poner a disposición de la CLÍNICA la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo de 15 días.
4. Obligaciones de la clínica
Facilitar al ENCARGADO los datos e instrucciones necesarios; informar a los pacientes del tratamiento (por ejemplo, en sus formularios y en su política de privacidad) y contar con la base legal adecuada; y supervisar el tratamiento.
5. Subencargados autorizados
| Subencargado | Función | Ubicación de los datos | Garantía de transferencia |
|---|---|---|---|
| Supabase, Inc. | Base de datos de contactos, mensajes y citas | UE (París) | Cláusulas contractuales tipo |
| n8n GmbH | Automatización de respuestas, reservas y avisos | UE (Alemania) | No aplica (UE) |
| OpenAI, L.L.C. / OpenAI Ireland Ltd. | Modelo de lenguaje que redacta las respuestas a pacientes | EE. UU. | Marco de Privacidad UE-EE. UU. / cláusulas contractuales tipo |
| OVH SAS | Correo electrónico de envío y recepción | UE (Francia) | No aplica (UE) |
| Amazon Web Services EMEA SARL | Alojamiento del panel y la web | UE (París) | No aplica (UE) |
| Google (Ireland) Ltd. | Calendario de la CLÍNICA, solo si la CLÍNICA lo conecta | UE / EE. UU. | Marco de Privacidad UE-EE. UU. |
6. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS/TLS) y de las bases de datos en reposo por los proveedores.
- Separación por clínica: cada clínica solo accede a sus propios datos, con reglas de acceso a nivel de base de datos.
- Acceso al panel con usuario personal; las claves de acceso a los sistemas las gestiona solo el personal autorizado del ENCARGADO.
- Minimización: el asistente solo recibe la información necesaria para responder; los mensajes no se usan para entrenar modelos de terceros.
- Enlaces de reserva individuales e impredecibles para cada paciente.
- Registro de actividad de cada contacto (recepción, respuesta, reserva) para trazabilidad.
- Copias de seguridad diarias de la base de datos por el proveedor.
- Revisión de estas medidas al menos una vez al año y cuando cambie el Servicio.
7. Fin del encargo
Al terminar el contrato, el ENCARGADO, a elección de la CLÍNICA comunicada en los 15 días siguientes, le devuelve los datos en un formato electrónico de uso común (CSV) o los suprime, y en todo caso los suprime en un plazo máximo de 30 días, salvo que una ley obligue a conservarlos, en cuyo caso los mantiene bloqueados.
Si la CLÍNICA necesita una copia firmada de este contrato, puede pedirla a andras.escalante@scdigital.es.