Contrato de encargo

De una parte, el profesional o la clínica titular de la cuenta —«el Responsable»—. De otra, Raúl Ríos Beiro (VinculAI), con domicilio en Avenida Hermanos Machado 135, 46025 Valencia, España y contacto en privacidad@vinculai.com —«el Encargado»—.

El Responsable determina los fines y los medios del tratamiento de los datos de sus pacientes —«los Datos de Paciente»—. El Encargado los trata exclusivamente por cuenta de aquel y no persigue sobre ellos finalidad propia alguna.

Queda fuera de este contrato el tratamiento de los datos de la cuenta del Responsable y de sus usuarios, respecto de los cuales el Encargado actúa como responsable conforme a su política de privacidad.

El Encargado no utilizará jamás los Datos de Paciente para fines propios —estadística de producto, mejora comercial, marketing o entrenamiento de modelos—. Hacerlo lo convertiría en responsable conforme al artículo 28.10 del RGPD y al artículo 33.2 de la Ley Orgánica 3/2018.

El Encargado declara ofrecer las garantías suficientes que exige el artículo 28.1 del RGPD para aplicar medidas técnicas y organizativas apropiadas, y las detalla en el Anexo III.

El objeto del encargo es accesorio e instrumental respecto del contrato de prestación del servicio. Su descripción completa —objeto, naturaleza, finalidades, categorías de interesados y tipos de datos— está en el Anexo II.

El encargo dura lo que dure el contrato de servicio, más el periodo de restitución del apartado 12.

Este contrato se celebra por escrito en formato electrónico, forma admitida por el artículo 28.9 del RGPD. El Encargado conserva constancia de la versión aceptada, la fecha y el usuario que aceptó, y la facilita al Responsable cuando la solicite.

El Encargado tratará los Datos de Paciente únicamente siguiendo instrucciones documentadas del Responsable, incluso en lo relativo a transferencias internacionales. Tienen esa consideración, y ninguna otra:

1. este contrato y sus anexos;
2. los términos y condiciones y la documentación funcional publicada, que describen lo que la plataforma hace;
3. las funcionalidades que el Responsable activa o desactiva desde su panel —sincronización con Google Calendar, pasarelas de cobro, videoconsulta, funciones de inteligencia artificial, transcripción por voz, web pública y analítica—, que quedan registradas con fecha y usuario;
4. las instrucciones adicionales que el Responsable remita por escrito a privacidad@vinculai.com desde una cuenta con rol de propietario o administrador.

Si una instrucción adicional excede el alcance del servicio contratado, el Encargado lo comunicará en diez días hábiles indicando condiciones y plazo; hasta que el Responsable las acepte no habrá obligación de ejecutarla.

Si el Derecho de la Unión o español obligara al Encargado a un tratamiento no instruido, se lo notificará al Responsable antes de realizarlo, salvo que ese Derecho lo prohíba por razones importantes de interés público. Los requerimientos de autoridades o de órganos judiciales sobre Datos de Paciente se comunicarán sin dilación y, cuando sea legalmente posible, antes de atenderlos.

Conforme al párrafo final del artículo 28.3, el Encargado informará de inmediato al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos, y podrá suspender esa instrucción concreta hasta aclararlo.

Inteligencia artificial. Las funciones de inteligencia artificial son tratamiento por cuenta del Responsable y solo se ejecutan cuando este las activa, sobre los datos que él o sus profesionales envían en cada solicitud. El Encargado garantiza que esos datos no se emplean para entrenar modelos, que las salidas son borradores sujetos a revisión del profesional —que conserva la autoría y la responsabilidad de la historia clínica—, que no existe decisión automatizada del artículo 22 del RGPD y que el audio del dictado no se persiste en ningún momento.

El Encargado no tratará los Datos de Paciente para fines distintos de los del Anexo II. En particular, y por tratarse de historia clínica conforme al artículo 16.1 de la Ley 41/2002, queda expresamente prohibido usar su contenido para estadística de producto, mejora del servicio, elaboración de perfiles, marketing o entrenamiento de modelos.

Toda persona con acceso a Datos de Paciente ha suscrito, con carácter previo al acceso, un compromiso de confidencialidad expreso, de duración indefinida y que subsiste tras la extinción de su relación con el Encargado. Así lo exige también el artículo 5 de la Ley Orgánica 3/2018, que configura ese deber como complementario del secreto profesional.

El acceso se concede conforme al principio de mínimo privilegio, se registra y se revoca sin demora cuando deja de ser necesario. El Encargado facilitará al Responsable, si lo pide, la relación de roles internos con acceso técnico.

Alcance real del acceso técnico, dicho sin adornos. Las notas clínicas, los mensajes y los nombres de archivo se cifran con AES-256-GCM antes de guardarse, de modo que el proveedor de base de datos no puede leerlos. Pero la clave de cifrado la custodia el Encargado junto a la aplicación, por lo que su personal de administración sí tiene capacidad técnica de acceder al contenido. El Encargado se obliga a que ese acceso se produzca únicamente (i) a petición escrita y puntual del Responsable para resolver una incidencia, dejando registro, o (ii) por requerimiento legal. Nunca de forma rutinaria ni para fines propios.

El personal del Encargado no es personal sanitario, no practica acto asistencial alguno y no elabora ni valida contenido clínico.

El Encargado aplica las medidas técnicas y organizativas del Anexo III, apropiadas al riesgo que supone tratar datos relativos a la salud.

Podrá actualizarlas siempre que el nivel de seguridad resultante no sea inferior. Toda modificación sustancial se comunicará al Responsable con treinta días de antelación.

El Responsable otorga autorización general por escrito para que el Encargado recurra a los subencargados relacionados en el Anexo IV, que se mantiene publicado y actualizado en esta misma página.

El Encargado notificará por correo y en el panel toda incorporación o sustitución de subencargado con treinta (30) días naturales de antelación, indicando su identidad, el servicio, la ubicación del tratamiento y la base de las transferencias internacionales si las hubiera.

El Responsable podrá oponerse de forma motivada, por razones de protección de datos, dentro de los quince (15) días siguientes. Mientras la objeción esté pendiente, el Encargado no incorporará ese subencargado para los datos del Responsable que se opone. Si no se alcanza una alternativa, el Responsable podrá resolver sin penalización la parte del servicio afectada, con reembolso de la parte proporcional no consumida.

El Encargado impone a cada subencargado, por contrato escrito, las mismas obligaciones de protección de datos que asume en este contrato, y responde plenamente ante el Responsable del cumplimiento por parte de aquellos (art. 28.4 RGPD).

A requerimiento y sin coste, el Encargado facilitará información sobre los contratos con sus subencargados —pudiendo ocultar información comercial confidencial— y sobre los ulteriores subencargados que traten Datos de Paciente.

En caso de extinción, cese de actividad o insolvencia del Encargado, el Responsable podrá dirigirse directamente a los subencargados para exigirles la supresión o la devolución de los Datos de Paciente.

El Encargado no atiende por sí mismo las solicitudes de los pacientes. Si recibe alguna, la trasladará al Responsable en un plazo máximo de setenta y dos horas, informará al interesado de que debe dirigirse al Responsable y no revelará dato alguno por su cuenta.

Dentro del servicio y sin coste adicional, el Encargado pone a disposición del Responsable las funciones necesarias para atender los derechos de acceso y portabilidad —consulta y exportación del expediente completo en formato estructurado—, de rectificación, de supresión y de limitación.

Para lo que no cubran esas funciones, el Encargado prestará asistencia razonable en un plazo que permita al Responsable resolver dentro del mes que le concede el artículo 12.3 del RGPD, y en todo caso en diez días hábiles.

El acceso a la historia clínica se rige además por el artículo 18 de la Ley 41/2002. El Encargado se limita al soporte técnico y no valora la procedencia de la solicitud ni sus excepciones legales —anotaciones subjetivas del profesional, derechos de terceros, pacientes fallecidos—, que corresponden en exclusiva al Responsable.

Brechas. El Encargado notificará al Responsable toda violación de la seguridad de los Datos de Paciente en un plazo máximo de veinticuatro (24) horas desde que tenga constancia de ella, por correo y con aviso en el panel. El plazo es corto a propósito: el Responsable solo dispone de setenta y dos horas para notificar a la Agencia.

La notificación incluirá, al menos:

• la naturaleza de la violación y, si es posible, las categorías y el número aproximado de interesados y de registros afectados;
• un punto de contacto para ampliar información;
• las consecuencias probables;
• las medidas adoptadas o propuestas para remediarla y mitigar sus efectos.

Lo que no esté disponible se completará de forma escalonada y sin dilación indebida. El Encargado no notificará por sí mismo a la Agencia Española de Protección de Datos ni a los interesados, salvo instrucción escrita del Responsable.

El Encargado facilitará gratuitamente al Responsable la información técnica que necesite para su evaluación de impacto y, en su caso, para la consulta previa (arts. 35 y 36 RGPD): descripción de los flujos de datos, subencargados, ubicaciones, medidas de seguridad y ficha de las funcionalidades de inteligencia artificial.

Conviene que el Responsable lo sepa: es muy probable que deba realizar una evaluación de impacto, porque suelen concurrir varios de los criterios de la lista que la Agencia publica al amparo del artículo 35.4 —categorías especiales de datos, uso de tecnologías nuevas, sujetos vulnerables—. Es una valoración suya que debe documentar; el Encargado aporta el material técnico pero no la firma ni la sustituye.

El Encargado mantiene el registro de actividades del artículo 30.2 del RGPD y lo pone a disposición del Responsable y de la autoridad de control cuando lo soliciten.

El Encargado pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento del artículo 28: el Anexo III actualizado, el registro del artículo 30.2, la lista de subencargados y los informes de revisión de seguridad de que disponga.

El Responsable podrá auditar, por sí o mediante auditor independiente que designe y que no sea competidor del Encargado, sujeto a confidencialidad, con preaviso de treinta días, en horario laboral y sin interrumpir el servicio, con periodicidad máxima anual. Ese límite no se aplica si ha habido una brecha de seguridad, si lo requiere una autoridad de control o si consta un incumplimiento; en esos casos el preaviso se reduce a cinco días.

La auditoría podrá incluir la inspección de las instalaciones del Encargado. Respecto de las de sus subencargados, el Encargado gestionará el acceso conforme a sus contratos y, si no fuera posible, facilitará las certificaciones e informes de auditoría de aquellos.

Los costes los soporta el Responsable, salvo que se detecte un incumplimiento material del Encargado, en cuyo caso los asume este junto con un plan de remediación con hitos y plazos.

El Encargado colaborará con la Agencia Española de Protección de Datos y pondrá a su disposición cuanta información y resultados de auditoría le requiera.

Las partes reconocen que los Datos de Paciente incluyen datos relativos a la salud (art. 9.1 RGPD). Corresponde en exclusiva al Responsable determinar y documentar la circunstancia del artículo 9.2 que levanta la prohibición —habitualmente la letra h), en relación con el 9.3— y acreditar el cumplimiento de los requisitos de titulación y colegiación que le sean exigibles.

El Encargado y su personal quedan sujetos al deber de confidencialidad del artículo 5 de la Ley Orgánica 3/2018 y al deber de secreto que el artículo 16.6 de la Ley 41/2002 impone a quien accede a datos de la historia clínica en el ejercicio de sus funciones, con carácter indefinido y sin perjuicio del secreto profesional que vincula al personal sanitario del Responsable.

La historia clínica y la documentación asistencial se generan, firman y custodian bajo la responsabilidad del profesional sanitario del Responsable.

Superficies orientadas al paciente. El widget de reserva, el portal del paciente, los correos y la sala de videoconsulta muestran de forma visible la identidad del Responsable, para que al paciente le conste que el Encargado actúa por cuenta de aquel y no en nombre propio. El Encargado pone a disposición del Responsable un aviso de privacidad para pacientes que este puede adoptar como propio, sin que ello traslade al Encargado el deber de informar, que es del Responsable.

Menores. El Responsable garantiza haber recabado el consentimiento o la representación legal exigibles cuando trate datos de menores.

Varias clínicas. Cuando un profesional pertenece a más de una consulta, cada una es un responsable distinto y sus datos no se comunican entre sí. Cambiar de consulta activa no habilita acceso cruzado.

Extinguido el contrato por cualquier causa, el Responsable elegirá por escrito entre:

1. la devolución de la totalidad de los Datos de Paciente;
2. su entrega al nuevo encargado que designe;
3. su supresión.

Cumplida la opción elegida, el Encargado suprimirá los Datos de Paciente y sus copias, incluidas las de sus subencargados, salvo lo previsto en el apartado 13.

Durante los treinta (30) días naturales siguientes a la extinción, el Responsable conservará la capacidad de exportar por sí mismo toda la información. Transcurrido ese plazo sin instrucción, el Encargado le requerirá por escrito y le concederá quince días más; a falta de respuesta procederá a la supresión, previo envío de una exportación completa.

La devolución o entrega se hará sin coste, en formato estructurado, de uso común y lectura mecánica, y comprenderá: ficha de paciente, agenda e historial de citas, notas de sesión, historial de fondo, notas libres, documentos firmados, facturas y recibos, y mensajería.

Quién conserva la historia clínica: el Responsable. La obligación de conservarla —como mínimo cinco años desde el alta de cada proceso asistencial, conforme al artículo 17.1 de la Ley 41/2002, más los plazos superiores que fije la normativa de la comunidad autónoma correspondiente— recae en exclusiva sobre el Responsable en su condición de centro sanitario o de profesional sanitario, y no sobre el Encargado. En consecuencia: el Encargado no conservará los Datos de Paciente por cuenta propia una vez ejecutada la opción elegida ni podrá invocar la Ley 41/2002 para retenerlos; y el Responsable se obliga a ejercitar las opciones a) o b) antes de instruir la supresión, o a declarar que ya dispone de copia íntegra que le permite cumplir sus plazos legales.

Ejecutada la supresión, el Encargado emitirá un certificado escrito con la fecha, el alcance, los sistemas y subencargados afectados y el tratamiento dado a las copias de seguridad, que se sobrescriben conforme a su ciclo de rotación permaneciendo entretanto cifradas y sin acceso.

Hasta que los Datos de Paciente se hayan devuelto, entregado o suprimido, este contrato continúa aplicándose íntegramente.

Cumplida la restitución, el Encargado podrá conservar bloqueados, al amparo de los artículos 32 y 33.4 de la Ley Orgánica 3/2018 y durante el plazo de prescripción de las responsabilidades derivadas de la relación, únicamente los registros de facturación del servicio y los registros de acceso y auditoría necesarios para acreditar el cumplimiento.

Los datos bloqueados quedan a disposición exclusiva de jueces y tribunales, del Ministerio Fiscal y de las administraciones competentes. El Encargado no conservará bloqueado el contenido de las notas clínicas ni la documentación asistencial.

Cada parte responde conforme al artículo 82 del RGPD. Ningún pacto entre ellas es oponible al paciente ni afecta a las sanciones del artículo 83, que son personales de quien infringe.

El Encargado podrá modificar este contrato comunicándolo con treinta días de antelación; si el cambio perjudica al Responsable, este podrá resolver sin penalización antes de que entre en vigor. Cada versión se publica con su número y su fecha.

Este contrato se rige por la legislación española.

Responsable: el profesional o la clínica titular de la cuenta, cuyos datos identificativos constan en su ficha de cuenta y en las facturas emitidas. Contacto: la dirección de correo del usuario propietario.

Encargado: Raúl Ríos Beiro (VinculAI), Avenida Hermanos Machado 135, 46025 Valencia, España. Contacto en materia de protección de datos: privacidad@vinculai.com. No hay delegado de protección de datos designado por el momento.

Firma: aceptación electrónica al contratar el servicio, con registro de versión, fecha y usuario (art. 28.9 RGPD).

Objeto

Prestación al Responsable del servicio de software VinculAI para la gestión de su consulta, que implica tratar por su cuenta datos de sus pacientes y de quienes solicitan cita en sus superficies públicas.

Naturaleza del tratamiento

Recogida, registro, estructuración, modificación, conservación, extracción, consulta, comunicación por transmisión a los destinatarios que el Responsable instruya, limitación, supresión y destrucción, copia de seguridad y recuperación, por medios automatizados sobre la infraestructura del Encargado y de sus subencargados. No hay elaboración de perfiles con efectos jurídicos, ni cesiones a terceros distintos de los del Anexo IV, ni entrenamiento de modelos.

Finalidades

1. Gestión de la agenda y de las citas, incluida la reserva desde superficies públicas.
2. Envío de recordatorios y avisos al paciente por correo, notificación y mensajería.
3. Mantenimiento del expediente y soporte documental de la historia clínica: notas de sesión, historial de fondo, notas libres y documentos firmables, bajo autoría y control del profesional.
4. Estructuración y formateo de notas con inteligencia artificial, bajo revisión humana.
5. Videoconsulta en sala privada, sin grabación.
6. Gestión de cobros y emisión de facturas y recibos al paciente.
7. Comunicación con el paciente mediante mensajería y portal.
8. Sincronización opcional de citas con el calendario del profesional.
9. Soporte técnico, corrección de incidencias y copias de seguridad.

Categorías de interesados

• Pacientes del Responsable, actuales y pasados, incluidos menores de edad.
• Personas que solicitan cita o información sin llegar a ser pacientes.
• Representantes legales, tutores y personas de contacto.
• Terceros mencionados incidentalmente en las notas clínicas —familiares, parejas, allegados—. En psicoterapia es inevitable y conviene reconocerlo.

Tipos de datos

• Identificativos: nombre y apellidos, DNI o NIE, fecha de nacimiento, teléfono, correo, dirección, fotografía de perfil.
• De la relación asistencial: citas, asistencias e inasistencias, servicio, profesional tratante, modalidad presencial u online.
• Categorías especiales, datos de salud (art. 9.1 RGPD): notas de sesión, historial de fondo, motivo de consulta, evolución, contenido de los mensajes con el profesional y documentos clínicos firmados. Pueden incluir incidentalmente datos sobre vida u orientación sexual, convicciones o origen étnico cuando el paciente los relate en terapia.
• Económicos y fiscales: importes, método de pago, identificador de la transacción y datos fiscales del receptor de la factura.
• Metadatos técnicos: identificadores de sesión, marcas de tiempo de acceso, dirección IP.

Garantías adicionales para los datos sensibles

Limitación estricta de la finalidad; acceso a las notas de sesión restringido al profesional tratante mediante control en la propia base de datos; aislamiento por consulta; cifrado en tránsito y a nivel de aplicación; exclusión de datos de salud de los registros técnicos; prohibición de uso para entrenamiento de modelos; ausencia total de grabación de la videoconsulta; y personal sujeto a confidencialidad expresa e indefinida.

Duración

Mientras esté vigente el contrato de servicio, más el periodo de restitución del apartado 12, sin perjuicio del bloqueo del apartado 13.

Descritas de forma concreta, como exige la normativa, y no con fórmulas genéricas. Reflejan el estado del servicio a la fecha de esta versión.

• Cifrado en tránsito: TLS en todas las superficies —web, API y servidor MCP—, con redirección forzosa.
• Cifrado en reposo: cifrado del volumen por el proveedor de base de datos y, además, cifrado a nivel de aplicación con AES-256-GCM sobre las notas de sesión, el historial de fondo, el cuerpo de los mensajes, los nombres de archivo y los documentos firmados. La clave la custodia el Encargado, de modo que el proveedor de base de datos no puede leer ese contenido.
• Aislamiento entre consultas: seguridad a nivel de fila en PostgreSQL, con filtrado obligatorio por consulta en todas las tablas que contienen Datos de Paciente. Las políticas se verifican con pruebas automatizadas en cada despliegue.
• Notas clínicas: accesibles únicamente al profesional tratante, mediante una función de la base de datos y no mediante un filtro de la aplicación.
• Control de acceso: contraseñas de al menos ocho caracteres con mayúsculas, minúsculas y números, validadas en cliente y en servidor; inicio de sesión con Google; sesiones con expiración; y roles de propietario, administración, recepción y personal, combinados con la condición de profesional.
• Archivos: almacenamiento en contenedores privados, con rutas opacas y direcciones firmadas de corta duración —diez minutos para lo que se muestra en pantalla, dos minutos para lo que se descarga—.
• Registros técnicos: no contienen datos de salud ni identificadores directos de paciente.
• Videoconsulta: sala privada por cita, acceso por credencial efímera y sin grabación: no existe función de grabación ni lugar donde almacenarla.
• Calendario externo: la sincronización opcional escribe únicamente las iniciales del paciente y la hora, sin descripción ni invitados.
• Superficie pública: política de seguridad de contenido, cabeceras contra la interpretación errónea de tipos y control de la información de procedencia; límites de uso frente a abusos automatizados.
• Asistentes externos: el registro de clientes en el servidor MCP solo admite orígenes expresamente autorizados.
• Copias de seguridad: la base de datos —que contiene la ficha del paciente, la agenda, las notas y el historial cifrados, la facturación y los documentos firmados— se respalda de forma automática y diaria por el proveedor de base de datos, con las copias alojadas en la Unión Europea (París). La recuperación a un instante concreto (point-in-time recovery) no está activada, de modo que el punto de restauración es la última copia diaria y la pérdida máxima de datos en un desastre sería de hasta veinticuatro horas.
• Límite de las copias, dicho expresamente: las copias de la base de datos no incluyen los ficheros adjuntos —documentos subidos a la ficha del paciente, adjuntos del chat y fotografías—, que se guardan en el servicio de almacenamiento de objetos y del que la base de datos solo conserva la referencia. Dichos ficheros cuentan con la redundancia propia de ese servicio, pero no son recuperables a una fecha anterior. Por esa razón el Encargado pone a disposición del Responsable la exportación íntegra del apartado 15 —que sí incluye esos ficheros— y le recomienda realizarla con periodicidad y conservarla bajo su control, en cumplimiento de su obligación de conservar la documentación clínica.
• Servidores de aplicación: no almacenan datos personales de forma persistente —los contenedores no montan volúmenes de datos— y se reconstruyen íntegramente desde la imagen de despliegue, por lo que no requieren copia de seguridad propia.
• Ciclo de desarrollo: entornos separados; los entornos de desarrollo y prueba no contienen datos reales de paciente; comprobación de tipos, análisis estático y batería de pruebas automáticas antes de cada despliegue, más pruebas de extremo a extremo contra el servicio ya desplegado.
• Evaluación periódica: revisión documentada de estas medidas al menos una vez al año y siempre que se incorpore un tratamiento nuevo, conforme al artículo 32.1.d) del RGPD.

Lista sobre la que se otorga la autorización general del apartado 7. Es la misma que figura en la política de privacidad: se publica desde una única fuente para que no puedan divergir.

Proveedores sin acceso a Datos de Paciente

• Europe PMC (EMBL-EBI, Reino Unido). Búsqueda de literatura científica. Solo se envían términos clínicos abstractos, nunca identificadores del paciente. El Reino Unido cuenta con decisión de adecuación de la Comisión Europea, renovada el 19 de diciembre de 2025. No es subencargado y se declara solo por transparencia.

Si el Responsable conecta un asistente externo a través del servidor MCP, esa decisión es suya y el proveedor del asistente no es subencargado del Encargado: pasa a tratar los datos bajo la relación que el propio Responsable haya establecido con él.